Aplicable en España — basado en normativa española (BOE).El término de uso común para lo que la ley española regula como «seguridad de las redes y sistemas de información»
Resumen rápido: La ciberseguridad es el término de uso común y estratégico para lo que el ordenamiento español regula bajo un nombre técnico distinto: la seguridad de las redes y sistemas de información.
Definición flash: El Derecho español no define «ciberseguridad» como tal: regula esa realidad bajo el nombre de seguridad de las redes y sistemas de información.
Etiqueta lingüística
«Ciberseguridad» no es un término jurídico definido por la legislación española: es el nombre que usan la política pública, la prensa y la práctica profesional para una realidad que la norma que la transpone al Derecho español —el Real Decreto-ley 12/2018, que incorpora la Directiva europea NIS— regula bajo la denominación técnica de «seguridad de las redes y sistemas de información». El propio real decreto-ley emplea «ciberseguridad» once veces en su preámbulo —sin valor normativo, solo explicativo— para referirse a la Estrategia de Ciberseguridad Nacional, el marco de política pública que acompaña a esta regulación técnica.
Definición técnica
El sistema verificado: objeto de la protección, la disponibilidad, autenticidad, integridad y confidencialidad de los datos y de los servicios ofrecidos por las redes y sistemas de información (art. 3.b); ámbito de aplicación acotado, no a cualquier sistema informático sino a los operadores de servicios esenciales de los sectores estratégicos de la Ley 8/2011 y a determinados proveedores de servicios digitales — mercados en línea, motores de búsqueda en línea y servicios de computación en nube—, con exclusión expresa de microempresas y pequeñas empresas proveedoras de servicios digitales (art. 2 RD-ley 12/2018); y vocabulario técnico propio del real decreto-ley, que distingue riesgo —circunstancia con posible efecto adverso, cuantificable como probabilidad de materialización de una amenaza— de incidente —suceso ya materializado con consecuencias en detrimento de la seguridad—, y regula la gestión de incidentes como los procedimientos para detectarlos, analizarlos, limitarlos y responder ante ellos (art. 3.g, h, i RD-ley 12/2018).
Aplicación práctica
Cuando una empresa pregunta si le aplica la normativa de «ciberseguridad», la respuesta jurídica exacta depende de si es operador de un servicio esencial de un sector estratégico o proveedor de uno de los tres servicios digitales tasados por la ley — mercados en línea, buscadores o computación en nube—: fuera de ese perímetro, el Real Decreto-ley 12/2018 no impone directamente sus obligaciones, aunque otras normas sectoriales (protección de datos, Esquema Nacional de Seguridad para el sector público) puedan exigir medidas de seguridad equivalentes por otra vía.
Contexto legal en España
La seguridad de las redes y sistemas de información se regula en el Real Decreto-ley 12/2018, que transpone al Derecho español la Directiva (UE) 2016/1148 (Directiva NIS); en el ámbito de la Administración Pública, el Esquema Nacional de Seguridad (Real Decreto 311/2022) añade un régimen propio de seguridad para los sistemas del sector público.
Normas clave a tener en cuenta
Qué no es / diferencias clave
- Protección de datos personales
- La seguridad de las redes y sistemas de información protege la disponibilidad, integridad y confidencialidad de datos y servicios frente a incidentes técnicos; la protección de datos personales (RGPD, LOPDGDD) regula específicamente el tratamiento de datos de personas físicas, con su propio régimen de principios y derechos.
- Esquema Nacional de Seguridad
- El ENS (RD 311/2022) se aplica a las Administraciones Públicas y a las entidades del sector público en el uso de medios electrónicos; el Real Decreto-ley 12/2018 se dirige a operadores de servicios esenciales y a determinados proveedores de servicios digitales, con independencia de su carácter público o privado.
Términos relacionados
Dato de autoridad
El propio Real Decreto-ley 12/2018 usa «ciberseguridad» solo en su preámbulo, para referirse a la Estrategia de Ciberseguridad Nacional; su articulado, con valor normativo, regula la materia bajo el nombre técnico de «seguridad de las redes y sistemas de información».
Encuentra un abogado
Preguntas frecuentes sobre ciberseguridad
¿Define la ley española el término «ciberseguridad»?
No como tal: lo regula bajo el nombre técnico de «seguridad de las redes y sistemas de información», definido en el art. 3.b) del Real Decreto-ley 12/2018.
¿A quién se aplica el Real Decreto-ley 12/2018?
A los operadores de servicios esenciales de los sectores estratégicos de la Ley 8/2011 y a determinados proveedores de servicios digitales (mercados en línea, buscadores en línea y computación en nube), con exclusión de microempresas y pequeñas empresas proveedoras de servicios digitales.
¿Qué diferencia hay entre riesgo e incidente en esta normativa?
El riesgo es una circunstancia con posible efecto adverso, cuantificable como probabilidad; el incidente es un suceso ya materializado con consecuencias reales para la seguridad de las redes y sistemas de información (art. 3.g y h RD-ley 12/2018).
Autoría y revisión editorial
Contenido elaborado bajo la dirección editorial de DERECHO ABOGADOS, verificando cada norma sobre fuentes oficiales (BOE y jurisprudencia).
Cada norma citada se verifica contra su texto consolidado en el BOE: se comprueba el identificador de la norma, que la redacción sea la vigente y que lo entrecomillado sea literal. Es una verificación editorial, no un visto colegiado. Este contenido es información general y no constituye asesoramiento legal sobre un caso concreto.