La transformación digital ha multiplicado las oportunidades de negocio, pero también ha elevado los riesgos a los que se enfrentan las organizaciones. En este nuevo escenario, la ciberseguridad ha pasado de ser una cuestión técnica a convertirse en una prioridad estratégica. Así lo demuestra el Primer Estudio sobre el Buen Gobierno de la Ciberseguridad en España, elaborado por ISMS Forum, un análisis detallado del estado actual de la gobernanza de la ciberseguridad en España.
El informe analiza 84 grandes organizaciones de sectores críticos (banca, seguros, energía, salud, telecomunicaciones, industria y administración pública) y ofrece conclusiones clave: aún existe una brecha importante entre el discurso y la práctica en materia de gobernanza digital.
¿Cuál es el diagnóstico?
Ante todo, una evidencia estructural, ya que solo el 38% de las organizaciones encuestadas cuenta con una estructura formal de gobierno de la ciberseguridad, es decir, que cuentan con políticas aprobadas, responsabilidades claramente definidas y comités específicos que velen por la seguridad digital. La gran mayoría de organizaciones siguen funcionando de forma reactiva, con decisiones fragmentadas y dependientes del área técnica.
En segundo lugar, la implicación del Consejo de Administración es, en muchos casos, simbólica. Apenas el 22% realiza un seguimiento regular de los asuntos de ciberseguridad, suponiendo un claro déficit de supervisión que puede traducirse en falta de control, desconocimiento de los riesgos y vulnerabilidad ante incidentes que comprometan la continuidad del negocio.
Por otro lado, la integración del riesgo cibernético en la estrategia global sigue siendo insuficiente. Aunque el 60% de las entidades evalúa de forma periódica este riesgo, solo un tercio lo incluye en sus matrices globales. Esta desconexión impide tomar decisiones holísticas que articulen la seguridad digital con otras dimensiones clave del riesgo empresarial.
Y finalmente, un dato que preocupa especialmente: el 66% de las organizaciones considera que los recursos asignados a ciberseguridad (humanos, técnicos y presupuestarios) no están alineados con su nivel real de exposición. En un contexto de amenazas crecientes, este desequilibrio deja a muchas compañías en una situación delicada.
¿Y qué podemos hacer?
El estudio no se limita a describir el problema; también aporta soluciones. Entre sus principales recomendaciones se incluyen:
- Implicar al Consejo de Administración de forma activa y continuada, dotándolo de información comprensible y útil para la toma de decisiones.
- Establecer estructuras de gobernanza claras, con roles definidos, métricas compartidas y responsabilidades integradas en la cadena de mando.
- Integrar la ciberseguridad en la gestión de riesgos global, tratándola al mismo nivel que los riesgos financieros, normativos o reputacionales.
- Impulsar una cultura organizativa transversal, donde todos los empleados, y no solo los expertos en TI, se sientan parte de la solución.
- Alinear los recursos con los objetivos y el nivel de exposición, evaluando de forma realista las necesidades presupuestarias y de talento.
Hacia un modelo de gobernanza eficaz
La buena noticia es que ya existen prácticas ejemplares que demuestran que es posible hacerlo bien. Algunas organizaciones han alineado su estrategia de ciberseguridad con la del negocio, han adoptado estándares internacionales como ISO 27001 o NIST, o han creado cuadros de mando adaptados al lenguaje ejecutivo. El cambio es posible, pero requiere voluntad, formación y liderazgo.
En RAPINFORMES lo tenemos claro: el buen gobierno de la ciberseguridad es mucho más que cumplir con la normativa, es proteger la reputación, garantizar la continuidad, generar confianza y asegurar que las decisiones se toman con pleno conocimiento del entorno digital. Para ello tenemos protocolos y formaciones adecuadas con este objetivo.
El estudio de ISMS Forum es una llamada a la acción. Porque en la era de los datos, la ciberseguridad no es solo una responsabilidad técnica: es un compromiso institucional.
