En resumen
El 19 de marzo de 2026 el Comité Europeo de Protección de Datos y el Supervisor Europeo de Protección de Datos adoptaron un dictamen conjunto sobre la propuesta de Cybersecurity Act 2 y sobre las modificaciones específicas de la Directiva NIS2. El paquete había sido publicado por la Comisión el 20 de enero de 2026, que al día siguiente solicitó formalmente el dictamen conforme al artículo 42, apartado 2, del Reglamento (UE) 2018/1725.
La ventanilla única, la parte que te afecta cada vez
En línea con su dictamen conjunto sobre el Digital Omnibus, el Comité y el Supervisor respaldan el establecimiento de un punto de entrada único para la notificación de brechas de datos personales, porque reduciría la carga administrativa sin rebajar el nivel de protección de las personas.
Quien ha gestionado un incidente sabe por qué importa. Hoy el mismo evento puede activar la notificación a la autoridad de protección de datos en setenta y dos horas, la de ciberseguridad en otro plazo, y en entidades reguladas todavía otras comunicaciones: formatos distintos, portales distintos, campos que preguntan lo mismo con otras palabras, todo en las horas en que habría que contener el daño.
Los límites a ENISA
El dictamen respalda reforzar el papel de la Agencia de la Unión Europea para la Ciberseguridad y facilitar la adopción de la certificación, y acoge con satisfacción que el asesoramiento de ENISA se emita a solicitud previa del Comité, manteniendo las responsabilidades claramente divididas. Sugiere añadir al Supervisor Europeo entre quienes pueden pedir ese asesoramiento.
- Si el consejo de administración de ENISA adopta medidas para la aplicación del reglamento de protección de datos, esas decisiones deben limitarse a detalles muy técnicos, con consulta previa al Supervisor
- Deben aclararse el alcance del marco europeo de certificación de la ciberseguridad y su relación con la certificación del RGPD
- Antes de adoptar un esquema de certificación relativo a la seguridad del tratamiento, ENISA debería consultar al Comité
- Los esquemas para productos y servicios que se usen en operaciones de tratamiento deberían tener en cuenta los controles de seguridad útiles para demostrar el cumplimiento del RGPD
La frase que vale la pena guardar
"Si bien la ciberseguridad respalda la protección de los datos personales al limitar los riesgos de acceso, modificación o indisponibilidad no deseados, es crucial garantizar que los controles de seguridad se apliquen de forma que no menoscaben los derechos y libertades fundamentales de las personas."
Es el argumento que usar cuando un proveedor propone una medida de seguridad que recoge mucho más de lo necesario: registro completo de pulsaciones, cámaras sobre los puestos, inspección del contenido de las comunicaciones. La seguridad no es una base jurídica que absorba todo lo demás.
Sobre las modificaciones de NIS2
El Comité y el Supervisor acogen con satisfacción la designación de los proveedores de carteras europeas de identidad digital y de carteras europeas para empresas como «entidades esenciales». Tiene consecuencias prácticas: quien gestione esas carteras entra en el régimen más estricto de la directiva.
Sobre competencias, el dictamen recomienda que el marco europeo de competencias en ciberseguridad no se limite a los profesionales del sector sino que incluya también un perfil para la plantilla general. Traducido: la seguridad no es el oficio de unos pocos dentro de la empresa.
Qué hacer con esto ahora
La ventanilla única es una propuesta, no una norma: hoy no cambia nada. Lo que puedes hacer ya es comprobar si el procedimiento de notificación de tus clientes tiene a una sola persona rellenando formularios distintos para autoridades distintas, y si esa persona tiene delante una lista de a quién hay que avisar y con qué plazo.
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
