FormaCiber.com – Instituto de Ciberseguridad Legal
Normativa per sectors
Què diem, amb reserva, de RGPD, LOPDGDD, ENS, DORA i NIS2 per a cada sector. Text pendent de revisió jurídica.
PENDENT DE REVISIÓ JURÍDICA. Això no és un dictamen ni un assessorament. Diu on és la norma i què no es pot donar per vigent. S'ha de revisar cada trimestre. La propera mirada, a partir d'aquesta data del 17 d'octubre de 2026, toca al gener de 2027. No afirmem res del valor d'un certificat davant de clients, auditories o asseguradores.
RGPD
El Reglament (UE) 2016/679 és directament aplicable. L'article 33 preveu notificar una bretxa de dades personals a l'autoritat de control en 72 hores des que se'n té constància, quan és probable que comporti un risc per als drets de les persones. L'article 17 regula el dret de supressió. El text és a EUR-Lex. A Espanya, l'autoritat estatal és l'AEPD. A Catalunya, l'APDCAT és l'autoritat de les institucions públiques catalanes. No decideixis tu sol, amb aquesta pàgina, si una incidència s'ha de notificar.
LOPDGDD
La Llei orgànica 3/2018 adapta el reglament. L'article 7 fixa en 14 anys l'edat a partir de la qual el menor pot consentir el tractament de les seves dades en l'oferta de serveis de la societat de la informació. Text al BOE. El projecte de llei de protecció de menors en entorns digitals no s'ha de llegir com a norma vigent.
ENS
El Reial decret 311/2022 aprova l'Esquema Nacional de Seguretat. Afecta el sector públic i els proveïdors que li presten serveis en els termes que el mateix esquema i els contractes fixin. Text al BOE. No és una norma per a qualsevol botiga pel sol fet de tenir clients.
DORA
El Reglament (UE) 2022/2554, de resiliència operativa digital del sector financer, és aplicable des del 17 de gener de 2025. Text a EUR-Lex. Obliga les entitats financeres que entren en el seu àmbit i, per contracte, bona part dels seus proveïdors tecnològics. L'article 2.3 preveu exclusions, entre d'altres per a certs intermediaris d'assegurances. PENDENT DE REVISIÓ JURÍDICA: no afirmem aquí quines corredories petites en queden fora. Cal que ho confirmi qui revisi aquest text.
NIS2, pendent de transposició a Espanya
La Directiva (UE) 2022/2555 no està transposada a Espanya. El termini de transposició va vèncer el 17 d'octubre de 2024. El Consell de Ministres va aprovar el 14 de gener de 2025 un avantprojecte de llei de coordinació i governança de la ciberseguretat; no el presentem com a llei aprovada per les Corts. Mentrestant continuen vigents el Reial decret llei 12/2018 i el Reial decret 43/2021. Textos: directiva, RDL 12/2018, RD 43/2021. No esmentem un procediment davant el Tribunal de Justícia perquè la font de què disposa el projecte és secundària i no la donem per feta.
Què en diem, sector per sector
- Empresa general. RGPD si tracta dades de clients. Ni ENS ni DORA pel sol fet de vendre. NIS2: pendent de transposició; no diguis que «ja t'obliga».
- Assessoria i despatxos. RGPD i secret professional. DORA només si l'activitat entra en l'àmbit del reglament (banca, assegurances, proveïdors tecnològics): pendent de confirmar el cas dels mediadors.
- Sanitat i clíniques. Dades de salut, categoria especial al RGPD. La fitxa clínica no es protegeix amb un eslògan.
- Administració pública. ENS (RD 311/2022) i RGPD. Els proveïdors hereten obligacions pel contracte.
- Educació. Dades d'alumnes i, si són menors de 14 anys, l'article 7 de la LOPDGDD en els serveis de la societat de la informació.
- Indústria i agroalimentari. RGPD de personal i clients. Si un client és administració, mira el contracte i l'ENS. NIS2: pendent de transposició.
- Logística i transport. Dades de lliuraments. Mateixa reserva sobre NIS2.
- Hostaleria i turisme. Dades de reserves i, si n'hi ha, targetes. No és DORA llevat que l'activitat sigui financera.
- Immobiliàries i finques. Dades de propietaris, llogaters i comunitats. RGPD. No és ENS llevat que el client sigui sector públic.
- Serveis socials i funeràries. Expedients i dades especialment sensibles. RGPD. Si el servei és públic o concertat, cal mirar l'ENS i el plec, no aquesta pàgina.
La llei de protecció integral de la infància (LO 8/2021) existeix i no la resumim aquí: no és una guia de menors. El reglament de serveis digitals i la norma de pagaments queden per a les guies que encara no estan escrites, per no acumular cites sense un ús pràctic.
Si ja t'ha passat
La norma no substitueix els passos de Què fer si et passa. Primer es conté l'incident. Després, qui tingui el càrrec decideix la notificació amb el text oficial a la mà, no amb aquest resum.