Dentro de ISMS Forum, el Grupo de Trabajo del Cyber Resilience Centre (CRC) ha elaborado los Resilience Challenges 2025, una iniciativa que nace con el objetivo de identificar y priorizar los grandes desafíos que las organizaciones deberán afrontar en materia de resiliencia operativa y empresarial durante el próximo año.

Para ello, se lanzó una encuesta anónima dirigida a profesionales del sector, formulando una pregunta sencilla pero estratégica: “Selecciona los TOP 3 temas que considerarías de mayor prioridad para abordar en 2025.”

Esta consulta ha permitido recoger una muestra representativa de opiniones y percepciones que servirán como base para orientar las líneas de trabajo del CRC dentro de ISMS Forum, en coordinación con otras áreas clave del Foro, como Ciberseguridad, Inteligencia Artificial o Privacidad.

Dos profesionales del Board del CRC, como Carlos Fernández de la Reguera, Operational Resilience and Third Parties Risk Oversight del Banco Santander, y Javier Ordúñez, Subdirector de Resiliencia Operativa y Gestión de Crisis de Mapfre, han comentado los resultados de esta encuesta, que sitúa a la resiliencia como un elemento estratégico para las empresas, clave en la continuidad del negocio ante un ciberincidente.

 

CRC una referencia como grupo de trabajo

Carlos Fernández de la Reguera, uno de los impulsores del Board del CRC, destaca que están satisfechos con el evento celebrado en Caixaforum: “Ahora preparamos más actividades a lo largo de este año y el próximo 2026, para presentar nuevas iniciativas en el próximo evento del grupo.”

Explica que “nuestra entidad tiene un modelo de tres líneas de defensa. Yo estoy en la segunda, como responsable de esta función. Mi trabajo es una evolución de la función de continuidad de negocio, que ahora, con la llegada del Reglamento DORA, ha pasado a enfocarse en la resiliencia operacional”.

Sobre los resultados de la Resilience Challenge 2025, señala: “Esta encuesta nos ayuda a priorizar las iniciativas dentro del CRC. Hemos logrado identificar los temas de mayor interés del público. La resiliencia no es una opción, es una necesidad, aunque no todas las empresas tienen el mismo grado de madurez, especialmente en el entorno de las pymes.”

Los temas más prioritarios, según la encuesta, giran en torno al cumplimiento de los nuevos requerimientos regulatorios: “Es clave tener claro qué dirección tomar para lograr una buena resiliencia”, afirma.

Sobre la gobernanza, subraya: “No podemos olvidar que tanto DORA como la Directiva NIS2 apuntan hacia una mayor implicación de la alta dirección. Sin su compromiso, no es posible implementar adecuadamente estas estrategias.”

 

Implicación de la alta dirección y presupuesto

“La puesta en marcha de este tipo de estrategias requiere inversiones y compromiso. Además del presupuesto, es necesario contar con órganos de gobierno especializados en resiliencia, así como políticas y procedimientos alineados con esa estrategia”, indica Fernández de la Reguera.

También destaca la necesidad de contar con una cadena de reporte eficaz: “Es fundamental que la alta dirección reciba información suficiente y de calidad para tomar decisiones acertadas. Todos los stakeholders implicados deben estar coordinados.”

Sobre la creación de una estrategia de resiliencia desde cero, sostiene: “Uno de los principales retos es definir funciones y responsabilidades. Según el tamaño de la organización, se puede centralizar en una figura responsable de resiliencia o distribuir entre los distintos departamentos.”

 

Un enfoque transversal

“Trabajamos de forma más transversal y colectiva, lo que convierte a la resiliencia en algo estratégico. Aunque a veces falte presupuesto, si hay una buena relación entre áreas, se puede optimizar lo ya existente. La comunicación fluida y la concienciación sobre los riesgos son claves”, añade.

Respecto al reto regulatorio, afirma: “El marco regulatorio exige un esfuerzo adicional. El sector bancario ya está muy regulado y estas nuevas normativas como NIS2 son muy transversales. Lo primero es identificar los requerimientos legales y el nivel de exigencia para nuestra organización.”

 

Riesgos derivados de la IA

Fernández de la Reguera también se refiere a los riesgos relacionados con la inteligencia artificial: “Estamos en un momento de poca madurez en la gestión de estos riesgos. Si queremos incorporar la IA en servicios críticos, debemos hacer un buen análisis de riesgos y asegurar la calidad de los datos para evitar las llamadas ‘alucinaciones’ de la IA.”

Añade que “es importante tener procedimientos alternativos para garantizar la continuidad si el sistema de IA falla. Hay que estar preparados ante imprevistos.”

En cuanto al rol del CISO en la estrategia de ciberresiliencia, señala: “La implicación de la alta dirección depende de dos aspectos: formación adecuada, ya que muchos solo tienen experiencia financiera, y una buena información constante del estado de los riesgos.”

Sobre el futuro Libro Blanco sobre Ciberresiliencia, indica que “es nuestra iniciativa estrella para 2025. Será una herramienta útil especialmente para pymes, ayudándolas a definir la función de resiliencia en sus entidades”.

 

Responder ante lo inesperado

Por su parte, Javier Ordúñez, Subdirector de Resiliencia Operativa y Gestión de Crisis de Mapfre, también participó en la Resilience Challenge 2025. En una mesa redonda del Cyber Resilience Forum, recordó el apagón nacional del 28 de abril como un ejemplo de por qué “hay que estar preparados siempre, porque los imprevistos surgen en cualquier momento”.

Responsable de un área transversal y corporativa, explica que “desde aquí definimos las líneas maestras que deben seguir las distintas entidades del grupo, adaptándolas a sus peculiaridades. No es lo mismo España, con 11.000 trabajadores y 3.000 oficinas, que otras jurisdicciones.”

Sobre los resultados de la encuesta, destaca que gobernanza, estrategia desde cero y marco normativo son los pilares clave: “Sin gobernanza no hay liderazgo, y sin liderazgo, la resiliencia no permea toda la organización.”

 

Crear desde cero cuesta

“La creación de una función de resiliencia desde cero cuesta. Lo primero que necesitas es liderazgo y comprensión de por qué es necesaria. Además, debe dotarse de recursos humanos, técnicos y económicos. Todo cuesta”, comenta Ordúñez.

Añade que “se trata de desplegar estrategias que garanticen la operatividad incluso en caso de crisis. Además, deben evaluarse periódicamente. Trabajamos bajo un ciclo de mejora continua, muchas entidades están certificadas y eso nos obliga a probar, formar y mejorar constantemente.”

Sobre el cambio cultural interno, indica: “Antes trabajábamos en cómo responder a eventos. Ahora trabajamos en estar preparados para cualquier situación. Es un cambio de enfoque.”

 

La resiliencia como inversión

Ordúñez afirma que “la resiliencia no debe verse como un gasto, sino como una inversión. Es clave implicar a la alta dirección. Si algo falla, hay que tener un plan para seguir operando. Por eso es importante explicar bien por qué la resiliencia es estratégica.”

En cuanto al marco normativo, destaca: “Debemos adaptarlo a la realidad de cada empresa. Normas como DORA, NIS2, el Reglamento de IA (RIA) o el RGPD son de cumplimiento obligatorio. Hay que analizarlas, ver cómo afectan y adaptar los planes en consecuencia.”

 

Riesgos y oportunidades de la IA

“La IA puede ayudarnos a reducir riesgos, analizarlos y ahorrar tiempo en tareas rutinarias, permitiéndonos centrarnos en tareas de mayor valor. Pero debe usarse de manera ética, humana y cumpliendo la normativa. No todo vale”, concluye.

 

El papel del CISO y el futuro del CRC

Finalmente, Ordúñez resalta que “los riesgos relacionados con la ciberresiliencia son cada vez más frecuentes. Si se materializan, pueden paralizar una empresa durante días. Por eso, los CISOs están cada vez más centrados en gestionar estos ciberriesgos de forma integral.”

Concluye que “el CRC nació para fomentar esta cultura. Ahora, su siguiente paso es la creación de un Libro Blanco que recoja las mejores prácticas y estrategias claras para ayudar a otras empresas a definir sus protocolos de ciberresiliencia.”