Manolo Perezagua Naharro, autor en Audidat

Por qué y cómo blindar legalmente tu startup tecnológica desde el inicio

noticias

Por qué y cómo blindar legalmente tu startup tecnológica desde el inicio

Las startups tecnológicas están expuestas a riesgos legales desde sus primeros pasos, no solo al crecer. Contar con un programa de compliance y protección jurídica robusta puede prevenir multas, fraudes y pérdidas críticas. Los delitos informáticos, la protección de la propiedad intelectual y la custodia de pruebas digitales son pilares clave. Asesoría legal especializada y una cultura preventiva son esenciales Conflictos legales: un riesgo inevitable para las startups tecnológicas El crecimiento de una startup tecnológica puede verse truncado si no se cuenta con una base legal sólida desde el inicio. Francisco José Peláez Ortiz, abogado especializado en ciberdelincuencia y director de PenalTech Abogados, advierte que los conflictos legales no son una posibilidad remota, sino un escenario probable en el desarrollo de cualquier empresa digital. Desde infracciones en protección de datos hasta ataques informáticos o disputas sobre propiedad intelectual, las startups deben asumir que el marco legal es tan prioritario como el técnico o financiero. Delitos informáticos y sus consecuencias legales Los delitos informáticos —como el robo de información, suplantación de identidad o ataques a sistemas— son una amenaza constante. Según Peláez Ortiz, los riesgos más frecuentes para startups incluyen: Brechas de seguridad con exposición de datos de clientes. Responsabilidad penal por negligencia en la custodia de datos. Fraudes internos por parte de empleados con acceso privilegiado. Ataques externos como phishing o ransomware. Las consecuencias pueden ser devastadoras: sanciones millonarias, pérdida de confianza de inversores y clientes o incluso la paralización del negocio. Anticiparse es más barato que corregir Uno de los errores más comunes es posponer la gestión legal hasta atraer inversión o cerrar acuerdos importantes. Sin embargo, actuar tarde puede salir caro. Peláez Ortiz recomienda medidas de prevención como: Auditoría legal en protección de datos, propiedad intelectual y ciberseguridad. Revisión de contratos con proveedores, empleados y colaboradores. Inclusión de cláusulas de ciberseguridad y confidencialidad reforzada. Protocolos internos de reacción ante incidentes de seguridad. Formación continua en buenas prácticas digitales. Además, contar con políticas internas claras y una cultura organizativa enfocada en la prevención legal es clave para minimizar los riesgos. La cadena de custodia de las pruebas digitales En caso de conflicto legal, la validez de las pruebas digitales es crucial. La cadena de custodia garantiza que la evidencia no ha sido manipulada. Para ello se requieren: Uso de hashes criptográficos. Protocolos de preservación forense. Intervención de peritos certificados. Documentación detallada de cada movimiento de la prueba. Un fallo en este proceso puede invalidar la evidencia y dejar a la empresa desprotegida en un juicio. Cómo proteger la propiedad intelectual de tu startup Las startups tecnológicas suelen desarrollar activos intangibles valiosos que deben ser protegidos desde el primer momento. Peláez Ortiz señala los elementos clave: Código fuente: protegido por derechos de autor y licencias. Secretos empresariales: mediante cláusulas de confidencialidad y medidas de seguridad. Marcas, diseños y nombres comerciales: mediante registros oficiales. Bases de datos: amparadas por derechos sui generis en la UE. No proteger estos activos implica el riesgo de copias, fugas de información y litigios con competidores. Vías legales para blindarte desde el inicio Para asegurar la protección jurídica de una startup, se pueden implementar distintas herramientas: Registro de marca, patente o diseño ante la oficina competente. Derechos de autor sobre el software desarrollado. Contratos con cláusulas de confidencialidad, no divulgación y propiedad intelectual. Acuerdos con empleados para asegurar la titularidad empresarial de los desarrollos. Firma de NDA (Non-Disclosure Agreements), especialmente en procesos de negociación o internacionalización. Conclusión: una cultura legal preventiva marca la diferencia Blindar jurídicamente una startup no se limita a firmar documentos. Implica construir una cultura preventiva en la que todos los miembros de la organización comprendan y apliquen buenas prácticas legales desde el primer día. En un entorno tan dinámico y competitivo como el tecnológico, la diferencia entre escalar o fracasar puede estar en la solidez jurídica con la que se haya construido el proyecto.

septiembre 1, 2025

Vacaciones ciberseguras: evita fraudes en apps de viajes con estos consejos clave

noticias

Vacaciones ciberseguras: evita fraudes en apps de viajes con estos consejos clave

Las estafas digitales aumentan durante las vacaciones por el mayor uso de apps y webs para reservas. Los ciberdelincuentes crean anuncios falsos, apps fraudulentas y perfiles engañosos para captar víctimas. Existen señales claras para detectar estafas: urgencia, precios bajos, solicitudes de pago por vías no oficiales. Usar apps oficiales, medios de pago seguros y activar el doble factor de autenticación ayuda a prevenir fraudes. El auge de las estafas digitales en vacaciones Cada vez más personas reservan sus vacaciones a través de plataformas online, lo que ha convertido este periodo en un momento propicio para los ciberataques. La urgencia por encontrar buenas ofertas y cerrar reservas rápidamente facilita que los usuarios bajen la guardia y caigan en fraudes digitales. Los ciberdelincuentes aprovechan el aumento de la demanda en webs y apps de alojamiento, transporte y experiencias para lanzar campañas de engaño dirigidas. Estafas comunes en apps vacacionales Entre las tácticas más utilizadas por los estafadores se encuentran: Anuncios falsos o duplicados de alojamientos reales para solicitar pagos por adelantado. Apps fraudulentas que imitan plataformas legítimas con el fin de robar datos o dinero. Correos electrónicos y notificaciones falsas (phishing) que imitan sitios conocidos y promueven ofertas con tiempo limitado. Ofertas por redes sociales o mensajería, a través de perfiles falsos y spam. Solicitudes de pagos por fuera de la app, generalmente mediante transferencia bancaria, lo cual dificulta cualquier tipo de reclamación posterior. Cómo detectar señales de alerta Estar alerta puede marcar la diferencia entre unas vacaciones tranquilas y ser víctima de una estafa. Algunas señales típicas incluyen: Precios sospechosamente bajos en comparación con la media. Presión para reservar con urgencia, sin tiempo para verificar la oferta. Perfiles sin reseñas, o con comentarios negativos. Solicitudes de pago por canales no oficiales. Errores gramaticales o de diseño en las apps o anuncios. Redirecciones a sitios externos o formularios donde se piden datos sensibles o se descarga malware. Medidas para prevenir estafas La prevención es clave. Estas buenas prácticas ayudan a evitar fraudes en la planificación de tus vacaciones: Descarga apps solo desde tiendas oficiales (Google Play, App Store). Consulta opiniones y verifica la reputación del perfil o alojamiento. Usa métodos de pago seguros, como PayPal o tarjetas de prepago. Activa la verificación en dos pasos (2FA) en todas tus cuentas. Consulta foros y fuentes oficiales si tienes dudas sobre la fiabilidad de una oferta. Evita redes Wi-Fi públicas, especialmente al realizar pagos. Disfruta tus vacaciones sin sobresaltos La clave para unas vacaciones ciberseguras es combinar sentido común con medidas de protección básicas. Los fraudes en apps vacacionales están al alza, pero si prestas atención a los detalles y tomas precauciones desde el primer paso de la reserva, puedes evitar problemas mayores. Recuerda que, ante cualquier sospecha, puedes contactar con la Línea de Ayuda en Ciberseguridad de INCIBE, llamando al 017 o a través de WhatsApp (900 116 117) y Telegram (@INCIBE017). El soporte es gratuito y confidencial.

septiembre 1, 2025

noticias

Ciberseguridad básica para internautas

Consumo de Andalucía recomienda actualizar dispositivos y aplicaciones con frecuencia. Es crucial navegar solo por webs seguras (con https y candado digital visible). Conectarse a redes Wi-Fi públicas conlleva graves riesgos de seguridad. El uso de antivirus, VPN y mantenerse informado con fuentes oficiales como INCIBE es esencial. Ciberseguridad cotidiana: una responsabilidad de cada internauta En el marco del Día Mundial del Internauta, la Dirección General de Consumo de la Junta de Andalucía ha lanzado un mensaje claro: la seguridad en internet empieza por el comportamiento del propio usuario. Las ventajas que ofrece la red deben ir acompañadas de medidas de protección ante los riesgos que implica su uso cotidiano. Consumo recuerda que es fundamental mantener al día todas las actualizaciones del navegador, las aplicaciones —especialmente las que manejan datos sensibles como las bancarias o las redes sociales— y los propios dispositivos. Estas actualizaciones deben ir de la mano con la instalación de software antivirus que refuerce la protección general. Navegación segura y webs verificadas Uno de los aspectos más relevantes señalados por Consumo es la verificación de que las páginas web visitadas sean seguras. Para ello, se debe comprobar que la URL comienza por https y que aparece un candado cerrado junto a la dirección. Al hacer clic sobre ese candado, debe figurar información sobre la validez del certificado digital. Además, se debe desconfiar de aquellas páginas que no incluyan datos identificativos de la empresa titular, como NIF, razón social o domicilio fiscal. Wi-Fi públicas: un riesgo que se puede evitar Las conexiones inalámbricas públicas son otro foco de riesgo. Consumo alerta de que redes Wi-Fi abiertas, como las disponibles en parques, bibliotecas o medios de transporte, no ofrecen garantías de seguridad. Incluso las redes públicas cerradas (de hoteles, centros educativos o cafeterías) pueden ser vulnerables. Por ello, se recomienda utilizar redes privadas virtuales (VPN) para proteger los datos transmitidos. Conectarse a una Wi-Fi pública puede dejar al descubierto contraseñas, información bancaria, archivos y otros datos personales sensibles. Por esta razón, se aconseja evitar realizar compras o gestiones financieras online cuando se esté conectado a este tipo de redes. Estar informado también es protegerse Consumo también subraya la importancia de mantenerse informado sobre amenazas digitales como el phishing (fraudes por correo electrónico) o el smishing (fraudes por SMS). El Instituto Nacional de Ciberseguridad (Incibe) publica alertas actualizadas que pueden consultarse a través del portal Consumo Responde, que también dispone de una sección específica para avisos de ciberseguridad. Asesoramiento gratuito para la ciudadanía El servicio multicanal Consumo Responde, impulsado por la Consejería de Salud y Consumo de la Junta de Andalucía, ofrece atención gratuita a través del teléfono 900 21 50 80, correo electrónico (consumoresponde@juntadeandalucia.es) y sus perfiles en redes sociales. También está disponible en la web www.consumoresponde.es, y en los servicios provinciales y oficinas municipales de información al consumidor.

septiembre 1, 2025

Cómo un simple formulario puede exponer tus datos a llamadas spam: claves para protegerte

noticias

Elementor #47539

Rellenar formularios online sin revisar la letra pequeña puede dar acceso a nuestros datos personales. El RGPD exige consentimiento explícito para el uso de datos, pero muchas políticas de privacidad son poco claras. Existen mercados de compraventa de datos telefónicos que alimentan a los centros de llamadas. Se recomienda el uso de apps bloqueadoras, revisar consentimientos y solicitar la eliminación de información. Una cesión inadvertida de datos personales Las llamadas de spam se han convertido en una molestia persistente para millones de personas. Sin embargo, más allá del fastidio cotidiano, lo preocupante es cómo los centros de llamadas acceden a nuestra información personal. Según revela el medio italiano Ange News, en muchos casos somos nosotros mismos quienes, sin saberlo, autorizamos el uso de nuestros datos al rellenar formularios en línea. El problema radica en la opacidad de muchas políticas de privacidad. Al no ser claras ni accesibles, facilitan la recolección de información por parte de empresas que luego la venden a terceros, incluidos centros de telemarketing. Esta práctica vulnera los principios de transparencia que establece el Reglamento General de Protección de Datos (RGPD) vigente en la Unión Europea. Mercado oculto de datos telefónicos De acuerdo con la publicación, existe un auténtico «mercado» donde se comercian listas de números de teléfono. Muchas compañías no transparentes obtienen esta información mediante promociones, formularios con condiciones poco visibles o incluso a través de sitios web que recogen datos de fuentes públicas y redes sociales. Posteriormente, estos datos son vendidos a empresas de llamadas masivas. Los peligros de la suplantación y cómo protegerse Una de las prácticas más alarmantes en auge es la suplantación de identidad durante las llamadas, una técnica con la que los delincuentes se hacen pasar por entidades legítimas para obtener aún más datos sensibles. Por ello, los expertos recomiendan tomar medidas preventivas. Entre las acciones sugeridas destacan el uso de aplicaciones para bloquear llamadas no deseadas —como Truecaller, Sync.ME o Should I Answer—, así como la solicitud de eliminación de datos personales de bases de datos públicas. Además, es crucial revisar los consentimientos otorgados previamente y retirar los permisos innecesarios. La clave está en actuar con cautela y estar informados sobre cómo y dónde se comparten nuestros datos. Aunque el RGPD ofrece una base legal sólida para proteger nuestra privacidad, la vigilancia individual sigue siendo esencial.

septiembre 1, 2025

5 claves para cumplir el ENS desde cero sin errores ni sanciones

Esquema Nacional de Seguridad

5 claves para cumplir el ENS desde cero sin errores ni sanciones

Puede que pienses que el Esquema Nacional de Seguridad (ENS) solo afecta a entidades públicas o grandes contratistas tecnológicos. Pero si tu organización presta servicios o maneja información vinculada con el sector público, estás dentro.Y lo que muchos no ven es que la entrada en vigor del nuevo ENS en 2022 cambió radicalmente el nivel de exigencia, incluyendo a muchas organizaciones privadas que ni siquiera son conscientes de estar afectadas. ¿Estás seguro de que no tienes que cumplir? ¿O simplemente aún no has empezado porque parece demasiado complejo?Si estás arrancando desde cero, este artículo es para ti: te damos 5 consejos clave para trabajar el cumplimiento del ENS desde el principio, evitar errores comunes y preparar tu organización para los próximos requerimientos. 👉 Y desde el primer paso, te conviene apoyarte en un equipo experto que domine todas las fases del Esquema Nacional de Seguridad. 1. No subestimes la obligación: valida si realmente debes cumplir (y en qué nivel) El error más común es asumir que el ENS no te aplica. Pero si mantienes relaciones con la Administración Pública, subcontratas servicios TIC, desarrollas software para clientes públicos o manejas información clasificada… estás dentro del alcance. Y aún más: aunque seas una pyme o autónomo, puedes estar afectado si tu cliente público te lo exige contractualmente. Primer consejo clave: valida si estás obligado y en qué nivel (básico, medio o alto). Muchas organizaciones siguen facturando a la Administración sin cumplir ni uno solo de los requisitos del ENS… hasta que pierden el contrato o son excluidas de una licitación por no demostrar adecuación. 2. No empieces por la tecnología: empieza por el análisis de riesgos Puede parecer contraintuitivo, pero cumplir el ENS no empieza instalando firewalls o contratando ciberseguros.Empieza por algo más estructural: el análisis de riesgos y la clasificación de la información. Este paso define todo lo demás: qué medidas necesitas, a qué nivel, con qué prioridad.Sin esto, cualquier medida que tomes será incompleta o inadecuada. Lo que muchos no ven es que el ENS es, ante todo, un marco de gestión. La seguridad no está en los sistemas, sino en cómo decides y documentas lo que haces.Por eso, antes de invertir, construye tu política de seguridad y tu plan director, con visión realista y guía experta. 3. Documenta desde el minuto uno: cada decisión cuenta (y puede ser auditada) Uno de los fallos más frecuentes en los proyectos de adecuación al ENS es empezar a implementar sin documentar el proceso.Y esto es grave: el ENS exige trazabilidad, evidencias y justificación de todas las decisiones. No basta con tener las medidas técnicas. Hay que demostrar cómo se definieron, quién las aprobó, cuándo se revisaron, cómo se mantienen actualizadas. ¿Estás seguro de que podrías demostrarlo ante una auditoría externa? La mayoría de empresas que fracasan en la certificación no lo hacen por carencias tecnológicas, sino por falta de documentación clara, actualizada y coherente. Por eso, un buen proyecto de Esquema Nacional de Seguridad no se basa solo en “cumplir requisitos”, sino en construir un sistema vivo, auditable y mantenible. 4. Involucra a los responsables desde el inicio (y no solo al técnico) Este error lo hemos visto decenas de veces: el proyecto de cumplimiento del ENS recae solo en el responsable de IT, que a menudo no tiene ni el tiempo ni el respaldo para impulsar los cambios necesarios. El ENS exige gobernanza. Implica decisiones organizativas, asignación de roles, revisiones periódicas, comunicación interna…Si la dirección no está implicada, el proyecto fracasará antes de empezar. Y si solo se ve como “un tema técnico”, el resto de la organización lo ignorará, dificultando su integración real en los procesos. La seguridad, como la calidad, se construye en equipo.Y sin liderazgo desde arriba, no hay cumplimiento sostenible. 5. No esperes a estar obligado para empezar: anticiparse es la ventaja real Muchas organizaciones comienzan a trabajar el ENS solo cuando un cliente lo exige, una licitación lo impone o una auditoría lo requiere.Demasiado tarde. Porque adecuarse al ENS lleva tiempo, planificación y ajustes organizativos que no se pueden improvisar en dos semanas.Y más aún desde la última actualización de 2022, que introdujo conceptos como seguridad desde el diseño, monitorización continua y resiliencia activa. ¿Estás seguro de que puedes implementarlo todo a contrarreloj? Anticiparte te permite decidir con calma, adaptar procesos sin urgencia y convertir el cumplimiento en una ventaja competitiva real.Además, te posiciona mejor ante el mercado público y reduce el riesgo de exclusión en proyectos futuros. Por eso, desde Audidat, ayudamos a organizaciones que aún no están obligadas, pero quieren prepararse de forma estratégica, segura y escalonada. Empezar desde cero es una ventaja… si lo haces bien desde el principio El cumplimiento del ENS no es una cuestión técnica ni un requisito más.Es una oportunidad para profesionalizar la gestión de la seguridad, posicionarte mejor ante tus clientes públicos y reducir riesgos críticos. Pero solo si lo abordas con método, visión estratégica y acompañamiento experto.En Audidat, trabajamos contigo desde la base: analizamos tu situación, diseñamos un plan adaptado y te guiamos en cada fase, sin soluciones genéricas ni costes ocultos. Si estás empezando desde cero, el momento de actuar es ahora.Toda la información está aquí: Esquema Nacional de Seguridad Preguntas frecuentes sobre el cumplimiento del ENS ¿Qué diferencia hay entre estar adaptado al ENS y estar certificado? Adaptarse implica cumplir los requisitos, pero la certificación lo acredita oficialmente ante terceros. La mayoría de entidades públicas empiezan a exigir certificación en nuevos contratos. ¿Cuánto tiempo se tarda en adecuarse al ENS? Depende del tamaño, nivel de madurez y tipo de información tratada. Un proyecto completo puede durar entre 3 y 9 meses. ¿Es obligatorio contar con un responsable de seguridad? Sí. El ENS exige la designación formal de varios roles, como Responsable de Seguridad, Responsable de la Información y Responsable del Servicio. ¿Qué pasa si incumplo el ENS y tengo contrato con una Administración? Puedes enfrentarte a rescisión del contrato, exclusión de futuras licitaciones y pérdida de confianza institucional.

septiembre 1, 2025

Canal ético

Preguntas frecuentes sobre canal ético y directiva whistleblowing

Preguntas frecuentes sobre canal ético y directiva whistleblowing Preguntas frecuentes sobre canal ético y directiva whistleblowing ¿Estás seguro de que entiendes realmente qué exige la directiva whistleblowing y cómo implementar un canal ético que no solo sea legal, sino funcional y eficaz?La mayoría de las organizaciones cree que cumplir es instalar una herramienta y olvidarse. Pero cuando llega una denuncia mal gestionada, cuando la persona informante se siente expuesta, o cuando un procedimiento no se documenta correctamente… el coste es mucho más alto que la inversión en cumplimiento real. En los últimos meses, hemos detectado una avalancha de dudas entre responsables de cumplimiento, departamentos de RR. HH. y gerencias. Preguntas aparentemente “básicas” que, mal respondidas, exponen a la empresa a sanciones, pérdida de reputación o incluso a la nulidad de todo el sistema interno de información. Por eso hoy respondemos —de forma directa y sin rodeos— a las preguntas frecuentes sobre el canal ético y la directiva whistleblowing, y te mostramos lo que no puedes seguir ignorando.👉 Ya desde el inicio, es clave comprender qué implica realmente implantar un Canal ético válido a ojos de la ley. ¿Qué es exactamente un canal ético y por qué no basta con un buzón de denuncias? Puede que pienses que un buzón de correo, una encuesta anónima o una bandeja de entrada en Recursos Humanos son suficientes. Pero no lo son.Un canal ético conforme a la Directiva (UE) 2019/1937 y su transposición en España exige confidencialidad absoluta, trazabilidad, plazos concretos, registro seguro y una gestión profesionalizada de cada denuncia. Lo que muchos no ven es que un sistema informal o improvisado invalida todo el procedimiento.No se trata de tener un canal, sino de que funcione como lo exige la normativa. Y ahí es donde empiezan los errores. ¿Qué empresas están obligadas a tener canal ético? Desde el pasado 1 de diciembre de 2023, todas las empresas con 50 o más empleados están obligadas a contar con un canal ético interno.Pero también están obligadas aquellas organizaciones —independientemente del número de trabajadores— cuando operan en sectores regulados, como servicios financieros, prevención de blanqueo de capitales o seguridad. Aun así, hemos visto decenas de empresas medianas que, confiadas por no “cumplir el umbral”, han recibido requerimientos por parte de la Inspección o se han visto involucradas en conflictos laborales con denuncias mal gestionadas. La ley no solo exige implantar un canal, sino demostrar su funcionamiento efectivo. Y eso requiere mucho más que activarlo en la web. ¿Cómo debe gestionarse una denuncia para no incumplir la ley? Aquí está uno de los puntos más delicados. La mayoría cree que basta con recibir la denuncia y responder.Error. La ley exige una trazabilidad completa, asignación de responsable, acuse de recibo en 7 días y resolución en un máximo de 3 meses, con posibilidad de prórroga justificada. Pero además, cada fase debe documentarse, debe garantizarse la confidencialidad del informante y debe establecerse un protocolo que respete los principios de imparcialidad y protección del denunciante. Este error lo hemos visto decenas de veces: canales abiertos sin protocolo definido, sin responsables formados y sin plataforma que garantice la custodia de la información. El canal ético no es una herramienta técnica: es un sistema jurídico, organizativo y tecnológico integrado.Y por eso, implantar correctamente un Canal ético implica mucho más que cumplir formalmente. ¿Qué riesgos existen si no lo implanto (o si lo hago mal)? La falsa sensación de cumplimiento es uno de los peores enemigos en esta materia.Porque no tener un canal ético implantado y operativo cuando la ley lo exige, puede acarrear sanciones de hasta 1.000.000 €, además de consecuencias reputacionales y legales ante denuncias internas no canalizadas adecuadamente. Pero hay un riesgo más invisible: la pérdida de confianza interna. Cuando un empleado denuncia algo y no recibe respuesta, o peor, percibe represalias, el daño es irreversible. No solo para él, sino para toda la organización. Y lo más grave es que muchas veces no hay dolo, solo desconocimiento.Por eso, la evaluación, implantación y gestión del canal debe estar en manos expertas. Porque cuando llega el problema, ya no hay margen de corrección. ¿Qué pasa si ya tengo un canal, pero no lo uso o no lo comunico bien? La mayoría de las empresas cree que cumplir es tener el canal activo. Pero la ley es clara:Debe ser accesible, conocido por todos los empleados, fácil de utilizar y transparente en su funcionamiento. Si tu canal no se ha comunicado internamente, si no has formado a los responsables, o si no sabes cómo gestionar una denuncia real… no estás cumpliendo. Y en caso de inspección o conflicto, tendrás que demostrar que tu sistema funciona. Aquí es donde el Canal ético desarrollado por Audidat cobra valor: porque no es una simple solución tecnológica, sino un servicio completo que evalúa tu situación, adapta el canal a tu organización y lo gestiona bajo parámetros legales y prácticos. ¿Y si recibo una denuncia falsa o malintencionada? La ley contempla esta posibilidad, y por eso la gestión profesional del canal es tan crítica.Se debe analizar cada caso con objetividad, sin prejuzgar, y documentar todas las actuaciones. Una denuncia malintencionada, bien gestionada, no solo no perjudica: fortalece el sistema si se demuestra que funciona correctamente. Lo que muchos no ven es que una denuncia mal gestionada es más peligrosa que una falsa denuncia bien tratada. Un canal ético no es un formulario, es una obligación legal con consecuencias reales Si te estás haciendo estas preguntas ahora, vas tarde. Pero no estás solo: la mayoría de empresas está cometiendo errores graves sin saberlo, y no será hasta que reciban una denuncia o inspección cuando lo descubran. En Audidat, evaluamos tu situación actual, implantamos el canal ético conforme a la normativa y te acompañamos en su gestión continua, sin compromisos innecesarios ni soluciones estándar. Cada organización es diferente. Por eso, habla con un consultor, evalúa tu riesgo real y deja que te ayudemos a cumplir, sin sorpresas.Toda la información está aquí: Canal ético Preguntas frecuentes sobre canal ético y whistleblowing

septiembre 1, 2025

NIS2: guía para proteger proyectos técnicos y obras ante ciberataques

Ciberseguridad

NIS2: guía para proteger proyectos técnicos y obras ante ciberataques

La digitalización de obras y proyectos técnicos ha supuesto un salto cualitativo en eficiencia, control y gestión de procesos. Sin embargo, este avance ha venido acompañado de nuevos riesgos críticos en materia de ciberseguridad, especialmente en sectores como la construcción, la ingeniería civil o la arquitectura técnica. La Directiva NIS2 marca un punto de inflexión, estableciendo obligaciones legales específicas para prevenir, detectar y responder ante incidentes digitales que afecten a infraestructuras técnicas o entornos de obra. ¿Qué pasa si un ciberataque compromete planos, sistemas de control de maquinaria o comunicaciones internas de un proyecto técnico en marcha?¿Está tu organización preparada para actuar conforme a la normativa europea NIS2? En este artículo te ofrecemos una guía práctica para proteger obras y proyectos técnicos frente a los riesgos de ciberseguridad, de acuerdo con las exigencias de la NIS2. Si formas parte de una empresa constructora, ingeniería, consultoría técnica, promotora o entidad pública contratante, este contenido es clave para evitar parálisis operativas, sanciones legales o pérdida de información crítica. ¿Qué es la NIS2 y por qué afecta a obras y proyectos técnicos? La Directiva (UE) 2022/2555, conocida como NIS2, es la nueva norma europea que regula la ciberseguridad en sectores esenciales y relevantes. Amplía significativamente el alcance de su predecesora (NIS1), incluyendo nuevas categorías de entidades obligadas a implementar medidas de seguridad digital. En el caso de obras y proyectos técnicos, la NIS2 afecta especialmente a: Empresas de construcción con sistemas digitalizados. Proyectos de ingeniería civil o energética con redes OT (tecnología operacional). Entidades responsables de infraestructuras críticas (transporte, energía, agua). Empresas proveedoras de servicios técnicos en sectores regulados. Organismos públicos licitadores o supervisores. La razón es clara: la información y los sistemas que soportan una obra o infraestructura son hoy activos digitales clave, y su integridad, disponibilidad y confidencialidad pueden verse comprometidas por ciberataques cada vez más sofisticados. Riesgos reales de ciberseguridad en obras y entornos técnicos Las amenazas digitales en este contexto no son una hipótesis futura: ya se han producido incidentes graves que han paralizado obras, filtrado planos o bloqueado accesos a herramientas de gestión técnica. Algunos riesgos concretos incluyen: 1. Secuestro de planos y documentación crítica Los ataques tipo ransomware pueden cifrar o destruir archivos esenciales: planos estructurales, estudios geotécnicos, cronogramas de ejecución, licencias, etc. 2. Sabotaje en sistemas de control o monitorización Sistemas SCADA, BIM, sensores de medición o dispositivos conectados pueden verse alterados o inutilizados, afectando directamente a la ejecución técnica de la obra. 3. Robo de información contractual y confidencial Documentos de licitación, presupuestos, estrategias de adjudicación o cláusulas sensibles pueden filtrarse o ser utilizados por terceros, comprometiendo la posición competitiva de la empresa. 4. Interrupción de plataformas colaborativas Herramientas de trabajo colaborativo como CDEs (Common Data Environment), plataformas BIM o software de gestión de proyectos pueden verse inutilizadas temporal o permanentemente. 5. Suplantación o manipulación de identidades técnicas Usuarios maliciosos pueden acceder a cuentas de ingenieros, arquitectos o responsables de proyecto, enviando instrucciones falsas o modificando información sensible sin ser detectados. ¿Qué exige la NIS2 a las empresas técnicas y del sector construcción? Las empresas o entidades incluidas en el ámbito de la NIS2 deben aplicar una serie de obligaciones legales vinculantes en materia de ciberseguridad, que van mucho más allá del cumplimiento básico. Estas obligaciones, diseñadas para garantizar la resiliencia digital, incluyen: H2: 1. Gobernanza y gestión del riesgo Políticas internas de ciberseguridad, documentadas y actualizadas. Análisis de riesgos digitales en todos los procesos críticos de obra o proyecto. Designación de responsables de ciberseguridad. H2: 2. Protección de redes y sistemas Implementación de controles técnicos robustos: cortafuegos, antivirus, control de accesos. Segmentación de redes OT e IT para evitar propagación de ataques. Registro y monitorización continua de actividades sospechosas. H2: 3. Respuesta ante incidentes Creación de planes de respuesta y recuperación ante ciberincidentes. Comunicación clara de roles y procedimientos ante ataques. Capacitación del personal técnico y administrativo para actuar con rapidez. H2: 4. Notificación obligatoria de incidentes Obligación de notificar incidentes graves en un plazo máximo de 24 horas a la autoridad nacional competente (INCIBE). Informe detallado de impacto, origen y medidas adoptadas. Evaluación de lecciones aprendidas. H2: 5. Supervisión, cumplimiento y sanciones Posibilidad de inspecciones, auditorías y controles. Sanciones de hasta 10 millones de euros o el 2 % del volumen de negocio por incumplimientos graves. Responsabilidad directa de la dirección en materia de ciberseguridad. Cómo proteger eficazmente tus proyectos técnicos frente a ciberincidentes La protección real de obras y proyectos técnicos requiere una estrategia estructural, no solo soluciones tecnológicas aisladas. Te mostramos cómo aplicar un enfoque práctico y efectivo: 1. Evalúa tus activos críticos Identifica los sistemas, documentos, plataformas y datos esenciales para el desarrollo de cada proyecto. Prioriza su protección y define medidas específicas para cada uno. 2. Integra la ciberseguridad desde el diseño del proyecto Aplica el principio de “security by design” en las herramientas técnicas utilizadas (BIM, SCADA, sensórica). Asegura que los contratistas y subcontratistas cumplen también estándares de seguridad. 3. Protege el trabajo colaborativo Revisa los permisos y accesos en plataformas compartidas. Establece controles de versiones, trazabilidad de cambios y autenticación reforzada. Prohíbe el uso de dispositivos personales no autorizados. 4. Forma al personal técnico No todos los ataques se producen por fallos tecnológicos: la ingeniería social es una de las principales vías de entrada. Capacita a jefes de obra, técnicos, delineantes y personal de oficina técnica para identificar riesgos. 5. Documenta y prueba tus procedimientos Realiza simulacros de ciberincidente. Revisa tu plan de continuidad operativa cada seis meses. Asegúrate de que todos conocen cómo actuar en caso de compromiso digital. Ejemplos reales: lo que puede pasar (y cómo evitarlo) Constructora con sistema BIM en la nube: sufrió un ciberataque que bloqueó el acceso a todos los planos estructurales durante una semana. Solución: segmentó accesos, mejoró el cifrado y creó copias redundantes offline. Ingeniería civil con sistemas SCADA en obra: un fallo de seguridad permitió la manipulación remota del sistema de riego automatizado. Solución: se aplicaron firewalls específicos OT e interfaces de control físico. Empresa de infraestructuras públicas:

septiembre 1, 2025

NIS2 en el sector agroalimentario: guía para asegurar la trazabilidad

Ciberseguridad

NIS2 en el sector agroalimentario: guía para asegurar la trazabilidad

En el sector agroalimentario, la transformación digital ha supuesto un enorme avance en la eficiencia de los procesos, la gestión del dato y el control de la trazabilidad. Sin embargo, esta digitalización ha traído consigo un aumento significativo de los riesgos de ciberseguridad, especialmente en un entorno donde la continuidad operativa, la seguridad alimentaria y la confianza del consumidor son críticas. ¿Qué ocurre si un ciberincidente bloquea una cadena de frío, altera datos de trazabilidad o paraliza una cooperativa agrícola?¿Está tu organización preparada para responder conforme a la Directiva NIS2? En este artículo te explicamos cómo aplicar eficazmente la NIS2 en el sector agroalimentario, qué implicaciones tiene para la trazabilidad digital y qué medidas puedes implementar para garantizar la seguridad y resiliencia de tus sistemas. Si gestionas una empresa productora, transformadora o distribuidora del sector agroalimentario, este contenido es clave para tu operativa y tu cumplimiento normativo. La Directiva NIS2 afecta directamente a la forma en que las empresas agroalimentarias deben proteger su información crítica y operar ante incidentes digitales. Por eso, contar con una estrategia alineada con la NIS2 es hoy más importante que nunca. ¿Qué es la NIS2 y por qué afecta al sector agroalimentario? La Directiva (UE) 2022/2555, conocida como NIS2, establece un nuevo marco europeo de ciberseguridad obligatorio para sectores esenciales y relevantes, entre los que se incluye expresamente la industria alimentaria. Esta nueva regulación, que refuerza y amplía la anterior Directiva NIS (2016), obliga a las organizaciones agroalimentarias a adoptar medidas técnicas, organizativas y de gestión del riesgo digital, con un enfoque preventivo, reactivo y sancionador. ¿Qué entidades del sector están afectadas? La NIS2 incluye dentro de su ámbito a: Productores primarios con estructuras tecnificadas. Plantas de transformación agroalimentaria. Operadores logísticos de productos alimentarios. Centros de distribución y comercialización. Organismos intermedios y cooperativas tecnificadas. Industrias alimentarias digitalizadas o con dependencia de sistemas TIC. Si tu organización opera con sistemas de trazabilidad digital, SCADA, ERPs, sensores IoT, monitorización en tiempo real o gestiona datos sensibles, es probable que estés dentro del ámbito de aplicación. Riesgos reales de ciberseguridad en el entorno agroalimentario El impacto de un ciberincidente en este sector puede afectar tanto a la operativa como a la salud pública o la imagen de marca. Algunos escenarios críticos incluyen: 1. Interrupción de procesos productivos Ataques ransomware que bloquean líneas de envasado, control automático de cámaras frigoríficas, gestión de turnos o etiquetado. Esto paraliza la producción y distribución. 2. Manipulación de datos de trazabilidad Alteración intencionada o accidental de los registros digitales sobre origen, procesamiento o distribución de alimentos. Puede generar riesgos sanitarios, alertas o retiradas de productos. 3. Acceso no autorizado a información sensible Robo de datos comerciales, de proveedores, clientes o fórmulas alimentarias confidenciales. Supone una pérdida de ventaja competitiva y posibles sanciones por incumplimiento normativo. 4. Vulnerabilidades en sistemas IoT agrícolas Dispositivos mal configurados o sin actualizar que se usan para riego automatizado, sensores de clima, drones, etc. Pueden ser puertas de entrada a ataques más amplios. 5. Daño reputacional y pérdida de confianza Un fallo de seguridad genera desconfianza en los consumidores, en la cadena de valor y en las autoridades sanitarias. Obligaciones clave que impone la NIS2 al sector agroalimentario A partir de octubre de 2024, las organizaciones agroalimentarias incluidas en el ámbito de la NIS2 deberán cumplir, entre otras, con las siguientes obligaciones: H2: 1. Gestión de riesgos en ciberseguridad Evaluación de riesgos TIC con enfoque integral. Políticas de seguridad de redes y sistemas. Control de accesos, cifrado, segmentación de red. H2: 2. Planes de respuesta ante incidentes Protocolos de actuación ante ciberataques. Comunicación interna y continuidad operativa. Designación de responsables de ciberseguridad. H2: 3. Notificación obligatoria de incidentes Plazo máximo de 24 horas para notificar incidentes graves. Obligación de informar a la autoridad nacional competente (INCIBE). Evaluación del impacto y medidas de mitigación. H2: 4. Formación y concienciación Planes de formación periódica para personal con acceso a sistemas críticos. Simulacros y campañas de sensibilización en ciberseguridad. H2: 5. Supervisión y régimen sancionador Posibilidad de auditorías, inspecciones y requerimientos de información. Sanciones por incumplimiento: hasta 10 millones de euros o el 2 % del volumen de negocio anual. Cómo garantizar la trazabilidad digital ante ciberincidentes En el sector agroalimentario, la trazabilidad digital es uno de los activos más críticos, tanto para cumplir con normativas sanitarias como para garantizar la confianza del consumidor. Aplicar la NIS2 supone proteger todos los eslabones digitales del proceso, desde la producción hasta la distribución. Algunas recomendaciones clave: H3: Asegura la integridad de los datos Implementa sistemas de copias de seguridad automáticas y cifradas. Verifica la autenticidad de los datos en cada etapa de la cadena. Usa herramientas de control de versiones para detectar manipulaciones. H3: Segmenta las redes operativas y administrativas Evita que un ataque a la red de oficina afecte los sistemas de producción. Aplica firewalls, VLANs y políticas de mínimo privilegio. H3: Protege el acceso remoto Usa VPNs seguras para accesos externos. Limita el acceso por IP o usuario autorizado. Desactiva accesos no utilizados. H3: Diseña un plan de continuidad operativa Define procedimientos manuales temporales si los sistemas fallan. Capacita al personal para actuar sin dependencia total de los sistemas TIC. Establece proveedores y rutas alternativas. ¿Cómo implementar la NIS2 en el entorno agroalimentario? No basta con disponer de herramientas tecnológicas. La clave está en integrar la gestión de ciberseguridad dentro del modelo organizativo. Te contamos cómo hacerlo paso a paso: 1. Diagnóstico inicial de cumplimiento Evalúa tu situación actual respecto a las exigencias de la directiva NIS2. Identifica brechas, riesgos y prioridades. 2. Diseño del plan de adaptación Define políticas, procedimientos y estructuras necesarias: responsables, protocolos, recursos técnicos. 3. Implantación operativa Implementa herramientas de monitorización, respuesta y control. Establece canales de reporte y de actuación ante incidentes. 4. Formación y cultura organizativa Forma a todas las personas clave. Desde gerencia hasta operarios, todos deben conocer su rol en la protección de sistemas críticos. 5. Revisión, auditoría y mejora continua Supervisa la eficacia de las medidas aplicadas. Documenta todo el proceso para poder

septiembre 1, 2025

Prevención del acoso sexual en el deporte: medidas estructurales clave

Plan de igualdad

Prevención del acoso sexual en el deporte: medidas estructurales clave

El deporte, en todas sus disciplinas y niveles, es un espacio que debería promover valores como el respeto, la igualdad y el trabajo en equipo. Sin embargo, el acoso sexual sigue siendo una realidad silenciada en muchos contextos deportivos, desde escuelas base hasta estructuras profesionales. Este problema no se resuelve con campañas puntuales o declaraciones de intenciones: requiere medidas estructurales, sostenidas y adaptadas al funcionamiento real de las entidades deportivas. ¿Qué puede hacer una organización deportiva para prevenir eficazmente el acoso sexual? ¿Qué estructuras deben implantarse para que la protección sea real, no solo formal? En este artículo conocerás cómo prevenir el acoso sexual en el ámbito deportivo mediante un enfoque estructural, integral y alineado con el Plan de igualdad. Está dirigido a federaciones, clubes, centros deportivos, administraciones públicas, asociaciones y profesionales vinculados a la gestión del deporte en cualquier nivel. Acoso sexual en el deporte: una realidad todavía invisibilizada Aunque cada vez se visibilizan más casos, el acoso sexual en el deporte sigue siendo una problemática normalizada, silenciada o mal gestionada. Algunas características que lo hacen especialmente complejo de abordar son: Relaciones jerárquicas muy marcadas (entrenador-deportista, directiva-personal técnico). Entornos cerrados, con dinámicas internas que dificultan la denuncia. Perfiles jóvenes o menores de edad en situación de especial vulnerabilidad. Falta de protocolos específicos o medidas preventivas reales. Miedo a las represalias o a dañar la carrera deportiva. Por todo ello, la única forma eficaz de prevenir el acoso sexual en el deporte es con una estrategia estructural, transversal y bien implantada, más allá de la reacción ante casos puntuales. Qué exige la normativa actual en prevención del acoso La legislación española establece la obligatoriedad de adoptar medidas contra el acoso sexual y por razón de sexo en todos los entornos laborales y organizativos. En el ámbito deportivo, esto se concreta a través de: Ley Orgánica 3/2007 de igualdad efectiva entre mujeres y hombres. Real Decreto 901/2020, que exige incorporar protocolos de prevención y actuación frente al acoso en cualquier Plan de igualdad. Ley del Deporte 39/2022, que introduce principios de igualdad y protección frente a violencias sexuales como exigencias estructurales en entidades deportivas. Normativas autonómicas y disposiciones sectoriales que regulan la protección de menores y personas vulnerables en entornos deportivos. Esto significa que todas las entidades deportivas están obligadas a adoptar protocolos eficaces y medidas preventivas, independientemente de su tamaño o nivel competitivo. Medidas estructurales clave para prevenir el acoso sexual en el deporte La prevención efectiva no puede depender solo de la buena voluntad o la cultura interna. Requiere estructuras formales, recursos específicos y procedimientos claros. A continuación, desarrollamos las principales medidas estructurales que debe incorporar cualquier organización deportiva comprometida con la prevención: 1. Protocolo específico contra el acoso sexual Toda entidad debe contar con un protocolo formal, registrado y comunicado, que incluya: Definiciones claras de acoso sexual y por razón de sexo. Ámbitos de aplicación (entrenamientos, viajes, redes sociales, espacios compartidos). Procedimiento de denuncia confidencial y accesible. Investigación imparcial, con plazos definidos. Medidas cautelares y correctoras. Protección de la víctima frente a represalias. Este protocolo debe formar parte del Plan de igualdad, si la entidad está obligada a tenerlo, o incorporarse como medida voluntaria si no alcanza el umbral legal. 2. Formación obligatoria y adaptada La formación en igualdad y prevención del acoso debe ser estructural, no puntual, y llegar a todos los niveles: Dirección y juntas directivas Personal técnico y entrenadores Personal administrativo, voluntariado, servicios auxiliares Deportistas, especialmente en categorías inferiores Es recomendable adaptar los contenidos según el perfil y rol de cada colectivo, utilizando ejemplos propios del contexto deportivo: trato físico, vestuarios, redes sociales, viajes, etc. 3. Canales seguros y accesibles para comunicar situaciones Una de las principales barreras para actuar frente al acoso es la falta de canales eficaces de comunicación o denuncia. Para que estos funcionen, deben ser: Confidenciales y seguros Accesibles (presencial, online, anónimo o con identidad protegida) Atendidos por personas formadas y con perspectiva de género Con un procedimiento claro de seguimiento Muchas entidades deportivas optan por designar una persona de confianza o responsable de igualdad, como primer punto de contacto en casos de acoso. 4. Evaluación continua de riesgos y medidas El entorno deportivo cambia constantemente: nuevas incorporaciones, equipos mixtos, cambios en instalaciones o tecnologías. Por ello, la prevención debe ser dinámica: Evaluar riesgos específicos en cada espacio (vestuarios, transportes, estancias, redes sociales). Actualizar las medidas según experiencias, reclamaciones o cambios organizativos. Incluir la perspectiva de género en las auditorías internas y en los informes anuales. 5. Inclusión en estatutos, convenios y reglamentos internos Para que las medidas de prevención tengan verdadero respaldo estructural, deben incorporarse a los documentos normativos y de gestión de la organización: Estatutos y reglamentos de régimen interno Códigos de conducta y compromisos éticos Cláusulas contractuales en convenios con personal técnico, federaciones o colaboradores Procedimientos disciplinarios específicos ante conductas de acoso Este enfoque permite actuar con seguridad jurídica y coherencia organizativa ante cualquier incidente. Ejemplos reales de buenas prácticas Federación deportiva autonómica: implantó un protocolo contra el acoso con formación obligatoria para todo el cuerpo técnico y creó una comisión mixta de seguimiento con representación femenina y juvenil. Club de fútbol base: estableció una política de “tolerancia cero” visible en todas sus instalaciones, con cartelería accesible y fichas de información para familias. Las entrenadoras recibieron formación específica para detectar señales de alerta. Centro deportivo privado: adaptó su Plan de igualdad al entorno deportivo, incorporando un módulo específico de prevención en redes sociales y en eventos deportivos con público. ¿Cómo integrar estas medidas en un Plan de igualdad? El Plan de igualdad debe incluir un bloque específico de prevención del acoso sexual y por razón de sexo, con medidas adaptadas al entorno deportivo. Algunos elementos esenciales son: Diagnóstico de riesgos y espacios vulnerables. Formación inicial y reciclaje anual. Creación o designación de una figura de referencia. Protocolo con procedimiento claro de denuncia e investigación. Evaluación periódica de eficacia y comunicación interna. En entidades con menos de 50 personas, estas medidas pueden integrarse de forma voluntaria dentro de

septiembre 1, 2025

Manolo Perezagua Naharro

Contacta con un experto

Te ayudamos

Coméntanos tu problema para asignarte un consultor especializado y darte una solución jurídica en menos de 48hs.

¿Necesitas ayuda con el cumplimiento normativo de tu organización?