Cogniria
Todos los artículos

¿Es obligatoria la formación en ciberseguridad? Norma por norma

Cogniria · · 9 min de lectura

En 2021 un ransomware entró en The Phone House Spain y, según la AEPD, comprometió los datos de 13 millones de personas. Cuando la Agencia revisó qué medidas tenía la empresa, encontró cursos de formación. Lo que no encontró fue la prueba de que se hubieran hecho: la mayoría eran cursos genéricos que «no acredita cuántos alumnos ni cuándo se realizaron», y uno de los listados, de unas 330 personas, estaba «sin fechar ni firmar». La empresa tenía 1.411 empleados. Acabó con dos multas que suman 6,5 millones de euros.

La formación no fue lo único que la AEPD le reprochó, pero el caso responde bien a la pregunta del título. Que la formación sea obligatoria depende de las normas que se apliquen a tu empresa. Lo que te van a pedir, en cualquier caso, es que puedas demostrarla.

RGPD: no lo dice así, pero no se cumple sin formar

Circula mucho que el Reglamento General de Protección de Datos obliga a formar a todos los empleados. Ningún artículo lo dice así. Lo que hay son varias obligaciones que, juntas, son muy difíciles de cumplir sin formación.

El artículo 24 pide aplicar medidas organizativas apropiadas y, además, poder demostrarlo. El artículo 32.1 hace lo mismo con la seguridad y añade que hay que verificar con regularidad si esas medidas funcionan. Y el 32.4 es el más directo: quien tenga acceso a datos personales solo puede tratarlos siguiendo instrucciones del responsable. Una instrucción que nadie ha explicado no se puede seguir, y formar a la persona es la forma habitual de dársela y de probar que le llegó.

Si la empresa tiene delegado de protección de datos, el artículo 39.1.b le encarga supervisar, entre otras cosas, «la concienciación y formación del personal que participa en las operaciones de tratamiento». El Reglamento da por hecho que esa formación existe.

No impone un curso ni una periodicidad, y el listón sube con el riesgo. Una gestoría de cinco personas y una clínica con historias clínicas no se miden igual, pero las dos tienen que poder enseñar qué hicieron. Es lo que le faltó a Phone House: la sanción (PS/00084/2023) fue de 4 millones por el artículo 5.1.f y 2,5 millones por el 32, y la AEPD desestimó el recurso de reposición.

ENS: obligatorio si trabajas para la Administración

El Esquema Nacional de Seguridad (Real Decreto 311/2022, en vigor desde el 5 de mayo de 2022) se aplica al sector público y, por su artículo 2.3, a las empresas que le prestan servicios por contrato. Si tu pyme mantiene el software de un ayuntamiento, el pliego te pedirá la conformidad con el ENS.

Aquí la obligación está escrita. El artículo 15 exige que el personal sea formado e informado de sus responsabilidades en seguridad, y el anexo II lo baja a dos medidas que se aplican en todas las categorías, también en la básica. La de concienciación (mp.per.3) pide recordar a todos, cada cierto tiempo, las técnicas de ingeniería social más habituales y cómo avisar de un incidente. La de formación (mp.per.4) pide formar a cada uno en lo que necesita su puesto y termina con una frase que pesa: «se evaluará la eficacia de las acciones formativas llevadas a cabo».

Qué revisa el auditor en estas dos medidas, y cómo cambia según la categoría del sistema, lo contamos en ENS para empresas privadas.

NIS2: obligará a la dirección, pero aún no es ley en España

La Directiva NIS2 (Directiva (UE) 2022/2555) afecta a las entidades esenciales e importantes de sectores como la energía, la sanidad o la infraestructura digital. Su artículo 20.2 distingue dos niveles: los miembros de los órganos de dirección deberán asistir a formaciones, y a los Estados se les pide que «alentarán» a las entidades a ofrecer formaciones similares a sus empleados. Para la dirección es una obligación y para la plantilla una recomendación, aunque el artículo 21.2.g incluye la formación en ciberseguridad entre las medidas mínimas, y por ahí entra todo el mundo.

En España, de momento, nada de esto obliga. El plazo para transponerla venció el 17 de octubre de 2024. El Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025, pero a octubre de 2026 no se ha publicado en el BOE, y el 8 de julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE por no hacerlo.

Mientras tanto sigue vigente el Real Decreto-ley 12/2018, que transpuso la directiva anterior, para los operadores de servicios esenciales y los proveedores de servicios digitales. Su reglamento, el Real Decreto 43/2021, pide en el artículo 6.2.d que la política de seguridad trate la gestión del personal.

DORA: la más clara, para el sector financiero

El Reglamento DORA (Reglamento (UE) 2022/2554) se aplica desde el 17 de enero de 2025 a bancos, entidades de pago, aseguradoras y el resto de entidades financieras de su artículo 2, sin necesidad de transposición.

Ninguna otra norma lo dice tan claro. Su artículo 13.6 exige programas de sensibilización y formación que serán «módulos obligatorios» para todos los empleados y la alta dirección, adaptados a cada puesto, y que cuando proceda deben llegar también a los proveedores de servicios TIC. El artículo 5.4 añade una formación periódica específica para el órgano de dirección.

Si tu empresa presta servicios TIC a un banco o a una aseguradora, es probable que el contrato te traslade parte de esta exigencia.

ISO 27001: voluntaria hasta que te certificas

ISO/IEC 27001:2022 no la impone ninguna ley, pero si te certificas, o un cliente te lo pide, el auditor revisará la formación. Resumido, porque el texto de la norma es de pago: la cláusula 7.2 pide definir la competencia de cada puesto, asegurarla, evaluar si las acciones han funcionado y guardar la prueba; la 7.3 pide que el personal conozca la política de seguridad y lo que supone incumplirla; y el control A.6.3 del anexo A trata la concienciación y la formación periódicas.

Hay una séptima obligación que no entra en esta comparación porque no es de ciberseguridad: el artículo 4 del Reglamento de IA, que pide medidas de alfabetización en IA para quien usa estos sistemas. Cambió en julio de 2026 y lo explicamos en qué queda del artículo 4 tras el Ómnibus.

Las normas, en una tabla

Norma A quién aplica Qué exige sobre formación Desde cuándo
RGPD Cualquier responsable o encargado que trate datos personales Medidas apropiadas y demostrables (art. 24); personal que trata datos siguiendo instrucciones (art. 32.4); el DPD supervisa la formación (art. 39.1.b) 25 de mayo de 2018
ENS (RD 311/2022) Sector público y empresas que le prestan servicios (art. 2.3) Concienciación y formación regulares, con evaluación de su eficacia (art. 15, mp.per.3 y mp.per.4) 5 de mayo de 2022
NIS2 Entidades esenciales e importantes Formación obligatoria para la dirección (art. 20.2); formación en ciberseguridad como medida mínima (art. 21.2.g) Sin transponer en España a octubre de 2026
RD-ley 12/2018 y RD 43/2021 Operadores de servicios esenciales y proveedores de servicios digitales Política de seguridad que incluya la gestión del personal (art. 6.2.d RD 43/2021) 9 de septiembre de 2018
DORA Entidades financieras (art. 2) Módulos obligatorios para todos los empleados y la alta dirección (art. 13.6) 17 de enero de 2025
ISO/IEC 27001:2022 Voluntaria; empresas certificadas o en proceso Competencia, concienciación y registros (7.2, 7.3, A.6.3) Versión de 2022

Qué guardar para poder demostrarlo

Ninguna de estas normas fija cuántas horas, cada cuánto ni durante cuánto tiempo hay que guardar los registros. Eso lo decides tú en tu política de seguridad, con tu DPD si lo tienes, y luego hay que cumplirlo. Lo que sí se deduce de los textos, y de lo que la AEPD echó en falta con Phone House, es qué tienes que poder enseñar:

Un listado de cursos sin nombres ni fechas no sirve para nada de esto, por muchos cursos que contenga.

Cómo lo resolvemos en Cogniria

En Cogniria formamos a tu plantilla con un catálogo de cursos de ciberseguridad y protección de datos y lanzamos por ti simulaciones de phishing para medir si la formación funciona. La plataforma registra cada curso completado por cada persona, con fecha y nota, y lo exporta en PDF o CSV para el auditor. Te ayudamos a reunir la evidencia; la certificación sigue siendo cosa de tu auditor.

Si quieres ver cómo queda ese informe con datos de ejemplo, escríbenos y te lo enseñamos.

Fuentes

Solicita una demo

Una sesión de 20-30 minutos. Te contactamos en menos de 24 horas laborables.

En la demo verás…

  • El informe de cumplimiento en directo
  • El catálogo de cursos con audio
  • Una campaña de phishing gestionada
  • Cómo se exporta la evidencia

Email

[email protected]

* Campos obligatorios