FormaCiber.com – Instituto de Ciberseguridad Legal
Normativa por sectores
Qué decimos, con reserva, de RGPD, LOPDGDD, ENS, DORA y NIS2 para cada sector. Texto pendiente de revisión jurídica.
PENDIENTE DE REVISIÓN JURÍDICA. Esto no es un dictamen ni un asesoramiento. Dice dónde está la norma y qué no se puede dar por vigente. Hay que revisarlo cada trimestre. La próxima mirada, a partir de esta fecha del 17 de octubre de 2026, toca en enero de 2027. No afirmamos nada del valor de un certificado ante clientes, auditorías o aseguradoras.
RGPD
El Reglamento (UE) 2016/679 es directamente aplicable. El artículo 33 prevé notificar una brecha de datos personales a la autoridad de control en 72 horas desde que se tiene constancia, cuando es probable que entrañe un riesgo para los derechos de las personas. El artículo 17 regula el derecho de supresión. El texto está en EUR-Lex. En España, la autoridad estatal es la AEPD. No decidas tú solo, con esta página, si una incidencia se tiene que notificar.
LOPDGDD
La Ley Orgánica 3/2018 adapta el reglamento. El artículo 7 fija en 14 años la edad a partir de la cual el menor puede consentir el tratamiento de sus datos en la oferta de servicios de la sociedad de la información. Texto en el BOE. El proyecto de ley de protección de menores en entornos digitales no debe leerse como norma vigente.
ENS
El Real Decreto 311/2022 aprueba el Esquema Nacional de Seguridad. Afecta al sector público y a los proveedores que le prestan servicios en los términos que el propio esquema y los contratos fijen. Texto en el BOE. No es una norma para cualquier tienda por el solo hecho de tener clientes.
DORA
El Reglamento (UE) 2022/2554, de resiliencia operativa digital del sector financiero, es aplicable desde el 17 de enero de 2025. Texto en EUR-Lex. Obliga a las entidades financieras que entran en su ámbito y, por contrato, a buena parte de sus proveedores tecnológicos. El artículo 2.3 prevé exclusiones, entre otras para ciertos intermediarios de seguros. PENDIENTE DE REVISIÓN JURÍDICA: no afirmamos aquí qué corredurías pequeñas quedan fuera. Tiene que confirmarlo quien revise este texto.
NIS2, pendiente de transposición en España
La Directiva (UE) 2022/2555 no está transpuesta en España. El plazo de transposición venció el 17 de octubre de 2024. El Consejo de Ministros aprobó el 14 de enero de 2025 un anteproyecto de ley de coordinación y gobernanza de la ciberseguridad; no lo presentamos como ley aprobada por las Cortes. Mientras tanto siguen vigentes el Real Decreto-ley 12/2018 y el Real Decreto 43/2021. Textos: directiva, RDL 12/2018, RD 43/2021. No mencionamos un procedimiento ante el Tribunal de Justicia porque la fuente de que dispone el proyecto es secundaria y no la damos por hecha.
Qué decimos, sector por sector
- Empresa general. RGPD si trata datos de clientes. Ni ENS ni DORA por el solo hecho de vender. NIS2: pendiente de transposición; no digas que «ya te obliga».
- Asesoría y despachos. RGPD y secreto profesional. DORA solo si la actividad entra en el ámbito del reglamento (banca, seguros, proveedores tecnológicos): pendiente de confirmar el caso de los mediadores.
- Sanidad y clínicas. Datos de salud, categoría especial en el RGPD. La historia clínica no se protege con un eslogan.
- Administración pública. ENS (RD 311/2022) y RGPD. Los proveedores heredan obligaciones por el contrato.
- Educación. Datos de alumnado y, si son menores de 14 años, el artículo 7 de la LOPDGDD en los servicios de la sociedad de la información.
- Industria y agroalimentario. RGPD de personal y clientes. Si un cliente es administración, mira el contrato y el ENS. NIS2: pendiente de transposición.
- Logística y transporte. Datos de entregas. La misma reserva sobre NIS2.
- Hostelería y turismo. Datos de reservas y, si los hay, tarjetas. No es DORA salvo que la actividad sea financiera.
- Inmobiliarias y fincas. Datos de propietarios, inquilinos y comunidades. RGPD. No es ENS salvo que el cliente sea sector público.
- Servicios sociales y funerarias. Expedientes y datos especialmente sensibles. RGPD. Si el servicio es público o concertado, hay que mirar el ENS y el pliego, no esta página.
La ley de protección integral de la infancia (LO 8/2021) existe y no la resumimos aquí: no es una guía de menores. El reglamento de servicios digitales y la norma de pagos quedan para las guías que todavía no están escritas, para no acumular citas sin un uso práctico.
Si ya te ha pasado
La norma no sustituye los pasos de Qué hacer si te pasa. Primero se contiene el incidente. Después, quien tenga el cargo decide la notificación con el texto oficial en la mano, no con este resumen. La denuncia penal, si toca, es ante la Policía Nacional o la Guardia Civil.