Guía rápida: ¿qué normativa me aplica?

Esto no es asesoría legal: es una orientación rápida para saber por dónde empezar a mirar. El criterio real depende de tu sector, tamaño y con quién trabajas — el test interactivo lo calcula por ti en 10 preguntas.

RGPD (protección de datos)

Te aplica siempre, sea cual sea el tamaño de tu empresa, en cuanto tratas datos de personas físicas (clientes, empleados, proveedores). No depende del sector ni de la facturación.

ENS · Esquema Nacional de Seguridad

Aplica principalmente si tu empresa presta servicios, mediante contrato, a alguna Administración Pública, o si tu organización es un organismo del sector público. Si no trabajas con AAPP, normalmente no te aplica de forma obligatoria (aunque puede servirte como marco de buenas prácticas).

NIS2 (ciberseguridad)

Piensa en sectores esenciales o importantes: energía, transporte, banca, sanidad, agua, infraestructura digital, espacio, entre otros — y, dentro de ellos, normalmente a partir de mediana empresa (50+ empleados o cierto volumen de facturación/balance). España debía transponer la directiva antes de octubre de 2024; a la fecha de esta guía la ley nacional puede seguir en tramitación, pero los reguladores y clientes europeos ya están exigiendo su contenido en la práctica.

DORA (resiliencia operativa digital)

Aplica a entidades financieras (bancos, aseguradoras, gestoras, fintech reguladas...) y a los proveedores TIC que les dan servicio crítico. Si no eres una entidad financiera ni trabajas para una, normalmente no te aplica.

AI Act (Reglamento europeo de IA)

No depende del tamaño de tu empresa, sino de si desarrollas o comercializas sistemas de inteligencia artificial, o si usas sistemas de IA de terceros en tu actividad — y, sobre todo, del ámbito en que se usa ese sistema (cuanto más sensible el uso — selección de personal, crédito, salud... — mayor el nivel de exigencia).