¿Qué temas debe cubrir una buena formación de seguridad para empleados? En 2026 la lista difiere de la de hace cinco años. La alfabetización en IA y las formas modernas de phishing se han añadido, y las viejas listas de "contraseña fuerte, cambiar cada 30 días" no solo están obsoletas sino que en algunos casos son dañinas. ¿Qué debe entrar en 2026 en el programa base, qué en profundización por rol y qué ya no encaja?
El programa base para todos: siete temas clave
En 2026 casi cada empleado necesita la misma base:
- Phishing e ingeniería social.
- Gestión de contraseñas y autenticación.
- Protección de datos y RGPD.
- Uso seguro de dispositivos.
- Uso seguro de nube y colaboración.
- Alfabetización en IA. Obligatoria desde Reglamento IA art. 4.
- Cultura de notificación y respuesta a incidentes.
Profundización por rol para grupos de riesgo
Finanzas: fraude del CEO, BEC, verificación de pagos.
TI: evasión de MFA, suplantación de helpdesk, respuesta a incidentes.
RR. HH.: RGPD y Reglamento IA en reclutamiento.
Sanidad: NEN 7510, datos médicos.
Consejo: Cbw art. 24, gobernanza, tabletops.
Qué es nuevo en 2026 y qué está obsoleto
Cuatro novedades:
- Alfabetización en IA y uso seguro de IA.
- Evasión de MFA y passkeys.
- Quishing y códigos QR.
- Voces deepfake y fraude del CEO 2.0.
Temas obsoletos
Tres patrones a quitar:
Rotación a 30 días: obsoleta; NIST y NCSC recomiendan longitud sin rotación forzada.
"Phishing se reconoce por errores de idioma": falso con IA.
"No haga clic en enlaces": demasiado abstracto; mejor verificar el dominio, pasar el cursor.
Cómo distribuir los temas en el año
Ejemplo: enero RGPD, febrero phishing, marzo contraseñas, abril IA, mayo dispositivos, junio nube, julio pausa, agosto simulación, septiembre notificación, octubre por rol, noviembre consejo/cumplimiento, diciembre retrospectiva.
Vincular cumplimiento al onboarding y aceptación anual de la AUP.
Variar la forma: e-learning, carteles, vídeos, noticias internas.
Descubra cómo 2LRN4 convierte este tema en un programa funcional con formación, simulación de phishing e informes para la dirección.
Ver la página de formaciónArtículos relacionados
- Cómo elegir contenido de concienciación
- Seguridad del correo electrónico e ingeniería social
- Mejores prácticas de gestión de contraseñas
- ¿Con qué frecuencia formar?
Fuentes
FAQ
¿Qué temas en la base?
Phishing, contraseñas, RGPD, dispositivos, nube, IA, notificación.
¿Qué es profundización por rol?
Módulos extra para grupos de riesgo (finanzas, TI, RR. HH., sanidad, consejo).
¿Novedades en 2026?
Alfabetización IA, evasión MFA, quishing, deepfake.
¿Temas obsoletos?
Rotación 30 días, errores como indicador, "no haga clic".
¿Cuántos temas al año?
Siete temas clave distribuidos en doce módulos de microlearning.
¿La alfabetización IA es obligatoria?
Sí, desde el 2 de febrero de 2025 bajo el art. 4 del Reglamento IA.
¿Cómo combinar con simulaciones?
Microlearning mensual + simulación trimestral + retroalimentación inmediata al clic.
Fuente externa: NIST - Security awareness and training