¿Qué normativa digital me aplica? Guía de cumplimiento cruzado en ENS, NIS2 y Accesibilidad Web
El panorama regulatorio digital en España y la Unión Europea vive un momento de convergencia sin precedentes. Para directivos, responsables de IT y Compliance Officers, la ciberseguridad, la protección de la información y los derechos digitales de accesibilidad han dejado de ser departamentos estancos: hoy forman un único bloque de cumplimiento que condiciona tanto la continuidad operativa como el acceso a contratos públicos y privados.
Sin embargo, ante la superposición de siglas y reales decretos, surge una pregunta recurrente en los comités de dirección: ¿qué normativa me obliga realmente según mi tamaño, sector y clientes?
1. El laberinto normativo: 3 marcos que debes dominar
Antes de cruzar obligaciones, conviene nivelar el terreno sobre los tres pilares regulatorios que marcan la agenda tecnológica:
- ENS (Esquema Nacional de Seguridad – RD 311/2022): Es la norma española que garantiza la seguridad de los sistemas de información del Sector Público y de cualquier empresa tecnológica que le preste servicios.
- Directiva NIS2 (UE 2022/2555): El marco europeo de ciberseguridad que amplía drásticamente los sectores regulados, impone responsabilidad directa a la alta dirección y endurece las sanciones y el control sobre la cadena de suministro.
- Accesibilidad Web (WCAG 2.1 Nivel AA – RD 1112/2018 y European Accessibility Act): Garantiza que portales, aplicaciones móviles, intranets y plataformas de comercio electrónico puedan ser utilizados por cualquier persona, con independencia de sus capacidades.
2. ¿A quién le toca qué? Obligaciones según tipo de entidad
En la siguiente matriz resumimos el alcance real de cada normativa según el perfil de tu organización:
| Tipo de organización | ENS (RD 311/2022) | Directiva NIS2 | Accesibilidad Web (WCAG 2.1 AA) |
|---|---|---|---|
| Administraciones Públicas | Obligatorio (Básico, Medio o Alto según impacto) | Obligatorio como Entidad Esencial (central/regional; locales según tamaño y rol) | Obligatorio en portales, sedes electrónicas, intranets y apps móviles |
| Proveedores TIC / SaaS B2G (Sector Público) | Obligatorio por contrato (el pliego fija el nivel exigido) | Aplica de forma indirecta (exigencia en la cadena de suministro) | Obligatorio para portales, software web o licitaciones públicas |
| Grandes Empresas en Sectores Críticos (>250 empleados o >50M€: Energía, Salud, Banca, Transporte, Telecom) | Voluntario (salvo si licitan como proveedores públicos) | Obligatorio – Entidad Esencial (supervisión proactiva; multas hasta 10M€ o 2% facturación global) | Obligatorio en servicios de interés económico general (banca, transporte, telecom) |
| Empresas Medianas Críticas o Estratégicas (50–249 empleados o 10–50M€: Alimentación, Química, Residuos, Fabricación) | No aplica (salvo contratistas del sector público) | Obligatorio – Entidad Importante (supervisión reactiva tras incidente; multas hasta 7M€ o 1,4% facturación) | Aplica en e-Commerce y Apps (bajo la European Accessibility Act) |
| PYMEs y Microempresas Privadas (<50 empleados y <10M€ facturación) | No aplica (salvo si licitan o prestan servicios a la AAPP) | Exentas por regla general (excepto PYMEs críticas: DNS, firma digital, etc.) | Exentas de la norma específica (salvo e-Commerce de gran volumen o proveedores públicos) |
El efecto arrastre en la cadena de suministro: Aunque tu empresa sea una PYME exenta sobre el papel, si desarrollas software o prestas servicios cloud a una Administración o a una gran corporación sujeta a NIS2, te exigirán por contrato cumplir con sus estándares.
3. Claves para saber dónde se sitúa tu organización
Para determinar con precisión el nivel de exigencia técnica y documental, debes evaluar tres criterios distintos:
A. Categoría del ENS: importa el impacto, no tu tamaño
El ENS no mide cuántos empleados tienes, sino el impacto de un incidente sobre cinco dimensiones de seguridad (Confidencialidad, Integridad, Disponibilidad, Autenticidad y Trazabilidad):
- Categoría Básica: Perjuicio leve (ej. portal informativo municipal). Permite autoevaluación.
- Categoría Media: Gestión de datos personales relevantes, trámites o pagos (ej. sedes electrónicas). Exige auditoría externa obligatoria (ENAC).
- Categoría Alta: Infraestructuras críticas, datos de salud a gran escala o información clasificada. Requiere auditoría externa rigurosa y controles reforzados.
B. Umbrales de NIS2: Esenciales vs. Importantes
La directiva clasifica a las organizaciones cruzando su volumen de negocio/plantilla con la criticidad de su actividad:
- Entidades Esenciales: Grandes empresas ubicadas en sectores de alta criticidad (Energía, Banca, Salud, Transporte, Infraestructura Cloud), sometidas a auditorías e inspecciones preventivas.
- Entidades Importantes: Empresas medianas de sectores críticos, o medianas y grandes de sectores secundarios estratégicos (servicios postales, gestión de residuos, industria química, fabricación o plataformas digitales).
C. Alcance de la Accesibilidad Digital (WCAG 2.1 AA)
- Sector Público (RD 1112/2018): Cumplimiento estricto en todas sus webs, sedes, intranets y aplicaciones móviles.
- Sector Privado (European Accessibility Act): Obligatorio para banca minorista, transporte de viajeros, telecomunicaciones, suministros energéticos, e-Commerce y proyectos financiados con fondos públicos o europeos.
Convierte el cumplimiento en tu ventaja competitiva
Afrontar el ENS, la NIS2 y la Accesibilidad Web de forma fragmentada multiplica costes y duplica auditorías. Abordarlos mediante una arquitectura de cumplimiento cruzado desde el propio diseño del software evita sanciones de hasta 10 millones de euros y te abre las puertas a licitaciones públicas y contratos con grandes corporaciones.
En SeaSoft desarrollamos y auditamos software a medida, portales corporativos y plataformas ERP/SaaS aplicando seguridad desde el diseño (Security by Design) y estándares WCAG 2.1 AA. Contacta con nuestro equipo para realizar un diagnóstico de cumplimiento tecnológico adaptado a tu organización.