Observatorio normativo cyber: las novedades de octubre de 2026

Las cinco novedades normativas de octubre de 2026 que importan a quien asume el riesgo cyber: el decreto italiano que aplica el Reglamento de IA, el registro NIS2 simplificado, la posición del Consejo de la UE sobre el Ómnibus digital, una sanción de la autoridad italiana de protección de datos por una brecha causada por ransomware y el primer recordatorio de las obligaciones de notificación del Cyber Resilience Act.

Observatorio normativo · octubre de 2026 · por cybercoverinsurance

Octubre de 2026 pone plenamente en marcha el Reglamento de IA en Italia, simplifica la gestión de NIS2 y abre en Europa el debate sobre un canal único de notificación de incidentes. Para quien asume el riesgo cyber, sin embargo, el dato más útil es una sanción de la autoridad italiana de protección de datos: enumera, control por control, las carencias que convirtieron un ransomware en una brecha de datos.

En resumen

Reglamento de IA en Italia: desde el 23 de octubre de 2026 está en vigor el Decreto Legislativo 179/2026, que da a la ACN poderes de supervisión y fija las sanciones.
NIS2: la determinación ACN n.º 314287/2026 simplifica el registro de 2027 para quien ya figura en la lista.
Ómnibus digital: el 21 de octubre de 2026 el Consejo de la UE aprobó su posición, que reescribe la notificación de brechas de datos.
Autoridad italiana de protección de datos: una empresa de ingeniería sancionada con 120.000 euros tras un ransomware, por carencias en autenticación, segmentación y copias de seguridad.
Cyber Resilience Act: las autoridades europeas recuerdan a los fabricantes la obligación de notificar las vulnerabilidades de PHP explotadas.

1. El decreto que aplica el Reglamento de IA está en vigor

El Decreto Legislativo italiano n.º 179 de 7 de octubre de 2026, publicado en el Boletín Oficial n.º 234 de 8 de octubre, está en vigor desde el 23 de octubre de 2026 (Quotidiano Sanità, Normattiva). La ACN se convierte en la autoridad general de vigilancia del mercado, con poderes de inspección incluso sin previo aviso; la AgID supervisa a los organismos de evaluación de la conformidad; la autoridad de protección de datos, Banca d'Italia, Consob e IVASS cooperan en sus sectores. Las sanciones reproducen las del Reglamento de IA: hasta 35 millones de euros o el 7 % del volumen de negocios por prácticas prohibidas, hasta 15 millones o el 3 % por las demás obligaciones.

El decreto prohíbe además que las decisiones finales sobre contratación, despido, régimen disciplinario y evaluación de los trabajadores se tomen solo mediante sistemas automatizados, bajo pena de nulidad.

Para la suscripción: junto con el Decreto Legislativo 160/2026, en vigor desde el 30 de septiembre, el marco italiano está completo. Hay una autoridad con poderes de inspección, y el incumplimiento del Reglamento de IA hace presumir el nexo causal en una reclamación de daños. Detalles en la ficha sobre el Reglamento de IA.

2. NIS2: registro más sencillo desde 2027

La determinación ACN n.º 314287/2026, aplicable desde el 25 de octubre de 2026, sustituye a la n.º 127437/2026 (CyberSecItalia). Quien ya figura en la lista NIS y no tiene datos que cambiar no debe registrarse de nuevo en la ventana de enero-febrero de 2027. Se prevén obligaciones específicas en caso de fusiones y cesiones de ramas de actividad vinculadas a las actividades NIS. La enumeración y categorización de actividades y servicios siguen fijadas entre el 1 de mayo y el 30 de junio.

Para la suscripción: la regla sobre fusiones y cesiones es útil en las operaciones societarias. Una rama de actividad NIS que cambia de titular lleva consigo las obligaciones de registro, y el cuestionario de suscripción debe tenerlo en cuenta. El cuadro completo está en la ficha NIS2.

3. Ómnibus digital: el Consejo de la UE reescribe la notificación de brechas de datos

El 21 de octubre de 2026 el Consejo de la UE aprobó su posición sobre el Ómnibus digital, el paquete de simplificación de las normas digitales (NicFab). Dos puntos afectan directamente a la gestión de incidentes:

la notificación de una brecha de datos a la autoridad solo sería obligatoria para las brechas de alto riesgo, en 96 horas en lugar de las 72 actuales;
el punto único europeo de notificación de incidentes se convertiría en un punto informativo que remite a los canales nacionales, con un nuevo artículo 23 ter de NIS2.

La posición se extiende también a la notificación de incidentes DORA. El texto no es ley: ahora toca la negociación con el Parlamento Europeo.

Para la suscripción: si se aprueba, menos notificaciones obligatorias a las autoridades de protección de datos significan menos costes de notificación y menos sanciones por notificaciones tardías en incidentes menores. Nada cambia para NIS2, DORA y el CRA, que mantienen sus propios plazos.

4. Autoridad italiana de protección de datos: las carencias detrás de un ransomware

En una resolución de julio de 2026, comentada el 13 de octubre, la autoridad italiana de protección de datos sancionó con 120.000 euros a una consultora de ingeniería afectada por un ransomware en octubre de 2024 (Data Protection Law). La empresa trataba datos por cuenta de más de 1.200 clientes; parte de los datos robados, incluidos datos de salud, se publicó en la dark web en diciembre de 2024. La autoridad constató la infracción de los artículos 5 y 32 del RGPD e indicó cinco carencias:

bloqueo de cuentas tras diez intentos fallidos, pero desbloqueo automático a los cinco minutos;
autenticación multifactor solo en parte de las cuentas, no en la VPN, el cortafuegos ni los dispositivos de red;
red sin segmentar, con los controladores de dominio capaces de alcanzar todas las VLAN, incluida la de las copias de seguridad;
ninguna copia de seguridad fuera de línea o inmutable, con la última copia utilizable de hacía dos meses;
ningún proceso formal de gestión de vulnerabilidades.

Para la suscripción: las cinco carencias coinciden con las preguntas clave de un cuestionario de suscripción cyber. La resolución confirma además que un proveedor con muchos clientes, aquí más de 1.200, es un punto de acumulación: un solo ataque genera un siniestro para el proveedor y obligaciones de notificación para cada cliente.

5. Cyber Resilience Act: primer recordatorio sobre las vulnerabilidades de PHP

El 21 de octubre de 2026 la Comisión Europea, ENISA, CERT-EU, Europol y la red de CSIRT emitieron una declaración conjunta sobre vulnerabilidades críticas de PHP (NicFab). La declaración recuerda que desde el 11 de septiembre de 2026 los fabricantes deben notificar las vulnerabilidades explotadas activamente a través de la plataforma única de ENISA. Es la primera vez que las autoridades recuerdan públicamente esta obligación para una vulnerabilidad muy extendida.

Para la suscripción: para los fabricantes de software que incluyen PHP en sus productos la obligación de notificación ya está activa. Quien no haya notificado puede exponerse a sanciones y, desde el 9 de diciembre de 2026, a una posición más débil en una reclamación por producto defectuoso. Detalles en la ficha sobre el Cyber Resilience Act.

Próximos plazos

2 de diciembre de 2026: nuevas prohibiciones del Reglamento de IA sobre sistemas que generan imágenes íntimas no consentidas.
9 de diciembre de 2026: la Directiva (UE) 2024/2853 convierte el software en producto a efectos de la responsabilidad por productos defectuosos.
1 de enero - 28 de febrero de 2027: ventana de registro NIS 2027 en Italia, con las nuevas reglas de la determinación 314287/2026.

Impacto para las aseguradorasMedio

Octubre completa el marco italiano del Reglamento de IA y simplifica NIS2, mientras el Ómnibus digital sigue en negociación; la sanción de la autoridad de protección de datos ofrece una lista concreta de controles que verificar en la suscripción.