📘 Normativa de Ciberseguridad

Guía de estudio unificada — UD1: Introducción al marco normativo · UD2: Protección de datos (GDPR y LOPDGDD)

CIPFP Mislata Resúmenes Test interactivo (25 preguntas) Recursos y enlaces oficiales

🏛️ UD1 — Introducción al marco normativo

Conceptos fundamentales, jerarquía normativa, organismos de control e importancia del cumplimiento.

1Objetivos de la unidad

  • Comprender la jerarquía de las leyes y cómo el Derecho europeo se integra en el ordenamiento jurídico español.
  • Identificar y diferenciar los principales tipos de normas jurídicas: Ley, Reglamento y Directiva.
  • Reconocer los organismos y autoridades de control clave en ciberseguridad y protección de datos (España y UE).
  • Valorar la importancia del cumplimiento normativo (compliance) para la seguridad jurídica, la reputación y la continuidad del negocio.

2Conceptos fundamentales — Tipos de normas

⚖️ Legales o jurídicas

  • Disposición obligatoria establecida por una autoridad competente (el Estado).
  • Regula el comportamiento de ciudadanos y organizaciones.
  • Su incumplimiento puede conllevar sanciones administrativas, civiles o penales.

🛠️ Técnicas

  • Especificaciones, procedimientos o criterios de organismos de normalización (ej. ISO, UNE).
  • Establecen cómo diseñar, implementar o evaluar un producto/sistema/proceso.
  • No siempre obligatorias, pero pueden ser exigidas por ley o contrato.

🤝 Éticas

  • Principios o valores que orientan el comportamiento correcto, más allá de lo que exige la ley.
  • No son legalmente vinculantes.
  • Su incumplimiento puede afectar a la reputación y la confianza.

Dentro de las normas jurídicas:

📜 Ley

  • Norma de carácter general y obligatorio, emanada del poder legislativo (Parlamento).
  • Regula aspectos fundamentales de la vida social, económica y política.
  • Orgánicas (mayoría absoluta) u ordinarias (mayoría simple).

📋 Reglamento (nacional)

  • Norma de rango inferior a la ley, emanada del poder ejecutivo (Gobierno/Administración).
  • Desarrolla y complementa lo establecido en las leyes.
  • No puede contradecir una ley.

🇪🇺 Directiva (UE)

  • Acto legislativo de la UE que establece objetivos a alcanzar.
  • No es directamente aplicable: requiere trasposición.
  • Da flexibilidad a los Estados miembros para lograr los objetivos.

⚠️ Nota: el Reglamento europeo (como el RGPD) es distinto del "reglamento nacional": el Reglamento UE es un acto legislativo de aplicación directa en todos los Estados miembros, sin necesidad de trasposición.

3Jerarquía normativa

Principio de jerarquía normativa

El sistema jurídico español se rige por el principio de jerarquía: las normas de rango superior prevalecen sobre las de rango inferior. El Derecho de la UE ocupa una posición preeminente.

Prevalencia del Derecho de la UE

En caso de conflicto entre una norma nacional y una norma de la UE directamente aplicable, prevalece esta última (principio de primacía), buscando la uniformidad de aplicación en todos los Estados miembros.

Transposición de directivas

Las directivas europeas no son directamente aplicables: España debe incorporarlas a su legislación interna mediante leyes o reglamentos. Ejemplos clave:

Norma UENaturalezaNorma española relacionada
RGPD (Reglamento General de Protección de Datos)Reglamento → aplicación directaSe complementa con la LOPDGDD
Directiva NIS2Directiva → requiere transposiciónLey de coordinación y gobernanza de la ciberseguridad

Constitución Española

En la cúspide del ordenamiento jurídico español se encuentra la Constitución Española: es la norma suprema, a la que deben ajustarse todas las demás leyes y reglamentos.

🇪🇺 Derecho de la UE (primacía)
📜 Constitución Española
⚖️ Leyes orgánicas / ordinarias
📋 Reglamentos

4Organismos y autoridades de control

🇪🇸 INCIBE

Instituto Nacional de Ciberseguridad. Entidad española cuya misión es la gestión de incidentes para ciudadanos y empresas, la promoción de la cultura de ciberseguridad y el apoyo a la industria tecnológica española.

🔒 AEPD

Agencia Española de Protección de Datos. Autoridad de control independiente que vela por el cumplimiento del RGPD y la LOPDGDD. Puede investigar, sancionar y resolver reclamaciones.

🇪🇺 ENISA

Agencia de la Unión Europea para la Ciberseguridad. Dedicada a lograr un nivel alto de ciberseguridad en Europa; colabora con los Estados miembro y apoya la implementación de políticas de ciberseguridad.

🛡️ CCN

Centro Criptológico Nacional. Entidad española que forma parte del CNI. Responsable de la ciberseguridad de las AAPP; protege la información clasificada; ofrece guías y certificaciones (ej. ENS).

CSIRT vs CERT

Ambos términos se refieren a equipos de respuesta ante emergencias informáticas y sus funciones son prácticamente las mismas:

TérminoRegión habitualDetalle
CSIRT (Computer Security Incident Response Team)EuropaSe prefiere por razones legales
CERT (Computer Emergency Response Team)EE.UU.Término equivalente a CSIRT

Funciones clave de los CSIRT/CERT: monitorización de amenazas · análisis forense de incidentes · coordinación de la respuesta ante ciberataques · emisión de alertas y recomendaciones · formación y concienciación.

CSIRT en España

EntidadResponsableÁmbito
INCIBE-CERTINCIBECiudadanía, empresas y operadores de servicios esenciales
CSIRT.ESEntidad nacional (no es un CSIRT propiamente dicho)Agrupa CSIRT públicos y privados de España; fomenta la colaboración
CSIRT-CVGVAAdministración pública y ciudadanos de la Comunidad Valenciana
CCN-CERTCCNAdministración pública y organismos estratégicos; defensa nacional

5Importancia del cumplimiento normativo

Compliance: conjunto de procedimientos y buenas prácticas adoptadas por una organización para identificar y clasificar los riesgos operativos y legales, y establecer mecanismos internos de prevención, gestión, control y reacción frente a ellos.

🛡️ Protección de la reputación

📊 Gestión de riesgos

🏆 Ventajas competitivas

🚫 Prevención de sanciones

⚖️ Seguridad jurídica

🤝 Confianza del cliente

🔐 UD2 — Protección de datos. GDPR y LOPDGDD

Principios, derechos ARCO-POL, obligaciones, DPO, EIPD, medidas de seguridad, brechas y régimen sancionador.

1Objetivos de la unidad

  • Analizar críticamente los principios fundamentales del RGPD y la LOPDGDD y su aplicación práctica.
  • Gestionar de manera integral los derechos ARCO-POL de los interesados.
  • Diseñar e implementar medidas técnicas y organizativas basadas en el análisis de riesgos y la responsabilidad proactiva (Accountability).
  • Evaluar la necesidad y realizar Evaluaciones de Impacto en la Protección de Datos (EIPD).
  • Coordinar la función del DPO y su relación con las autoridades de control.
  • Desarrollar planes de respuesta ante brechas de seguridad y su notificación obligatoria.
  • Comprender el régimen sancionador y estrategias para minimizar riesgos legales y reputacionales.

2Principios fundamentales del RGPD

Licitud, lealtad y transparencia

Tratamiento lícito, leal y transparente. Base legal clara, honesta y accesible.

Limitación de la finalidad

Datos recogidos con fines determinados, explícitos y legítimos. No tratar de forma incompatible con esos fines.

Minimización de datos

Datos adecuados, pertinentes y limitados a lo necesario para los fines del tratamiento.

Exactitud

Datos exactos y actualizados; medidas razonables para suprimir/rectificar los inexactos.

Limitación del plazo de conservación

Los datos se mantienen identificables solo el tiempo necesario para los fines del tratamiento.

Integridad y confidencialidad

Seguridad adecuada mediante medidas técnicas/organizativas; protección frente a tratamiento no autorizado, pérdida o daño.

♻️ Responsabilidad proactiva (Accountability)

El responsable del tratamiento debe cumplir los principios y ser capaz de demostrarlo, configurando un Sistema de Gestión de la Privacidad basado en la mejora continua. Obliga al autoanálisis (auditorías). Seguridad proactiva → vigilancia.

2bLOPD (antigua) vs GDPR/LOPDGDD (actual)

CaracterísticaLOPD (antigua)GDPR / LOPDGDD (actual)
ConsentimientoTácitoExpreso (inequívoco, explícito y voluntario)
Niveles de datos3 niveles: alto, medio, básico2 niveles: especiales y no especiales
Registro de ficherosInscripción pública de ficheros (AEPD)Registro interno de actividades de tratamiento (ya no se comunica a la AEPD)
RegulaciónRegulación externaAutorregulación
Medidas de seguridadEstablecidas en RD 1720/2007Definidas por la propia empresa (análisis de riesgo)
SeguridadReactivaProactiva: vigilancia
Derechos4: ARCO6: ARCO + olvido + portabilidad (ARCO-POL)

La LOPDGDD adapta y complementa el RGPD en España. Ambas normativas se aplican de forma conjunta y complementaria: cumplir solo con el RGPD no es suficiente en España.

2cNiveles / tipos de datos

CategoríaNivelEjemplos
DatosNivel básicoTodos los demás datos personales
Datos especialesNivel medioPerfiles, solvencia, antecedentes penales y administrativos…
Nivel altoSalud, religión, creencias, orientación sexual, sindicatos
NuevosBiométricos y genéticos

Para datos especiales aparecen obligaciones adicionales: nombramiento de DPO, notificación a usuarios en caso de quiebra de seguridad, y realización de una Evaluación de Impacto (EIPD).

3Derechos de los ciudadanos — ARCO-POL

A — Acceso

Confirmar si se tratan datos propios y acceder a ellos. Incluye obtener copia de la información.

R — Rectificación

Obtener sin dilación indebida la corrección de datos inexactos.

C — Cancelación/Supresión (Olvido)

Supresión de datos sin dilación indebida. Se extiende al "derecho al olvido" (retirada de enlaces en buscadores).

O — Oposición

Oponerse al tratamiento por motivos particulares; incluye el nuevo derecho de limitación del tratamiento.

P — Portabilidad

Recibir los datos en formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable.

L — (Derecho al) Olvido

Consecuencia directa del borrado: retirada de enlaces en motores de búsqueda bajo ciertas condiciones.

Otros derechos incluidos en la normativa: derecho a la desconexión digital.

4Obligaciones: Responsable vs Encargado del tratamiento

👤 Responsable del tratamiento

Persona física/jurídica, autoridad pública, agencia u organismo que determina los fines y medios del tratamiento.

  • Aplicar los principios de protección de datos.
  • Adoptar medidas para garantizar y demostrar el cumplimiento (accountability), según análisis de riesgo.
  • Designar DPO si aplica.
  • Realizar EIPD cuando sea necesario.
  • Notificar brechas a la autoridad y, si procede, a los interesados.
  • Garantizar los derechos de los interesados.
  • Llevar un registro de actividades de tratamiento.

🤝 Encargado del tratamiento

Persona física/jurídica que trata datos personales por cuenta del responsable.

  • Tratar los datos solo según instrucciones documentadas del responsable.
  • Garantizar la confidencialidad.
  • Asistir al responsable en sus obligaciones.
  • Adoptar medidas de seguridad adecuadas.
  • Colaborar en caso de brechas de seguridad.
  • Devolver o suprimir los datos al finalizar el servicio.
  • La relación debe regularse mediante contrato.

El registro de actividades de tratamiento debe contener:

  • Nombre y contacto de la empresa responsable, encargado y DPO.
  • Finalidades del tratamiento.
  • Categorías de interesados y tipos de datos (indicando si son especiales).
  • Transferencias internacionales, en su caso.
  • Base legal para el tratamiento.
  • Evaluación de impacto documentada si son datos especiales.

5Delegado de Protección de Datos (DPO / DPD)

Especialista independiente en derecho de protección de datos, distinto del responsable, del encargado, del CIO y de la autoridad de control (AEPD).

Obligatorio cuando (RGPD):

  • El tratamiento lo lleva a cabo una autoridad u organismo público (excepto tribunales en ejercicio de su función).
  • Se requiere observación habitual y sistemática de interesados a gran escala.
  • Tratamiento a gran escala de categorías especiales de datos o de condenas/infracciones penales.
Casos adicionales obligatorios según la LOPDGDD (España) — clic para ver la lista completa
  • Colegios profesionales y sus consejos generales.
  • Centros docentes que ofrezcan enseñanzas regladas.
  • Entidades que exploten redes y presten servicios de comunicaciones electrónicas.
  • Prestadores de servicios de la sociedad de la información que recaben gran volumen de datos.
  • Entidades que elaboren informes comerciales sobre personas.
  • Entidades de publicidad y prospección comercial.
  • Centros sanitarios con datos de salud de un elevado número de personas.
  • Entidades dedicadas a la investigación en el ámbito de la salud.
  • Operadores de juego online.
  • Empresas de seguridad privada.
  • Federaciones deportivas cuando traten datos de menores.

Funciones del DPO

Informar y asesorar al responsable/encargado y empleados
Supervisar el cumplimiento del RGPD
Asesorar sobre la EIPD y supervisar su aplicación
Cooperar con la AEPD
Punto de contacto para los interesados

Posición del DPO

  • Debe contar con los recursos necesarios.
  • Autonomía e independencia; no recibe instrucciones sobre el ejercicio de sus funciones.
  • No puede ser destituido ni sancionado por el desempeño de sus funciones.
  • Debe mantener el secreto profesional.

6Análisis / Evaluación de Impacto en la Privacidad (PIA / EIPD)

Proceso sistemático para identificar y mitigar riesgos de privacidad y protección de datos antes de iniciar un proyecto o desarrollar un nuevo producto/servicio.

Es obligatoria cuando el tratamiento entrañe alto riesgo, por ejemplo:

  • Uso de grandes volúmenes de datos sensibles.
  • Tratamiento de datos a gran escala con fines de perfilado.
  • Vigilancia sistemática de espacios públicos.
  • Nuevos proyectos que involucren datos biométricos o genéticos.

7Medidas de seguridad

El RGPD establece un modelo de autorregulación y responsabilidad proactiva: las medidas se deciden en función del riesgo de cada tratamiento (el antiguo esquema del RD 1720/2007 ya no es automáticamente válido).

Proceso a seguir

1. Análisis de riesgos: determinar el nivel de riesgo
2. Contramedidas: definir medidas técnicas/organizativas
3. Factores: coste, técnica, naturaleza/alcance/contexto, riesgos para derechos

Alcance universal: aplica a datos estructurados y no estructurados, Big Data, Cloud… Las medidas deben aplicarse antes del inicio del tratamiento y formar parte de una mejora continua (auditorías).

Privacidad desde el diseño

Privacy by Design: integrar la protección de datos desde la concepción del sistema o proceso.

Privacidad por defecto

Privacy by Default: recoger solo los datos necesarios; configuraciones predeterminadas que protegen la privacidad.

Autorregulación

Códigos de conducta sectoriales y certificaciones (ej. ISO/IEC 27001).

Medidas técnicas

  • Cifrado y seudonimización: cifrado de dispositivos (portátiles, móviles, USB), uso de VPN.
  • Control de acceso y autenticación: privilegio mínimo, contraseñas robustas, MFA, gestión de roles.
  • Protección de red y software: firewalls, IDS, antivirus/antimalware actualizado.

Medidas organizativas

  • Políticas de protección de datos.
  • Formación y concienciación continua.
  • Auditorías internas y externas.
  • Limpieza segura (borrado y destrucción de hardware/software con datos personales).

8Brechas de seguridad y su notificación

Brecha de seguridad: toda violación de la seguridad que ocasione destrucción, pérdida o alteración accidental/ilícita de datos personales, o comunicación/acceso no autorizados a los mismos.

📢 Notificación a la AEPD

  • Sin dilación indebida.
  • Antes de 72 horas desde que se tuvo constancia.
  • No necesaria si es improbable que suponga un riesgo para los derechos y libertades.

Debe incluir: naturaleza de la violación (categorías/nº de interesados y registros), contacto del DPO, posibles consecuencias, medidas adoptadas/propuestas.

👥 Notificación a los interesados

  • Solo si hay probabilidad de alto riesgo para derechos y libertades.
  • Sin dilación indebida, en lenguaje claro y sencillo.
  • Debe incluir medidas recomendadas para mitigar efectos adversos.

No es necesaria si: los datos estaban cifrados/ininteligibles, se han tomado medidas posteriores que eliminan el riesgo, o supone un esfuerzo desproporcionado (en ese caso: comunicación pública).

9Régimen sancionador y medidas correctivas

Sanciones económicas — RGPD

NivelImporte máximo
Infracciones graves (nivel 1)10 M€ o 2% del volumen de negocio anual mundial (lo que sea mayor)
Infracciones muy graves (nivel 2)20 M€ o 4% del volumen de negocio anual mundial (lo que sea mayor)

Sanciones económicas — LOPDGDD

TipoImporte
LevesHasta 40.000 €
GravesDe 40.001 € a 300.000 €
Muy gravesDe 300.001 € a 20 M€ (o 4% del volumen de negocio, lo mayor)

Criterios para la imposición de sanciones

  • Naturaleza, gravedad y duración de la infracción.
  • Carácter intencional o negligente.
  • Medidas tomadas para mitigar daños.
  • Grado de responsabilidad (medidas técnicas/organizativas aplicadas).
  • Infracciones anteriores pertinentes.
  • Grado de cooperación con la autoridad de control.
  • Categorías de datos afectados.
  • Forma en que la autoridad tuvo conocimiento de la infracción.
  • Cumplimiento de medidas correctivas previas.
  • Adhesión a códigos de conducta o certificaciones.

Otras medidas correctivas (Art. 58 RGPD)

Advertencias · Amonestaciones · Requerimientos para cumplir solicitudes del interesado · Prohibiciones temporales o definitivas de tratamiento · Retirada de una certificación.

📝 Test de autoevaluación

25 preguntas sobre UD1 (marco normativo) y UD2 (GDPR / LOPDGDD). Elige una respuesta por pregunta.

Pregunta 1 de 25
Resultado final
0 / 25

🔗 Recursos, organismos y enlaces oficiales

Herramientas, entidades y normativa citadas en ambas unidades. Útil como referencia rápida y para consultar las fuentes primarias.

🏢 Organismos y autoridades

AEPD — Agencia Española de Protección de Datos
Autoridad de control del RGPD y la LOPDGDD en España. Reclamaciones, guías, sanciones.
INCIBE — Instituto Nacional de Ciberseguridad
Gestión de incidentes, cultura de ciberseguridad, apoyo a empresas y ciudadanía.
INCIBE-CERT
CSIRT de referencia para ciudadanía, empresas y operadores de servicios esenciales.
CCN-CERT — Centro Criptológico Nacional
Ciberseguridad de las AAPP y organismos estratégicos; guías CCN-STIC y ENS.
ENISA — Agencia de la UE para la Ciberseguridad
Estrategia y apoyo a la ciberseguridad a nivel europeo.
CSIRT-CV
CSIRT de la Comunitat Valenciana (GVA): AAPP y ciudadanos del ámbito autonómico.

📜 Normativa y textos legales

RGPD — Reglamento (UE) 2016/679
Texto consolidado en EUR-Lex (Reglamento General de Protección de Datos).
LOPDGDD — Ley Orgánica 3/2018
Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales.
Directiva NIS2 — (UE) 2022/2555
Directiva europea sobre ciberseguridad de infraestructuras críticas (en transposición en España).
Constitución Española
Norma suprema del ordenamiento jurídico español.

🛠️ Herramientas y estándares mencionados

ISO/IEC 27001
Certificación de sistemas de gestión de seguridad de la información, citada como mecanismo de autorregulación.
Herramienta EIPD/PIA de la AEPD
Guía y herramienta de la AEPD para realizar Evaluaciones de Impacto en la Protección de Datos.
Sede electrónica AEPD — Notificación de brechas
Formulario oficial para la notificación de violaciones de seguridad (plazo de 72h).
RD 1720/2007
Antiguo reglamento de desarrollo de la LOPD (ya no aplica automáticamente el esquema de medidas).

📎 Glosario rápido de siglas

SiglaSignificado
RGPD / GDPRReglamento General de Protección de Datos
LOPDGDDLey Orgánica de Protección de Datos Personales y garantía de los derechos digitales
ARCO-POLAcceso, Rectificación, Cancelación, Oposición, Portabilidad, (derecho al) Olvido / Limitación
DPO / DPDData Protection Officer / Delegado de Protección de Datos
EIPD / PIAEvaluación de Impacto en la Protección de Datos / Privacy Impact Assessment
AEPDAgencia Española de Protección de Datos
INCIBEInstituto Nacional de Ciberseguridad
ENISAEuropean Union Agency for Cybersecurity
CCNCentro Criptológico Nacional
CSIRT / CERTComputer Security Incident Response Team / Computer Emergency Response Team
ENSEsquema Nacional de Seguridad