Cuando una compañía sufre un incidente grave, la primera pregunta del consejo no es qué dispositivo falló. Es quién estaba al mando de la seguridad. Ese hueco lo cubre el CISO.
El CISO (Chief Information Security Officer), o director de seguridad de la información, es la figura que traduce el riesgo tecnológico a lenguaje de negocio y responde de la estrategia de protección ante la dirección.
No es un puesto de escalado técnico. Es un rol de gobierno: decide qué se protege, con qué presupuesto y qué nivel de riesgo asume la empresa de forma consciente.
Qué es un CISO y qué lugar ocupa en el organigrama
El CISO es el responsable último de la seguridad de la información de la organización. Su ámbito no son los equipos, sino la información y los procesos de negocio que dependen de ella.
Su posición natural está fuera del departamento de IT. La razón es de control interno: quien diseña y opera los sistemas no puede ser el mismo que evalúa si están suficientemente protegidos.
Cuando el CISO reporta al responsable de IT, el conflicto de intereses es inevitable. Los riesgos que exigirían más presupuesto o frenarían un proyecto tienden a quedarse en el camino antes de llegar a dirección.
CISO, CSO y DPO no son la misma figura
La confusión es habitual en empresas medianas, donde los tres roles suelen recaer en una misma persona. Conviene separarlos:
- CISO: responde de la seguridad de la información y de la estrategia frente a las ciberamenazas.
- CSO: asume la seguridad corporativa en sentido amplio, incluida la física, con visión de negocio.
- DPO: asesora de forma independiente sobre el cumplimiento de la normativa de protección de datos.
INCIBE describe con detalle cómo se reparten estas responsabilidades y a quién corresponde cada decisión en su análisis de los roles de ciberseguridad en la empresa.
Qué hace un CISO en la práctica
Las funciones del CISO se agrupan en tres bloques que conviven en su agenda semanal. Ninguno de los tres es opcional.
Definir la estrategia y el apetito de riesgo
El CISO elabora el plan director de seguridad y lo somete a aprobación de la dirección. Ese documento fija prioridades, inversiones y plazos a dos o tres años.
Antes de eso hay un trabajo previo poco visible: inventariar los activos críticos, levantar un mapa de riesgos y proponer el apetito de riesgo que la compañía está dispuesta a aceptar.
Ahí está la diferencia con un perfil técnico. El CISO no busca eliminar todo el riesgo, sino situarlo en un umbral que el negocio pueda sostener con la inversión disponible.
Gobernar el cumplimiento normativo
El segundo bloque es normativo. El CISO define las políticas de seguridad, suscribe la declaración de aplicabilidad de medidas y mantiene la trazabilidad documental que exige cualquier auditoría.
Es también quien sostiene el SGSI cuando la organización decide certificarse. La certificación ISO/IEC 27001 de seguridad de la información sitúa a España entre los primeros países europeos por número de centros certificados, y España acumula ya varios miles.
Sin un responsable identificado, la certificación es inalcanzable: la norma parte de que existe alguien con autoridad y rendición de cuentas sobre el sistema de gestión.
Supervisar la operación y reportar
El tercer bloque es de supervisión, no de ejecución. El CISO revisa que las medidas aprobadas se aplican, que los incidentes se gestionan y se notifican, y que las vulnerabilidades relevantes se cierran en plazo.
Todo eso desemboca en un cuadro de mando de riesgos dirigido al consejo. La calidad de ese reporte determina el presupuesto del año siguiente mucho más que cualquier argumento técnico.
Qué exige la normativa española al responsable de seguridad de la información
En España la figura dejó de ser una recomendación de buenas prácticas para convertirse en una obligación legal en determinados sectores. El Real Decreto 43/2021 obliga a los operadores de servicios esenciales a designar un responsable de la seguridad de la información.
La norma va más allá del nombramiento. Establece que actúa como punto de contacto con la autoridad competente y con el CSIRT de referencia, y detalla sus funciones sobre políticas, medidas técnicas y notificación de incidentes.
El cargo puede recaer en una persona, en una unidad o en un órgano colegiado, siempre que se designe un representante y un sustituto. Esa flexibilidad es la que abre la puerta a los modelos externalizados. INCIBE mantiene resueltas las dudas más frecuentes de aplicación en sus preguntas frecuentes sobre el Real Decreto 43/2021.
Cuándo una empresa mediana necesita esta figura
No hay un umbral de plantilla que lo determine. Hay señales, y suelen aparecer varias a la vez:
- Un cliente o una licitación exige acreditar gobierno de seguridad o certificación.
- La empresa entra en el ámbito de NIS2, del ENS o de un esquema sectorial equivalente.
- El área de IT decide sobre riesgos que en realidad pertenecen al negocio.
- Existe un plan de inversión en seguridad sin criterio de priorización documentado.
- La dirección no sabe responder cuál es su exposición real ni qué pasaría en las primeras 24 horas de un incidente.
Cuando se cumplen tres o más, el problema ya no es tecnológico. Es de gobierno, y ninguna herramienta lo resuelve.
Para una empresa mediana, el debate rara vez es si necesita un CISO. Es en qué formato puede sostenerlo sin abrir una posición directiva a tiempo completo.
Ese es el terreno del modelo externalizado, donde el servicio de CISO as a Service de planCiber aporta la dedicación directiva y la tercera línea de defensa sin el coste de una incorporación en plantilla. Analizamos las implicaciones de cada opción en nuestra comparativa entre CISO interno y CISO externo.
Qué ocurre cuando nadie ejerce el rol
La ausencia de CISO no produce una alarma. Produce silencio, y el silencio se confunde con normalidad hasta el día del incidente.
Los síntomas son reconocibles: inversiones en seguridad sin retorno medible, riesgos que nunca llegan al comité de dirección, y un cumplimiento normativo que se improvisa cuando llega el requerimiento del cliente o del regulador.
En la firma planCiber vemos el mismo patrón con frecuencia: empresas con buena tecnología y ninguna decisión documentada sobre qué riesgo estaban asumiendo. Hemos desarrollado los motivos en detalle al explicar por qué contar con un CISO es tan importante.
La pregunta útil para un comité de dirección no es cuánto cuesta un CISO. Es cuánto cuesta cada mes que nadie responda de la seguridad de la información.
Solicita una evaluación inicial de tu postura de ciberseguridad sin compromiso y te devolvemos un diagnóstico claro de dónde está hoy el gobierno de seguridad de tu empresa y qué falta para cerrarlo.
Preguntas Frecuentes sobre la figura del CISO
Qué es exactamente un CISO y de qué responde en una empresa
El CISO es el director de seguridad de la información: la figura que responde ante la dirección de la estrategia de protección de los activos de información de la compañía. Su responsabilidad abarca definir las políticas de seguridad, mantener el mapa de riesgos, proponer el nivel de riesgo aceptable, supervisar que las medidas aprobadas se aplican y reportar la exposición real al órgano de gobierno. No responde de operar la tecnología, sino de que las decisiones sobre riesgo se tomen con criterio, se documenten y se revisen.
Qué señales indican que una empresa necesita un CISO
Las señales más claras son cinco: un cliente o una licitación que exige acreditar gobierno de seguridad, la entrada de la empresa en el ámbito de NIS2, del ENS o de un esquema sectorial equivalente, decisiones sobre riesgos de negocio que se están tomando dentro del área de IT, inversión en seguridad sin criterio documentado de priorización, y una dirección que no puede responder cuál es su exposición real. Cuando concurren tres o más, el problema ya es de gobierno y no de tecnología.
Qué diferencia hay entre un CISO, un CSO y un DPO
El CISO responde de la seguridad de la información y de la estrategia frente a las ciberamenazas. El CSO asume la seguridad corporativa en sentido amplio, incluida la física, con una visión orientada al negocio. El DPO es un asesor independiente en materia de protección de datos personales, con funciones definidas por la normativa de privacidad. En empresas medianas los tres roles suelen concentrarse en una misma persona, lo que genera conflictos de prioridad y zonas grises de responsabilidad que conviene delimitar por escrito.
Qué reporta el CISO al consejo de administración
El CISO reporta un cuadro de mando de riesgos, no un informe técnico. Incluye la evolución de la exposición de la compañía, el estado de los riesgos críticos y su tratamiento, los incidentes relevantes del periodo con su impacto de negocio, el grado de avance del plan director de seguridad y el estado del cumplimiento normativo aplicable. El objetivo es que el consejo pueda decidir sobre inversión y aceptación de riesgo con información comparable de un trimestre a otro.
Cómo se integra un CISO con el equipo de IT existente
La integración funciona cuando los ámbitos quedan separados desde el inicio: IT diseña y opera, el CISO define requisitos, evalúa y supervisa. En la práctica se materializa en un comité de seguridad periódico, un procedimiento acordado de gestión de vulnerabilidades e incidentes, y criterios de seguridad incorporados a los proyectos antes de su aprobación. El CISO no asume tareas operativas del equipo de IT ni le reporta jerárquicamente, porque eso anularía su función de supervisión independiente.
