Ciberseguridad: la nueva obligación legal de las empresas en España

La transformación digital ha convertido la ciberseguridad en un pilar esencial de la actividad empresarial. Lo que durante años se consideró una cuestión técnica, gestionada por los departamentos de IT, ha pasado a ocupar un lugar central en la agenda jurídica y de cumplimiento normativo. En 2026, ninguna empresa española puede permitirse ignorar las obligaciones legales que se derivan de la protección de sus sistemas de información, sus datos y los de sus clientes.

La entrada en vigor de la Directiva NIS2 y su transposición al ordenamiento español, junto con el ya consolidado Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), configuran un marco jurídico exigente cuyo incumplimiento puede acarrear sanciones millonarias e incluso responsabilidad personal de los administradores.

El marco normativo aplicable

La regulación de la ciberseguridad en España se articula en varios niveles:

• Directiva (UE) 2022/2555 (NIS2), cuya transposición refuerza las obligaciones de seguridad para sectores esenciales e importantes, ampliando notablemente el ámbito subjetivo respecto a la anterior NIS1.
• Real Decreto-ley 7/2022, sobre requisitos para garantizar la seguridad de las redes y servicios de comunicaciones electrónicas de quinta generación.
• Reglamento (UE) 2016/679 (RGPD) y LOPDGDD, en relación con la seguridad del tratamiento de datos personales (art. 32 RGPD).
• Ley 8/2011 de protección de infraestructuras críticas y su reglamento de desarrollo.
• Esquema Nacional de Seguridad (ENS), aprobado por el Real Decreto 311/2022, aplicable al sector público y a sus proveedores.
• Reglamento DORA (UE 2022/2554), específico para el sector financiero, plenamente aplicable desde enero de 2025.

¿Qué empresas están obligadas?

Uno de los cambios más relevantes de NIS2 es la ampliación de su ámbito de aplicación. Quedan sujetas, con carácter general, las medianas y grandes empresas (más de 50 trabajadores o 10 millones de euros de facturación) que operen en sectores como energía, transporte, banca, infraestructuras del mercado financiero, sanidad, agua potable, infraestructura digital, administración pública, servicios postales, gestión de residuos, fabricación, producción y distribución de productos químicos, alimentación, fabricación de dispositivos médicos, electrónica, vehículos, proveedores digitales o investigación.

No obstante, ciertas entidades quedan obligadas con independencia de su tamaño, como los proveedores de servicios DNS, registros de nombres de dominio de primer nivel o entidades de la Administración Pública.

Principales obligaciones legales

Las empresas afectadas deben implantar un conjunto de medidas técnicas, operativas y organizativas adecuadas y proporcionadas para gestionar los riesgos. Entre las principales obligaciones destacan:

1. Análisis de riesgos y políticas de seguridad de los sistemas de información.
2. Gestión de incidentes y planes de respuesta documentados.
3. Continuidad de negocio, copias de seguridad y planes de recuperación.
4. Seguridad de la cadena de suministro, incluyendo evaluación de proveedores.
5. Seguridad en la adquisición, desarrollo y mantenimiento de redes y sistemas.
6. Cifrado, gestión de accesos y políticas de control de identidades.
7. Formación en ciberseguridad para el personal, especialmente directivos.
8. Notificación de incidentes significativos al CSIRT competente (en España, el INCIBE-CERT o el CCN-CERT) en un plazo máximo de 24 horas para la alerta temprana y 72 horas para el informe inicial.

En paralelo, el artículo 32 del RGPD impone obligaciones específicas de seguridad cuando hay tratamiento de datos personales, incluyendo seudonimización, cifrado, garantía de confidencialidad e integridad, y capacidad de restaurar la disponibilidad tras un incidente.

Régimen sancionador: sanciones de hasta 10 millones de euros

El incumplimiento puede generar consecuencias severas. NIS2 establece sanciones administrativas de hasta 10 millones de euros o el 2 % del volumen de negocios anual mundial para entidades esenciales, y hasta 7 millones de euros o el 1,4 % para entidades importantes.

El RGPD, por su parte, contempla multas de hasta 20 millones de euros o el 4 % de la facturación global. La Agencia Española de Protección de Datos (AEPD) ha impuesto en los últimos años sanciones relevantes por brechas de seguridad: en 2023, una entidad financiera fue multada con 5 millones de euros por deficiencias en sus medidas técnicas tras una filtración masiva.

Responsabilidad de los administradores

Una novedad especialmente sensible de NIS2 es la responsabilidad personal de los órganos de dirección. Los administradores deberán aprobar las medidas de gestión de riesgos, supervisar su aplicación y recibir formación específica. Su incumplimiento puede dar lugar a sanciones individuales e incluso a la suspensión temporal del cargo en los supuestos más graves.

Esto conecta directamente con el deber de diligencia del artículo 225 de la Ley de Sociedades de Capital y con los programas de compliance penal del artículo 31 bis del Código Penal, dado que un ciberataque puede facilitar la comisión de delitos como estafa, descubrimiento y revelación de secretos o blanqueo de capitales. Ante un incidente de este tipo, conviene contar con abogados expertos en ciberdelitos que valoren las posibles responsabilidades penales de la empresa y de sus administradores.

Recomendaciones prácticas

Para adaptarse al nuevo marco, las empresas deben:

• Realizar una auditoría inicial del estado de su ciberseguridad y de los marcos normativos aplicables.
• Designar a un responsable de seguridad y, en su caso, a un Delegado de Protección de Datos.
• Documentar políticas, procedimientos y registros de incidentes.
• Revisar los contratos con proveedores tecnológicos, incluyendo cláusulas de seguridad.
• Implantar un plan de respuesta a incidentes con protocolos de notificación.
• Formar a directivos y empleados de manera continuada.

Conclusión

La ciberseguridad ha dejado de ser una cuestión técnica para convertirse en una obligación jurídica de primer nivel, con impacto directo en la responsabilidad de la empresa y de sus administradores. Quienes aún no hayan adaptado sus procesos al nuevo marco legal deben actuar sin demora: el coste de la prevención es siempre menor que el de un incidente o una sanción. En un entorno donde los ataques crecen exponencialmente, el cumplimiento normativo no es solo una garantía legal, sino una ventaja competitiva y de confianza para clientes y socios.