La responsabilidad personal del CISO es real, pero es más limitada de lo que sugiere el pánico. En EE. UU., el riesgo más evidente para 2026 no es que se le culpe de una filtración habitual, sino que se le acuse de fraude, obstrucción, engaño a los inversores o gestión inadecuada de la divulgación de información. En la UE, la Directiva NIS2 traslada la responsabilidad a los órganos de dirección, y son las leyes nacionales las que determinan cómo funciona la responsabilidad personal.
Responsabilidad civil del CISO: qué ha cambiado y qué no
La intención de búsqueda en este caso es principalmente informativa y tiene un marcado enfoque en la gestión de riesgos: quieres saber si un responsable de seguridad puede ser multado o imputado a título personal, y qué hacer antes de que un organismo regulador, un consejo de administración, una aseguradora o un fiscal empiecen a hacer preguntas difíciles.
La responsabilidad personal del CISO se ha convertido en un tema recurrente en las salas de juntas debido a la coincidencia de tres factores: las normas de divulgación de información cibernética de la SEC de 2023, el caso SolarWinds contra el CISO Timothy G. Brown y la Directiva NIS2 de la UE. Si a esto le sumamos el anterior proceso penal contra el ex CSO de Uber, Joseph Sullivan, el puesto deja de parecer, de repente, un cargo de liderazgo técnico para convertirse más bien en una función de control regulada.
Aun así, la distinción es importante. Las pruebas públicas fiables de 2026 no indican que exista una normativa general en EE. UU. que haga a los CISO personalmente responsables de cada incumplimiento por negligencia grave. La tendencia más marcada es más sencilla y más severa: si ocultas la violación de seguridad, tergiversas el riesgo, obstaculizas una investigación o das el visto bueno a afirmaciones que no están respaldadas por las pruebas, puedes convertirte en el centro de atención.
¿Se puede considerar personalmente responsable a un CISO?
Sí, pero lo que suele ser el detonante es la conducta, no el mero hecho de que los atacantes hayan conseguido entrar. Un grupo de ransomware puede vencer a un buen equipo. Una revelación engañosa, una declaración de riesgo falsa o un encubrimiento son casos distintos.
El ejemplo penal más claro sigue siendo el de Joseph Sullivan, antiguo director de seguridad de Uber. El 4 de mayo de 2023, la Fiscalía del Distrito Norte de California informó de que había sido condenado a tres años de libertad condicional, 200 horas de servicios comunitarios y una multa de $50 000 tras ser declarado culpable de encubrir la filtración de datos de Uber de 2016 durante una investigación de la FTC.
Ese caso es una advertencia con una lección concreta. Sullivan no fue sancionado simplemente porque se produjera una brecha de seguridad en Uber. El caso se centró en el encubrimiento y la obstrucción durante un proceso regulador en curso, que es precisamente el tipo de circumstances que convierten un fallo operativo en una responsabilidad legal personal.
Para los CISO, el riesgo práctico se sitúa en la encrucijada entre las pruebas de seguridad y el discurso corporativo. Si la empresa afirma ante clientes, inversores o autoridades reguladoras que los controles están bien consolidados, mientras que los registros internos de riesgos, las pruebas de penetración y los informes de incidentes indican lo contrario, la responsabilidad personal del CISO se convierte en un tema candente.
Las normas de la SEC que modificaron la presión en materia de divulgación de información
La SEC aprobó el 26 de julio de 2023 las normas sobre divulgación de información relativa a la ciberseguridad de las empresas que cotizan en bolsa. Entraron en vigor el 5 de septiembre de 2023, y la mayoría de las empresas que cotizan en bolsa tuvieron que cumplir con la obligación de informar sobre incidentes, recogida en el punto 1.05 del formulario 8-K, a partir del 18 de diciembre de 2023; las empresas más pequeñas sujetas a la obligación de informar tuvieron de plazo hasta el 15 de junio de 2024.
Según el punto 1.05, una empresa debe, por regla general, comunicar cualquier incidente de ciberseguridad significativo en un plazo de cuatro días hábiles a partir del momento en que determine que dicho incidente es significativo. Esa última frase tiene un gran peso. El plazo está vinculado a la determinación de la importancia, no a la primera alerta en el SIEM.
Este es el cálculo que a menudo se les escapa a las juntas directivas. Si los directivos determinan la materialidad a las 17:00 horas del lunes, y no es festivo federal, el plazo de cuatro días hábiles suele indicar que la presentación se realizará un viernes. Si la materialidad se determina el jueves, la fecha límite práctica suele desplazarse a la semana siguiente. Un calendario interno descuidado puede hacer que una decisión defendible parezca un retraso.
Las empresas que cotizan en bolsa deben abordar esto como un problema de control de la divulgación de información, y no simplemente como un problema de respuesta ante incidentes. El responsable de gestión de incidentes, el equipo jurídico, el comité de divulgación, el director financiero y el responsable de seguridad de la información necesitan disponer de un registro común en el que conste cuándo se tuvieron conocimiento de los hechos relevantes y cuándo se determinó efectivamente su relevancia. Para obtener una visión más amplia de cómo están cambiando los programas de defensa bajo presión, el análisis de la web sobre El papel de la IA en la defensa de la ciberseguridad es un complemento útil.
SolarWinds: el caso que aterrorizó a los CISO y luego se fue reduciendo
El 30 de octubre de 2023, la SEC presentó cargos contra SolarWinds Corp. y su director de seguridad de la información (CISO), Timothy G. Brown, por fraude y deficiencias en los controles internos. La SEC alegó que se habían realizado declaraciones engañosas sobre los riesgos de ciberseguridad, al menos desde la salida a bolsa de la empresa en octubre de 2018 hasta su comunicado sobre el incidente SUNBURST en diciembre de 2020.
La demanda causó un gran revuelo. Muchos responsables de seguridad la interpretaron como una prueba de que un CISO podía ser demandado a título personal por una filtración grave. Sinceramente, esa interpretación era demasiado amplia.
El 18 de julio de 2024, el Tribunal de Distrito de los Estados Unidos para el Distrito Sur de Nueva York desestimó la mayoría de las demandas de la SEC contra SolarWinds y Brown, aunque algunas demandas por fraude bursátil anteriores a SUNBURST se mantuvieron inicialmente. Posteriormente, el 20 de noviembre de 2025, la SEC, SolarWinds y Brown presentaron un acuerdo conjunto por el que se desestimaba con carácter definitivo la causa civil restante.
¿Qué podemos aprender de todo esto? No es que todos los CISO se enfrenten a responsabilidades personales ante la SEC tras un ataque sofisticado. La lección que hay que recordar es que las declaraciones sobre riesgos deben ajustarse a la realidad interna. Si los equipos de ingeniería documentan graves vulnerabilidades, mientras que los informes públicos describen prácticas sólidas de ciberseguridad en un lenguaje general y tranquilizador, los demandantes y los reguladores tendrán argumentos en los que basarse.
Los responsables de seguridad que se enfrentan a intrusiones basadas en la inteligencia artificial también deben tener cuidado de no exagerar su nivel de preparación. Los ataques, como las campañas de ransomware asistidas por IA, se desarrollan con rapidez, y la cobertura de El ransomware JadePuffer y la velocidad de los ataques basados en IA explica por qué las actas de la junta directiva deben distinguir entre aspiraciones, hoja de ruta y controles implantados.
La NIS2 hace que sea más difícil ignorar la responsabilidad de los directivos
La Directiva NIS2 de la UE se adoptó el 14 de diciembre de 2022, y los Estados miembros tenían hasta el 17 de octubre de 2024 para transponerla a la legislación nacional. El artículo 20 exige a los órganos de dirección de las entidades esenciales e importantes que aprueben medidas de gestión de riesgos de ciberseguridad, supervisen su aplicación y respondan de las infracciones con arreglo a la legislación nacional.
Esa formulación es importante. La NIS2 no establece una única multa individual a nivel de la UE para cada CISO. Traslada las obligaciones a la legislación nacional, y los detalles varían según el Estado miembro.
Lo que está en juego desde el punto de vista financiero es lo suficientemente importante como para modificar el comportamiento de los consejos de administración. En las orientaciones para 2024 y 2026, las multas administrativas máximas previstas en la NIS2 se establecen en, como mínimo, 10 000 000 de euros o 2% del volumen de negocio anual mundial para las entidades esenciales, y de al menos 7 000 000 de euros o 1,41 TP7T para las entidades importantes, dependiendo de cuál de los dos importes sea mayor y de cómo se aplique el régimen en la legislación nacional.
Un ejemplo concreto ayuda a entenderlo. Una entidad esencial que cumpla los requisitos y tenga una facturación anual mundial de 800 millones de euros podría enfrentarse a un umbral máximo de 16 millones de euros en virtud de la medida 2%, en lugar de 10 millones de euros. Para una entidad importante con la misma facturación, 1,4% equivale a 11,2 millones de euros, por encima del mínimo de 7 millones de euros. Se trata de sanciones a las entidades, pero explican por qué los consejeros plantean ahora preguntas más incisivas a los responsables de seguridad de la información (CISO).
Bulgaria ilustra este aspecto de la legislación nacional. Según un comentario publicado en junio de 2026, la Ley de Ciberseguridad modificada de Bulgaria, que transpone la Directiva NIS2, incluye consecuencias en materia de responsabilidad personal para los directivos y los miembros del consejo de administración, y las infracciones cometidas antes del 1 de junio de 2026 podrían acarrear multas de 50% del importe estipulado. Dado que se trata de un comentario publicado y no de las propias preguntas frecuentes de la autoridad reguladora, los detalles deben considerarse una indicación para realizar un análisis jurídico local, y no una norma universal de la UE.
| Base jurídica o normativa | Año | ¿Quiénes corren riesgo? | A qué se dirige principalmente | Sanción o límite observado |
|---|---|---|---|---|
| Formulario 8-K de la SEC, apartado 1.05: normas de divulgación en materia de ciberseguridad | 2023-2024 | Empresas que cotizan en bolsa; los directivos implicados en la divulgación de información pueden ser objeto de escrutinio | La divulgación de incidentes significativos se realizará, por regla general, en un plazo de cuatro días hábiles tras determinarse su carácter significativo. | En la propia norma no se establece una multa fija para el CISO |
| La SEC contra SolarWinds y Timothy G. Brown | 2023-2025 | Empresa y responsable de seguridad de la información (CISO) | Supuestas declaraciones engañosas sobre riesgos cibernéticos y deficiencias en los controles internos | La mayoría de las demandas se desestimaron en 2024; la causa civil restante se desestimó con efecto definitivo en 2025 |
| Estados Unidos contra Joseph Sullivan | Sentencia de 2023 | Exdirector de estrategia de Uber | Encubrimiento de la infracción de 2016 durante la investigación de la FTC | Tres años de libertad condicional, 200 horas de servicios comunitarios y una multa de $50 000. |
| Directiva NIS2 de la UE | 2022-2026 | Órganos de gestión previstos en la legislación nacional; los responsables operativos podrían verse afectados | Aprobación, supervisión, formación y responsabilidad en la gestión de riesgos de ciberseguridad | Un volumen de negocio de al menos 10 millones de euros o 21 TP7T para las entidades esenciales; 7 millones de euros o 1,41 TP7T para las entidades importantes |
Cómo reducir la exposición personal sin escudarse en argumentos jurídicos
La mejor protección es aburrida: registros precisos, una escalación disciplinada y declaraciones que no vayan más allá de los hechos. Puede que suene conservador. Y lo es. Pero también es la forma de evitar que te mencionen por tu nombre en una denuncia.
Actualmente se están comercializando seguros de responsabilidad civil directamente dirigidos a los CISO. El programa de seguro de responsabilidad civil de la CISO Society, del que se informó en 2026, es un ejemplo destinado a abordar las preocupaciones específicas de los CISO en materia de ciberseguridad y normativa. El seguro puede ayudar a sufragar los costes de la defensa, pero no solucionará las actas defectuosas, los cuestionarios engañosos ni la decisión silenciosa de canalizar una filtración a través de un programa de recompensas por errores para mantenerla fuera de la vista.
Las solicitudes de las aseguradoras merecen una atención especial. Las afirmaciones de Public 2026 de que las solicitudes de seguros cibernéticos suelen exigir «declaraciones juradas» del CISO o del consejo de administración no se han podido verificar en la documentación presentada por las aseguradoras principales ni en las fuentes reguladoras disponibles en la investigación. Lo que sí se puede verificar es que las solicitudes suelen incluir preguntas detalladas, a modo de certificación, sobre controles, identidad, copias de seguridad, supervisión e historial de incidentes. Considera que todas las respuestas pueden ser objeto de divulgación.
Utiliza una pila de control sencilla para tu propia protección:
- Mantén un registro de riesgos con fecha en el que se distingan los riesgos aceptados, las medidas correctoras financiadas y las medidas correctoras no financiadas.
- Anota quién determinó la importancia relativa, cuándo lo hizo y de qué datos se disponía en ese momento.
- Rechaza afirmaciones públicas vagas como «seguridad líder en el sector» a menos que estén respaldadas por pruebas.
- Hacer que la formación en ciberseguridad de los consejos de administración sea una realidad, especialmente para las entidades sujetas a la NIS2 y las empresas que cotizan en bolsa.
- Revisa las pólizas de responsabilidad civil de directivos y administradores (D&O), cibernéticas, de indemnización y cualquier otra específica para el CISO antes de que se produzca un incidente, no después.
El escollo del que a nadie le gusta hablar es el lenguaje utilizado en el currículum. Un CISO que lleve años afirmando ante el mercado que «es responsable de todos los riesgos cibernéticos» puede encontrarse con que esa frase se utilice en su contra en caso de conflicto. Una formulación más adecuada describe la autoridad con honestidad: diriges el programa, asesoras a la dirección, informas sobre los riesgos y actúas dentro de las limitaciones presupuestarias y de gobernanza.
La profundidad técnica sigue siendo importante porque unos controles deficientes generan pruebas poco fiables. Si tu organización se está expandiendo hacia agentes de IA, servidores de protocolos de contexto de modelos o nuevos flujos de trabajo de identidad, necesitas documentación que demuestre que los riesgos se han evaluado y no se han pasado por alto; guías prácticas para Protección de los servidores MCP y Cómo los hackers utilizan los agentes de IA como arma son lecturas recomendadas para los consejos de administración que consideran que el riesgo de la IA sigue siendo teórico.
Guía para el consejo de administración y el CISO para 2026
El consejo de administración no debería pedir al CISO que actúe a la vez como «bombero» y como «portavoz oficial de la empresa». Esas funciones se solapan, pero no son idénticas. Los departamentos jurídico, financiero, de relaciones con los inversores, de privacidad y de operaciones intervienen todos en la divulgación de información cibernética.
En el caso del CISO, la postura debe ser sincera y quedar documentada. Si la autenticación multifactorial (MFA) está incompleta, hay que decirlo. Si las copias de seguridad no se han probado, hay que decirlo. Si un control solo se aplica a los usuarios de la empresa y no a los contratistas, no hay que dar a entender que la cobertura es universal.
Las organizaciones en expansión están especialmente expuestas a este riesgo, ya que la gobernanza suele ir a la zaga de la complejidad técnica. El patrón descrito en cómo cambian las prioridades de seguridad a medida que crecen las organizaciones Esto encaja bien en este debate sobre la responsabilidad: lo que resultaba aceptable con 100 empleados puede parecer imprudente con 5.000 empleados y a escala de empresa que cotiza en bolsa.
Mi opinión: el CISO más seguro en 2026 no es aquel que promete cero incidentes de seguridad. Es aquel que puede demostrar que la dirección fue consciente del riesgo, eligió un camino a seguir, financió o aplazó medidas de control a sabiendas y comunicó la verdad a terceros en un lenguaje sencillo.
Preguntas frecuentes
¿Puede multarse personalmente a un CISO por una filtración de datos?
En EE. UU., los datos contrastados de 2026 no indican que exista una norma general que imponga multas personales a los CISO por infracciones comunes. La responsabilidad personal es más probable cuando existen acusaciones de fraude, obstrucción, declaraciones engañosas o incumplimientos en la notificación.
¿Cuáles son las normas de la SEC sobre la divulgación de información relativa a la ciberseguridad?
Las normas de la SEC de 2023 exigen a las empresas que cotizan en bolsa que comuniquen los incidentes de ciberseguridad de importancia en el apartado 1.05 del formulario 8-K, por lo general en un plazo de cuatro días hábiles tras determinarse su importancia. La mayoría de las empresas comenzaron a cumplir con esta normativa el 18 de diciembre de 2023, mientras que las empresas más pequeñas sujetas a la obligación de presentar informes tenían de plazo hasta el 15 de junio de 2024.
¿Ha archivado la SEC el caso de SolarWinds contra el CISO?
La mayoría de las demandas presentadas por la SEC contra SolarWinds y Timothy G. Brown fueron desestimadas por el Distrito Sur de Nueva York el 18 de julio de 2024. La causa civil restante fue desestimada con carácter definitivo mediante acuerdo mutuo el 20 de noviembre de 2025.
¿Implica la NIS2 una responsabilidad personal para los CISO?
La NIS2 establece la obligación de rendir cuentas por parte de los órganos de dirección y exige a los Estados miembros que incorporen las normas sobre responsabilidad a su legislación nacional. No se trata de un régimen uniforme de sanciones a los responsables de la seguridad de la información (CISO) a escala de la UE, por lo que la aplicación a nivel local es fundamental.
ES 
EN 
FR