Calendario de compliance europeo 2026-2030: CRA, AI Act, Data Act y todo lo que viene

Por Kike Gandia · Investigación · 16 min de lectura

Entre 2022 y 2026 la Unión Europea ha aprobado más normas digitales que en las dos décadas anteriores juntas. Cada una con su propio reloj: unas se aplican de golpe, otras por tramos durante cinco años, y algunas ya han cambiado de fecha antes de llegar. El resultado es que casi ninguna empresa sabe con certeza qué le obliga hoy y qué le obligará el año que viene.

Este artículo pone todas las fechas en un mismo calendario: el Cyber Resilience Act (CRA), el AI Act con los cambios del Omnibus de IA, el Data Act, NIS2, DORA, eIDAS 2, la nueva directiva de productos defectuosos, el RGPD, las normas de producto y lo que sigue en tramitación en Bruselas y en Madrid. Lo podéis filtrar por lo que sois, ver qué hay que hacer en cada hito y descargarlo a vuestro calendario con avisos.

Fecha de corte: 13 de octubre de 2026. Todas las fechas están revisadas a este día, incluido el Reglamento (UE) 2026/1744 (Omnibus de IA), publicado el 24 de julio y en vigor desde el 27 de julio de 2026. Lo que aún es propuesta está marcado como «en tramitación»: puede cambiar o no llegar.

45

hitos en el calendario (de 2023 a 2030)

24 h

para la alerta temprana del CRA (obligatoria desde el 11 sept 2026)

2 dic 2027

alto riesgo del AI Act (Anexo III) (antes, 2 ago 2026)

9 dic 2026

el software pasa a ser producto (responsabilidad objetiva)

El calendario, entero

Cada calle es una norma; cada punto, un hito. Los rellenos ya se aplican, los huecos están por llegar y los de borde discontinuo son propuestas. Elegid vuestro perfil arriba para quedaros solo con lo que os toca y pulsad cualquier punto para ver qué hay que hacer. Con «Añadir a mi calendario» os lleváis los hitos filtrados en un fichero .ics con un aviso 30 días antes de cada uno.

Calendario interactivo de la normativa digital europea, con 45 hitos. Cyber Resilience Act (Reglamento (UE) 2024/2847): entrada en vigor el 10 de diciembre de 2024; organismos notificados desde el 11 de junio de 2026; notificación de vulnerabilidades explotadas e incidentes graves (24 h, 72 h, 14 días o un mes) desde el 11 de septiembre de 2026; aplicación plena el 11 de diciembre de 2027. AI Act (Reglamento (UE) 2024/1689, modificado por el 2026/1744): entrada en vigor el 1 de agosto de 2024; prácticas prohibidas y alfabetización desde el 2 de febrero de 2025; modelos de propósito general desde el 2 de agosto de 2025; transparencia del artículo 50 y poderes sancionadores de la Oficina de IA desde el 2 de agosto de 2026; nuevas prohibiciones (nudificación y material de abuso infantil) y fin de la gracia del marcado del 50.2 el 2 de diciembre de 2026; modelos anteriores a 2025 y sandboxes nacionales el 2 de agosto de 2027; alto riesgo del Anexo III el 2 de diciembre de 2027; Anexo I el 2 de agosto de 2028; autoridades públicas el 2 de agosto de 2030. Data Act (Reglamento (UE) 2023/2854): aplicación el 12 de septiembre de 2025; acceso a datos desde el diseño para productos nuevos el 12 de septiembre de 2026; fin de las tarifas por cambio de nube el 12 de enero de 2027; cláusulas abusivas en contratos anteriores el 12 de septiembre de 2027. NIS2 y CER: transposición el 17 de octubre de 2024 y Reglamento de Ejecución 2024/2690 para proveedores digitales; listas de entidades el 17 de abril de 2025; identificación de entidades críticas el 17 de julio de 2026; revisión el 17 de octubre de 2027. DORA: aplicación el 17 de enero de 2025; primer registro de información en abril de 2025; 19 proveedores TIC críticos designados el 18 de noviembre de 2025; AMLR el 10 de julio de 2027. Productos defectuosos (Directiva (UE) 2024/2853): se aplica a productos comercializados desde el 9 de diciembre de 2026. eIDAS 2: carteras EUDI de los Estados en diciembre de 2026 y aceptación obligatoria por empresas reguladas en diciembre de 2027. RGPD: Reglamento procedimental 2025/2518 en vigor el 1 de enero de 2026 y aplicable el 2 de abril de 2027. Producto: GPSR el 13 de diciembre de 2024, Ley Europea de Accesibilidad el 28 de junio de 2025, ciberseguridad RED (EN 18031) el 1 de agosto de 2025, Reglamento de Máquinas el 20 de enero de 2027. España: fin de la adecuación al ENS el 5 de mayo de 2024; anteproyecto de ley NIS2 el 14 de enero de 2025, aún sin publicar; proyecto de ley de IA en el Congreso desde junio de 2026. En tramitación en la UE: Omnibus Digital (propuesta del 19 de noviembre de 2025) y Cybersecurity Act 2 (propuesta del 20 de enero de 2026).

Lo que ya os obliga hoy

Antes de mirar al futuro, lo que no admite espera. Si alguno de estos puntos os afecta y no lo tenéis, no es una tarea para el año que viene: ya estáis fuera de plazo.

CRA · art. 14 Notificar vulnerabilidades explotadas en 24 horas

Desde el 11 de septiembre de 2026, cualquier fabricante de producto con elementos digitales vendido en la UE, también de lo vendido antes de esa fecha. Hace falta un proceso que funcione un sábado por la noche.

Data Act · art. 3 Datos accesibles desde el diseño

Los productos conectados que salgan al mercado desde el 12 de septiembre de 2026 deben dar acceso a sus datos por defecto. Desde 2025 ya había que atender las solicitudes.

AI Act · art. 4 y 50 Formación y transparencia en IA

Alfabetización del personal que usa IA desde febrero de 2025, y desde agosto de 2026, avisar de que se habla con una IA y etiquetar los deepfakes.

DORA Resiliencia operativa digital

Desde enero de 2025 para entidades financieras: gestión del riesgo TIC, incidentes graves, programa de pruebas y registro de proveedores TIC.

NIS2 · Reg. 2024/2690 Medidas técnicas para proveedores digitales

Nube, centros de datos, servicios gestionados y de seguridad gestionada: el reglamento de ejecución se aplica directamente desde octubre de 2024, haya ley española o no.

RED · EN 18031 Ciberseguridad en equipos con radio

Desde agosto de 2025, ningún equipo wifi, Bluetooth o IoT conectado puede llevar marcado CE sin cumplir los requisitos de ciberseguridad de la Directiva de equipos radioeléctricos.

Lo que ya se aplica a octubre de 2026. El resto del artículo va por norma.

De aquí a diciembre de 2027, mes a mes

1. 2 dic 2026 — AI Act: nuevas prohibiciones y marcado del contenido
   Prohibidos los sistemas de «nudificación» y de material de abuso infantil. Los generativos ya en el mercado deben marcar lo que producen de forma legible por máquina.
2. 9 dic 2026 — Productos defectuosos: el software es un producto
   Responsabilidad objetiva por software, IA y actualizaciones para lo que se comercialice desde ese día.
3. Dic 2026 — eIDAS 2: cada Estado ofrece su cartera EUDI
   Las administraciones deben aceptarla para identificar a los ciudadanos.
4. 12 ene 2027 — Data Act: fin de las tarifas por cambiar de nube
   Ni el cambio de proveedor ni la extracción de datos se pueden cobrar.
5. 20 ene 2027 — Reglamento de Máquinas
   Las máquinas deben protegerse frente a la corrupción del software y los sistemas de mando que afecten a la seguridad.
6. 2 abr 2027 — RGPD: nuevas reglas procedimentales
   Plazos de 15 meses para las investigaciones transfronterizas, derecho a ser oído y conclusiones preliminares.
7. 10 jul 2027 — Reglamento antiblanqueo (AMLR)
   Diligencia debida única en toda la UE para los sujetos obligados.
8. 2 ago 2027 — AI Act: modelos anteriores a 2025 y sandboxes
   Los modelos de propósito general comercializados antes de agosto de 2025 deben cumplir. Cada Estado debe tener operativo su sandbox de IA.
9. 12 sept 2027 — Data Act: contratos antiguos
   El control de cláusulas abusivas alcanza a contratos de datos firmados antes de septiembre de 2025 de duración indefinida o larga.
10. 2 dic 2027 — AI Act: alto riesgo del Anexo III
    Empleo, educación, crédito, seguros, biometría, infraestructuras críticas y servicios esenciales.
11. 11 dic 2027 — CRA: aplicación plena
    Requisitos esenciales, evaluación de conformidad, documentación técnica y marcado CE para todo producto con elementos digitales.
12. Dic 2027 — eIDAS 2: las empresas deben aceptar la cartera
    Banca, pagos, telecos, sanidad, energía, transporte y grandes plataformas.

Diciembre de 2027 concentra tres plazos grandes: AI Act de alto riesgo, CRA completo y cartera EUDI en el sector privado.

Cyber Resilience Act: de notificar a certificar

El CRA es la norma que más trabajo técnico exige a quien fabrica o importa hardware y software. Tiene dos tramos muy distintos: desde el 11 de septiembre de 2026 ya obliga a notificar vulnerabilidades explotadas e incidentes graves, y desde el 11 de diciembre de 2027 obliga a diseñar, probar y documentar el producto conforme al Anexo I antes de ponerle el marcado CE. La notificación alcanza a todo el catálogo, incluido lo que vendisteis antes de 2026.

Plazos de notificación del artículo 14

Todo se envía por la plataforma única de notificación que gestiona ENISA. Tenéis las fechas del CRA con más detalle en plazos del Cyber Resilience Act, cómo se coordina la divulgación en CRA y vulnerability disclosure y en qué categoría cae vuestro producto en el clasificador interactivo del CRA.

AI Act: qué ha cambiado con el Omnibus de IA

El Reglamento (UE) 2026/1744, conocido como Omnibus Digital sobre IA, se aprobó en el Parlamento el 16 de junio, en el Consejo el 29 de junio y entró en vigor el 27 de julio de 2026, a seis días de que el alto riesgo empezara a aplicarse. No deroga nada: mueve fechas y ajusta obligaciones.

Texto original Reglamento 2024/1689

• Alto riesgo del Anexo III: 2 de agosto de 2026.
• Alto riesgo en productos regulados (Anexo I): 2 de agosto de 2027.
• Alfabetización: garantizar un nivel suficiente de cada persona.
• Sandbox nacional operativo: 2 de agosto de 2026.
• Alivios solo para pymes.

Tras el Omnibus Reglamento 2026/1744

• Alto riesgo del Anexo III: 2 de diciembre de 2027.
• Alto riesgo en productos regulados (Anexo I): 2 de agosto de 2028.
• Alfabetización: adoptar medidas, con apoyo de la Comisión y los Estados.
• Sandbox nacional operativo: 2 de agosto de 2027.
• Alivios también para «small mid-caps» (menos de 750 empleados).

Además, dos prohibiciones nuevas (nudificación y material de abuso infantil) desde el 2 de diciembre de 2026 y más poderes de supervisión para la Oficina de IA.

No se ha aplazado todo. Las prohibiciones del artículo 5, la alfabetización, las obligaciones de los modelos de propósito general y la transparencia del artículo 50 siguen en su fecha. Solo el marcado legible por máquina de los sistemas generativos ya comercializados tiene una gracia hasta el 2 de diciembre de 2026.

El aplazamiento del alto riesgo no reduce lo que hay que demostrar: el artículo 15 exige que esos sistemas sean robustos frente a la manipulación de entradas, el envenenamiento de datos y la evasión del modelo. Eso se prueba atacándolos, que es lo que explicamos en así se ataca una aplicación con IA. Si sois pyme o autónomos, empezad por el AI Act para autónomos y pymes.

Data Act: los datos del producto son del usuario

El Data Act se aplica desde el 12 de septiembre de 2025 y da a los usuarios de productos conectados —un coche, una caldera, una máquina industrial, un wearable— el derecho a acceder a los datos que generan y a compartirlos con terceros. Desde el 12 de septiembre de 2026 los productos nuevos tienen que venir diseñados para ello: acceso por defecto, sencillo, seguro, gratuito y en formato legible por máquina.

También cambia la nube: desde el 12 de enero de 2027 no se puede cobrar por cambiar de proveedor ni por sacar los datos, y desde el 12 de septiembre de 2027 las reglas contra cláusulas abusivas alcanzan a los contratos de datos antiguos de larga duración.

El ángulo de seguridad. Abrir el acceso a los datos del producto es abrir una puerta nueva: una API, un portal o una exportación que antes no existían. El fallo típico no es técnico sino de autorización: un usuario que pide sus datos y recibe los de otro cambiando un identificador. Hay que probarlo antes de que lo pruebe otro.

NIS2 y entidades críticas: España sigue sin ley

NIS2 debía estar transpuesta el 17 de octubre de 2024. España aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025 y, a octubre de 2026, la ley sigue sin publicarse en el BOE. Eso no deja a nadie fuera: el Reglamento de Ejecución (UE) 2024/2690 se aplica directamente a los proveedores digitales (nube, centros de datos, servicios gestionados y de seguridad gestionada), y las medidas del artículo 21 de la directiva son las que acabará exigiendo la ley.

En paralelo, la Directiva CER fijaba el 17 de julio de 2026 para que los Estados identificaran sus entidades críticas, que quedan sujetas también a las medidas de NIS2. Y la propuesta de Cybersecurity Act 2 de enero de 2026 trae una reforma de NIS2 que puede cambiar el reparto de obligaciones antes de la revisión prevista para octubre de 2027.

Esperar a la ley es mala estrategia. Cuando se publique, el plazo de adaptación será corto y las multas previstas llegan a 10 millones de euros o el 2 % de la facturación mundial para entidades esenciales. Lo tenéis paso a paso en cómo adaptar vuestra empresa a NIS2.

DORA: del papel a la supervisión

DORA se aplica desde el 17 de enero de 2025 a bancos, aseguradoras, gestoras, entidades de pago y proveedores de criptoactivos. 2025 fue el año de los registros: el primer envío del registro de contratos con proveedores TIC y, el 18 de noviembre de 2025, la designación de los primeros 19 proveedores TIC críticos, sobre todo grandes nubes y plataformas, que pasan a supervisión directa europea. 2026 es el año en que eso se nota en los contratos: cláusulas de auditoría, planes de salida y pruebas conjuntas. Las entidades que designe su supervisor deben pasar además un TLPT, un red team guiado por inteligencia de amenazas, cada tres años. Si no tenéis claro si os aplica, mirad a quién aplica DORA.

Productos defectuosos: el software ya responde

Es la norma menos comentada y probablemente la de más impacto económico. La Directiva (UE) 2024/2853 sustituye a la de 1985 y se aplica a los productos que se comercialicen desde el 9 de diciembre de 2026. En España obliga a reformar el régimen de responsabilidad del texto refundido de consumidores y usuarios.

Directiva de 1985 productos comercializados hasta el 8 dic 2026

• El software, en zona gris.
• Franquicia de 500 euros en daños materiales.
• El defecto se fija en el momento de la venta.
• Al perjudicado le toca probarlo casi todo.

Directiva 2024/2853 desde el 9 dic 2026

• Software, IA, firmware y actualizaciones son producto.
• Sin franquicia; la pérdida de datos se indemniza (uso no profesional).
• No dar un parche de seguridad puede hacer defectuoso el producto.
• Presunción de defecto si se incumplen normas como el CRA, y obligación de exhibir pruebas.

La responsabilidad es objetiva —sin culpa— y no se puede excluir por contrato.

La conexión con el CRA es directa: incumplir sus requisitos de seguridad sirve como indicio del defecto. Una política de actualizaciones, un registro de parches y pruebas de seguridad documentadas son, a partir de diciembre, vuestra defensa en un juicio.

eIDAS 2: la cartera europea de identidad

El Reglamento (UE) 2024/1183 obliga a cada Estado a ofrecer al menos una Cartera Europea de Identidad Digital a finales de 2026 y, un año después, en diciembre de 2027, obliga a aceptarla a las empresas que exigen autenticación reforzada: bancos, entidades de pago, telecos, sanidad, energía, transporte, grandes plataformas. Para ellas es un flujo de alta y autenticación nuevo, con su propia superficie de ataque, que conviene probar antes de abrirlo.

RGPD: lo aprobado y lo propuesto

Aprobado Reglamento (UE) 2025/2518

• En vigor desde el 1 de enero de 2026; se aplica a reclamaciones desde el 2 de abril de 2027.
• Criterios comunes de admisión de reclamaciones transfronterizas.
• Investigaciones en 15 meses (12 en casos sencillos).
• No cambia los derechos ni las obligaciones de fondo.

Propuesto Omnibus Digital, COM(2025) 837

• Notificar brechas solo de alto riesgo, con plazo de 96 horas.
• Punto único de notificación de incidentes en ENISA (RGPD, NIS2, DORA, eIDAS, CER).
• Cambios en las reglas de cookies y en la definición de dato personal.
• En negociación: hasta su publicación, nada de esto se aplica.

Hoy siguen vigentes las 72 horas del artículo 33 del RGPD.

Seguridad de producto: lo que llega por el marcado CE

13 dic 2024 Seguridad general de los productos (GPSR)

El Reglamento (UE) 2023/988 incluye los riesgos de ciberseguridad que afectan a la seguridad del consumidor.

28 jun 2025 Ley Europea de Accesibilidad

Comercio electrónico, banca, terminales y libros electrónicos accesibles. En España, Ley 11/2023.

1 ago 2025 RED y EN 18031

Ciberseguridad obligatoria para equipos radioeléctricos conectados. Lo explicamos en la norma EN 18031. El CRA la sustituye en diciembre de 2027.

20 ene 2027 Reglamento de Máquinas

Protección frente a la corrupción del software y los sistemas de mando. Con el Omnibus, la IA en máquinas pasa a la sección B del Anexo I del AI Act.

En tramitación: lo que puede mover el calendario

UE · propuesta Omnibus Digital

RGPD, cookies, Data Act y punto único de notificación de incidentes. La Presidencia del Consejo aspira a cerrar un acuerdo antes de que acabe 2026.

UE · propuesta Cybersecurity Act 2

Seguridad de la cadena de suministro TIC: designación de proveedores de alto riesgo, exclusión de contratos públicos y retirada de sus equipos de las redes 5G. Incluye una reforma de NIS2.

España · Congreso Ley de buen uso y gobernanza de la IA

Proyecto aprobado el 26 de mayo de 2026. Da a la AESIA la potestad sancionadora y la ventanilla única de reclamaciones.

España · pendiente Ley de Coordinación y Gobernanza de la Ciberseguridad

La transposición de NIS2, con el plazo europeo vencido desde octubre de 2024. Crearía el Centro Nacional de Ciberseguridad.

Las propuestas pueden cambiar en la negociación. Las incluimos para que no os pillen por sorpresa, no para que planifiquéis sobre ellas.

Qué os toca según lo que sois

Una prueba, varias normas

Casi todas estas normas acaban pidiendo lo mismo con distinto nombre: saber qué tenéis, probar que resiste un ataque y demostrar que reaccionáis a tiempo. Una misma evidencia bien hecha os sirve para varias a la vez.

Por eso conviene planificar las pruebas técnicas una vez y mapearlas a todas las normas que os afectan, en vez de encargar una auditoría distinta para cada sigla. Las diferencias entre las más parecidas las tenéis en CRA frente a NIS2 y DORA frente a NIS2.

Plan de 90 días con este calendario

1. Semana 1 — Filtrad y descargad
   Elegid vuestro perfil en el calendario, quitad lo que no os toca y bajad el .ics al calendario de quien vaya a responder de cada norma.
2. Semanas 2-3 — Inventario
   Productos con elementos digitales, sistemas de IA, servicios TIC críticos y proveedores. Sin inventario no hay clasificación.
3. Semanas 4-6 — Clasificación y análisis de diferencias
   Para cada norma, en qué categoría caéis y qué os falta. Priorizad lo que ya se aplica.
4. Semanas 6-8 — Proceso de vulnerabilidades e incidentes
   Recepción, triaje, responsables, plantillas y simulacro de notificación en 24 horas. Lo exigen a la vez CRA, NIS2 y DORA.
5. Semanas 8-12 — Pruebas técnicas
   Pentest de los productos, APIs de datos y sistemas de IA expuestos, con informe mapeado a cada norma.
6. Día 90 — Hoja de ruta hasta diciembre de 2027
   Con lo anterior, el plan hasta el gran plazo: CRA pleno, alto riesgo del AI Act y cartera EUDI.

Si fabricáis producto, empezad por la ficha de alcance del CRA y la guía del Cyber Resilience Act para fabricantes. Si vuestro frente es la IA, mirad nuestra adecuación al AI Act y el pentesting de inteligencia artificial. Y para cualquier combinación de las anteriores, en nuestro servicio de adecuación al Cyber Resilience Act os ayudamos a ordenar las fechas y a preparar las pruebas que piden todas.

Servicio relacionado

adecuación al Cyber Resilience Act

Temas de este artículo

#Cyber-Resilience-Act #AI-Act #Data-Act #NIS2 #DORA #eIDAS-2 #Responsabilidad-por-productos-defectuosos #RGPD #Digital-Omnibus #Cumplimiento #Calendario

Seguir leyendo

• ¿Esto puedo subírselo a la IA? Clasifica el dato antes de pegarlo
• NIS2 en España, dos años sin ley: en qué punto está la transposición y qué hacer este trimestre
• La notificación del Cyber Resilience Act ya es obligatoria: qué ha cambiado y qué hacer este trimestre
• Cloudflare vs. LaLiga: El choque de titanes que amenaza la Internet en España
• Evolución del Offshore: Vacíos Legales, Filtraciones y el Auge del ‘Paraíso On-shore’ en EE.UU.

Fuentes

• Reglamento (UE) 2024/2847 — Cyber Resilience Act
• Reglamento (UE) 2024/1689 — Reglamento de Inteligencia Artificial
• Reglamento (UE) 2026/1744 — Omnibus Digital sobre IA
• Reglamento (UE) 2023/2854 — Data Act
• Directiva (UE) 2022/2555 — NIS2
• Reglamento (UE) 2022/2554 — DORA
• Directiva (UE) 2024/2853 — Responsabilidad por productos defectuosos
• Reglamento (UE) 2024/1183 — eIDAS 2
• Reglamento (UE) 2025/2518 — Normas procedimentales del RGPD
• COM(2025) 837 — Propuesta de Reglamento Omnibus Digital

Revisar con nosotros qué fechas os tocan