Formación en Ciberseguridad para Empleados y NIS2: Qué Exige el Artículo 20
Buena parte de los incidentes empieza con un error o un engaño a una persona, y por eso la formación es una de las medidas de menor coste y mayor efecto. Lo que hay que ajustar es cómo se presenta: no se trata de una obligación de “toda la plantilla” con horas y calendario definidos por la Directiva.
Estado legal (20/09/2026): NIS2 es una Directiva y España aún no ha publicado la ley que la transpone; solo consta el anteproyecto de 14/01/2025. Si tu empresa está incluida depende de su sector y tamaño (cómo comprobarlo).
Qué dice la Directiva
- Artículo 20.1: los órganos de dirección aprueban las medidas de gestión de riesgos, supervisan su puesta en práctica y responden por su incumplimiento.
- Artículo 20.2: los Estados garantizarán que los miembros de los órganos de dirección “deban asistir a formaciones” y “alentarán” a las entidades a ofrecer formaciones similares a sus empleados “periódicamente”, para adquirir conocimientos suficientes para detectar riesgos y evaluar las prácticas de gestión de riesgos.
- Artículo 21.2.g: entre las áreas mínimas de medidas figuran “las prácticas básicas de ciberhigiene y formación en ciberseguridad”.
No hay en el texto una duración, un plazo de incorporación, una frecuencia anual o trimestral, informes obligatorios, simulaciones de phishing ni porcentajes de mejora. Cualquier obligación más concreta sobre la plantilla tendría que venir de la ley española, aún no publicada.
Diseño de un programa proporcionado (ilustrativo)
- Dirección: una sesión inicial sobre riesgos, responsabilidades y decisiones que le corresponden, y actualización cuando cambie el contexto.
- Todo el personal: lo básico y práctico: reconocer phishing, contraseñas y MFA, uso de dispositivos, cómo y a quién comunicar un incidente.
- Perfiles con privilegios o riesgo mayor (administración de sistemas, finanzas, atención al cliente): contenido específico.
- Nuevas incorporaciones: una introducción al empezar; el plazo lo decides tú.
- Refuerzos: recordatorios breves y ejercicios; la frecuencia depende de tu riesgo y de tu equipo.
La duración y el formato (presencial, en línea, microformación) los eliges según tu organización. Un contenido corto y útil, con seguimiento, suele funcionar mejor que un curso largo que nadie recuerda.
Simulaciones de phishing
Son una herramienta que puede ayudar a medir y a practicar, pero no son una obligación de NIS2. Si las usas, informa a la plantilla de que existen, evita usarlas para sancionar y respeta la normativa de protección de datos y laboral. No damos porcentajes de reducción de clics: dependen del contexto y de cada estudio, y no forman parte de la Directiva.
Recursos
INCIBE publica recursos de concienciación para empresas, consultables en su portal para empresas. Si contratas una plataforma de pago, pide oferta actual con contenidos, idiomas, número mínimo de usuarios y tratamiento de datos, y no te fíes de un mensaje que diga que “acredita NIS2”: ningún curso o plataforma acredita cumplimiento.
Qué conviene registrar
Como buena práctica: quién recibió qué formación y cuándo, contenido impartido y mejoras posteriores. No es un requisito literal de la Directiva, pero te permite demostrar diligencia y mejorar el programa.
Formación y resto de medidas
La formación acompaña al resto: MFA, gestión de contraseñas y el checklist de las áreas del artículo 21.
Artículos relacionados
Fuentes oficiales
- Directiva (UE) 2022/2555 (NIS2), artículos 20 y 21, en EUR-Lex
- La Moncloa, 14/01/2025: anteproyecto de ley
- INCIBE: recursos para empresas
Siguientes pasos NIS2
Guías clave
Preguntas frecuentes
- ¿Cuándo entra en vigor NIS2 en España?
- La Directiva (UE) 2022/2555 exigía transponerla antes del 17 de octubre de 2024. En España, el Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de la ley que la transpondrá y, en las fuentes oficiales consultadas, no consta a 20 de septiembre de 2026 su publicación en el BOE. La fecha desde la que se exigirá a las empresas españolas no está fijada.
- ¿NIS2 obliga a formar a toda la plantilla?
- La Directiva exige que los miembros de los órganos de dirección de las entidades esenciales e importantes asistan a formaciones, y pide a los Estados que alienten a esas entidades a ofrecer formaciones similares a sus empleados periódicamente (art. 20.2). Además, las prácticas básicas de ciberhigiene y la formación en ciberseguridad figuran entre las áreas de medidas (art. 21.2.g). La extensión concreta a la plantilla la fijará, en su caso, la ley española.
- ¿Hay una frecuencia, duración o formato de formación fijados por NIS2?
- No. La Directiva habla de formación «periódicamente» sin cifras. Duración, frecuencia, formato, simulaciones de phishing y registros son decisiones de diseño proporcionadas al riesgo, no obligaciones literales de NIS2.
- ¿Qué pasa si mi empresa no cumple NIS2?
- La Directiva obliga a los Estados a prever multas máximas de al menos 10 millones de euros o el 2 % de la facturación mundial (entidades esenciales) y al menos 7 millones o el 1,4 % (importantes). La sanción concreta y la autoridad que la impone las fijará la ley española, aún no publicada.
