Global
UE
USA
PA
MEA
PAKCumplir con la normativa de ciberseguridad no es una cuestión de firmar documentos o aprobar auditorías internas. Detrás de cada reglamento hay exigencias técnicas que recaen directamente sobre la infraestructura de red: sobre cómo circula el tráfico, quién puede acceder a qué, cómo se segmentan los entornos y qué capacidad tiene la organización para detectar incidentes y responder a ellos. En España, tres marcos normativos concentran la mayor parte de esas obligaciones para las empresas medianas en sectores regulados: el GDPR, el Esquema Nacional de Seguridad y la Directiva NIS2. Entender lo que cada uno exige a nivel técnico es el primer paso para saber si la red corporativa está realmente a la altura.
Qué obliga el GDPR a nivel de cifrado, segmentación y control de acceso en redes corporativas
El Reglamento General de Protección de Datos no describe configuraciones de red, pero sus artículos 5 y 32 son inequívocos: los datos personales deben tratarse garantizando su confidencialidad e integridad, y deben aplicarse medidas técnicas apropiadas para protegerlos frente a accesos no autorizados, pérdidas o destrucciones. Traducido al plano de infraestructura, esto tiene tres implicaciones directas.
La primera es el cifrado. Los datos personales en tránsito, ya sea entre dispositivos, entre sedes o entre la red corporativa y servicios en la nube, deben viajar cifrados. Protocolos como TLS 1.2 o superior no son opcionales en entornos donde se procesen datos de clientes, empleados o pacientes; son la materialización técnica del principio de confidencialidad. Lo mismo aplica al dato en reposo cuando se almacena en servidores o dispositivos de red accesibles desde la infraestructura.
La segunda es la segmentación. El GDPR no permite que los datos personales estén accesibles desde cualquier punto de la red. Un entorno hospitalario, por ejemplo, no puede tener el sistema de historia clínica en el mismo segmento de red que los terminales de recepción o los dispositivos de IoT médico. La microsegmentación no es solo una buena práctica; es la forma técnica de cumplir con el principio de minimización del acceso. Una red plana es, desde la perspectiva regulatoria, una red que no cumple.
La tercera es el control de acceso. El reglamento exige que solo las personas autorizadas puedan acceder a los datos, lo que en términos de red se traduce en políticas de acceso basadas en roles, autenticación robusta y registros de auditoría sobre quién accede a qué y desde dónde. Las redes que no aplican control de acceso a nivel de switch o punto de acceso inalámbrico dejan un flanco técnico abierto que un inspector de la Agencia Española de Protección de Datos puede identificar con relativa facilidad.
NIS2 empresas medianas en España: nuevas obligaciones de resiliencia y notificación de incidentes
La Directiva NIS2, cuya transposición al ordenamiento jurídico español debía haberse completado en octubre de 2024 y que avanza con retraso legislativo, amplía significativamente el perímetro de entidades obligadas respecto a su predecesora. Empresas medianas en sectores como energía, transporte, sanidad, infraestructuras digitales, administración pública, fabricación crítica o servicios financieros quedan dentro de su ámbito, y con ellas llega un conjunto de exigencias técnicas que afectan directamente a la red.
El primer bloque tiene que ver con la gestión de riesgos. NIS2 exige a las organizaciones aplicar medidas técnicas y organizativas proporcionales al riesgo, y entre ellas menciona expresamente la seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas de red, la gestión de vulnerabilidades, el control de accesos y el cifrado. No es una lista sugerida; es un catálogo mínimo. Las empresas que no puedan demostrar que han implementado estas medidas se exponen a sanciones que, para entidades esenciales, pueden alcanzar los 10 millones de euros o el 2% de la facturación global anual.
El segundo bloque es la resiliencia operativa. La directiva exige que las organizaciones sean capaces de mantener la continuidad de sus servicios ante incidentes, lo que implica planes de respuesta probados, copias de seguridad con segregación de red, y la capacidad de aislar segmentos comprometidos sin detener toda la operación. Aquí, la arquitectura de red no es un detalle técnico; es un requisito de cumplimiento.
El tercer bloque es la notificación de incidentes. NIS2 establece una cadena de notificación con plazos muy estrictos: alerta temprana en las primeras 24 horas, notificación completa en 72 horas y un informe final en el plazo de un mes. Para cumplir esos tiempos, las organizaciones necesitan capacidades de detección activa. Una red sin visibilidad sobre su propio tráfico, sin sistemas de detección de anomalías y sin registros estructurados es una red que no puede cumplir con los plazos de NIS2, aunque todo lo demás esté en orden.
ENS cumplimiento en red corporativa: categorización, medidas técnicas y contratación con la administración pública
El Esquema Nacional de Seguridad, regulado por el Real Decreto 311/2022, es de obligado cumplimiento para las entidades del sector público español y para cualquier empresa privada que preste servicios o desarrolle sistemas de información para la Administración. En 2026, con la proliferación de contratos de transformación digital pública, su ámbito de aplicación alcanza a un número creciente de empresas medianas que gestionan datos o servicios para organismos públicos.
El ENS organiza sus exigencias en torno a un proceso previo e ineludible: la categorización del sistema. Según el impacto potencial de un incidente de seguridad sobre los servicios prestados, el sistema se clasifica como básico, medio o alto, y esa categoría determina qué medidas técnicas son obligatorias. No todas las empresas necesitan implementar las mismas protecciones, pero todas deben poder demostrar que han realizado el análisis y que las medidas aplicadas son acordes con el nivel asignado.
A nivel de infraestructura de red, el ENS es particularmente exigente en las dimensiones de disponibilidad, integridad y confidencialidad. Para categorías media y alta, exige medidas concretas como la separación lógica o física de redes, la filtración del tráfico en perímetros definidos, el registro de eventos de seguridad con capacidad de correlación, la autenticación de doble factor para accesos a sistemas críticos y la monitorización continua de la red. El Anexo II del Real Decreto enumera más de setenta controles técnicos y organizativos, varios de los cuales recaen directamente sobre la capa de red.
Uno de los aspectos más ignorados en la práctica es la gestión de dispositivos conectados. En entornos mixtos, donde coexisten equipos gestionados, dispositivos de usuarios externos y elementos de IoT operacional, el ENS exige que cada dispositivo sea identificado y que su acceso a la red esté controlado según su perfil de riesgo. Una red corporativa sin inventario actualizado, sin identificación de dispositivos no gestionados y sin políticas de acceso diferenciadas por tipo de endpoint no supera una auditoría ENS de nivel medio o alto.
La convergencia normativa como palanca de decisión técnica
Los tres marcos normativos comparten una lógica común: protegen activos distintos, a través de mecanismos legales distintos, pero convergen en las mismas exigencias técnicas sobre la red. Cifrado, segmentación, control de acceso, visibilidad del tráfico, detección de anomalías y capacidad de respuesta son requisitos que aparecen, con distinto grado de detalle, en los tres textos regulatorios.
Esto tiene una consecuencia práctica importante para los responsables de TI y los directores de operaciones de empresas medianas: no es necesario construir tres proyectos de cumplimiento paralelos. Una infraestructura de red diseñada con principios de seguridad por defecto, que incorpore visibilidad completa sobre los dispositivos conectados, que aplique políticas de acceso basadas en identidad y contexto, y que ofrezca capacidades de detección y respuesta a incidentes, cubre simultáneamente los requisitos técnicos del GDPR, el ENS y NIS2.
La pregunta que cada organización debe responderse no es si cumple con cada normativa por separado, sino si su red tiene la capacidad técnica de sostener ese cumplimiento de forma continua. El cumplimiento normativo no es un estado que se alcanza; es una condición que se mantiene, y la infraestructura de red es el sustrato sobre el que descansa.
Si tu organización opera en un sector regulado y no tienes certeza de que tu red cubre los requisitos técnicos del GDPR, el ENS o NIS2, el momento de saberlo es antes de una auditoría. Los especialistas de Beyond Technology pueden analizar tu infraestructura actual e identificar las brechas de cumplimiento que más exponen a tu empresa. Contacta con nosotros y te ponemos en contacto con un especialista.
