La dirección de tu organización debe aprobar la gestión de riesgos y lasmedidas de ciberseguridad aplicadas para cumplir la NIS2, y por tanto tiene un papel central en la gobernanza de la ciberseguridad.

Para gestionar eficazmente esta responsabilidad, el Artículo 20(2) de la NIS2 exige que la dirección reciba la formación pertinente que refuerce su capacidad para comprender los riesgos, tomar decisiones con conocimiento de causa y hacer un seguimiento de las medidas de seguridad de la organización.

No existen directrices fijas sobre cómo deben ser estos cursos, pero lo que importa es que la dirección en su conjunto adquiera la competencia necesaria para guiar los esfuerzos de ciberseguridad de la organización.

La formación puede adoptar muchas formas, como cursos generales sobre ciberseguridad y seguridad de la información, talleres de liderazgo sobre gestión de ciberriesgos, certificaciones en normas de seguridad reconocidas, como la ISO 27001, o seminarios internos adaptados a tu organización.

La participación y realización de esta formación debe documentarse para demostrar su cumplimiento, por ejemplo con un certificado o confirmación de asistencia.

El papel de la dirección en la formación de los empleados

La dirección también desempeña un papel clave en la formación de las competencias y el comportamiento de los empleados. Los directivos deben apoyar y fomentar activamente la formación en ciberseguridad del personal a todos los niveles, asegurándose de que los empleados tengan competencias que se ajusten a sus funciones y responsabilidades dentro de la organización.

Por tanto, tu organización debe desarrollar una política de formación para los empleados, y asegurarse de que todos, desde los recién contratados hasta los empleados con experiencia, sepan cómo proteger los sistemas, seguir las mejores prácticas de ciberhigiene y responder adecuadamente a las amenazas. Predicando con el ejemplo y dando prioridad a la formación, la dirección demuestra que la ciberseguridad es importante en toda la organización.

Este requisito se alinea con el requisito del Artículo 21(2)(g), que establece que los empleados deben conocer las prácticas de ciberhigiene y recibir formación sobre ciberseguridad.