Phishing y multas: qué te exigen el RGPD, el ENS, la ISO 27001 y tu ciberseguro

Por Kike Gandia · Co-Fundador y CEO, OSCP · Última actualización: noviembre de 2026

El phishing es el fraude online más frecuente en España: según INCIBE, en 2025 hubo 25.133 casos de phishing entre los 122.223 incidentes que gestionó. Cuando uno de esos correos termina en una brecha de datos personales, el problema deja de ser solo técnico: hay plazos legales, una autoridad que revisa qué medidas tenías y multas que pueden ser altas. Esta guía explica qué exige cada norma, cuánto puede costar y cómo demostrar que hiciste lo que tocaba.

El phishing en cifras

INCIBE gestionó 122.223 incidentes de ciberseguridad en 2025, un 26 % más que el año anterior. El fraude online supuso cuatro de cada diez, con 45.445 casos, y dentro de él el phishing fue el más común, con 25.133.

Detrás de muchas brechas de datos hay un correo de este tipo: una contraseña entregada en una página falsa o un adjunto abierto es la puerta de entrada más barata para un atacante.

Qué pasa si un phishing acaba en una brecha de datos

Si el phishing permite acceder a datos personales, es una brecha de seguridad en el sentido del RGPD, y activa varias obligaciones:

1. Notificar a la AEPD en 72 horas desde que tienes constancia, salvo que sea improbable que suponga un riesgo para las personas (artículo 33).
2. Informar a los afectados sin dilación cuando el riesgo para ellos sea alto (artículo 34).
3. Documentar la brecha internamente, la notifiques o no.

Notificar no implica una sanción automática. Lo que la AEPD analiza es si tenías medidas técnicas y organizativas apropiadas al riesgo (artículo 32) y si actuaste con diligencia. Y ha dejado claro que el error humano no basta como excusa: en el expediente PS/00493/2024 rechazó el argumento del «fallo humano aislado» y recordó que la seguridad debe estar garantizada desde el diseño, no como reacción posterior.

Cuánto puede costar: las multas del RGPD

Infracción	Artículo del RGPD	Multa máxima
Medidas de seguridad insuficientes	32	10 M€ o 2 %
No notificar la brecha a tiempo	33	10 M€ o 2 %
No informar a los afectados cuando procede	34	10 M€ o 2 %
Vulnerar la integridad y confidencialidad de los datos	5.1.f	20 M€ o 4 %

El porcentaje se calcula sobre la facturación anual mundial y se aplica la cifra mayor (artículo 83). Son máximos: la multa real depende de la gravedad, la diligencia y las medidas que se puedan acreditar. Pero la sanción no es el único coste: la investigación, la notificación a afectados, la interrupción del negocio o el fraude que haya podido producirse suelen pesar más.

Qué piden las normas sobre concienciación

Norma	Qué exige	Cómo se demuestra
RGPD	Medidas técnicas y organizativas apropiadas (art. 32); entre las tareas del delegado de protección de datos está la formación del personal (art. 39.1.b)	Programa de concienciación documentado y registro de formación
ENS (RD 311/2022)	Concienciación (mp.per.3) y formación (mp.per.4) del personal, en todas las categorías	Evidencia de las acciones de concienciación y de quién las ha recibido
ISO 27001:2022	Concienciación, educación y formación en seguridad de la información (control A.6.3)	Registros de campañas, formación completada y su evolución
NIS2	Formación en ciberseguridad y prácticas de ciberhigiene (art. 21), también para los órganos de dirección (art. 20)	En España aún no está transpuesta (noviembre de 2026)
Ciberseguro	Los cuestionarios de suscripción suelen preguntar por la formación del personal	Lo que declares forma parte del contrato: tienes que poder acreditarlo

Ninguna de estas normas dice literalmente «haz simulaciones de phishing». Lo que piden es concienciación y formación demostrables, y las simulaciones con su registro de resultados son la forma más medible de acreditarlas.

La dirección también responde

La NIS2 hace responsables a los órganos de dirección de aprobar y supervisar las medidas de ciberseguridad, y les obliga a formarse. En España la directiva todavía no está transpuesta: la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE por el retraso, y mientras tanto sigue vigente el Real Decreto-ley 12/2018 para los operadores que ya regula. Aun así, la tendencia es clara: la ciberseguridad ya no se puede delegar entera en IT.

Cómo reducir el riesgo y poder demostrarlo

Doble factor resistente al phishing (llaves FIDO o passkeys) en las cuentas críticas.
Filtrado de correo bien configurado: SPF, DKIM y DMARC, y revisión de reglas de reenvío.
Simulaciones y formación continuas, con registro de quién ha recibido cada campaña y quién ha completado la formación.
Un canal claro para reportar correos sospechosos y un procedimiento de respuesta que incluya el plazo de 72 horas.
Contratos de encargado del tratamiento con los proveedores que acceden a datos personales, incluido el de la propia herramienta de concienciación.

El registro de concienciación es lo que te permite responder a la AEPD, al auditor o a la aseguradora con evidencias y no con declaraciones.

FAQ

¿Me puede multar la AEPD si un empleado cae en un phishing?

No por el clic en sí. Si el phishing acaba en una brecha de datos personales, la AEPD valora si tenías medidas técnicas y organizativas apropiadas y si notificaste a tiempo. La sanción llega por la falta de medidas o de diligencia, y ha dejado claro que el error humano no basta como excusa.

¿Es obligatorio hacer simulaciones de phishing?

Ninguna norma lo dice literalmente. El RGPD exige medidas apropiadas, el ENS incluye la concienciación (mp.per.3) e ISO 27001 el control A.6.3. Las simulaciones, con su registro de resultados y de formación, son la forma más medible de demostrar que cumples esas exigencias.

¿En qué plazo hay que notificar una brecha causada por phishing?

En 72 horas desde que tienes constancia de ella, a la AEPD, salvo que sea improbable que suponga un riesgo para las personas. Si el riesgo para los afectados es alto, también hay que informarles sin dilación.

¿La NIS2 ya obliga a formar a la plantilla?

La directiva lo exige, pero en España todavía no está transpuesta (noviembre de 2026), así que aún no obliga directamente a las empresas privadas. El RGPD, el ENS para el sector público y sus proveedores, ISO 27001 o tu aseguradora ya te piden concienciación demostrable.