📋 Normativas de Cumplimiento
Visión General de Normativas
RegComply soporta siete marcos de cumplimiento: RGPD, DORA, NIS2, EU AI Act, ENS, CRA e ISO/IEC 27001. Cada normativa tiene requisitos específicos que tu organización debe cumplir dependiendo de su sector, su actividad y su tamaño. A continuación se resume el alcance, a quién aplica y los requisitos esenciales de cada una.
Estado de la plataforma. El motor de asignación, el mapeo de servicios, el dashboard de conformidad y la gestión documental están operativos para los siete marcos: cada cliente recibe automáticamente las normativas que le corresponden según su perfil, con la articulación correcta entre ellas (por ejemplo, la relación de especialidad entre DORA y NIS2 para entidades financieras).
Contenido normativo. El catálogo de requisitos de cada marco se nutre de los textos oficiales (RD 311/2022 para el ENS, Reglamento UE 2024/2847 para el CRA, ISO/IEC 27001:2022, etc.). El detalle de cada control y su correspondencia exacta con los identificadores de cada norma se mantiene bajo validación de un experto en cumplimiento antes de su uso en un entorno productivo real. RegComply orienta y estructura el cumplimiento; no sustituye el criterio profesional ni el asesoramiento jurídico.
Detalle por Normativa
🔵 RGPD — Reglamento General de Protección de Datos
Aplica a: todas las organizaciones que traten datos personales de residentes en la UE.
Requisitos esenciales: registro de actividades de tratamiento, bases de legitimación, gestión de derechos de los interesados, evaluaciones de impacto (EIPD) cuando proceda, notificación de brechas en 72 horas y, en su caso, designación de un Delegado de Protección de Datos (DPO).
💳 DORA — Reglamento de Resiliencia Operativa Digital
Aplica a: entidades del sector financiero (banca, seguros, inversión, servicios de pago) y a sus proveedores TIC críticos.
Requisitos esenciales: gestión del riesgo TIC, registro y notificación de incidentes graves, pruebas de resiliencia operativa digital, gestión del riesgo de terceros TIC e intercambio de información sobre ciberamenazas.
🛡️ NIS2 — Directiva de Seguridad de Redes e Información
Aplica a: operadores de sectores esenciales e importantes (energía, transporte, salud, infraestructura digital, administración, etc.) que sean medianas o grandes empresas.
Requisitos esenciales: medidas técnicas y organizativas de gestión de riesgos, notificación de incidentes significativos, responsabilidad de la dirección y gestión de la seguridad en la cadena de suministro.
Nota: al ser una directiva, NIS2 se aplica a través de la ley nacional que la transpone en cada Estado miembro, por lo que el alcance y las obligaciones concretas pueden variar según el país y el estado de su transposición.
Relación con DORA: para las entidades financieras, DORA actúa como norma especial (lex specialis) y prevalece sobre NIS2 en gestión de riesgo TIC y notificación de incidentes; NIS2 sigue aplicando en lo que DORA no cubre. RegComply refleja esta relación en lugar de duplicar obligaciones.
🤖 EU AI Act — Reglamento de Inteligencia Artificial
Aplica a: proveedores y usuarios de sistemas de IA, con obligaciones escalonadas según el nivel de riesgo del sistema.
Requisitos esenciales: clasificación por nivel de riesgo, alfabetización en IA del personal (Artículo 4), gobernanza y documentación técnica, supervisión humana y transparencia frente a los usuarios afectados.
Plazos: el Reglamento (UE) 2024/1689 se aplica de forma escalonada. Las prohibiciones y la alfabetización en IA rigen desde febrero de 2025 y las normas para IA de propósito general desde agosto de 2025. Las obligaciones para sistemas de alto riesgo del Anexo III estaban previstas para agosto de 2026, pero el paquete Digital Omnibus acordado en mayo de 2026 contempla aplazarlas a diciembre de 2027; conviene verificar la fecha vigente según el estado de su publicación oficial.
🏛️ ENS — Esquema Nacional de Seguridad
Aplica a: el sector público español (administraciones, organismos, universidades públicas, sanidad pública) y a las empresas privadas que les prestan servicios tecnológicos o tratan información del sector público.
Requisitos esenciales: categorización del sistema en tres niveles (básica, media, alta) según el impacto, aplicación de las medidas del marco organizativo, operacional y de protección, y declaración o certificación de conformidad (auditada cada dos años en nivel medio y alto).
Encaje con lo existente: el ENS es el vehículo técnico del artículo 32 del RGPD para el sector público, y se alinea con NIS2 y DORA, por lo que muchos controles ya documentados sirven también para el ENS (cumplimiento cruzado).
Base normativa: Real Decreto 311/2022. Borrador a validar por experto: los identificadores concretos de medidas (org., op., mp.) deben confirmarse contra el Anexo II vigente.
📦 CRA — Reglamento de Ciberresiliencia
Aplica a: fabricantes, importadores y distribuidores de productos con elementos digitales (software, hardware conectado, componentes) que se comercialicen en la UE. A diferencia de las demás, aplica por el producto, no por el sector del cliente.
Requisitos esenciales: seguridad desde el diseño y por defecto, gestión de vulnerabilidades durante todo el ciclo de vida, lista de componentes (SBOM), documentación técnica y notificación de vulnerabilidades explotadas e incidentes graves.
Encaje con lo existente: complementa a NIS2 sin solaparse — NIS2 regula la seguridad de la organización y el CRA la del producto. El punto de contacto está en la notificación de incidentes.
Plazos: Reglamento (UE) 2024/2847, en vigor desde diciembre de 2024. Las obligaciones de notificación se prevén desde septiembre de 2026 y el grueso de obligaciones desde diciembre de 2027. Borrador a validar por experto: confirmar fechas vigentes al integrarlo.
🔐 ISO/IEC 27001 — Gestión de la seguridad de la información
Aplica a: cualquier organización, de cualquier sector o tamaño. No es de obligado cumplimiento legal, sino un estándar internacional certificable; en la práctica se vuelve exigible cuando lo piden clientes o licitaciones.
Requisitos esenciales: establecer y mantener un sistema de gestión de seguridad de la información (SGSI) con análisis de riesgos, declaración de aplicabilidad y el catálogo de controles del Anexo A (ISO 27001:2022).
Encaje con lo existente: funciona como capa base de controles. La mayoría de medidas de RGPD (art. 32), ENS, NIS2 y DORA tienen su raíz en controles de ISO 27001, por lo que sirve de denominador común para el análisis de solapamiento. En RegComply se trata como activación voluntaria por cliente, no como asignación automática.
Borrador a validar por experto: los mapeos concretos control ISO ↔ requisito de cada norma deben confirmarse.
Cómo se Asignan las Normativas
| Normativa |
Criterio de Aplicación |
Asignación |
| RGPD |
Trata datos personales |
Automática para todos |
| DORA |
Sector financiero |
Automática por sector |
| NIS2 |
Sector crítico + tamaño mediano/grande |
Automática por sector y tamaño |
| EU AI Act |
Usa sistemas de IA |
Manual / según declaración |
| ENS |
Presta servicios al sector público español |
Automática + nivel (básica/media/alta) |
| CRA |
Fabrica/comercializa productos con elementos digitales |
Automática por tipo de producto |
| ISO 27001 |
Voluntaria (capa base de controles) |
Activación manual por cliente |
Análisis de Solapamiento
Muchas organizaciones están sujetas a varias normativas a la vez. RegComply identifica los requisitos comunes (por ejemplo, gestión de incidentes o control de accesos) para que un mismo control y su documentación sirvan a varias normativas, evitando trabajo duplicado.
💡 Tip: Revisa la vista de solapamiento antes de crear documentación nueva: a menudo una evidencia ya existente cubre requisitos de más de una normativa.