El punto de inflexión regulatorio que cruzamos en julio de 2026
Julio de 2026 no fue un mes tranquilo para la regulación digital.
El primer gran plazo de auditoría de NIS2 venció a principios de mes - la primera prueba formal de si las organizaciones europeas habían implantado las medidas de ciberseguridad que exige la Directiva. Las obligaciones del AI Act de la UE para los sistemas de IA de alto riesgo empezaron a aplicarse en agosto, tras un plazo de cumplimiento que terminó este mes. DORA está plenamente en vigor desde enero, y ya están en marcha las primeras evaluaciones supervisoras de los programas de gestión del riesgo de TIC de las entidades financieras.
Para las organizaciones que dedicaron el primer semestre de 2026 a prepararse, julio fue un momento de validación. Para el número considerable de las que no lo hicieron, fue un ajuste de cuentas.
Esto es lo que la actividad de cumplimiento de este mes revela sobre hacia dónde va el mercado.
Las tres cosas que confirmó julio
1. La brecha documental es real. En las evaluaciones de NIS2, DORA y el AI Act de la UE, la conclusión más constante es que las organizaciones han implantado medidas de seguridad, pero no pueden demostrarlo. Los controles de acceso existen, pero los registros de auditoría que los documentan son modificables. Se realizaron evaluaciones de riesgos, pero los datos en los que se basan no tienen ninguna verificación de integridad. Los datos de entrenamiento se seleccionaron, pero no hay ninguna evidencia con sello de tiempo de cuándo se reunieron.
El cumplimiento ya no consiste en lo que usted ha hecho. Consiste en lo que puede demostrar.
2. La gobernanza de la IA está alcanzando al despliegue de la IA. La velocidad de adopción de la IA en las empresas lleva tres años superando a la gobernanza. El plazo de aplicación del AI Act de la UE de julio es el primer gran hito regulatorio en el que esta brecha tiene consecuencias formales de control del cumplimiento. Las organizaciones que trataron la gobernanza de la IA como una simple casilla que marcar en el cumplimiento de TI están descubriendo que requiere inversión en infraestructura.
3. La integridad de los datos es el hilo conductor. Todos los marcos que han estado en el punto de mira este mes - NIS2, DORA, el AI Act de la UE, el RGPD - tienen la integridad de los datos como base técnica. Las organizaciones que gestionan el cumplimiento con más eficiencia son las que lo reconocieron pronto y construyeron una infraestructura compartida de integridad de los datos en lugar de silos de cumplimiento separados.
En qué centrarse en agosto y más adelante
Para las organizaciones que van con retraso en cualquiera de los tres marcos:
Empiece por la infraestructura de integridad de los datos. Es la inversión que da rendimiento en los tres marcos a la vez. Una capa de verificación criptográfica de la integridad, aplicada a sus activos de datos más críticos, satisface los requisitos de base técnica de NIS2, DORA y el AI Act de la UE en una sola implantación.
Cierre la brecha documental antes de la auditoría. Si ha implantado medidas de seguridad pero no puede demostrarlo, el problema de la prueba es la prioridad. Las pistas de auditoría criptográficas, los paquetes de evidencias con integridad verificada y los registros resistentes a la manipulación deben estar en su lista de acciones inmediatas.
Contraste sus sistemas de IA con las categorías de alto riesgo. Si no está seguro de si alguno de sus despliegues de IA se considera de alto riesgo según el AI Act de la UE, esta evaluación debe hacerse este mes, no en la próxima revisión trimestral.
Los recursos de cumplimiento para empresas de ROOTKey cubren los tres marcos. El simulador de cumplimiento de NIS2 le ofrece una evaluación de preparación en 15 minutos. Empiece la evaluación hoy.
- Julio de 2026: primer ciclo de auditoría de NIS2, evaluaciones supervisoras de DORA en marcha y el periodo de aplicación del AI Act de la UE para los sistemas de alto riesgo a punto de cerrarse.
- La brecha de cumplimiento más común en los tres marcos: organizaciones que implantaron medidas pero no pueden demostrarlo.
- La infraestructura de integridad de los datos es la base técnica compartida de NIS2, DORA y el AI Act de la UE.
- Para agosto: cierre la brecha documental, complete la evaluación de clasificación de riesgos de la IA y empiece a construir pistas de auditoría criptográficas.
- Siga nuestro blog para los resúmenes mensuales de cumplimiento - y consulte todos los artículos que publicamos en julio para análisis en profundidad de cada tema.