Obligaciones Legales de Ciberseguridad para Pymes en España 2026
Cuando se habla de «cumplir la normativa» en ciberseguridad, la mayoría de autónomos y pymes piensan únicamente en el RGPD. Es, sin duda, la norma más relevante para la mayoría de pequeños negocios, y la tratamos en detalle en nuestra guía de RGPD para autónomos, pero no es la única. Confundir «cumplo el RGPD» con «cumplo todas las obligaciones legales de ciberseguridad que me afectan» es un error habitual.
En esta guía repasamos el mapa completo de normativas que pueden aplicarte según tu actividad concreta: RGPD, LSSI-CE, NIS2, Esquema Nacional de Seguridad y normativa sectorial.
Resumen rápido: casi todas las pymes deben cumplir el RGPD y, si tienen web o venden online, la LSSI-CE. NIS2, el ENS, PCI DSS o DORA solo te aplican según tu tamaño, tu sector o tus clientes.
| Normativa | ¿A quién aplica? | Obligación principal |
|---|---|---|
| RGPD / LOPDGDD | Cualquier negocio que trate datos personales | Registro de tratamiento, medidas de seguridad y notificación de brechas en 72 horas |
| LSSI-CE | Negocios con web o venta online | Aviso legal, información de contratación, cookies y comunicaciones comerciales |
| NIS2 | Medianas y grandes empresas de sectores esenciales o importantes, y sus proveedores por contrato | Gestión de riesgos, notificación de incidentes y seguridad de la cadena de suministro |
| ENS | Administraciones públicas y sus proveedores TIC | Medidas y auditorías según el nivel de seguridad (bajo, medio, alto) |
| PCI DSS | Negocios que procesan, almacenan o transmiten datos de tarjeta | Requisitos técnicos de seguridad de datos de pago |
| DORA | Entidades financieras y sus proveedores TIC | Resiliencia operativa digital |
Protección de datos: RGPD y LOPDGDD
Es la base sobre la que se apoya casi toda la normativa de ciberseguridad que afecta a un negocio pequeño. Si tratas datos personales de clientes, proveedores o empleados, te aplican el Reglamento General de Protección de Datos y la Ley Orgánica 3/2018 (LOPDGDD), con obligaciones como el registro de actividades de tratamiento, la notificación de brechas de seguridad en 72 horas o el cumplimiento de los principios de licitud y minimización de datos. Para orientarte, la Agencia Española de Protección de Datos (AEPD) publica guías y herramientas pensadas para pymes y autónomos.
Es, con diferencia, la normativa más relevante para la inmensa mayoría de pequeños negocios. Si no la tienes del todo clara, puede interesarte repasar también las diferencias entre RGPD y LOPD.
Y si sufres un incidente que afecta a datos personales, tener un plan de contingencia ante un ciberataque preparado te ayuda a cumplir ese plazo de 72 horas.
LSSI-CE: obligaciones si tienes una web o vendes online
La Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI-CE) afecta a prácticamente cualquier negocio con presencia online y suele pasar más desapercibida que el RGPD. Exige, entre otras cosas:
- Un aviso legal accesible en tu web, con tus datos identificativos completos (nombre o razón social, NIF, domicilio, datos de contacto).
- Información clara sobre las condiciones de contratación, si vendes productos o servicios online.
- Comunicaciones comerciales identificables como tales, evitando publicidad encubierta o envíos no solicitados sin base legal.
- Cumplimiento de la normativa de cookies, en coordinación con las exigencias del propio RGPD sobre consentimiento. Es un tema que merece su propia guía sobre consentimiento de cookies.
Muchas pequeñas webs incumplen esta normativa por desconocimiento, no por mala fe, ya que suele quedar eclipsada por la atención que recibe el RGPD.
NIS2: la gran novedad regulatoria, todavía sin ley en España
La Directiva NIS2 (Directiva UE 2022/2555) es la actualización europea más ambiciosa en materia de ciberseguridad de los últimos años. Amplía considerablemente el número de empresas obligadas a aplicar medidas de seguridad avanzadas y a notificar incidentes, con sanciones de hasta 10 millones de euros o el 2 % de la facturación global anual para las entidades esenciales (7 millones o el 1,4 % para las importantes), y con responsabilidad directa para los órganos de dirección en caso de incumplimiento grave. Le dedicaremos una guía completa sobre qué es la directiva NIS2 y a quién afecta.
Estado en España (septiembre de 2026): España debía transponer la directiva antes del 17 de octubre de 2024 y todavía no lo ha hecho. El Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad en enero de 2025, pero a mediados de septiembre de 2026 la ley sigue sin publicarse en el BOE, y la Comisión Europea decidió en julio de 2026 llevar a España ante el Tribunal de Justicia de la UE por este retraso. Mientras tanto sigue vigente el Real Decreto-ley 12/2018, que transpuso la directiva NIS anterior.
El dato clave para la mayoría de pymes: el umbral general de aplicación directa de NIS2 se sitúa en las medianas y grandes empresas (50 o más empleados, o más de 10 millones de euros de facturación) que además operen en alguno de los sectores esenciales o importantes que define la norma (energía, transporte, sanidad, infraestructuras digitales, administración pública y varios más). Existen excepciones que obligan a empresas más pequeñas en sectores muy concretos (proveedores de DNS o servicios de confianza cualificados, entre otros), pero la inmensa mayoría de pequeños negocios queda, en principio, fuera del ámbito de aplicación directa.
Esto no significa que NIS2 sea irrelevante si tienes un negocio pequeño. Muchas grandes empresas ya trasladan estas exigencias a sus proveedores mediante cláusulas contractuales. Si trabajas como proveedor de una empresa sujeta a NIS2, es probable que empieces a recibir requisitos de seguridad concretos como condición para seguir trabajando con ella, aunque tu negocio no esté obligado directamente por la norma.
Esquema Nacional de Seguridad (ENS): si trabajas con la administración pública
El Esquema Nacional de Seguridad, regulado por el Real Decreto 311/2022, es de aplicación obligatoria para todas las administraciones públicas españolas y también para las empresas que les prestan servicios relacionados con sistemas de información. Si tu negocio trabaja como proveedor tecnológico de un ayuntamiento, una consejería o cualquier otro organismo público, es muy probable que debas acreditar el cumplimiento de este marco, que clasifica los sistemas por niveles de seguridad (bajo, medio, alto) y establece medidas y auditorías proporcionadas a cada nivel.
Si no trabajas con el sector público, el ENS no te aplica de forma directa, aunque muchos de sus principios, proporcionados a tu tamaño, sirven como buena referencia de buenas prácticas.
Normativa sectorial específica
Según tu actividad concreta, pueden aplicarte requisitos adicionales:
- Si procesas pagos con tarjeta, el estándar PCI DSS (no es una ley en sentido estricto, sino un requisito contractual de la industria de medios de pago) establece exigencias de seguridad concretas para proteger los datos de tarjetas que gestionas.
- Si operas en el sector sanitario, existen exigencias adicionales sobre el tratamiento de datos de salud, considerados categoría especial por el RGPD y con requisitos de seguridad reforzados. Además, es uno de los sectores que con más frecuencia está obligado a designar un delegado de protección de datos.
- Si operas en el sector financiero, el Reglamento DORA (Resiliencia Operativa Digital) impone requisitos adicionales de ciberseguridad a las entidades financieras y, por vía contractual, a sus proveedores tecnológicos.
Responsabilidad penal: cuándo un incidente puede ir más allá de una sanción administrativa
Más allá de las sanciones administrativas de la AEPD (de las que repasaremos casos reales en una guía sobre sanciones por incumplimiento del RGPD) o de las futuras autoridades de supervisión de NIS2, el Código Penal español recoge delitos relacionados con el acceso ilícito a sistemas informáticos (art. 197 bis), el descubrimiento y revelación de secretos (art. 197) o los daños informáticos (art. 264).
Estos delitos están pensados principalmente para sancionar a quien comete el ataque. Aun así, una negligencia grave y reiterada en la protección de datos puede tener consecuencias que van más allá de lo puramente administrativo, especialmente si existe intencionalidad o un patrón de incumplimiento ya advertido previamente. Son casos poco habituales, pero conviene saber que existen.
Obligaciones legales de ciberseguridad para pymes: cómo saber qué normativa te aplica
Responde a estas preguntas sobre tu negocio para orientarte:
- ¿Tratas datos personales de clientes o empleados? → Te aplica el RGPD/LOPDGDD (prácticamente cualquier negocio).
- ¿Tienes una web o vendes online? → Te aplica también la LSSI-CE.
- ¿Tienes 50 o más empleados, o facturas más de 10 millones de euros, en un sector considerado esencial o importante? → Revisa si NIS2 te aplica de forma directa.
- ¿Eres proveedor de una gran empresa de un sector regulado, aunque tu negocio sea pequeño? → Es probable que empieces a recibir requisitos contractuales derivados de NIS2, aunque no te aplique de forma directa.
- ¿Trabajas con la administración pública? → Revisa las exigencias del Esquema Nacional de Seguridad.
- ¿Procesas pagos con tarjeta directamente? → Revisa los requisitos de PCI DSS con tu proveedor de pagos.
Qué hacer si te sientes desbordado por tanta normativa
Es comprensible sentir cierto vértigo ante la cantidad de siglas y normativas mencionadas. La buena noticia es que, para la inmensa mayoría de autónomos y pequeñas pymes, el foco realista debería estar en el RGPD y la LSSI-CE, que aplican de forma prácticamente universal, y en seguir la evolución de NIS2 solo si tu negocio se acerca a los umbrales de tamaño mencionados o trabaja con clientes de sectores regulados. El resto de normativas sectoriales solo entran en juego si tu actividad concreta las activa.
Para empezar por lo práctico, repasa nuestra checklist de ciberseguridad para pequeñas empresas, y si tu presupuesto es ajustado, consulta cómo proteger tu pyme de un ciberataque con poco presupuesto.
Si tras leer este mapa sigues sin tener claro qué te aplica exactamente, una consulta puntual con un asesor especializado en cumplimiento normativo suele ser mucho más rentable que intentar interpretar por tu cuenta un marco legal que cambia con cierta frecuencia.
Preguntas frecuentes
Casi todas las pymes deben cumplir el RGPD y la LOPDGDD si tratan datos personales, y la LSSI-CE si tienen web o venden online. Según la actividad pueden aplicarse además NIS2, el Esquema Nacional de Seguridad, PCI DSS o normativa sectorial como DORA.
En general no de forma directa: se dirige a medianas y grandes empresas de sectores esenciales o importantes. Aun así, las empresas obligadas pueden exigir requisitos de seguridad a sus proveedores mediante cláusulas contractuales, por lo que una pyme proveedora puede verse afectada indirectamente.
El RGPD regula el tratamiento de datos personales. La LSSI-CE regula la actividad de los servicios online y el comercio electrónico: aviso legal, información de contratación, comunicaciones comerciales y cookies. Un negocio con web suele tener que cumplir ambas.
Solo si presta servicios relacionados con sistemas de información a administraciones públicas. Si no trabajas con el sector público, el ENS no te aplica de forma directa, aunque sirve como referencia de buenas prácticas.
Consejo de PymeCiber
No intentes cumplir toda la normativa a la vez. Empieza por lo que aplica a casi todos los negocios: revisa hoy mismo que tu web tiene aviso legal, política de privacidad y gestión de cookies, y que sabes qué datos personales tratas y para qué. Después, comprueba si alguno de tus clientes grandes te ha pedido requisitos de seguridad, porque ahí es donde NIS2 puede llegar a tu negocio antes que cualquier ley.
Conclusión
La ciberseguridad legal de una pyme española no se agota en el RGPD, aunque sea la normativa que más atención recibe. La LSSI-CE afecta a cualquier negocio con presencia online, NIS2 está redibujando las exigencias para empresas medianas y sus cadenas de proveedores aunque su transposición en España siga pendiente, y normativas sectoriales específicas pueden sumarse según tu actividad concreta. Entender este mapa general, aunque sea a nivel orientativo, te permite identificar qué partes te afectan realmente, en lugar de asumir (por exceso o por defecto) que toda la normativa existente, o ninguna, aplica a tu negocio.
Esta guía ha sido elaborada por el equipo de PymeCiber con un enfoque práctico para autónomos y pequeñas empresas, a partir de los textos oficiales del RGPD, la LSSI-CE, la Directiva NIS2, el Real Decreto 311/2022 del ENS y el Reglamento DORA, y de las guías de la AEPD.
El marco legal de ciberseguridad en España está en pleno desarrollo, especialmente en lo relativo a la transposición de NIS2. La información de este artículo tiene carácter divulgativo y no sustituye el asesoramiento de un profesional si alguna de estas normativas puede aplicarte de forma directa.
Última revisión: octubre de 2026.