## [El deber de diligencia digital: la responsabilidad personal de los consejos y sus miembros vinculada a los riesgos tecnológicos](/es_ES/noticia/deber-diligencia-digital-responsabilidad-personal-consejos-miembros-vinculada-riesgos) # El deber de diligencia digital: la responsabilidad personal de los consejos y sus miembros vinculada a los riesgos tecnológicos 03 / 11 / 2026 - - [](https://www.linkedin.com/sharing/share-offsite/?url=https://www.garrigues.com/es_ES/noticia/deber-diligencia-digital-responsabilidad-personal-consejos-miembros-vinculada-riesgos) - []() - []() [Ver artículo en la newsletter ![Descargar](/sites/default/files/inline-images/flecha-abajo.png)](/sites/default/files/noticias/files/newsletter-economia-del-dato-octubre-2026.pdf) Previous Next ![](/sites/default/files/noticias/img/imagen1.jpg) **La ciberseguridad ha dejado de ser una cuestión exclusivamente técnica para convertirse en una responsabilidad esencial de gobierno corporativo. La convergencia de la normativa europea en materia de ciberseguridad, resiliencia digital e inteligencia artificial está configurando un nuevo deber de diligencia para los administradores, que exige una implicación directa y continuada en la gestión de los riesgos tecnológicos y puede tener consecuencias sobre su responsabilidad personal.** Hasta hace muy poco, la ciberseguridad formaba parte del ámbito de responsabilidad funcional del director de sistemas de información o del responsable de seguridad informática. Los consejos de administración solo la trataban, cuando lo hacían, tras un incidente relevante y para gestionar sus consecuencias económicas o reputacionales. Era una cuestión técnica, ajena al gobierno corporativo, que no figuraba de forma estable en su agenda ni generaba una preocupación personal entre los administradores. Hoy, esa delegación despreocupada se ha convertido en un riesgo jurídico para cada consejero. En la Unión Europea existe ya un conjunto denso de normas relevantes -NIS 2, DORA, el Reglamento de Ciberresiliencia, el RGPD y el Reglamento de Inteligencia Artificial-. Este artículo no pretende analizar exhaustivamente ninguna de ellas, sino plantear una tesis de especial importancia para la alta dirección: su convergencia está generando, de facto, un nuevo estándar de diligencia exigible a administradores y altos directivos en materia de ciberseguridad y riesgo tecnológico. Lo denominaremos deber de diligencia digital. ## La convergencia regulatoria: una malla de obligaciones dirigidas al órgano de administración El legislador europeo ha adoptado en pocos años normas con objetos y ámbitos distintos, pero con un rasgo común: imponen obligaciones directas -y no meramente delegables- al máximo órgano de gobierno de las organizaciones afectadas. No es una coincidencia, sino una decisión de política legislativa. Estas son las piezas principales de esa malla regulatoria. **Directiva NIS 2** La Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022 relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión es probablemente la norma más explícita al atribuir responsabilidades directas a los órganos de dirección. Su artículo 20 exige que aprueben las medidas de gestión de riesgos de ciberseguridad, supervisen su aplicación y puedan ser considerados responsables de las infracciones cometidas por la entidad. También exige que sus miembros reciban formación específica en ciberseguridad y fomenta una formación periódica para los empleados. En España, el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad transpone esta directiva mediante la creación del Centro Nacional de Ciberseguridad y el establecimiento del marco institucional y de obligaciones que hará operativas las exigencias de NIS 2. **Reglamento DORA** El Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022 sobre la resiliencia operativa digital del sector financiero, aplicable desde el 17 de enero de 2025, sigue la misma lógica con mayor detalle. Su artículo 5 atribuye al órgano de dirección la responsabilidad última de definir y aprobar la estrategia de resiliencia operativa digital, fijar las funciones y responsabilidades en materia de TIC, determinar la tolerancia al riesgo tecnológico, y aprobar, supervisar y revisar la continuidad del negocio y los planes de recuperación. Las directrices de la EBA adaptadas a DORA refuerzan la implicación del órgano de administración. Además, la obligación de mantener información actualizada sobre los proveedores TIC convierte la supervisión de la cadena de suministro digital en una función de gobernanza. **Reglamento de Inteligencia Artificial** El Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial resulta especialmente relevante por sus exigencias de gestión de riesgos y ciberseguridad. El artículo 9 exige a los proveedores de sistemas de alto riesgo un sistema de gestión continuo e iterativo durante todo el ciclo de vida. El artículo 15 establece que esos sistemas deben ser resilientes frente a intentos de manipulación no autorizados. Para los modelos de IA de uso general con riesgo sistémico se imponen obligaciones reforzadas, incluida la protección frente a ciberamenazas. **Reglamento de Ciberresiliencia** El Reglamento (UE) 2024/2847 del Parlamento Europeo y del Consejo, de 23 de octubre de 2024, relativo a los requisitos horizontales de ciberseguridad para los productos con elementos digitales cierra la malla desde la perspectiva del producto. Impone obligaciones para los productos con elementos digitales durante todo su ciclo de vida: seguridad desde el diseño y por defecto, gestión activa de vulnerabilidades y notificación de incidentes. Su ámbito alcanza a cualquier empresa que fabrique o comercialice productos conectados, por lo que afecta a un espectro muy amplio de la industria europea. La lectura conjunta de estas normas -y de otras conexas, como el RGPD- conduce a una conclusión inequívoca: la ciberseguridad no puede seguir siendo un asunto meramente delegado. Es una responsabilidad de gobierno corporativo, y quien gobierna responde. ## El deber de diligencia digital: un nuevo estándar fiduciario La acumulación de obligaciones no es una mera superposición de normas sectoriales. En su conjunto, estas disposiciones están cristalizando en un deber de diligencia digital: un estándar fiduciario exigible a los administradores en materia de ciberseguridad, resiliencia digital y gestión del riesgo tecnológico. Es la consecuencia lógica de la convergencia normativa descrita. El deber general de diligencia de los administradores ha experimentado una progresiva concreción sectorial. Así ocurrió con el *compliance* penal: la responsabilidad de las personas jurídicas obligó a los consejos a implicarse en la prevención de riesgos, aprobar modelos de organización y gestión, establecer órganos de supervisión y dotar de recursos a la función de cumplimiento. Un proceso semejante se produjo en la prevención del blanqueo de capitales, hasta convertir la supervisión del sistema de prevención en un deber personal de los órganos de administración. La ciberseguridad recorre el mismo camino, pero con una particularidad: la velocidad. El tránsito desde obligaciones genéricas de seguridad, como las del RGPD, hasta un marco detallado de responsabilidades directas se ha producido en apenas unos años. Las empresas y sus consejeros disponen de un margen de adaptación mucho más estrecho. Este deber presenta cuatro características que lo diferencian de otros estándares de diligencia: a) Es **continuo**, no puntual. La naturaleza dinámica de las amenazas exige vigilancia permanente. No basta con aprobar una política y archivarla: el consejo debe verificar su adecuación a un entorno de amenazas que cambia por definición y mantenerse informado sobre los riesgos TIC. b) Es **transversal**. La ciberseguridad afecta a toda la organización: cadena de suministro, datos de clientes, sistemas productivos y propiedad intelectual. El órgano de administración necesita una visión integrada, no fragmentada por departamentos o líneas de negocio. c) Es **técnicamente exigente**. NIS 2 exige formación específica a los miembros del órgano de dirección. No se puede supervisar eficazmente lo que no se comprende, y la complejidad técnica no puede justificar la pasividad del consejo. La ignorancia tecnológica deja de ser una defensa razonable. d) Es **personalmente irrenunciable**. El consejero puede y debe apoyarse en expertos internos y externos, pero la responsabilidad de supervisión no se transfiere. NIS 2 y DORA atribuyen la responsabilidad al órgano de dirección y prevén consecuencias personales, incluida, en determinados casos, la inhabilitación temporal de quienes desempeñen funciones directivas. La convergencia de estas notas configura un estándar que va más allá de la diligencia genérica del ordenado empresario. A medida que la jurisprudencia y la práctica regulatoria le doten de contenido, se consolidará como un parámetro autónomo para enjuiciar la conducta de los administradores. ## La inteligencia artificial como factor multiplicador del riesgo de ciberseguridad para el consejo Si el panorama regulatorio ya impone exigencias significativas, la inteligencia artificial actúa como un factor multiplicador del riesgo y, por tanto, de la responsabilidad en materia de ciberseguridad. La IA tiene una naturaleza dual. Es una herramienta poderosa para la defensa -detección de amenazas, análisis de anomalías, automatización de respuestas e identificación predictiva de vulnerabilidades-, pero también un vector de ataque sofisticado: envenenamiento de datos, ataques adversarios, *deepfakes* para ingeniería social, generación automatizada de código malicioso o instrucciones ocultas en documentos de trabajo. El Reglamento de IA aborda esta dualidad. Los sistemas de alto riesgo deben alcanzar un nivel adecuado de ciberseguridad y ser resilientes frente a manipulaciones no autorizadas. Su sistema de gestión de riesgos debe identificar los riesgos conocidos y razonablemente previsibles, incluidos los cibernéticos, durante todo el ciclo de vida. Para los modelos de uso general con riesgo sistémico las obligaciones son aún más intensas. La relevancia para los consejos reside en la convergencia de estas obligaciones con las de NIS 2, DORA, el CRA y el RGPD. Una empresa que despliegue IA debe supervisar simultáneamente las exigencias aplicables al sistema, a los datos, a la infraestructura TIC y, en su caso, al producto conectado. Todas esas normas pueden converger sobre un mismo activo tecnológico. Se crea así una zona de responsabilidad reforzada: la adopción de IA multiplica las obligaciones de ciberseguridad y eleva el estándar de diligencia del órgano de administración. Implementar IA no es solo una decisión de negocio o innovación; tiene implicaciones directas en la responsabilidad personal de los administradores. Además, la evolución de la IA supera la actualización normativa. El legislador ha optado por principios y gestión de riesgos, en lugar de prescripciones técnicas rápidamente obsoletas. Esa flexibilidad traslada al consejo una responsabilidad interpretativa: determinar qué nivel de ciberseguridad es adecuado para un sistema de IA en cada momento. ## Consecuencias prácticas para los órganos de administración El marco descrito tiene consecuencias inmediatas para la organización de los consejos. Sin pretensión de exhaustividad, pueden destacarse las siguientes: - En primer lugar, la ciberseguridad debe ser un punto recurrente del orden del día. El consejo debe recibir información estructurada sobre el estado de la seguridad, los incidentes, las vulnerabilidades, las amenazas emergentes y el grado de cumplimiento normativo, con una frecuencia proporcional al perfil de riesgo de la entidad. - En segundo lugar, la formación de los consejeros no es opcional. Deben adquirir y mantener conocimientos suficientes para comprender los riesgos de su organización y evaluar críticamente las medidas adoptadas. No se trata de convertirlos en expertos técnicos, sino de proporcionarles una interlocución informada que les permita supervisar efectivamente. - En tercer lugar, deben revisarse las pólizas de responsabilidad de administradores y directivos. Es necesario comprobar que cubren adecuadamente los escenarios derivados de incidentes de ciberseguridad y que la cobertura es coherente con las sanciones y responsabilidades personales previstas por NIS 2. Una cobertura inadecuada puede revelar, además, un déficit de diligencia. - En cuarto lugar, las organizaciones de cierta dimensión deberán crear o reforzar comités especializados de riesgo tecnológico. Estas estructuras permiten al consejo cumplir sus obligaciones con la profundidad técnica necesaria, sin diluir su responsabilidad final. - En quinto lugar, la cadena de suministro digital adquiere una dimensión de gobernanza. DORA y el CRA exigen visibilidad sobre los riesgos derivados de la dependencia tecnológica respecto de terceros. Externalizar servicios TIC no externaliza la responsabilidad. - Finalmente, toda decisión de adopción de IA debe incorporar una evaluación específica de ciberseguridad, tanto desde el cumplimiento normativo como desde el riesgo operativo que el sistema introduce en la organización. ## Reflexiones finales Estamos ante un cambio de paradigma: la ciberseguridad ha dejado de ser un gasto técnico para convertirse en un deber fiduciario. La regulación europea ha trazado un camino hacia la responsabilización personal de los órganos de gobierno en materia de ciberseguridad y resiliencia digital. El deber de diligencia digital no es una posibilidad teórica. Es el resultado de la lectura conjunta de NIS 2, DORA, el Reglamento de IA, el RGPD y el CRA. Cualquier consejero de una empresa sujeta a estas normas debe saber que su responsabilidad personal está normativamente definida, es supervisada por reguladores con potestades sancionadoras y puede ser exigida judicialmente. La pregunta ya no es si un consejero debe ocuparse de la ciberseguridad. La pregunta es cuánto riesgo personal está dispuesto a asumir si no lo hace. La evolución recuerda a la transformación de los factores ESG: de cuestión marginal y voluntaria a pilar de la gobernanza corporativa. La ciberseguridad y la resiliencia digital recorren un camino similar, pero a mayor velocidad y con consecuencias más inmediatas y personales: sanciones directas, responsabilidad de los administradores e incluso inhabilitación temporal en los casos más graves. La sofisticación creciente de las pólizas de ciberriesgo y de D&O, con coberturas y exclusiones específicas, confirma que no estamos ante una cuestión académica, sino ante una realidad de mercado que los consejos deben integrar en su estrategia y evaluación de riesgos. En definitiva, la ciberseguridad ha entrado en la sala de consejo para quedarse. Los consejos que comprendan esta realidad no solo cumplirán la ley: protegerán a sus organizaciones, accionistas y a sí mismos. La delegación despreocupada en el departamento de IT ha dejado de ser una opción jurídicamente sostenible. [Protección de datos](/es_ES/tags/proteccion-datos), [España](/es_ES/tags/espana), [Europa](/es_ES/tags/europa), [Inteligencia Artificial](/es_ES/tags/inteligencia-artificial) --- Esta publicación tiene carácter meramente informativo y no constituye asesoramiento jurídico, ni de ningún otro tipo. Tampoco pretende ofrecer un resumen exhaustivo de las normas y novedades a las que se refiere ni recoger todo lo publicado, sino únicamente ofrecer una selección, por lo que se recomienda consultar los textos oficiales y obtener asesoramiento profesional específico. Garrigues no asume responsabilidad alguna por el uso de esta información, ni la obligación de actualizarla tras su publicación. --- ### Profesional de contacto ![](/sites/default/files/styles/medium/public/team/photo/Alejandro_Padin_Vidal_en_20260611.jpg?itok=cRBPFuyi) [Alejandro Padín](/es_ES/equipo/alejandro-padin-vidal) ![](/themes/custom/garriguestheme/img/iconos/email-contacto.svg)[Contactar]() - +34 91 514 52 00 [Madrid](https://www.garrigues.com/es_ES/oficina/madrid) [Consultar más profesionales](../equipo) ### Servicios relacionados - [Economía del Dato, Privacidad y Ciberseguridad ](/es_ES/servicios/economia-dato-privacidad-ciberseguridad) - ## Buscar publicación Selecciona servicio Administrativo y Constitucional Agribusiness y Alimentación Automoción Bancario y Financiero Deportes Derecho Europeo y de la Competencia Economía del Dato, Privacidad y Ciberseguridad Empresa Familiar Energía Farmacia, Biotecnología y Ciencias de la Salud G-advisory Gobierno Corporativo y Desarrollo Sostenible Human Capital Services Infraestructuras Inmobiliario Laboral Medios y Entretenimiento Mercado de Valores Mercantil y Fusiones y Adquisiciones Moda Penal e Investigaciones Internas Private Equity Propiedad Industrial e Intelectual Reestructuraciones e Insolvencias Regulatorio Financiero Resolución de Conflictos: Litigación y Arbitraje Seguros Sostenibilidad Startups & Open Innovation Tecnología, Comunicaciones y Digital Transporte, Logística y Marítimo Tributario Turismo y Hoteles Urbanismo y Medioambiente Facet Services detail Facet Services detail Tipo de publicación Publicaciones Newsletters Facet Publication type detail Facet Publication type detail Min Max ## Buscador de noticias