Organigrama de Seguridad: Cómo definir los roles obligatorios del ENS sin paralizar tu plantilla
Cuando una empresa lee por primera vez el Real Decreto del Esquema Nacional de Seguridad, suele entrar en pánico. La normativa exige nombrar múltiples «Responsables» y constituir un Comité. La reacción inmediata del equipo directivo es: «Somos una PYME, no podemos contratar a cuatro directivos nuevos solo para mantener la seguridad».
En NetDriver, nuestra primera tarea es darte tranquilidad. Para superar una auditoría y obtener tu Certificación ENS, no necesitas multiplicar tu plantilla; necesitas organizar la que ya tienes de forma inteligente. Te explicamos cómo estructuramos tu organigrama de ciberseguridad para cumplir la ley de forma ágil y 100% auditable.
El principio de «Diferenciación de Responsabilidades» (Lo que busca el auditor)
El artículo 11 del ENS exige formalmente la diferenciación de responsabilidades. ¿Por qué? Para evitar el conflicto de intereses. El espíritu de la norma es simple: la persona que opera e instala los sistemas informáticos no puede ser la misma persona que audita y supervisa si esos sistemas son seguros. Es el clásico principio de «no ser juez y parte».
Los 4 Roles Obligatorios explicados de forma práctica
Para establecer un marco de gobernanza sólido, te ayudamos a nombrar oficialmente las siguientes figuras dentro de tu organización:
- Responsable de la Información: Es quien tiene la potestad sobre los datos. Define qué nivel de seguridad requiere la información que maneja la empresa basándose en su valor estratégico. (Suele ser Dirección General o Dirección de Operaciones).
- Responsable del Servicio: Es quien establece los requisitos operativos y de seguridad del servicio que prestáis a vuestros clientes o a la Administración Pública.
- Responsable de la Seguridad: La figura crítica. Es quien toma las decisiones para proteger el sistema, analiza los informes de auditoría y reporta las medidas correctoras. Aviso legal importante: Este rol debe ser obligatoriamente distinto e independiente del Responsable del Sistema.
- Responsable del Sistema: Es el «operador». Se encarga de la gestión y mantenimiento diario de la infraestructura tecnológica (sistemas, red, hardware), pero no tiene potestad para supervisar la seguridad del propio sistema. (Suele ser el responsable de IT o Sistemas).
El Comité de Seguridad de la Información: Tu centro de mando
Además de las figuras individuales, la normativa exige, en la mayoría de los casos, la creación de un Comité de Seguridad de la Información. Este comité se responsabiliza de alinear todas las actividades de la organización en materia de seguridad.
Desde NetDriver, te redactamos el acta de constitución de este Comité, definimos sus normas de reunión y preparamos las actas periódicas para que los auditores comprueben que la seguridad es una preocupación viva y constante en la dirección de la empresa.
La Solución NetDriver: Cumplir sin duplicar costes
Entendemos la realidad empresarial. La normativa permite flexibilidades dependiendo del tamaño de tu organización. Nuestra labor de consultoría consiste en fusionar roles permitidos para simplificar tu estructura:
- Unificación estratégica: Es común y perfectamente auditable que una misma persona asuma simultáneamente el rol de Responsable de la Información y Responsable del Servicio.
- Integración con Privacidad (DPD/DPO): El único rol sin cuestionar que permite la doble función es el del Delegado de Protección de Datos (DPD). Te ayudamos a integrar sus funciones con las exigencias del ENS.
- Alineación normativa total: Si tu organización también está trabajando en la adecuación a la Directiva europea NIS2 o mantiene un Sistema de Gestión basado en la norma ISO 27001, aprovechamos este mismo organigrama. Diseñamos un único Comité de Seguridad válido para todas las normativas y certificaciones, eliminando la burocracia duplicada.
¿No sabes cómo asignar estos roles en tu empresa actual?
Un error en la asignación de responsabilidades es motivo directo de No Conformidad en una auditoría oficial. Deja que nuestro equipo analice tu estructura actual y te proponga el organigrama más eficiente y legal.
Preguntas Frecuentes sobre el Organigrama de Seguridad ENS
No, el esquema permite cierta flexibilidad. Cada entidad debe establecer y aprobar su propia Organización de Seguridad de acuerdo con su naturaleza, estructura, dimensión y recursos. El ENS marca unas pautas claras de incompatibilidad, concretamente que el responsable de seguridad no puede ser también el responsable del sistema ni el responsable del servicio. El rol de responsable de seguridad debe ser distinto, pero otros roles pueden recaer en la misma persona si el tamaño de la entidad lo requiere.
Sí, la figura del DPD es altamente compatible. De hecho, a nivel normativo, el único rol sin cuestionar que se puede ser doble es DPO junto con otro cargo. Además, el Responsable de la Seguridad recogerá los requisitos de protección de datos contando con el asesoramiento del DPD para implementar las medidas necesarias en los sistemas
La normativa permite adaptar la estructura. En NetDriver te ayudamos a definir y nombrar formalmente los roles obligatorios, y te guiamos en la creación y levantamiento de actas de tu Comité de Seguridad ajustándonos a los recursos disponibles de tu organización, asegurando que cumples con el principio de diferenciación de responsabilidades exigido
El Responsable del Sistema es el encargado de la operación de la infraestructura y de aplicar las medidas de seguridad correspondientes, pero es importante recalcar que no puede supervisar el sistema. Reportará al Responsable de la Seguridad sobre las actuaciones en materia de seguridad y entregará un resumen de los incidentes
Se puede utilizar una estructura unificada. Un Comité de Seguridad Corporativa se responsabiliza de alinear todas las actividades de la organización, incluyendo el cumplimiento normativo (Compliance). Para la Directiva NIS2, se deben tener en cuenta las obligaciones de comunicación de incidentes significativos al CSIRT de referencia en los plazos establecidos, funciones que pueden recaer en los responsables designados en el organigrama unificado.
