Observatorio XEVIA
Qué te obliga hoy, qué llega y qué solo se ha anunciado.
La normativa digital cambia cada semana, y no todo lo que se publica está en vigor. Aquí lo separamos, con fecha y fuente oficial. Actualizado el 18 de octubre de 2026.
Octubre de 2026. Las Cortes están disueltas y hay elecciones generales el 29 de noviembre. Hasta que haya nuevo Gobierno no se aprobarán leyes, y varias normas (como la ley española de NIS2) quedan a la espera. Lo que ya está en vigor, sigue obligando.
EstadoEn vigorLlegaPendiente en EspañaSolo propuesta
TemaSeguridadCorreoPrivacidadLegalIAConsumoAccesibilidadRendimientoCalidad webSEO técnico
Últimas novedades
Lo último que se ha movido.
Nuestro radar revisa cada hora las fuentes oficiales. Aquí publicamos, después de revisarlas, las novedades que pueden afectar a tu web.
Cargando las últimas novedades…
El semáforo
Norma a norma: en qué punto está.
Lo que te afecta ya, lo que llega con fecha y lo que todavía no es ley, aunque se hable de ello como si lo fuera.
-
En vigorPrivacidad
Protección de datos y cookies
RGPD (2018) y LSSI-CE (2002)
Política de privacidad, base legal de cada formulario, contratos con quienes tratan datos por ti y consentimiento previo para las cookies que no son técnicas. El botón «Rechazar» debe estar al mismo nivel que «Aceptar».
Riesgo: Cookies: hasta 30.000 €, y hasta 150.000 € si se reincide. RGPD: hasta 20 M€ o el 4 % de la facturación.
Fuente: Ley 34/2002 (LSSI-CE) · Guía de cookies de la AEPD · Reglamento (UE) 2016/679 (RGPD) -
En vigorAccesibilidad
Accesibilidad en la venta online
Desde el 28 de junio de 2025 · Ley 11/2023
Si vendes online a consumidores, tu web debe ser accesible (referencia: WCAG 2.1 AA). Solo están exentas las microempresas de servicios; las que venden productos, no.
Riesgo: Infracción muy grave: de 90.001 a 1.000.000 €.
Fuente: Ley 11/2023 (accesibilidad) · RDLeg 1/2013, art. 96 -
En vigorIA
Transparencia de la inteligencia artificial
Desde el 2 de agosto de 2026 · Reglamento de IA, art. 50
Si tu web tiene un chatbot, debe decir que es una IA. Las imágenes, vídeos o audios generados que parezcan reales, y los textos de interés público generados con IA, deben etiquetarse. El Ómnibus de IA de 2026 no aplazó esta obligación.
Riesgo: Hasta 15 M€ o el 3 % de la facturación (a las pymes, la cifra más baja).
Fuente: Reglamento (UE) 2024/1689 de IA · Reglamento (UE) 2026/1744 (Ómnibus de IA) -
En vigorSeguridad
Vulnerabilidades en software y dispositivos
Desde el 11 de septiembre de 2026 · Cyber Resilience Act
Quien fabrica o vende con su marca software o dispositivos conectados debe avisar en 24 horas de las vulnerabilidades que se estén explotando. Los servicios web puros (SaaS) quedan fuera. Aplicación completa: 11 de diciembre de 2027.
Riesgo: Hasta 15 M€ o el 2,5 % de la facturación.
Fuente: Reglamento (UE) 2024/2847 (CRA) -
En vigorConsumo
Rebajas y reseñas en tiendas online
Ley de comercio minorista y ley de consumidores
Una rebaja debe partir del precio más bajo de los 30 días anteriores. Las reseñas deben indicar si se comprueba que son de compradores reales. Si no informas del desistimiento, el plazo de tu cliente pasa de 14 días a más de un año.
Riesgo: Consumo multó a 7 tiendas online con 348.000 € por falsas rebajas de Black Friday.
Fuente: RDLeg 1/2007 (consumidores) · Ministerio de Consumo, 04/07/2025 -
En vigorSeguridad
Certificados de seguridad más cortos
Desde el 15 de marzo de 2026 · norma del sector
Los certificados SSL/TLS duran como máximo 200 días; en marzo de 2027 bajarán a 100 y en 2029 a 47. Si la renovación no está automatizada, tu web acabará mostrando «No seguro».
Riesgo: No es una multa: es la confianza de tus clientes y tu posición en Google.
Fuente: CA/Browser Forum, votación SC-081 -
LlegaConsumo
Atención a la clientela
Plazo de adaptación hasta el 28 de diciembre de 2026 · Ley 10/2025
Derecho a hablar con una persona, respuesta a reclamaciones en 15 días hábiles y llamadas atendidas en menos de 3 minutos. Afecta a grandes empresas (250 o más trabajadores o más de 50 M€) y a servicios básicos; las pymes quedan fuera.
Riesgo: Régimen sancionador de consumo.
Fuente: Ley 10/2025 (atención a la clientela) -
LlegaLegal
Verifactu: facturación verificable
BOE: 1 de enero de 2027 (sociedades) y 1 de julio de 2027 (resto)
Los programas de facturación deberán garantizar que las facturas no se alteran. Hacienda anunció el 5 de octubre de 2026 un retraso a octubre de 2028, pero a día de hoy no se ha publicado en el BOE: las fechas vigentes siguen siendo las de 2027.
Riesgo: Pendiente de que el nuevo calendario se publique.
Fuente: RDL 15/2025 (Verifactu) -
Pendiente en EspañaSeguridad
NIS2: ciberseguridad de empresas esenciales e importantes
Directiva europea vigente · ley española sin aprobar
España no ha aprobado su ley (es un anteproyecto de enero de 2025) y la Comisión la ha llevado ante el Tribunal de Justicia de la UE. Con las Cortes disueltas, no llegará antes de 2027. Pero si un cliente tuyo está obligado, ya puede exigirte medidas de seguridad como proveedor.
Riesgo: La directiva prevé al menos 10 M€ o el 2 % y responsabilidad de los directivos.
Fuente: Directiva (UE) 2022/2555 (NIS2) · Comisión Europea, IP/26/1499 -
Pendiente en EspañaConsumo
Botón de desistimiento
Aplicable en la UE desde el 19 de junio de 2026 · sin transponer en España
La UE obliga a las tiendas online a ofrecer un botón para desistir de un contrato con la misma facilidad con la que se firmó. España aún no lo ha incorporado a su ley: conviene prepararlo, pero hoy no es exigible aquí.
Riesgo: Sin régimen sancionador español todavía.
Fuente: Directiva (UE) 2023/2673 -
Solo propuestaPrivacidad
Digital Omnibus: cambios en cookies y brechas
Propuesta de la Comisión de noviembre de 2025 · en negociación
Propone rechazar las cookies con un solo clic, respetar las señales del navegador y ampliar de 72 a 96 horas el plazo para notificar brechas. Es solo una propuesta: hoy siguen vigentes el RGPD, la LSSI y las 72 horas.
Riesgo: Sin efecto legal hasta que se apruebe.
Fuente: Dictamen EDPB-EDPS 2/2026 sobre el Digital Omnibus
Las cifras
El riesgo no es teórico.
Datos oficiales y estudios de referencia. Cada cifra, con su fuente.
-
Privacidad
30.931
reclamaciones ante la AEPD en 2025
Un 64 % más que en 2024: el máximo de su historia.
Fuente: Memoria AEPD 2025 -
Privacidad
48,1M€
en multas de la AEPD en 2025
325 multas. Los servicios de Internet son el área que más importe suma.
Fuente: Memoria AEPD 2025 -
Privacidad
1.048
multas de protección de datos en España
El país de Europa con más multas por séptimo año seguido.
Fuente: CMS Enforcement Tracker Report 2026 -
Seguridad
122.223
incidentes de ciberseguridad gestionados en 2025
Un 26 % más que el año anterior.
Fuente: INCIBE, Balance 2025 -
Correo
60%
de las intrusiones en la UE empiezan con un phishing
El correo sigue siendo la puerta de entrada.
Fuente: ENISA Threat Landscape 2025 -
Seguridad
38%
de las empresas españolas sufrió un ciberataque con éxito
En el último año. En el 18 % de ellas, el coste superó los 50.000 €.
Fuente: Hiscox, Informe de Ciberpreparación 2026 -
Seguridad
91%
de las vulnerabilidades nuevas de WordPress estaba en plugins
Las más atacadas se explotan en masa en unas 5 horas.
Fuente: Patchstack, State of WordPress Security 2026 -
Accesibilidad
95,9%
de las webs más visitadas tiene errores de accesibilidad
56 errores detectables por página de media.
Fuente: WebAIM Million 2026
El calendario
Fechas que conviene tener apuntadas.
- Accesibilidad obligatoria en la venta onlineLey 11/2023
- Certificados SSL de 200 días como máximoCA/Browser Forum
- Botón de desistimiento en la UE (en España, sin transponer)Directiva 2023/2673
- Chatbots y contenido generado: transparencia obligatoriaReglamento de IA, art. 50
- Aviso en 24 h de vulnerabilidades explotadasCyber Resilience Act
- Fin de la adaptación a la ley de atención a la clientelaLey 10/2025 (grandes empresas)
- Verifactu para sociedades, según el BOERDL 15/2025 (anunciado retraso a 2028)
- Certificados SSL de 100 díasCA/Browser Forum
- Verifactu para autónomos y resto, según el BOERDL 15/2025 (anunciado retraso a 2028)
- IA de alto riesgoReglamento de IA tras el Ómnibus
- Cyber Resilience Act completoReglamento 2024/2847
- Certificados SSL de 47 díasCA/Browser Forum
- Ley española de NIS2Tras las elecciones del 29/11/2026
Mitos
Lo que se repite y no es verdad.
Una decisión basada en un dato falso es una mala decisión, aunque el dato asuste.
- Seguridad
Se dice«El 60 % de las pymes cierra a los seis meses de un ciberataque».
La realidadNo hay ningún estudio detrás: sale de una infografía retirada hace años. Lo que sí está medido es que el 38 % de las empresas españolas sufrió un ataque con éxito el último año.
Fuente: Nextgov, 2017 · Hiscox, Informe de Ciberpreparación 2026 - Seguridad
Se dice«NIS2 ya está en vigor en España».
La realidadLa directiva europea sí; la ley española, no. Aun así, si tu cliente está obligado, te pedirá medidas de seguridad por contrato.
Fuente: Directiva (UE) 2022/2555 (NIS2) - Privacidad
Se dice«Si el visitante sigue navegando, acepta las cookies».
La realidadNo. Para la AEPD, seguir navegando o hacer scroll no es consentimiento. Hace falta una acción clara, y rechazar debe ser igual de fácil que aceptar.
Fuente: Guía de cookies de la AEPD - Accesibilidad
Se dice«Mi tienda es pequeña: la accesibilidad no va conmigo».
La realidadSolo están exentas las microempresas que prestan servicios. Si vendes productos online a consumidores, te afecta desde el 28 de junio de 2025.
Fuente: Ley 11/2023 (accesibilidad) - Privacidad
Se dice«Las brechas de datos no paran de crecer».
La realidadLas notificadas bajaron en 2025 (2.765 frente a 2.933). Lo que sí se disparó fueron las sanciones por brechas: de 30 procedimientos a 77.
Fuente: AEPD, nota del 23/01/2026 · Memoria AEPD 2025
Método
Cómo trabaja el Observatorio.
Seguimos las fuentes oficiales: BOE, Diario Oficial de la UE, Congreso, AEPD, INCIBE, ENISA, Comisión Europea y AESIA, y los estudios de referencia del sector.
Cada dato lleva su fecha y su fuente, y distinguimos lo oficial de lo que procede de estudios privados. Cuando algo está en tramitación, lo decimos. Cuando un dato muy repetido no tiene base, también.
Esta página es información general y no constituye asesoramiento jurídico. Para decidir sobre un caso concreto, consulta con un profesional.
¿Y tu web? Compruébalo en segundos.
El diagnóstico gratuito revisa privacidad, cookies, aviso legal, accesibilidad y seguridad de tu página de inicio.