Un análisis del panorama regulatorio actual y las modificaciones esperadas en PCI y seguridad electrónica. Qué empresas se verán más afectadas, en qué plazos y cómo anticiparse para convertir el cumplimiento en ventaja competitiva.
Hasta hace una década, la normativa de seguridad en España era relativamente estable: el RIPCI, el RD 2267/2004 para industrial, el CTE para edificación y, para seguridad electrónica, la Ley 5/2014 y su reglamento. Las empresas se adaptaban con tiempo y los cambios eran episódicos.
Eso ya no es así. Entre 2022 y 2026 hemos visto convivir actualizaciones del RIPCI, transposición de NIS2, entrada en vigor del AI Act, revisión del Reglamento F-Gas, nueva regulación sobre almacenamiento energético, publicación del ENS 2022 (RD 311/2022) y modificaciones al Reglamento de Seguridad Privada. Al mismo tiempo, los aseguradores han endurecido sus criterios y los grandes clientes están empezando a exigir a sus proveedores niveles de cumplimiento por encima del mínimo legal.
Este artículo no pretende agotar la materia (imposible), sino dar un mapa útil para que cada organización identifique qué normativa le afecta, en qué plazo y con qué coste.
Para entender los cambios conviene fijar primero el tablero. En PCI, el eje central es el binomio RIPCI + RSCIEI + CTE DB-SI, complementado por las reglas CEPREVEN y las normas EN/UNE. En seguridad electrónica, la Ley 5/2014 de Seguridad Privada y el RD 2364/1994, junto al ENS para administración y operadores esenciales. Por encima de ambos, la normativa horizontal: protección de datos (RGPD, LOPDGDD), ciberseguridad (NIS2 transpuesta mediante RD), resiliencia (CER, DORA para el sector financiero) y, desde 2024, el AI Act.
Cada norma se escribe desde una perspectiva distinta y con objetivos propios, pero al final confluyen en un mismo departamento o contrata: la instalación real. Esa es la razón de que hoy sea cada vez más difícil separar el proyecto PCI, el de seguridad electrónica y el de ciberseguridad (en nuestro artículo sobre tendencias de IA en seguridad electrónica desarrollamos precisamente esta convergencia física-lógica con ejemplos de PSIM y XDR).
El RIPCI (RD 513/2017) ha sido la piedra angular para instaladores y mantenedores durante casi una década. Se esperan modificaciones puntuales en 2026-2027 alineadas con las nuevas reglas CEPREVEN y con la necesidad de cubrir tecnologías emergentes (sistemas de agua nebulizada, detección óptica avanzada, protección específica para litio) (ver detalle en nuestro artículo sobre novedades normativas PCI 2025-2026).
El RITSIC, publicado en 2022, es la pieza que más silenciosamente ha transformado la coordinación de proyectos. Pasa a ser obligatorio en toda obra de nueva planta con determinadas características, y su cumplimiento se verifica a través de proyecto visado y certificación final. Lo más relevante es la integración: obliga a que quien diseña y ejecuta los sistemas de seguridad electrónica lo haga de forma coherente con PCI y con las infraestructuras de telecomunicaciones.
El Reglamento de Seguridad Privada y las órdenes que lo desarrollan establecen los requisitos para las empresas de seguridad, las centrales receptoras de alarmas (CRA) y los sistemas de conexión. En los últimos años se han reforzado los requisitos de:
Esperamos novedades en la Orden ministerial que regula los grados de seguridad, que probablemente se actualice para reflejar la realidad de los entornos con IA: cómo tratar las alarmas verificadas por IA, cómo documentar la cadena de decisión y qué nivel de explicabilidad se exige al algoritmo.
La transposición de la directiva NIS2 (UE 2022/2555) ha ampliado enormemente el universo de empresas obligadas, pasando de los tradicionales sectores críticos a incluir sanidad, alimentación, administración pública, gestión de residuos y proveedores digitales. Los plazos de notificación de incidentes (24/72 horas) y los requisitos de gestión del riesgo de ciberseguridad son exigentes.
DORA (UE 2022/2554) hace lo propio en el sector financiero, con requisitos muy concretos sobre continuidad operativa y resiliencia. La directiva CER (UE 2022/2557) complementa NIS2 en el ámbito de la seguridad física de entidades críticas.
Para el responsable de seguridad física esto se traduce en una realidad: los sistemas CCTV, de control de acceso, de detección y extinción son infraestructura TI y, como tal, están sujetos a los mismos requisitos de gestión de parches, registros de auditoría, control de acceso lógico y gestión de incidentes. El día en que la CRA se cae por un ataque ransomware a la plataforma de videoanalítica, ese incidente es reportable igual que cualquier otro incidente cibernético.
El Reglamento Europeo de Inteligencia Artificial (UE 2024/1689) clasifica los sistemas de IA por niveles de riesgo. La seguridad física entra en escena en varios niveles:
La videoanalítica de conteo de personas, detección de intrusión o clasificación de objetos suele encajar en "riesgo mínimo" o "limitado", y requiere transparencia sobre la existencia del sistema. La identificación biométrica (reconocimiento facial, de marcha, de voz) con fines de seguridad en espacios públicos está muy restringida: requiere autorización específica y es objeto de debate regulatorio.
Recomendación: antes de desplegar un sistema con IA de visión, realizar una evaluación de impacto (DPIA) y documentar la finalidad, los datos procesados y las salvaguardas adoptadas.
En nuestra experiencia, los sectores donde la carga regulatoria está creciendo más rápido y donde los plazos de cumplimiento son más exigentes:
Paso 1. Cerrar el cumplimiento mínimo obligatorio. RIPCI, RSCIEI, normativa de Seguridad Privada, CTE. Auditar el estado, cerrar brechas y mantener la documentación al día. Esto no es opcional.
Paso 2. Cubrir el cumplimiento horizontal. RGPD, NIS2 si aplica, F-Gas, ENS si se da servicio a administración. Normalmente requiere cooperación entre seguridad física, IT, legal y compras.
Paso 3. Anticiparse a los próximos cambios. Normas en revisión, tendencias aseguradoras, exigencias contractuales de grandes clientes. Los líderes trabajan aquí: cuando el cambio se publica, ya están listos, y convierten la normativa en una palanca comercial.
La regulación no va a dejar de crecer, y el coste de cumplir tarde es siempre mayor que el de cumplir a tiempo. Las empresas que abordan el cumplimiento como un proyecto estratégico, no como una urgencia puntual, consiguen tres cosas: reducir riesgo operativo y legal, obtener mejores condiciones de seguro y ganar elegibilidad en concursos donde el cumplimiento es filtro previo.
En SIEF-2 ayudamos a nuestros clientes a navegar este marco con auditorías periódicas, planes plurianuales y diseño integrado. Habla con nuestro equipo si quieres un diagnóstico de tu situación actual.
Conviven actualizaciones del RIPCI, la transposición de NIS2, la entrada en vigor del AI Act, la revisión del Reglamento F-Gas, nueva regulación sobre almacenamiento energético, el ENS 2022 y la situación pendiente del Reglamento de Seguridad Privada: el aprobado por el Real Decreto 2364/1994 sigue en vigor, a la espera de que se publique el nuevo reglamento que desarrolle la Ley 5/2014.
Es el Reglamento de Instalaciones de Telecomunicaciones y Seguridad Integrada en Construcción, obligatorio en obra de nueva planta con determinadas características, y exige coordinar seguridad electrónica, PCI y telecomunicaciones desde la fase de proyecto.
NIS2 regula ciberseguridad para un universo amplio de sectores esenciales y digitales; DORA hace lo propio específicamente para el sector financiero; CER complementa a NIS2 pero centrada en la resiliencia y seguridad física de entidades críticas.
Clasifica los sistemas según su riesgo: la videoanalítica habitual (conteo, intrusión) suele ser de riesgo mínimo o limitado, mientras que la identificación biométrica remota en espacios públicos se considera de alto riesgo y está sujeta a autorización y evaluación de impacto específicas.
Centros de datos, industria química, sanidad, logística/almacenamiento e infraestructuras críticas concentran hoy el mayor volumen de exigencias cruzadas entre PCI, seguridad electrónica y ciberseguridad.
Cuéntanos tu caso y te asesoramos sin compromiso.
Solicitar información