Las normas de la UE en calendario
Las fechas de aplicación de los actos de la UE sobre ciberseguridad, de SRI 2 al CRA y del Reglamento de IA a DORA, en una sola línea de tiempo.
Versión siempre actualizada: https://www.cybersecuritydatabase.org/es/reports/eu-timeline/
De 2024 a 2031, 17 actos vinculantes de la UE sobre ciberseguridad suman 66 fechas de aplicación: 32 ya han pasado y 34 están por llegar. El año más cargado de los que quedan es 2027, con 14 fechas.
Reglamento de IA (UE) 2024/1689
- 2 de febrero de 2025: Prácticas prohibidas y alfabetización en materia de IA
- 2 de agosto de 2025: Modelos de IA de uso general, gobernanza y sanciones
- 2 de agosto de 2026: Se aplica la mayor parte de las normas, incluidas las obligaciones de transparencia
- 2 de diciembre de 2026: Nuevas prohibiciones del Reglamento (UE) 2026/1744 y marcado de contenidos de sistemas generativos ya comercializados
- 2 de agosto de 2027: Espacios controlados de pruebas nacionales operativos; adaptación de los modelos de uso general comercializados antes de agosto de 2025
- 2 de diciembre de 2027: Sistemas de alto riesgo del anexo III (fecha aplazada por el ómnibus digital)
- 2 de agosto de 2028: Sistemas de alto riesgo del anexo I (fecha aplazada por el ómnibus digital)
Reglamento de Ciberresiliencia (UE) 2024/2847
- 11 de diciembre de 2025: Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392)
- 11 de junio de 2026: Se aplican las normas sobre organismos de evaluación de la conformidad
- 11 de septiembre de 2026: Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA
- 11 de diciembre de 2026: Los Estados miembros procuran contar con un número suficiente de organismos notificados
- 11 de diciembre de 2027: El reglamento se aplica en su totalidad
- 11 de junio de 2028: Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE
- 11 de septiembre de 2028: Informe de la Comisión sobre la eficacia de la plataforma única de notificación
- 11 de diciembre de 2030: Primer informe de evaluación y revisión del reglamento (después cada cuatro años)
eIDAS 2 (Reglamento (UE) 2024/1183)
- 24 de diciembre de 2024: Entran en vigor los primeros reglamentos de ejecución sobre las carteras europeas de identidad digital
- 21 de mayo de 2026: Informe de revisión de la Comisión sobre la aplicación del reglamento
- 24 de diciembre de 2026: Cada Estado miembro debe ofrecer al menos una cartera europea de identidad digital
- 24 de diciembre de 2027: Las partes usuarias privadas obligadas a la autenticación reforzada deben aceptar la cartera a petición del usuario
Código de red de ciberseguridad eléctrica (NCCS)
- 13 de diciembre de 2024: Plazo para que cada Estado miembro designe su autoridad competente
- 13 de marzo de 2025: Los gestores de redes de transporte presentan las metodologías de evaluación de riesgos; notificación de la lista provisional de entidades de alto impacto y de impacto crítico
- 13 de junio de 2025: Metodología de clasificación de los ciberataques y directrices de la ACER sobre el intercambio de información
- 13 de junio de 2026: Estudio de viabilidad de ENTSO-E sobre una herramienta común para compartir información con las autoridades
- 31 de diciembre de 2026: Plantilla de escenario para los ejercicios a nivel de entidad y de Estado miembro (después cada tres años)
- 13 de junio de 2028: Plazo máximo para notificar a las entidades que son entidades de alto impacto o de impacto crítico
- 31 de diciembre de 2029: Primeros ejercicios regionales de ciberseguridad (después cada tres años)
- 13 de junio de 2031: Plazo máximo para los planes regionales de mitigación de riesgos de ciberseguridad
Ciberseguridad de las instituciones de la UE (2023/2841)
- 8 de abril de 2025: Cada entidad de la Unión establece su marco interno de gestión de riesgos, gobernanza y control
- 8 de julio de 2025: Primera evaluación de madurez en ciberseguridad (después al menos cada dos años)
- 8 de septiembre de 2025: Plazo para adoptar las medidas de gestión de riesgos de ciberseguridad
- 8 de enero de 2026: Plazo para aprobar el plan de ciberseguridad
- 8 de enero de 2027: Primer informe bienal de la Comisión sobre la aplicación
- 8 de enero de 2029: Evaluación del funcionamiento del reglamento por la Comisión
Reglamento de máquinas (UE) 2023/1230
- 20 de enero de 2024: Se aplican las normas sobre organismos notificados
- 20 de octubre de 2026: Se aplican las sanciones nacionales, que deben notificarse a la Comisión antes de esta fecha
- 20 de enero de 2027: El reglamento se aplica en su mayor parte; queda derogada la Directiva de máquinas 2006/42/CE
- 20 de julio de 2028: Primer informe de evaluación y revisión de la Comisión (después cada cuatro años)
- 2 de agosto de 2028: Plazo de aplicación de los requisitos sobre sistemas de IA de alto riesgo añadidos por actos delegados
Reglamento de Cibersolidaridad (UE) 2025/38
- 5 de febrero de 2026: La ENISA publica las directrices de interoperabilidad de los centros cibernéticos transfronterizos
- 5 de febrero de 2027: Primera evaluación del reglamento por la Comisión (después al menos cada cuatro años)
RGPD (Reglamento (UE) 2016/679)
- 2 de abril de 2027: Se aplican las normas procedimentales comunes para los casos transfronterizos (Reglamento (UE) 2025/2518)
Directiva SRI 2 (UE) 2022/2555
- 17 de octubre de 2024: Plazo de transposición para los Estados miembros
- 17 de abril de 2025: Los Estados miembros elaboran la lista de entidades esenciales e importantes
- 17 de abril de 2027: Primera actualización bienal de las listas de entidades esenciales e importantes y comunicación de las cifras a la Comisión
- 17 de octubre de 2027: Primera revisión de la directiva por la Comisión
Directiva REC (UE) 2022/2557
- 17 de octubre de 2024: Plazo de transposición para los Estados miembros
- 17 de enero de 2026: Estrategia nacional y evaluación de riesgos de los Estados miembros
- 17 de julio de 2026: Los Estados miembros determinan las entidades críticas
- 17 de julio de 2027: Informe de la Comisión sobre las medidas de transposición de los Estados miembros
- 17 de julio de 2028: Primer informe de los puntos de contacto únicos sobre las notificaciones de incidentes (después cada dos años)
- 17 de junio de 2029: Primer informe de revisión de la Comisión sobre el funcionamiento de la Directiva
CRA: productos importantes y críticos (Regl. 2025/2392)
- 11 de diciembre de 2027: Se aplican los procedimientos de conformidad de los productos importantes y críticos con el CRA
Reglamento Delegado RED (UE) 2022/30
- 1 de agosto de 2025: Se aplican los requisitos de ciberseguridad para los equipos radioeléctricos
- 11 de diciembre de 2027: Derogado por el Reglamento Delegado (UE) 2026/339: lo sustituye el Reglamento de Ciberresiliencia
Esquema de certificación EUCC (Regl. 2024/482)
- 27 de febrero de 2025: Se aplica el reglamento; dejan de surtir efecto los esquemas nacionales cubiertos por el EUCC
- 27 de febrero de 2026: Plazo para concluir las certificaciones nacionales iniciadas antes del 27 de febrero de 2025
- 31 de diciembre de 2027: Último día para expedir certificados EUCC basados en versiones anteriores de los Criterios Comunes
DORA (Reglamento (UE) 2022/2554)
- 17 de enero de 2025: El reglamento es aplicable
- 18 de noviembre de 2025: Las Autoridades Europeas de Supervisión designan los primeros 19 proveedores terceros críticos de servicios TIC
- 17 de enero de 2028: Revisión general del reglamento por la Comisión
Reglamento de Ciberseguridad (UE) 2019/881
- 28 de junio de 2029: Próxima evaluación quinquenal de la Comisión sobre ENISA y el marco de certificación
Reglamento ECCC (UE) 2021/887
- 31 de diciembre de 2029: Termina el mandato del Centro de Competencia, salvo prórroga
Part-IS: seguridad de la información en la aviación
- 16 de octubre de 2025: Se aplica el Reglamento Delegado (UE) 2022/1645 (aeródromos y organizaciones de diseño y producción)
- 1 de enero de 2026: La Part-IS se aplica al proveedor de servicios de navegación aérea EGNOS
- 22 de febrero de 2026: Se aplican los requisitos Part-IS a autoridades y organizaciones
- 27 de marzo de 2031: Los requisitos de seguridad de la información se extienden a las organizaciones de asistencia en tierra (Reglamento Delegado (UE) 2025/22)
Las fechas de las que solo se conocen el mes o el año aparecen al inicio del periodo.
2026 (4)
- Nuevas prohibiciones del Reglamento (UE) 2026/1744 y marcado de contenidos de sistemas generativos ya comercializados
Reglamento de IA (UE) 2024/1689 - Los Estados miembros procuran contar con un número suficiente de organismos notificados
Reglamento de Ciberresiliencia (UE) 2024/2847 - Cada Estado miembro debe ofrecer al menos una cartera europea de identidad digital
eIDAS 2 (Reglamento (UE) 2024/1183) - Plantilla de escenario para los ejercicios a nivel de entidad y de Estado miembro (después cada tres años)
Código de red de ciberseguridad eléctrica (NCCS)
2027 (14)
- Primer informe bienal de la Comisión sobre la aplicación
Ciberseguridad de las instituciones de la UE (2023/2841) - El reglamento se aplica en su mayor parte; queda derogada la Directiva de máquinas 2006/42/CE
Reglamento de máquinas (UE) 2023/1230 - Primera evaluación del reglamento por la Comisión (después al menos cada cuatro años)
Reglamento de Cibersolidaridad (UE) 2025/38 - Se aplican las normas procedimentales comunes para los casos transfronterizos (Reglamento (UE) 2025/2518)
RGPD (Reglamento (UE) 2016/679) - Primera actualización bienal de las listas de entidades esenciales e importantes y comunicación de las cifras a la Comisión
Directiva SRI 2 (UE) 2022/2555 - Informe de la Comisión sobre las medidas de transposición de los Estados miembros
Directiva REC (UE) 2022/2557 - Espacios controlados de pruebas nacionales operativos; adaptación de los modelos de uso general comercializados antes de agosto de 2025
Reglamento de IA (UE) 2024/1689 - Primera revisión de la directiva por la Comisión
Directiva SRI 2 (UE) 2022/2555 - Sistemas de alto riesgo del anexo III (fecha aplazada por el ómnibus digital)
Reglamento de IA (UE) 2024/1689 - Se aplican los procedimientos de conformidad de los productos importantes y críticos con el CRA
CRA: productos importantes y críticos (Regl. 2025/2392) - El reglamento se aplica en su totalidad
Reglamento de Ciberresiliencia (UE) 2024/2847 - Derogado por el Reglamento Delegado (UE) 2026/339: lo sustituye el Reglamento de Ciberresiliencia
Reglamento Delegado RED (UE) 2022/30 - Las partes usuarias privadas obligadas a la autenticación reforzada deben aceptar la cartera a petición del usuario
eIDAS 2 (Reglamento (UE) 2024/1183) - Último día para expedir certificados EUCC basados en versiones anteriores de los Criterios Comunes
Esquema de certificación EUCC (Regl. 2024/482)
2028 (8)
- Revisión general del reglamento por la Comisión
DORA (Reglamento (UE) 2022/2554) - Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE
Reglamento de Ciberresiliencia (UE) 2024/2847 - Plazo máximo para notificar a las entidades que son entidades de alto impacto o de impacto crítico
Código de red de ciberseguridad eléctrica (NCCS) - Primer informe de los puntos de contacto únicos sobre las notificaciones de incidentes (después cada dos años)
Directiva REC (UE) 2022/2557 - Primer informe de evaluación y revisión de la Comisión (después cada cuatro años)
Reglamento de máquinas (UE) 2023/1230 - Sistemas de alto riesgo del anexo I (fecha aplazada por el ómnibus digital)
Reglamento de IA (UE) 2024/1689 - Plazo de aplicación de los requisitos sobre sistemas de IA de alto riesgo añadidos por actos delegados
Reglamento de máquinas (UE) 2023/1230 - Informe de la Comisión sobre la eficacia de la plataforma única de notificación
Reglamento de Ciberresiliencia (UE) 2024/2847
2029 (5)
- Evaluación del funcionamiento del reglamento por la Comisión
Ciberseguridad de las instituciones de la UE (2023/2841) - Primer informe de revisión de la Comisión sobre el funcionamiento de la Directiva
Directiva REC (UE) 2022/2557 - Próxima evaluación quinquenal de la Comisión sobre ENISA y el marco de certificación
Reglamento de Ciberseguridad (UE) 2019/881 - Termina el mandato del Centro de Competencia, salvo prórroga
Reglamento ECCC (UE) 2021/887 - Primeros ejercicios regionales de ciberseguridad (después cada tres años)
Código de red de ciberseguridad eléctrica (NCCS)
2030 (1)
- Primer informe de evaluación y revisión del reglamento (después cada cuatro años)
Reglamento de Ciberresiliencia (UE) 2024/2847
2031 (2)
- Los requisitos de seguridad de la información se extienden a las organizaciones de asistencia en tierra (Reglamento Delegado (UE) 2025/22)
Part-IS: seguridad de la información en la aviación - Plazo máximo para los planes regionales de mitigación de riesgos de ciberseguridad
Código de red de ciberseguridad eléctrica (NCCS)