¿Qué normativa de ciberseguridad me aplica?
Un perfil breve, en hasta siete pantallas, para saber qué normas revisar primero y seguir en cada verificador sin repetir respuestas. Todas las preguntas admiten «No lo sé»: lo que no sepas queda pendiente, nunca se da por hecho.
Ves el mapa en pantalla, sin dejar tu email. Si ya has hecho algún verificador en esta pestaña, el mapa usa esas respuestas.
Las siete normas que revisa
Ciberseguridad de sectores esenciales e importantes, por actividad y tamaño.
Resiliencia digital de entidades financieras y de sus proveedores TIC.
Esquema Nacional de Seguridad: sector público y, en algunos contratos, quien le presta servicios. Venderle no basta.
Productos con elementos digitales: fabricantes, importadores y distribuidores.
Reglamento de IA: quien usa, integra, desarrolla o distribuye sistemas de IA.
¿Me aplica la Ley 2/2023? Canal de denuncias
Sistema interno de información (canal de denuncias) de la Ley 2/2023.
Protección de datos: ámbito, DPD, registro, evaluación de impacto y encargos.
Para quién es
Para empresas y profesionales que no saben qué normativa de ciberseguridad y cumplimiento les afecta y quieren ordenar por dónde empezar: dirección, responsables de TI, de cumplimiento o de protección de datos. No hace falta conocer las normas: cada pregunta explica por qué se hace y admite «No lo sé».
Qué te da y qué no
- Siete tarjetas, siempre: las normas con encaje confirmado, las probables o con datos pendientes y las que no encajan con lo que has contestado.
- Cada tarjeta usa las mismas reglas que su verificador, con su versión y fecha de revisión, y te lleva a él para completar lo que falte.
- Las preguntas son las de cada verificador. Cuando dos normas cuentan algo de forma distinta (por ejemplo, la plantilla), te las pedimos por separado.
Alcance. Este perfil revisa solo estas siete normas. No cubre LSSI-CE, consumo, obligaciones de prevención del blanqueo, facturación electrónica, normativa laboral ni tributaria. Un resultado negativo no completa la revisión normativa de tu organización.
Tus respuestas
Mientras uses el mapa, tus respuestas se quedan en tu navegador y no las enviamos a nuestros servidores; se borran a las dos horas, al cerrar la pestaña o cuando pulses «Borrar mis respuestas». Si aceptas las cookies de analítica, Google Analytics recibe que usas el mapa, cuántas pantallas recorres, un resumen del resultado (con encaje, pendiente o sin encaje) y a qué verificador pasas, nunca tus respuestas.
El mapa y los verificadores comparten tus respuestas en esta pestaña para no pedírtelas dos veces. Nunca viajan en la dirección de la página.
Lo que no es
Orientativo, no es asesoramiento jurídico. No certifica el cumplimiento, no revisa toda la normativa que te afecta ni sustituye el análisis de tu caso por un profesional. Si una tarjeta queda pendiente o probable, revísala con tu asesoría.
Preguntas frecuentes
¿Qué normas revisa el mapa?
Siete: NIS2, DORA, el Esquema Nacional de Seguridad (ENS), el Reglamento de Ciberresiliencia (CRA), el Reglamento de Inteligencia Artificial, la Ley 2/2023 del canal de denuncias y el RGPD con la LOPDGDD. No cubre LSSI-CE, consumo, prevención del blanqueo, facturación electrónica, normativa laboral ni tributaria.
¿El mapa sustituye a los verificadores?
No. Hace las preguntas justas para orientar cada norma, con las mismas reglas que su verificador. Si una tarjeta queda pendiente o probable, sigue en su verificador para completarla sin repetir lo que ya contestaste.
¿Cuáles son las normas de ciberseguridad en España?
Las que revisa este mapa: el Esquema Nacional de Seguridad (Real Decreto 311/2022), para el sector público y sus proveedores; NIS2, cuya ley española de transposición no habíamos localizado en la última revisión de las reglas, mientras siguen vigentes el Real Decreto-ley 12/2018 y el Real Decreto 43/2021; DORA, para el sector financiero; el Reglamento de Ciberresiliencia, para productos con elementos digitales; el Reglamento de Inteligencia Artificial; el RGPD con la LOPDGDD, y la Ley 2/2023 del canal de denuncias. Los reglamentos europeos se aplican directamente, sin ley española.
¿Cuál es la norma ISO de ciberseguridad y por qué no está en el mapa?
La ISO/IEC 27001, que fija los requisitos de un sistema de gestión de la seguridad de la información y permite certificarse. No está en el mapa porque no es una obligación legal general: es una norma voluntaria, aunque un cliente o un contrato pueden exigírtela.
¿Quién está obligado a aplicar el RGPD?
Quien trata datos personales en el marco de las actividades de un establecimiento en la UE y quien, desde fuera, ofrece bienes o servicios a personas en la UE o vigila su comportamiento (art. 2 y 3 RGPD). No hay una exención general por tamaño.
¿Qué establece el Reglamento (UE) 2019/881 (Cybersecurity Act)?
Refuerza el mandato de ENISA, la Agencia de la Unión Europea para la Ciberseguridad, y crea el marco europeo de certificación de la ciberseguridad de productos, servicios y procesos TIC (art. 1). Esa certificación es voluntaria salvo que otra norma la exija, por eso el mapa no la revisa.
¿Guardáis mis respuestas?
No las enviamos a nuestros servidores: se quedan en tu navegador y se borran a las dos horas, al cerrar la pestaña o al pulsar «Borrar mis respuestas». El mapa no pide email.