Resumen
Todas las normativas importantes de ciberseguridad exigen formación para los empleados. La mayoría de las organizaciones la imparten y registran su finalización. Sin embargo, las brechas de seguridad que ocupan los titulares siguen ocurriendo en organizaciones reguladas, auditadas y certificadas, precisamente a través de los canales que la formación debería cerrar. El problema no es que las organizaciones omitan la formación. El problema es que las normativas han evolucionado hacia un estándar de eficacia, mientras que la mayoría de los programas siguen basándose en un estándar de finalización. Esta publicación detalla lo que exige realmente cada marco, dónde aparece esa brecha y qué aspecto tiene hoy en día un programa defendible.
En septiembre de 2023, unos atacantes comprometieron a MGM Resorts mediante una llamada telefónica. Una conversación de 10 minutos con el servicio de asistencia técnica —ingeniería social clásica— proporcionó al grupo Scattered Spider todo lo necesario para iniciar un ataque de ransomware que le costó a la empresa más de 100 millones de dólares y paralizó sus operaciones durante días. (Fuente: Specops Software, 2023)
MGM es una organización regulada por PCI DSS. El cumplimiento de las normas de tarjetas de pago exige explícitamente formación en concienciación sobre seguridad para todo el personal.
En febrero de 2024, Change Healthcare sufrió la mayor brecha de datos sanitarios en la historia de EE. UU., afectando a unos 190 millones de personas. (Fuente: HHS OCR, hhs.gov) Change Healthcare contaba con la certificación HITRUST y operaba bajo HIPAA —un marco con requisitos de formación en seguridad explícitos y documentados— en el momento de la brecha.
La pregunta que merece la pena hacerse sobre ambos incidentes no es si se completó la formación. Casi con toda seguridad así fue; ambas organizaciones operaban bajo marcos que la hacían obligatoria y auditable. La pregunta es para qué estaba diseñada realmente la formación y si esa medición se alinea con lo que las normativas exigen cada vez más.
Esa brecha es el tema de esta publicación.
La suposición predominante en la mayoría de los programas de cumplimiento es que los requisitos de formación significan impartición de formación. Asignar el módulo. Registrar la finalización. Pasar la auditoría.
Esa suposición es cada vez más errónea. El lenguaje normativo en NIS2, DORA, ISO 27001:2022 y las directrices de aplicación actualizadas de HIPAA y NYDFS ha cambiado en una dirección específica: de la asistencia a la eficacia, de la finalización a la competencia, de la documentación de la actividad a la evidencia del cambio de comportamiento.
Esto es lo que exige realmente cada marco.
La Directiva NIS2, que entró en vigor en los Estados miembros de la UE en 2024, contiene dos obligaciones de formación independientes que la mayoría de los programas de cumplimiento tratan como una sola.
El artículo 21(2)(g) exige que las entidades esenciales e importantes implementen "prácticas de ciberhigiene y formación en ciberseguridad" como parte de sus medidas de gestión de riesgos. Esta es la cláusula a la que la mayoría de los programas hacen referencia cuando presentan registros de finalización de módulos.
El artículo 20 es el que suele pasarse por alto. Exige que los miembros de los órganos de dirección —el consejo, la alta dirección, los líderes sénior— reciban formación específica en ciberseguridad. No se trata de un módulo de concienciación general enviado a todo el personal, sino de un programa diferenciado, dirigido a la dirección, que aborde los riesgos y las prácticas de ciberseguridad relevantes para la gobernanza de la organización.
La Guía de Implementación Técnica de la NIS2 de ENISA describe el estándar esperado como una formación que demuestre eficacia, no solo impartición. No se exige una frecuencia específica, pero la guía de ENISA recomienda una formación anual como mínimo, complementada con simulaciones de phishing y contenidos actualizados en respuesta a nuevos patrones de amenazas. (Fuente: Guía de Implementación Técnica de la NIS2 de ENISA, enisa.europa.eu)
Una organización que cuenta con un 100% de finalización en un módulo anual pero carece de registros de formación específica para la dirección, datos de simulación y pruebas de actualizaciones de contenido vinculadas a la inteligencia de amenazas, no ha cumplido con el alcance total de los requisitos de la NIS2.
La Ley de Resiliencia Operativa Digital (DORA) entró en vigor el 17 de enero de 2025. Se aplica a las entidades financieras: bancos, aseguradoras, empresas de inversión, procesadores de pagos y sus proveedores críticos de servicios TIC externos que operan en la UE.
DORA exige que las organizaciones proporcionen programas de formación y concienciación sobre la gestión de riesgos TIC para todo el personal y la dirección. El requisito específico es que la formación sea "adecuada", no simplemente que se complete.
La adecuación es un estándar legal con implicaciones. Significa que la formación debe ser proporcional a la exposición real al riesgo TIC del puesto. Un gestor de cuentas que realiza transferencias bancarias se enfrenta a un riesgo de ingeniería social distinto al de un analista administrativo, y el programa de formación debe reflejar esa diferencia. Los módulos anuales genéricos distribuidos uniformemente por toda la organización no son adecuados según el criterio de DORA. Pueden cumplir con una lectura literal y estrecha, pero no son defendibles ante una investigación.
Cuando las autoridades competentes de DORA revisan una entidad financiera tras un incidente TIC, la formación inadecuada es explícitamente uno de los factores que pueden citar como prueba de una gestión de riesgos deficiente, con las consiguientes repercusiones en términos de cumplimiento y responsabilidad.
El anexo A.6.3 de la norma ISO 27001:2022 abarca la concienciación, educación y formación en seguridad de la información. La norma no exige una formación anual, sino que las organizaciones determinen la competencia necesaria de las personas cuyo trabajo afecta al desempeño de la seguridad de la información y, posteriormente, tomen medidas para adquirir o mantener dicha competencia.
La palabra clave es competencia. No finalización, no concienciación, no asistencia. Competencia: la capacidad demostrada para aplicar conocimientos y habilidades con el fin de realizar una tarea correctamente.
Un auditor de ISO 27001 que pregunta por el anexo A.6.3 no busca una lista de nombres y fechas. Busca pruebas de un proceso: cómo identifica la organización la competencia necesaria, cómo evalúa los niveles actuales de competencia, cómo cierra las brechas y cómo verifica que dichas brechas se han subsanado.
Un registro de finalización no responde a ninguna de esas preguntas.
El Reglamento de Ciberseguridad del Departamento de Servicios Financieros de Nueva York (23 NYCRR 500) exige una formación anual de concienciación en ciberseguridad para todo el personal. Esto suena como el más tradicional de los marcos —un ciclo de formación al año, documentado—. Sin embargo, la sección 500.14(b) añade un requisito específico que la mayoría de los programas incumplen silenciosamente: la formación debe incluir la ingeniería social como tema y debe actualizarse en función de los resultados de las evaluaciones de riesgos.
Esa segunda cláusula es donde fallan los programas de cumplimiento. Un módulo estático comprado hace tres años y reasignado anualmente no satisface el requisito de actualizar la formación basándose en los hallazgos de riesgo actuales. Si una evaluación de riesgos identifica que el phishing de credenciales mediante llamadas de voz es una exposición emergente en la organización —como es demostrablemente el caso para las instituciones financieras—, el programa de formación debe responder a ello.
La Regla de Seguridad de HIPAA exige que las entidades cubiertas implementen un programa de concienciación y formación en seguridad para todos los miembros de su personal. A diferencia de otros marcos, HIPAA no especifica una frecuencia. Lo que sí especifica es que debe ser continuo: la formación debe actualizarse y reforzarse cuando cambien las prácticas de trabajo o la tecnología, cuando una evaluación de riesgos identifique una brecha y cuando el HHS emita nuevas directrices.
La implicación práctica es que un programa de formación que cumple con HIPAA es aquel que trata la formación como un proceso operativo continuo en lugar de un evento de calendario. Una organización que asigna formación anualmente, no realiza simulacros y no actualiza el contenido cuando cambia su entorno tecnológico no está cumpliendo con el estándar de HIPAA, incluso si todos los empleados completaron el módulo.
La sección de criterios comunes CC1.4 de SOC 2 exige que las organizaciones demuestren que su personal tiene la competencia necesaria para cumplir con sus responsabilidades, incluidas las relacionadas con la seguridad de la información. Los auditores de SOC 2 que revisan los programas de formación examinan los registros: quién recibió la formación, sobre qué, cuándo y si la formación abordó el entorno de control específico. También buscan pruebas de seguimiento cuando se identifican riesgos.
Un registro de finalización que muestra un 100% de asignación de formación es un punto de partida, no una conclusión.
Existe una diferencia entre superar una auditoría y ser capaz de defenderse tras un incidente.
Las auditorías suelen realizarse de forma prospectiva, antes de que algo salga mal. Los auditores revisan la documentación, confirman que el proceso existe y emiten una opinión sobre si los controles están implementados. Un registro de finalización bien mantenido, un acuse de recibo de políticas firmado y un calendario de formación satisfacen la mayoría de los procedimientos de auditoría.
Las investigaciones regulatorias funcionan de otra manera. Se desencadenan por incidentes. Se llevan a cabo de forma retrospectiva, después de que algo ya ha salido mal. Y plantean una pregunta diferente: dado que esta brecha ocurrió a través de un canal de comportamiento humano, ¿fue el programa de formación de la organización adecuado para prevenirla?
Esa pregunta expone la brecha. "Adecuado" en el sentido regulatorio significa que la formación abordó los riesgos conocidos, se actualizó en respuesta a nuevas amenazas, fue proporcional a los roles involucrados y generó evidencia de un cambio de comportamiento, no solo de asistencia.
El comportamiento humano sigue siendo fundamental en cómo se desarrollan la mayoría de los incidentes. El Informe de Investigaciones de Brechas de Datos de Verizon de 2024 reveló que el 68% de las brechas involucraron el elemento humano: error, ingeniería social o uso indebido de credenciales. (Fuente: Verizon DBIR 2024, verizon.com) Esta cifra se ha mantenido prácticamente constante a lo largo de varios años de informes. Las tasas de finalización de la formación anual no la han modificado.
Los marcos que ahora utilizan un lenguaje centrado en la eficacia —NIS2, DORA, ISO 27001— son una respuesta regulatoria directa a este patrón. Los legisladores han observado que la formación obligatoria, medida solo por la finalización, no ha producido los resultados de comportamiento que pretendía generar. El lenguaje regulatorio está cambiando en respuesta a esto.
Cuando una investigación regulatoria sigue a un incidente, o cuando se está llevando a cabo una auditoría exhaustiva de ISO 27001, aparecen sistemáticamente cinco brechas de documentación. No se trata de casos aislados. Son las brechas entre un programa diseñado para cumplir con un requisito formal y uno diseñado para resistir un escrutinio riguroso.
1. Registro de actualización de contenidos basado en riesgos
Todos los marcos normativos con estándares de eficacia o adecuación —DORA, NYDFS, HIPAA, NIS2— implican que el contenido de la formación debe responder a riesgos conocidos y cambiantes, no solo al calendario. Esto requiere un proceso documentado: qué evaluación de riesgos motivó la actualización del contenido, cuándo se realizó y qué cambios se introdujeron.
Sin este registro, el programa no puede demostrar su capacidad de respuesta ante los riesgos. Solo puede demostrar que se asignó una formación.
2. Registros de formación diferenciados por roles
El artículo 20 de la directiva NIS2 establece la formación de los órganos de dirección como una obligación específica. La norma ISO 27001:2022 exige que la competencia se determine según el rol. DORA requiere una adecuación proporcional a la exposición al riesgo de las TIC.
Los tres marcos exigen que la organización realice un seguimiento de la formación a nivel de rol, no solo de forma agregada. Un registro único que indique que "todos los empleados completaron el módulo anual" no demuestra que el director financiero recibió formación en ciberseguridad para directivos, que el administrador de sistemas recibió formación sobre acceso privilegiado o que el equipo de soporte técnico recibió formación en simulación de ingeniería social proporcional a su exposición.
3. Datos de phishing y simulación vinculados a la puntuación de riesgo individual
Los programas de simulación generan los datos de comportamiento que buscan los reguladores centrados en la eficacia. Una simulación de phishing que muestra tasas de clics agregadas aporta información, pero un programa que rastrea el comportamiento individual a lo largo del tiempo, identifica patrones de riesgo persistentes por persona o equipo y utiliza esos datos para tomar decisiones de formación adaptativa, ofrece todo lo que un auditor necesita.
Los datos de simulación agregados eran suficientes para superar una auditoría hace cinco años. El estándar emergente exige una medición longitudinal del comportamiento a nivel individual o de rol.
4. Una ruta de remediación documentada para la exposición recurrente
Los marcos regulatorios no solo exigen formación; requieren que la organización responda ante las brechas identificadas. Un empleado que hace clic en todas las simulaciones de phishing y completa el módulo correctivo asignado sin cambiar su comportamiento representa un riesgo documentado. El programa debe mostrar qué medidas toma la organización a continuación, ya sea una intervención específica, un cambio de funciones o una escalada al responsable directo.
Sin una lógica de remediación documentada, el programa no puede demostrar que cierra el ciclo entre el riesgo identificado y la respuesta de la organización.
5. Registros de formación para directivos con especificidad de contenido
Para el artículo 20 de la NIS2, y sus equivalentes en DORA e ISO 27001, los registros de formación a nivel directivo deben mostrar qué temas se trataron, no solo que la sesión tuvo lugar. La obligación de formar a la dirección existe porque los consejos y ejecutivos toman decisiones que afectan a la postura de seguridad de la organización. Los reguladores quieren pruebas de que los líderes comprenden los riesgos de ciberseguridad relevantes para esas decisiones.
Una entrada en el calendario que diga "sesión de concienciación sobre ciberseguridad, T4" no es suficiente. Un registro que documente a los participantes, los temas tratados, los escenarios de riesgo a nivel de gobernanza abordados y las acciones de seguimiento, sí lo es.
Un programa de formación defendible es aquel que produce pruebas de un cambio de comportamiento, no solo pruebas de impartición.
Esto requiere cuatro cambios estructurales respecto a cómo se construyen la mayoría de los programas actuales.
La medición continua sustituye a los eventos de calendario. Un programa que realiza formación anual y simulaciones de phishing trimestrales es mejor que uno que solo realiza formación anual. Un programa que mide las señales de comportamiento de forma continua —desempeño en simulaciones, tasas de notificación de incidentes, patrones de fallos recurrentes, puntuaciones de riesgo basadas en roles— puede demostrar una eficacia constante en lugar de un cumplimiento puntual. Esta es la dirección que marcan los reguladores, y ya es explícita en el estándar de "adecuación" de DORA y en el de "competencia" de la norma ISO 27001.
Las líneas base de comportamiento hacen visible el cambio. Un programa de cumplimiento que no puede mostrar dónde comenzó el comportamiento de un empleado y dónde se encuentra ahora, no puede demostrar que la capacitación haya tenido efecto alguno. Establecer líneas base de comportamiento por rol, por equipo y en toda la organización transforma la capacitación de una métrica de entrada a una métrica de resultados. Cuando un auditor o investigador pregunta si la capacitación fue efectiva, existe una respuesta: aquí es donde estaba el nivel de riesgo, aquí es donde está ahora y esto es lo que cambió.
La integración de riesgos mantiene el contenido relevante. El contenido de capacitación que no responde al entorno de amenazas real de la organización no puede cumplir con los requisitos de "adecuación" o "actualización basada en riesgos" que imponen NIS2, DORA, HIPAA y NYDFS. El requisito de documentación —qué señal de riesgo desencadenó qué actualización de contenido— exige una conexión directa entre la función de inteligencia de amenazas y el programa de capacitación. En la práctica, esto significa que el equipo de seguridad y el programa de aprendizaje deben compartir datos regularmente, no comunicarse una vez al año durante la revisión del plan de estudios.
La responsabilidad de la dirección se documenta por separado. La obligación del Artículo 20 de NIS2 es un requisito formal de gobernanza, no un complemento de la capacitación general de concienciación. Tratarlo como tal significa que la organización tiene una exposición documentada en caso de incidente. La capacitación de la dirección debe tener sus propios registros, su propio plan de estudios —centrado en decisiones de nivel de gobernanza, supervisión de riesgos y responsabilidad regulatoria— y su propia cadencia de actualización.
Estas no son características aspiracionales de un programa de alta madurez. Son las características que una organización regulada debe demostrar cuando un regulador revisa su programa de capacitación después de un incidente.
Los marcos que ahora rigen la capacitación en ciberseguridad —NIS2, DORA, ISO 27001:2022, HIPAA, NYDFS— no fueron redactados para verificar si los módulos fueron asignados y completados. Fueron redactados para exigir que las organizaciones gestionen el comportamiento humano como un control de seguridad.
Eso significa establecer competencias, no registrar asistencias. Significa actualizar los programas en respuesta a riesgos reales, no al calendario. Significa documentar el comportamiento individual a lo largo del tiempo, no las tasas de finalización agregadas.
La mayoría de las organizaciones ejecutan programas que responden a la pregunta equivocada. Las auditorías se aprueban porque los auditores revisan la documentación de los procesos, no los resultados conductuales. Los incidentes ocurren porque la exposición humana —la brecha entre lo que la gente sabe y cómo se comporta bajo presión— nunca se cerró realmente.
Cerrar esa brecha es lo que ahora exige la regulación. También es lo que exigen los resultados de seguridad. Esas dos cosas nunca han estado más alineadas, y la mayoría de los programas nunca han estado tan lejos de cumplir con ninguna de las dos.
Zepo Intelligence está construyendo la arquitectura de ciclo cerrado que conecta las señales de comportamiento con el aprendizaje adaptativo, en tiempo real y a nivel individual. Si su programa de capacitación necesita pasar de registros de finalización a evidencia conductual, hablemos sobre cómo Zepo mide lo que los reguladores están empezando a exigir.
Cómo Zepo ayuda a las empresas
Paula Pereira
Gerente de Seguridad de la Información Digital
“Recomendaría Zepo a colegas de otras empresas porque creo que ha satisfecho todas nuestras necesidades. Nos ha permitido ejecutar tres tipos de campañas que otras herramientas que hemos probado simplemente no pueden hacer. Y más allá del producto en sí, el apoyo de todo el equipo nos ha ayudado a sacarle mucho más partido.”
+9K
Empleados Protegidos
–10%
Tasa de clics en ataques
+18%
Tasa de finalización de la capacitación
Ramon Fernandez Blanco
Ciberseguridad y Gerente de Producto Digital
“Desde la implementación de Zepo, la concienciación de los empleados ha aumentado significativamente. Los empleados ahora debaten activamente sobre ciberseguridad y campañas de phishing, y los correos electrónicos sospechosos se reportan rápidamente en lugar de ser ignorados.”
+600
Empleados Protegidos
–15%
Credenciales enviadas
+26%
Tasa de finalización de la capacitación
Jonathan Nelson
Director de Inteligencia de Riesgos
“La visión de Zepo para una solución de ciberseguridad en tiempo real, hiperpersonalizada y multiplataforma es verdaderamente única y está muy por encima de la competencia”
+100
Empleados Protegidos
Anticípate antes de que ataquen.
.png)
