Leyes de la informática en España: guía actualizada para empresas
No existe una única «ley de la informática». En España, el uso de la tecnología en las empresas está regulado por un conjunto de normas españolas y europeas: protección de datos, comercio electrónico, ciberseguridad, firma electrónica, telecomunicaciones, delitos informáticos y, desde 2024, inteligencia artificial. El BOE las recopila en el Código de Derecho de la Ciberseguridad, que se actualiza periódicamente.
En esta guía repasamos las leyes que más afectan a una empresa española en 2026, qué exige cada una y cuáles están cambiando. Es un resumen orientativo: ante un caso concreto conviene contar con asesoramiento jurídico.
Resumen: las leyes de informática que debe conocer una empresa
| Ámbito | Norma principal | A quién afecta |
|---|---|---|
| Protección de datos | Reglamento General de Protección de Datos (RGPD) y Ley Orgánica 3/2018 (LOPDGDD) | A cualquier empresa que trate datos de personas |
| Web, comercio electrónico y correo comercial | Ley 34/2002 de Servicios de la Sociedad de la Información (LSSI) | A empresas con web, tienda online o campañas por correo |
| Ciberseguridad de sectores esenciales | Real Decreto-ley 12/2018 (NIS) y Directiva NIS2, en transposición | A operadores esenciales, proveedores digitales y, con NIS2, a muchas más empresas |
| Sector público | Esquema Nacional de Seguridad (Real Decreto 311/2022) | A las administraciones y a las empresas que les prestan servicios TIC |
| Firma y confianza digital | Reglamento eIDAS y Ley 6/2020 de servicios electrónicos de confianza | A quien firma o identifica electrónicamente |
| Telecomunicaciones | Ley 11/2022 General de Telecomunicaciones | A operadores y a usuarios de redes y servicios |
| Delitos informáticos | Código Penal (Ley Orgánica 10/1995) | A todos |
| Inteligencia artificial | Reglamento europeo de IA (Reglamento (UE) 2024/1689) | A quien desarrolla o utiliza sistemas de IA |
| Sector financiero | Reglamento DORA (UE) 2022/2554 | A entidades financieras y a sus proveedores TIC críticos |
Protección de datos: RGPD y LOPDGDD
Es la norma que más afecta al día a día. El RGPD se aplica desde 2018 y en España se completa con la Ley Orgánica 3/2018, que sustituyó a la antigua LOPD de 1999. Obliga, entre otras cosas, a:
- Tratar los datos con una base legal (contrato, consentimiento, obligación legal, interés legítimo…) e informar a las personas.
- Llevar un registro de actividades de tratamiento y firmar contratos de encargado con los proveedores que acceden a datos.
- Aplicar medidas de seguridad adecuadas al riesgo y notificar las brechas de seguridad a la AEPD en un plazo de 72 horas.
- Respetar los derechos digitales de los empleados, como la desconexión digital y los límites a la videovigilancia y a la monitorización de dispositivos.
Las sanciones pueden llegar a 20 millones de euros o al 4 % de la facturación mundial, y la AEPD sanciona también a pymes. Lo explicamos con detalle en cómo aplicar el RGPD en los servidores de la empresa.
Web y comercio electrónico: la LSSI
La Ley 34/2002 (LSSI) sigue vigente. Exige identificar al titular de la web (aviso legal), pedir consentimiento para las cookies no técnicas, no enviar comunicaciones comerciales por correo sin autorización previa y cumplir las reglas de la contratación electrónica.
Ciberseguridad: de NIS a NIS2
El Real Decreto-ley 12/2018 y su reglamento (Real Decreto 43/2021) obligan a los operadores de servicios esenciales y a ciertos proveedores digitales a gestionar sus riesgos y notificar los incidentes graves.
La Directiva europea NIS2 amplía mucho ese alcance: incluye sectores como la fabricación, la alimentación, la gestión de residuos, los servicios postales o los proveedores de servicios TIC gestionados. Además, hace responsable a la dirección de la empresa de supervisar las medidas de ciberseguridad. España debía transponerla en octubre de 2024. El anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en enero de 2025 y, en el momento de escribir este artículo, sigue en tramitación. Las empresas afectadas no deberían esperar a la publicación para prepararse. Le explicamos cómo hacerlo en nuestro servicio de adaptación a NIS2.
Sector público: el Esquema Nacional de Seguridad
El ENS (Real Decreto 311/2022) es obligatorio para las administraciones públicas y para las empresas privadas que les prestan servicios o les suministran soluciones tecnológicas. Clasifica los sistemas en categoría básica, media o alta y exige una declaración o certificación de conformidad. Si su empresa trabaja con la administración, le interesa nuestra guía sobre la adecuación al ENS.
Delitos informáticos en el Código Penal
El Código Penal castiga, entre otras conductas:
- El acceso sin autorización a sistemas informáticos y la interceptación de datos (artículos 197 y 197 bis).
- Los daños informáticos: borrar, alterar o hacer inaccesibles datos o programas ajenos, y los ataques que interrumpen sistemas (artículos 264 y siguientes).
- La estafa informática, la suplantación de identidad y el uso fraudulento de tarjetas.
- La revelación de secretos de empresa y los delitos contra la propiedad intelectual del software.
La empresa puede tener también responsabilidad penal por algunos de estos delitos si no dispone de un modelo de prevención eficaz. Esa es una razón más para documentar sus medidas de seguridad.
Firma electrónica, identidad digital y telecomunicaciones
La firma electrónica se rige por el Reglamento eIDAS, reformado en 2024 para crear la cartera europea de identidad digital, y en España por la Ley 6/2020, que sustituyó a la antigua Ley 59/2003 de firma electrónica. Las telecomunicaciones se regulan por la Ley 11/2022 General de Telecomunicaciones. Ampliamos el tema en nuestro artículo sobre eIDAS.
Inteligencia artificial: el Reglamento europeo de IA
El Reglamento de IA está en vigor desde agosto de 2024 y se aplica por fases. Desde febrero de 2025 están prohibidas ciertas prácticas, como la manipulación o la puntuación social, y las empresas deben procurar que su personal tenga conocimientos suficientes de IA. En julio de 2026 entró en vigor la modificación conocida como Ómnibus Digital, que retrasa al 2 de diciembre de 2027 las obligaciones de los sistemas de alto riesgo del Anexo III, entre ellos los usados en selección de personal, educación o calificación crediticia. Las obligaciones de transparencia, como avisar de que se habla con un chatbot o de que un contenido lo ha generado la IA, se aplican desde agosto de 2026.
Si ya usa IA en su centralita, su CRM o sus procesos internos, conviene revisar ahora en qué categoría encaja cada uso.
Otras normas que suelen olvidarse
- Ley 2/2023 de protección del informante: las empresas de 50 o más trabajadores deben tener un canal interno de denuncias seguro y confidencial.
- Reglamento DORA: se aplica desde enero de 2025 a bancos, aseguradoras y otras entidades financieras, y también afecta a sus proveedores tecnológicos.
- Reglamento de Ciberresiliencia (CRA): exigirá requisitos de seguridad a los productos con elementos digitales. Las primeras obligaciones de notificación empiezan en septiembre de 2026 y el resto, en diciembre de 2027.
- Ley de Propiedad Intelectual: protege el software como obra. Es clave firmar bien quién es el titular del código en los desarrollos a medida.
Caso ilustrativo
Una empresa descubre que no cumplía tres normas a la vez
Una empresa de servicios con 60 empleados nos pidió revisar su web y acabó descubriendo tres incumplimientos: enviaba boletines comerciales a contactos que nunca los habían autorizado (LSSI), no tenía contrato de encargado de tratamiento con el proveedor de su CRM (RGPD) y carecía del canal de denuncias obligatorio para su tamaño (Ley 2/2023).
En seis semanas se depuró la base de datos de marketing, se firmaron los contratos pendientes, se implantó un canal de denuncias cifrado y se documentaron las medidas de seguridad. Ninguna de las correcciones exigió grandes inversiones: lo difícil era saber qué faltaba.
Ejemplo basado en situaciones habituales en nuestros proyectos. Los datos se han modificado para proteger la confidencialidad de los clientes.
La visión de Ángel González
«Desde el punto de vista técnico, casi todas estas leyes piden lo mismo: saber qué datos tiene, quién accede, qué registros guarda y cómo responde a un incidente. Por eso recomiendo abordarlas con un único sistema de gestión basado en ISO 27001, con inventario de activos, registro de tratamientos, logs centralizados y un procedimiento de notificación. De hecho, con esa base técnica cumplir RGPD, ENS o NIS2 deja de ser tres proyectos distintos y se convierte en uno solo, mucho más barato de mantener.»
Ángel González, director de NOÁTICA Informática para empresas
Preguntas frecuentes
¿Cuál es la ley de informática más importante para una pyme?
En la práctica, el RGPD y la LOPDGDD, porque se aplican a casi todas las empresas. Le siguen la LSSI, si tiene web o hace marketing digital, y el ENS, si trabaja para la administración.
¿Me afecta la NIS2 si soy una pyme?
Por regla general, NIS2 se aplica a medianas y grandes empresas de los sectores incluidos, pero puede afectar a empresas más pequeñas por la naturaleza del servicio, y de forma indirecta a los proveedores de las empresas obligadas, que les exigirán medidas de seguridad por contrato.
¿Sigue vigente la LOPD de 1999?
No. La Ley Orgánica 15/1999 fue sustituida por la Ley Orgánica 3/2018 (LOPDGDD), que complementa al RGPD.
¿Dónde puedo consultar todas estas normas?
El BOE publica y actualiza el Código de Derecho de la Ciberseguridad, que reúne las principales normas españolas y europeas en la materia.
¿Quiere saber si su empresa cumple la normativa tecnológica?
Revisamos sus sistemas, contratos tecnológicos y medidas de seguridad frente al RGPD, el ENS, la ISO 27001 y el resto de normas aplicables, y le entregamos un plan de adecuación con prioridades claras.
