Responsabilidad de la dirección y formación

El artículo 20, titulado de gobernanza, impone tres cosas a los órganos de dirección de las entidades esenciales e importantes: aprobar las medidas de gestión de riesgos de ciberseguridad del artículo 21, supervisar su aplicación y poder ser considerados responsables de los incumplimientos. La Directiva deja a la ley nacional lo que concierne a la responsabilidad de instituciones públicas y de funcionarios o cargos electos.

Sobre la formación, la redacción distingue dos públicos. A los miembros del órgano de dirección se les exige seguir formación; a las entidades se les anima a ofrecer una formación similar a su personal con regularidad. Aparte, la medida (g) del artículo 21 pide ciberhigiene básica y formación en ciberseguridad como medida de la entidad.

La forma de probar el cumplimiento de esa exigencia es un registro de formación por persona con su contenido y su fecha. Un curso que «se hizo» sin constancia no sirve ante una inspección. Al evaluar, se cruza la lista de miembros del consejo con el registro de formación y se buscan los vacíos.

Consulta SELECT * FROM consejo.

Aprobar las medidas no es leer un informe. Una aprobación se ve en un acta que dice que el órgano de dirección las aprobó, quién votó y qué seguimiento pidió. Un acta que «toma nota» no aprueba nada.

Consulta SELECT * FROM actas_del_consejo y lee la decisión de cada una.

La formación del consejo no basta: la medida (g) pide ciberhigiene y formación en la entidad. Un porcentaje global alto puede esconder un grupo casi sin formar. Por eso la evidencia se presenta por grupo, no solo como un promedio de la plantilla.

Consulta SELECT * FROM formacion_del_personal y compara personas con formadas.

El responsable de seguridad ejecuta, propone y reporta, pero no aprueba por el órgano de dirección. Si el acta de julio dice que el consejo deja la aprobación en sus manos, el acta no cumple lo que pide el artículo 20.