Bruselas no está frenando. Si NIS2 y DORA parecían exigentes, la próxima oleada; ya publicada, legislada o en negociación final; es mayor, más estricta y más operativa.
La era de «una regulación cada pocos años» ha terminado. Estamos entrando en una regulación digital continua.
Esto es lo que realmente viene a continuación; con implicaciones claras y accionables para todo CISO, DPO y Digital Compliance Officer.
1. Aplicación del AI Act (2025–2026): la nueva bestia de la gobernanza
El AI Act es la regulación más ambiciosa de la UE desde el GDPR. A diferencia de NIS2, no se limita a la ciberseguridad; regula cómo se construye, prueba, despliega, monitoriza y documenta la inteligencia.
Lo que las organizaciones deberán implementar (no teoría, realidad):
- Clasificación de riesgo de IA (prohibida / alto riesgo / riesgo limitado / propósito general)
- Paquetes de documentación de modelos (datos de entrenamiento, evaluación, arquitectura)
- Evaluaciones de riesgo obligatorias (alineadas con ISO 42001)
- Monitorización continua de deriva, sesgo y alucinaciones
- Red-teaming para modelos de alto riesgo y modelos fundacionales
- Notificación de incidentes de IA a la nueva EU AI Office
- Funciones de supervisión humana
- Trazabilidad completa de las decisiones
- Responsabilidad y auditorías de proveedores de IA
Impacto:
Esto exigirá una nueva función de gobernanza dentro de las organizaciones; razón por la cual Bruselas está impulsando implícitamente la aparición del Digital Compliance Officer (DCO).
2. Data Act (2025): acceso a datos obligatorio, portabilidad e interoperabilidad
El Data Act cambia cómo las empresas gestionan los datos a nivel estructural, especialmente los proveedores de nube y los sectores con gran volumen de datos.
Obligaciones clave:
- Los usuarios deben poder cambiar de proveedor de nube de forma rápida y asequible
- Portabilidad de datos obligatoria entre infraestructuras de nube
- Prohibición de determinadas prácticas de bloqueo de proveedores
- Transparencia sobre el tratamiento de datos y los derechos de uso
- Interoperabilidad obligatoria entre dispositivos IoT y sistemas backend
- Derechos de acceso para organismos públicos en situaciones de emergencia
Impacto:
El bloqueo de proveedor pasará a ser un incumplimiento regulatorio. Las arquitecturas de nube deben rediseñarse con la salida y la portabilidad como premisa; alineándose directamente con los requisitos de resiliencia TIC de DORA.
3. Cyber Resilience Act (CRA): seguro por diseño para todo producto digital
El CRA impone requisitos de ciberseguridad obligatorios para cualquier producto con elementos digitales; hardware, software, sistemas embebidos, IoT y dispositivos industriales.
- Requisitos de seguridad por diseño y por defecto
- Procesos obligatorios de gestión de vulnerabilidades
- Aviso temprano de 24 h a ENISA ante explotación activa
- Notificación de incidentes en 72 h
- 5–10 años de actualizaciones de seguridad según la criticidad del producto
- Requisitos de SBOM (lista de materiales de software)
- Evaluaciones de conformidad antes de que los productos lleguen al mercado
Impacto:
Esto afectará a fabricantes de software, empresas SaaS, productores industriales e incluso startups. Los equipos de producto pasarán a formar parte del ecosistema de cumplimiento por primera vez.
4. EUCS (EU Cloud Certification Scheme): el futuro reglamento de seguridad en la nube
El EUCS redefinirá el uso de la nube en toda la UE. Es más que una certificación; es una estrategia de soberanía.
Lo que impondrá el EUCS:
- Tres niveles de garantía (Básico, Sustancial, Alto)
- Requisitos de residencia de datos
- Transparencia obligatoria sobre subcontratistas
- Restricciones a la influencia jurisdiccional no comunitaria en el nivel «Alto» (es decir, conflictos con la CLOUD Act)
- Mayor auditabilidad para los proveedores de nube
- Obligaciones de notificación de incidentes alineadas con NIS2/DORA
- Controles de seguridad obligatorios más allá de ISO 27001
Impacto:
- AWS/Azure/GCP podrían no cumplir el nivel «Alto» sin adaptar sus modelos de gobernanza
- Los sectores críticos deberán utilizar servicios certificados EUCS
- Las estrategias multi-nube dejarán de ser opcionales; serán un seguro regulatorio
Esta es la regulación que rediseñará las estrategias de nube en toda Europa.
5. Sanciones más severas y responsabilidad personal de los directivos
NIS2 ya introdujo la responsabilidad personal de los directivos. Cabe esperar que Bruselas vaya más lejos y armonice la responsabilidad personal en el conjunto de las regulaciones digitales.
Lo que se avecina:
- Responsabilidad de nivel C por incumplimientos del AI Act (especialmente el uso indebido de IA de alto riesgo)
- Multas vinculadas a los ingresos globales, al igual que el GDPR
- Debates sobre responsabilidad penal por negligencia grave (en debate en varios comités)
- Requisitos obligatorios de competencia en ciberseguridad a nivel de consejo de administración
- Atestación al estilo SOX para ciberseguridad y resiliencia operativa
Impacto:
Los consejos de administración comenzarán a exigir:
- Informes de cumplimiento continuo
- KPIs basados en riesgo
- Responsabilidad clara sobre las decisiones de ciberseguridad e IA
- Evidencia de que el cumplimiento está integrado, no meramente documentado
Los directivos ya no podrán aislarse de los fallos de gobernanza digital.
6. Formalización del rol de Digital Compliance Officer (DCO)
Esto ya no es teórico. Bruselas ya está señalando; a través del AI Act, NIS2, CRA, DORA y los documentos de orientación en curso; que las organizaciones necesitarán un rol de gobernanza transversal.
Por qué el DCO se vuelve obligatorio (primero de forma implícita, luego explícita):
- La gobernanza de IA requiere un único punto de responsabilidad
- DORA exige supervisión del riesgo TIC y gobernanza de proveedores
- NIS2 exige responsabilidad ejecutiva y coordinación interfuncional
- El GDPR ya obliga a contar con un DPO; el DCO es su evolución para riesgos digitales más amplios
- El CRA exige coordinación entre producto, ciberseguridad y control de proveedores
Responsabilidades previstas:
- Supervisar el cumplimiento del AI Act
- Coordinar NIS2 + DORA + GDPR + CRA
- Gestionar la supervisión de la nube en el marco del EUCS
- Ejecutar marcos unificados de riesgo y control
- Construir modelos de gobernanza digital alineados con la regulación
- Garantizar la disponibilidad de evidencias para los reguladores
- Reportar directamente al consejo de administración y a los comités ejecutivos
Impacto:
Para 2026–2027, el DCO será tan habitual como el DPO lo fue tras el GDPR. Este será el rol GRC más estratégico de la próxima década.
7. La próxima fase: unificación de la regulación digital de la UE (2027–2030)
Varios documentos internos de la UE y grupos de trabajo impulsan un marco único e integrado de gobernanza digital para reducir la fragmentación.
Esto podría consolidar:
- GDPR
- NIS2
- DORA
- AI Act
- Data Act
- CRA
- Digital Services Act
- Digital Markets Act
- eIDAS 2.0
Lo que introducirá el modelo unificado:
- Una taxonomía única para el riesgo digital
- Un modelo armonizado de notificación de incidentes
- Un marco de control para múltiples normas
- Auditorías transversales entre regulaciones
- Cooperación entre autoridades supervisoras compartidas
- Una estructura paneuropea de supervisión digital
Impacto:
El cumplimiento evolucionará de «documentos para auditores» → gobernanza digital continua para reguladores.
Hacia aquí se dirige Bruselas.
Reflexión final
Bruselas está construyendo el primer ecosistema completo de gobernanza digital del mundo; abarcando datos, IA, nube, ciberseguridad, resiliencia y seguridad de productos.
La próxima oleada no es abstracta. Es concreta, legislada y ejecutable entre 2025 y 2027.
Las organizaciones que sobrevivirán (y prosperarán) serán las que:
- adopten una gobernanza unificada ahora
- comprendan el impacto operativo de cada regulación
- rediseñen sus estrategias de nube con antelación
- preparen estructuras de responsabilidad en IA
- nombren un Digital Compliance Officer
- construyan un cumplimiento continuo, no auditorías anuales
El futuro digital de Europa está regulado; de forma inteligente, agresiva y permanente.
La pregunta ya no es «¿Viene más?» Sino «¿Están preparándose antes de que llegue?»
Si desean una hoja de ruta práctica y alineada con la regulación sobre AI Act, Data Act, CRA, NIS2, DORA, EUCS y la irrupción del Digital Compliance Officer, eso es exactamente lo que enseñamos en el Cyber Academy European Digital Governance Program. Únanse a la próxima sesión y manténganse por delante de la próxima oleada de Bruselas.