¿Con qué frecuencia deben los empleados hacer formación de seguridad? Versión corta: ni una vez al año, ni cada semana. La práctica muestra que un ritmo de módulos cortos (mensuales o quincenales) más unas simulaciones de phishing al año funciona mejor que el curso anual clásico. ¿Pero qué es practicable, qué dice la ley, y cómo elegir un ritmo que encaje?
Por qué la formación anual ya no basta
El enfoque clásico: un curso de una hora al año, casilla, listo. Para la contabilidad sirve, para el comportamiento ya no.
El panorama de amenazas es demasiado dinámico para actualizaciones anuales. Phishing por IA, deepfake, quishing, evasión de MFA: rutina en 2026, ausentes en cursos de 2024.
DORA art. 13 exige "regular" con eficacia medible. Las autoridades lo leen como al menos trimestral.
Lo que la investigación y la práctica señalan como óptimo
Modelo que funciona:
- Módulos cortos de 4-8 minutos al mes, separados por tema.
- 2-4 simulaciones de phishing al año. Trimestral = punto medio sano.
- Una vez al año una "formación base" formal para cumplimiento.
- Profundización por rol 1-2 veces al año para funciones de riesgo.
- Microlearning inmediato tras un clic en phishing.
Diferencias sectoriales y cadencias de cumplimiento
Finanzas: DORA art. 13. Mensual para funciones de riesgo más profundización semestral.
Sanidad y sector público: Cbw, NEN 7510. Cuatro módulos por trimestre más base anual.
Educación y pymes: seis a diez módulos más dos simulaciones al año alcanzable casi en cualquier sitio.
Qué evitar: fatiga y terminación hueca
Dos problemas con frecuencia demasiado alta:
Fatiga. Módulos obligatorios semanales = resistencia.
Terminación hueca. Lectura sin aprendizaje. Métricas de comportamiento no mejoran.
Buen indicador: tasa de notificación en simulación. Subiendo = ritmo correcto.
Cómo anclar esto en un programa de concienciación
Programa anual practicable:
Onboarding: módulo base 15-20 min en bloques.
Ritmo mensual: un módulo de microlearning al mes.
Ritmo trimestral: una simulación de phishing por trimestre.
Ritmo semestral: profundización por rol.
Ritmo anual: formación del consejo Cbw art. 24.
Administración demostrable en todos los niveles.
Descubra cómo 2LRN4 convierte este tema en un programa funcional con formación, simulación de phishing e informes para la dirección.
Ver la página de formaciónArtículos relacionados
- Microlearning para empleados con poco tiempo
- Hoja de ruta de concienciación 12 meses
- ¿Cómo funcionan las simulaciones de phishing?
- ¿Debe ser obligatoria la formación?
Fuentes
FAQ
¿Con qué frecuencia formar?
Módulos cortos mensuales más 2-4 simulaciones más base anual.
¿Basta lo anual para cumplimiento?
Para RGPD a menudo sí, para Cbw y DORA no. Microlearning mensual = mínimo.
¿Buena frecuencia para simulaciones?
2-4 al año; trimestral = punto medio sano.
¿Cómo evitar la fatiga?
Módulos cortos, temas variados, evitar malos momentos.
¿El ritmo difiere por rol?
Sí. Funciones de riesgo con módulos adicionales 1-2 veces al año.
¿Qué dice DORA?
Art. 13: regular con eficacia medible; trimestral para funciones de riesgo.
¿Cómo saber si la frecuencia es adecuada?
Tres cifras: terminación, clic, notificación en tendencia 6-12 meses.
Fuente externa: NIST - Security awareness and training