OBLIGACIONES EMPRESARIALES
Descripción del curso
En la era digital, la seguridad de la información y la ciberseguridad se han convertido en aspectos críticos para cualquier empresa.
La creciente dependencia de los sistemas digitales, el aumento de las amenazas cibernéticas y las estrictas regulaciones en materia de protección de datos hacen imprescindible disponer de estrategias de seguridad sólidas y actualizadas.
Este curso proporciona una visión integral de la seguridad de la información y la ciberseguridad en el entorno empresarial, abordando:
-
Los fundamentos y principios de la protección de la información
-
La gestión de riesgos y vulnerabilidades
-
La auditoría, el cumplimiento normativo y la continuidad del negocio
Objetivos del curso
Al finalizar el curso, el alumnado será capaz de:
-
Comprender los fundamentos de la seguridad de la información y la ciberseguridad, incluyendo principios, ciclo de vida y buenas prácticas.
-
Identificar activos de información y evaluar vulnerabilidades para diseñar estrategias de mitigación de riesgos.
-
Elaborar políticas de seguridad informática, estableciendo controles y medidas preventivas.
-
Desarrollar y supervisar auditorías de seguridad, aplicando estándares reconocidos.
-
Proponer tácticas y salvaguardas de ciberseguridad que refuercen la cultura de seguridad en la empresa.
-
Conocer y aplicar normativas y marcos internacionales para garantizar el cumplimiento regulatorio y la continuidad del negocio.
Contenidos
Normativas obligatorias a cumplir
-
Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información.
-
Real Decreto 43/2021, de 26 de enero, por el que se desarrolla el RD-ley 12/2018.
-
Directiva (UE) 2016/1148 (Directiva NIS), relativa a la seguridad de las redes y sistemas de información en la Unión Europea.
Obligaciones establecidas por estas normativas
Comunicación de la actividad
Los proveedores de servicios digitales deben comunicar su actividad a la Secretaría de Estado de Digitalización e Inteligencia Artificial en un plazo máximo de tres meses desde el inicio de la actividad.
Garantizar la seguridad de redes y sistemas
Las empresas deben adoptar medidas técnicas y organizativas para:
-
Gestionar riesgos de seguridad
-
Garantizar la continuidad de la actividad
-
Gestionar incidentes
-
Realizar supervisión, auditorías y pruebas
-
Cumplir normas y estándares internacionales
Notificación de incidentes de seguridad
Ante un ciberataque o incidente grave, la empresa deberá notificarlo al CSIRT correspondiente.
En el caso de prestadores de servicios digitales, el CSIRT de referencia es INCIBE.
Empresas no incluidas directamente en la normativa
Aunque una empresa no esté formalmente obligada por estos marcos regulatorios, las consecuencias de un ciberataque son las mismas:
-
Pérdidas económicas
-
Daño reputacional
-
Riesgo para la continuidad del negocio
Medidas clave recomendadas
-
Monitoreo periódico de sistemas y análisis de vulnerabilidades.
-
Definición de una estrategia de seguridad, que incluya:
-
Planes, procedimientos y responsabilidades
-
Normas de actuación del personal
-
-
Procedimientos técnicos, tales como:
-
Gestión de usuarios y accesos
-
Políticas de contraseñas
-
Copias de seguridad
-
Actualizaciones de seguridad
-
Antivirus y cortafuegos
-
Gestión de incidentes y registros de actividad
-
-
Control de proveedores externos, especialmente servicios cloud y hosting.
-
Implantación de soluciones de ciberseguridad, desde básicas hasta avanzadas.
-
Formación y concienciación de empleados, principal vector de entrada de malware.
Marco normativo europeo 2026
Directiva NIS2 (UE 2022/2555)
Seguridad reforzada para empresas críticas y sectores estratégicos.
Obligaciones clave en 2026:
-
Implementar políticas formales de gestión de riesgos digitales
-
Designar responsables de ciberseguridad en la alta dirección
-
Notificar incidentes graves en plazos reducidos
-
Garantizar la seguridad de la cadena de suministro
-
Afrontar sanciones de hasta 10 millones de euros o el 2 % de la facturación global
Ley de Ciberresiliencia (CRA)
Productos digitales seguros a partir de 2026:
-
Reporte de vulnerabilidades explotadas activamente
-
Diseño seguro y pruebas técnicas antes de la comercialización
-
Responsabilidad compartida sobre el cumplimiento normativo
Especialmente relevante para empresas de IoT, software, automoción y maquinaria industrial.
Reglamento de Inteligencia Artificial (AI Act)
A partir del 2 de agosto de 2026, será obligatorio:
-
Identificar claramente los contenidos generados por IA
-
Etiquetado visible para usuarios y legible por máquinas
-
Programas internos de control del uso de IA
Ciberseguridad y ESG
La ciberseguridad se integra en otros marcos regulatorios:
-
CSRD: reporte de seguridad digital como parte de la sostenibilidad.
-
Debida diligencia en proveedores.
-
AI Act: evaluaciones de impacto y transparencia.
Integrar la ciberseguridad en la estrategia ESG mejora el cumplimiento normativo y la confianza de los grupos de interés