Criterios

Protección de datos · reglamento · https://eur-lex.europa.eu/eli/reg/2016/679/oj

• OLos responsables y encargados deben aplicar medidas técnicas y organizativas apropiadas para garantizar una seguridad adecuada al riesgo, incluida la protección frente al tratamiento no autorizado o ilícito y frente a pérdida, destrucción o daño accidental, mediante medidas como confidencialidad, integridad, disponibilidad, resiliencia, seudonimización, cifrado y procesos periódicos de verificación cuando proceda. En contexto cuántico, esta obligación no se traduce automáticamente en un mandato universal de criptografía poscuántica, sino en un análisis de seguridad conforme al riesgo, al estado de la técnica, a los costes, a la naturaleza, al alcance, al contexto y a los fines del tratamiento. El fundamento se encuentra en los artículos 5.1.f y 32 RGPD. (responsable, encargado)
• ILa transición progresiva a criptografía poscuántica debe formularse como medida interpretativa de gestión del riesgo HNDL, priorizable cuando la criticidad de los datos, su vida útil de confidencialidad, la exposición criptográfica y el estado de la técnica lo justifiquen. El RGPD no impone, por sí mismo, una obligación automática y universal de migración PQC para todo responsable o encargado. (responsable, encargado)
• IEl responsable debe aplicar protección de datos desde el diseño y por defecto al determinar los medios del tratamiento y durante el propio tratamiento. En sistemas con exposición criptográfica relevante, esa obligación puede justificar inventario criptográfico, cripto-agilidad, minimización y controles de seguridad si resultan proporcionados al riesgo, pero esas medidas concretas deben mantenerse como desarrollo interpretativo y no como requisito uniforme para todos los tratamientos. El fundamento de diseño y defecto se encuentra en el artículo 25 RGPD. (responsable)
• ILa evaluación de impacto relativa a la protección de datos debe realizarse antes del tratamiento cuando sea probable que un tipo de tratamiento, en particular con nuevas tecnologías, entrañe un alto riesgo para los derechos y libertades de las personas físicas. El uso de tecnología cuántica o de técnicas de machine learning cuántico no activa por sí solo la EIPD si no concurre la probabilidad de alto riesgo exigida por el artículo 35 RGPD. (responsable)
• ILa reidentificación de datos anonimizados mediante técnicas cuánticas debe describirse como hipótesis técnica que exige evaluación con evidencia y con los medios razonablemente utilizables, y no como capacidad general demostrada ni como consecuencia jurídica automática. Se mantiene la distinción entre datos anónimos fuera de los principios de protección de datos y datos seudonimizados o reidentificables que siguen pudiendo vincularse a una persona física mediante información adicional. (responsable)

Capítulo del Informe: §4.3, §3.1, §5.5 · Fecha de ficha: 27-07-2026

Ciberseguridad y resiliencia · directiva · https://eur-lex.europa.eu/eli/dir/2022/2555/oj

• OLas entidades esenciales e importantes comprendidas en NIS2 deben adoptar medidas técnicas, operativas y organizativas adecuadas y proporcionadas para gestionar los riesgos de ciberseguridad, incluidas políticas sobre criptografía y, cuando proceda, cifrado, sin que ello convierta ninguna tecnología concreta en obligación universal. (entidades esenciales e importantes)
• ILa migración a criptografía poscuántica o a soluciones híbridas puede formar parte de las medidas exigibles bajo NIS2 cuando el análisis de riesgo, la vida útil de los datos, el estado de la técnica y la criticidad del servicio lo justifiquen, pero NIS2 no impone literalmente PQC a toda entidad ni a todo sistema. (entidades incluidas)
• OLas entidades incluidas deben gestionar la seguridad de la cadena de suministro respecto de proveedores directos, incluidos proveedores de computación, componentes o servicios cuánticos cuando soporten redes y sistemas relevantes, con alcance condicionado por actividad, tamaño, sector, establecimiento, excepciones y norma nacional aplicable. (entidades incluidas)
• OLas entidades incluidas notificarán incidentes significativos conforme al art. 23.4 NIS2: alerta temprana sin demora indebida y a más tardar24h, notificación a más tardar72h desde conocimiento y actualización/informe intermedio a solicitud. El informe final se presenta a más tardar un mes tras la notificación; si el incidente continúa, informe de situación y final en un mes desde haberlo gestionado. Para incidentes significativos de prestadores de servicios de confianza que afecten a sus servicios, la notificación de la letra b) se adelanta a24h. Estos relojes se distinguen del aviso contractual del proveedor al cliente. (entidades incluidas)

Capítulo del Informe: §4.2.1, §6.1 · Fecha de ficha: 27-07-2026

Sostenibilidad e información corporativa · directiva · https://eur-lex.europa.eu/eli/dir/2022/2464/oj

• OInformar conforme a CSRD y a la versión de los ESRS aplicable cuando la entidad esté incluida, según la legislación nacional, el ejercicio y el grupo. La Directiva (UE) 2026/470, adoptada el 24-02-2026, publicada el 26-02-2026 y en vigor desde el 18-03-2026, modifica ámbito y calendario; el nuevo umbral europeo combina más de 450 millones de euros de volumen neto y más de 1.000 empleados, con condiciones individuales o de grupo. La transposición de sus arts. 1–3 vence el 19-03-2027: no se atribuye automáticamente una exención a una entidad española. El Reglamento Delegado (UE) 2026/1563 está publicado, pero a 03-10-2026 aún no vigente; prevé entrada el 10-11-2026, aplicación ordinaria a ejercicios iniciados desde 01-01-2027 y opciones expresas para ejercicios iniciados en 2026. Energía y recursos se informan según la materialidad y requisitos aplicables. (entidades incluidas por norma nacional, ejercicio y grupo)
• PComo propuesta metodológica del Observatorio, antes de afirmar una ventaja ambiental de una solución cuántica se documentará una comparación por unidad funcional y sistema completo frente a una alternativa clásica pertinente, incluyendo QPU, criogenia, láseres, control, HPC de apoyo, red, fabricación y materiales, con evidencia y límites. No se afirma una ventaja sin medirla ni se convierte este análisis en una obligación CSRD universal de todo proyecto; el reporting de entidades incluidas se rige por materialidad, ejercicio y versión aplicable. (ecosistema cuántico como pauta editorial)

Capítulo del Informe: §2.5, §7.5 · Fecha de ficha: 27-07-2026