Los plazos de los próximos 18 meses
Entradas en vigor, aplicaciones escalonadas y plazos de transposición, mes a mes, para los actos de la UE y los nacionales.
Versión siempre actualizada: https://www.cybersecuritydatabase.org/es/reports/deadlines/
De hoy al 3 de mayo de 2028 vencen 113 plazos de 77 actos en 39 jurisdicciones. El mes con más plazos es diciembre de 2027, con 18.
- noviembre de 2026: 9
- diciembre de 2026: 15
- enero de 2027: 13
- febrero de 2027: 3
- marzo de 2027: 5
- abril de 2027: 9
- mayo de 2027: 6
- junio de 2027: 8
- julio de 2027: 9
- agosto de 2027: 3
- septiembre de 2027: 0
- octubre de 2027: 1
- noviembre de 2027: 1
- diciembre de 2027: 18
- enero de 2028: 5
- febrero de 2028: 2
- marzo de 2028: 1
- abril de 2028: 2
- mayo de 2028: 0
Las fechas de las que solo se conocen el mes o el año aparecen al inicio del periodo.
Actos de la UE y de otras organizaciones (25)
- Primeras acciones clave: acceso estructurado a la IA avanzada, plataforma de pruebas, campaña de código abierto, Grand Challenge
Plan de acción de la UE sobre ciberseguridad e IA (2026) · Unión Europea - Nuevas prohibiciones del Reglamento (UE) 2026/1744 y marcado de contenidos de sistemas generativos ya comercializados
Reglamento de IA (UE) 2024/1689 · Unión Europea - Los Estados miembros procuran contar con un número suficiente de organismos notificados
Reglamento de Ciberresiliencia (UE) 2024/2847 · Unión Europea - Cada Estado miembro debe ofrecer al menos una cartera europea de identidad digital
eIDAS 2 (Reglamento (UE) 2024/1183) · Unión Europea - Plantilla de escenario para los ejercicios a nivel de entidad y de Estado miembro (después cada tres años)
Código de red de ciberseguridad eléctrica (NCCS) · Unión Europea - Primeros pasos completados y hojas de ruta nacionales de criptografía poscuántica en todos los Estados miembros
Hoja de ruta de la UE sobre criptografía poscuántica (2025) · Unión Europea - Último día para la firma en la Sede de las Naciones Unidas en Nueva York
Convención de las Naciones Unidas contra la Ciberdelincuencia · Naciones Unidas - Capacidad europea de evaluación de modelos de IA, incluida la ciberseguridad
Plan de acción de la UE sobre ciberseguridad e IA (2026) · Unión Europea - Primer informe bienal de la Comisión sobre la aplicación
Ciberseguridad de las instituciones de la UE (2023/2841) · Unión Europea - El reglamento se aplica en su mayor parte; queda derogada la Directiva de máquinas 2006/42/CE
Reglamento de máquinas (UE) 2023/1230 · Unión Europea - Primera evaluación del reglamento por la Comisión (después al menos cada cuatro años)
Reglamento de Cibersolidaridad (UE) 2025/38 · Unión Europea - Se aplican las normas procedimentales comunes para los casos transfronterizos (Reglamento (UE) 2025/2518)
RGPD (Reglamento (UE) 2016/679) · Unión Europea - Primera actualización bienal de las listas de entidades esenciales e importantes y comunicación de las cifras a la Comisión
Directiva SRI 2 (UE) 2022/2555 · Unión Europea - EU-CyCLONe acuerda una taxonomía común de niveles de gravedad de los incidentes (en 24 meses)
Plan director de la UE para crisis de ciberseguridad (2025) · Unión Europea - Informe de la Comisión sobre las medidas de transposición de los Estados miembros
Directiva REC (UE) 2022/2557 · Unión Europea - Espacios controlados de pruebas nacionales operativos; adaptación de los modelos de uso general comercializados antes de agosto de 2025
Reglamento de IA (UE) 2024/1689 · Unión Europea - Sistemas de alto riesgo del anexo III (fecha aplazada por el ómnibus digital)
Reglamento de IA (UE) 2024/1689 · Unión Europea - Se aplican los procedimientos de conformidad de los productos importantes y críticos con el CRA
CRA: productos importantes y críticos (Regl. 2025/2392) · Unión Europea - El reglamento se aplica en su totalidad
Reglamento de Ciberresiliencia (UE) 2024/2847 · Unión Europea - Derogado por el Reglamento Delegado (UE) 2026/339: lo sustituye el Reglamento de Ciberresiliencia
Reglamento Delegado RED (UE) 2022/30 · Unión Europea - UE: obligatorio para los nuevos tipos de vehículos de la categoría L (Reglamento Delegado (UE) 2025/1455)
ONU R155 – Ciberseguridad de los vehículos · Comisión Económica de las Naciones Unidas para Europa (CEPE) - Las partes usuarias privadas obligadas a la autenticación reforzada deben aceptar la cartera a petición del usuario
eIDAS 2 (Reglamento (UE) 2024/1183) · Unión Europea - Último día para expedir certificados EUCC basados en versiones anteriores de los Criterios Comunes
Esquema de certificación EUCC (Regl. 2024/482) · Unión Europea
Actos nacionales (88)
- Se aplican las modificaciones del Decreto Legislativo 191/2026 sobre los servicios de seguridad gestionados
Decreto Legislativo 123/2022 – Certificación de la ciberseguridad · Italia - Plazo para adecuar infraestructuras, políticas y planes de contingencia y presentar al CNC el informe de cumplimiento del Plan de Recuperación ante Desastres, con el centro alternativo, una prueba inicial de conmutación y los parámetros RTO/RPO
Disposición CNC 1/2026 – Planes de contingencia y respaldo · Argentina - Entran en vigor las disposiciones sobre los consent managers (sección 6, apartado 9, y sección 27, apartado 1, letra d)
Ley de datos personales digitales de 2023 (DPDP) · India - Entra en vigor la norma 4 sobre el registro y las obligaciones de los consent managers
Normas de datos personales digitales de 2025 (DPDP) · India - Plazo para aprobar la nueva Estrategia Nacional de Ciberseguridad
Modificación de la ley de ciberseguridad (2026) · Bulgaria - Plazo para los estándares mínimos nacionales de ciberseguridad y los reglamentos de gestión y notificación de incidentes, de clasificación de servicios esenciales e infraestructura crítica digital y de hacking ético
Ley Orgánica para el Fortalecimiento de la Ciberseguridad · Ecuador - La ley empieza a aplicarse a los municipios (entes locales de primer grado), tras un aplazamiento de un año
Ley 5160/2024 de transposición de SRI 2 · Grecia - Plazo de comentarios sobre el borrador de la revisión 4
Guía de seguridad de la tecnología operativa (OT) (NIST SP 800-82… · Estados Unidos - En 180 días (fase III): corrección de las vulnerabilidades en los plazos de la tabla 1, identificación y etiquetado continuos de los activos accesibles desde el exterior
BOD 26-04 – Actualizaciones de seguridad según el riesgo · Estados Unidos - Vence la ley, salvo nueva prórroga o renovación del Congreso
Ley de intercambio de información cibernética (CISA 2015) · Estados Unidos - Plazo para las medidas de gestión de riesgos de todas las entidades esenciales e importantes y para la adaptación de las bases de datos de registro de nombres de dominio
Ley de seguridad de la información (ZInfV-1) · Eslovenia - Plazo para la propuesta de modificación del reglamento federal de contratación (FAR) que exige a los contratistas cumplir las normas FIPS, incluidas las poscuánticas, antes de 2030
Orden ejecutiva 14412 sobre criptografía poscuántica · Estados Unidos - Plazo para el reglamento de aplicación del Consejo de Ministros (180 días tras la publicación)
Ley 13/2026 – Ley de Ciberseguridad · Mozambique - Ningún componente crítico de Huawei y ZTE en los núcleos de las redes 5G
Acuerdos sobre componentes de Huawei y ZTE en el 5G (Alemania) · Alemania - Fin de la prohibición salvo prórroga (prórroga hasta 2035 en trámite en el Parlamento)
Ley 354/2022 sobre antivirus vinculados a Rusia (Rumanía) · Rumanía - Fin del período transitorio para los operadores ya registrados: medidas de seguridad y auditorías según las normas anteriores y revisión de su calificación por la NBÚ
Ley n.º 69/2018 de ciberseguridad · Eslovaquia - Plazo fijado por la estrategia para las decisiones sobre la arquitectura nacional de ciberseguridad
Estrategia de ciberseguridad 2024-2030 «Estonia ciberconsciente» · Estonia - Plazo para adoptar los actos de desarrollo, incluida la norma nacional de ciberseguridad (12 meses tras la entrada en vigor)
Ley HO-442-N de ciberseguridad · Armenia - Los titulares de instalaciones nucleares entran en el ámbito de la ley, bajo la supervisión de la STUK (Ley 785/2026)
Ley de ciberseguridad · Finlandia - Entidades incluidas en la lista NIS en 2026: empieza la obligación de notificar los incidentes significativos (Determinación ACN 127434/2026)
Determinación ACN 379907/2025 – Medidas de seguridad y notificaciones básicas NIS · Italia - La Oficina de Seguridad de la Información entra en funciones y asume el CERT nacional de RATEL
Ley de seguridad de la información (Serbia, 2025) · Serbia - Se aplican las obligaciones sobre tecnologías de decisión automatizada (ADMT) para decisiones significativas
California Consumer Privacy Act de 2018 (CCPA) · Estados Unidos - Los navegadores deben permitir al consumidor enviar una señal de exclusión de la venta y la cesión de sus datos (art. 1798.136, añadido por la ley AB 566)
California Consumer Privacy Act de 2018 (CCPA) · Estados Unidos - Las reglas consolidadas de FedRAMP para 2026 pasan a ser obligatorias para todas las partes interesadas
FedRAMP Authorization Act (2022) · Estados Unidos - Plazo final para el registro inicial de las entidades esenciales e importantes
NISG 2026 (ley austriaca SRI 2) · Austria - Plazo para que el Consejo de Ministros adopte la evaluación nacional de riesgos y la estrategia nacional de resiliencia de las entidades críticas
Modificación de la ley de gestión de crisis (REC, 2026) · Polonia - Fecha fijada por la orden a partir de la cual las agencias deben exigir el sello U.S. Cyber Trust Mark en los productos IoT de consumo que compren (mediante una modificación del reglamento federal de contratación)
Orden ejecutiva 14306 sobre ciberseguridad (2025) · Estados Unidos - Plazo de 180 días para retirar los productos de Acronis de los sistemas de información de las agencias
Orden FASCSA 2026-02 del DHS sobre Acronis · Estados Unidos - En 12 meses: retirada de los dispositivos de la lista ya sin soporte e inventario de los que lo estarán en los 12 meses siguientes
BOD 26-02 – Dispositivos perimetrales sin soporte · Estados Unidos - Plazo para el registro anual en la plataforma de la ACN (desde el 1 de enero); las entidades ya inscritas sin cambios no presentan una nueva declaración
Decreto Legislativo 138/2024 – Transposición SRI 2 · Italia - Los mercados en línea que tienen el dispositivo o son sus propietarios deben mostrar su FCC ID
Covered List de la FCC (Secure Networks Act) · Estados Unidos - Plazo para la guía de la CISA sobre los elementos mínimos de una lista de materiales criptográficos (CBOM) y para la propuesta FAR sobre los programas de divulgación de vulnerabilidades
Orden ejecutiva 14412 sobre criptografía poscuántica · Estados Unidos - Plazo del código de prácticas para un grupo de medidas de seguridad (proveedores de nivel 1 y 2)
Telecommunications (Security) Act 2021 · Reino Unido - Plazo de 6 meses para declarar los sistemas informáticos importantes ya en uso a la entrada en vigor
Ley de ciberdefensa activa (2025) · Japón - Los propietarios de infraestructuras de información críticas presentan a la CSA sus planes de migración a una criptografía resistente a la computación cuántica
Estrategia de ciberseguridad de Singapur 2026 · Singapur - Fin de la fase 1: nuevo modelo de gobierno de la ciberseguridad en funcionamiento
Plan de acción del Gobierno en materia de ciberseguridad · Reino Unido - Plazo para que los operadores adopten el acto de seguridad y el plan de respuesta a incidentes (18 meses)
Ley de seguridad de la información (Serbia, 2025) · Serbia - Entran en vigor el artículo 45-5 y la sanción administrativa correspondiente introducidos por la ley n.º 21500
Ley coreana de redes de información y comunicación · Corea del Sur - Plazo para las obligaciones del capítulo 3 (medidas de seguridad y gestión de incidentes) y para el uso del sistema nacional S46
Modificación de la ley del sistema nacional de ciberseguridad (SRI 2) · Polonia - Fin de los 12 meses en que las entidades pueden solicitar la dispensa de multas por no haberse adaptado aún al nuevo régimen
DL 125/2025 – Régimen jurídico de la ciberseguridad · Portugal - Plazo para la primera identificación de las entidades críticas y su inscripción en la lista
Modificación de la ley de gestión de crisis (REC, 2026) · Polonia - Primera evaluación de conformidad de las entidades esenciales
Ley SRI 2 de 26 de abril de 2024 · Bélgica - En 15 meses: informe de la CISA sobre los avances de las agencias al secretario de Seguridad Nacional, a la OMB y al National Cyber Director
BOD 26-02 – Dispositivos perimetrales sin soporte · Estados Unidos - Se aplican las obligaciones sustantivas: consentimiento e información, medidas de seguridad, notificación de violaciones, derechos de los interesados y sanciones
Ley de datos personales digitales de 2023 (DPDP) · India - Entran en vigor las normas 3, 5 a 16, 22 y 23: información, medidas de seguridad, notificación de violaciones en 72 horas, menores, Significant Data Fiduciaries y transferencias al extranjero
Normas de datos personales digitales de 2025 (DPDP) · India - Se suprime la sección 43A sobre la indemnización por no proteger los datos, sustituida por la ley de protección de datos personales digitales (sección 44, apartado 2, de la DPDP Act)
Ley de Tecnologías de la Información de la India de 2000 · India - Plazo para la primera versión del Catálogo Nacional de Servicios Esenciales e Infraestructura Crítica Digital, la organización del CSIRT Nacional y los reglamentos sobre prestadores de servicios digitales y fiscalización técnica
Ley Orgánica para el Fortalecimiento de la Ciberseguridad · Ecuador - Plazo para la actualización anual de la información en la plataforma de la ACN (desde el 15 de abril)
Determinación ACN 314287/2026 – Registro NIS y plataforma · Italia - Termina el periodo de gracia de 12 meses para los primeros requisitos reforzados (riesgos materiales adicionales y parte de los requisitos cibernéticos y de personal)
Ley de infraestructuras críticas de 2018 (SOCI) · Australia - Plazo para la certificación ISO/IEC 27001 de las entidades clave (30 meses)
Ley de seguridad de la información (Montenegro, 2024) · Montenegro - Vence el plazo de doce meses concedido a los propietarios de infraestructuras críticas para adaptarse al reglamento
Reglamento de infraestructuras críticas 2026 (Mauricio) · Mauricio - Los demás mercados en línea deben verificar el FCC ID facilitado por los vendedores terceros
Covered List de la FCC (Secure Networks Act) · Estados Unidos - FedRAMP deja de aceptar solicitudes de nuevas certificaciones según el proceso Rev5
FedRAMP Authorization Act (2022) · Estados Unidos - Las entidades críticas del sector de la administración pública deben cumplir sus obligaciones
S.I. 559/2024 sobre entidades críticas (REC) · Irlanda - Plazo para comunicar la lista categorizada de actividades y servicios (desde el 1 de mayo)
Determinación ACN 314287/2026 – Registro NIS y plataforma · Italia - Los proveedores de servicios adoptan su reglamento interno de seguridad, la evaluación de riesgos y el plan de prevención de incidentes (18 meses)
Ley HO-442-N de ciberseguridad · Armenia - Plazo de dos años para adaptar las leyes sobre servicios de confianza, servicios electrónicos, registro de población, comunicaciones electrónicas y energía
Ley NIS de Macedonia del Norte (2025) · Macedonia del Norte - Termina el periodo transitorio de 12 meses: los sistemas de información ya clasificados deben adaptar sus medidas de protección al nivel exigido por la nueva ley y los productos y servicios de seguridad ya en uso deben cumplir sus condiciones
Ley de Ciberseguridad de Vietnam de 2025 (116/2025/QH15) · Vietnam - Entran en vigor las modificaciones del artículo 32-2, apartado 1 (certificación de la protección de datos), y del artículo 75 introducidas por la ley n.º 21445
Ley de Protección de la Información Personal (Corea del Sur) · Corea del Sur - Plazo para adoptar el primer plan nacional de gestión de riesgos
Modificación de la ley de gestión de crisis (REC, 2026) · Polonia - En un año: primera revisión de la orden por el secretario de Seguridad Nacional y después cada año
Orden FASCSA 2026-01 del DHS sobre DeepSeek · Estados Unidos - Entidades incluidas en la lista NIS en 2026: plazo para adoptar las medidas de seguridad básicas (Determinación ACN 127434/2026)
Determinación ACN 379907/2025 – Medidas de seguridad y notificaciones básicas NIS · Italia - En un año: primera revisión de la orden por el secretario de Seguridad Nacional y después cada año
Orden FASCSA 2026-02 del DHS sobre Acronis · Estados Unidos - Plazo de 24 meses para adaptar al decreto los servicios en la nube ya utilizados
Decreto 2-24-921 sobre servicios en la nube (Marruecos) · Marruecos - En 18 meses: retirada de todos los dispositivos perimetrales sin soporte identificados
BOD 26-02 – Dispositivos perimetrales sin soporte · Estados Unidos - Fecha límite de entrada en vigor de los capítulos 3 a 7 sobre obtención y análisis de información de comunicaciones (fecha exacta fijada por decreto)
Ley de ciberdefensa activa (2025) · Japón - A finales de 2027 todos los routers domésticos vendidos en Singapur deben alcanzar al menos el nivel 2 del Cybersecurity Labelling Scheme
Estrategia de ciberseguridad de Singapur 2026 · Singapur - Se aplican la vigilancia del mercado de la SZTFH y las multas administrativas previstas para el CRA
Ley CXXXV de 2025 (aplicación del CRA) · Hungría - Se aplican las normas sobre vigilancia del mercado, CSIRT coordinador, marcado CE y sanciones administrativas
Reglamentos de aplicación del CRA (S.L. 591.06) · Malta - Revisión de la Política por la ATDT, prevista a los dos años de su entrada en vigor
Política General de Ciberseguridad para la APF (2025) · México - Caducidad prevista por la ley de las secciones 3607 a 3616 del título 44 (salvo prórroga)
FedRAMP Authorization Act (2022) · Estados Unidos - Se aplican las prohibiciones de compra y de contratación de los semiconductores cubiertos
NDAA FY2023, sección 5949 – Chips de SMIC, YMTC y CXMT · Estados Unidos - Plazo para que los organismos con funciones permanentes de crisis, municipios incluidos, adapten sus análisis de riesgos y planes de crisis a la nueva ley
Ley de situaciones de crisis y defensa nacional · Estonia - Retirada de todos los equipos y servicios de Huawei de las redes 5G
Designated Vendor Direction sobre Huawei (Reino Unido) · Reino Unido - Plazo para retirar los equipos de Huawei de las redes 5G (designated vendor direction)
Telecommunications (Security) Act 2021 · Reino Unido - Plazo para completar las evaluaciones de riesgos de los tratamientos iniciados antes de 2026 que siguen en curso
California Consumer Privacy Act de 2018 (CCPA) · Estados Unidos - Finalización del proyecto piloto del NIST de migración poscuántica en sus propios sistemas
Orden ejecutiva 14412 sobre criptografía poscuántica · Estados Unidos - Fin de la fase II (aumento de la madurez, 2026-2028)
Estrategia Nacional de Ciberseguridad de Papúa Nueva Guinea 2024-2030 · Papúa Nueva Guinea - Los operadores de infraestructuras de información críticas y los proveedores de servicios de ciberseguridad presentan el certificado de conformidad con las normas (24 meses)
Ley HO-442-N de ciberseguridad · Armenia - Los propietarios de infraestructuras de información críticas tienen en cuenta la seguridad poscuántica en la compra y la implantación de los nuevos sistemas
Estrategia de ciberseguridad de Singapur 2026 · Singapur - Vencen las excepciones para los drones de la Blue UAS Cleared List y para los productos nacionales según el Buy American
Covered List de la FCC (Secure Networks Act) · Estados Unidos - Plazo para la certificación Tier 3 del Centro de Datos de Respaldo
Disposición CNC 1/2026 – Planes de contingencia y respaldo · Argentina - En 24 meses: proceso continuo de detección de dispositivos perimetrales y retirada antes del fin del soporte
BOD 26-02 – Dispositivos perimetrales sin soporte · Estados Unidos - Informe del ministro al Parlamento sobre la evaluación de la aplicación de la ley
Ley de ciberseguridad (Cbw) · Países Bajos - Plazo para las medidas más complejas y las primeras medidas nuevas del código revisado
Telecommunications (Security) Act 2021 · Reino Unido - Primeras certificaciones de auditoría de ciberseguridad (empresas con ingresos superiores a 100 millones de dólares) y atestaciones de las evaluaciones de riesgos
California Consumer Privacy Act de 2018 (CCPA) · Estados Unidos - Plazo para la primera auditoría de las entidades esenciales; a partir de esta fecha pueden imponerse sanciones pecuniarias
Modificación de la ley del sistema nacional de ciberseguridad (SRI 2) · Polonia