Tranquilidad
Una lista única y actualizada y un informe, en lugar de buscar a ciegas.
Un papel que en el ámbito internacional se conoce como «fractional CIO» (CIO a tiempo parcial), con una diferencia: no asumo el departamento de TI ni su presupuesto. Traduzco las intenciones de la dirección en requisitos, reviso las recomendaciones de TI y represento los intereses del cliente ante los proveedores.
Las preguntas cuya respuesta conviene conocer.
Si la respuesta a alguna es «no lo sabemos», es justo ahí donde puedo ayudar. Se las planteo a consejos de dirección, secretarios, alcaldes y presidentes antes de que se tomen las decisiones y empiece a fluir el dinero.
- ¿Quién en la organización ve hoy todos los proyectos, riesgos y plazos en una sola lista?
- ¿De qué nos enteramos demasiado tarde?
- ¿Quién defiende nuestros intereses ante los proveedores cuando el departamento de TI está absorbido por el mantenimiento?
- ¿Qué decisiones no deberíamos tomar sin una opinión independiente?
Qué gana usted con ello.
Mejores resultados
Los proyectos terminan conforme al objetivo, porque alguien vela por el conjunto.
Menos escollos y errores
Alerta temprana de riesgos y una opinión independiente antes de una compra importante.
El coste de un error en esta etapa. Los proyectos sin responsable ni lista común se retrasan en silencio, y del problema se enteran cuando ya es caro. Un asesor suele costar menos que una tecnología mal elegida, un proveedor inadecuado o una trampa en el contrato.
Alguien tiene que velar por el conjunto.
Cuando hay varios proyectos y el departamento de TI apenas da abasto con el mantenimiento de los sistemas, falta alguien que vele a diario por el conjunto. Como coordinador permanente del lado del cliente, llevo los registros, recojo los estados, recuerdo los plazos y escalo cuando un asunto se atasca.
Qué obtiene usted.
- Una reunión mensual con el secretario o el presidente y el responsable de TI, y un informe mensual de operaciones y riesgos.
- Una revisión trimestral de riesgos y contratos críticos, y una opinión antes de cualquier compra importante.
- Los primeros 90 días: un diagnóstico inicial y las posibles «señales de alarma» urgentes, la puesta en marcha de los registros y de la revisión de contratos, y un informe para la dirección con una hoja de ruta de 12 a 24 meses.
KSC y NIS 2 desde la dirección.
La reforma de la ley del sistema nacional de ciberseguridad (KSC) está en vigor desde el 3 de abril de 2026. Las obligaciones recaen en la dirección, no solo en el departamento de TI: la dirección responde de la implantación, debe recibir formación y desde 2028 puede ser sancionada. El trabajo técnico lo hacen especialistas y proveedores. Pero alguien tiene que dirigirlo, y en muchas administraciones y empresas no hay un responsable de TI con tiempo para ello. Esa parte la asumo yo como fractional CIO: no soy especialista en seguridad; me ocupo de que la implantación sea completa, esté documentada y llegue a tiempo.
Determino si la organización está sujeta a la ley y en qué condición, así como el alcance, los responsables y el calendario. Llevo la documentación: inventario de sistemas y proveedores, registro de riesgos, procedimientos (incluida la vía de notificación de incidentes en 24 y 72 horas) y las evidencias para el auditor. Vigilo los plazos, las tareas del propio equipo de TI y de los proveedores, y las cláusulas de los contratos. Hago a los proveedores, a TI y al auditor las preguntas que debería hacer la dirección, y compruebo que las respuestas tengan respaldo. Cada mes la dirección recibe una página: situación, riesgos y decisiones pendientes.
Lo que no hago.
Pruebas de penetración, monitorización de seguridad (SOC), configuración de sistemas ni la auditoría en sí. De eso se encargan empresas especializadas; ayudo a elegirlas, a definir el encargo y a validar el trabajo entregado.
Próximos plazos. Hasta el 3 de abril de 2027, sistema de gestión de la seguridad de la información y gestión de incidentes implantados; desde el 3 de abril de 2028, primera auditoría de las entidades esenciales y posibles sanciones.
Cómo trabajo en esta etapa.
- Los primeros 90 díasUn diagnóstico inicial y las posibles «señales de alarma» urgentes, la puesta en marcha de los registros y de la revisión de contratos, y un informe para la dirección con una hoja de ruta de 12 a 24 meses.
- Un ritmo estableEstados y reuniones, registros, informe mensual para la dirección. El ritmo se ajusta al número de proyectos y al tiempo del que dispone su departamento de TI.
- El principio de la colaboraciónCada acción tiene un responsable de su lado. No asumo la ejecución ni decido por ustedes.
Cuando hay varios proyectos y el departamento de TI apenas da abasto con el mantenimiento de los sistemas, falta alguien que vele a diario por el conjunto. Como coordinador permanente del lado del cliente, llevo los registros de proyectos, acciones, riesgos, decisiones y documentos, recojo los estados, recuerdo los plazos y escalo cuando un asunto se atasca. No asumo la ejecución ni decido por ustedes: cada acción tiene un responsable de su lado.
- Una lista única y actualizada de proyectos, acciones, riesgos, decisiones y documentos, con responsable, plazo y estado.
- Estados semanales y reunión de estado con nota y lista de acciones, e informe mensual para el secretario, el presidente o la dirección.
- Recordatorios, control de que la documentación esté completa, alerta temprana de riesgos y preparación del escalado.
- Coordinación de la información con los proveedores: estados, compromisos y plazos.
El ritmo se ajusta al número de proyectos y al tiempo del que dispone su departamento de TI:
- Básico, una vez al mes: actualización de los registros, hasta dos reuniones de estado e informe mensual.
- Regular, cada semana: estados, reunión de estado, registros, seguimiento e informe mensual para la dirección.
- Intensivo, una o dos veces por semana: una cartera de proyectos mayor, las dependencias entre ellos y planes de recuperación para los proyectos en riesgo.
- Transitorio, varias veces por semana: durante unos meses, cuando la organización tiene un vacío en la gestión de proyectos y hay que ordenar la cartera con rapidez. Después se vuelve a un ritmo más ligero.
Mi competencia en esta etapa.
Asesoro a las direcciones desde la perspectiva de quien conoce tanto la TI como el negocio, y reúno el conocimiento necesario para que cada proyecto sirva a los objetivos de negocio fijados.
Transformación digital y gestión del cambio.
Es la competencia clave que une todas las etapas: más de 20 años de trabajo en numerosas organizaciones, del lado del cliente.
Preguntas más frecuentes sobre esta etapa.
¿Asume usted nuestro departamento de TI?
No. No asumo el departamento de TI ni su presupuesto. Traduzco las intenciones de la dirección en requisitos, reviso las recomendaciones de TI y represento los intereses del cliente ante los proveedores.
¿Con qué frecuencia nos reunimos?
El ritmo se ajusta al número de proyectos y al tiempo del que dispone su departamento de TI: desde el básico (una vez al mes), pasando por el regular (cada semana) y el intensivo, hasta el transitorio, de unos meses.
¿Es usted especialista en ciberseguridad?
No, y no pretendo serlo. En materia de KSC, mi papel es dirigir la implantación desde el lado de la dirección: documentación, plazos, proveedores, informe. El trabajo técnico y la auditoría los realizan empresas especializadas; yo me aseguro de que reciban un encargo claro y de que la dirección sepa qué se deriva de él.
Hablemos de esta etapa.
La primera conversación dura 30 minutos y no cuesta nada. Respondo en 2 días laborables.