el cuestionario pregunta quién dentro de la junta directiva es responsable de la ciberseguridad

La dirección es responsable, no el departamento de TI

En esta pregunta, el cliente quiere saber si la dirección misma asume la responsabilidad final por la ciberseguridad, o si esta ha sido delegada a un gestor de TI o CISO sin implicación de la dirección. La respuesta que la mayoría de las organizaciones completan es: un director ha sido designado como responsable final, y la ejecución recae en un funcionario o departamento subordinado. Estas dos cosas no son lo mismo y la lista de preguntas a menudo quiere ver ambas: quién es responsable (nivel directivo) y quién ejecuta (nivel operativo).

La prueba concreta de esto suele ser una decisión de la dirección, una descripción del puesto del CISO u oficial de seguridad, o un párrafo en la política de seguridad de la información que especifique la distribución de funciones. Si falta ese documento, entonces "no" o "aún por determinar" es la respuesta honesta — no porque nadie sea responsable, sino porque la asignación no está documentada. Esta pregunta a menudo está relacionada con la pregunta de si existe una política para análisis de riesgos y la protección de sistemas de información, porque esa política generalmente también menciona quién la aprobó y quién la mantiene.

Dónde aparece en la directiva: artículo 21, apartado 2

La obligación proviene del artículo 21, apartado 2, de la Directiva NIS2 (Directiva (UE) 2022/2555), que enumera diez medidas que caen bajo la responsabilidad de la dirección, incluyendo gobierno y gestión de riesgos. La directiva en sí regula la responsabilidad de la dirección por separado: la dirección debe supervisar la ejecución y puede ser responsable de ella, incluso si la ejecución diaria recae en un CISO. En los Países Bajos, esta obligación se refleja en la Ley de Ciberseguridad, que entra en vigor el 15 de agosto de 2026. ISO/IEC 27001 Anexo A también solicita en las medidas de control sobre estructura organizativa una distribución de funciones documentada — quien ya tiene ese certificado generalmente puede reutilizar esa documentación directamente para esta pregunta. Si la empresa está certificada en ISO 27001entonces la responsabilidad directiva generalmente ya está mencionada en el alcance o en el documento de política.