Normativas IT 2026: guía de cumplimiento y estrategia
Navegar el ecosistema legal tecnológico en 2026 se ha vuelto tan crítico como la propia arquitectura del software. Las normativas IT 2026 no son solo requisitos de cumplimiento: son el marco que define la confianza en la sociedad digital. La cantidad de regulaciones, sus plazos de aplicación y sus solapamientos generan confusión en muchas organizaciones. En esta guía analizamos las regulaciones clave, sus implicaciones prácticas y cómo integrar el cumplimiento en la gestión de proyectos tecnológicos.
Normativas IT 2026: panorama general
Este ecosistema regulatorio europeo sin precedentes afecta a prácticamente todos los sectores. Las tres piezas legislativas fundamentales son el EU AI Act (regulación de la inteligencia artificial), NIS2 (ciberseguridad de redes y sistemas de información) y DORA (resiliencia operativa digital en el sector financiero).
Un marco interconectado
Además, estas normativas no operan de forma aislada: se complementan y se solapan. Una organización financiera que desarrolle un sistema de IA para scoring crediticio debe cumplir simultáneamente con el EU AI Act (por el uso de IA en decisiones sobre personas), con DORA (por operar en el sector financiero) y con NIS2 (por gestionar infraestructura crítica). Entender este marco regulatorio de forma integrada es imprescindible para evitar duplicidades y optimizar el esfuerzo de cumplimiento.
Normativas IT 2026: EU AI Act
El EU AI Act es la primera regulación mundial específica sobre inteligencia artificial. Entró en vigor en agosto de 2024, con plazos de aplicación progresiva hasta 2027.
Clasificación por niveles de riesgo
El reglamento clasifica los sistemas de IA en cuatro niveles: riesgo inaceptable (prohibidos), alto riesgo (con obligaciones estrictas), riesgo limitado (obligaciones de transparencia) y riesgo mínimo (sin obligaciones específicas). Por esta razón, cualquier proyecto que incluya componentes de IA debe comenzar clasificando el sistema según estos niveles antes de avanzar en su desarrollo.
Obligaciones para proveedores y responsables del despliegue
El EU AI Act distingue entre proveedores (quienes desarrollan el sistema) y responsables del despliegue (quienes lo utilizan en su organización). Según la AESIA, la Agencia Española de Supervisión de la IA, ambos perfiles tienen obligaciones diferenciadas que van desde la documentación técnica hasta la evaluación de impacto en derechos fundamentales. Dentro de este marco regulatorio, el EU AI Act es la pieza que mayor impacto tendrá en los equipos de desarrollo y gestión de proyectos.
Normativas IT 2026: NIS2
Sin duda, la directiva NIS2 (Network and Information Security) es la pieza clave en materia de ciberseguridad. Sustituye a la NIS original y amplía significativamente su alcance y sus exigencias.
Sectores afectados y nuevas obligaciones
NIS2 ya no se limita a infraestructuras críticas tradicionales: afecta a sectores como la administración pública, el espacio, la gestión de residuos, la alimentación y los servicios postales, entre otros. Además, impone obligaciones concretas de gestión de riesgos, notificación de incidentes en plazos muy estrictos (24 horas para la alerta inicial), gobernanza de la ciberseguridad a nivel directivo y supervisión de la cadena de suministro.
Responsabilidad de la dirección
Por otro lado, un aspecto fundamental de NIS2 es que responsabiliza directamente a los órganos de dirección del cumplimiento. Los directivos que no aseguren la implementación de medidas de ciberseguridad adecuadas pueden ser considerados personalmente responsables. Debido a esto, la regulación ha elevado la ciberseguridad de un tema técnico a un asunto de consejo de administración.
Normativas IT 2026: DORA
Por otro lado, el reglamento DORA (Digital Operational Resilience Act) complementa este marco con requisitos específicos para el sector financiero: banca, seguros, gestores de fondos, plataformas de pago y proveedores de servicios TIC críticos.
Resiliencia operativa digital
DORA exige que las entidades financieras demuestren su capacidad para resistir, responder y recuperarse de incidentes tecnológicos graves. Además, incluye obligaciones de pruebas de penetración avanzadas (TLPT), gestión de riesgos TIC, reporting de incidentes y supervisión de los proveedores tecnológicos de terceros.
Gestión de terceros
DORA introduce un marco de supervisión directa sobre los proveedores TIC considerados críticos. Si tu empresa provee servicios tecnológicos al sector financiero, esta regulación te afecta aunque no seas una entidad financiera. Los contratos con clientes del sector deberán incluir cláusulas específicas de resiliencia, auditoría y notificación.
Normativas IT 2026: otras regulaciones relevantes
Además de las tres grandes, las normativas IT 2026 incluyen otras regulaciones que los líderes tecnológicos deben tener en su radar.
CRA (Cyber Resilience Act)
El CRA establece requisitos de ciberseguridad obligatorios para productos digitales con elementos conectados, desde dispositivos IoT hasta software comercial. Los fabricantes y distribuidores deberán garantizar la seguridad de sus productos durante todo su ciclo de vida, incluyendo actualizaciones de seguridad durante un período mínimo.
ENS (Esquema Nacional de Seguridad)
Finalmente, en España, el ENS establece los principios y requisitos de seguridad para la administración pública y sus proveedores tecnológicos. Cualquier empresa que trabaje con el sector público español debe cumplir con el ENS además de con las normativas europeas.
Normativas IT 2026: cómo integrar el cumplimiento en tus proyectos
Las normativas IT 2026 no deben tratarse como un ejercicio de compliance aislado, sino como un eje transversal de la gestión de proyectos.
Cumplimiento desde el diseño
El primer paso es incluir la evaluación regulatoria en la fase de inicio de cada proyecto: ¿qué normativas aplican? ¿Qué nivel de riesgo tiene el sistema? ¿Qué documentación necesitamos? El compliance se integra en el backlog del proyecto, no en un documento separado que se redacta al final.
El PM como garante del cumplimiento
La responsabilidad del cumplimiento no puede recaer solo en el departamento jurídico. El Project Manager es quien tiene la visión completa del proyecto y quien debe asegurar que cada sprint, cada entregable y cada decisión de arquitectura tenga en cuenta las normativas IT 2026 aplicables. En conclusión, el cumplimiento normativo es la nueva competencia core de cualquier líder de proyectos tecnológicos. Las organizaciones que lo integren desde el diseño no solo evitarán sanciones: construirán productos y servicios en los que el mercado confíe.
Preguntas frecuentes sobre Normativas IT 2026
Una de las áreas que más fricción genera en cumplimiento normativo es el uso no autorizado de herramientas IA por parte de empleados. Lo trato en detalle en shadow AI en la empresa.
El cumplimiento normativo en cloud va de la mano de la gobernanza del coste. Lo trato en detalle en FinOps cloud 2026.
Marcos relacionados: reglamento DORA y compliance en proyectos NIS2.
Las normativas IT clave en 2026 son: EU AI Act (regulación de inteligencia artificial), NIS2 (ciberseguridad de infraestructuras esenciales), DORA (resiliencia operativa digital del sector financiero), CRA (Cyber Resilience Act sobre productos digitales), ENS (Esquema Nacional de Seguridad en España), GDPR (protección de datos), y el reglamento Data Act sobre datos generados por dispositivos IoT.
NIS2 regula la ciberseguridad de infraestructuras esenciales (energía, transporte, banca, salud, digital). DORA es específica del sector financiero y se centra en resiliencia operativa frente a riesgos TIC. EU AI Act regula los sistemas de IA según su nivel de riesgo. Las tres pueden aplicarse simultáneamente: por ejemplo, un banco que usa IA debe cumplir las tres.
Las sanciones pueden ser muy elevadas: NIS2 hasta 10M€ o 2% de la facturación global; DORA hasta el 1% diario hasta cumplimiento; EU AI Act hasta 35M€ o 7% de la facturación global por usos prohibidos; CRA hasta 15M€ o 2,5% de la facturación; GDPR hasta 20M€ o 4% de la facturación global. Además, los directivos pueden ser inhabilitados personalmente.
Más sobre Normativas IT 2026
La responsabilidad recae en la dirección de la empresa (NIS2 y DORA lo establecen explícitamente) pero la operación se distribuye entre el CISO (ciberseguridad), DPO (datos personales), Compliance Officer, AI Project Manager (sistemas IA), responsables de TI y los Project Managers de cada iniciativa. El AI Project Manager actúa como integrador transversal de todos estos requisitos.
El enfoque «compliance by design» integra el cumplimiento desde la fase de iniciación: (1) análisis regulatorio aplicable, (2) DPIA/FRIA si hay datos personales o IA de alto riesgo, (3) requisitos de seguridad como criterios de aceptación, (4) trazabilidad técnica desde el código, (5) hitos de auditoría en el plan de proyecto, y (6) formación obligatoria del equipo. Reduce drásticamente el coste vs cumplimiento retroactivo.
