Protección de datos y seguridad informática

La protección de datos y la seguridad informática están entrelazadas, pero tienen diferentes protecciones y requisitos legales. Las empresas necesitan responsabilidades claras, contratos de servicios resilientes y procedimientos para incidentes de seguridad. Asesoramos sobre los requisitos legales y, en caso necesario, coordinamos su implementación con los especialistas responsables en protección de datos y TI.

Actividades de asesoramiento típicas

• Una empresa presenta servicios en la nube, aplicaciones de IA o nuevos programas de personal.
• Los proveedores de servicios reciben acceso a los datos del cliente, empleado o empresa.
• Un correo de phishing, un dispositivo perdido o un ataque puede resultar en salida de datos o fallo.
• Un cliente requiere una prueba de seguridad de la información o compromisos contractuales especiales.
• Debe aclararse la preocupación de la Ley de la BSI o de la aplicación de los NIS-2.

Organizar la protección de datos en la empresa

Entre otras cosas, el RGPD requiere un tratamiento legal, transparente y con fines específicos de los datos personales. Para las operaciones de tratamiento típicas, deben establecerse la base jurídica, el alcance de los datos, los destinatarios, los períodos de almacenamiento y las responsabilidades. No se requiere el consentimiento para ningún tratamiento y, especialmente en la relación laboral, no puede utilizarse como solución estándar.

Las obligaciones de información, los procesos de información y supresión, las listas de actividades de tratamiento y, en su caso, el nombramiento de un responsable de protección de datos se examinarán sobre la base de las condiciones respectivas. En caso de un riesgo probable elevado, puede ser necesaria una evaluación del impacto en la protección de datos con arreglo al artículo 35 del RGPD. No es un documento obligatorio general para ningún software.

Proveedores de servicios y corrientes internacionales de datos

La función contractual de un proveedor de servicios depende del tratamiento efectivo. Un acuerdo de procesamiento de pedidos de conformidad con el artículo 28 del RGPD no coincide automáticamente con ninguna cooperación. La responsabilidad conjunta o independiente puede requerir un arreglo diferente.

En el caso de los servicios en la nube y de IA, se comprobarán usos particulares, subcontratistas, opciones de acceso, supresión, medidas de seguridad y posible uso de entradas con fines de formación. Las transferencias a terceros países también requieren una base de acuerdo con el capítulo V del RGPD y, en su caso, medidas adicionales. Un lugar anunciado como europeo no responde a todas las preguntas sobre los accesos de otros estados.

Seguridad informática y NEI-2

El artículo 32 del RGPD requiere medidas técnicas y organizativas sensibles al riesgo para los datos personales. Esto puede incluir, por ejemplo, conceptos de autorización, autenticación apropiada, copias de seguridad, procedimientos de recuperación y revisión periódica de las medidas. El diseño técnico concreto se determina sobre la base de los sistemas y riesgos.

Desde el 6 de diciembre de 2025, las disposiciones de la Ley de aplicación de los NEI-2 están en vigor en Alemania. La inclusión de una empresa como institución importante o particularmente importante de conformidad con el artículo 28 BSIG depende, entre otras cosas, de la actividad, el tamaño y las normas legales especiales. Para cada empresa no se requiere un NSI-2 a tanto alzado. En particular, las obligaciones en materia de gestión de riesgos, registro, presentación de informes y gestión podrán aplicarse a las entidades cubiertas. Además, se tendrán en cuenta normas sectoriales especiales.

Incidentes de seguridad: varias pruebas en paralelo

En caso de incidente, debe coordinarse la contención técnica, la protección de pruebas y la evaluación jurídica. Un resumen central de los acontecimientos muestra lo que se sabía cuándo, qué datos y sistemas se vieron afectados y qué medidas se adoptaron. Las obligaciones en materia de presentación de informes no deben examinarse tras una información completa.

• RGPD: En principio, la violación de la protección de los datos personales se comunicará a la autoridad de control competente sin demora indebida y, en la medida de lo posible, dentro de las 72 horas siguientes a la notificación, a menos que no suponga un riesgo para los derechos y libertades de las personas físicas. La evaluación se documentará.
• Personas afectadas: En caso de riesgo probable elevado, también debe examinarse el artículo 34 del RGPD, incluidas sus excepciones.
• Procesadores: Debe informar inmediatamente al responsable del tratamiento en caso de violación de datos; el período de 72 horas no es un período de espera general para los proveedores de servicios.
• BSIG: Para los incidentes de seguridad significativos de las instalaciones detectadas, el artículo 32 prevé una notificación temprana en un plazo de 24 horas, una nueva notificación en un plazo de 72 horas y un informe final a más tardar un mes después de la notificación de 72 horas. En caso de incidentes continuados y en casos especiales, se aplicarán normas complementarias.

Un fallo de TI no es automáticamente una violación de datos reportable. Por el contrario, puede producirse una violación de datos aunque los sistemas sigan funcionando. Ambos ensayos deben estar debidamente separados y coordinados.

Nuestros servicios y resultados de trabajo

• Balance jurídico y plan de acción priorizado.
• Examen de los contratos de proveedor de servicios, cloud y procesamiento de pedidos.
• Diseño de información sobre protección de datos, responsabilidades y procesos de eliminación.
• Examen de la preocupación NEI-2 y seguimiento legal de la implementación organizativa.
• Concepto de denuncia y escalada de incidentes de seguridad, así como apoyo jurídico en el caso concreto.
• Capacitación y ejercicios de casos para la gestión, el personal, la tecnología de la información y otras zonas afectadas.

Cuestiones comunes

¿Un proveedor externo de servicios de TI nos hace cumplir la ley automáticamente?

Nop. Las tareas pueden ser apoyadas o externalizadas; sus propias responsabilidades están pendientes de verificación. El contrato, el rendimiento real, el control y la comunicación en el incidente deben encajar.

¿Tenemos que informar de algún ataque en 72 horas?

No todos los ataques cumplen con un registro de informes. La preocupación concreta y los requisitos de la ley respectiva son decisivos. En caso de incertidumbre, la evaluación debería comenzar pronto y documentarse de manera comprensible.

¿Es suficiente una declaración de privacidad en el sitio web?

Nop. Sólo se refiere a un recorte. El procesamiento interno, los datos de los empleados, los proveedores de servicios, los derechos de los interesados y las medidas de seguridad requieren sus propios procesos.

¿Qué documentos facilitan la entrada?

Una visión general del sistema y del proveedor de servicios, documentos de protección de datos existentes, contratos y planes jurisdiccionales. En caso de incidente, una cronología, información técnica inicial y comunicaciones que ya se han hecho son particularmente útiles.

Base jurídica e información oficial adicional

• RGPD, en particular los artículos 5, 6, 28 y 32 a 35
• § 26 BDSG – Datos de los empleados
• BSI – Información sobre NIS-2
• § 28 BSIG – Instituciones registradas
• § 32 BSIG – Informes incidentales
• § 33 BSIG – Registro

Condición jurídica: 1o de noviembre de 2026. La clasificación de hechos concretos requiere un examen de las normas y circunstancias aplicables.

Temas relacionados y siguientes pasos

• Cumplimiento de la IA
• Investigaciones internas
• Protección de informantes y canales internos de denuncia
• Formación y talleres

Solicitar asesoramiento en la página de contacto. Describa brevemente su solicitud y, si es necesario, especifique los plazos existentes. El alcance y la remuneración se acordarán antes de la puesta en marcha.