La pregunta "¿debe la formación en seguridad ser obligatoria?" tiene dos capas. Jurídicamente, en varios marcos lo es. En la práctica, solo funciona si la obligación se aplica bien; si no, casillas sin cambio de conducta. ¿Dónde está el equilibrio y cómo montar una formación obligatoria que sí cambie algo?
Lo que dice la ley sobre la obligación
En 2026 la formación en concienciación es de hecho obligatoria por varios marcos: NIS2/Cbw, DORA, RGPD, Reglamento IA. Cbw artículo 24 obliga expresamente al consejo.
Una organización sin un programa base obligatorio entra en problemas en cada auditoría o incidente.
Ningún marco fija duración u horarios. Conductualmente el microlearning corto y frecuente funciona mejor.
Por qué la pura obligación no basta
Obligación sin explicación: alta terminación, poco aprendizaje.
Voluntariedad pura: por debajo del 30 %; público equivocado.
Punto medio: base obligatoria con porqué + módulos por rol recomendados.
Tres ingredientes de una obligación aceptada
Tres palancas:
- Explicar el porqué.
- Plazos razonables y ritmo propio.
- Conexión con la realidad. Aplicable a lo privado.
Qué hacer con los que rechazan
Tres tipos:
El veterano escéptico: reconocimiento, consejo, embajador.
El especialista ocupado: ligero, libertad de horario.
El rechazo por principio: vía RR. HH. con análisis laboral.
Sanciones y consecuencias
Sanciones duras contraproducentes. Lo que sí funciona:
Restricción de acceso a sistemas concretos hasta terminar la base.
Visibilidad agregada: tasas por departamento, sin nombres.
Consejo (Cbw art. 24): responsabilidad personal posible. Documentación crítica.
No funciona: exposición pública, recapacitación forzada por clic, disciplinario sin aviso.
Cómo anclar esto en un programa de concienciación
Base obligatoria para todos, anual, 20–30 minutos en microlearning. RGPD, AUP, Cbw, Reglamento IA art. 4.
Módulos por rol recomendados. 70–90 % los hace voluntariamente con buen porqué.
Formación del consejo obligatoria y documentada.
Simulaciones de phishing con microlearning posterior, sin sanción.
Una plataforma lista para auditoría.
Descubra cómo 2LRN4 convierte este tema en un programa funcional con formación, simulación de phishing e informes para la dirección.
Ver la página NIS2Artículos relacionados
- Requisitos de cumplimiento
- Lograr que los empleados hagan la formación
- Diferencia seguridad vs cumplimiento
- Política de uso aceptable (AUP)
Fuentes
FAQ
¿Es legalmente obligatoria?
De facto sí: NIS2/Cbw, DORA, RGPD, Reglamento IA. Cbw art. 24 explícito para consejo.
¿Obligatoria mejor que voluntaria?
No automáticamente. Punto medio: base obligatoria explicada + recomendados.
¿Y los que rechazan?
Analizar tipo; principio vía RR. HH. y análisis laboral.
¿Bloquear acceso si no se termina?
Sí, proporcional y en política.
¿Sanción al consejo?
Cbw art. 24: responsabilidad personal posible.
¿Recapacitación forzada por clic?
Contraproducente. Daña la cultura de notificación.
¿Cómo medir si funciona?
Terminación + métricas de simulación.
Fuente externa: European Commission - NIS2 Directive