PrácticaPractice · Ciberseguridad y ciberresilienciaCybersecurity and cyber-resilience
La seguridad es una obligación del órgano de administración.Security is a duty of the management body.
La seguridad ha dejado de ser una cuestión exclusivamente técnica: es una obligación jurídica. El trabajo tiene dos tiempos: preparar a la organización antes de que ocurra, y dirigir jurídicamente la respuesta cuando ocurre.Security has ceased to be an exclusively technical matter: it is a legal duty. The work has two tempos: preparing the organisation before it happens, and legally directing the response when it does.
Antes de que ocurra.Before it happens.
El gobierno de la seguridad: obligaciones traducidas a deberes concretos, y contratos que reparten la responsabilidad antes del incidente.Security governance: obligations translated into concrete duties, and contracts that allocate responsibility before the incident.
Aplicabilidad y gobernanzaApplicability and governance
Determinación de la aplicabilidad de NIS2, marco de gestión de riesgos y traducción de las obligaciones técnicas a deberes concretos del consejo: aprobación, supervisión y formación.Determining NIS2 applicability, the risk-management framework and the translation of technical obligations into concrete board duties: approval, oversight and training.
Preparación de la notificaciónNotification readiness
Preparación del proceso de notificación de incidentes: alerta temprana, notificación a la autoridad y comunicación a afectados, en los plazos que exige cada norma.Preparing the incident-notification process: early warning, notification to the authority and communication to affected parties, within the deadlines each rule demands.
Contratación de servicios de seguridadSecurity services contracting
Contratos con proveedores de seguridad (SOC, pentesting, respuesta a incidentes): niveles de servicio, responsabilidad y confidencialidad.Contracts with security providers (SOC, pentesting, incident response): service levels, liability and confidentiality.
Cuando ocurre.When it happens.
Dirección jurídica de la respuesta a una brecha, junto al equipo técnico y de negocio.Legal direction of the response to a breach, alongside the technical and business teams.
Alerta tempranaEarly warning
La primera comunicación, en el plazo que exige cada norma.The first communication, within the deadline each rule demands.
Notificación a la autoridadNotification to the authority
Obligaciones de notificación del incidente y de la brecha.Incident and breach notification duties.
Comunicación a afectadosCommunication to affected parties
Cuándo procede y en qué términos.When it applies and on what terms.
Gestión de la pruebaEvidence management
Preservación de la prueba del incidente y de la respuesta.Preserving the evidence of the incident and the response.
Proveedores afectadosAffected vendors
Relación con los proveedores implicados en el incidente.Dealings with the vendors involved in the incident.
Defensa posteriorSubsequent defence
La posición jurídica de la empresa después del incidente.The company's legal position after the incident.
Formación en gestión de cibercrisis (CCN-CERT).Trained in cyber-crisis management (CCN-CERT).
Cuando la brecha afecta a datos personales, la respuesta se coordina con las obligaciones de protección de datos; cuando el incidente toca un sistema de IA, con su marco de gobierno.Where the breach affects personal data, the response is coordinated with data-protection duties; where the incident touches an AI system, with its governance framework.