La normativa española de ciberseguridad incluye RGPD, ENS (RD 311/2022), la nueva directiva de ciberseguridad NIS2 (Directiva UE 2022/2555), DORA y la futura Ley de IA europea.
Si vendes a la Administración, el ENS y el AI Act te caen a la vez y las garantías que te van a exigir por contrato están en AI Act y ENS para proveedores de la AAPP.
El panorama normativo de ciberseguridad en España se ha complicado significativamente en los últimos años. Donde antes solo existían el RGPD y el ENS, ahora hay que contemplar la Directiva NIS2, el Reglamento DORA, la Ley de Inteligencia Artificial y sus respectivas transposiciones nacionales. Para un empresario, la pregunta no es si alguna de estas normas le afecta, sino cuáles y en qué medida. Esta guía proporciona un mapa completo y práctico de todas las regulaciones de ciberseguridad vigentes en España y una estrategia para abordar su cumplimiento de forma integrada.
RGPD y LOPDGDD: la protección de datos personales
El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) son las normas que regulan cómo las empresas tratan datos personales. Afectan a todas las empresas sin excepción, desde el autónomo que tiene una lista de clientes en una hoja de cálculo hasta la multinacional con millones de registros.
Los requisitos de ciberseguridad del RGPD se concentran en el artículo 32, que exige implementar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. Esto incluye la seudonimización y el cifrado de datos personales, la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas, la capacidad de restaurar el acceso a los datos en caso de incidente, y un proceso de verificación y evaluación periódica de la eficacia de las medidas.
Las sanciones por incumplimiento pueden alcanzar los 20 millones de euros o el 4% de la facturación global anual, lo que sea mayor. La AEPD impone sanciones crecientes cada año: en 2025 se superaron los 40 millones de euros en multas a empresas españolas.
Consulta mi guía completa del RGPD para empresas para un análisis detallado de todos los requisitos.
Esquema Nacional de Seguridad (ENS)
El ENS (Real Decreto 311/2022) establece los requisitos de seguridad para los sistemas de información del sector público y de sus proveedores. Su ámbito de aplicación incluye a todas las Administraciones Públicas y a todas las empresas que les prestan servicios tecnológicos.
Los requisitos se estructuran en 73 controles organizados en tres marcos (organizativo, operacional y medidas de protección), con niveles de exigencia que varían según la categoría del sistema (BÁSICA, MEDIA o ALTA). La certificación es obligatoria para sistemas de categoría MEDIA y ALTA.
El impacto en el sector empresarial es creciente: cada vez más pliegos de licitación exigen la certificación ENS como requisito de solvencia, y la tendencia se acelera conforme la digitalización del sector público avanza.
Consulta mi guía definitiva del ENS para un análisis exhaustivo del marco normativo.
Directiva NIS2: seguridad de redes y sistemas de información
La Directiva (UE) 2022/2555, conocida como NIS2, es la evolución de la Directiva NIS original y supone un salto cualitativo en las obligaciones de ciberseguridad para un amplio espectro de empresas europeas. Su transposición al ordenamiento español se ha producido a través de la Ley de Coordinación y Gobernanza de la Ciberseguridad.
NIS2 afecta a dos categorías de entidades. Las entidades esenciales incluyen energía, transporte, banca, infraestructuras de mercados financieros, sanidad, suministro de agua potable, infraestructura digital, gestión de servicios TIC B2B, administración pública y espacio. Las entidades importantes incluyen servicios postales, gestión de residuos, fabricación de productos químicos, producción y distribución de alimentos, fabricación en general, proveedores de servicios digitales (marketplaces, motores de búsqueda, redes sociales) e investigación.
Los requisitos principales de NIS2 son la adopción de medidas de gestión de riesgos de ciberseguridad proporcionadas, la notificación de incidentes significativos en plazos estrictos (24 horas para la alerta inicial, 72 horas para la notificación completa), la responsabilidad de los órganos de dirección (que deben aprobar y supervisar las medidas de ciberseguridad, con responsabilidad personal en caso de incumplimiento), y la gestión de la seguridad de la cadena de suministro.
Las sanciones son severas: hasta 10 millones de euros o el 2% de la facturación para entidades esenciales, y hasta 7 millones o el 1,4% para entidades importantes.
DORA: resiliencia operativa digital para el sector financiero
El Reglamento (UE) 2022/2554, conocido como DORA (Digital Operational Resilience Act), establece requisitos específicos de ciberseguridad y resiliencia operativa para entidades financieras: bancos, aseguradoras, empresas de inversión, entidades de pago, proveedores de servicios de criptoactivos y, crucialmente, sus proveedores críticos de servicios TIC.
Los requisitos de DORA incluyen un marco de gestión del riesgo TIC, la clasificación y notificación de incidentes relacionados con las TIC, las pruebas de resiliencia operativa digital (incluyendo pruebas de penetración avanzadas basadas en amenazas), la gestión del riesgo de terceros proveedores TIC, y el intercambio de información sobre amenazas.
Si tu empresa es proveedora de servicios tecnológicos para entidades financieras, DORA le afecta directamente. Los contratos con entidades financieras deberán incluir cláusulas específicas de seguridad, y los proveedores críticos estarán sujetos a supervisión directa.
Ley de Inteligencia Artificial (AI Act)
El Reglamento (UE) 2024/1689 sobre Inteligencia Artificial clasifica los sistemas de IA por niveles de riesgo y establece obligaciones diferenciadas para cada nivel. Aunque no es una norma de ciberseguridad en sentido estricto, incluye requisitos de seguridad y robustez para los sistemas de IA de alto riesgo que afectan directamente a la estrategia de ciberseguridad de las empresas que los desarrollan o despliegan.
Los sistemas de IA de alto riesgo (que incluyen los utilizados en RRHH, crédito, seguros, acceso a servicios públicos y seguridad) deben cumplir requisitos de ciberseguridad específicos: resistencia a manipulaciones, robustez frente a datos adversariales, y mecanismos de protección contra accesos no autorizados.
Estrategia de cumplimiento integrado: no multiplique esfuerzos
La peor estrategia es abordar cada normativa como un proyecto separado. La mejor es diseñar un sistema de gestión de seguridad integrado que cubra los requisitos comunes a todas las normas y añada los requisitos específicos como capas adicionales.
El enfoque integrado utiliza ISO 27001 como base (cubre el 70-80% de los requisitos comunes), añade los controles específicos del ENS para el sector público, incorpora los requisitos de notificación y gobernanza de NIS2, añade la capa financiera de DORA si aplica, e integra el cumplimiento del RGPD como componente transversal de protección de datos.
Este enfoque reduce costes (un solo análisis de riesgos, una sola política de seguridad, un solo programa de formación), elimina contradicciones entre sistemas paralelos, simplifica la gobernanza y el reporting, y facilita las auditorías (un solo sistema que demostrar).
Consulta mi artículo comparativo ENS vs el estándar de seguridad de la información para entender cómo integrar ambos marcos.
¿Qué criterios exigir a un proveedor para cumplir NIS2, DORA, ENS y AI Act?
A un proveedor conviene exigirle cuatro criterios verificables: conformidad con el ENS si presta servicios al sector público (certificación en categoría MEDIA o ALTA), un sistema de gestión de seguridad certificado (ISO 27001), procedimientos de gestión y notificación de incidentes compatibles con los plazos de NIS2 y DORA, y documentación técnica de sus sistemas de IA conforme al AI Act.
El criterio de fondo es siempre el mismo: no aceptar declaraciones genéricas de seguridad, sino evidencias emitidas o verificables por terceros. La profundidad depende del contrato: para servicios al sector público, el propio Real Decreto 311/2022 hace exigible el ENS a los proveedores; para entidades financieras, DORA impone cláusulas contractuales concretas a sus proveedores TIC; y para sistemas de IA de alto riesgo, el AI Act exige documentación técnica y robustez demostrables.
¿Qué evidencias de cumplimiento pedir en una licitación?
En una licitación, pide evidencias emitidas por terceros y no autodeclaraciones: certificado de conformidad con el ENS expedido por una entidad acreditada por ENAC, certificado ISO 27001 cuyo alcance cubra el servicio licitado, informe de la última auditoría, declaración de aplicabilidad y procedimiento documentado de notificación de incidentes con plazos concretos.
| Criterio | Evidencia que pedir | Norma de referencia |
|---|---|---|
| Seguridad acreditada frente al sector público | Certificación de conformidad con el ENS (categoría MEDIA o ALTA) o declaración de conformidad (categoría BÁSICA) | ENS · Real Decreto 311/2022 |
| Sistema de gestión de la seguridad de la información | Certificado ISO/IEC 27001 con alcance que cubra el servicio contratado | ISO/IEC 27001 (base común de los cuatro marcos) |
| Gestión y notificación de incidentes | Procedimiento documentado con plazos: alerta temprana en 24 horas y notificación completa en 72 horas | NIS2 · Directiva (UE) 2022/2555, art. 23 |
| Resiliencia operativa y riesgo de terceros TIC | Cláusulas contractuales obligatorias: derechos de acceso, auditoría e inspección, condiciones de subcontratación y estrategias de salida | DORA · Reglamento (UE) 2022/2554, art. 30 |
| Sistemas de IA de alto riesgo | Documentación técnica del sistema y evidencias de precisión, robustez y ciberseguridad | AI Act · Reglamento (UE) 2024/1689, arts. 11 y 15 |
| Protección de datos personales | Contrato de encargo de tratamiento y medidas técnicas y organizativas del artículo 32 | RGPD · Reglamento (UE) 2016/679, arts. 28 y 32 |
La distinción decisiva está en quién emite la evidencia. En el ENS, los sistemas de categoría MEDIA y ALTA requieren certificación por una entidad acreditada; solo la categoría BÁSICA admite la autoevaluación mediante declaración de conformidad. Comprueba también la vigencia: la auditoría del ENS es bienal (art. 31 del Real Decreto 311/2022), así que un certificado sin fecha reciente merece preguntas.
¿Qué garantías contractuales y técnicas ofrecen las plataformas?
Las plataformas ofrecen tres tipos de garantías: certificaciones verificables (ENS, ISO 27001), compromisos contractuales (acuerdos de nivel de servicio, contrato de encargo de tratamiento, derechos de auditoría, notificación de incidentes y cláusulas de salida) y medidas técnicas documentadas (cifrado, control de accesos, registro de actividad). Ninguna plataforma garantiza por sí sola tu cumplimiento: la responsabilidad sigue siendo del cliente.
Para servicios en la nube destinados al sector público español, comprueba si el servicio figura en el catálogo CPSTIC del CCN o dispone de certificación ENS con el alcance adecuado. En el sector financiero, DORA obliga a que los contratos con proveedores TIC incluyan cláusulas concretas (art. 30): derechos de acceso, auditoría e inspección, condiciones de subcontratación y estrategias de salida. En sistemas de IA, la garantía relevante es la documentación técnica del proveedor, no sus promesas comerciales: pídela antes de firmar. Tienes las cláusulas tipo, criterio a criterio, en mi checklist de cláusulas de ciberseguridad para contratos con proveedores.
¿No sabes qué normativas de ciberseguridad aplican a tu empresa? Hablamos y preparo un análisis personalizado que identifique tus obligaciones y te proponga la estrategia de cumplimiento más eficiente.
Autoría: Ángel Ortega Castro · consultor independiente en estrategia, calidad y digitalización para PYMEs. Última revisión: julio de 2026. Relacionado: Auditoría de Ciberseguridad: Evaluación Completa.
Preguntas frecuentes en profundidad
¿A qué empresas aplica cada normativa de ciberseguridad?
RGPD: a toda empresa que trate datos personales (prácticamente cualquiera). ENS: a administración pública y a empresas que le prestan servicios TIC. NIS2: a sectores esenciales (energía, transporte, sanidad, agua, infraestructuras digitales, gestores TIC) y sectores importantes (servicios postales, gestión de residuos, química, alimentación, fabricación, proveedores digitales) con plantilla >50 personas o facturación >10 M€.
DORA: exclusivamente al sector financiero (bancos, aseguradoras, gestoras, fintech) y sus proveedores TIC críticos. Una pyme industrial típica puede tener RGPD + posiblemente NIS2; un proveedor TIC del sector público sumaría ENS.
¿Cuáles son las sanciones máximas de cada marco?
RGPD: hasta 20 millones de euros o 4 % del volumen de negocio global. NIS2: hasta 10 millones o 2 % del volumen para sectores esenciales, 7 millones o 1,4 % para importantes. DORA: hasta 1 % del volumen de negocio diario hasta corregir, con tope total significativo. ENS: las sanciones son administrativas vía Ley 39/2015 y las consecuencias suelen ser pérdida de contratos públicos.
Las sanciones se han impuesto repetidamente: AEPD publica multas RGPD a diario, y los reguladores NIS2 y DORA empezarán su actividad sancionadora sostenida durante 2026.
¿Cómo se implantan los cuatro marcos sin duplicar trabajo?
Con una arquitectura única de seguridad alineada con ISO 27001 como base, mapeada a los controles específicos de cada marco. El 60-70 % de los controles son comunes (gestión de identidades, registro de actividad, gestión de incidentes, copias de seguridad, formación), y los específicos se construyen encima.
El error frecuente es contratar consultorías separadas para cada marco. Tres consultorías independientes generan tres sistemas redundantes que el equipo no puede mantener. Una arquitectura única bien diseñada ahorra 40-60 % del coste total de cumplimiento.
¿Qué fechas clave debo recordar?
DORA: aplicable desde el 17 de enero de 2025. NIS2: trasposición española obligatoria desde octubre de 2024, plazos de adecuación según el sector. ENS RD 311/2022: plazo finalizado en mayo de 2024 para administración pública. RGPD: vigente desde mayo de 2018, sin fecha de adecuación pendiente.
Para 2026 los reguladores ya están en modo sancionador activo. Quien empieza el proyecto en 2026 lo hace bajo presión, no con margen.
¿Quién supervisa cada normativa en España?
RGPD: Agencia Española de Protección de Datos (AEPD) más las autoridades autonómicas en País Vasco, Cataluña y Andalucía. ENS: Centro Criptológico Nacional (CCN) más la Secretaría General de Administración Digital. NIS2: el INCIBE-CERT y el CNI-CCN según sector, con la SETelecomunicaciones como autoridad nacional. DORA: el Banco de España, CNMV y DGSFP coordinadamente.
Cada autoridad tiene su canal de notificación de incidentes con plazos distintos: 72 horas RGPD, 24/72 horas NIS2 según gravedad, 4 horas DORA para incidentes graves del sector financiero.
¿Cuánto cuesta implantar el cumplimiento integral en una PYME?
Para una PYME industrial de 50-200 personas con RGPD + NIS2: 35.000-90.000 € de implantación inicial + 15.000-40.000 € anuales de mantenimiento y auditorías. Para un proveedor TIC del sector público que suma ENS: 50.000-130.000 € iniciales + 25.000-60.000 € anuales. Para entidades financieras DORA: cifras significativamente mayores por la criticidad del sector.
Hay líneas de financiación específicas: Kit Consulting cubre asesoramiento en ciberseguridad para pymes de 10 a 249 empleados —los autónomos sin empleados quedan fuera— con 6.000 € por servicio, dentro de un bono total de 12.000 a 24.000 € según plantilla; hoy su convocatoria figura finalizada. INCIBE ofrece servicios gratuitos de diagnóstico inicial para microempresas.
¿Necesitas ayuda con esto?
Trabaja conmigo en Auditoría y plan de ciberseguridad
Consultoría a medida en ciberseguridad para PYMEs. Primera sesión sin coste.
Agendar sesión →En el marco de la normativa de tecnología e inteligencia artificial, el AI Act (Reglamento UE 2024/1689) establece obligaciones específicas para sistemas de IA a partir de agosto de 2026, complementando el marco de ciberseguridad del ENS y la NIS2.
Este mapa le dice qué normas existen. Cuáles le aplican a usted y en qué orden atacarlas es otra conversación: aquí tiene todo lo que trabajo en ciberseguridad y cumplimiento.
Herramientas gratuitas relacionadas
Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.