Ciberseguridad: la nueva obligación legal ineludible para empresas

La transformación digital ha convertido la ciberseguridad en un pilar estratégico para cualquier organización. Lo que hace apenas una década se consideraba una buena práctica reservada al departamento de IT, hoy es una obligación legal exigible a la práctica totalidad del tejido empresarial español. La entrada en vigor de nuevas normas europeas y la creciente actividad sancionadora de la Agencia Española de Protección de Datos (AEPD) están redibujando el mapa de responsabilidades para administradores, directivos y responsables de cumplimiento. Para encontrar un abogado especializado en esta materia, el directorio informacionlegal.es recoge perfiles verificados de profesionales en toda España.

El marco normativo aplicable en 2026

El panorama regulatorio en materia de ciberseguridad se ha densificado notablemente. Las empresas españolas deben atender, como mínimo, a las siguientes normas:

• Reglamento (UE) 2016/679 (RGPD) y Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD): exigen implantar medidas técnicas y organizativas apropiadas para garantizar la seguridad de los datos personales (art. 32 RGPD).
• Directiva (UE) 2022/2555 (NIS2), transpuesta al ordenamiento español mediante la ley que sustituye al Real Decreto-ley 12/2018: amplía enormemente el número de entidades obligadas y refuerza los requisitos de gestión de riesgos y notificación de incidentes.
• Reglamento (UE) 2022/2554 (DORA): aplicable desde enero de 2025 al sector financiero, impone un régimen específico de resiliencia operativa digital.
• Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 311/2022: obligatorio para el sector público y para los proveedores privados que le presten servicios.
• Reglamento (UE) 2024/2847 (Cyber Resilience Act): impone requisitos de seguridad a los fabricantes de productos con elementos digitales.

¿Qué empresas están obligadas?

La idea extendida de que solo las grandes corporaciones deben preocuparse por la ciberseguridad es errónea. Cualquier empresa que trate datos personales —es decir, prácticamente todas— está sujeta al RGPD. Además, NIS2 amplía el ámbito subjetivo a sectores como energía, transporte, banca, sanidad, aguas, infraestructuras digitales, administración pública, servicios postales, gestión de residuos, fabricación de productos críticos, alimentación, industria química, investigación o proveedores de servicios digitales.

La Directiva distingue entre entidades esenciales (más de 250 empleados o facturación superior a 50 millones de euros en sectores críticos) y entidades importantes (a partir de 50 empleados o 10 millones de facturación en sectores relevantes). Las microempresas quedan, en general, excluidas de NIS2, pero no del RGPD ni de las obligaciones sectoriales.

Obligaciones concretas exigibles

Más allá de la retórica, la ley exige medidas tangibles. Entre las principales:

1. Análisis y gestión de riesgos documentado y revisado periódicamente.
2. Políticas de seguridad de la información aprobadas por la dirección.
3. Medidas técnicas: cifrado, autenticación multifactor, segmentación de redes, copias de seguridad, gestión de vulnerabilidades y parches.
4. Formación continua del personal en materia de ciberseguridad y phishing.
5. Gestión de la cadena de suministro: evaluación de riesgos de proveedores tecnológicos.
6. Plan de continuidad de negocio y recuperación ante desastres.
7. Notificación de incidentes: bajo NIS2, alerta temprana en 24 horas, notificación completa en 72 horas e informe final en un mes. El RGPD mantiene el plazo de 72 horas para brechas que afecten a datos personales (art. 33).
8. Designación de responsables: DPD cuando proceda y, en NIS2, responsables de ciberseguridad ante las autoridades.

Responsabilidad de administradores y directivos

Uno de los cambios más relevantes de NIS2 es la responsabilidad personal de los órganos de dirección. Los administradores deben aprobar las medidas de gestión de riesgos, supervisar su implementación y recibir formación específica. El incumplimiento puede acarrear responsabilidad directa, incluyendo la posibilidad de inhabilitación temporal para ejercer funciones directivas en entidades esenciales.

Esto conecta directamente con el artículo 225 de la Ley de Sociedades de Capital (deber de diligencia) y con el régimen de responsabilidad penal de las personas jurídicas del artículo 31 bis del Código Penal, que exige modelos de organización y control eficaces.

Régimen sancionador

Las cifras hablan por sí solas:

• RGPD: hasta 20 millones de euros o el 4 % de la facturación global anual.
• NIS2: hasta 10 millones de euros o el 2 % de la facturación para entidades esenciales; hasta 7 millones o el 1,4 % para importantes.
• DORA: sanciones diarias de hasta el 1 % de la facturación media diaria mundial durante seis meses.

La AEPD impuso en 2024 sanciones por importe superior a los 50 millones de euros, con expedientes destacados contra entidades bancarias, energéticas y plataformas digitales por defectos de seguridad. Sentencias recientes de la Audiencia Nacional han confirmado la línea sancionadora, subrayando que la falta de medidas preventivas razonables es en sí misma constitutiva de infracción, aunque no se materialice un daño.

Buenas prácticas para el cumplimiento

Para afrontar este marco con garantías, se recomienda:

• Realizar una auditoría de cumplimiento integral que cruce RGPD, NIS2 y normativa sectorial.
• Adoptar estándares reconocidos como ISO/IEC 27001, el ENS o el marco NIST.
• Implantar un plan de respuesta a incidentes probado mediante simulacros.
• Documentar toda decisión relevante: la accountability es el principio rector del RGPD y también inspira NIS2.
• Revisar contractualmente las cláusulas con proveedores, especialmente los de servicios cloud.

Conclusión práctica

La ciberseguridad ha dejado de ser una recomendación técnica para convertirse en una obligación jurídica exigible, fiscalizable y sancionable. Las empresas que aún consideren esta materia un gasto prescindible se exponen no solo a multas millonarias, sino a la responsabilidad personal de sus administradores y al colapso reputacional derivado de un incidente. La recomendación es inequívoca: integrar la ciberseguridad en el gobierno corporativo, dotarla de presupuesto y documentar el cumplimiento. En 2026, no hacerlo es, sencillamente, incumplir la ley.