En resumen: la seguridad informática forma parte de las tareas de la dirección. Se discute una responsabilidad del gerente por vulnerabilidades de seguridad informática sobre todo cuando no se trataron adecuadamente riesgos conocidos, no se regularon las responsabilidades o no se tomaron las decisiones de forma trazable. En situaciones como PHP2Shell ayuda una decisión clara y documentada, basada en los hechos disponibles. Esta página es información general y no constituye asesoramiento jurídico.
No es asesoramiento jurídico: las cuestiones de responsabilidad dependen mucho del caso concreto, de la forma jurídica y de las regulaciones contractuales. Pida que un abogado especializado en derecho de sociedades valore las cuestiones concretas.
Responsabilidad del gerente y seguridad informática: el marco general
Para los gerentes de una GmbH (sociedad de responsabilidad limitada alemana), el § 43 GmbHG (ley alemana sobre las sociedades de responsabilidad limitada) exige la diligencia de un ordenado empresario. Para los consejos de administración de una sociedad anónima, el § 93 AktG (ley alemana de sociedades anónimas) contiene una regla comparable; además, el § 91, apartado 2, AktG exige medidas adecuadas para detectar a tiempo evoluciones que pongan en peligro la continuidad de la empresa. De estos deberes generales se deduce en el debate especializado que también los riesgos informáticos deben gestionarse de forma adecuada.
Para las decisiones empresariales existe un margen de apreciación. Quien decide sobre la base de una información adecuada y en beneficio de la sociedad actúa, según la llamada Business Judgment Rule, por lo general con diligencia, aunque la decisión resulte después desfavorable. De ahí se extrae una enseñanza práctica: a menudo es menos decisivo el resultado que la cuestión de si la decisión se tomó de forma informada y trazable.
Lo que añade NIS2
Para las empresas que entran en el ámbito de NIS2, la responsabilidad de la dirección se regula expresamente. La dirección debe aprobar las medidas de gestión de riesgos, supervisar su aplicación y formarse en ciberseguridad. En Alemania, la transposición se hace mediante el NIS2UmsuCG (ley alemana). Si su empresa está afectada y qué obligaciones concretas rigen lo encontrará en las indicaciones del BSI. Una visión general la ofrece NIS2 y seguridad de los servidores web.
A ello se suman obligaciones de protección de datos. Según el RGPD, una empresa debe adoptar medidas técnicas y organizativas adecuadas y valorar, documentar y, en su caso, notificar las violaciones de la seguridad de los datos personales según el art. 33.
Lo que una situación como PHP2Shell exige de la dirección
PHP2Shell comprende dos vulnerabilidades críticas en el propio PHP (CVE-2026-109618 y CVE-2026-109619, ambas con CVSS v4.0 de 9,2). El BSI ha declarado el nivel de alerta 3 (naranja) y recomienda una actualización inmediata y, si no es posible, desconectar temporalmente de la red los servidores web. Para la dirección surge así una ponderación típica: facturación y disponibilidad frente a un riesgo alto y públicamente conocido.
Nadie exige que los gerentes parcheen servidores por sí mismos. Pero sí cabe esperar que tomen nota de la situación, aclaren las responsabilidades, pidan informes y tomen una decisión. Preguntas que la dirección debería plantearse:
- ¿Cuáles de nuestros sistemas usan PHP y quién es responsable de ellos, internamente o en el proveedor de servicios?
- ¿Están instaladas las actualizaciones y reiniciados los procesos, y hay una prueba de ello?
- Si no: ¿por qué no, qué medidas provisionales están en marcha y desconectamos el sistema de la red?
- ¿Hay indicios de una intrusión y quién valora las posibles obligaciones de notificación?
Documentar las decisiones
Deje constancia por escrito, de forma breve, de la imagen de la situación, las opciones, la decisión y su justificación, con fecha y hora. Un registro así no tiene que ser largo. Demuestra más adelante que la dirección estaba informada y sopesó las alternativas. Esto vale expresamente también para la decisión de seguir operando un sistema durante un tiempo limitado a pesar del riesgo.
| Contenido | Ejemplo |
|---|---|
| Imagen de la situación | BSI nivel de alerta 3, parches disponibles desde el 21/10/2026 |
| Sistemas afectados | Tienda, portal de clientes, instalación interna de wiki |
| Opciones | parchear de inmediato, medidas provisionales, desconectar de la red |
| Decisión | Tienda parcheada, wiki fuera de línea hasta la actualización |
| Justificación y responsables | Prueba por el proveedor de servicios, control por la dirección de TI |
Un parche no elimina el software malicioso ya introducido. También la decisión de si se buscan rastros debe constar en el registro.
Organizar de forma duradera en lugar de improvisar en la emergencia
La mejor prevención es una organización clara: un responsable designado de seguridad de la información, un procedimiento para las actualizaciones de seguridad, informes periódicos a la dirección, un plan de emergencia informática probado y una revisión independiente a intervalos razonables. Como marco metodológico es adecuado el IT-Grundschutz (protección básica de TI) del BSI.
A la organización pertenece también diseñar los informes de modo que la dirección los entienda. A menudo basta un informe breve y periódico con pocos datos: cuántos sistemas están actualizados, dónde hay excepciones y por qué, qué incidentes o casi incidentes ha habido, qué decisiones están pendientes. Quien recibe esos informes, hace preguntas y deja constancia de los resultados puede demostrar después que la supervisión se ha llevado a cabo realmente. Esto vale con independencia de si la técnica está en la empresa o en un proveedor de servicios.
¿Cómo ayuda PHP SOS en concreto?
- Elaboramos para la dirección una imagen comprensible de la situación de sus servidores web, con opciones claras.
- Aplicamos la opción elegida y entregamos una prueba técnica por escrito.
- Mediante una auditoría de seguridad o prueba de penetración creamos una base independiente para sus decisiones.
- Con un contrato de mantenimiento de seguridad regulamos de forma duradera las actualizaciones y los informes.
Preguntas frecuentes
¿Responde personalmente un gerente por un ataque de hackers?
Un ataque por sí solo no fundamenta una responsabilidad personal. Se discute una responsabilidad sobre todo cuando se han incumplido deberes de diligencia, por ejemplo si se ignoraron riesgos conocidos o no se regularon las responsabilidades. Si es así en el caso concreto, solo puede valorarlo un asesoramiento jurídico.
¿Puedo delegar por completo la seguridad informática en el departamento de TI o en un proveedor de servicios?
Las tareas pueden delegarse, pero la responsabilidad de la selección, la dotación y la supervisión sigue en manos de la dirección. Pida informes con regularidad y deje constancia de qué decisiones se tomaron y sobre qué base.
¿Qué cambia NIS2 en la responsabilidad de la dirección?
NIS2 exige a la dirección de las empresas afectadas aprobar las medidas de gestión de riesgos, supervisar su aplicación y participar en formaciones. Los detalles resultan de la ley alemana de transposición y de las indicaciones del BSI (Oficina Federal Alemana de Seguridad de la Información).
¿Ayuda un seguro D&O?
Un seguro de responsabilidad civil de administradores puede cubrir determinados riesgos de responsabilidad de la dirección, pero las condiciones difieren mucho. Aclare el alcance con su corredor o su aseguradora.