Normativa, cifras y plazos de ciberseguridad, inteligencia artificial y digitalización, explicados para quien tiene que decidir. Qué ha pasado, a quién afecta y qué conviene hacer antes de la próxima fecha.
21entradas publicadas
7temas cubiertos
6vídeos seleccionados
100 %con fuente enlazada
21 entradas
Destacado
CRA
Normativa6 min
Desde el viernes, quien fabrica producto conectado tiene 24 horas para avisar
El 11 de septiembre entraron en vigor las obligaciones de notificación del artículo 14 del Cyber Resilience Act, el Reglamento (UE) 2024/2847. A partir de ahora, un fabricante que tenga conocimiento de una vulnerabilidad explotada activamente en uno de sus productos con elementos digitales dispone de 24 horas para la alerta temprana y de 72 para la notificación con detalle del producto, la explotación y las medidas de mitigación.
El punto que más gente está pasando por alto: ENISA ha señalado que esto se aplica también a los productos que ya estaban en el mercado. No hay periodo transitorio ni excepción por antigüedad, así que la obligación alcanza a toda la cartera vendida hasta hoy, no solo a lo que salga a partir de ahora.
24 h / 72 h / 14 díasalerta, notificación e informe
15 M€ o 2,5 %tope sancionador
11 dic 2027aplicación general y marcado CE
El resto del reglamento llega el 11 de diciembre de 2027: desde esa fecha ningún producto con elementos digitales podrá comercializarse en la Unión sin cumplir los requisitos, y el marcado CE pasa a acreditar también la ciberseguridad. Los productos se autoevalúan por defecto; los del anexo III necesitan normas armonizadas u organismo notificado, y los del anexo IV, certificación obligatoria.
Si vendes hardware o software bajo tu marca —aunque lo fabrique otro—, cuentas como fabricante. Lo urgente no es la documentación técnica, que da tiempo: es tener un proceso interno capaz de detectar, evaluar y escalar en 24 horas. Eso hay que ensayarlo antes de necesitarlo.
España llega a septiembre sin ley de ciberseguridad y con un recurso ante el TJUE
El plazo para transponer la Directiva (UE) 2022/2555 venció el 17 de octubre de 2024. Casi dos años después, el Proyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad sigue en tramitación, y el 8 de julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia de la Unión Europea por no haber notificado la transposición completa.
Mientras llega el texto definitivo, lo aplicable sigue siendo el Real Decreto-ley 12/2018, el Reglamento de Ejecución (UE) 2024/2690 para la infraestructura digital y DORA en el sector financiero. La ausencia de ley española no suspende obligaciones: solo retrasa el marco que las ordena.
Lo que ya está definido: notificación en 24 h, 72 h y un mes; multas de hasta 10 M€ o el 2 % para entidades esenciales y 7 M€ o el 1,4 % para las importantes; y responsabilidad personal de los órganos de dirección, con inhabilitación por negligencia grave.
El Reglamento de IA ya se aplica con carácter general
Desde el 2 de agosto de 2026 se aplica la mayor parte del Reglamento (UE) 2024/1689. Entran las obligaciones de transparencia del artículo 50: identificar los chatbots como sistemas de IA, marcar en formato legible por máquina el contenido generado y etiquetar los deepfakes.
El llamado Ómnibus Digital, el Reglamento (UE) 2026/1744 en vigor desde el 27 de julio, ha aplazado a diciembre de 2027 las obligaciones de los sistemas de alto riesgo del anexo III, y a agosto de 2028 las de los integrados en productos regulados. La supervisión en España corresponde a la AESIA.
La AEPD ha recordado que el artículo 50 del Reglamento de IA, exigible desde agosto de 2026, obliga a informar expresamente a las personas de que están interactuando con un sistema de inteligencia artificial. Lo planteó al resolver un caso en el que alguien intentó darse de baja de comunicaciones comerciales hablando con un asistente automático.
El criterio de la Agencia añade un matiz útil: el chat no puede ser el único canal para ejercer derechos o pedir la baja. Tiene que existir una vía con atención humana —correo, formulario, teléfono— y estar accesible.
Aplicado a nuestra web: el asistente de esta página se identifica como IA en su mensaje de bienvenida y el formulario de contacto sigue llegando a una persona.
En febrero de 2024, un empleado de finanzas de una multinacional en Hong Kong ejecutó quince transferencias por 25 millones de dólares tras una videollamada con su director financiero y varios compañeros. Todos eran deepfakes. Lo que antes costaba al estafador —ganarse la confianza— ahora lo resuelve una cara reconocible.
Las pérdidas por fraude con deepfakes en Estados Unidos alcanzaron 1.100 millones de dólares en 2025, frente a los 360 del año anterior. INCIBE ha documentado un caso español de deepvoice: llamadas suplantando al director general para que unos empleados compraran material y transfirieran a una cuenta indicada por correo.
La contramedida es de proceso, no de software: segundo canal de verificación para cualquier pago fuera de lo habitual, y que nadie sienta que preguntar es desconfiar.
El Threat Landscape de ENISA marca un cambio de fondo: por primera vez las amenazas a tecnología operativa representan el 18,2 % de todas las categorías identificadas. Deja de ser un capítulo aparte para convertirse en una quinta parte del problema.
La causa es conocida: la fusión IT/OT que empuja la industria 4.0 amplía la superficie de ataque de forma permanente. Lo que en la oficina es una molestia, en la planta para la línea, y el margen para parchear en producción es mucho más estrecho.
Tus defensas están bien. Las de tu proveedor, no lo sabes
El informe de ENISA sobre ataques a la cadena de suministro lo resume sin rodeos: una protección sólida ya no basta cuando los atacantes han desplazado el foco a los proveedores. Una organización puede ser vulnerable aunque sus propias defensas sean buenas.
Es también el punto donde NIS2 y DORA coinciden: las dos obligan a mirar hacia fuera, a inventariar de quién dependes y a llevar esas exigencias al contrato. La conversación incómoda con el proveedor pequeño es parte del trabajo.
122.223 incidentes en un año: el balance de INCIBE
El instituto gestionó 122.223 incidentes durante 2025, un 26 % más que el ejercicio anterior. El malware encabeza la lista con 55.411 casos, más del 45 % del total, seguido del fraude en línea con 45.445 y un crecimiento del 19 %.
Malware55.411
Fraude45.445
Phishing25.133
Robo de datos3.849
El ransomware aporta 392 casos: poco volumen y mucho daño, con una subida que más que duplica los 176 registrados en 2024.
El 60 % de los incidentes registrados en 2025 tuvo como víctima a una pequeña o mediana empresa o a un autónomo. España es el tercer país de la Unión Europea por volumen de incidentes, por detrás de Alemania y Francia.
Los sectores más golpeados dibujan el tejido de cualquier ciudad española: comercio minorista, hostelería, asesorías y despachos profesionales y clínicas sanitarias. El coste medio de un incidente para una pyme se sitúa entre 15.000 y 50.000 euros contando datos perdidos, días parados y recuperación.
La convocatoria única del programa cerró solicitudes el 31 de marzo de 2025 y el plazo para formalizar acuerdos con asesores digitales venció el 31 de mayo de 2026. Los bonos concedidos están ahora en ejecución: tres meses para prestar el servicio y cinco para justificarlo ante Red.es.
La puerta no está cerrada del todo. La Orden TDF/38/2026 regula la distribución de fondos remanentes y habilita nuevas convocatorias, aunque sin fecha confirmada. El Kit Digital cerró el periodo de solicitudes en octubre de 2025 con más de 860.000 ayudas concedidas.
¿Y ahora qué? Con el buscador de ayudas de la esquina puedes ver en dos minutos qué convocatorias siguen abiertas para tu perfil.
Castilla y León paga hasta el 75 % de la consultoría de ciberseguridad
La Junta abrió en enero dos líneas para pymes con 1,88 millones de euros: una para maquinaria industrial y otra para invertir en ciberseguridad. La segunda cubre hasta el 50 % de los equipos de hardware y software y hasta el 75 % de la contratación especializada en consultoría, con un máximo de 20.000 euros por empresa.
El plazo de solicitud fue del 12 de enero al 12 de febrero, pero el dato que importa ahora es otro: las inversiones tienen que ejecutarse hasta el 17 de agosto de 2026. Quien tenga ayuda concedida está en la parte delicada del calendario.
DORA: el registro de proveedores TIC ya es rutina anual
La CNMV confirmó que en 2026 las entidades financieras debían remitir el registro completo de proveedores de servicios TIC entre el 1 y el 29 de marzo, con fecha de referencia del 31 de diciembre de 2025 y subsanaciones hasta el 22 de abril. Con requerimiento formal, como el año anterior.
El registro no es un anexo: es la foto de en quién descansan tus funciones críticas, clasificada por criticidad y siempre lista para entregar. Las autoridades pueden pedirlo fuera del ciclo anual y sin preaviso fijo.
Si eres banco cumples DORA, pero tu proveedor puede seguir bajo NIS2
Para las entidades financieras, DORA actúa como norma especial y prevalece sobre NIS2 en seguridad de redes y sistemas. El solapamiento entre ambas ronda el 50-60 %, pero DORA exige cosas que NIS2 no contempla: pruebas TLPT, registro detallado de proveedores, supervisión directa de los proveedores críticos por las autoridades europeas y una estrategia de salida documentada.
El matiz que se escapa: que el banco cumpla DORA no libera a su proveedor tecnológico. Un prestador de servicios gestionados puede estar sujeto a NIS2 por su propio sector y, a la vez, soportar por contrato las exigencias DORA de sus clientes. Dos marcos, dos motivos.
Formar al comité de dirección pasa a ser una obligación legal
El artículo 20 de NIS2 responsabiliza directamente a los órganos de dirección de aprobar y supervisar las medidas de seguridad, y les exige formarse para entender los riesgos. Deja de ser una partida del área técnica para convertirse en una obligación de gobierno.
El Reglamento de IA va en la misma dirección desde el 2 de febrero de 2025, cuando entraron en vigor los deberes de alfabetización: las plantillas que trabajan con sistemas de inteligencia artificial deben tener formación suficiente para usarlos con criterio.
DORA no admite el curso único para toda la plantilla
El artículo 13.6 obliga a las entidades financieras a incluir programas de sensibilización en seguridad TIC y formación en resiliencia operativa como módulos obligatorios de la formación del personal. Tres detalles cambian el diseño del programa.
Aplica a todos los empleados y también a la alta dirección; el nivel de complejidad tiene que ajustarse a las atribuciones de cada función, lo que descarta el curso genérico; y, cuando proceda, hay que incluir a los proveedores terceros de TIC en los planes de formación.
El 44 % de las empresas españolas subirá su gasto en ciberseguridad
Algo más de cuatro de cada diez empresas prevén aumentar la inversión en seguridad durante 2026, en un mercado nacional que ronda los 3.000 millones de euros. La presión regulatoria explica buena parte del movimiento.
El cambio de fondo no es de presupuesto sino de propietario del problema: con NIS2, la seguridad deja de ser una decisión técnica y pasa a dirección, legal, operaciones y cumplimiento. La externalización hacia SOC y servicios gestionados está siendo la respuesta práctica a la falta de perfiles.
Solo el 20 % del empleo en ciberseguridad es femenino
Es una brecha que el sector no puede permitirse si quiere cubrir la demanda proyectada. Y no es un problema aislado: la falta de perfiles está detrás del giro hacia modelos de servicios gestionados y SOC externo, la vía por la que muchas organizaciones acceden a capacidades avanzadas sin construir equipo desde cero.
Esa externalización, que se acelera bajo la presión de NIS2, tiene letra pequeña: la directiva define con precisión la cadena de responsabilidad, y delegar la operación no delega la obligación.
Quién te va a inspeccionar la IA: AESIA, AEPD o las dos
España se adelantó al resto de la Unión creando la Agencia Española de Supervisión de la Inteligencia Artificial mediante el Real Decreto 729/2023, con sede en A Coruña. Es la primera autoridad nacional de este tipo y actúa como autoridad de vigilancia del mercado de IA, además de haber puesto en marcha un entorno de pruebas regulatorio.
El reparto no es trivial: cuando un sistema de IA trata datos personales, la AEPD conserva su competencia sobre el tratamiento mientras la AESIA supervisa el cumplimiento del Reglamento de IA. Quien ya tenga madurado el cumplimiento del RGPD parte con ventaja, porque la lógica de responsabilidad proactiva es la misma.
El mismo modelo puede ser inocuo o de alto riesgo: manda la finalidad
Un modelo de lenguaje usado para redactar borradores internos queda fuera del ámbito más exigente. El mismo modelo, usado para cribar currículos, entra en la categoría de alto riesgo. La norma no clasifica herramientas, clasifica usos.
El segundo reparto que conviene fijar es el de papeles. La mayoría de las empresas españolas son responsables del despliegue y asumen obligaciones más ligeras que el proveedor. Ahora bien, si adaptas un sistema de un tercero, le pones tu marca o lo destinas a una finalidad distinta de la prevista, puedes convertirte en proveedor sin haberlo decidido.
Mientras el Kit Digital sigue cerrado, la Junta mantiene su propia línea
El Instituto para la Competitividad Empresarial financia proyectos de digitalización y transformación digital avanzada de pymes con centro de trabajo en Castilla y León: entre el 55 % y el 75 % a fondo perdido, presupuestos subvencionables de 2.000 a 500.000 euros y anticipos de hasta el 50 %.
Entran software y soluciones en la nube, hardware y servicios externos de consultoría, incluido el diagnóstico y el seguimiento. Hay además una convocatoria específica para modernizar el comercio de proximidad, de hasta 30.000 euros por establecimiento al 75 %.
¿Me afecta NIS2? El umbral no es el único criterio
La regla general alcanza a entidades de los sectores listados en los anexos I y II con 50 o más empleados o más de 10 millones de euros de facturación. Eso deja fuera a buena parte del tejido, pero no a todo.
Hay excepciones tasadas que entran sin llegar al umbral: proveedores de DNS, registros de nombres de dominio de primer nivel, prestadores cualificados de servicios de confianza y administraciones públicas, entre otros. Y queda el otro camino, el más frecuente: entrar por contrato, como proveedor de alguien que sí está obligado.
Lo que hace falta entender para seguir una reunión sobre esto sin asentir a ciegas.
NIS2
Directiva europea de ciberseguridad para sectores esenciales e importantes. Fija medidas mínimas, plazos de notificación y responsabilidad del consejo.
DORA
Reglamento de resiliencia operativa digital del sector financiero. Se aplica directo, sin ley española de por medio.
CRA
Cyber Resilience Act. Convierte la ciberseguridad en condición para poner un producto conectado en el mercado europeo.
AI Act
Reglamento europeo de inteligencia artificial. Clasifica por riesgo y reparte obligaciones entre quien provee y quien despliega.
ENS
Esquema Nacional de Seguridad. El marco obligatorio para la administración española y para quien le presta servicio.
SBOM
Lista de los componentes de software de un producto, en formato legible por máquina. Sin ella no se sabe qué hay que parchear.
TLPT
Pruebas de intrusión dirigidas por inteligencia de amenazas. En DORA son obligatorias para las entidades designadas.
CTPP
Proveedor tecnológico tercero crítico para el sistema financiero europeo. Lo supervisan directamente las autoridades europeas.
BEC
Fraude por suplantación de correo corporativo. El clásico «fraude del CEO», ahora con voz e imagen generadas.
OT / ICS
Tecnología operativa y sistemas de control industrial. Lo que mueve la planta, no lo que mueve la oficina.
DFIR
Análisis forense y respuesta a incidentes. Lo que se activa cuando ya ha pasado y hay que saber qué, cuándo y por dónde.
SOC
Centro de operaciones de seguridad. Vigilancia continua, propia o contratada, con procedimiento de escalado.
Recursos
Documentación oficial, sin intermediarios.
Lo que citamos en las entradas, en su fuente original. Todo gratuito y en español.
Tratamos tus datos solo para enviarte el boletín. Puedes consultar la política de privacidad.
Último número
Nº 1 · septiembre de 2026
Enviado el 14 de septiembre
Asunto: El reloj de las 24 horas ya corre · CLAVE360, septiembre de 2026
Lo que ha cambiado este mes
Cyber Resilience Act. Desde el 11 de septiembre, quien fabrica producto conectado notifica en 24 horas las vulnerabilidades explotadas activamente. Alcanza también a lo que ya está vendido.
Reglamento de IA. Aplicación general desde el 2 de agosto: los chatbots tienen que identificarse como IA y el contenido generado, marcarse.
NIS2. La Comisión llevó a España ante el TJUE en julio. El proyecto de ley sigue en tramitación, pero las obligaciones no esperan al BOE.
Fechas que se acercan
30 de octubre de 2026. Vencen las fechas previstas para las normas armonizadas de clasificación del CRA.
17 de agosto de 2026. Fin del plazo de ejecución de las ayudas de ciberseguridad industrial de Castilla y León ya concedidas.
El caso del mes
Un empleado de finanzas autorizó quince transferencias por 25 millones de dólares tras una videollamada con su director financiero y varios compañeros. Todos eran deepfakes. Lo que lo habría frenado no es un antivirus: es un segundo canal de verificación obligatorio para cualquier pago fuera de lo habitual.
Este bloque se reescribe cada mes con lo publicado desde el número anterior. Si quieres recibirlo por correo, usa el botón de arriba.
Sobre este blog
Cómo se elabora.
Criterio
Solo lo que cambia una decisión
No publicamos titulares de sector. Entra aquí lo que modifica una obligación, un plazo, una cifra de riesgo o una vía de financiación para una empresa española.
Fuentes
Con enlace y con fecha
Cada entrada lleva la fuente y la fecha en la que se escribió. La normativa se mueve: si consultas una entrada antigua, comprueba el estado actual antes de decidir.
Alcance
Información, no asesoramiento
Estos resúmenes orientan la conversación. La obligación concreta de cada organización depende de su sector, su tamaño y su cadena de suministro, y se confirma caso por caso.
Corrección
Si algo está mal, se corrige
Si detectas un dato desactualizado o una lectura discutible, escríbenos. Se revisa, se corrige y se deja constancia de la fecha de revisión.
NIS2AI ActCRADORARGPDENSRansomwarePhishingDeepfakesCadena de suministroOT e ICSSOCTLPTSBOMKit DigitalKit ConsultingICE Castilla y LeónFUNDAEIA privadaPymesContinuidadConcienciación
Nuestros compromisos
Alcance cerradoQué entra, qué no entra, plazo y precio, acordados antes de empezar.
ConfidencialidadAcuerdo firmado antes de acceder a ninguna información tuya.
Sin dependenciaEntregables editables y en tu poder, también si dejamos de trabajar juntos.
Por fasesCada etapa se decide al terminar la anterior. Sin paquetes cerrados de un año.
CLAVE360 en cifras
Un sistema con arquitectura, no una lista de promesas.
