Artículos
Artículos, a partir de nuestros propios datos
Cada texto de abajo se apoya en un conjunto de datos que mantenemos y citamos.
A quién se aplicaLas fechasLo único que hay que hacer
- A quién se aplica
- Quien necesita la respuesta a una pregunta normativa y no una plataforma.
- Las fechas
- Cada artículo lleva el día de su publicación y el día en que se leyeron sus fuentes; los temas de abajo llevan el más reciente.
- Lo único que hay que hacer
- Empiece por el tema que encaja con su pregunta y lea el artículo: cada uno abre con a quién se aplica, las fechas y lo único que hay que hacer.
- Cyber Resilience Act
El artículo 13 del CRA para un fabricante de software
Los veinticinco apartados en orden, cuáles son suyos, cuáles de la Comisión, y una lista de comprobación por función.
13 de septiembre de 2026 - NIS2
El plazo de incidentes NIS2 para una empresa de software
La alerta temprana a las 24 horas, la notificación a las 72 horas, el informe final al mes, qué hace significativo un incidente para un proveedor cloud, y una página que redacta los tres informes.
13 de septiembre de 2026 - ISO 27001
El registro de acción correctiva ISO 27001
Lo que pide el apartado 10.2 tras una no conformidad, las siete secciones que un auditor acepta, los errores que reabren un hallazgo, y una página que lo redacta.
13 de septiembre de 2026 - ISO 42001
La evaluación de impacto de un sistema de IA ISO 42001
Lo que pide el apartado 6.1.4, los tres niveles de consecuencias, dónde se encuentra con el Reglamento de IA, los errores que señala un auditor, y una página que la redacta.
13 de septiembre de 2026 - ISO 27001
La evaluación de riesgos ISO 27001
La evaluación de riesgos ISO 27001 para una empresa de software: lo que pide el apartado 6.1.2, un método de cinco puntos, los riesgos de partida y una página que redacta el registro y el plan de tratamiento.
13 de septiembre de 2026 - Data Act
La Ley de Datos para una empresa SaaS
Las obligaciones de cambio de proveedor desde el 12 de septiembre de 2025, las nueve cláusulas contractuales, el fin de los cargos por cambio, y lo que debe un titular de datos.
13 de septiembre de 2026 - ISO 42001
La política de IA ISO 42001 para una empresa de software
Lo que pide el apartado 5.2, las diez secciones, los deberes del Reglamento de IA que nombra, los errores que señala un auditor, y una página que la redacta.
13 de septiembre de 2026 - ISO 27001
La política de seguridad de la información ISO 27001
Lo que pide el apartado 5.2, las nueve secciones de una política breve, los errores que señala un auditor, y una página que la redacta.
13 de septiembre de 2026 - ISO 27001
La revisión por la dirección ISO 27001
Las siete entradas del apartado 9.3 como orden del día, las cuatro tendencias, las dos salidas, lo que debe mostrar el acta, y una página que la redacta.
13 de septiembre de 2026 - ISO 9001
Cómo comprobar que un certificado ISO 9001 es auténtico
Qué debe mostrar un certificado, tres comprobaciones en diez minutos, y los 27 registros de acreditación.
12 de septiembre de 2026 - RGPD
Cuál es su autoridad de control del RGPD
El establecimiento principal, la autoridad principal del artículo 56, los casos locales y las 30 autoridades del Comité.
12 de septiembre de 2026 - DORA
Cuando su caída es el incidente grave de su banco
Cuando su caída se convierte en el incidente grave de su cliente bancario: los seis criterios de DORA, el umbral de dos horas de inactividad del RTS 2024/1772, los plazos de cuatro horas, 24 horas, 72 horas y un mes del RTS 2025/301, y los datos que su cliente necesitará de usted.
12 de septiembre de 2026 - ISO 9001
Cuánto cuesta la certificación ISO 9001
Los días de auditoría que IAF MD 5 fija por plantilla, la tarifa diaria, el total a tres años, y por qué es un tercio de ISO 27001.
12 de septiembre de 2026 - DORA
La política DORA de su banco, RTS 2024/1773
La política DORA de su banco sobre proveedores, RTS 2024/1773: las seis preguntas de la diligencia debida, las cinco fuentes de garantía, las ocho condiciones para aceptar su certificado ISO 27001 en lugar de una auditoría, y los cinco informes que deberá.
12 de septiembre de 2026 - DORA
DORA para un proveedor de software
Las cláusulas contractuales del artículo 30 que le enviará su cliente bancario, el registro de información en el que figurará, y lo que ISO 27001 ya responde.
12 de septiembre de 2026 - DORA
Subcontratación bajo DORA, RTS 2025/532
Diez condiciones que comprueba su cliente, doce cláusulas que lleva su contrato, un preaviso antes de cambiar de subcontratista.
12 de septiembre de 2026 - DORA
Los diecinueve tipos de servicios de TIC de DORA, S01 a S19
Cuál es un producto SaaS, qué consigna el registro de información sobre él, y por qué un contrato puede ser varias filas.
12 de septiembre de 2026 - NIS2
El artículo 20 de NIS2 para el consejo
Lo que el órgano de dirección debe aprobar, supervisar y aprender, los doce lugares donde el Reglamento de Ejecución lo nombra, y qué significa la responsabilidad.
12 de septiembre de 2026 - Reglamento de IA
El artículo 50 del Reglamento de IA y la IA generativa
El artículo 50 del Reglamento de IA para una empresa que suministra o usa IA generativa: las cuatro obligaciones de transparencia vigentes desde el 2 de agosto de 2026, la transición del 2 de diciembre de 2026, el código de buenas prácticas y el icono de la UE.
12 de septiembre de 2026 - RGPD
El contrato de encargo del RGPD para una empresa SaaS
Las ocho cláusulas del artículo 28, apartado 3, que lleva toda adenda de cliente, el deber que la mayoría olvida, y lo que se sitúa al lado bajo DORA.
12 de septiembre de 2026 - RGPD
El plazo de 72 horas del RGPD para una empresa de software
Cuándo lo inicia la constancia, qué contiene la notificación, el plazo propio del encargado, y los plazos de NIS2, el CRA y DORA de al lado.
12 de septiembre de 2026 - NIS2
El registro NIS2
Las dos listas en las que puede estar, qué presenta, para cuándo y a quién (artículo 3(4) y artículo 27).
12 de septiembre de 2026 - RGPD
El registro RGPD de tratamientos de una empresa de software
El registro RGPD de actividades de tratamiento para una empresa de software: los siete campos del artículo 30, apartado 1, los cuatro del artículo 30, apartado 2, por qué la exención de 250 personas nunca se aplica, y una página que lo redacta.
12 de septiembre de 2026 - Reglamento de IA
El Reglamento de IA para una empresa de software
Qué papel tiene, qué se aplica a todos, qué se aplica solo a un proveedor de alto riesgo, las disposiciones pyme y las fechas modificadas.
12 de septiembre de 2026 - Reglamento de IA
El Reglamento de IA tras el ómnibus digital
Las fechas que cambiaron el 27 de julio de 2026, y qué controles de ISO 42001 producen la evidencia para los trece aspectos del artículo 17 y los artículos 9 a 15.
12 de septiembre de 2026 - RGPD
El representante del RGPD del artículo 27
El representante del RGPD del artículo 27 para una empresa de software fuera de la UE: quién debe designarlo, las tres condiciones de la exención y adónde va el nombre.
12 de septiembre de 2026 - RGPD
El RGPD para una empresa de software
Responsable de sus propios datos, encargado para sus clientes, y las cinco obligaciones que dependen del tamaño y de los datos.
12 de septiembre de 2026 - NIS2
Esencial o importante bajo NIS2
La regla de tamaño, las reglas sin condición de tamaño y las siete formas de ser esencial.
12 de septiembre de 2026 - ISO 9001
¿Exige ISO 9001:2015 un manual de calidad?
Qué pide el apartado 7.5 en su lugar, los 21 lugares donde la norma nombra la información documentada, y para qué sirve hoy un manual.
12 de septiembre de 2026 - ISO 27701
ISO/IEC 27701:2025 para una empresa de software
La norma de privacidad independiente, sus 78 controles, lo que un sistema ISO 27001 ya cubre, y los artículos del RGPD que cada control evidencia.
12 de septiembre de 2026 - ISO 9001
ISO 9001 en las licitaciones públicas de la UE
Qué países de la UE nombran ISO 9001 en las licitaciones públicas: 4.897 anuncios alemanes, 4.743 rumanos, y uno de cada diez anuncios rumanos la nombra.
12 de septiembre de 2026 - ISO 9001
ISO 9001 para una empresa de software
Qué significa el apartado 8 cuando el producto es código, subapartado por subapartado.
12 de septiembre de 2026 - Reglamento de IA
La alfabetización en IA del artículo 4 del Reglamento de IA
La alfabetización en IA del artículo 4 del Reglamento de IA, tal como se reescribió el 27 de julio de 2026: qué significa «tomar medidas», a quién cubre, qué no exige, y el registro que hay que llevar.
12 de septiembre de 2026 - ISO 27001
La declaración de alcance ISO 27001
Por qué un certificado que dice sede central no cubre su SaaS, qué pide la cláusula 4.3, qué comprueba un comprador bajo DORA, y tres declaraciones de alcance que pasan.
12 de septiembre de 2026 - ISO 27001
La declaración de aplicabilidad ISO 27001
La declaración de aplicabilidad ISO 27001 para una empresa de software: los 93 controles, las cuatro columnas del apartado 6.1.3 d), las exclusiones que un auditor acepta, y una página que la redacta.
12 de septiembre de 2026 - Cyber Resilience Act
La declaración UE de conformidad bajo el CRA
El anexo V punto por punto, la forma simplificada y un ejemplo resuelto.
12 de septiembre de 2026 - RGPD
La evaluación de impacto del RGPD
La evaluación de impacto del RGPD para una empresa de software: los tres casos del artículo 35, apartado 3, los nueve criterios detrás, los cuatro elementos del artículo 35, apartado 7, y una página que la redacta.
12 de septiembre de 2026 - RGPD
La información de privacidad del RGPD
La información de privacidad del RGPD para una empresa de software: los doce contenidos del artículo 13, los trece del artículo 14, el momento en que se facilita cada uno, y una página que la redacta.
12 de septiembre de 2026 - ISO 9001
La política de la calidad ISO 9001
Las cuatro cosas que exige el apartado 5.2, las tres cosas que deben ocurrir con ella, y un ejemplo de una página.
12 de septiembre de 2026 - ISO 9001
La revisión por la dirección ISO 9001
Las 13 entradas y 3 salidas del apartado 9.3 como orden del día, de dónde sale cada entrada, y qué debe mostrar el acta.
12 de septiembre de 2026 - RGPD
La solicitud de un interesado del RGPD
La solicitud de un interesado del RGPD para una empresa de software: el mes del artículo 12, apartado 3, los ocho contenidos de una respuesta de acceso, los dos meses adicionales y una página que calcula el plazo.
12 de septiembre de 2026 - NIS2
Las diez medidas del artículo 21(2) de NIS2
Las diez medidas del artículo 21(2) de NIS2 como lista de comprobación: cada letra citada, las secciones del Reglamento detrás, y los controles ISO 27001 que ya las producen.
12 de septiembre de 2026 - DORA
Pruebas de penetración guiadas por amenazas (DORA)
Las pruebas de penetración guiadas por amenazas bajo DORA, desde el lado del proveedor: cuándo el equipo rojo de su cliente bancario puede entrar en sus sistemas de producción, la prueba de 12 semanas del RTS 2025/1190, la prueba agrupada que puede realizar en su lugar, y lo que el contrato ya dice.
12 de septiembre de 2026 - Reglamento de IA
Lo que debe quien despliega una IA de alto riesgo
Lo que debe un responsable del despliegue de un sistema de IA de alto riesgo según el artículo 26 del Reglamento de IA: los doce apartados en orden, la evaluación de impacto del artículo 27, cuándo pasa a ser proveedor, y los registros que lleva un sistema ISO 42001.
12 de septiembre de 2026 - DORA
Dónde llega el marco de riesgos TIC de su banco
Los nueve lugares en los que el marco de riesgos de TIC de su cliente bancario entra en su producto, RTS 2024/1774: fechas de fin de soporte, informes de vulnerabilidades y seguimiento de bibliotecas, ajustes que no puede eludir, código fuente probado antes de producción, cuentas nominales para su personal, y sus incidentes como sus alarmas.
12 de septiembre de 2026 - NIS2
NIS2 para mercados, buscadores y redes sociales
NIS2 para mercados en línea, motores de búsqueda y redes sociales: los proveedores digitales del anexo II, y por qué nunca son esenciales por tamaño.
12 de septiembre de 2026 - NIS2
NIS2 para proveedores de servicios gestionados y MSSP
Una entidad del anexo I por definición, y el proveedor en el que aterriza la diligencia de cada cliente.
12 de septiembre de 2026 - NIS2
NIS2 para una empresa SaaS
Es usted un proveedor de servicios de computación en nube, y esto es lo que sigue.
12 de septiembre de 2026 - Cyber Resilience Act
Normas armonizadas para el CRA
Ninguna citada todavía, 41 solicitadas, las dos primeras vencían el 30 de agosto de 2026.
12 de septiembre de 2026 - RGPD
Transferencias internacionales del RGPD
Transferencias internacionales del RGPD para una empresa de software: las 17 decisiones de adecuación, los cuatro módulos de las CCT, lo que necesita un subencargado estadounidense, británico o indio, y una página que elige el mecanismo.
12 de septiembre de 2026 - NIS2
La transposición de NIS2, Estado por Estado
Lo que muestra el registro de la propia Comisión.
12 de septiembre de 2026 - Cyber Resilience Act
¿A qué CSIRT notifica bajo el CRA?
Al coordinador de su establecimiento principal, los 27 con nombre.
11 de septiembre de 2026 - ISO 42001
Certificación ISO 42001
Qué exige, qué cuesta y quién la pide de verdad.
11 de septiembre de 2026 - Cyber Resilience Act
CRA anexo 1
Los 22 requisitos esenciales como lista de comprobación, 14 requisitos del producto y 8 de gestión de vulnerabilidades.
11 de septiembre de 2026 - Cyber Resilience Act
¿CRA o NIS2?
Cuál se aplica a una empresa de software, y si pueden ser las dos.
11 de septiembre de 2026 - Cyber Resilience Act
¿Cuándo empieza el reloj de 24 horas del CRA?
Con un grado razonable de certeza tras una evaluación inicial rápida, según las directrices de la Comisión.
11 de septiembre de 2026 - Cyber Resilience Act
¿Cuándo se introduce el software en el mercado (CRA)?
¿Cuándo se «introduce en el mercado» el software según el CRA, y cuál de sus builds es un producto? La regla de las orientaciones para el software independiente.
11 de septiembre de 2026 - Cyber Resilience Act
¿Cuánto dura el periodo de soporte del CRA?
Al menos cinco años, la fecha de fin indicada en la compra, cada actualización conservada diez años.
11 de septiembre de 2026 - Cyber Resilience Act
El CRA para un pequeño fabricante de software
El Reglamento de Ciberresiliencia para un pequeño fabricante de software, en doce pasos.
11 de septiembre de 2026 - Cyber Resilience Act
El reloj del informe final del CRA
El reloj del informe final del CRA no empieza cuando usted tiene conocimiento.
11 de septiembre de 2026 - Cyber Resilience Act
¿Es su producto importante o crítico bajo el CRA?
Por defecto, salvo que sea una de las 19, 4 o 3 categorías de los anexos III y IV.
11 de septiembre de 2026 - Cyber Resilience Act
¿Es su proyecto de código abierto «comercial» según el CRA?
Las siete pruebas de la Comisión, con sus ejemplos.
11 de septiembre de 2026 - Cyber Resilience Act
¿Está su producto en el ámbito del CRA?
¿Está su producto en el ámbito del Reglamento de Ciberresiliencia? Dónde queda el SaaS.
11 de septiembre de 2026 - Cyber Resilience Act
¿Exige el CRA una SBOM?
Sí, y esto es exactamente lo que dice.
11 de septiembre de 2026 - ISO 27001
ISO 27001 sin consultor
Lo que asume, en el orden en que lo asume.
11 de septiembre de 2026 - Cyber Resilience Act
La autoevaluación según el CRA
Lo que el módulo A exige realmente, según el anexo VIII y las FAQ de la Comisión.
11 de septiembre de 2026 - Cyber Resilience Act
La evaluación de riesgos de ciberseguridad del CRA
Lo que el artículo 13 exige realmente, y el único resultado que debe producir.
11 de septiembre de 2026 - Cyber Resilience Act
La política de divulgación de vulnerabilidades del CRA
La política de divulgación coordinada de vulnerabilidades que exige el CRA: tres disposiciones, y una política de una página que las cumple.
11 de septiembre de 2026 - Cyber Resilience Act
La maquinaria del CRA de la UE el primer día
La propia maquinaria del CRA de la UE, el día en que empezó la obligación: 0 organismos notificados, 0 normas armonizadas, 7 de 27 autoridades de aplicación.
11 de septiembre de 2026 - Cyber Resilience Act
¿Necesita el software marcado CE según el CRA?
Sí, y el artículo 30 dice dónde va.
11 de septiembre de 2026 - Cyber Resilience Act
NIS2 o CRA
Qué reloj de incidentes corre para una empresa de software, y qué hace 'significativo' un incidente.
11 de septiembre de 2026 - Cyber Resilience Act
Por defecto, importante o crítico
Las 26 descripciones técnicas del Reglamento de Ejecución 2025/2392, y la prueba de la funcionalidad principal.
11 de septiembre de 2026 - Cyber Resilience Act
Cómo presentar una notificación CRA ante ENISA
Cómo presentar una notificación CRA en la plataforma de ENISA: un EU Login personal, un coordinador, tres pestañas, sin API.
11 de septiembre de 2026 - Cyber Resilience Act
¿Qué actualización somete su software existente al CRA?
Las modificaciones sustanciales, según las orientaciones de la Comisión.
11 de septiembre de 2026 - Cyber Resilience Act
Qué contiene la documentación técnica del CRA
El anexo VII, punto por punto.
11 de septiembre de 2026 - Cyber Resilience Act
Qué le pide el CRA por sus dependencias
Diligencia debida, notificación aguas arriba y vulnerabilidades explotables conocidas, según las orientaciones de la Comisión.
11 de septiembre de 2026 - Cyber Resilience Act
¿Qué partes de su backend están dentro del CRA?
El tratamiento remoto de datos, según las orientaciones de la Comisión.
11 de septiembre de 2026 - Cyber Resilience Act
Qué pide el CRA a importadores y distribuidores
Qué pide el CRA a importadores y distribuidores, y cuándo los convierte en fabricante.
11 de septiembre de 2026 - Cyber Resilience Act
Qué tiene que notificar según el CRA
Los dos desencadenantes, tal como los define el Reglamento.
11 de septiembre de 2026 - Cyber Resilience Act
¿Quién aplica el CRA en su Estado miembro?
¿Quién aplica el Reglamento de Ciberresiliencia en su Estado miembro? 7 de 27 lo han dicho.
11 de septiembre de 2026 - Cyber Resilience Act
¿Se aplica el CRA al software de código abierto?
Tres casos, y el régimen ligero de los administradores.
11 de septiembre de 2026 - Cyber Resilience Act
Sanciones del Reglamento de Ciberresiliencia
A qué está expuesto realmente un pequeño fabricante.
8 de septiembre de 2026 - ISO 27001
Cómo responder un cuestionario de seguridad
Cómo responder un cuestionario de seguridad desde su SGSI ISO 27001: 30 temas de preguntas mapeados a los controles del Anexo A que los responden.
3 de septiembre de 2026 - ISO 27001
ISO 27001 en las licitaciones públicas de la UE
Qué países de la UE nombran ISO 27001 en las licitaciones públicas: 1.548 anuncios alemanes, 829 polacos, y Grecia tiene la mayor cuota.
3 de septiembre de 2026 - ISO 27001
Certificación ISO 27001 más barata
Cómo comparar presupuestos sin comprar un certificado sin valor.
20 de agosto de 2026 - ISO 27001
Cómo obtener la certificación ISO 27001
Cómo obtener la certificación ISO 27001 para una empresa, en el orden en que ocurre de verdad.
20 de agosto de 2026 - ISO 27001
Coste de implantación de ISO 27001
La cifra a tres años, no la primera factura.
20 de agosto de 2026 - ISO 27001
Coste de la certificación ISO 27001 según la plantilla
Coste de la certificación ISO 27001 para una empresa, según la plantilla.
20 de agosto de 2026 - NIS2
ISO 27001 frente a NIS2
Lo que cubre el certificado y lo que no.
20 de agosto de 2026 - ISO 27001
La forma más barata de obtener ISO 27001
La forma más barata de obtener ISO 27001, y la parte que no puede abaratar.
20 de agosto de 2026 - ISO 27001
Lista de verificación ISO 27001, por cláusula
Lista de verificación de cumplimiento ISO 27001, por cláusula.
20 de agosto de 2026 - ISO 27001
Mejor software de cumplimiento ISO 27001
Qué preguntar antes de comparar funciones.
20 de agosto de 2026 - ISO 27001
Días de auditoría ISO 27001 según la plantilla
Cuántos días de auditor lleva una certificación ISO 27001, según la plantilla.
11 de agosto de 2026 - ISO 27001
ISO 27001 vs SOC 2 en Europa
Qué piden realmente los compradores.
11 de agosto de 2026