Es una pregunta habitual entre gerentes de pymes: «¿Estoy obligado a formar a mis trabajadores en ciberseguridad?». La respuesta corta es que ninguna norma general fija un número de horas para todas las empresas. Pero varias normas exigen medidas organizativas de seguridad, y la formación del personal es la primera que te van a pedir para demostrar que fuiste diligente.

RGPD: medidas organizativas y personal que sigue instrucciones

Si tu empresa trata datos personales (clientes, empleados, proveedores), le aplica el Reglamento General de Protección de Datos:

  • El artículo 32 obliga a aplicar «medidas técnicas y organizativas apropiadas» para garantizar un nivel de seguridad adecuado al riesgo. Su apartado 4 añade que quien actúe bajo la autoridad del responsable y tenga acceso a datos personales solo podrá tratarlos siguiendo sus instrucciones. Difícilmente se siguen instrucciones que nadie ha explicado.
  • El artículo 24 exige poder demostrar que se cumple el reglamento. Si hay una brecha por un error humano, una de las primeras preguntas será qué formación había recibido esa persona.
  • El artículo 39 incluye entre las funciones del delegado de protección de datos la «concienciación y formación del personal».

Además, la Ley Orgánica 3/2018 (LOPDGDD) recuerda en su artículo 5 que todas las personas que intervienen en un tratamiento están sujetas al deber de confidencialidad.

Directiva NIS2: formación para dirección y plantilla

La Directiva (UE) 2022/2555 (NIS2) se aplica a las entidades esenciales e importantes de sectores como energía, transporte, salud, agua, infraestructuras digitales, fabricación de determinados productos, alimentación, gestión de residuos o servicios postales. En general alcanza a medianas y grandes empresas de esos sectores, y en algunos casos a otras con independencia de su tamaño.

  • El artículo 20.2 obliga a los miembros de los órganos de dirección a recibir formación y pide fomentar que las entidades ofrezcan una formación similar a sus empleados de manera periódica.
  • El artículo 21.2.g incluye «las prácticas básicas de ciberhigiene y la formación en ciberseguridad» entre las medidas mínimas de gestión de riesgos.

A fecha de esta guía (octubre de 2026), España aún no ha aprobado la ley que la incorpora: el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en el Consejo de Ministros en enero de 2025. Aun así, conviene adelantarse, porque los requisitos ya se conocen.

Esquema Nacional de Seguridad: si trabajas para la Administración

El Real Decreto 311/2022, que regula el Esquema Nacional de Seguridad (ENS), se aplica al sector público y a las empresas que le prestan servicios o soluciones. Entre sus medidas de protección del personal están la concienciación (mp.per.3) y la formación (mp.per.4). Si tu empresa trabaja con ayuntamientos, diputaciones o la Junta, tarde o temprano te lo pedirán.

ISO 27001 y seguros de ciberriesgo

La norma ISO/IEC 27001:2022 incluye un control específico de «concienciación, educación y formación en seguridad de la información» (control 6.3 del anexo A). Y las aseguradoras de ciberriesgo suelen preguntar en sus cuestionarios si la plantilla recibe formación, porque es uno de los factores que más reduce los siniestros.

Cómo demostrar que tu plantilla está formada

Haber formado al equipo sirve de poco si no puedes probarlo. Guarda:

  • Quién ha hecho la formación y en qué fecha.
  • Qué contenidos se trataron (el temario).
  • El resultado de una evaluación, no solo la asistencia.
  • Un certificado individual que se pueda verificar.
  • La periodicidad: repetir la formación con las incorporaciones nuevas y, al menos, una vez al año.

Con CiberBase, cada trabajador hace un examen final y obtiene un certificado con código verificable, y la empresa ve desde su panel quién ha terminado y con qué nota. Es la evidencia que te van a pedir.