CSRD y ciberseguridad: por qué el reporte de sostenibilidad ya incluye gobierno del riesgo digital

La pregunta ya no es si la ciberseguridad cabe en el reporte de sostenibilidad. La pregunta seria es otra: ¿cómo has podido seguir tratándola como un asunto puramente técnico cuando la propia arquitectura de la CSRD obliga a describir quién manda, qué riesgos son materiales y qué controles sostienen el modelo de negocio?

Eso es lo que muchos equipos todavía no han asumido. Ven la CSRD como un ejercicio de clima, diversidad y alguna nota de compliance bien peinada. Error. La Directiva 2022/2464, la CSRD, reescribió el perímetro del reporting corporativo al exigir información de sostenibilidad integrada en el informe de gestión, con foco en gobernanza, estrategia, impactos, riesgos y métricas. Y cuando una compañía depende de sistemas, datos, proveedores cloud, software de terceros y procesos digitalizados para operar —o sea, prácticamente cualquier gran empresa europea en 2026— el riesgo digital entra por la puerta principal, no por una nota al pie.

La Comisión Europea no necesitó escribir “ciberseguridad” en mayúsculas en cada párrafo para que el mensaje quedara claro. Basta leer la obligación de informar sobre el modelo de negocio, la estrategia, la resiliencia, los principales riesgos y el papel de los órganos de administración y supervisión en los asuntos de sostenibilidad. Si el riesgo digital afecta continuidad operativa, confianza del cliente, seguridad de las personas, integridad de datos, cadena de suministro o capacidad de ejecutar la transición de la empresa, entonces forma parte del terreno CSRD. Y eso pasa mucho más a menudo de lo que algunos consejos de administración querrían admitir.

Para CISOs y responsables de cumplimiento, aquí está el giro de fondo: la ciberseguridad deja de ser solo materia de DORA, NIS2, GDPR o ISO 27001. Pasa a ser también un asunto de narrativa corporativa verificable, sujeto a doble materialidad, a controles de reporte y a escrutinio de auditoría limitada —y previsiblemente más exigente con el tiempo. Dicho de forma menos elegante: lo que antes se quedaba en el comité de riesgos ahora puede acabar en el informe de gestión firmado por el consejo.

La base jurídica: dónde mete la CSRD el riesgo digital sin decir “haz un capítulo de ciber”

La clave está en los artículos introducidos o modificados por la CSRD en la Directiva contable 2013/34/UE. Para entidades sujetas a reporte individual, el artículo 19 bis exige incluir en el informe de gestión la información necesaria para comprender los impactos de la empresa sobre cuestiones de sostenibilidad y cómo estas cuestiones afectan a la evolución, resultados y situación de la empresa. Ese es el mecanismo de doble materialidad: impacto hacia fuera e impacto financiero hacia dentro.

Para grupos, el artículo 29 bis hace lo mismo a nivel consolidado. No es un matiz técnico. Es la pieza que obliga a mirar riesgos digitales no solo en la entidad jurídica aislada, sino también en filiales, operaciones, cadenas de suministro tecnológicas y dependencias críticas de grupo.

Ambos artículos exigen, entre otras cosas, información sobre:

• el modelo de negocio y la estrategia, incluida la resiliencia frente a riesgos relacionados con cuestiones de sostenibilidad;
• los objetivos con plazos y avances;
• el papel de los órganos de administración, dirección y supervisión;
• las políticas de la empresa en relación con asuntos de sostenibilidad;
• los principales impactos adversos reales o potenciales relacionados con la cadena de valor;
• los principales riesgos para la empresa y la forma en que se gestionan;
• los indicadores pertinentes.

Si lo aterrizas, la conexión con ciber es obvia. Un ataque de ransomware que paraliza plantas, hospitales, sistemas de pagos o logística no es solo un incidente IT. Afecta resiliencia del modelo de negocio, supervisión del consejo, cadena de valor, riesgos principales y, en algunos sectores, impactos sociales significativos. Una filtración de datos no es solo un problema de privacidad bajo GDPR art. 33 y 34; puede traducirse en pérdida de confianza, litigios, deterioro de ingresos y fallos de gobernanza. Un proveedor SaaS crítico comprometido no es solo vendor risk; puede ser una vulnerabilidad material de la estrategia operacional.

La CSRD, además, obliga a reportar conforme a los European Sustainability Reporting Standards. Ahí es donde el vínculo deja de ser conceptual y se vuelve operativo.

Los ESRS convierten la intuición en obligación estructurada

Los ESRS adoptados por la Comisión mediante el Reglamento Delegado (UE) 2023/2772 no contienen un estándar temático de “ciberseguridad” como tal. Eso ha llevado a algunos a una conclusión perezosa: “si no hay estándar específico, no hace falta entrar”. Precisamente al revés.

Los ESRS transversales, en particular ESRS 1 y ESRS 2, son suficientes para arrastrar la ciberseguridad al reporte cuando sea material. ESRS 1 fija principios generales y la lógica de la doble materialidad. ESRS 2 establece las revelaciones generales sobre gobernanza, estrategia, gestión de impactos, riesgos y oportunidades, y métricas. Ahí es donde viven muchas preguntas que un CISO no puede delegar al equipo de sostenibilidad sin más.

La estructura de ESRS 2 se organiza alrededor de cuatro bloques que cualquier responsable de seguridad debería conocer de memoria, aunque le arruinen la mañana:

• GOV: gobernanza de asuntos de sostenibilidad. Aquí entra la composición, experiencia y papel del órgano de administración y supervisión, así como los flujos de información internos. Si el consejo supervisa riesgos de resiliencia operacional o dependencia de terceros críticos, eso puede requerir trazabilidad documental.
• SBM: estrategia y modelo de negocio. Si la empresa depende de plataformas digitales, datos, identidad digital, automatización industrial o IA para prestar servicios, la resiliencia digital puede ser parte material de la estrategia.
• IRO: proceso para identificar y evaluar impactos, riesgos y oportunidades materiales. Aquí se cruzan la metodología de doble materialidad y el inventario real de riesgos digitales.
• MDR: políticas y acciones, con métricas y objetivos cuando proceda. Traducido: no basta con decir “tenemos política de seguridad”; hay que explicar cómo se gobierna, qué persigue y cómo se sigue.

En la práctica, la ciberseguridad aparece por tres vías dentro de los ESRS.

La primera es la materialidad financiera. Un incidente digital puede afectar ingresos, costes, activos intangibles, continuidad de negocio, capacidad de financiación y litigiosidad. Si la exposición es razonablemente susceptible de afectar a la posición financiera o al desarrollo de la empresa, entra en el perímetro de evaluación.

La segunda es la materialidad de impacto. En algunas industrias, un fallo digital puede causar impactos severos sobre personas o sociedad: interrupción de servicios esenciales, exposición de datos sensibles, riesgos para pacientes, usuarios o empleados, discriminación algorítmica facilitada por mala gobernanza del dato, o efectos sobre trabajadores en entornos de vigilancia digital. Aquí se cruza la agenda ciber con privacidad, derechos fundamentales y gobernanza de IA.

La tercera es la gobernanza. Incluso cuando una empresa concluye que un tema ciber concreto no merece un indicador temático propio en el informe, sigue teniendo que explicar cómo su órgano de administración supervisa riesgos materiales y cómo se integran esos riesgos en el sistema de control y gestión.

Ese es el punto que muchos consejos aún no terminan de comprar. La CSRD no está preguntando “¿tiene usted firewall?”. Está preguntando “¿quién responde por la resiliencia de un negocio digitalizado y cómo lo sabe el consejo?”. Ya no suena tan cómodo.

Doble materialidad: donde el riesgo digital deja de ser un ticket y se convierte en asunto de negocio

La doble materialidad es el verdadero disruptor. No porque sea nueva en el debate ESG, sino porque obliga a reconciliar silos que llevaban años ignorándose con notable disciplina.

Desde la perspectiva de materialidad financiera, el análisis debe valorar cómo cuestiones de sostenibilidad afectan a la empresa. El riesgo digital encaja cuando compromete:

• la continuidad de operaciones críticas;
• la disponibilidad de productos o servicios;
• la integridad de la información financiera o no financiera reportada;
• la dependencia de terceros ICT o proveedores de datos;
• la capacidad de cumplir otras obligaciones regulatorias, incluidas DORA, NIS2 o GDPR;
• la reputación y la retención de clientes;
• el coste de capital, seguros o litigios.

Desde la perspectiva de impacto, el análisis se desplaza hacia los efectos de la empresa sobre personas y sociedad. Aquí el riesgo digital puede materializarse en brechas de datos, explotación insegura de productos conectados, sesgos derivados de mala calidad del dato, vigilancia invasiva de empleados o fallos en servicios esenciales. No todas las compañías llegarán a las mismas conclusiones, pero la obligación no es adivinar la respuesta correcta; es aplicar un proceso defendible y documentado.

Y aquí aparece una incomodidad bastante útil. Muchas empresas llevan años haciendo matrices de riesgos ciber con escalas de probabilidad e impacto financiero, mientras sus evaluaciones ESG avanzan por otro carril con talleres separados, vocabularios distintos y criterios de priorización que no conversan entre sí. La CSRD castiga esa desconexión de facto, aunque no use ese verbo. Si tu evaluación de doble materialidad no ha hablado con el registro de riesgos tecnológicos, lo más probable es que esté incompleta. Si tu registro de riesgos tecnológicos no contempla impactos sociales, privacidad o dependencia de cadena de valor, también.

La buena práctica en 2026 ya no es hacer un “mapeo superficial” entre áreas. Es construir un puente metodológico. No hace falta convertir al CISO en director de sostenibilidad, gracias a Dios. Sí hace falta alinear taxonomías, umbrales y evidencias.

Qué preguntas del reporte deberían activar al CISO antes de que llegue auditoría

Un equipo de seguridad maduro debería revisar el borrador de disclosures CSRD con cierta paranoia sana. Hay frases que parecen inocuas hasta que te das cuenta de que implican controles, comités, evidencias y potencial exposición reputacional.

Por ejemplo, cuando el informe describa la resiliencia del modelo de negocio, la compañía tendrá que sostener esa afirmación con algo más que entusiasmo corporativo. Si una empresa industrial presume de digitalización avanzada, conectividad OT y mantenimiento remoto, ¿explica también cómo gestiona la exposición de esos entornos? Si un grupo financiero dice que su experiencia de cliente depende de canales digitales y analítica avanzada, ¿ha evaluado la concentración en terceros ICT y la capacidad real de recuperación?

Otro punto delicado es la supervisión por el órgano de administración. ESRS 2 exige describir el papel de los órganos de gobierno y la información que reciben. Esto tiene una consecuencia muy concreta: las organizaciones deberían poder demostrar qué reporting recibe el consejo sobre incidentes relevantes, resiliencia, riesgos de terceros, remediación de vulnerabilidades críticas o cumplimiento regulatorio. No vale improvisar una línea en el informe si luego no existen actas, dashboards o escalados formales.

Lo mismo ocurre con los procesos para identificar impactos, riesgos y oportunidades materiales. Si la empresa afirma que integra ciber en su evaluación de doble materialidad, el auditor o el asegurador querrá ver cómo. ¿Se han usado escenarios? ¿Participó el área de seguridad? ¿Se tuvo en cuenta la cadena de valor? ¿Se conectaron incidentes pasados, hallazgos de auditoría, dependencia de proveedores o exposición a datos sensibles? Una frase bonita sin rastro metodológico es una invitación al dolor.

Y luego está el elefante en la sala: los controles sobre la información no financiera. La CSRD no es SOX europeo, pero se acerca a un mundo donde el dato de sostenibilidad debe ser gobernado con disciplina similar a la información financiera. Si en el informe incluyes métricas o afirmaciones sobre resiliencia, formación, incidentes o dependencia de proveedores, alguien tendrá que responder por su origen, exactitud, consistencia temporal y trazabilidad.

El cruce con DORA, NIS2 y GDPR: tres regulaciones que convierten el disclosure en algo comprobable

La razón por la que el riesgo digital entra con tanta fuerza en CSRD no es solo conceptual. También es probatoria. Otras normas europeas ya exigen artefactos, procesos y decisiones que pueden alimentar —o desmentir— lo que la compañía publica en sostenibilidad.

DORA, aplicable desde el 17 de enero de 2025, exige a entidades financieras un marco de gestión del riesgo TIC (art. 6 y siguientes), clasificación y notificación de incidentes (art. 17 y ss.), pruebas de resiliencia operativa digital (art. 24 y ss.) y gestión de terceros ICT (art. 28 y ss.). Si una entidad financiera bajo CSRD describe una gobernanza robusta del riesgo digital, DORA le pone el examen práctico. El consejo tiene responsabilidades expresas en DORA art. 5. Eso hace mucho más difícil esconder la ciberseguridad detrás de una formulación genérica en el reporte.

NIS2, Directiva (UE) 2022/2555, obliga a entidades esenciales e importantes a adoptar medidas técnicas, operativas y organizativas apropiadas y proporcionadas, con una lista concreta en su artículo 21: políticas de análisis de riesgos y seguridad de sistemas, gestión de incidentes, continuidad de negocio, seguridad de la cadena de suministro, seguridad en adquisición, desarrollo y mantenimiento, políticas para evaluar la eficacia de las medidas, formación, criptografía, higiene cibernética, autenticación multifactor y más. También atribuye responsabilidad a los órganos de dirección en el artículo 20. ¿Te suena? Debería. El lenguaje de gobernanza y supervisión conversa casi palabra por palabra con lo que luego la CSRD te obliga a explicar.

GDPR sigue siendo crucial porque la exposición a datos personales es una de las formas más claras en que el riesgo digital genera impacto material y consecuencias financieras. El artículo 32 exige medidas de seguridad apropiadas; el artículo 33 impone notificación de violaciones de datos a la autoridad de control en 72 horas, salvo improbabilidad de riesgo para derechos y libertades; el artículo 34 regula la comunicación a los afectados cuando haya alto riesgo. Si tu organización ha sufrido brechas relevantes o mantiene una exposición alta por volumen y sensibilidad de datos, ese contexto puede ser material para el análisis CSRD, aunque no implique describir cada incidente en el informe público.

La conclusión práctica es incómoda y útil a la vez: la narrativa CSRD sobre riesgo digital no puede ser literatura aspiracional, porque DORA, NIS2 y GDPR ya generan evidencias regulatorias, notificaciones, planes de remediación, actas de consejo y hallazgos de supervisión. Si dices que tu gobernanza es madura y luego tus autoridades sectoriales opinan otra cosa, el desajuste canta solo.

Lo que realmente debe cambiar en la gobernanza: del comité técnico al consejo, con trazabilidad

Durante años, muchas empresas han tratado la ciberseguridad como una función de segunda línea técnica: relevante, sí; estratégica, solo cuando había incendio. La CSRD empuja en dirección contraria. No porque obligue a todos los consejos a convertirse en ingenieros, sino porque les exige hacerse cargo de cómo los riesgos materiales se identifican, se supervisan y se integran en la estrategia.

Eso tiene cinco implicaciones operativas bastante concretas.

La primera es la definición del apetito de riesgo. Si el reporte habla de resiliencia, la organización debería ser capaz de explicar qué niveles de interrupción, dependencia de terceros, exposición a activos críticos o tolerancia a pérdida de datos considera aceptables. Sin ese marco, la supervisión del consejo es teatro corporativo.

La segunda es la calidad del reporting al órgano de administración. No basta con presentar número de ataques bloqueados, esa métrica favorita de dashboards que impresiona poco y explica menos. El consejo necesita indicadores conectados con negocio: exposición a procesos críticos, tiempo de recuperación probado, dependencias de proveedores clave, backlog de vulnerabilidades en activos prioritarios, cobertura de MFA en accesos privilegiados, resultados de pruebas de continuidad, incidentes con impacto operativo o regulatorio.

La tercera es la integración con la cadena de valor. La CSRD mira más allá de la empresa individual. DORA art. 28 también. NIS2 art. 21 también. Si la evaluación de sostenibilidad ignora proveedores cloud, MSPs, software de código abierto crítico o partners con acceso remoto, está retratando un negocio ficticio.

La cuarta es la consistencia entre discurso y presupuesto. Una empresa no puede declarar que la resiliencia digital es esencial para su modelo de negocio y luego tratar los controles básicos como gasto discrecional postergable. Los auditores no valoran la ironía involuntaria.

La quinta es la evidencia. Cualquier afirmación de gobierno del riesgo digital incluida o soportando el reporte debería vincularse a documentos existentes: términos de referencia del comité, matrices de riesgos, actas, políticas aprobadas, resultados de ejercicios de crisis, registros de terceros críticos, evidencias de formación al consejo, informes de auditoría interna o externa, decisiones de remediación y seguimiento.

No todo incidente ciber es material para CSRD. Pero algunos sí lo son, y bastante

Aquí conviene evitar otro exceso. Decir que la ciberseguridad importa para CSRD no significa que cada CVE, cada phishing y cada susto semanal deban reflejarse en el informe de sostenibilidad. Sería absurdo. La lógica sigue siendo materialidad.

Un enfoque razonable distingue entre tres niveles.

El primero es el riesgo estructural: dependencia de infraestructuras digitales, procesos críticos digitalizados, concentración en proveedores, madurez de controles, exposición de datos, integración OT/IT, despliegue de IA, identidad digital, etcétera. Esto suele ser más relevante para disclosure que la casuística del incidente concreto.

El segundo es el evento significativo: un incidente con impacto real en operaciones, clientes, cumplimiento, costes o reputación. No todos terminarán siendo divulgados con detalle, pero sí pueden influir en la evaluación de riesgos materiales, en la descripción de resiliencia o en las acciones tomadas.

El tercero es el impacto sobre personas o sociedad: fallos que comprometen servicios esenciales, datos de categorías especiales, seguridad física, acceso a prestaciones críticas o derechos fundamentales. Aquí la conexión con sostenibilidad y gobernanza se vuelve mucho más fuerte.

La materialidad, por tanto, no se resuelve preguntando “¿hubo incidente?”. Se resuelve preguntando “¿qué revela esto sobre nuestra exposición, resiliencia y capacidad de gobierno?”. Ese matiz separa el reporting serio del postureo regulatorio.

Qué deberían hacer ahora los CISOs y compliance officers si no quieren enterarse tarde

No hace falta lanzar un proyecto paralelo con nombre grandilocuente. Hace falta meter orden. Si tu compañía reporta o va a reportar bajo CSRD, estas líneas de trabajo ya no son opcionales.

1. Revisar la evaluación de doble materialidad con lente digital

El equipo de seguridad debe sentarse en la mesa donde se decide qué es material. No como invitado decorativo. Hay que revisar escenarios de interrupción de operaciones, dependencia de terceros, exposición de datos, riesgos de IA y conectividad OT/IoT cuando existan. También conviene mapear qué riesgos tienen dimensión de impacto social o de derechos fundamentales, no solo financiera.

2. Traducir el registro de riesgos ciber al lenguaje de ESRS

Muchos registros de riesgos están escritos para segunda línea, auditores técnicos o supervisores sectoriales. La CSRD exige otra capa: explicar cómo esos riesgos afectan estrategia, resiliencia y modelo de negocio. Esa traducción no es cosmética. Obliga a revisar definiciones, umbrales y vínculos con objetivos corporativos.

3. Auditar la evidencia de gobernanza del consejo

¿Qué recibe exactamente el órgano de administración? ¿Con qué frecuencia? ¿Quién eleva incidentes o brechas de control? ¿Hay formación específica? ¿Se documentan decisiones y seguimiento? DORA art. 5 y NIS2 art. 20 ya empujan en esa dirección. La CSRD hará visible si ese gobierno existe de verdad.

4. Poner orden en las métricas antes de publicarlas

Si la compañía pretende comunicar objetivos, cobertura de controles, incidentes significativos, formación, tiempos de recuperación o dependencia de terceros, debe decidir desde ya definiciones, fuentes y responsables. Un dato de resiliencia sin owner, sin periodo de referencia y sin control de calidad es una futura discusión con auditoría.

5. Integrar cadena de valor y terceros críticos

La evaluación CSRD no puede vivir desconectada del inventario de terceros ICT, de los contratos críticos o de los resultados de due diligence. En el sector financiero, DORA ha hecho esta conversación inevitable. Fuera de finanzas, sigue habiendo demasiadas empresas que hablan de resiliencia mientras externalizan riesgos que no saben medir.

6. Coordinar disclosure con jurídico, privacidad, riesgos y auditoría interna

La ciberseguridad no puede redactar sola, pero tampoco puede dejar que otro redacte por ella. Jurídico debe revisar sensibilidad de la información; privacidad debe conectar brechas y exposiciones de datos; riesgos debe alinear taxonomías; auditoría interna puede validar si los controles descritos existen y funcionan. Esto no es burocracia simpática. Es control de daños preventivo.

Tabla práctica: dónde se cruza la CSRD con el gobierno del riesgo digital

Implicaciones para entidades financieras españolas

En banca, seguros, pagos y otras entidades financieras sujetas a DORA, la convergencia con CSRD es especialmente intensa. No porque la CSRD sea una norma sectorial financiera, sino porque el sector ya tiene un nivel de formalización del riesgo digital que hace más visible cualquier inconsistencia.

Una entidad financiera española que reporte bajo CSRD en 2026 se enfrenta a una doble exigencia. Por un lado, debe cumplir con DORA desde 2025, con todo lo que ello implica en gestión del riesgo TIC, incidentes, pruebas y terceros. Por otro, debe explicar bajo CSRD cómo su órgano de administración supervisa riesgos materiales y cómo esos riesgos afectan resiliencia y estrategia. Si el comité de riesgos recibe reporting ciber mensual, si hay mapas de terceros críticos cloud, si se han ejecutado pruebas avanzadas de resiliencia, eso puede fortalecer el relato CSRD. Si no existe coherencia entre lo que se reporta al supervisor y lo que se publica a inversores, la fricción será inmediata.

Además, las entidades españolas están acostumbradas a un entorno de supervisión donde el gobierno interno importa tanto como el control técnico. Banco de España, CNMV y DGSFP llevan años insistiendo en gobierno, control interno y gestión de riesgos. La CSRD no inventa ese lenguaje; lo amplía hacia sostenibilidad y doble materialidad. El CISO del sector financiero ya no está solo defendiendo presupuesto ante Tecnología o Riesgos. También está alimentando disclosure corporativo susceptible de verificación externa.

Para fintechs y entidades de pago en crecimiento, el reto es distinto: pasar de una gobernanza ágil y a veces improvisada a una gobernanza demostrable. El mercado perdona muchas cosas a una startup; la combinación de DORA, GDPR y CSRD, bastante menos.

El error más común: confundir “reporte de sostenibilidad” con “capítulo ESG” aislado del control interno

La CSRD no está creando un apéndice bonito del informe anual. Está metiendo información de sostenibilidad en el circuito duro de reporting corporativo. Eso tiene dos consecuencias que todavía se infravaloran.

La primera es que el dato de sostenibilidad debe tener gobierno. No solo el dato de emisiones o diversidad. También cualquier información sobre resiliencia, riesgos, políticas o acciones si se presenta como parte del retrato material de la empresa. Este cambio acerca el reporting no financiero a prácticas de control interno más propias de reporting financiero, aunque el régimen jurídico no sea idéntico.

La segunda es que el consejo firma sobre un documento donde la ciberseguridad puede aparecer de forma explícita o implícita como riesgo material, dependencia estratégica o cuestión de gobernanza. Eso eleva el coste reputacional de improvisar. También eleva el valor del CISO que sabe hablar en lenguaje de negocio y no solo en jerga técnica.

Hay una ironía deliciosa en todo esto. Durante años, algunos equipos de seguridad han pedido más atención del consejo y más integración con la estrategia. Ahora que una norma de reporting les abre esa puerta, no todos parecen encantados con la idea de tener que documentarlo y someterlo a verificación. Bienvenidos a la mayoría de edad corporativa.

Lo que viene después: assurance, comparabilidad y menos margen para el cuento

La tendencia es clara. La CSRD exige aseguramiento limitado de la información de sostenibilidad y deja abierta la evolución hacia requisitos más robustos con el tiempo. Eso significa que las afirmaciones blandas irán perdiendo espacio frente a descripciones verificables, consistentes y comparables.

Para la ciberseguridad, el efecto probable en 2026 y los próximos ejercicios es doble. Primero, veremos más presión interna para formalizar el vínculo entre riesgos digitales y disclosures de gobernanza y resiliencia. Segundo, aumentará el escrutinio sobre la calidad del proceso que lleva a declarar un tema como material o no material. No hará falta que el auditor opine sobre la arquitectura de red para preguntar si la empresa consideró adecuadamente dependencias tecnológicas críticas al describir la resiliencia de su modelo de negocio.

El movimiento regulatorio europeo va en la misma dirección: DORA, NIS2, AI Act, GDPR y la propia CSRD están empujando a las empresas hacia una gobernanza más integrada del riesgo tecnológico. Cada norma tiene su objeto. Juntas dibujan un mensaje mucho más ambicioso: el riesgo digital ya no es un subapartado técnico, sino una variable de gobierno corporativo, resiliencia operativa y creación —o destrucción— de valor.

Quien siga viendo el reporte de sostenibilidad como una tarea del equipo ESG con apoyo ocasional de Legal llegará tarde. El trabajo serio empieza cuando sostenibilidad, riesgos, seguridad, privacidad, compras, finanzas y consejo comparten una misma pregunta: ¿qué parte de nuestra capacidad para crear valor depende de que lo digital no falle, y podemos demostrarlo?

Si tu organización no tiene todavía una respuesta sólida, no estás sola. Pero tampoco te quedan muchas excusas.