--- title: "RGPD y ciberseguridad gestionada | DataRoad IT" description: "RGPD y ciberseguridad gestionada: 10 controles técnicos del art. 32, contratos del art. 28 y 72 horas para notificar a la autoridad. Propuesta sin compromiso." language: es url: https://www.dataroad-it.com/es/rgpd-medidas-tecnicas-infraestructura-it/ source: https://www.dataroad-it.com/es/rgpd-medidas-tecnicas-infraestructura-it/ publisher: DataRoad IT (DataRoad - IT Services and Consulting), Portugal --- > RGPD y ciberseguridad gestionada: 10 controles técnicos del art. 32, contratos del art. 28 y 72 horas para notificar a la autoridad. Propuesta sin compromiso. # RGPD y ciberseguridad gestionada: 10 controles técnicos clave En resumen Para directivos con poco tiempo. - 01 El artículo 32 del RGPD exige cifrado, control de accesos, recuperación de datos y pruebas periódicas. - 02 Una brecha se notifica a la autoridad, por regla general, en 72 horas; siempre se documenta. - 03 El proveedor de IT suele ser encargado del tratamiento y su contrato debe cumplir el artículo 28. - 04 DataRoad implanta y documenta los controles técnicos; no presta asesoramiento jurídico. ### En este artículo **Una brecha de datos personales sin medidas técnicas documentadas convierte un incidente de IT en un problema con la autoridad de protección de datos, con los clientes y con la reputación de la empresa.** Para la infraestructura, el RGPD se traduce en diez controles al alcance de cualquier organización de más de 10 puestos, que hay que implantar y, sobre todo, demostrar. DataRoad - IT Services and Consulting los organiza aquí en tres bloques (saber, proteger, demostrar) y explica las primeras 72 horas tras una brecha. Queda fuera la parte jurídica (bases legales, consentimientos, derechos de los interesados), que corresponde a su abogado o delegado de protección de datos. En Portugal, la autoridad competente es la CNPD. ## RGPD y ciberseguridad gestionada: ¿qué debe saber ya? - **Artículo 32** Impone una seguridad técnica efectiva: cifrado, confidencialidad, recuperación de datos y evaluación periódica. - **72 horas** Es el plazo general para notificar a la autoridad, contado desde que la empresa tiene conocimiento, mediante el formulario correspondiente. - **Registro de todo** Cada brecha se documenta, incluidas las que no llegan a notificarse. - **Artículo 28** Quien le presta servicios de IT y accede a sus datos es, por regla general, encargado del tratamiento; el contrato tiene que respetar este artículo. ## ¿Qué exige la ley a la infraestructura, sin jerga jurídica? El Reglamento (UE) 2016/679 no impone marcas ni productos. Pide una seguridad proporcional al riesgo. El apartado 1 del artículo 32 enumera ejemplos: seudonimización y cifrado; confidencialidad, integridad, disponibilidad y resiliencia permanentes; restablecimiento rápido del acceso a los datos tras un incidente; y pruebas periódicas de la eficacia de las medidas. En términos de gestión, cuatro garantías: acceso solo para quien lo necesita, cambios controlados, recuperación a tiempo y verificación periódica. Y datos personales son todo lo que identifica a una persona: nombre, email, número fiscal, dirección, expediente de cliente, nómina. ## Bloque 1: saber dónde están los datos y quién los toca - **Inventario de datos personales**: recorrer servidor, Microsoft 365, facturación, discos externos, software de RR. HH. y buzones antiguos. Resultado: una tabla con el tipo de datos, el sistema y el responsable. - **Mínimo privilegio**: permisos definidos por función: el comercial no ve nóminas, la recepción no accede a la carpeta de la gerencia. Con cada cambio de puesto, se revisan de nuevo. - **Contratos con quien trata datos por usted**: proveedor de IT, nube, gestoría de nóminas. El artículo 28 obliga a garantías suficientes y a un contrato escrito que defina instrucciones, confidencialidad, seguridad, condiciones para recurrir a terceros, colaboración ante una brecha y devolución o destrucción de los datos al final. Vea qué comprobar en [cláusulas de salida y de datos en un contrato de IT](https://www.dataroad-it.com/es/contrato-msp-clausulas-salida-datos/). ## Bloque 2: proteger frente a pérdida, robo y ataque - **Autenticación multifactor**: gran parte de las intrusiones nace de una contraseña comprometida. El segundo factor, normalmente en el móvil, tiene que proteger correo, nube y acceso remoto. - **Cifrado**: una de las dos medidas que cita el propio artículo 32: discos cifrados en los portátiles, móviles gestionados y bloqueados, backups cifrados. - **Actualizaciones con plazo definido**: los sistemas sin parches son la vía más frecuente para perder integridad y resiliencia. Fije plazos de instalación y retire los equipos que el fabricante ha dejado de soportar. - **Copias de seguridad restauradas en la práctica**: sin restauración probada, el backup es solo una hipótesis. Recomendamos al menos una prueba por trimestre: vea [el simulacro de restauración de 30 minutos](https://www.dataroad-it.com/es/backup-gestionado-prueba-restauracion/) y el servicio de [backup gestionado](https://www.dataroad-it.com/es/backup-gestionado-empresas-portugal/). ## Bloque 3: demostrar diligencia cuando alguien pregunte - **Logs de acceso**: inicios de sesión, entradas en carpetas sensibles, cambios de permisos. Ante un incidente, son estos registros los que permiten decir a la autoridad qué datos se han visto afectados. - **Plan de respuesta para las primeras 72 horas**: quién decide, quién reúne la información técnica, quién rellena la notificación. Todo acordado antes de que haga falta. - **Revisión anual por escrito**: la exigencia del artículo 32 que más se olvida. Una revisión al año, con las correcciones registradas, es la mejor prueba de que la empresa ha actuado con diligencia. ## ¿Qué hacer en las 72 horas posteriores a una brecha? El artículo 33 y las orientaciones de la CNPD fijan la notificación en un máximo de 72 horas desde que se tiene conocimiento, salvo que la brecha no suponga un riesgo para los derechos de los interesados. Si el riesgo es alto, el artículo 34 obliga además a comunicarlo a los propios interesados. | Cuándo | Qué | Quién | | --- | --- | --- | | Detección | Alerta técnica, queja, petición de rescate o portátil desaparecido | El empleado que lo detecta, avisando al soporte | | Horas siguientes | Contención: aislar máquinas, bloquear cuentas, conservar logs | Equipo técnico de IT | | Primer día | Entender qué datos y cuántos interesados están afectados | IT y dirección | | Hasta el 3.er día | Decidir y, si procede, presentar el formulario a la CNPD | La empresa, como responsable del tratamiento | | En todo caso | Registrar la brecha, sus consecuencias y las medidas adoptadas | La empresa | Dos detalles sorprenden a muchas empresas. Documentar es obligatorio aunque no haya notificación. Y el encargado del tratamiento, proveedor de IT incluido, tiene que avisar al cliente sin dilación indebida. Un portátil perdido sin cifrar puede constituir una brecha; con el disco cifrado, la evaluación del riesgo es otra. ## Ejemplo real: continuidad en una entidad pública En un contrato público con la União de Freguesias de Massamá e Monte Abraão, DataRoad instaló y configuró un servidor nuevo, colocó SAI (baterías que mantienen los equipos funcionando cuando falla la energía), implantó backups locales y en la nube y migró datos y configuraciones. Es disponibilidad tal como la describe el artículo 32: datos guardados en más de un lugar y recuperables. [Conozca el proyecto en Massamá y Monte Abraão](https://www.dataroad-it.com/es/massama-monte-abraao-servidor-backups/). ## ¿Cómo ayuda la ciberseguridad gestionada de DataRoad? Implantamos y documentamos los controles técnicos: accesos, cifrado, backups, actualizaciones, logs, firewall. No prestamos asesoramiento jurídico. En 11 años, DataRoad nunca ha sufrido un incidente de seguridad. Cualquier contrato IT Unlimited incluye seguridad. Con el [plan Premium](https://www.dataroad-it.com/es/it-unlimited-premium-asistencia-presencial/) gana además asistencia presencial ilimitada, útil cuando hay que actuar físicamente en un servidor o un puesto. Más información sobre [ciberseguridad gestionada para empresas](https://www.dataroad-it.com/es/ciberseguridad-empresas/) y las [siete políticas internas que toda empresa debe tener](https://www.dataroad-it.com/es/ciberseguridad-gestionada-7-politicas/). ## Preguntas frecuentes ### ¿Tenemos que cifrar todos los datos para cumplir el RGPD? No es obligatorio cifrarlo todo, pero el cifrado figura expresamente como medida adecuada. En backups, móviles y portátiles es la forma más sencilla de impedir que una pérdida se convierta en una brecha grave. ### ¿Hay que comunicar a la autoridad un portátil perdido? Solo si hay riesgo para los interesados. Si el disco está cifrado y se borra a distancia, ese riesgo baja mucho. El incidente queda siempre registrado y la decisión corresponde al responsable del tratamiento, con apoyo jurídico cuando sea necesario. ### ¿Nuestro socio de IT cuenta como encargado del tratamiento? Sí, en la mayoría de los casos, siempre que acceda a sistemas con datos personales. El contrato tiene entonces que respetar el artículo 28: instrucciones, confidencialidad, seguridad, colaboración en incidentes y devolución o destrucción de los datos. ### ¿Cuál es el plazo para notificar una brecha? Por regla general, 72 horas desde que la empresa tiene conocimiento, mediante el formulario de la autoridad (la CNPD en Portugal). Si se supera ese plazo, la notificación debe justificar el retraso. ## Fuentes - [EUR-Lex: RGPD, Reglamento (UE) 2016/679 (arts. 28, 32, 33 y 34)](https://eur-lex.europa.eu/legal-content/PT/TXT/HTML/?uri=CELEX:32016R0679) - [CNPD: violaciones de datos personales (en portugués)](https://www.cnpd.pt/organizacoes/outras-obrigacoes/violacao-de-dados-ou-data-breach/) - [CNPD: notificación de brechas (en portugués)](https://www.cnpd.pt/DataBreach/DataBreach_pt.aspx) ## ¿Quiere saber qué le falta a su infraestructura? En 10 días laborables evaluamos los diez controles en sus sistemas y le dejamos por escrito las carencias y el orden para cerrarlas. Pida una propuesta sin compromiso. **Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico.** Llame al +351 211 459 950 * o escriba a sales@dataroad.pt. **Llamada a la red fija portuguesa.* Elegida por empresas reconocidas e internacionales ★★★★★ 5,0 · 52 reseñas en Google ★★★★★ 5,0 · 52 reseñas en Google DataRoad ## Artículos relacionados [IT gestionado y ciberseguridadEquipos de viaje: portátiles, móviles y Wi-Fi público segurosEl riesgo real de un viaje es el portátil perdido sin cifrar, no el Wi-Fi del hotel. Con disco cifrado, gestión central, MFA y conexión cont…12 de octubre de 2026 · 7 min de lectura](https://www.dataroad-it.com/es/ciberseguridad-equipos-viaje-portatiles-wifi-publico/)[IT gestionado y ciberseguridadSuperficie de ataque externa: lo que internet ve de su empresaLos ataques automáticos buscan versiones vulnerables y el tamaño de la empresa no importa. En 2025, el CERT.PT registró 3.864 incidentes, un…12 de octubre de 2026 · 5 min de lectura](https://www.dataroad-it.com/es/superficie-ataque-externa-ciberseguridad/)[IT gestionado y ciberseguridadNOC y ciberseguridad gestionada: quién vigila su pyme, y cuándoLa cuestión no es tener un SOC: es saber quién recibe la alerta a las 22 h de un sábado y qué hace después. En DataRoad, noches, fines de se…12 de octubre de 2026 · 6 min de lectura](https://www.dataroad-it.com/es/noc-ciberseguridad-gestionada-pymes/)[IT gestionado y ciberseguridadSeguridad de Microsoft 365: los 10 controles de la empresaEn Microsoft 365, la plataforma es de Microsoft y las llaves son suyas. Según Microsoft, el MFA y el bloqueo de la autenticación antigua fre…12 de octubre de 2026 · 7 min de lectura](https://www.dataroad-it.com/es/microsoft-365-responsabilidad-compartida-seguridad/)[IT gestionado y ciberseguridadContraseñas expuestas: auditar el dominio y actuar en 5 díasEl riesgo no es que el email aparezca en una filtración: es que la misma contraseña abra una cuenta de trabajo. Cambiar lo expuesto, MFA en …12 de octubre de 2026 · 6 min de lectura](https://www.dataroad-it.com/es/credenciales-filtradas-verificar-dominio-empresa/)[IT gestionado y ciberseguridadInventario de activos: la base de la gestión del parque y de NIS2Sin inventario de activos no hay renovación planificada, seguridad demostrable ni respuesta al CNCS. Las entidades NIS2 deben enviar la list…12 de octubre de 2026 · 7 min de lectura](https://www.dataroad-it.com/es/inventario-activos-parque-informatico-nis2/)[IT gestionado y ciberseguridadCuentas break-glass en Microsoft 365: el seguro de la empresaUn administrador bloqueado puede dejar correo, Teams y archivos sin gestión durante días. Las cuentas break-glass son el administrador de re…12 de octubre de 2026 · 5 min de lectura](https://www.dataroad-it.com/es/cuentas-break-glass-microsoft-365/)[IT gestionado y ciberseguridadWindows 365 en la empresa: cuándo el PC en la nube reduce costesEl PC en la nube compensa en consultores, temporeros, equipos sin oficina y parques mixtos Mac y Windows. Para vídeo, CAD o internet débil, …12 de octubre de 2026 · 6 min de lectura](https://www.dataroad-it.com/es/windows-365-empresas-pc-nube-costes/)[IT gestionado y ciberseguridadBackup gestionado: la prueba de restauración de 30 minutosUna copia nunca restaurada es un riesgo aplazado. En 30 minutos, un documento antiguo, un correo borrado y un servidor arrancado en aislamie…12 de octubre de 2026 · 7 min de lectura](https://www.dataroad-it.com/es/backup-gestionado-prueba-restauracion/) Cifras que puede verificar **11** años en el mercado **232** clientes **< 10 min** tiempo medio de respuesta **15+** Certificaciones IT de fabricantes **10+** Países con clientes atendidos **5,0 ★** 52 reseñas en Google Transparencia ## Lo que muchos proveedores no muestran, nosotros lo publicamos. [Ver planes y precios →](https://www.dataroad-it.com/it-unlimited/) - **Precios a la vista** Essential desde 395 €/mes + IVA, Premium desde 750 € y Premium 365 desde 1.200 €. - **Sin permanencia** Contrato anual, sin permanencia y sin costes de alta. - **Todo por escrito** Qué incluye, el alcance y el precio, antes de firmar. - **Soporte sin horas contadas** Remoto y telefónico en todos los planes; presencial desde Premium. Partners y certificaciones DataRoad · Ciberseguridad gestionada ## One StepAhead of IT. El riesgo es de la dirección, la protección es nuestra. En 11 años, DataRoad nunca ha sufrido un incidente de seguridad. - **232** empresas protegidas - **0** incidentes de seguridad en DataRoad en 11 años - **M365** con copia fuera de las instalaciones We do **IT** right. DataRoad IT Unlimited ## ¿Cuánto costaría a su empresa un día sin sistemas? Solicite una evaluación de riesgo sin compromiso. [Solicitar propuesta sin compromiso →](https://www.dataroad-it.com/es/#contact)+351 211 459 950 **Llamada a la red fija nacional portuguesa · Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico[¿No sabe qué necesita? Hable con el asistente →](https://www.dataroad-it.com/es/#assistente) --- Versão HTML desta página: https://www.dataroad-it.com/es/rgpd-medidas-tecnicas-infraestructura-it/