Post actualizado el día octubre 27, 2026 by DeiviSanzPlay
Las preguntas que más llegan sobre ciberseguridad y cumplimiento normativo
Quien gestiona esto en una empresa real no busca teoría: busca saber si un antivirus basta para cumplir, qué pasa si un proveedor se cae, o cuánto tiempo hay que guardar los registros. Aquí van respuestas concretas, con las limitaciones que también conviene conocer.
Obligaciones y marcos legales: qué te aplica de verdad
¿RGPD, NIS2, DORA… por dónde empiezo?
Depende de tu actividad, no de tu tamaño. El RGPD aplica a cualquier organización que trate datos personales. NIS2 afecta a sectores considerados críticos o importantes (energía, salud, transporte, agua, infraestructuras digitales, administración pública) y a partir de ciertos umbrales también a proveedores de esos sectores. DORA es específico del sector financiero y sus proveedores TIC.
Un error habitual: asumir que por ser pyme estás fuera. NIS2 alcanza a muchas medianas empresas que antes no tenían obligaciones específicas. Y las responsabilidades recaen sobre los órganos de dirección, no solo sobre el departamento de IT.
¿Necesito un DPO?
Solo en los supuestos del artículo 37 del RGPD: tratamiento a gran escala de categorías especiales de datos, observación habitual y sistemática a gran escala, o cuando lo exija la ley. Muchas empresas contratan un DPO externo por comodidad, pero si no estás en esos supuestos, no es obligatorio. Lo que sí es obligatorio es tener un registro de actividades de tratamiento y una base jurídica clara para cada finalidad.
¿Cuánto tiempo debo conservar los registros de seguridad?
No hay un plazo único. El RGPD habla de «el tiempo necesario» para cada finalidad. En sectores regulados (banca, salud, telecomunicaciones) hay plazos concretos que suelen ir de meses a varios años. En la práctica, muchas organizaciones fijan 12 meses para logs operativos y más para evidencias de auditoría. Si guardas todo indefinidamente, el propio registro se convierte en un riesgo de privacidad.
Medidas técnicas: lo que funciona y lo que no
¿Un antivirus o un EDR cumple con la norma?
Ninguna norma exige un producto concreto. Lo que se exige son medidas apropiadas al riesgo. Un antivirus tradicional detecta firmas conocidas pero falla ante ransomware moderno que cifra en minutos. Un EDR aporta detección de comportamiento y respuesta, pero genera alertas que alguien debe revisar. Sin proceso de triaje, el EDR se convierte en ruido.
¿El cifrado resuelve el cumplimiento?
Ayuda, pero no es una barra libre. Cifrar un portátil que se pierde puede evitar la obligación de notificar una brecha si la clave no se ha visto comprometida, según la interpretación habitual de las autoridades de protección de datos. Pero el cifrado en reposo no protege si un atacante opera con credenciales válidas. El eslabón débil sigue siendo el acceso.
Ejemplo real que casi nadie contempla
En un despliegue de MFA con tokens físicos, el punto de fallo no fue técnico: fue el proceso de alta. Un empleado nuevo recibió el dispositivo sin verificar identidad presencial, y la cuenta se activó con datos de otra persona por un error de tecleo en el correo. La auditoría lo detectó semanas después. La lección: la política de gestión de identidades vale tanto como la tecnología. Los controles de acceso deben incluir verificación de identidad en el alta, no solo en el login.
Proveedores, incidentes y notificaciones
¿Soy responsable si mi proveedor cloud sufre un incidente?
Sí, en gran medida. El RGPD te hace responsable del tratamiento aunque lo ejecute un encargado. Necesitas un contrato de encargo de tratamiento con garantías, evaluar transferencias internacionales y verificar que el proveedor notifica incidentes en plazos compatibles con tu obligación de notificar en 72 horas. Muchas empresas descubren en la auditoría que su proveedor tarda más de lo que su propio plazo permite.
¿Cuándo hay que notificar una brecha a la autoridad?
Cuando suponga un riesgo para los derechos y libertades de las personas. No toda brecha es notificable: un acceso no autorizado sin datos personales afectados no lo es. La decisión debe documentarse, incluso si se decide no notificar. La AEPD ha sancionado por falta de registro de incidentes, no solo por las brechas en sí.
¿Qué pasa si no cumplo?
Las multas del RGPD pueden llegar a 20 millones de euros o el 4% del volumen de negocio global, lo que sea mayor. En NIS2 las sanciones varían por país y pueden incluir inhabilitación de directivos. Pero el coste real suele ser operativo: paralización de servicios, pérdida de clientes y auditorías forzadas.
Lo que conviene reconocer
Ningún marco garantiza inmunidad ante un ataque. El cumplimiento demuestra diligencia, no invulnerabilidad. Y hay zonas grises: la interpretación de «medidas apropiadas» depende del riesgo concreto, y lo que vale para una empresa puede no valer para otra. Según documentación oficial de las autoridades de protección de datos, la evaluación de riesgo debe ser propia y documentada. Copiar la política de otra empresa no sirve como defensa.
Perfiles verificables: Sitio web
Publicado el 27 de October de 2026. Última revisión: 27 de October de 2026.
