¿Qué normativa me aplica? Descúbrelo en 2 minutos.

Cinco normativas, un solo punto de partida.

Entre 2022 y 2026, el marco de cumplimiento normativo para empresas españolas se ha vuelto denso de golpe. El Esquema Nacional de Seguridad (ENS) lleva desde 2010 exigiendo medidas de seguridad a la Administración y a sus proveedores tecnológicos. La Directiva NIS2 amplía el perímetro de la ciberseguridad obligatoria a sectores enteros de la economía, con o sin contrato público de por medio. El Reglamento DORA hace lo propio con el sector financiero y sus proveedores tecnológicos. El AI Act europeo empieza a exigir obligaciones concretas a quien desarrolla o usa sistemas de inteligencia artificial. Y el RGPD, el más veterano de todos, sigue aplicando a prácticamente cualquier empresa que trate datos de personas — que son todas.

El problema no es la falta de información: hay guías extensas sobre cada normativa por separado. El problema es que nadie te dice, cruzando tu sector, tu tamaño y tu actividad concreta, cuáles de las cinco te tocan realmente y cuáles no. Una pyme de fabricación industrial de 80 empleados puede estar dentro del Anexo II de la NIS2 sin saberlo. Una consultora de 6 personas que vende un chatbot de selección de personal puede ser "proveedor de IA de alto riesgo" bajo el AI Act sin haberse planteado nunca esa etiqueta. Un despacho que no toca ni una Administración Pública puede dar por hecho, erróneamente, que el ENS no le afecta nunca — hasta que se presenta a un concurso.

Qué evalúa cada bloque del test

ENS — Regulado por el Real Decreto 311/2022, obliga al sector público y a las empresas privadas que, mediante relación contractual, prestan servicios tecnológicos a una Administración Pública. Si no trabajas con AAPP, hoy no te aplica.

NIS2 — La directiva europea de ciberseguridad clasifica los sectores en dos anexos de criticidad y fija el umbral de aplicación en la mediana empresa (a partir de 50 empleados o 10 millones de euros de facturación/balance). En España, la ley que la traspone —la Ley de Coordinación y Gobernanza de la Ciberseguridad— sigue en tramitación parlamentaria, pero las obligaciones de fondo ya se exigen en la práctica.

DORA — Es de aplicación directa (no necesita trasposición) desde el 17 de enero de 2025 y afecta a más de veinte tipos de entidades financieras, además de a los proveedores terceros de servicios TIC que les dan soporte crítico.

AI Act — El Reglamento (UE) 2024/1689 distingue entre "proveedores" (quien desarrolla o comercializa sistemas de IA) y "desplegadores" (quien los usa bajo su autoridad), y clasifica el riesgo según el uso: los sistemas del Anexo III (RRHH, crédito, sanidad, biometría, justicia…) se consideran de alto riesgo. La aplicación general del reglamento llega el 2 de agosto de 2026; las obligaciones específicas de los sistemas de alto riesgo del Anexo III se han aplazado al 2 de diciembre de 2027 tras el Digital Omnibus aprobado en junio de 2026.

RGPD — Aplica a cualquier empresa que trate datos personales, sin excepción de tamaño. Lo que varía es la intensidad de las obligaciones: si el Delegado de Protección de Datos es obligatorio, si el Registro de Actividades de Tratamiento tiene alguna exención (empresas de menos de 250 empleados con tratamientos ocasionales y sin datos sensibles) y si hace falta una Evaluación de Impacto (EIPD) antes de empezar a tratar ciertos datos.

Si tras el test alguna de las cinco normativas te aplica y no sabes por dónde empezar, en auditoría de IA y gobernanza y en la consultoría de cumplimiento del AI Act tienes el detalle de cómo se aborda cada una en la práctica, con plazos y entregables reales.