Un CISO externo para cumplir NIS2: qué resuelve el art. 20

Publicado el 11 de agosto de 2026

Miguel Penadés

Consultor de ciberseguridad y cumplimiento

Revisado por el autor el 11 de agosto de 2026

¿Un CISO externo (vCISO) sirve para cumplir NIS2?

Sí para la ejecución; no para la responsabilidad. El art. 20 de NIS2 obliga a tu órgano de dirección a aprobar (art. 20.1) las medidas de ciberseguridad, supervisarlas (art. 20.1), formarse (art. 20.2) y responder por el incumplimiento: eso es indelegable. Un CISO externo —el vCISO— prepara, traduce y sostiene ese ciclo, pero quien firma el contrato sigue respondiendo.

Dicho de otro modo: puedes contratar a alguien de fuera para que haga el trabajo, no para que la responsabilidad deje de ser tuya. Esa distinción es toda la clave, y es donde más gente se equivoca al comprar.

Qué te pide realmente NIS2 (y por qué no menciona la palabra “CISO”)

Antes de contratar a nadie, conviene saber qué exige la norma. Y aquí hay una sorpresa: la palabra «CISO» no aparece ni una sola vez en el texto de la Directiva (UE) 2022/2555. NIS2 no te obliga a tener un cargo con ese nombre; te obliga a resultados:

• Gobernanza (art. 20). Tu dirección aprueba las medidas, vigila que se apliquen y se forma para poder detectar riesgos y evaluar las prácticas de gestión de riesgos (art. 20.2).
• Medidas técnicas y organizativas (art. 21). La lista de medidas adecuadas y proporcionadas que hay que tener.
• Notificación de incidentes (art. 23). Los avisos a la autoridad, en plazos muy cortos, cuando algo pasa.

Alguien tiene que operar todo eso, pero la Directiva no dice quién ni cómo. Las medidas que hay que gobernar son el «qué»; el «quién» lo decides tú.

¿Y en España? Hoy, el responsable de la seguridad ya existe para los operadores de servicios esenciales: el Real Decreto 43/2021 obliga a designarlo (art. 7) y —ojo— admite expresamente que se apoye en terceros. Lo que la futura ley española de transposición de NIS2 añada es otra historia:

Qué externaliza (y qué no) un CISO externo bajo NIS2

Aquí está la línea roja que te ahorra un disgusto. Si un proveedor te dice «nosotros asumimos tu responsabilidad NIS2», te está engañando. No es opinión: contradice el texto literal de la norma. Vamos por partes.

1. La responsabilidad es de tu dirección por diseño. El art. 20.1 usa tres verbos cuyo sujeto es el órgano de dirección: aprobar, supervisar y responder por el incumplimiento. El considerando 137 confirma que es intencional —el legislador buscaba «un nivel elevado de responsabilidad» en la cúpula—. Ningún contrato de servicios cambia el sujeto de esos verbos.

2. Esa responsabilidad es, además, personal. El art. 32.6 permite exigir responsabilidad a las personas físicas que dirigen o representan la entidad «por el incumplimiento de su deber de garantizar el cumplimiento» de la Directiva. Y el art. 33.5 lo extiende, mutatis mutandis, a las entidades importantes, no solo a las esenciales. Una única medida —la prohibición temporal de ejercer funciones directivas (art. 32.5.b)— queda reservada a las esenciales como último recurso, y ni siquiera se aplica a la Administración pública. Traducido: quien firma el contrato con el vCISO es quien responde ante la autoridad. Es la responsabilidad personal del art. 32.6 lo que está en juego, y no se subcontrata.

3. Lo que sí puedes externalizar es la función. El propio RD 43/2021 lo dice con todas las letras: el responsable puede apoyarse en servicios prestados por terceros (art. 7.3). Y el art. 20.2 crea trabajo hecho a medida del vCISO: preparar e impartir la formación del órgano de dirección.

El reparto correcto, entonces, es este: tu dirección aprueba, supervisa, se forma y responde (indelegable); el vCISO prepara lo que se aprueba, monta el ciclo de supervisión, imparte la formación y deja evidencia de todo. Lo único que un proveedor puede asumir contractualmente es su propia responsabilidad profesional frente a ti (su seguro de RC), nunca la tuya frente a la autoridad.

Un apunte para el contrato: el RD 43/2021 (art. 7.4) ya marca qué exigirle a ese tercero —conocimiento técnico y jurídico, recursos suficientes, comunicación real con tu alta dirección e independencia respecto de quien opera tus sistemas—. Es una buena plantilla para no contratar humo.

¿Quieres saber si esto aplica a tu empresa? Pide una evaluación de aplicabilidad gratuita.

Qué hace el CISO externo ante una inspección NIS2

Aquí es donde el vCISO se paga solo. Y conviene saber que NIS2 trata distinto a las entidades esenciales y a las importantes.

Cuando llega la autoridad, el art. 32.2 le permite pedirte cosas muy concretas: tus políticas de ciberseguridad documentadas (letra e), acceso a datos y documentos (letra f) y, sobre todo, pruebas de que aplicas esas políticas, como los resultados de auditorías y sus pruebas subyacentes (letra g). No basta con decir que cumples: hay que enseñarlo. Eso sí, la autoridad debe indicar la finalidad de cada solicitud y qué información pide exactamente (art. 32.3).

La diferencia esencial/importante cambia el «para qué» del vCISO:

• Si eres entidad esencial, la supervisión es ex ante: la autoridad puede inspeccionarte y someterte a auditorías periódicas aunque no haya pasado nada (art. 32.2), y la auditoría específica que ordene la pagas tú (art. 32.2 in fine). El vCISO prepara ese escenario antes de que llame nadie.
• Si eres entidad importante, la supervisión es a posteriori: la autoridad solo actúa cuando dispone de pruebas, indicios o información de un posible incumplimiento (arts. 33.1 y 33.2), normalmente tras un incidente o una denuncia.

En ambos casos la moraleja es la misma, y es el verdadero valor del servicio: la evidencia tiene que existir antes de que te la pidan. Un expediente montado a la carrera, con la inspección ya abierta, no cuela.

Cuánto cuesta y cómo no equivocarte al contratar

Un vCISO suele costar bastante menos que fichar a un CISO en plantilla —de forma orientativa, en torno al 30-60 % del salario de un CISO interno, con entradas de servicio desde alrededor de 1.500 €/mes, por debajo de ese rango—, precisamente porque compartes un perfil senior en lugar de pagarlo entero. Tienes el desglose en coste del servicio.

Pero el ahorro no es el titular. El titular es el reparto: contrata a quien te prepare, te forme y te deje la evidencia lista, y desconfía de quien te prometa cargar con tu responsabilidad. Esa promesa no la puede cumplir nadie, porque la ley no se lo permite.

Tu siguiente paso

Coge tu última acta de dirección y busca una sola cosa: ¿hay constancia de que el órgano de dirección aprobó las medidas de ciberseguridad y recibió formación? Si no la hay, ese es el primer entregable de cualquier CISO externo que contrates. Y, hoy por hoy, tu mayor exposición bajo el art. 20.

El contenido de esta página tiene carácter exclusivamente informativo y no constituye asesoramiento jurídico. La situación normativa descrita corresponde a la fecha de última actualización indicada; conviene verificar siempre el estado vigente de la legislación en las fuentes oficiales (BOE, EUR-Lex, CCN, INCIBE). Situación normativa a fecha de 12 de julio de 2026.