- Se aplica a
- Toda organización que trate datos personales en la UE/EEE y las organizaciones de fuera que ofrezcan bienes o servicios a personas de la UE o las monitoricen.
- Estado (noviembre de 2026)
- Se aplica sin cambios. La propuesta «Digital Omnibus» de la Comisión Europea, del 19 nov. 2025, solo exigiría notificar las brechas con probabilidad de causar un alto riesgo, en 96 horas, a través de un punto único de notificación. Sigue en tramitación legislativa y no es ley.
- Deber de notificación
- Art. 33: notificar a la autoridad de control competente sin dilación indebida y, de ser posible, en un plazo de 72 horas tras tener conocimiento de una violación de la seguridad de los datos personales, salvo que sea improbable que suponga un riesgo para las personas.
- Art. 34: comunicar a las personas afectadas, sin dilación indebida, la brecha de datos cuando sea probable que entrañe un alto riesgo para ellas.
- Art. 33(5): documentar toda brecha, incluidas las que no hay que notificar.
- Credenciales filtradas y exposición en la dark web
- Una filtración de inicios de sesión, direcciones de correo electrónico o contraseñas constituye una violación de la seguridad de los datos personales. Las 72 horas corren desde que usted tiene conocimiento de ella, de modo que el día en que se detecta y confirma una filtración puede poner en marcha el plazo.
- Sanción máxima
- Hasta 10 millones de EUR o el 2 % del volumen de negocios anual mundial por infracciones de los arts. 33 y 34 (art. 83(4)); hasta 20 millones de EUR o el 4 %, si esta cantidad es mayor, por las infracciones más graves (art. 83(5)).
Leyes y normativa
Leyes de ciberseguridad y brechas de datos por país
Cuando se filtran datos de una empresa, la ley pone en marcha un reloj: a menudo 72 horas, a veces 24 horas o menos, contadas desde que usted tiene conocimiento. Aquí están los plazos, las autoridades a las que notificar y las sanciones máximas, ley por ley, con la fuente oficial de cada una.
- Plazo, autoridad reguladora, multa máxima y estado de cada ley
- Cada cifra, contrastada con el texto oficial
- UE, Suiza, Reino Unido, EE. UU., América, Asia-Pacífico, Oriente Medio y África
Revisado en noviembre de 2026 · no constituye asesoramiento jurídico
- 1 hChina, incidentes que afectan a infraestructuras críticas de información
- 4 hDORA, tras clasificar un incidente como grave (como máximo 24 h)
- 6 hIndia, informes de incidentes cibernéticos de CERT-In
- 24 hAlerta temprana NIS2, infraestructuras críticas suizas, CRA
- 72 hRGPD, RGPD del Reino Unido, NY DFS Part 500, PDPL de Arabia Saudí
- 3 díasSingapur (días naturales), Brasil (días hábiles)
- 30 díasVarios estados de EE. UU., California, Safeguards Rule de la GLBA
- 60 díasHIPAA, aviso a las personas como máximo
Los plazos suelen empezar cuando usted tiene conocimiento del incidente, no cuando ocurrió.
Plazos de notificación de un vistazo
El primer plazo, a quién notificar, la multa máxima y el estado de cada ley. Abra una ley para ver el detalle y la fuente oficial.
Mostrando 29 de 29 leyes
| Ley | Región | Plazo de notificación | A quién | Sanción máx. | En vigor desde |
|---|---|---|---|---|---|
| GDPR | Unión Europea | 72 h | Autoridad de protección de datos; personas afectadas si hay alto riesgo | 20 M EUR o el 4 % del volumen de negocio mundial | 25 mayo 2018 |
| NIS2En fase de implantación | Unión Europea | Aviso previo en 24 h, notificación en 72 h, informe final en 1 mes | CSIRT nacional o autoridad competente | Al menos 10 M EUR o el 2 % (esenciales), 7 M EUR o el 1,4 % (importantes) | 18 oct. 2024 (mediante legislación nacional) |
| DORA | Unión Europea | 4 h tras la clasificación (máx. 24 h), 72 h, 1 mes | Supervisor financiero (autoridad competente) | Fijado por cada Estado miembro | 17 ene 2025 |
| Cyber Resilience ActEn implantación progresiva | Unión Europea | Alerta a las 24 h, notificación a las 72 h, informe final a los 14 días / 1 mes | Coordinador del CSIRT y ENISA (plataforma única de notificación) | 15 M EUR o el 2,5 % del volumen de negocio mundial | Notificación desde el 11 sep. 2026 |
| Directiva CERAplicación gradual | Unión Europea | 24 h, informe detallado en 1 mes | Autoridad nacional competente | Fijado por cada Estado miembro | 18 oct. 2024 (mediante legislación nacional) |
| LPD suiza (nDSG) | Suiza | Lo antes posible | PFPDT; personas afectadas si es necesario | 250.000 CHF (multa a las personas físicas responsables) | 1 sep. 2023 |
| Notificación de ciberataques según la ISA suiza | Suiza | 24 h | Oficina Federal de Ciberseguridad (BACS / NCSC) | 100.000 CHF (tras una resolución ignorada) | 1 abr. 2025 |
| RGPD del Reino Unido y DPA 2018 | Reino Unido | 72 h | Information Commission (ICO); personas afectadas si hay alto riesgo | 17,5 M GBP o el 4 % del volumen de negocios mundial | 25 mayo 2018 |
| UK NIS Regulations | Reino Unido | 72 h | Autoridad competente del sector (servicios digitales: ICO) | 17 M GBP | 10 mayo 2018 |
| Cyber Security and Resilience BillAún no es ley | Reino Unido | Propuesto: 24 h inicial, informe completo a las 72 h | Autoridad reguladora y NCSC (propuesto) | Propuesta: 17 M GBP o el 4 % del volumen de negocio mundial | Proyecto de ley, aún no es ley |
| Normas de divulgación cibernética de la SEC | Estados Unidos | 4 días hábiles tras determinar la materialidad | El público, mediante el formulario 8-K | Sin plazo fijado en la norma (aplicación de la legislación del mercado de valores) | 18 dic 2023 |
| Regulation S-P de la SEC | Estados Unidos | 30 días (proveedores de servicios: 72 h) | Clientes afectados | Sin cifra en la norma | 3 dic. 2025 (empresas más pequeñas 3 jun. 2026) |
| CIRCIAAún no es ley | Estados Unidos | 72 h; pagos de rescate 24 h (una vez en vigor) | CISA | Sin multas (citación, acción judicial, inhabilitación) | Norma definitiva pendiente |
| HIPAA Breach Notification Rule | Estados Unidos | 60 días | Personas afectadas, HHS, medios (500+ en un estado) | 2.190.294 USD al año (límite por nivel) | 23 sep. 2009 |
| FTC Safeguards Rule (GLBA) | Estados Unidos | 30 días (más de 500 consumidores) | Federal Trade Commission | Sin cifra en la norma | 13 may. 2024 |
| NY DFS Part 500 | Estados Unidos | 72 h; pago de extorsión 24 h | Superintendente del NY DFS | Hasta 75.000 USD al día (Banking Law § 44) | 2017 (modificada el 1 nov. 2023) |
| California: CCPA/CPRA y ley sobre brechas de datos | Estados Unidos | 30 días | Residentes afectados; Attorney General si son más de 500 | 107–799 USD por consumidor e incidente (demandas) | Regla de 30 días desde el 1 ene. 2026 |
| Leyes estatales de EE. UU. sobre brechas de datos | Estados Unidos | Varía: a menudo 30 días o «sin demora injustificada» | Residentes afectados; a menudo, el fiscal general del estado | Varía (Florida: hasta 500.000 USD por brecha de datos) | Varía según el estado |
| PIPEDA de Canadá | Canadá y Latinoamérica | Lo antes posible | Privacy Commissioner (OPC) y las personas afectadas | 100.000 CAD | 1 nov. 2018 (normas sobre brechas) |
| LGPD de Brasil | Canadá y Latinoamérica | 3 días hábiles | ANPD y personas afectadas | 2 % de los ingresos en Brasil, máx. 50 M BRL por infracción | Regla de 3 días desde abr. 2024 |
| LFPDPPP de México | Canadá y Latinoamérica | Inmediatamente | Personas afectadas | Hasta 320.000 UMA (el doble para datos sensibles) | 21 mar 2025 |
| Ley de Privacidad de Australia (NDB) | Asia-Pacífico | Evaluar en 30 días y después notificar | OAIC y personas afectadas | 50 M AUD, 3 veces el beneficio o el 30 % de la facturación | 22 feb. 2018 |
| Cyber Security Act de Australia | Asia-Pacífico | 72 h tras el pago de un rescate | Australian Signals Directorate (ASD) | 60 unidades de sanción | 30 may. 2025 |
| PDPA de Singapur | Asia-Pacífico | 3 días naturales tras la evaluación | PDPC; personas afectadas | 1 M SGD o el 10 % del volumen de negocio en Singapur | 1 feb. 2021 |
| Ley DPDP de India y CERT-InEn implantación gradual | Asia-Pacífico | CERT-In: 6 h; DPDP: sin demora | CERT-In; Data Protection Board y personas afectadas | 250 crore INR | CERT-In 2022; DPDP con aplicación gradual hasta 2027 |
| CSL, PIPL e informes de incidentes de China | Asia-Pacífico | 1 h (infraestructuras críticas), 4 h (otras) | Administración del ciberespacio, regulador sectorial, policía | 50 M RMB o el 5 % del volumen de negocio (PIPL) | 1 nov. 2025 (medidas de notificación) |
| APPI de Japón | Asia-Pacífico | 3–5 días el primer informe; final 30 / 60 días | Personal Information Protection Commission (PPC) y personas afectadas | 100 M JPY (empresas, penal) | 1 abr. 2022 (notificaciones obligatorias) |
| PDPL de Arabia Saudí | Oriente Medio y África | 72 h | SDAIA; personas afectadas | 5 M SAR (el doble en caso de infracciones reiteradas) | 14 sep. 2023 (de obligado cumplimiento desde el 14 sep. 2024) |
| POPIA de Sudáfrica | Oriente Medio y África | Lo antes razonablemente posible | Information Regulator y personas afectadas | 10 M ZAR | En vigor; portal electrónico desde el 1 abr. 2025 |
Desplácese dentro de la tabla para ver todas las leyes. Las multas son el máximo que permite la ley; los plazos son el primero desde que usted tiene conocimiento. h = horas, M = millones.
Cada ley en detalle
A quién se aplica, qué exige tras una brecha de datos, qué implica para los accesos filtrados, la multa máxima y el texto oficial.
Unión Europea
- Se aplica a
- Entidades «esenciales» e «importantes» medianas y grandes de los sectores de los anexos I y II (energía, transporte, banca, salud, infraestructura digital, gestión de servicios TIC, administración pública, industria manufacturera, proveedores digitales y más), a través de la ley propia de cada país.
- Estado (noviembre de 2026)
- Los Estados miembros debían transponerla antes del 17 oct. 2024. El 8 jul. 2026 la Comisión remitió a Irlanda, España, Francia y los Países Bajos al Tribunal de Justicia de la UE por transposición tardía.
- Deber de notificación
- Art. 23(4)(a): alerta temprana en las 24 horas siguientes a tener conocimiento de un incidente significativo.
- Art. 23(4)(b): notificación del incidente en un plazo de 72 horas, con una primera evaluación.
- Art. 23(4)(c)-(d): informe intermedio a petición; informe final a más tardar un mes después de la notificación de 72 horas.
- Leyes nacionales (selección)
- Alemania Ley de transposición de la NIS2 (NIS2UmsuCG) en vigor desde el 6 dic 2025; § 32 BSIG: aviso temprano 24 h, notificación 72 h, informe final 1 mes, al punto de notificación conjunto BSI/BBK.
- Francia Proyecto de ley sobre la resiliencia de las infraestructuras críticas y la ciberseguridad, aprobado por el Senado en marzo de 2025; la Asamblea Nacional aún no lo ha adoptado.
- España Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad presentado al Consejo de Ministros el 14 ene. 2025; no está en vigor.
- Italia Decreto Legislativo 138/2024 en vigor desde el 16 oct. 2024 (autoridad: ACN); preaviso a las 24 h y notificación a las 72 h al CSIRT Italia, exigibles a partir de 9 meses desde que se comunica a una entidad que está incluida en el ámbito.
- Países Bajos Cyberbeveiligingswet en vigor desde el 15 ago. 2026; notificar lo antes posible y, en todo caso, en 24 horas al CSIRT y a la autoridad supervisora.
- Austria NISG 2026 (Boletín Oficial Federal I n.º 94/2025) en vigor desde el 1 oct. 2026.
- Credenciales filtradas y exposición en la dark web
- Las credenciales filtradas por sí solas no constituyen un incidente NIS2. Pasan a serlo cuando conducen a un incidente significativo, o lo ponen de manifiesto, como un acceso no autorizado que afecte a sus servicios. Si la filtración contiene datos personales, también entra en juego el RGPD.
- Sanción máxima
- Los Estados miembros deben fijar multas máximas de al menos 10 millones de EUR o el 2 % del volumen de negocio mundial para las entidades esenciales y 7 millones de EUR o el 1,4 % para las entidades importantes, aplicándose la cifra más alta (art. 34, apartados 4 y 5). Los límites nacionales pueden ser superiores.
- Fuentes oficiales
- Directiva (UE) 2022/2555 en EUR-Lex (se abre en una pestaña nueva)
- Comisión Europea: remisión al Tribunal de Justicia (8 jul 2026) (se abre en una pestaña nueva)
- Alemania: § 32 BSIG (se abre en una pestaña nueva)
- Francia: expediente del proyecto de ley en la Asamblea Nacional (se abre en una pestaña nueva)
- España: Consejo de Ministros, 14 ene. 2025 (se abre en una pestaña nueva)
- Italia: preguntas frecuentes de la ACN sobre NIS (se abre en una pestaña nueva)
- Países Bajos: NCSC sobre la Cyberbeveiligingswet (se abre en una pestaña nueva)
- Austria: NISG 2026 en el Boletín Oficial Federal (se abre en una pestaña nueva)
- Se aplica a
- Entidades financieras de la UE: bancos, entidades de pago y de dinero electrónico, empresas de inversión, proveedores de servicios de criptoactivos, aseguradoras, gestores de fondos y otras, además de la supervisión de los proveedores terceros críticos de TIC.
- Estado (noviembre de 2026)
- Se aplica desde el 17 ene 2025. Los plazos de notificación se fijan en el Reglamento Delegado (UE) 2025/301 de la Comisión.
- Deber de notificación
- Art. 19: notificar a la autoridad competente los incidentes graves relacionados con las TIC.
- Reglamento Delegado 2025/301, art. 5: notificación inicial en las 4 horas siguientes a clasificar el incidente como grave y, como máximo, 24 horas después de tener conocimiento de él.
- Informe intermedio en un plazo de 72 horas desde la notificación inicial; informe final en el plazo de un mes desde el último informe intermedio.
- Credenciales filtradas y exposición en la dark web
- Las credenciales filtradas del personal o de los clientes de una entidad financiera deben evaluarse con los criterios de clasificación de DORA. Si el incidente es grave, se aplican los límites de 4 y 24 horas, y el RGPD se aplica en paralelo a los datos personales.
- Sanción máxima
- El reglamento deja las sanciones a los Estados miembros (art. 50). Para los proveedores terceros críticos de TIC, el supervisor principal puede imponer multas coercitivas periódicas de hasta el 1 % del volumen de negocio mundial medio diario (art. 35(8)).
- Se aplica a
- Fabricantes de productos de hardware y software con elementos digitales vendidos en el mercado de la UE.
- Estado (noviembre de 2026)
- En vigor desde el 10 de diciembre de 2024. Las obligaciones de notificación se aplican desde el 11 de septiembre de 2026; las normas para los organismos de evaluación de la conformidad, desde el 11 de junio de 2026; el resto de las obligaciones, a partir del 11 de diciembre de 2027.
- Deber de notificación
- Art. 14: notificar las vulnerabilidades explotadas activamente y los incidentes graves que afecten a la seguridad de un producto, al mismo tiempo al CSIRT designado como coordinador y a ENISA.
- Alerta temprana en 24 horas y notificación en 72 horas desde que se tiene conocimiento.
- Informe final en los 14 días siguientes a la disponibilidad de una corrección (vulnerabilidades) o en el plazo de un mes desde la notificación (incidentes graves).
- Credenciales filtradas y exposición en la dark web
- Relevante para los fabricantes de productos. Las claves de firma o las credenciales de actualización filtradas, o un exploit de su producto comercializado en foros criminales, pueden ser una vulnerabilidad explotada activamente o un incidente grave, y el conocimiento de ello inicia las 24 horas.
- Sanción máxima
- Hasta 15 millones de EUR o el 2,5 % del volumen de negocio anual mundial por los requisitos esenciales y las obligaciones de los arts. 13 y 14, según la cifra que sea mayor (art. 64(2)); hasta 10 millones de EUR o el 2 % por otras obligaciones enumeradas (art. 64(3)).
- Se aplica a
- Entidades que los Estados miembros identifican como críticas para servicios esenciales (energía, transporte, salud, agua potable, alimentación, administración pública, espacio y más).
- Estado (noviembre de 2026)
- La transposición debía completarse antes del 17 oct. 2024. Los Estados miembros debían identificar a sus entidades críticas antes del 17 jul. 2026; las obligaciones de una entidad crítica se aplican 10 meses después de que se le notifique.
- Deber de notificación
- Art. 15(1): notificar a la autoridad competente los incidentes que perturben, o puedan perturbar, de forma significativa un servicio esencial.
- Notificación inicial en 24 horas desde que se tenga conocimiento (salvo imposibilidad operativa); informe detallado como máximo un mes después.
- Credenciales filtradas y exposición en la dark web
- La CER abarca la resiliencia física y frente a todo tipo de riesgos; los incidentes cibernéticos de las mismas entidades quedan sobre todo bajo la NIS2. Una filtración solo importa aquí si interrumpe, o podría interrumpir, un servicio esencial.
- Sanción máxima
- La directiva no fija ninguna cifra: los Estados miembros establecen las sanciones (art. 22).
- Fuentes oficiales
Suiza
- Se aplica a
- Empresas privadas y organismos federales que tratan datos personales, incluidas las empresas extranjeras cuyo tratamiento tiene efectos en Suiza.
- Estado (noviembre de 2026)
- En vigor desde el 1 de septiembre de 2023. Las notificaciones de brechas de datos se envían al Encargado Federal de Protección de Datos y de Información (PFPDT) mediante su formulario en línea «DataBreach».
- Deber de notificación
- Art. 24(1): notifique al PFPDT lo antes posible una brecha de seguridad de los datos que pueda suponer un riesgo elevado para las personas afectadas. No hay un número fijo de horas.
- Art. 24(4): informar a las personas afectadas si su protección lo requiere o si lo solicita el PFPDT.
- Credenciales filtradas y exposición en la dark web
- Los accesos expuestos a personas no autorizadas constituyen una brecha de seguridad de los datos. Si es probable que supongan un riesgo elevado para las personas, debe informarse al PFPDT y puede que haya que avisar a los usuarios.
- Sanción máxima
- Multas penales de hasta 250.000 CHF a las personas físicas responsables del ámbito privado por incumplimientos dolosos de las obligaciones enumeradas, p. ej., los requisitos mínimos de seguridad de los datos (art. 61(c)); en su lugar puede multarse a la empresa, hasta 50.000 CHF (art. 64). No notificar no se sanciona como tal.
- Se aplica a
- Infraestructuras críticas enumeradas en el art. 74b ISA: autoridades, energía, bancos y aseguradoras, hospitales, telecomunicaciones, transporte, agua potable, proveedores de nube y de centros de datos, servicios de seguridad digital y de confianza, y fabricantes de hardware y software cuyos productos usan las infraestructuras críticas con acceso remoto, entre otros.
- Estado (noviembre de 2026)
- La obligación de notificar se aplica desde el 1 abr. 2025; las multas, desde el 1 oct. 2025. El NCSC es ahora la Oficina Federal de Ciberseguridad (BACS).
- Deber de notificación
- Art. 74e ISA: notificar un ciberataque en las 24 horas siguientes a su descubrimiento; los detalles que falten pueden enviarse después.
- Art. 74d ISA: son notificables los ataques que ponen en peligro el funcionamiento de la infraestructura, dieron lugar a la manipulación o salida de información, pasaron mucho tiempo sin ser detectados o implican chantaje, amenazas o coacción.
- Ordenanza de Ciberseguridad, art. 16: completar la notificación en 14 días.
- Credenciales filtradas y exposición en la dark web
- Un ataque que haya provocado una fuga de información debe notificarse en 24 horas en el caso de las organizaciones incluidas. Los datos robados o las credenciales de acceso hallados en la dark web pueden marcar el momento en que se descubre el ataque.
- Sanción máxima
- Hasta 100.000 CHF por ignorar deliberadamente una resolución de la BACS que exija notificar (art. 74h); la BACS fija primero un plazo y después dicta la resolución (art. 74g). Una notificación tardía no se sanciona como tal.
Reino Unido
- Se aplica a
- Organizaciones que tratan datos personales en el Reino Unido, u ofrecen bienes o servicios a personas en el Reino Unido, o las monitorizan.
- Estado (noviembre de 2026)
- Modificada por la Data (Use and Access) Act 2025. Desde el 30 de septiembre de 2026 el regulador es la Information Commission, que sigue denominándose «ICO»; sus competencias no cambian.
- Deber de notificación
- Art. 33: notificar a la Information Commission sin dilación indebida y, de ser posible, en un plazo de 72 horas desde que se tenga conocimiento de una brecha de datos, salvo que sea improbable que suponga un riesgo.
- Art. 34: informar a las personas afectadas sin dilación indebida si es probable que la brecha entrañe un alto riesgo.
- Proveedores de telecomunicaciones y de servicios de internet (PECR, reg. 5A): en un plazo de 72 horas, cuando sea factible, desde el 20 ago. 2025.
- Credenciales filtradas y exposición en la dark web
- Las credenciales filtradas son datos personales. Su exposición constituye una brecha, salvo que sea improbable que cause un riesgo; como las personas reutilizan contraseñas, una filtración de credenciales suele implicar un riesgo alto y la notificación individual.
- Sanción máxima
- Hasta 8,7 millones de GBP o el 2 % por infracciones de los arts. 33 y 34 (art. 83(4)); hasta 17,5 millones de GBP o el 4 % del volumen de negocio mundial, la cifra que sea mayor, por las infracciones más graves (art. 83(5), DPA 2018 s. 157).
- Se aplica a
- Operadores de servicios esenciales de energía, transporte, salud, agua potable e infraestructura digital, y proveedores de servicios digitales relevantes (mercados en línea, motores de búsqueda, computación en la nube).
- Estado (noviembre de 2026)
- En vigor. Se ampliará mediante la Cyber Security and Resilience Bill cuando se convierta en ley.
- Deber de notificación
- Reg. 11: los operadores de servicios esenciales notifican a la autoridad competente sin dilación indebida y como máximo 72 horas después de tener conocimiento de un incidente NIS.
- Art. 12: los proveedores de servicios digitales notifican a la Information Commission los incidentes con un impacto sustancial, dentro de las mismas 72 horas.
- Credenciales filtradas y exposición en la dark web
- Una filtración de credenciales por sí sola solo activa una notificación NIS si provoca un incidente con un impacto significativo en el servicio. En caso contrario, la ley aplicable es el RGPD del Reino Unido.
- Sanción máxima
- Hasta 1 millón de GBP, 8,5 millones de GBP o 17 millones de GBP, según la gravedad de la infracción (reg. 18(6)).
- Se aplica a
- Ampliaría las normas NIS a los proveedores gestionados de servicios de TI y a los centros de datos, y permitiría designar proveedores críticos.
- Estado (noviembre de 2026)
- Presentado el 12 de noviembre de 2025. La Cámara de los Lores concluyó su tramitación el 2 de noviembre de 2026; la Cámara de los Comunes examina ahora las enmiendas de los Lores. Aún no hay sanción real; las obligaciones comenzarían mediante legislación secundaria.
- Deber de notificación
- Propuesto: notificación inicial en las 24 horas siguientes a tener conocimiento de un incidente significativo, a la autoridad reguladora y al NCSC al mismo tiempo; informe completo en 72 horas.
- Propuesto: los proveedores de servicios digitales, los proveedores de servicios gestionados y los centros de datos también notifican a los clientes que puedan verse afectados.
- Credenciales filtradas y exposición en la dark web
- El compromiso de datos es uno de los factores propuestos que hacen significativo un incidente, de modo que una filtración con impacto en el Reino Unido podría ser notificable en 24 horas. Los umbrales se fijarán por reglamento.
- Sanción máxima
- Propuesto: hasta 17 millones de GBP o el 4 % del volumen de negocios mundial en infracciones graves, como las relativas a la notificación de incidentes y a los deberes de seguridad; 10 millones de GBP o el 2 % en las menos graves. Las cifras pueden cambiar antes de que el proyecto se convierta en ley.
Estados Unidos
- Se aplica a
- Empresas cotizadas en EE. UU. y registradas en la SEC (los emisores privados extranjeros, mediante los formularios 6-K y 20-F).
- Estado (noviembre de 2026)
- Se aplica desde el 18 de diciembre de 2023 y, para las empresas declarantes más pequeñas, desde el 15 de junio de 2024. Los informes anuales describen la gestión y la gobernanza del riesgo cibernético (punto 106).
- Deber de notificación
- Formulario 8-K, punto 1.05: comunicar un incidente de ciberseguridad en un plazo de cuatro días hábiles desde que se determine que es relevante, indicando su naturaleza, alcance, momento y efecto material.
- El Attorney General de EE. UU. puede autorizar un aplazamiento cuando la divulgación suponga un riesgo sustancial para la seguridad nacional o la seguridad pública.
- Credenciales filtradas y exposición en la dark web
- Una filtración de credenciales solo requiere una comunicación si da lugar a un incidente que la empresa considere material. La propia evaluación de materialidad debe hacerse sin demora injustificada.
- Sanción máxima
- Las normas no fijan una sanción específica; se hacen cumplir con los recursos generales de la legislación de valores de EE. UU.
- Se aplica a
- Corredores de bolsa, portales de financiación, sociedades de inversión, asesores de inversión registrados y agentes de transferencias.
- Estado (noviembre de 2026)
- Las empresas de mayor tamaño cumplen desde el 3 dic. 2025 y las más pequeñas desde el 3 jun. 2026.
- Deber de notificación
- § 248.30(a)(4): notificar a las personas afectadas lo antes posible y, como máximo, 30 días después de tener conocimiento de que información sensible de clientes fue o es razonablemente probable que haya sido consultada o utilizada sin autorización.
- Los proveedores de servicios deben informar a la empresa en un plazo de 72 horas desde que tengan conocimiento de una brecha.
- Credenciales filtradas y exposición en la dark web
- La información sensible de los clientes incluye expresamente un nombre de usuario combinado con información de autenticación, como un código de acceso, por lo que quedan cubiertos los inicios de sesión de clientes filtrados.
- Sanción máxima
- La norma no fija una sanción específica; se aplica conforme a la legislación del mercado de valores.
- Se aplica a
- Entidades cubiertas de los sectores de infraestructuras críticas de EE. UU., tal como las defina la norma final.
- Estado (noviembre de 2026)
- La CISA publicó su propuesta de norma el 4 abr. 2024 y sigue trabajando en la norma final. No hay que notificar nada en virtud de la CIRCIA hasta que la norma final entre en vigor.
- Deber de notificación
- Notifique un incidente cibernético cubierto a la CISA en un plazo de 72 horas desde que haya motivos razonables para creer que se ha producido.
- Notifique el pago de un rescate en las 24 horas siguientes a realizarlo.
- Credenciales filtradas y exposición en la dark web
- Que una filtración se considere un incidente cibernético cubierto dependerá de las definiciones de la norma definitiva.
- Sanción máxima
- La ley no prevé multas. La CISA puede solicitar información, emitir un requerimiento y remitir el incumplimiento al Fiscal General para una acción civil; las declaraciones falsas constituyen un delito federal.
- Se aplica a
- Planes de salud, centros de compensación de asistencia sanitaria, proveedores sanitarios que facturan por vía electrónica y sus asociados comerciales.
- Estado (noviembre de 2026)
- En vigor. En enero de 2025, el HHS propuso una actualización de la HIPAA Security Rule, que es una norma aparte; aún no es definitiva.
- Deber de notificación
- § 164.404: notificar a las personas afectadas sin demora injustificada y, como máximo, 60 días naturales después del descubrimiento.
- § 164.406 y 164.408: si son 500 personas o más, notificar también al HHS al mismo tiempo, y a medios de comunicación destacados si hay más de 500 residentes de un estado. Las brechas menores se notifican al HHS en los 60 días siguientes al final del año.
- § 164.410: los socios comerciales informan a la entidad cubierta en un plazo de 60 días.
- Credenciales filtradas y exposición en la dark web
- La norma cubre la información sanitaria protegida sin proteger. Las credenciales filtradas del personal cuentan cuando dan lugar a que se obtengan, consulten, utilicen o divulguen datos de salud.
- Sanción máxima
- Sanciones civiles de 145 a 2.190.294 USD por infracción según la culpabilidad, con un tope de 2.190.294 USD por año natural para infracciones idénticas (ajuste por inflación de 2025, 45 CFR 102.3).
- Se aplica a
- Instituciones financieras no bancarias bajo la jurisdicción de la FTC, como corredores hipotecarios, concesionarios de automóviles, prestamistas de día de pago y gestores de declaraciones de impuestos.
- Estado (noviembre de 2026)
- La obligación de notificación se aplica desde el 13 may. 2024.
- Deber de notificación
- § 314.4(j): notificar a la FTC lo antes posible y como máximo 30 días después de descubrir un evento de notificación que afecte al menos a 500 consumidores, mediante el formulario en línea de la FTC.
- Un evento de notificación es la adquisición de información de clientes sin cifrar sin la autorización del cliente.
- Credenciales filtradas y exposición en la dark web
- Los datos se consideran no cifrados si también se sustrajo la clave de cifrado, y no hay prueba de riesgo de daño: una filtración confirmada de registros de clientes que afecte a 500 o más consumidores es notificable.
- Sanción máxima
- La propia norma no fija ningún importe de sanción; la aplica la FTC.
- Se aplica a
- Bancos, aseguradoras, empresas de transferencia de dinero y otras entidades con licencia o autorización del Departamento de Servicios Financieros de Nueva York.
- Estado (noviembre de 2026)
- La segunda modificación del 1 de noviembre de 2023 se aplicó por fases; sus últimos requisitos (autenticación multifactor para todos los accesos, inventario de activos) se aplican desde el 1 de noviembre de 2025.
- Deber de notificación
- § 500.17(a): notificar al superintendente por vía electrónica a más tardar 72 horas después de determinar que ha ocurrido un incidente de ciberseguridad, incluso en una filial o en un proveedor de servicios externo.
- § 500.17(c): aviso de un pago de extorsión en 24 horas y explicación por escrito en 30 días.
- Certificación anual de cumplimiento antes del 15 de abril.
- Credenciales filtradas y exposición en la dark web
- No impedir el acceso no autorizado a información no pública por incumplimiento es en sí mismo una infracción (§ 500.20(b)), y las credenciales filtradas son una vía directa a ese acceso.
- Sanción máxima
- Según el art. 44 de la Banking Law: hasta 2.500 USD diarios, 15.000 USD diarios por una pauta de conducta indebida y 75.000 USD diarios por infracciones deliberadas y con conocimiento; límites superiores para las organizaciones bancarias.
- Se aplica a
- Empresas que posean o tengan en licencia información personal de residentes de California; la CCPA se aplica a las empresas con ánimo de lucro que superen sus umbrales.
- Estado (noviembre de 2026)
- La SB 446 añadió un plazo fijo a la ley de brechas de datos desde el 1 ene 2026. Los reglamentos de la CPPA sobre auditorías de ciberseguridad se aplican desde el 1 ene 2026, y las primeras certificaciones de auditoría vencen a partir del 1 abr 2028.
- Deber de notificación
- Civ. Code 1798.82: notificar a los residentes afectados en un plazo de 30 días naturales desde que se descubra la brecha o se tenga noticia de ella (se admiten retrasos por requerimiento de las fuerzas del orden).
- Con más de 500 residentes: enviar un modelo de notificación a la fiscalía general (Attorney General) en un plazo de 15 días naturales desde que se les notifique.
- Credenciales filtradas y exposición en la dark web
- Los consumidores pueden demandar con arreglo a 1798.150 cuando se haya sustraído o divulgado una dirección de correo electrónico junto con una contraseña o una pregunta y respuesta de seguridad que dé acceso a una cuenta, por no haber sido razonable la seguridad.
- Sanción máxima
- Indemnizaciones legales de 107 a 799 USD por consumidor e incidente, o el daño real si es mayor (1798.150); multas administrativas de hasta 2.663 USD por infracción, 7.988 USD si es intencionada (importes actualizados de 2025).
- Se aplica a
- Cualquier organización que conserve información personal de residentes de un estado, esté donde esté radicada.
- Estado (noviembre de 2026)
- Cada estado tiene su propia ley. Muchas exigen la notificación «sin demora injustificada»; un número creciente fija plazos concretos.
- Deber de notificación
- Colorado (C.R.S. 6-1-716): a los residentes en un plazo de 30 días desde que se determine la brecha; a la fiscalía general (Attorney General) en 30 días si hay 500 o más residentes afectados.
- Florida (§ 501.171): a las personas afectadas en un plazo de 30 días; al Department of Legal Affairs en 30 días si hay 500 o más afectadas.
- Washington (RCW 19.255.010): a los consumidores en un plazo de 30 días naturales; al Fiscal General en 30 días si se ven afectados más de 500 residentes.
- Credenciales filtradas y exposición en la dark web
- Colorado, Florida y Washington, entre otros, definen la información personal de modo que incluya un nombre de usuario o una dirección de correo electrónico con una contraseña o pregunta de seguridad que dé acceso a una cuenta en línea, de modo que las credenciales de cuenta filtradas por sí solas pueden obligar a notificar.
- Sanción máxima
- Se fija estado por estado. Florida: hasta 1.000 USD por día durante los primeros 30 días, después hasta 50.000 USD por cada 30 días, como máximo 500.000 USD por brecha de datos (§ 501.171(9)).
Canadá y Latinoamérica
- Se aplica a
- Organizaciones del sector privado con actividad comercial, salvo en las provincias con una ley sustancialmente similar para los asuntos internos de la provincia.
- Estado (noviembre de 2026)
- La sustitución prevista (Bill C-27) decayó en enero de 2025. El Bill C-8 recibió la sanción real el 15 jun. 2026; su Critical Cyber Systems Protection Act aún no está en vigor. En Quebec, la Ley 25 añade su propia obligación de notificar a la CAI.
- Deber de notificación
- Art. 10.1: notificar al Commissioner una vulneración de las medidas de seguridad, e informar a las personas afectadas, lo antes posible tras determinar que crea un riesgo real de daño grave.
- s. 10.3: conservar un registro de cada brecha de datos, notificable o no, durante 24 meses.
- Credenciales filtradas y exposición en la dark web
- Las credenciales filtradas se valoran con el criterio del riesgo real de daño significativo (grado de sensibilidad y probabilidad de uso indebido). Toda brecha de datos debe registrarse, incluso por debajo de ese umbral.
- Sanción máxima
- Hasta 100.000 CAD por no notificar o no llevar registros a sabiendas (art. 28). En Quebec, sanciones administrativas de hasta 10 millones de CAD o el 2 % del volumen de negocio mundial.
- Fuentes oficiales
- Se aplica a
- Organizaciones que tratan datos personales en Brasil o de personas en Brasil.
- Estado (noviembre de 2026)
- La Resolución 15 de la ANPD, de 24 abr. 2024, fija el plazo y el contenido del informe.
- Deber de notificación
- LGPD art. 48 y Resolución 15/2024, arts. 6 y 9: notificar a la ANPD y a los interesados en un plazo de tres días hábiles desde que se conozca que un incidente con riesgo o daño relevante ha afectado a datos personales.
- Pueden añadirse detalles en un plazo de 20 días hábiles; el registro de incidentes debe conservarse al menos cinco años.
- Credenciales filtradas y exposición en la dark web
- La Resolución 15/2024 incluye los datos de autenticación entre los criterios de un incidente de riesgo relevante, de modo que una filtración de credenciales puede iniciar el plazo de tres días hábiles.
- Sanción máxima
- Una multa simple de hasta el 2 % de los ingresos en Brasil, limitada a 50 millones de BRL por infracción (art. 52 II).
- Se aplica a
- Organizaciones del sector privado que tratan datos personales en México.
- Estado (noviembre de 2026)
- La nueva ley sustituyó a la ley de 2010 el 21 mar. 2025. La supervisión pasó del antiguo INAI a la Secretaría Anticorrupción y Buen Gobierno.
- Deber de notificación
- Art. 19: informar sin demora a las personas afectadas de las brechas de seguridad que afecten de forma significativa a sus derechos patrimoniales o morales. La ley no establece el deber de notificar a la autoridad.
- Credenciales filtradas y exposición en la dark web
- Las credenciales de cuenta filtradas que permiten a terceros acceder al dinero o a las cuentas de una persona entran en el deber de informar de inmediato.
- Sanción máxima
- Multas de hasta 320.000 veces la Unidad de Medida y Actualización (UMA), más en caso de reincidencia y hasta el doble para datos sensibles (art. 59).
- Fuentes oficiales
Asia-Pacífico
- Se aplica a
- Organismos del Gobierno australiano y la mayoría de las empresas y entidades sin ánimo de lucro con un volumen de negocio anual superior a 3 millones de AUD.
- Estado (noviembre de 2026)
- La Privacy and Other Legislation Amendment Act 2024 añadió sanciones civiles escalonadas y avisos de infracción.
- Deber de notificación
- Art. 26WH: evaluar una presunta brecha de forma razonable y rápida, en general en 30 días.
- Una brecha de datos admisible (con probabilidad de causar un daño grave) debe notificarse a la OAIC mediante una declaración (s. 26WK), y debe avisarse a las personas afectadas (s. 26WL).
- Credenciales filtradas y exposición en la dark web
- Las credenciales halladas en la dark web pueden constituir motivos razonables para sospechar una brecha de datos, que inician la evaluación de 30 días.
- Sanción máxima
- Para una empresa, el mayor de estos importes: 50 millones de AUD, el triple del beneficio obtenido o el 30 % del volumen de negocio ajustado, en caso de intromisiones graves en la privacidad (s. 13G).
- Se aplica a
- Entidades de infraestructuras críticas y empresas que superen el umbral de facturación fijado en las normas y que realicen un pago de ransomware, o lo hagan realizar en su nombre.
- Estado (noviembre de 2026)
- La notificación de pagos de ransomware se aplica desde el 30 may. 2025.
- Deber de notificación
- art. 27: notificar a la ASD en un plazo de 72 horas desde el pago del rescate de ransomware o desde que se tenga conocimiento de que se efectuó.
- Credenciales filtradas y exposición en la dark web
- Una exigencia de extorsión por datos robados publicados en un sitio de filtraciones solo da lugar a este informe si se efectúa un pago.
- Sanción máxima
- Una sanción civil de 60 unidades de sanción (art. 27(5)).
- Se aplica a
- Organizaciones del sector privado en Singapur.
- Estado (noviembre de 2026)
- Notificación obligatoria de brechas de datos desde el 1 de febrero de 2021; el límite de multa más alto, desde el 1 de octubre de 2022. Los titulares de infraestructuras críticas de información también informan a la Cyber Security Agency conforme a la Cybersecurity Act, modificada desde el 31 de octubre de 2025.
- Deber de notificación
- Evaluar en 30 días naturales si una brecha de datos es notificable: perjuicio significativo probable o 500 o más personas afectadas.
- Notificar a la PDPC lo antes posible y, como máximo, tres días naturales después; notificar a las personas afectadas lo antes posible.
- Credenciales filtradas y exposición en la dark web
- Se considera que causa un perjuicio significativo un identificador de cuenta expuesto junto con una contraseña, un código de seguridad u otros datos que den acceso a la cuenta (Notification of Data Breaches Regulations 2021, art. 3(1)(b)), por lo que una filtración de credenciales es notificable.
- Sanción máxima
- Hasta 1 millón de SGD, o el 10 % del volumen de negocios anual en Singapur para organizaciones con más de 10 millones de SGD de facturación, lo que sea mayor (art. 48J).
- Fuentes oficiales
- PDPC: gestión de brechas de datos (se abre en una pestaña nueva)
- Reglamento de 2021 sobre la notificación de brechas de datos (se abre en una pestaña nueva)
- PDPC: directrices de asesoramiento sobre sanciones (PDF) (se abre en una pestaña nueva)
- CSA: Ley de ciberseguridad (modificación) en vigor (se abre en una pestaña nueva)
- Se aplica a
- Organizaciones que tratan datos personales digitales en la India, o de personas en la India al ofrecerles bienes o servicios; las CERT-In Directions se aplican a proveedores de servicios, intermediarios, centros de datos y empresas.
- Estado (noviembre de 2026)
- Las normas DPDP se notificaron el 14 nov. 2025 con un plazo de 18 meses para un cumplimiento gradual, de modo que las obligaciones de la ley sobre brechas de datos se aplican a partir de 2027. La obligación de notificar a CERT-In ya se aplica.
- Deber de notificación
- Directrices de CERT-In: notificar a CERT-In los tipos de ciberincidente indicados en las seis horas siguientes a detectarlos.
- Art. 8(6) de la Ley DPDP, cuando entre en vigor: informar a la Data Protection Board y a cada persona afectada de toda violación de la seguridad de los datos personales, en la forma que prescriban las Normas.
- Credenciales filtradas y exposición en la dark web
- La Ley DPDP no establece ningún umbral de relevancia, por lo que una filtración confirmada de credenciales desde sus sistemas exigirá notificarlo a la Junta y a las personas afectadas.
- Sanción máxima
- Hasta 250 crore INR por no adoptar medidas de seguridad razonables y hasta 200 crore INR por no notificar una brecha de datos (Ley DPDP, anexo).
- Fuentes oficiales
- Ley DPDP 2023 (copia del Boletín Oficial, PDF) (se abre en una pestaña nueva)
- PIB: resumen de las DPDP Rules 2025 (PDF) (se abre en una pestaña nueva)
- Directrices de CERT-In conforme a la s. 70B(6) (se abre en una pestaña nueva)
- PIB: CERT-In emite las instrucciones (28 abr 2022) (se abre en una pestaña nueva)
- Se aplica a
- Operadores de redes en China; la PIPL alcanza también a cierto tratamiento de datos de personas en China desde el extranjero.
- Estado (noviembre de 2026)
- Las medidas de notificación de incidentes se aplican desde el 1 nov. 2025; la Ley de Ciberseguridad modificada, desde el 1 ene. 2026, con un nivel de sanción distinto para las filtraciones de datos a gran escala.
- Deber de notificación
- Medidas de notificación de incidentes: los operadores de infraestructuras críticas de información notifican los incidentes notificables a su departamento de protección y a la policía como máximo en una hora; los demás operadores lo notifican a la administración provincial del ciberespacio en un plazo de cuatro horas.
- PIPL, art. 57: ante una filtración real o posible de información personal, adoptar de inmediato medidas correctoras y notificarlo al regulador y a las personas afectadas.
- Credenciales filtradas y exposición en la dark web
- La información personal que se encuentre filtrada en línea exige notificación inmediata conforme al art. 57 de la PIPL.
- Sanción máxima
- Infracciones graves de la PIPL: hasta 50 millones de RMB o el 5 % de la facturación del ejercicio anterior, además de multas a las personas responsables (art. 66). Ley de Ciberseguridad modificada: hasta 10 millones de RMB en los casos más graves.
- Se aplica a
- Empresas que tratan datos personales en Japón.
- Estado (noviembre de 2026)
- Las notificaciones de brechas son obligatorias desde el 1 abr. 2022. El 17 jul. 2026 se promulgó una reforma que entrará en vigor en un plazo de dos años; flexibiliza la notificación a las personas cuando el riesgo es bajo y añade un nuevo delito por obtener información personal mediante fraude o acceso no autorizado.
- Deber de notificación
- Art. 26(1): un informe preliminar a la PPC sin demora, en la práctica en un plazo de tres a cinco días.
- Un informe final en 30 días, o en 60 días cuando sea posible un fin indebido, como el acceso no autorizado o el ransomware.
- Es notificable si hay datos sensibles, datos que puedan causar un perjuicio económico, una finalidad indebida o más de 1.000 personas.
- Credenciales filtradas y exposición en la dark web
- El robo mediante acceso no autorizado y los datos de acceso filtrados de servicios que permiten pagos son notificables aunque afecten a pocas personas.
- Sanción máxima
- Multas penales de hasta 100 millones de JPY para las empresas que incumplan las órdenes de la PPC o faciliten bases de datos con ánimo de lucro ilícito (art. 184).
Oriente Medio y África
- Se aplica a
- Organizaciones que tratan datos personales de personas en Arabia Saudí, también desde el extranjero.
- Estado (noviembre de 2026)
- En vigor desde el 14 sep. 2023, con un período de gracia de un año que terminó el 14 sep. 2024.
- Deber de notificación
- Ley, art. 20, y Reglamento de desarrollo, art. 24: notifique a la Saudi Data & AI Authority (SDAIA), a través de su portal, en un plazo de 72 horas desde que tenga conocimiento de un incidente que pueda perjudicar a los datos personales o a las personas afectadas.
- Notifique también a las personas afectadas.
- Credenciales filtradas y exposición en la dark web
- El acceso ilícito a credenciales que usted conserva puede activar la notificación en 72 horas.
- Sanción máxima
- Una advertencia o una multa de hasta 5 millones de SAR, que se duplica en caso de reincidencia (art. 36); hasta dos años de prisión y 3 millones de SAR por divulgar datos sensibles (art. 35).
- Se aplica a
- Organismos públicos y privados que tratan información personal en Sudáfrica.
- Estado (noviembre de 2026)
- Desde el 1 de abril de 2025, las vulneraciones de seguridad deben notificarse a través del portal eServices del Information Regulator.
- Deber de notificación
- Art. 22: cuando haya motivos razonables para creer que una persona no autorizada ha accedido a datos personales o los ha obtenido, debe notificarse a la Information Regulator y a las personas afectadas lo antes razonablemente posible. No existe umbral de notificación.
- Credenciales filtradas y exposición en la dark web
- Toda adquisición no autorizada confirmada es notificable, sea cual sea el riesgo.
- Sanción máxima
- Una multa administrativa de hasta 10 millones de ZAR (art. 109).
También se pregunta por
- Ley de IA de la UE. Los proveedores de sistemas de IA de alto riesgo notifican los incidentes graves en un plazo de 15 días (art. 73). La monitorización de la dark web no es un uso de alto riesgo según el anexo III, y las normas de alto riesgo se aplazaron al 2 dic. 2027 mediante el Reglamento (UE) 2026/1744. Fuente oficial (se abre en una pestaña nueva)
- Cybersecurity Act de la UE. Crea la certificación de seguridad voluntaria de la UE y define el mandato de ENISA; no contiene ninguna obligación de notificar brechas. El 20 de enero de 2026 se propuso una revisión. Fuente oficial (se abre en una pestaña nueva)
- PDPL de los EAU. El Decreto-Ley Federal 45/2021 exige notificar las brechas de datos a la Oficina de Datos de los EAU, pero el plazo y las multas se dejan a reglamentos de desarrollo, por lo que no indicamos cifras. Fuente oficial (se abre en una pestaña nueva)
Cumplimiento normativo
Cómo la monitorización de la dark web le ayuda a cumplir los plazos
Casi todos los plazos anteriores empiezan cuando usted tiene conocimiento de una brecha de datos. Una filtración que nadie ve no puede evaluarse, notificarse ni contenerse. La monitorización no decide si una filtración debe notificarse; eso sigue siendo una valoración jurídica. Acorta el tiempo hasta que usted lo sabe y le aporta los datos para el informe.
Entérese antes
Alertas cuando sus dominios, direcciones de correo electrónico o accesos del personal aparecen en datos de brechas, stealer logs o conversaciones de la dark web, para que se entere de una filtración por sus propias alertas y no por un regulador, un cliente o el atacante.
Detección de brechas de datosEvalúe más rápido
Cada hallazgo muestra qué se ha filtrado, qué cuentas y equipos están afectados y cuándo se encontró: los datos que pide un informe de 24 o 72 horas.
Monitorización de credenciales y stealer logsConserve el registro
Varias leyes exigen documentar toda brecha, se notifique o no (art. 33(5) del RGPD, PIPEDA, LGPD). Los hallazgos, las alertas y los informes pueden exportarse para ese expediente.
Informes de la dark web
No es asesoramiento jurídico
Esta página es una visión general orientativa. No constituye asesoramiento jurídico y no es exhaustiva: las leyes cambian, las normas nacionales y las directrices de las autoridades reguladoras añaden detalles, y que una filtración deba notificarse depende de los hechos. Consulte las fuentes oficiales y hable con su asesoría jurídica o su delegado de protección de datos antes de decidir.
Revisado en noviembre de 2026. Cada plazo y cada multa se comprobó con la fuente oficial enlazada en el detalle de cada ley.