Actualización continua para profesionales e interlocución para las empresas. En esa frase de Daniel García, director general de ISMS Forum, se resume la actividad de esta organización profesional, uno de los referentes en materia de seguridad de la información en nuestro país. Cada evento que organiza, o informe que publica, genera un debate interesante en el ecosistema de ciberseguridad en nuestro país, ahora pendiente de la trasposición de NIS2, la llegada de la IA y la aplicación de su reglamento normativo.

Hace tan solo unos días tenía lugar en Valencia la 18ª Edición del Summer Workshop y CISO Academy de ISMS Forum. Un encuentro de referencia para la figura del CISO, en el que estos profesionales, procedentes de 60 organizaciones, han compartido sus experiencias en materia de buenas prácticas y gobernanza. El último de este primer semestre, donde ISMS Forum ha vuelto a tener un papel relevante como voz de los expertos en materia de seguridad de la información, al aportar conocimiento colectivo a este tipo de actividades.

Es, pues, el momento de hacer un balance de estos seis primeros meses de actividad, donde ISMS Forum ha vuelto a ser uno de los actores clave del ecosistema de ciberseguridad en nuestro país. Su política de internacionalización; los foros regionales organizados en Galicia, Euskadi, Valencia y Cataluña, amén de sus grupos de trabajo, que han impulsado trabajos pioneros en materia de ciberresiliencia, brechas de seguridad o la adaptación a la trasposición de la directiva NIS2, han marcado huella, al igual que sus eventos profesionales organizados por todo el país.

Daniel García es una de las cabezas visibles del Board de ISMS Forum, en el que se encuentran profesionales acreditados de nuestro país en este tipo de actividades. Nadie mejor que él para hacer una síntesis de la actividad de esta asociación en este semestre del año: “Somos una organización volcada al cambio, en continua transformación y progreso. Trabajamos para ir por delante de lo que sucede y ser el partner adecuado de los CISOs y organizaciones de este país en sus estrategias de ciberseguridad.”

Desde su punto de vista, este semestre ha sido bastante intenso: “Creo que el sector nos percibe como la asociación de referencia tanto para profesionales como para empresas ligadas al sector de la seguridad de la información en todas sus variables; desde la parte de ciberseguridad, a la protección de datos y al compliance tecnológico, muy útil para el marco normativo que llega ahora, como es el caso de CER, NIS2, DORA o el propio Reglamento de IA (RIA). Es un momento determinante, porque nos hemos posicionado como interlocutor y representante de empresas y profesionales ante la administración pública y las autoridades políticas de este sector.”

Internacionalización y expansión nacional

En su opinión, “este escenario marca un antes y un después en el seno de nuestra organización. Al mismo tiempo, la asociación está ya avanzando de forma notable en su internacionalización. Hemos consolidado este año los capítulos internacionales ubicados en Portugal y México, y, a partir de esa consolidación, hemos hecho una prospección para buscar nuevos sitios de ubicación, como ha sido en Panamá, donde hace unos días organizamos un primer evento con empresarios de la zona. Ahora mismo tenemos varias peticiones de otros países interesados en que estudiemos nuestra expansión en esas jurisdicciones”.

A nivel regional, la presencia de ISMS Forum está centrada en cinco foros regionales, como son Galicia, Euskadi, Barcelona, Valencia y Andalucía. Es clave: “ahora, en breve, anunciaremos otros posicionamientos para acompañar a esos profesionales y sus organizaciones. En algunas de las que estamos, que tuvieran una Agencia de Ciberseguridad, nos ayudó a este desembarco profesional con la organización de Foros Regionales. Al final, es otra forma de impulsar la colaboración público-privada, que estamos viendo que funciona muy bien y que respalda a las organizaciones presentes en esa región”, resalta.

Una organización como ISMS Forum está en continuo cambio y muy pendiente de las necesidades de los CISOs y DPOs, que, entre otros profesionales, acuden a sus eventos y configuran sus grupos de trabajo. De ellos han salido el Libro Blanco del DPO, conceptos como el de la ciberresiliencia o, ahora, el Pacto por una Ciberseguridad Sostenible, entre otros hitos. “Las encuestas que hacemos cada año nos ayudan a incidir en los temas que realmente más les interesan en su actividad profesional. A final de año detectamos que a los CISOs les preocupaba cómo ser garantes de su cadena de suministro, uno de los elementos que es causante, en ocasiones, de que cuajen los ciberataques”.

En este escenario, nuestro interlocutor cree que “han aparecido conceptos como resiliencia o proresiliencia, en cuanto a cómo nos adaptamos a lo que viene. Esos dos conceptos hicieron que se pusiera en marcha el Cyber Resilience Center (CRC), que acaba de organizar su segundo foro profesional. Estos son temas que preocupan a las empresas y a sus CISOs, con lo cual le estamos dedicando recursos para gestionarlo lo mejor posible. En este escenario tenemos el apoyo de la organización europea de ciberseguridad (ECSO), con sede en Bruselas”.

Un año retador

Para García, “el año es interesante y todos los KPIs que pueden definir la evolución de una organización como la nuestra son positivos. A lo largo de la trayectoria de ISMS Forum como asociación profesional, podemos decir que este 2025 va a ser el mejor año de nuestra trayectoria profesional. Es un año retador por todo lo comentado. Un año donde se ha intensificado el diálogo con el sector público. La propia AEPD, con su nuevo presidente, daba a conocer en la DPO Community celebrada el pasado 28 de junio las directrices de su plan estratégico. Las relaciones que mantenemos con el regulador se han intensificado, lo que abre la puerta a nuevos escenarios de colaboración”.

En este caso, Daniel García nos recuerda que “estamos promoviendo la certificación de personas, así como de productos y servicios, como palancas necesarias, donde la asociación tiene una experiencia notable y posicionamiento en su vertiente de protección de datos. Nosotros somos una de las pocas entidades acreditadas por la entidad de control en el esquema de certificación para delegados de protección de datos”.

En el ámbito de la ciberseguridad, la inminente llegada al Parlamento del anteproyecto de ley de NIS2 —directiva europea que debe incorporarse al ordenamiento jurídico español— ha supuesto una oportunidad clave para que ISMS Forum mantenga un diálogo con los distintos grupos políticos. “Desde la asociación, se les ha asesorado de forma objetiva y neutral sobre el proceso de trasposición. Además, se han trasladado las principales inquietudes del sector profesional en torno a esta normativa, lo que está contribuyendo a posicionar el modelo de certificación como un elemento clave para reforzar el papel de la ciberseguridad dentro de las organizaciones.

En este escenario, la fuerza de esta entidad son los grupos de trabajo, que ayudan a poner en marcha iniciativas punteras en distintas actividades relacionadas con la seguridad de la información. Desde fuera sorprende que sean organizaciones ágiles, con poca burocracia, donde se observan las sinergias de profesionales de distintos sectores. “Con estos grupos de trabajo hemos visto que más de 500 asociados están involucrados impulsando distintas actividades. Huimos de personalismos y queremos que nuestros asociados aporten todo aquello que quieran aportar con nosotros”.

Formación e irrupción de la IA

Desde su punto de vista, es el momento adecuado para impulsar programas de formación en muchas de las áreas en las que ISMS Forum está implicado. “Hemos logrado, a través de licitaciones, asumir formaciones de distintas administraciones públicas en este tipo de actividades. En nuestro caso, hemos transformado nuestra formación en nuevos retos. Ahora la formación se centra sobre todo en IA, ciberseguridad y protección de datos. Al mismo tiempo, hay formación específica en NIS2, en DORA y en todos los fenómenos que van aconteciendo. La formación, como hace ISMS Forum, se adapta a los tiempos que corren”.

En este contexto complejo y de mucha actividad ha aterrizado la IA y su marco normativo en el último año. “La IA está presente en muchas organizaciones. Lo primero que hay que hacer es ver su trazabilidad, inventariarla y escanearla internamente. Estamos hablando de tres aspectos: por un lado, están los datos, junto al software que esté en el sistema de IA, y el propio hardware. La utilidad de la IA es que ayuda a automatizar procesos donde la IA aprende de nosotros, por y para nosotros.

En esta intersección de datos, software y hardware, donde la IA se desarrolla, es más importante conocer y trazar esos datos que fluyen y alimentan de forma automatizada la propia IA. Consumimos IA de muchos formatos. Debemos tener cuidado de que no se generen nuevos tratamientos de datos no consentidos. Esos tratamientos de datos personales hay que conocerlos, controlarlos y prevenir que puedan generar una fuga de información. Desde ISMS Forum procuramos explicar esa problemática para que se pongan medidas que mitiguen este tipo de problemas que puedan surgir. Reguladores como AESIA y AEPD deben explicar a los profesionales cómo tienen que notificar una brecha de seguridad”.

Otra faceta que resalta Daniel García es el área de comunicación, donde esta asociación también ha implementado actividades novedosas. “Creo que ya somos un referente, no solo en los medios especializados sectoriales, sino también en otros generalistas, que, cuando abordan temas relacionados con la ciberseguridad o protección de datos, nos ven como uno de los referentes que puede dar una opinión técnica objetiva, tanto en sus tertulias televisivas o radiofónicas como a nivel de prensa escrita. Nuestra notoriedad como asociación trasciende de nuestro sector de actividad para ser un interlocutor en los grandes temas tecnológicos con estos medios informativos”.