Cybertix acompaña a empresas de cualquier tamaño, con especial dedicación a las pymes, en el cumplimiento de NIS2, DORA, ISO 27001, ENS, AI Act, CRA, TISAX y normativa industrial (IEC 62443). Trabajamos en cuatro pasos: análisis gap, auditoría interna, implantación y acompañamiento hasta el resultado final (certificación, etiqueta TISAX o marcado CE), con plazos y procedimientos ajustados a tu realidad. Conectamos el cumplimiento con la seguridad desde el diseño y nuestra consultoría de desarrollo seguro de aplicaciones.
Solicita tu análisis gap gratuito →NIS2, DORA, ISO 27001, ENS, AI Act, CRA, TISAX… Cada norma tiene su propio ámbito, lenguaje y plazos. Muchas pymes se paralizan porque creen que no les afecta o improvisan una certificación por la presión de un cliente. A menudo sí les afecta, sobre todo si son proveedoras de una empresa obligada.
Primero entendemos qué normas te aplican y después trazamos un plan realista.
Afecta a sectores críticos o importantes, por lo general con 50 o más empleados o más de 10 M€ de facturación, y a sus proveedores. La directiva está en vigor y España sigue pendiente de completar su transposición; aun así, clientes y cadenas de suministro ya exigen sus medidas. Incluye seguridad en el desarrollo y mantenimiento de sistemas. Las sanciones pueden llegar a 10 M€ o al 2 % de la facturación.
Afecta al sector financiero y a sus proveedores TIC. Este reglamento se aplica directamente desde el 17 de enero de 2025. Si prestas servicios tecnológicos a una entidad financiera, sus requisitos pueden llegarte por contrato.
Estándar voluntario para cualquier empresa que estructura un Sistema de Gestión de Seguridad de la Información. Cada vez lo exigen más grandes clientes y concursos.
Marco de seguridad para la Administración pública y sus proveedores, con niveles básico, medio y alto. Es imprescindible para trabajar con el sector público cuando resulta aplicable.
Puede afectar a cualquier empresa que use IA. La alfabetización en IA se exige desde febrero de 2025 y las obligaciones de transparencia, como avisar de que se interactúa con una IA o etiquetar contenido sintético, desde el 2 de agosto de 2026. La AESIA supervisa su aplicación en España.
Afecta a fabricantes, importadores y distribuidores de productos con software o conectividad. Desde el 11 de septiembre de 2026 exige notificar vulnerabilidades explotadas e incidentes graves, también en productos ya vendidos. El marcado CE de ciberseguridad será exigible desde el 11 de diciembre de 2027. Requiere seguridad desde el diseño y por defecto.
Afecta a proveedores de automoción. No es un certificado, sino una evaluación realizada por un auditor acreditado por ENX, cuyo resultado es una etiqueta válida hasta tres años. El nuevo catálogo VDA ISA2027 será el predeterminado para evaluaciones contratadas desde el 1 de enero de 2027.
Es la base técnica de seguridad para entornos industriales OT, relevante para NIS2 industrial y para el CRA, especialmente en sus partes 4-1 y 4-2.
Security by design significa incorporar la seguridad desde las primeras fases de diseño y desarrollo de una aplicación o producto, en lugar de añadirla al final. Evitar una vulnerabilidad en el diseño cuesta menos que corregirla en producción.
NIS2 contempla la seguridad en el desarrollo y mantenimiento de sistemas; ISO 27001 incluye el ciclo de vida de desarrollo seguro; el CRA exige seguridad desde el diseño y por defecto; e IEC 62443-4-1 define un ciclo de desarrollo seguro para productos industriales.
Nuestra consultoría de desarrollo seguro de aplicaciones ayuda a cualquier organización a integrar la seguridad en requisitos, diseño, pruebas, despliegue y mantenimiento.
Consulta nuestro servicio de desarrollo seguro →Además de cumplir el AI Act, te ayudamos a ordenar cómo se usa la IA en tu empresa. Cuando aporta valor, apoyamos este trabajo en ISO/IEC 42001 sin obligarte a certificarte.
Nosotros trabajamos por ti, para que tú puedas seguir dedicándote a tu negocio sin preocupaciones ni alteraciones.
Empieza con un análisis gap gratuito →Es incorporar la seguridad desde el diseño de una aplicación o producto. Te afecta si desarrollas software, lo encargas a un proveedor o fabricas productos con software. NIS2, ISO 27001 y CRA incluyen seguridad en el desarrollo, y exigirla a terceros forma parte del cumplimiento.
Puede afectarte aunque no llegues a los umbrales generales de 50 empleados o 10 M€ si desempeñas una función crítica en tu sector o eres proveedor de una entidad obligada que te exige medidas por contrato.
La obligación directa llegará con la ley nacional, pendiente de aprobación. El plazo europeo venció en octubre de 2024, los clientes ya piden estas medidas y prepararse lleva meses.
ISO 27001 es un estándar internacional voluntario; el ENS es obligatorio para la Administración pública y sus proveedores cuando corresponde. Comparten principios, así que avanzar en uno facilita el otro.
Puede afectarte por el uso de IA, aunque no la desarrolles. Desde agosto de 2026 se aplican obligaciones de transparencia, como informar cuando una persona interactúa con una IA y etiquetar contenido sintético en los casos previstos.
Sí, en la notificación: desde el 11 de septiembre de 2026 deben notificarse vulnerabilidades explotadas e incidentes graves, también en productos ya comercializados. El marcado CE de ciberseguridad será exigible desde el 11 de diciembre de 2027.
TISAX es una evaluación cuyo resultado es una etiqueta válida hasta tres años, no un certificado. ISO 27001 permite reaprovechar controles, pero no la sustituye.
Será el catálogo predeterminado para evaluaciones contratadas desde el 1 de enero de 2027. Las contratadas antes, o con evaluación inicial antes del 1 de abril de 2027, pueden seguir con ISA 6.