Reglamento (UE) 2016/679 — RGPD ↗
Regla general sobre licitud, transparencia, seguridad, derechos de las personas y responsabilidad proactiva de responsables y encargados.
MARCO LEGAL / REFERENCIAS
Normativa de compliance
Selección de normas clave para empresas en España y la Unión Europea. Consulta qué está vigente, qué se ha sustituido y qué reformas han cambiado las obligaciones.
Revisión documental: Las directivas requieren transposición; sus plazos no siempre coinciden con la aplicación nacional.
01
Protección de datos
Privacidad, tratamiento de datos personales y derechos digitales.
Vigente Marco aplicable
Ley Orgánica 3/2018 — LOPDGDD ↗
Adapta el marco europeo al ordenamiento español y reconoce garantías y derechos digitales, además de reglas nacionales específicas.
Derogada / sustituida Normas anteriores
Directiva 95/46/CE ↗
El régimen europeo anterior de protección de datos personales.
Ley Orgánica 15/1999 — LOPD ↗
Marco español previo, vinculado al régimen de la Directiva 95/46/CE.
Modificaciones principales
- El RGPD sustituyó el modelo de registro previo por responsabilidad demostrable y gestión de riesgos; reforzó los derechos, las obligaciones de seguridad y el régimen sancionador.
- Introdujo protección desde el diseño, evaluaciones de impacto cuando procedan y notificación de determinadas brechas a la autoridad en 72 horas.
- La LOPDGDD fijó las reglas nacionales complementarias y amplió el marco español con derechos digitales.
Qué revisar en la empresaActualizar el inventario de tratamientos, bases jurídicas, avisos, contratos con encargados, evaluación de impacto y protocolo de brechas; documentar qué norma nacional complementa cada proceso.
Repaso históricoNormas clave y fechas de aplicación Ver cronologíaOcultar
Hitos principales de Protección de datos. Cada fecha identifica si se trata de adopción, publicación, entrada en vigor, derogación o aplicación; las fechas futuras se indican como previstas.
-
Adopción
Directiva 95/46/CE: primer marco común
Armonizó principios de protección de datos y obligó a los Estados miembros a adaptar sus leyes; fue el régimen europeo anterior al RGPD.
Texto oficial -
Entrada en vigor
LO 15/1999: desarrollo español del marco europeo
Sustituyó el régimen español previo y concretó la protección de datos bajo la Directiva 95/46/CE; rigió hasta su derogación por la LOPDGDD, con previsiones transitorias.
Texto oficial -
Aplicación y derogación
Comienza a aplicarse el RGPD
El Reglamento pasa a regir directamente en la UE y deroga la Directiva 95/46/CE; refuerza la responsabilidad demostrable y armoniza obligaciones y derechos.
Texto oficial -
Entrada en vigor
Entra en vigor la LOPDGDD
La Ley Orgánica 3/2018 adapta el ordenamiento español al RGPD y añade reglas nacionales y garantías de derechos digitales.
Texto oficial
02
Prevención del blanqueo y financiación del terrorismo
Diligencia debida, titularidad real, operaciones sospechosas y controles internos.
Vigente Marco aplicable y transición europea
Ley 10/2010 de PBC/FT ↗
Norma básica española para sujetos obligados: identificación, conocimiento del cliente, conservación, examen especial, comunicación y control interno.
Real Decreto 304/2014 ↗
Concreta medidas de diligencia debida, procedimientos y obligaciones de control.
Reglamento (UE) 2024/1624 — paquete AML ↗
Nuevo corpus único europeo. Hasta esa fecha deben mantenerse los controles actualmente exigibles bajo la normativa nacional y europea aplicable.
Directiva (UE) 2024/1640 ↗
Fija reglas institucionales y de supervisión cuya adaptación requiere medidas nacionales.
Derogada / sustituida Normas anteriores
Ley 19/1993 de prevención del blanqueo de capitales ↗
Régimen español anterior de prevención del blanqueo de capitales.
Real Decreto 925/1995 ↗
Reglamento de desarrollo de la legislación anterior.
Directiva (UE) 2015/849 ↗
No se marca como ya derogada: la fecha de sustitución por la Directiva 2024/1640 es futura.
Reglamento (UE) 2024/1620 — AMLA ↗
Completa el paquete de 2024 con coordinación y supervisión europea, incluida la supervisión directa de entidades seleccionadas.
Modificaciones principales
- La Ley 10/2010 amplió el alcance preventivo e integró expresamente la financiación del terrorismo; consolidó un enfoque basado en riesgo y obligaciones de diligencia debida.
- El paquete europeo de 2024 armoniza reglas que antes dependían en mayor medida de transposición nacional y crea un esquema común de supervisión y coordinación AMLA.
- La Directiva 2015/849 sigue siendo el marco europeo hasta el 10 de julio de 2027; el paquete nuevo no debe anticiparse como obligación general ya aplicable.
Qué revisar en la empresaConfirmar si la entidad es sujeto obligado; mantener diligencia debida, análisis de riesgo y reporte actuales, y preparar un análisis de brechas frente al paquete AML de 2024 antes de julio de 2027.
Repaso históricoNormas clave y fechas de aplicación Ver cronologíaOcultar
Hitos principales de PBC/FT. Cada fecha identifica si se trata de adopción, publicación, entrada en vigor, derogación o aplicación; las fechas futuras se indican como previstas.
-
Publicación BOE
Ley 19/1993: primera ley española específica
Estableció obligaciones preventivas para los sectores designados y el primer marco legal español específico contra el blanqueo de capitales.
Texto oficial -
Entrada en vigor
Ley 10/2010: marco preventivo renovado
Reemplazó la Ley 19/1993, incorporó expresamente la financiación del terrorismo y estructuró la diligencia debida, el control interno y el análisis basado en riesgo.
Texto oficial -
Publicación BOE
Real Decreto 304/2014: desarrollo reglamentario
Concretó procedimientos, medidas de diligencia debida y controles que permiten aplicar la Ley 10/2010 en los sujetos obligados.
Texto oficial -
Publicación DOUE
Nuevo paquete europeo AML
El Reglamento 2024/1624 armoniza obligaciones para entidades obligadas; la Directiva 2024/1640 reorganiza aspectos institucionales y de supervisión y crea la transición al nuevo marco.
Texto oficial -
Aplicación prevista
Aplicación general del Reglamento 2024/1624
Fecha general de aplicación del nuevo corpus europeo. El texto prevé excepciones sectoriales hasta el 10 de julio de 2029; entretanto se mantienen los deberes actualmente exigibles.
Texto oficial
03
Compliance penal y responsabilidad corporativa
Responsabilidad de las personas jurídicas, modelos de prevención y canales internos.
Vigente Marco aplicable
Ley Orgánica 10/1995 — Código Penal consolidado ↗
La persona jurídica responde penalmente en los delitos previstos por la ley cuando concurren los criterios de atribución; los modelos de organización y gestión pueden producir efectos eximentes o atenuantes en las condiciones legales.
Ley 2/2023 de protección de informantes ↗
Regula canales internos y externos, garantías de confidencialidad y protección frente a represalias para las comunicaciones incluidas en su ámbito.
Directiva (UE) 2019/1937 — protección de denunciantes ↗
Establece normas comunes de protección para denunciantes de infracciones del Derecho de la Unión.
Derogada / reformas integradas Antecedentes
Código Penal de 1973 ↗
Texto penal anterior al Código vigente.
Ley Orgánica 5/2010 ↗
No es un código penal vigente separado: debe leerse a través del texto consolidado actual.
Ley Orgánica 1/2015 ↗
Reformó el régimen de responsabilidad penal corporativa y la regulación de los modelos de cumplimiento.
Modificaciones principales
- La LO 5/2010 introdujo en el Código Penal la responsabilidad penal de las personas jurídicas y los criterios de atribución por delitos cometidos en su nombre o beneficio.
- La LO 1/2015 detalló las condiciones para exención o atenuación ligadas a modelos eficaces: identificación de riesgos, protocolos, supervisión, canal de información y respuesta disciplinaria.
- La Ley 2/2023 extendió el deber de disponer de sistema interno a entidades privadas con 50 o más trabajadores y a determinados sectores con independencia del tamaño, además de establecer garantías para informantes.
Qué revisar en la empresaElevar al órgano de administración la aprobación y supervisión del modelo; probar periódicamente controles y canal interno, asignar recursos y documentar cómo se investigan y corrigen incidencias.
Repaso históricoNormas clave y fechas de aplicación Ver cronologíaOcultar
Hitos principales de Compliance penal. Cada fecha identifica si se trata de adopción, publicación, entrada en vigor, derogación o aplicación; las fechas futuras se indican como previstas.
-
Publicación BOE
LO 10/1995: nuevo Código Penal
Fijó el Código Penal moderno que sirve de base a las reformas posteriores; la responsabilidad penal general de las personas jurídicas se incorporaría en 2010.
Texto oficial -
Entrada en vigor
LO 5/2010: responsabilidad penal de las personas jurídicas
Introdujo la responsabilidad penal corporativa en el artículo 31 bis y reconoció relevancia a las medidas eficaces de prevención y detección de delitos.
Texto oficial -
Entrada en vigor
LO 1/2015: criterios del modelo de prevención
Detalló las condiciones de exención o atenuación asociadas a modelos eficaces: evaluación de riesgos, protocolos, supervisión autónoma, canal de información y respuesta.
Texto oficial -
Entrada en vigor
Ley 2/2023: sistemas internos de información
Estableció la obligación de implantar sistemas internos de información para entidades privadas de 50 o más trabajadores y para determinados sectores, además de garantías para informantes.
Texto oficial
04
Resiliencia digital: DORA y NIS2
Riesgo TIC, ciberseguridad, gestión de incidentes y proveedores tecnológicos.
Vigente Marco aplicable
Reglamento (UE) 2022/2554 — DORA ↗
Marco sectorial de resiliencia operativa digital: gobierno del riesgo TIC, incidentes, pruebas de resiliencia y riesgo de terceros.
Directiva (UE) 2022/2555 — NIS2 ↗
Amplía los sectores y entidades cubiertos y exige medidas de gestión de riesgos y notificación de incidentes en sectores esenciales e importantes.
Real Decreto-ley 12/2018 ↗ · Real Decreto 43/2021 ↗
El BOE identificó el anteproyecto español de coordinación y gobernanza para transponer NIS2 como «en tramitación» en su publicación de 17-12-2025; no se presenta ese anteproyecto como ley vigente.
Derogada / sustituida Régimen anterior
Directiva (UE) 2016/1148 — NIS1 ↗
Primera directiva europea sobre seguridad de redes y sistemas de información. La derogación de la directiva no implica por sí sola que hayan desaparecido automáticamente todas las normas nacionales que la transpusieron.
Referencia oficial del BOE sobre la transposición española de NIS2 ↗
La posición legislativa puede cambiar; comprobar el BOE y el estado del proyecto antes de cerrar una evaluación de alcance.
Modificaciones principales
- DORA impone un marco armonizado directamente aplicable a entidades financieras e incluye supervisión del riesgo de terceros TIC y pruebas de resiliencia.
- NIS2 amplía de forma sustancial los sectores y entidades, refuerza la responsabilidad de la dirección y concreta medidas de riesgo, cadena de suministro e incidentes.
- NIS1 fue derogada en la UE; en España debe distinguirse la norma europea nueva del marco nacional previo y de su eventual ley de transposición.
Qué revisar en la empresaDeterminar por separado si aplica DORA o NIS2; inventariar servicios y proveedores críticos, probar respuesta a incidentes y conservar evidencia de las medidas técnicas y organizativas.
Repaso históricoNormas clave y fechas de aplicación Ver cronologíaOcultar
Hitos principales de DORA y NIS2. Cada fecha identifica si se trata de adopción, publicación, entrada en vigor, derogación o aplicación; las fechas futuras se indican como previstas.
-
Adopción
NIS1: primera directiva europea de ciberseguridad
Introdujo medidas de seguridad y notificación para operadores de servicios esenciales y proveedores digitales; dio origen a los marcos nacionales iniciales.
Texto oficial -
Publicación BOE
Real Decreto-ley 12/2018: marco nacional NIS1
Incorporó el marco nacional de seguridad de redes y sistemas de información y organizó obligaciones y autoridades para entidades cubiertas.
Texto oficial -
Publicación DOUE
DORA y NIS2: nueva arquitectura digital
Se publican ambos instrumentos: NIS2 amplía sectores y responsabilidades; DORA establece un marco sectorial común para la resiliencia operativa digital financiera.
Texto oficial -
Fin del plazo de transposición
Vence el plazo de transposición de NIS2
Los Estados miembros debían aprobar y publicar las medidas nacionales. El vencimiento no convierte automáticamente toda obligación de la Directiva en una regla directamente aplicable a cualquier empresa.
Texto oficial -
Derogación
NIS2 deroga NIS1 en la Unión
Desde esta fecha NIS1 queda derogada en el plano europeo; la continuidad o sustitución de las normas nacionales de transposición debe analizarse por separado.
Texto oficial -
Aplicación
Comienza a aplicarse DORA
Las entidades financieras comprendidas deben aplicar el marco armonizado de riesgo TIC, incidentes, pruebas de resiliencia y terceros tecnológicos.
Texto oficial
05
Criptoactivos y MiCA
Emisión, oferta, negociación y prestación de servicios sobre criptoactivos.
Vigente Marco aplicable
Reglamento (UE) 2023/1114 — MiCA ↗
Regula emisores de tokens referenciados a activos y de dinero electrónico, y proveedores de servicios de criptoactivos; incorpora autorización, gobierno, conducta y salvaguardias.
Reglamento (UE) 2023/1113 — información en transferencias ↗
Extiende la información que acompaña a transferencias de fondos a transferencias de criptoactivos y establece la llamada «travel rule» para los proveedores sujetos.
Régimen anterior Derogación y transición
Artículo 143 del Reglamento MiCA — régimen transitorio ↗
El período máximo europeo ya venció. El régimen transitorio nacional pudo ser más corto; no debe presumirse que un proveedor conserva autorización para operar.
Normas nacionales previas
Los marcos y registros nacionales anteriores convivieron con la transición prevista por MiCA; su efecto depende del servicio, país y autorización concreta.
Modificaciones principales
- MiCA pasó de marcos nacionales fragmentados a categorías y requisitos armonizados para emisores y proveedores de servicios en la UE.
- Se establecen autorizaciones y reglas de gobierno, fondos propios, custodia y conflictos de interés; los emisores de tokens deben cumplir obligaciones de oferta y reservas según su categoría.
- La transición máxima para proveedores preexistentes terminó el 1 de julio de 2026, sin perjuicio de fechas nacionales anteriores.
Qué revisar en la empresaClasificar cada token y actividad, comprobar la autorización MiCA necesaria y revisar las transferencias bajo el Reglamento 2023/1113; documentar cualquier dependencia de una transición nacional.
Repaso históricoNormas clave y fechas de aplicación Ver cronologíaOcultar
Hitos principales de MiCA. Cada fecha identifica si se trata de adopción, publicación, entrada en vigor, derogación o aplicación; las fechas futuras se indican como previstas.
-
Publicación DOUE
MiCA: marco europeo para mercados de criptoactivos
La publicación del Reglamento 2023/1114 establece categorías y reglas comunes para emisores y proveedores de servicios; su aplicación se escalonó.
Texto oficial -
Aplicación parcial
Aplican las reglas para ART y EMT
Comienzan a aplicarse los títulos III y IV sobre emisores de fichas referenciadas a activos y fichas de dinero electrónico.
Texto oficial -
Aplicación general
Comienza la aplicación general de MiCA
Aplican las principales reglas para emisores y proveedores de servicios; en paralelo, el Reglamento 2023/1113 exige información de originador y beneficiario en transferencias de criptoactivos.
Texto oficial -
Fin del máximo transitorio
Límite máximo para proveedores preexistentes
El régimen transitorio europeo para proveedores que operaban antes del 30 de diciembre de 2024 no puede prolongarse más allá de esta fecha; un Estado miembro podía fijar un final anterior.
Texto oficial
06
Información y diligencia debida en sostenibilidad
Reporte corporativo, estándares de información y conducta en la cadena de valor.
Vigente Marco aplicable y reformas
Directiva (UE) 2022/2464 — CSRD ↗ · modificada por Directiva (UE) 2026/470 ↗
La reforma acota el alcance de información de sostenibilidad y simplifica requisitos; la aplicación nacional de los cambios requiere revisar la transposición.
Directiva (UE) 2024/1760 — CSDDD ↗
Establece deberes de diligencia debida en derechos humanos y medio ambiente para las grandes empresas incluidas en su ámbito.
Ley 11/2018 de información no financiera ↗
Introdujo obligaciones españolas de información no financiera; comprobar su versión consolidada y las modificaciones nacionales aplicables.
Derogada / sustituida Régimen anterior
Directiva 2014/95/UE — NFRD ↗
Régimen europeo anterior de información no financiera, incorporado al marco contable europeo y reemplazado por los requisitos de la CSRD.
Reglamento Delegado (UE) 2023/2772 — ESRS ↗
Primer conjunto de estándares europeos de reporte de sostenibilidad; seguir las modificaciones y actos delegados posteriores antes de diseñar plantillas.
Modificaciones principales de la Directiva 2026/470
- CSRD: el nuevo ámbito europeo se centra en empresas con más de 1.000 trabajadores y más de 450 millones de euros de facturación neta anual.
- CSDDD: el umbral se eleva a más de 5.000 trabajadores y más de 1.500 millones de euros de facturación neta; no confundirlo con el umbral de reporte CSRD.
- Se reduce el volumen de empresas directamente sujetas y se simplifican exigencias de información y diligencia debida; la reforma debe incorporarse al Derecho nacional antes del 19-03-2027.
Qué revisar en la empresaCalcular por separado los umbrales CSRD y CSDDD, identificar ejercicios afectados y revisar contratos y solicitudes de datos en la cadena de valor. Distinguir la directiva europea de su transposición española.
Repaso históricoNormas clave y fechas de aplicación Ver cronologíaOcultar
Hitos principales de Sostenibilidad. Cada fecha identifica si se trata de adopción, publicación, entrada en vigor, derogación o aplicación; las fechas futuras se indican como previstas.
-
Publicación DOUE
NFRD: información no financiera
La Directiva 2014/95/UE incorporó la declaración no financiera para determinadas grandes empresas y grupos, primer antecedente del reporte corporativo europeo de sostenibilidad.
Texto oficial -
Publicación BOE
Ley 11/2018: transposición española
La ley española desarrolló la información no financiera y amplió obligaciones de reporte para las entidades incluidas en su ámbito.
Texto oficial -
Publicación DOUE
CSRD: reforma del reporte corporativo
La Directiva amplió y estandarizó la información de sostenibilidad y previó su aplicación por fases; entró en vigor el 5 de enero de 2023.
Texto oficial -
Publicación DOUE
ESRS: estándares europeos de reporte
El Reglamento Delegado 2023/2772 adopta los primeros estándares europeos; la primera cohorte los utiliza para ejercicios iniciados desde el 1 de enero de 2024.
Texto oficial -
Publicación DOUE
Directiva 2025/794: aplazamiento de fases
La norma «stop-the-clock» retrasa determinadas fechas: segunda cohorte CSRD para ejercicios desde 2027 y tercera desde 2028; también amplía el plazo de transposición CSDDD.
Texto oficial -
Publicación DOUE
Directiva 2026/470: reforma de alcance y obligaciones
La reforma modifica CSRD y CSDDD, reduce el ámbito de empresas cubiertas y simplifica requisitos; entró en vigor el 18 de marzo de 2026 y debe transponerse antes del 19 de marzo de 2027.
Texto oficial
07
Inteligencia artificial
Gobierno de sistemas, obligaciones por riesgo y transparencia hacia las personas.
Vigente Marco aplicable
Reglamento (UE) 2024/1689 — Reglamento de IA ↗
Introduce obligaciones diferenciadas por nivel de riesgo para proveedores, importadores, distribuidores y responsables del despliegue, junto a prohibiciones, alfabetización en IA y transparencia.
Reglamento (UE) 2026/1744 — simplificación del Reglamento de IA ↗
Modifica el calendario de algunas obligaciones de sistemas de alto riesgo y establece reglas transitorias adicionales; no sustituye al Reglamento de IA.
Antecedente Régimen previo
No existía una ley general europea de IA equivalente
Siguen aplicando otras normas, entre ellas protección de datos, consumo, seguridad de productos, empleo y responsabilidad civil; el Reglamento de IA no las desplaza.
Modificaciones principales y fechas
- El Reglamento 2026/1744 aplaza las obligaciones principales para alto riesgo del anexo III al 02-12-2027 y las de productos del anexo I al 02-08-2028.
- Las prohibiciones del artículo 5 vigentes y la alfabetización en IA se aplican desde el 02-02-2025; las nuevas letras b bis) y b ter) y apartados 1 bis y 1 ter del artículo 5 se aplican desde el 02-12-2026. Las obligaciones generales y de transparencia comenzaron el 02-08-2026.
- Para sistemas generativos puestos en mercado antes del 02-08-2026, ciertas medidas de marcado de contenido sintético deben adoptarse antes del 02-12-2026.
Qué revisar en la empresaInventariar usos y proveedores de IA, determinar si la entidad es proveedor o responsable del despliegue, activar ya las obligaciones vigentes y programar controles para las fechas de alto riesgo de 2027 y 2028.
Repaso históricoNormas clave y fechas de aplicación Ver cronologíaOcultar
Hitos principales de Inteligencia artificial. Cada fecha identifica si se trata de adopción, publicación, entrada en vigor, derogación o aplicación; las fechas futuras se indican como previstas.
-
Publicación DOUE
Se publica el Reglamento de IA
El Reglamento 2024/1689 crea un marco horizontal basado en riesgos; entró en vigor el 1 de agosto de 2024 y su aplicación se escalonó.
Texto oficial -
Aplicación parcial
Prohibiciones y alfabetización en IA
Empiezan a aplicarse las prácticas prohibidas y las obligaciones de alfabetización en IA; las empresas deben conocer sus usos y formar al personal pertinente.
Texto oficial -
Aplicación parcial
Gobernanza y reglas para modelos de uso general
Comienzan a aplicarse, entre otras, las obligaciones principales para proveedores de modelos de IA de uso general y disposiciones de gobernanza.
Texto oficial -
Publicación DOUE
Reglamento 2026/1744: ajuste del calendario
La modificación desplaza a 2 de diciembre de 2027 la aplicación de obligaciones para alto riesgo del anexo III y a 2 de agosto de 2028 para productos del anexo I; introduce además nuevas fechas escalonadas.
Texto oficial -
Aplicación general
Comienza la aplicación general del Reglamento de IA
Entran en aplicación general las obligaciones previstas para esta fecha, incluidas reglas de transparencia; el calendario especial de alto riesgo debe leerse con la modificación de 2026.
Texto oficial
Esta selección es informativa y no exhaustiva. Las fichas enlazan al BOE o EUR-Lex; para determinar una obligación concreta, comprueba el texto oficial consolidado, las disposiciones transitorias, la normativa sectorial y las medidas españolas de transposición. Criterios editoriales y fuentes.