Marco normativo aplicable

Síntesis fiel de cada precepto, no transcripción. Cada entrada declara norma, artículo, qué exige en la práctica y el servicio de E&D que lo atiende. Ninguna cuantía ni plazo procede de inferencia: solo del texto citado. Verificable contra el BOE y el DOUE.

Normas: 11
Preceptos glosados: 28
Fuente: Boletín Oficial del Estado y Diario Oficial de la Unión Europea. Revisión normativa recomendada: semestral.

Real Decreto 311/2022 · Esquema Nacional de Seguridad

Artículo 28

Exigencias a los operadores del sector privado

Qué exige

Los operadores del sector privado que presten servicios o provean soluciones a las entidades del sector público quedan sujetos a las obligaciones del Esquema Nacional de Seguridad. La exigencia se traslada por vía contractual y con el nivel de categoría del sistema afectado.

Qué significa en la práctica

En la práctica significa que el pliego exigirá acreditar conformidad antes de adjudicar. Sin ella, la oferta queda excluida, y la certificación la emite una entidad acreditada independiente: no se obtiene en el plazo de una licitación.

Certificación ENS

Anexo I

Categorización de los sistemas

Qué exige

Cada sistema se categoriza como básico, medio o alto valorando el impacto de un incidente sobre cinco dimensiones: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad. La categoría del sistema es la más alta de las que resulten de sus dimensiones.

Qué significa en la práctica

La categoría no se elige: se determina. Categorizar a la baja para reducir esfuerzo invalida la adecuación cuando la auditoría revisa las dimensiones, y obliga a rehacer el plan completo.

Certificación ENS

Anexo II

Medidas de seguridad

Qué exige

Las medidas se agrupan en marco organizativo, marco operacional y medidas de protección, y su exigibilidad depende de la categoría del sistema y de las dimensiones afectadas. La declaración de aplicabilidad debe justificar la inclusión o exclusión de cada medida.

Qué significa en la práctica

Una declaración de aplicabilidad copiada de plantilla es el hallazgo más común en auditoría. Y una medida implantada sin evidencia documental de su operación se considera no implantada.

Certificación ENS

Directiva (UE) 2022/2555 · NIS2

Artículo 21

Medidas de gestión de riesgos de ciberseguridad

Qué exige

Las entidades esenciales e importantes deben adoptar medidas técnicas, operativas y organizativas adecuadas y proporcionadas, que comprenden al menos: análisis de riesgos y políticas de seguridad, gestión de incidentes, continuidad de actividad y gestión de crisis, seguridad de la cadena de suministro, seguridad en la adquisición y el mantenimiento de sistemas, políticas de evaluación de la eficacia, higiene y formación en ciberseguridad, criptografía, seguridad de los recursos humanos y control de accesos, y autenticación multifactor.

Qué significa en la práctica

El punto que más incumplimientos genera es la cadena de suministro: se resuelve con un cuestionario al proveedor, cuando la directiva exige traslado contractual de obligaciones y verificación posterior. Un cuestionario acredita la declaración del proveedor, no su cumplimiento.

NIS2 y DORA

Artículo 23

Obligaciones de notificación de incidentes

Qué exige

Ante un incidente significativo, la entidad debe remitir una alerta temprana sin demora indebida y en todo caso dentro de las veinticuatro horas siguientes a tener conocimiento de él, y una notificación completa dentro de las setenta y dos horas, seguida de un informe final. Debe además informar a los destinatarios de sus servicios cuando proceda.

Qué significa en la práctica

Veinticuatro horas no admiten improvisación. El procedimiento debe estar ensayado antes del incidente: quién decide que es significativo, quién firma la alerta y con qué contenido mínimo.

NIS2 y DORA

Artículo 20

Gobernanza y responsabilidad de la dirección

Qué exige

Los órganos de dirección deben aprobar las medidas de gestión de riesgos, supervisar su aplicación y responder de su incumplimiento. Sus miembros están obligados a seguir formación en la materia.

Qué significa en la práctica

La responsabilidad se sitúa en el consejo, no en el departamento técnico. Eso obliga a producir evidencia dirigida al órgano de dirección: actas, aprobaciones y formación acreditada, no solo documentación técnica.

NIS2 y DORA

Artículo 34

Régimen sancionador

Qué exige

Para las entidades esenciales, las multas administrativas alcanzan un máximo de diez millones de euros o el dos por ciento del volumen de negocios anual mundial total, la cuantía que sea mayor. Para las importantes, siete millones de euros o el uno coma cuatro por ciento.

Qué significa en la práctica

El porcentaje se calcula sobre el volumen mundial del grupo, no sobre el de la filial afectada. En una entidad de cincuenta millones de facturación, el techo sigue siendo diez millones.

NIS2 y DORA

Reglamento (UE) 2022/2554 · DORA

Artículo 2

Ámbito de aplicación

Qué exige

El reglamento se aplica a entidades de crédito, entidades de pago, entidades de dinero electrónico, empresas de servicios de inversión, proveedores de servicios de criptoactivos, entidades aseguradoras y reaseguradoras, gestoras de fondos y, entre otros, a los proveedores terceros de servicios tecnológicos designados como críticos.

Qué significa en la práctica

Un proveedor tecnológico de una entidad financiera queda alcanzado aunque su actividad principal no sea financiera. Y si se le designa crítico, pasa a estar bajo supervisión directa.

NIS2 y DORA

Artículos 28 y siguientes

Gestión del riesgo de terceros y registro de información

Qué exige

Las entidades financieras deben mantener un registro de información sobre todos los acuerdos contractuales relativos al uso de servicios tecnológicos prestados por terceros, distinguiendo los que sustentan funciones críticas o importantes, y aplicar requisitos contractuales mínimos.

Qué significa en la práctica

El registro de terceros es el punto más débil de la mayoría de las entidades, porque no existía antes. Reutilizar el plan de continuidad no lo cubre: el registro tiene contenido y formato propios.

NIS2 y DORA

Reglamento (UE) 2016/679 · RGPD

Artículo 5

Principios y responsabilidad proactiva

Qué exige

El tratamiento debe ser lícito, leal y transparente, limitado a la finalidad, minimizado, exacto, limitado en el plazo de conservación e íntegro y confidencial. El responsable debe poder demostrar el cumplimiento de todos estos principios.

Qué significa en la práctica

El apartado 2 es el que decide una inspección: no basta con cumplir, hay que poder demostrarlo. Sin evidencia documental, el cumplimiento no existe a efectos probatorios.

Qué normas le aplican

Artículo 30

Registro de actividades de tratamiento

Qué exige

El responsable y el encargado deben llevar un registro de las actividades de tratamiento bajo su responsabilidad, con el contenido que el precepto enumera, y ponerlo a disposición de la autoridad de control cuando lo solicite.

Qué significa en la práctica

El primer hallazgo de toda inspección es un registro que no se corresponde con los tratamientos reales, porque es verificable por contraste inmediato con la operación.

Qué normas le aplican

Artículo 32

Seguridad del tratamiento

Qué exige

Responsable y encargado deben aplicar medidas técnicas y organizativas apropiadas al riesgo, considerando entre otras la seudonimización y el cifrado, la capacidad de garantizar confidencialidad, integridad, disponibilidad y resiliencia, la capacidad de restaurar el acceso tras un incidente, y un proceso de verificación y evaluación regular de su eficacia.

Qué significa en la práctica

Es el precepto que sostiene la designación de un responsable de seguridad de la información. No exige medidas concretas: exige que sean apropiadas al riesgo y que su eficacia se verifique.

Qué normas le aplican

Artículos 33 y 34

Notificación de violaciones de seguridad

Qué exige

El responsable debe notificar a la autoridad de control toda violación de la seguridad de los datos personales sin dilación indebida y, de ser posible, en el plazo máximo de setenta y dos horas desde que tenga constancia de ella, salvo que sea improbable que suponga un riesgo. Cuando el riesgo sea alto, debe además comunicarlo a los interesados.

Qué significa en la práctica

Las setenta y dos horas se cuentan desde que se tiene constancia, no desde que se cierra la investigación. Notificar tarde agrava; notificar incompleto no.

Respuesta a incidentes

Artículo 83

Condiciones para la imposición de multas

Qué exige

Las infracciones más graves se sancionan con multas de hasta veinte millones de euros o, tratándose de una empresa, hasta el cuatro por ciento del volumen de negocio total anual global del ejercicio anterior, optándose por la de mayor cuantía. Otras infracciones alcanzan diez millones o el dos por ciento.

Qué significa en la práctica

El porcentaje se calcula sobre el volumen global del grupo empresarial, no sobre el de la entidad sancionada, cuando ambas forman una unidad económica.

Qué normas le aplican

Capítulo V, artículos 44 y siguientes

Transferencias internacionales

Qué exige

Toda transferencia de datos personales a un tercer país u organización internacional requiere una decisión de adecuación, garantías adecuadas —cláusulas tipo, normas corporativas vinculantes— o, en su defecto, alguna de las excepciones tasadas del artículo 49.

Qué significa en la práctica

La mayoría de las entidades transfiere sin saberlo, a través de proveedores de servicios en la nube y de herramientas de análisis. El primer paso no es firmar cláusulas: es identificar qué transferencias existen realmente.

Qué normas le aplican

Reglamento (UE) 2024/1689 · Reglamento de Inteligencia Artificial

Artículo 6 y anexo III

Clasificación de sistemas de alto riesgo

Qué exige

Un sistema de IA se considera de alto riesgo cuando es componente de seguridad de un producto sujeto a legislación armonizada o cuando se destina a alguno de los ámbitos del anexo III, entre ellos biometría, infraestructuras críticas, educación, empleo y selección de personal, acceso a servicios esenciales y a crédito, aplicación de la ley, migración y administración de justicia.

Qué significa en la práctica

La calificación depende de la finalidad y del contexto de uso, no de la tecnología empleada. Un mismo modelo puede ser de alto riesgo en selección de personal y de riesgo mínimo en una tarea interna.

Reglamento europeo de IA

Artículos 9 a 15 y 26

Obligaciones de proveedor y de responsable del despliegue

Qué exige

El proveedor de un sistema de alto riesgo debe establecer un sistema de gestión de riesgos, aplicar requisitos de gobernanza de datos, elaborar documentación técnica, garantizar el registro automático de eventos, la transparencia hacia el responsable del despliegue, la supervisión humana y niveles adecuados de precisión, solidez y ciberseguridad. El responsable del despliegue debe utilizarlo conforme a las instrucciones, encomendar la supervisión humana a personas competentes y conservar los registros.

Qué significa en la práctica

Confundir ambos papeles altera el régimen completo. Emplear el sistema de un tercero no traslada la responsabilidad: el responsable del despliegue conserva obligaciones propias.

Reglamento europeo de IA

Artículo 99

Sanciones

Qué exige

El incumplimiento de la prohibición de las prácticas del artículo 5 se sanciona con multas de hasta treinta y cinco millones de euros o el siete por ciento del volumen de negocios mundial total del ejercicio anterior, la cuantía que sea mayor. Otros incumplimientos alcanzan quince millones o el tres por ciento, y el suministro de información incorrecta, siete millones y medio o el uno por ciento.

Qué significa en la práctica

El tramo más alto no exige un sistema sofisticado: basta con incurrir en una práctica prohibida, como determinadas formas de categorización biométrica o de puntuación social.

Reglamento europeo de IA

Ley 10/2010 · Prevención del blanqueo de capitales

Artículo 2

Sujetos obligados

Qué exige

La ley enumera los sujetos obligados, entre ellos entidades de crédito y de pago, aseguradoras de vida, empresas de servicios de inversión, notarios y registradores, abogados y procuradores en determinadas actuaciones, auditores, asesores fiscales, agentes inmobiliarios, comerciantes de bienes que reciban pagos en efectivo por encima del umbral legal y proveedores de servicios a sociedades y fideicomisos.

Qué significa en la práctica

Muchas entidades son sujeto obligado sin saberlo, por la vía de la prestación de servicios a sociedades o de la intermediación inmobiliaria. La condición no depende del tamaño.

Prevención de blanqueo

Artículos 3 a 16

Medidas de diligencia debida

Qué exige

Comprenden la identificación formal del cliente, la identificación del titular real, la obtención de información sobre el propósito y la naturaleza prevista de la relación de negocios, y el seguimiento continuo de la relación, con aplicación de medidas reforzadas en los supuestos de mayor riesgo.

Qué significa en la práctica

La inspección no pregunta si existe el manual: pregunta por la evidencia de la diligencia practicada sobre clientes concretos. Un manual sin expediente por cliente no acredita nada.

Prevención de blanqueo

Artículo 57

Sanciones por infracciones muy graves

Qué exige

Las infracciones muy graves pueden sancionarse con multa cuyo importe máximo alcanza el diez por ciento del volumen de negocios anual total del sujeto obligado, además de amonestación pública y, en su caso, separación del cargo de los administradores responsables.

Qué significa en la práctica

La separación del cargo alcanza a personas físicas concretas. Es la consecuencia que cambia la conversación en un consejo de administración.

Prevención de blanqueo

Código Penal

Artículo 31 bis

Responsabilidad penal de las personas jurídicas

Qué exige

La persona jurídica responde penalmente de los delitos cometidos en su nombre y provecho por sus representantes legales o por quienes, sometidos a su autoridad, hayan podido cometerlos por haberse incumplido gravemente los deberes de supervisión. Queda exenta si, antes de la comisión, adoptó y ejecutó con eficacia un modelo de organización y gestión idóneo, confió su supervisión a un órgano con poderes autónomos de iniciativa y control, y los autores eludieron fraudulentamente el modelo.

Qué significa en la práctica

El eximente no lo da tener el modelo: lo da acreditar que se ejecutaba. Sin formación impartida, canal operativo y actuaciones del órgano de supervisión, no se sostiene ante el tribunal.

Consultoría legal

Artículos 31 bis 5 y 31 quater

Contenido del modelo y atenuantes

Qué exige

El modelo debe identificar las actividades en cuyo ámbito puedan cometerse delitos, establecer protocolos de formación de la voluntad y de adopción de decisiones, disponer de modelos de gestión de recursos financieros, imponer la obligación de informar de riesgos e incumplimientos, establecer un sistema disciplinario y verificarse periódicamente. Son atenuantes la confesión, la colaboración con la investigación, la reparación del daño y el establecimiento de medidas eficaces antes del juicio oral.

Qué significa en la práctica

El sistema disciplinario es el elemento más olvidado y el que primero se comprueba: un modelo sin consecuencias declaradas no es un modelo.

Consultoría legal

Ley 2/2023 · Protección del informante

Artículos 5 a 10

Sistema interno de información

Qué exige

Las entidades comprendidas en su ámbito deben disponer de un sistema interno de información con un responsable designado por el órgano de administración, garantizar la confidencialidad del informante y de los hechos, permitir la comunicación anónima, y resolver en los plazos que la ley establece, con prohibición de represalias.

Qué significa en la práctica

Un canal que nadie ha usado nunca y del que nadie ha sido informado no cumple la función. La evidencia relevante es la difusión, no la existencia técnica del buzón.

Consultoría legal

Ley 5/2014 · Seguridad Privada

Artículos 5 y 6

Actividades y servicios de seguridad privada

Qué exige

La ley reserva a las empresas autorizadas y al personal habilitado la prestación de servicios de vigilancia y protección, protección de personas, depósito y transporte de valores, instalación y mantenimiento de sistemas de seguridad conectados a central receptora de alarmas, y las actividades de investigación privada.

Qué significa en la práctica

La instalación de un sistema conectado a central de alarmas por empresa no autorizada expone a ambas partes. La comprobación es previa a la contratación, no posterior al incidente.

Accesos y videovigilancia

Artículo 36

Departamentos de seguridad

Qué exige

El departamento de seguridad se encuadra bajo la responsabilidad de un director de seguridad habilitado, integra y dirige los servicios y medios de seguridad de la entidad, y actúa como interlocutor con las Fuerzas y Cuerpos de Seguridad. Su constitución es obligatoria en los supuestos reglamentariamente determinados y voluntaria en el resto.

Qué significa en la práctica

El departamento constituido voluntariamente asume el mismo régimen de obligaciones que el obligatorio. No existe un estatuto intermedio.

Plan director de seguridad

Ley 1/2000 · Ley de Enjuiciamiento Civil

Artículos 335 a 352

Del dictamen de peritos

Qué exige

Cuando sean necesarios conocimientos científicos, artísticos, técnicos o prácticos para valorar hechos relevantes, las partes podrán aportar dictamen de peritos que posean los conocimientos correspondientes. El perito manifestará bajo juramento o promesa que ha actuado con la mayor objetividad posible, y podrá ser citado para su ratificación y contradicción en juicio.

Qué significa en la práctica

La contradicción es el filtro real: cada afirmación del dictamen debe resistir la petición de su fuente. Un dictamen sin método declarado es difícilmente defendible aunque su contenido sea correcto.

Prueba digital

Ley Orgánica 3/2018 · LOPDGDD

Artículo 22

Tratamientos con fines de videovigilancia

Qué exige

Las personas físicas o jurídicas pueden captar imágenes por sistemas de cámaras para preservar la seguridad de personas, bienes e instalaciones. No se admite la captación de la vía pública salvo en la medida imprescindible o en los supuestos que la propia norma contempla. Los datos deben suprimirse en el plazo máximo que el precepto establece, salvo que deban conservarse para acreditar hechos que atenten contra la integridad de personas, bienes o instalaciones.

Qué significa en la práctica

La cuestión que decide una reclamación no es el plazo, sino poder acreditar la supresión. Sin registro del borrado, el cumplimiento no se demuestra aunque se produzca.

Accesos y videovigilancia