Digitalización societaria en la Unión Europea: certificado de sociedad, poder digital y circulación de información registral (also, lesson2)

La Directiva (UE) 2025/25 ya fue objeto de atención en este blog en la entrada de 11 de marzo de 2026, «La Directiva (UE) 2025/25: la segunda ola de digitalización societaria en la Unión Europea». Retomamos ahora aquella aproximación para desarrollar sus principales instrumentos, precisar su alcance y distinguir las infraestructuras que ya funcionan de las novedades sujetas a transposición y aplicación. Afecta a cuestiones habituales en la actividad empresarial transfronteriza: cómo acreditar que una sociedad está constituida, cómo demostrar las facultades de quien actúa en su nombre, y cómo utilizar en otro Estado miembro información que ya consta en un registro mercantil. Sus respuestas combinan documentos armonizados, intercambio electrónico de datos y controles sobre la fiabilidad de la información.

Compostela

La Directiva (UE) 2025/25, de 19 de diciembre de 2024, publicada en el DO L de 10 de enero de 2025, modifica las Directivas 2009/102/CE y (UE) 2017/1132. Continúa la digitalización impulsada por la Directiva (UE) 2019/1151, con especial atención a la utilización transfronteriza de información societaria y a la reducción de formalidades repetidas.

1. Instrumentos europeos para acreditar la existencia de la sociedad y su representación

1.1. El certificado de sociedad de la Unión Europea

1.1.1. Función y contenido

El nuevo artículo 16 ter de la Directiva (UE) 2017/1132 establece el certificado de sociedad de la Unión Europea. Expedido por los registros nacionales, deberá aceptarse en todos los Estados miembros como prueba suficiente de la constitución de la sociedad y de la información registral comprendida en él, referida al momento de su expedición.

Su contenido reúne datos esenciales para identificar a la entidad y conocer su situación jurídica: denominación, forma jurídica, número de inscripción, Estado miembro de registro, identificador único europeo —EUID—, domicilio, fecha de inscripción y capital suscrito cuando proceda. También comprende información sobre el estado de la sociedad, su duración y su objeto, con las condiciones previstas en el precepto.

Especial relevancia tiene la identificación de las personas autorizadas para representar a la sociedad frente a terceros y en juicio, indicando si pueden actuar individualmente o deben hacerlo conjuntamente. En una operación transfronteriza, conocer la identidad del representante resulta insuficiente si se desconoce cómo debe ejercer sus facultades.

El contenido del certificado se adapta a las particularidades de las sociedades personalistas comprendidas en la reforma.

1.1.2. Formatos, autenticación y gratuidad

El certificado podrá obtenerse en formato electrónico o en papel. La versión electrónica deberá autenticarse mediante los servicios de confianza previstos en el Reglamento eIDAS y ser compatible con la cartera europea de identidad digital. En papel, incorporará medios que permitan comprobar electrónicamente su origen y autenticidad.

La Directiva prevé la gratuidad del certificado electrónico propio, aunque admite una excepción cuando ello cause un perjuicio grave a la financiación de los registros nacionales. En todo caso, cada sociedad podrá obtener gratuitamente su certificado al menos una vez por año natural.

1.1.3. Actualidad de la información acreditada

La fecha de expedición conserva una función decisiva. El certificado acredita información registral en un momento determinado; su utilidad práctica exige valorar la actualidad de esos datos cuando se emplea.

1.2. El poder de representación digital de la Unión Europea

1.2.1. Procedimientos comprendidos y alcance de la autorización

El nuevo artículo 16 quater introduce un modelo común multilingüe de poder de representación digital de la UE. Permitirá que las sociedades autoricen a una persona a representarlas en procedimientos comprendidos en la Directiva que deban realizarse en otro Estado miembro.

Entre los procedimientos expresamente contemplados figuran la constitución de sociedades, el registro o cierre de sucursales y las transformaciones, fusiones y escisiones transfronterizas. El modelo deberá identificar a la persona autorizada y precisar el alcance y el tipo de representación.

1.2.2. Otorgamiento, modificación y revocación

Su formalización, modificación y revocación seguirán sometidas a los requisitos nacionales. Estos deberán incluir, como mínimo, la comprobación por tribunales, notarios u otras autoridades competentes de la identidad, capacidad jurídica y facultades representativas de quien otorga, modifica o revoca el poder.

El instrumento deberá aceptarse como prueba del derecho de la persona autorizada a representar a la sociedad en los términos que consten en el documento. También se exige su compatibilidad con la cartera europea de identidad digital.

La armonización facilita así la acreditación transfronteriza de la representación, manteniendo los controles nacionales sobre su otorgamiento. Conviene conservar esta delimitación: el precepto regula un instrumento para determinados procedimientos societarios, cuyo alcance debe examinarse atendiendo tanto al documento como al procedimiento en que se utiliza.

2. Circulación transfronteriza y ampliación de la información societaria

2.1. La interconexión registral y el principio de «solo una vez»

2.1.1. BRIS como infraestructura de cooperación

BRIS —Business Registers Interconnection System— es el sistema de interconexión de registros mercantiles, operativo desde junio de 2017. Comunica electrónicamente los registros nacionales y permite acceder a información societaria mediante el Portal Europeo de e-Justicia.

La Directiva de 2025 amplía la información disponible y refuerza su utilización en procedimientos transfronterizos. La conservación de los datos y las funciones registrales siguen correspondiendo a los sistemas nacionales, cuya cooperación se articula mediante la infraestructura europea.

2.1.2. Conexiones con los registros de titularidad real e insolvencia

La reforma prevé conexiones entre BRIS, el sistema de interconexión de registros de titularidad real —BORIS— y el sistema de interconexión de registros de insolvencia —IRI—.

Estas conexiones deberán respetar las normas de acceso aplicables a cada sistema. La posibilidad técnica de relacionar información mantiene, por tanto, las condiciones jurídicas que regulan su consulta.

2.1.3. Obtención de datos en el registro de origen

Una sociedad que constituye otra sociedad o registra una sucursal en un Estado miembro diferente puede verse obligada a aportar documentos sobre su propia existencia, inscripción y representación que ya están depositados en su registro de origen.

La Directiva amplía la aplicación del principio de «solo una vez» para evitar esas aportaciones repetidas. En los supuestos regulados, el registro del Estado de destino deberá obtener los documentos y la información pertinentes mediante el intercambio registral o el acceso directo a las fuentes previstas.

La mejora es especialmente relevante para las pymes, para las que reunir certificaciones y gestionar su presentación en otro Estado puede representar un coste apreciable. Su efectividad dependerá de que los registros puedan localizar, transmitir e interpretar correctamente la información necesaria.

El principio debe entenderse dentro de los procedimientos y datos comprendidos en la regulación. Su formulación no permite afirmar que cualquier información entregada a una administración queda automáticamente disponible para todos los procedimientos posteriores.

2.2. Reducción de formalidades documentales y lingüísticas

2.2.1. Exenciones de legalización y apostilla

El nuevo artículo 16 quinquies establece exenciones de legalización y trámites similares, incluida la apostilla, para los documentos comprendidos en sus previsiones. Entre ellos se encuentran el certificado de sociedad de la UE, el poder digital y determinados documentos utilizados en operaciones transfronterizas.

También se facilita la utilización de copias y extractos registrales y de documentos notariales y administrativos cuando cumplen las condiciones de autenticación exigidas.

2.2.2. Límites a la exigencia de traducciones

En materia lingüística, el artículo 16 octies dispone que los Estados miembros procuren prescindir de traducciones cuando la información necesaria pueda consultarse en el certificado europeo o identificarse mediante las etiquetas explicativas de BRIS.

La traducción jurada de los documentos contemplados únicamente podrá exigirse cuando esté justificada por su finalidad y resulte estrictamente necesaria.

2.2.3. Comprobación de autenticidad y prevención del fraude

La reducción de formalidades se acompaña de procedimientos de comprobación. Ante dudas razonables sobre el origen o la autenticidad de determinados documentos, las autoridades podrán solicitar información a los puntos de contacto previstos. Se mantienen también garantías específicas frente al abuso y el fraude.

2.3. Ampliación de la publicidad societaria

2.3.1. Sociedades personalistas

La reforma introduce requisitos comunes de publicidad para las sociedades personalistas enumeradas en el nuevo anexo II ter, adaptados a sus características. La información comprende aspectos relevantes para terceros, como la representación y determinados datos sobre los socios.

2.3.2. Matrices, filiales y grupos de sociedades

Para los grupos, el nuevo artículo 19 ter prevé información accesible gratuitamente mediante BRIS sobre matrices y filiales. Su ámbito se vincula a los grupos respecto de los cuales las sociedades matrices comprendidas en el precepto están obligadas a elaborar y publicar estados financieros consolidados.

La medida facilita localizar relaciones societarias que actualmente pueden requerir la consulta e interpretación de documentación contable. Los Estados miembros podrán disponer que la información incluya la parte del capital poseída entre la matriz última y cada filial.

2.3.3. Promedio anual de trabajadores

La Directiva contempla asimismo el acceso al promedio anual de trabajadores cuando concurran las condiciones legales y técnicas previstas. La disponibilidad de este dato queda vinculada a su inclusión en los estados financieros conforme al derecho nacional y a la posibilidad de extraerlo en forma de datos.

3. Garantías de fiabilidad y calendario de aplicación

3.1. Control preventivo y actualización registral

3.1.1. Control de legalidad de los documentos societarios

La circulación transfronteriza de datos exige que la información de origen sea fiable. El artículo 10 reformado establece un control preventivo administrativo, judicial o notarial, o una combinación de ellos, sobre la escritura de constitución, los estatutos y sus modificaciones.

Comprende controles formales y sustantivos y se aplica tanto a procedimientos íntegramente en línea como a los demás.

3.1.2. Comunicación, inscripción y publicación de los cambios

La actualización constituye la segunda garantía. Como regla general, con las excepciones previstas, los cambios deberán presentarse al registro en un plazo máximo de quince días hábiles.

Su inscripción y publicación deberán efectuarse en diez días hábiles desde la finalización de los trámites exigidos, con la posibilidad de ampliación en las circunstancias excepcionales contempladas.

Estos plazos deben leerse conjuntamente con sus reglas de cómputo y excepciones. En particular, el plazo registral de diez días comienza una vez concluidos los trámites necesarios.

3.2. Entrada en vigor, transposición y aplicación

3.2.1. Calendario general y disposiciones específicas

El artículo 4 establece un calendario escalonado:

Disposiciones Fecha límite de transposición Inicio de aplicación
Régimen general 31 de julio de 2027 31 de julio de 2028
Información sobre grupos y promedio de trabajadores: artículos 19 ter y 19.2.i) de la Directiva (UE) 2017/1132 1 de agosto de 2028 1 de agosto de 2029

La Directiva está en vigor desde el 30 de enero de 2025, pero esa entrada en vigor debe distinguirse de la aplicación de sus medidas nacionales de transposición.

3.2.2. Situación durante el curso 2026-2027

Durante el curso 2026-2027, BRIS constituye una infraestructura ya operativa, mientras que los nuevos instrumentos y obligaciones deben situarse en su correspondiente calendario.

Como adelantábamos en la entrada anterior de DerMerUle, esta fase de digitalización afecta a la forma de acreditar y utilizar la información societaria en el mercado interior. Su resultado dependerá de que la reducción de trámites vaya acompañada de datos actualizados, representación comprobable y cooperación efectiva entre registros.

EU Inc.: la Comisión advierte contra la fragmentación del nuevo régimen societario europeo

La propuesta de creación de un régimen societario europeo opcional, conocido como EU Inc. o 28.º régimen, atraviesa una fase decisiva de negociación.

La Comisión Europea ha advertido del riesgo de que el proyecto pierda su principal razón de ser si termina convertido en una nueva figura societaria sometida a veintisiete configuraciones nacionales diferentes. Así lo indicó la presidenta Ursula von der Leyen, durante su intervención ante el Parlamento Europeo el 6 de octubre de 2026, en el debate preparatorio del Consejo Europeo de los días 15 y 16 de octubre. No supone una modificación de la propuesta legislativa presentada en marzo, pero deja clara la posición de la Comisión frente a las posibles modificaciones de su contenido.

Las conclusiones del Consejo Europeo, adoptadas los días 15 y 16 de octubre, confirman la importancia política de la iniciativa. Los jefes de Estado y de Gobierno han incluido el 28.º régimen societario entre los expedientes prioritarios para avanzar en la integración del mercado interior y han instado a continuar las negociaciones.

La advertencia de la Comisión: evitar veintisiete versiones de EU Inc.

La Comisión presentó el 18 de marzo de 2026 la propuesta de Reglamento COM(2026) 321 final, destinada a establecer un marco jurídico societario común para el denominado 28.º régimen. Esta iniciativa se acompaña de la Comunicación COM(2026) 320 final, que la sitúa dentro de una estrategia más amplia de competitividad e integración empresarial europea.

Como explicábamos en nuestra entrada anterior, «EU inc, ¿una nueva forma de organización jurídica de las empresas europeas?», publicada en DerMerUle el 8 de abril de 2026, la iniciativa pretende facilitar la constitución, financiación y desarrollo de empresas en el mercado interior mediante una forma societaria opcional, que coexistiría con las figuras nacionales.

La propuesta contempla procedimientos de constitución íntegramente digitales, simplificación de operaciones societarias, transmisión de participaciones por medios electrónicos y mecanismos para facilitar la financiación. La Comisión plantea, entre otras medidas, que la constitución pueda realizarse en un plazo máximo de 48 horas y con un coste administrativo que no supere los 100 euros. Sin embargo, la discusión actual va bastante más allá de la reducción de los costes y plazos de constitución.

En su intervención del 6 de octubre, Von der Leyen se opuso expresamente a la posibilidad de transformar el futuro régimen en una directiva. A su juicio, intentar resolver la fragmentación existente mediante un instrumento que diera lugar a veintisiete versiones nacionales de una misma solución equivaldría a regresar al punto de partida. Defendió un régimen opcional para los empresarios, pero obligatorio para quienes lo aplican desde los Estados miembros. Con esta expresión quiso destacar que la libertad de los fundadores para elegir EU Inc. debe ir acompañada de unas reglas comunes, que no puedan ser reconstruidas de forma sustancialmente diferente en cada ordenamiento nacional.

Su advertencia fue especialmente contundente al señalar que, si la propuesta terminara desprovista de sus elementos esenciales, sería preferible retirarla antes que aprobar una figura europea meramente nominal.

Conviene precisar el alcance de estas declaraciones. No se ha aprobado la transformación del proyecto en una directiva ni se ha producido la retirada de la propuesta. La intervención expresa la posición política de la Comisión durante las negociaciones y su preocupación por el resultado final.

Reglamento, uniformidad societaria y garantías

La discusión sobre el instrumento legislativo elegido tiene consecuencias jurídicas importantes. Conforme al artículo 288 TFUE, el reglamento es obligatorio en todos sus elementos y directamente aplicable en los Estados miembros, mientras que la directiva obliga respecto del resultado que deba conseguirse, dejando a las autoridades nacionales la elección de la forma y los medios.

Esta diferencia explica la preferencia de la Comisión por el reglamento. Ahora bien, tampoco debe darse por supuesto que la aprobación de un reglamento eliminaría todas las diferencias. El grado real de uniformidad dependerá de su contenido, de las materias reguladas directamente, de las remisiones al Derecho nacional y de las opciones que puedan conservar los Estados miembros.

La experiencia de las formas societarias europeas ya existentes demuestra la importancia de estas cuestiones. Una denominación común no garantiza, por sí sola, que las sociedades estén sometidas a condiciones equivalentes de organización y funcionamiento.

Para EU Inc. resulta especialmente importante que la uniformidad no se limite a la constitución. Las diferencias pueden tener consecuencias durante toda la vida de la sociedad: en las relaciones entre socios, el funcionamiento de sus órganos, la financiación, las operaciones sobre el capital o la transmisión de participaciones.

Desde la perspectiva española, el futuro régimen plantea además problemas de coordinación con la Ley de Sociedades de Capital, la legislación registral y los mecanismos de control de legalidad y publicidad societaria.

La simplificación de los procedimientos no debería confundirse con la desaparición de las garantías. Será necesario determinar qué controles pueden sustituirse por procedimientos digitales equivalentes, cuáles pueden armonizarse y qué funciones deben seguir desempeñando las autoridades nacionales.

Las exigencias de identificación, la prevención del fraude, la protección de socios y acreedores y la seguridad de las operaciones societarias siguen siendo relevantes en un régimen concebido para facilitar la actividad transfronteriza.

Estas preocupaciones ya habían aparecido en el debate celebrado en el Consejo de Competitividad el 28 de mayo de 2026. Los Estados miembros acogieron favorablemente los objetivos de simplificación y digitalización, aunque varias delegaciones insistieron en la necesidad de preservar garantías frente al fraude, la evasión fiscal y el blanqueo de capitales, así como de respetar determinadas competencias y normas nacionales.

La dificultad consiste en encontrar una solución que evite duplicidades innecesarias sin debilitar la seguridad jurídica. Para ello será preciso valorar la función de cada exigencia y establecer, cuando proceda, instrumentos equivalentes dentro del marco común.

El Consejo Europeo de octubre y el futuro de EU Inc.

Las conclusiones del Consejo Europeo de los días 15 y 16 de octubre de 2026 han vuelto a situar EU Inc. entre los proyectos prioritarios de la Unión. Dentro de la agenda «Una Europa, un mercado», el Consejo Europeo subraya la importancia de avanzar en las negociaciones del 28.º régimen societario, junto con otras iniciativas destinadas a fortalecer la competitividad y reducir la fragmentación del mercado interior.

Este pronunciamiento confirma el respaldo político a la continuación de los trabajos, pero no supone la aprobación del Reglamento ni resuelve las discrepancias sobre su contenido.

El expediente legislativo 2026/0074(COD) continúa tramitándose mediante el procedimiento legislativo ordinario. La discusión abierta permite, no obstante, identificar uno de los principales problemas que deberán resolverse: hasta dónde puede admitirse la diversidad nacional sin frustrar la finalidad de crear una forma societaria europea verdaderamente reconocible.

Es razonable que los Estados miembros quieran preservar determinadas competencias, controles y garantías. También lo es que la Comisión insista en evitar que esas reservas reproduzcan los obstáculos que la iniciativa pretende superar.

El resultado dependerá del equilibrio que alcance el legislador europeo. La utilidad de EU Inc. no puede medirse exclusivamente por la rapidez de su constitución o por el ahorro inicial de costes. Una forma societaria destinada a facilitar el crecimiento empresarial y la inversión transfronteriza necesita ofrecer reglas suficientemente previsibles sobre su organización, funcionamiento, financiación y relaciones con terceros. El riesgo que ha señalado la Comisión es que el acuerdo político termine conservando el nombre de EU Inc., pero no las ventajas que justificarían su creación.

Fuentes y documentos de consulta

 

ANÁLISIS JURISPRUDENCIAL. De Plaumann a Nicoventures: la impugnación de actos delegados de la UE por particulares y los límites de la legitimación ante el TJUE

La creciente utilización por la Comisión Europea de actos delegados para completar aspectos técnicos de la legislación de la Unión plantea una cuestión de considerable importancia práctica: ¿en qué condiciones puede un particular —persona física o jurídica— impugnar directamente una de esas normas? El artículo 263, párrafo cuarto, del Tratado de Funcionamiento de la Unión Europea (TFUE) establece un sistema específico de legitimación para interponer recursos. Una persona física o jurídica puede recurrir los actos de los que sea destinataria; los actos que, sin estar dirigidos a ella, la afecten directa e individualmente; y, desde el Tratado de Lisboa, los actos reglamentarios que la afecten directamente y que no incluyan medidas de ejecución.

Guess who

Aunque suele hablarse genéricamente de impugnación «ante el TJUE», conviene precisar que el recurso de anulación promovido por particulares se interpone normalmente en primera instancia ante el Tribunal General, cuyas resoluciones pueden posteriormente ser objeto de recurso de casación ante el Tribunal de Justicia. El problema adquiere especial interés respecto de los actos delegados del artículo 290 TFUE. Son actos no legislativos de alcance general mediante los cuales la Comisión puede completar o modificar determinados elementos no esenciales de un acto legislativo, dentro de los límites establecidos por este. No deben confundirse con los actos de ejecución del artículo 291 TFUE, cuya función consiste en establecer condiciones uniformes para la ejecución de actos jurídicamente vinculantes de la Unión.

 

De la rigidez de Plaumann a la apertura introducida por Lisboa

El punto de partida – relevante aún hoy- continúa siendo la sentencia Plaumann & Co. contra Comisión, asunto 25/62, de 15 de julio de 1963. La empresa Plaumann, dedicada a la importación de mandarinas y clementinas, pretendía impugnar una decisión de la Comisión dirigida a la República Federal de Alemania. El entonces artículo 173 del Tratado CEE permitía recurrir a quienes, sin ser destinatarios de una decisión, resultasen directa e individualmente afectados.

El Tribunal formuló entonces el criterio que ha condicionado durante décadas el acceso de los particulares al recurso de anulación. Existe afectación individual cuando el acto alcanza al recurrente por determinadas cualidades que le son propias o por una situación de hecho que lo caracteriza frente a cualquier otra persona, individualizándolo de modo análogo al destinatario. Plaumann no cumplía esa condición porque ejercía una actividad económica que podía ser desarrollada por cualquier operador.

La doctrina Plaumann es especialmente exigente frente a normas de alcance general. Que una empresa pertenezca a un sector particularmente afectado, soporte costes elevados o resulte económicamente perjudicada no significa necesariamente que quede «individualmente» afectada en el sentido del artículo 263 TFUE. La rigidez de esta interpretación alimentó un importante debate sobre tutela judicial efectiva. En Unión de Pequeños Agricultores contra Consejo, C-50/00 P, el abogado general Jacobs propuso una interpretación más amplia de la afectación individual. El Tribunal de Justicia, en su sentencia de 25 de julio de 2002, mantuvo, sin embargo, su jurisprudencia y señaló que una modificación sustancial del sistema de recursos establecido por los Tratados correspondía al poder de reforma de estos y no al juez de la Unión.

El Tratado de Lisboa introdujo una modificación importante. El particular ya no tiene que demostrar afectación individual cuando impugna un «acto reglamentario» que le afecta directamente y que no incluye medidas de ejecución. La apertura es significativa, pero su alcance depende de qué se entienda, primero, por acto reglamentario y, segundo, por medida de ejecución.

La primera cuestión fue aclarada por la Gran Sala en Inuit Tapiriit Kanatami y otros contra Parlamento y Consejo, C-583/11 P, sentencia de 3 de octubre de 2013. Los recurrentes pretendían impugnar el Reglamento n.º 1007/2009 sobre el comercio de productos derivados de la foca. El Tribunal confirmó que la expresión «acto reglamentario» utilizada en el artículo 263, párrafo cuarto, TFUE se refiere a los actos de alcance general que no tienen naturaleza legislativa. El reglamento controvertido había sido adoptado mediante procedimiento legislativo y, por tanto, no podía beneficiarse de la vía más flexible introducida por Lisboa. La sentencia es fundamental para los actos delegados. Estos son actos no legislativos y, cuando poseen alcance general, pueden constituir «actos reglamentarios» en el sentido del artículo 263 TFUE. Pero esa calificación no basta. El recurrente debe seguir demostrando que el acto le afecta directamente y que, para producir sus efectos respecto de él, no requiere medidas de ejecución.

 

Telefónica, T&L Sugars y Dyson: las distintas barreras a la impugnación directa

La sentencia Telefónica contra Comisión, C-274/12 P, de 19 de diciembre de 2013, permitió precisar la exigencia relativa a las medidas de ejecución. El litigio tenía su origen en una decisión de la Comisión sobre el régimen español de amortización fiscal del fondo de comercio financiero derivado de determinadas adquisiciones de participaciones extranjeras.

Telefónica pretendía utilizar la nueva vía del artículo 263, párrafo cuarto, TFUE, pero el Tribunal de Justicia inadmitió el recurso: La disposición controvertida se aplicaba a situaciones objetivamente determinadas y producía efectos respecto de categorías de personas consideradas de forma general y abstracta, por lo que la empresa no quedaba individualizada en el sentido de Plaumann. Además, para que la decisión produjera determinadas consecuencias concretas respecto de Telefónica era necesaria la intervención posterior de las autoridades tributarias españolas. Existían, por tanto, medidas de ejecución. Este último aspecto es especialmente importante. La existencia de una medida de ejecución no exige necesariamente que la autoridad nacional disponga de una amplia capacidad decisoria. Lo relevante es comprobar si el acto de la Unión produce por sí mismo todos sus efectos jurídicos sobre la posición del recurrente o si resulta necesaria una actuación posterior.

La Gran Sala del TJUE desarrolló la mencionada idea en T&L Sugars y Sidul Açúcares contra Comisión, C-456/13 P, sentencia de 28 de abril de 2015. El asunto se refería a diversas medidas adoptadas por la Comisión ante la situación del mercado europeo del azúcar, entre ellas reglamentos relacionados con la liberación de azúcar fuera de cuota y la apertura de un contingente arancelario. Las empresas recurrentes sostenían que las actuaciones posteriores de las autoridades nacionales eran automáticas y que no debían, por tanto, considerarse verdaderas medidas de ejecución. El Tribunal no aceptó esa interpretación. La existencia de una medida de ejecución no depende de que la autoridad que la adopta disponga de margen de apreciación. También una actuación esencialmente mecánica puede constituir una medida de ejecución cuando resulta necesaria para que la norma europea produzca sus efectos respecto del operador concreto.

Telefónica y T&L Sugars muestran, por ello, una limitación importante de la reforma de Lisboa. En numerosos sectores regulados, la Comisión adopta reglas generales cuyos efectos se concretan posteriormente mediante autorizaciones, liquidaciones, certificados, decisiones administrativas u otras actuaciones nacionales. Aunque estas últimas se encuentren fuertemente predeterminadas por el Derecho de la Unión, su existencia puede impedir que el particular utilice la tercera vía del artículo 263, párrafo cuarto, TFUE. La tutela deberá buscarse entonces, según los casos, mediante la impugnación de la medida nacional y una eventual cuestión prejudicial de validez.

 

Dyson ofrece el contrapunto más conocido. La empresa impugnó el Reglamento Delegado (UE) n.º 665/2013 de la Comisión, sobre etiquetado energético de las aspiradoras. A diferencia de los asuntos anteriores, se trataba de un verdadero acto delegado que imponía directamente a los fabricantes determinadas reglas de etiquetado sin necesidad de una decisión nacional individual posterior. El litigio no terminó centrándose únicamente en la legitimación, sino en los propios límites de las facultades delegadas de la Comisión. Dyson cuestionaba el método utilizado para medir la eficiencia energética de las aspiradoras, que realizaba las pruebas con el colector de polvo vacío. A su juicio, ese sistema no reflejaba correctamente las condiciones de uso y perjudicaba a sus aspiradoras sin bolsa. El Tribunal General desestimó inicialmente el recurso mediante sentencia de 11 de noviembre de 2015, T-544/13. Consideró, en esencia, que la Comisión disponía de un margen de apreciación técnica al elegir el método de ensayo. Sin embargo, en casación, el Tribunal de Justicia dictó sentencia de 11 de mayo de 2017, C-44/16 P, y consideró que el Tribunal General había desnaturalizado uno de los argumentos de Dyson. La empresa no planteaba únicamente que existiera una opción técnica mejor, sino que sostenía que la Comisión se había apartado de los límites fijados por el legislador en la norma habilitante. Tras el reenvío, el Tribunal General, en sentencia de 8 de noviembre de 2018, T-544/13 RENV, anuló el Reglamento Delegado n.º 665/2013. Consideró que la exigencia de proporcionar información sobre el consumo energético en condiciones lo más próximas posible a la utilización real formaba parte del marco esencial fijado por el legislador. El método basado exclusivamente en el colector vacío no respetaba suficientemente esa exigencia.

 

El asunto Dyson muestra así dos cuestiones diferentes que conviene no confundir. Una es procesal: determinar si el particular está legitimado para impugnar directamente el acto. Otra es sustantiva: determinar si la Comisión, al adoptar un acto delegado, ha respetado los límites de la habilitación legislativa. La Comisión dispone de un margen relevante para resolver cuestiones técnicas complejas, pero un acto delegado no puede modificar elementos esenciales de la legislación ni sustituir decisiones que corresponden al legislador. Una impugnación basada simplemente en que existe una solución técnica mejor es distinta de aquella que demuestra que la solución elegida contradice una decisión esencial contenida en el acto legislativo habilitante.

 

El recorrido posterior de Dyson añade otra precisión. Tras obtener la anulación del Reglamento Delegado, la empresa reclamó una indemnización por los daños sufridos durante su vigencia. Esa pretensión dio lugar, entre otros, al asunto C-122/22 P, Dyson y otros contra Comisión. El Tribunal de Justicia desestimó el recurso el 11 de enero de 2024. La anulación de un acto, por tanto, no determina automáticamente la responsabilidad extracontractual de la Unión: esta exige que concurran los requisitos específicos establecidos para la indemnización, entre ellos una infracción suficientemente caracterizada de una norma destinada a conferir derechos a los particulares.

 

Nicoventures: la afectación individual no desaparece, pero tampoco es imposible

 

La evolución reciente añade un pronunciamiento especialmente relevante. En Nicoventures Trading y otros contra Comisión, C-731/23 P, sentencia de 18 de diciembre de 2025, el Tribunal de Justicia volvió sobre la afectación individual precisamente en relación con un acto delegado.

Varias sociedades del grupo British American Tobacco habían recurrido la Directiva Delegada (UE) 2022/2100, mediante la cual la Comisión modificó la regulación de determinados productos de tabaco calentado. El Tribunal General había declarado inadmisible el recurso mediante auto en el asunto T-706/22. El Tribunal de Justicia, en cambio, estimó el recurso de casación en lo relativo a la legitimación y devolvió el asunto al Tribunal General.

 

La importancia de Nicoventures radica en que no abandona la doctrina Plaumann, pero pone de relieve que una norma de alcance general puede afectar individualmente a determinados operadores cuando estos forman un círculo limitado e identificable en el momento de adopción del acto y concurren circunstancias específicas que los distinguen respecto del resto. En aquel supuesto cobraban especial importancia las obligaciones regulatorias de información y notificación y las autorizaciones de comercialización. El propio sistema regulatorio permitía identificar a los operadores que ya comercializaban los productos afectados. No se trataba, por tanto, simplemente de cualquier empresa que en el futuro pudiera decidir entrar en ese mercado, sino de un conjunto de operadores cuya posición podía determinarse a partir de la regulación existente. El propio encabezamiento oficial de la sentencia destaca como cuestiones centrales la «afectación individual», el «círculo limitado de operadores económicos», las obligaciones de información y notificación y la autorización de comercialización.

 

Nicoventures introduce así un matiz importante frente a una lectura excesivamente rígida de Plaumann. La pertenencia a un sector económico continúa siendo insuficiente. Pero cuando el marco jurídico permite identificar, antes de adoptarse la norma, un grupo limitado de operadores que se encuentran en una posición específica, la afectación individual puede existir.

La secuencia que va de Plaumann a Nicoventures permite apreciar mejor el sistema actual. Plaumann estableció una concepción restrictiva de la afectación individual. Unión de Pequeños Agricultores confirmó que esa exigencia no podía ser eliminada jurisprudencialmente invocando únicamente la tutela judicial efectiva. Lisboa abrió una nueva vía para los actos reglamentarios que afectan directamente y no incluyen medidas de ejecución. Inuit excluyó de esa categoría a los actos legislativos. Telefónica y T&L Sugars mostraron el alcance expansivo que puede adquirir la noción de medida de ejecución. Dyson demostró que un acto delegado directamente aplicable puede ser efectivamente sometido a control y anulado cuando la Comisión rebasa los límites de la delegación. Nicoventures confirma, finalmente, que incluso la clásica afectación individual puede apreciarse frente a un acto general cuando el recurrente pertenece a un círculo de operadores suficientemente limitado e identificable.

 

El análisis de la legitimación para impugnar exige, por tanto, evitar respuestas automáticas. Que una norma sea un acto delegado no significa por sí mismo que cualquier empresa afectada pueda recurrirla directamente. Será necesario comprobar su naturaleza, la forma en que produce sus efectos, la eventual existencia de medidas de ejecución y la posición concreta del recurrente. Y, cuando deba recurrirse a la afectación individual, habrá que determinar si el particular pertenece simplemente a una categoría abierta de operadores o si el marco jurídico existente permite individualizarlo de manera específica. A ello se añade un segundo plano, especialmente visible en Dyson: superar el filtro de admisibilidad solo permite acceder al examen de fondo. Será entonces necesario demostrar, en su caso, que la Comisión ha infringido la norma habilitante, ha desconocido los límites establecidos por el legislador o ha afectado a elementos que no podían ser objeto de delegación.

En una Unión en la que buena parte de la concreción técnica de la legislación se realiza mediante actos delegados, ambas cuestiones —quién puede recurrir y hasta dónde puede llegar la Comisión— se encuentran estrechamente relacionadas. La jurisprudencia muestra una tutela judicial exigente, pero no cerrada: el acceso directo sigue sometido a condiciones rigurosas, aunque tanto Dyson como, desde una perspectiva diferente, Nicoventures muestran que esas condiciones pueden cumplirse cuando la posición jurídica del recurrente y la configuración del acto lo justifican.

 

Concepto, diseño, ejecución, supervisión y revisión de la autora. Asistencia instrumental de IAGen.

De Refit a Omnibus: simplificación de la legislación europea

REFIT (Regulatory Fitness and Performance Programme) fue el programa de la Comisión Europea orientado a comprobar si la legislación de la Unión seguía siendo adecuada para alcanzar sus objetivos y si podía lograrlos de un modo más sencillo, eficiente y menos gravoso.

Se integró en la agenda de Better Regulation y se apoyó en evaluaciones ex post, consultas a las partes interesadas y revisiones del acervo normativo, con el fin de identificar disposiciones innecesariamente complejas, incoherentes, duplicadas o generadoras de cargas administrativas desproporcionadas, sin reducir el nivel de protección ni alterar los objetivos sustantivos de la regulación.

  • La finalidad de REFIT no fue, al menos formalmente, desregular, sino mejorar la calidad de la legislación, conservar sus beneficios y eliminar cargas, duplicidades y trámites innecesarios.
  • Desde 2012, REFIT dio lugar a numerosas actuaciones de simplificación, entre ellas la modificación o derogación de normas obsoletas, la retirada de propuestas pendientes, la racionalización de obligaciones de información y la mejora de los procedimientos de evaluación normativa.
  • La Comisión siguió estos avances mediante el REFIT Scoreboard y los Annual Burden Surveys, que permitieron registrar iniciativas de reducción de cargas y evaluar su impacto.

Los actuales paquetes Ómnibus pueden entenderse como una concreción técnica de esa lógica de simplificación. Comparten con REFIT la búsqueda de una regulación más coherente, la reducción de cargas administrativas y la eliminación de duplicidades, pero presentan una forma más concentrada y operativa, al modificar simultáneamente varias normas relacionadas mediante un único acto legislativo. En este sentido, REFIT proporcionó la metodología general y los Ómnibus representan una de sus manifestaciones legislativas más recientes.

Fuentes:

  • Comisión Europea, Regulatory Fitness and Performance Programme (REFIT), URL: https://ec.europa.eu/smart-regulation/docs/refit_brochure_en.pdf;
  • Comisión Europea, Regulatory Fitness and Performance Programme (REFIT). URL: https://ec.europa.eu/smart-regulation/docs/reg_fitn_perf_prog_en.pdf

  • Comisión Europea, Communication on REFIT / Better Regulation. URL: https://ec.europa.eu/smart-regulation/docs/com2014_368_en.pdf

  • Comisión Europea, REFIT Scoreboard. URL: https://op.europa.eu/webpub/com/refit-scoreboard/en/

  • Comisión Europea, REFIT Scoreboard Summary. URL: https://commission.europa.eu/system/files/2021-01/regulatory-fitness-and-performance-programme-refit-scoreboard-summary_en_6.pdf

  • Comisión Europea, 2020 Annual Burden Survey. URL: https://commission.europa.eu/system/files/2021-06/annual-burden-survey_2020_en.pdf

  • Comisión Europea, Findings from the 2022 Annual Burden Survey. URL: https://commission.europa.eu/system/files/2023-09/ABS_Factsheet_12_9_2023_2.pdf

  • Tribunal de Cuentas Europeo, Ex-post review of EU legislation: a well-established system but incomplete. URL: https://www.eca.europa.eu/lists/ecadocuments/sr18_16/sr_better_regulation_en.pdf

  • Consejo de la UE, Legislar mejor, URL: https://www.consilium.europa.eu/es/policies/better-regulation/;

 

Plan de Acción sobre Ciberseguridad e Inteligencia Artificial: un nuevo paso hacia la gobernanza integrada del riesgo digital

Merindades burgalesas

Merindades burgalesas

La Comisión Europea ha publicado el EU Action Plan on Cybersecurity and Artificial Intelligence, un documento estratégico destinado a responder al impacto que los modelos avanzados de inteligencia artificial están produciendo sobre la ciberseguridad europea. El Plan parte de una premisa clara: la inteligencia artificial constituye simultáneamente un extraordinario instrumento para reforzar la seguridad digital y un factor de incremento de los riesgos cibernéticos, al facilitar la automatización de ataques, la identificación de vulnerabilidades y el desarrollo de nuevas capacidades ofensivas.

Desde la perspectiva del Derecho mercantil, el documento merece especial atención porque consolida una tendencia que ya venía apreciándose en la regulación europea: la progresiva integración entre la gobernanza de la inteligencia artificial, la gestión de la ciberseguridad y el gobierno corporativo.

El Plan no introduce nuevas obligaciones jurídicas. Su función consiste en articular una estrategia común que permita aplicar, coordinadamente, el amplio conjunto de normas europeas ya vigentes. Entre ellas destacan el Reglamento de Inteligencia Artificial (AI Act), la Directiva NIS2, el Reglamento de Ciberresiliencia (Cyber Resilience Act), el Reglamento DORA para el sector financiero y el Cyber Solidarity Act. La Comisión pretende evitar una aplicación fragmentada de estos instrumentos y promover una respuesta coherente frente a riesgos que ya no pueden analizarse de manera aislada.

La irrupción de modelos avanzados de inteligencia artificial, especialmente los sistemas generativos y los modelos de propósito general (General Purpose AI Models), está transformando el panorama tradicional de las amenazas digitales. Frente a los mecanismos convencionales de ataque, caracterizados por una mayor dependencia del conocimiento técnico especializado y de la intervención humana, la IA permite una mayor automatización, escalabilidad y sofisticación de las operaciones maliciosas. En particular, facilita la generación automatizada de campañas de ingeniería social, la creación de contenidos fraudulentos altamente personalizados, la identificación masiva de vulnerabilidades y la adaptación dinámica de estrategias ofensivas. Frente a estos riesgos, la Comisión Europea identifica la inteligencia artificial como un instrumento susceptible de modificar el equilibrio entre las capacidades de los actores defensivos y ofensivos en el ciberespacio, y de favorecer que actores con menores recursos tecnológicos desarrollen operaciones con un nivel de complejidad anteriormente reservado a grandes organizaciones altamente especializadas.

Subraya, igualmente, la Comisión Europea el potencial transformador de la inteligencia artificial como tecnología habilitadora de una nueva generación de mecanismos de protección digital. La IA puede contribuir a reforzar la capacidad de prevención, detección, respuesta y recuperación frente a incidentes cibernéticos, elementos esenciales del concepto europeo de ciberresiliencia.

El planteamiento de la Comisión refleja, en consecuencia, un cambio de paradigma en la concepción de la seguridad digital. La cuestión ya no se limita a la protección de sistemas tecnológico frente a ataques externos, sino que exige establecer mecanismos integrales de gobernanza capaces de gestionar entornos caracterizados por una interacción constante entre tecnología, datos, infraestructuras críticas y procesos automatizados de decisión.  Por eso, la ciberseguridad pasa a convertirse en un elemento estratégico vinculado a la continuidad empresarial, la protección de activos esenciales y la confianza en el mercado. Esta aproximación se inserta en la arquitectura normativa europea más amplia de regulación tecnológica. En particular, presenta una estrecha conexión con el Reglamento (UE) 2024/1689 de Inteligencia Artificial (AI Act), que incorpora la ciberseguridad como uno de los elementos esenciales del marco de gestión de riesgos aplicable a determinados sistemas de IA. Asimismo, complementa las obligaciones derivadas de la Directiva (UE) 2022/2555 (NIS2), que refuerza los deberes de seguridad de las entidades esenciales e importantes, y del Reglamento (UE) 2022/2554 sobre resiliencia operativa digital del sector financiero (DORA), que establece obligaciones específicas para la gestión del riesgo tecnológico y la dependencia de proveedores TIC.

Con el objetivo de fomentar un desarrollo y una utilización seguros de la inteligencia artificial avanzada, la Comisión Europea prevé reforzar la capacidad de la Unión para evaluar los modelos de IA antes de su comercialización o puesta en servicio en el mercado europeo, en aplicación del Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial (AI Act).

Paralelamente, la Comisión colaborará con la Agencia de la Unión Europea para la Ciberseguridad (ENISA) en la elaboración de un Plan Europeo de Acceso Seguro a Sistemas Avanzados de Inteligencia Artificial orientado a reforzar la ciberseguridad. Asimismo, impulsará la creación de una plataforma europea de pruebas seguras (secure testing platform), destinada a facilitar que organizaciones pertenecientes a sectores críticos —como la energía, el transporte, la sanidad, los servicios financieros o las administraciones públicas— puedan evaluar, validar y desplegar soluciones de inteligencia artificial en condiciones que garanticen la seguridad, la resiliencia y la confianza.

Desde la perspectiva del Derecho mercantil y del gobierno corporativo, el Plan confirma una evolución: la ciberseguridad y la gobernanza de la inteligencia artificial no son ámbitos exclusivamente reservados a los departamentos técnicos para integrarse progresivamente en el ámbito de responsabilidad estratégica de los órganos de administración. La utilización de sistemas de IA, la selección de proveedores tecnológicos, la evaluación de riesgos digitales y la implantación de mecanismos adecuados de supervisión pasan a formar parte de las decisiones empresariales que pueden incidir en el cumplimiento del deber de diligencia de los administradores.

El EU Action Plan on Cybersecurity and Artificial Intelligence expresa la voluntad de la Unión Europea de construir un marco de gobernanza que permita aprovechar las capacidades defensivas de la inteligencia artificial sin ignorar su potencial disruptivo desde el punto de vista de la seguridad. La cuestión central no reside únicamente en desarrollar tecnologías más avanzadas, sino en garantizar que su incorporación al tejido económico europeo se produzca bajo principios de responsabilidad, resiliencia y control adecuado del riesgo tecnológico.

Desde el derecho comparado, esta aproximación sitúa a la Unión Europea en una posición diferenciada. Mientras que en Estados Unidos la respuesta regulatoria a la inteligencia artificial y a la ciberseguridad sigue apoyándose en gran medida en directrices sectoriales, estándares técnicos y marcos de soft law impulsados por agencias como el NIST, la Unión opta por una arquitectura normativa más integrada y vinculante. En el Reino Unido, por su parte, predomina un modelo flexible y basado en principios, con una fuerte dependencia de la autorregulación y de la supervisión sectorial. Frente a ello, el enfoque europeo combina regulación horizontal, obligaciones específicas para sectores críticos y exigencias de gobernanza corporativa, lo que refuerza la seguridad jurídica pero también eleva el nivel de exigencia para las empresas. Esta diferencia resulta especialmente relevante para los grupos de empresas multinacionales, que deberán armonizar sus políticas internas con marcos regulatorios cada vez más divergentes.

Si se amplía la comparación a otros ordenamientos, se aprecia igualmente que la Unión Europea avanza hacia un modelo más estructurado de atribución de responsabilidades. En Alemania y Francia, por ejemplo, la ciberseguridad se ha ido incorporando progresivamente al perímetro de los deberes de organización y supervisión de las sociedades, aunque todavía sin alcanzar el grado de sistematización propio de la tradición continental en otros aspectos. En Japón y Corea del Sur, la regulación combina también instrumentos públicos y estándares técnicos, pero con un mayor peso de la cooperación administrativa y de la autorregulación empresarial. En China, donde la intervención normativa es intensa, la lógica predominante responde más al control estatal de la infraestructura digital que a una integración expresa entre inteligencia artificial, resiliencia operativa y gobierno corporativo. Este contraste confirma que el modelo europeo no solo es más ambicioso desde el punto de vista regulatorio, sino también más exigente en términos de compliance societario y de gestión interna del riesgo.

El Plan se estructura sobre tres grandes ejes.

  • En primer lugar, impulsa el uso seguro y responsable de la inteligencia artificial avanzada. La Comisión propone reforzar la evaluación de los modelos más potentes antes de su despliegue, fomentar mecanismos de prueba y desarrollar metodologías comunes para identificar riesgos de ciberseguridad.
  • En segundo lugar, pretende fortalecer la resiliencia digital europea. Para ello, apuesta por mejorar la preparación de administraciones públicas, operadores esenciales, empresas y pequeñas y medianas empresas frente a ciberataques potenciados mediante inteligencia artificial, favoreciendo además la cooperación entre autoridades nacionales y europeas.
  • El tercer eje busca desarrollar capacidades europeas propias de inteligencia artificial aplicada a la ciberseguridad. La autonomía tecnológica aparece así como un elemento esencial de la soberanía digital europea, reduciendo la dependencia de modelos desarrollados fuera de la Unión y favoreciendo un ecosistema europeo de investigación, innovación e industria.

Para el Derecho de sociedades, la principal consecuencia del Plan consiste en reforzar la consideración de la ciberseguridad y de l IA como cuestiones propias del órgano de administración. No son materias exclusivamente tecnológicas, sino elementos integrantes del deber de diligencia de los administradores, de la supervisión del sistema de control interno y de la estrategia empresarial. Esta evolución resulta coherente con la tendencia que ya se observa en  NIS2 y en DORA: atribuir expresamente obligaciones y  responsabilidades directas a los órganos de dirección en materia de gestión de riesgos digitales. El nuevo Plan amplía esa lógica al reconocer expresamente que la inteligencia artificial modifica la naturaleza del riesgo cibernético y exige nuevas capacidades de gobernanza. En consecuencia, la gobernanza corporativa del futuro deberá integrar, de manera coordinada, el cumplimiento normativo en materia de inteligencia artificial, la gestión de riesgos de ciberseguridad, la resiliencia operativa y la responsabilidad de los administradores.

El Plan de Acción constituye un paso más hacia ese nuevo paradigma regulatorio, caracterizado por la convergencia entre innovación tecnológica, seguridad digital y buen gobierno corporativo.

(Texto generado y editado manualmente, con  apoyo (circa 10%) de la IA ).

 

La Unión Europea crea el CSC-EDIC: un nuevo consorcio para formar el talento europeo en ciberseguridad

La Comisión Europea ha aprobado la Decisión de Ejecución (UE) 2026/1416, de 30 de junio de 2026, mediante la que se constituye el European Digital Infrastructure Consortium for the Cybersecurity Skills Coalition (CSC-EDIC): un paso relevante en la consolidación de la política europea de ciberseguridad.

strolling along the shore

Los European Digital Infrastructure Consortia (EDIC) son una figura jurídica creada por la Decisión (UE) 2022/2481 sobre la Década Digital. Su finalidad, en general, consiste en permitir que varios Estados miembros desarrollen conjuntamente proyectos estratégicos de infraestructura digital, dotándolos de personalidad jurídica propia y de un marco estable de financiación y gobernanza.

En el caso del CSC-EDIC, el nuevo consorcio estará dedicado exclusivamente al desarrollo de capacidades en materia de ciberseguridad. La Comisión reconoce así, como base material de su decisión, que la falta de talento constituye una vulnerabilidad estructural para la competitividad y la resiliencia europea. Por ello, junto a la regulación material, comienza a construirse una verdadera infraestructura institucional destinada a generar capacidades.  Este CSC-EDIC en concreto ha sido impulsado inicialmente por Grecia, Austria, Croacia, Chipre y Eslovenia, siendo Grecia el Estado anfitrión. Su sede se ubicará en Atenas y el consorcio tendrá una duración inicial de diez años, prorrogable.Como ocurre con otros EDIC, podrán incorporarse posteriormente nuevos Estados miembros

La misión de este consorcio es reducir el déficit europeo de talento en ciberseguridad. La Comisión identifica como principal objetivo del CSC-EDIC afrontar la creciente escasez de profesionales especializados en ciberseguridad. Para ello, desarrollará actuaciones dirigidas a: impulsar la formación especializada; facilitar el reciclaje profesional (reskilling y upskilling); mejorar las competencias del sector público y privado; apoyar a las pequeñas y medianas empresas; – contribuir a la aplicación práctica de la normativa europea en materia de ciberseguridad. No se trata únicamente de formar expertos técnicos. La Comisión conecta expresamente este proyecto con la necesidad de garantizar el cumplimiento efectivo del creciente conjunto de normas europeas en materia digital.

La decisión prevé que el CSC-EDIC trabaje de forma coordinada con – la Agencia de la Unión Europea para la Ciberseguridad (ENISA); y con el Centro Europeo de Competencia en Ciberseguridad (ECCC). Asimismo, utilizará herramientas ya desarrolladas por ENISA, en particular el European Cybersecurity Skills Framework, evitando duplicidades y reforzando la coherencia del ecosistema europeo.

El CSC‑EDIC apoyará la consecución de los objetivos establecidos en la Comunicación de la Comisión de 18 de abril de 2023, titulada «Colmar la brecha de talento en materia de ciberseguridad para impulsar la competitividad, el crecimiento y la resiliencia de la UE» [COM(2023) 207 final], orientados a mejorar las capacidades de educación, formación y desarrollo de la mano de obra de la Unión en materia de ciberseguridad. Para el desempeño de esta tarea principal, el CSC‑EDIC abordará el creciente déficit de competencias en ciberseguridad y promoverá el desarrollo de capacidades entre las autoridades públicas, la industria y las pequeñas y medianas empresas de los Estados miembros, reforzando así la competitividad, el crecimiento y la resiliencia de la Unión.

Con el fin de alcanzar estos objetivos, el CSC-EDIC desarrollará una actuación dinámica orientada a reforzar la cualificación y el reciclaje profesional de los especialistas en ciberseguridad, adaptando la oferta de capacidades a las necesidades del mercado de trabajo, a los déficits de competencias identificados y a las exigencias de cumplimiento normativo de las industrias de la Unión y de las administraciones nacionales. Asimismo, apoyará la aplicación efectiva de los instrumentos jurídicos europeos en materia de ciberseguridad y favorecerá su implantación práctica, en coherencia con la iniciativa de la «Unión de las Competencias» (Union of Skills), presentada por la Comisión Europea en su Comunicación de 5 de marzo de 2025. Esta estrategia persigue dotar a los ciudadanos de la Unión de las capacidades necesarias para afrontar con éxito tanto su formación como su trayectoria profesional, promover el reconocimiento y aprovechamiento de dichas competencias en el conjunto de los Estados miembros, corregir los desequilibrios de género y facilitar a las empresas el acceso al capital humano especializado que requieren, reforzando así la competitividad y la inclusión en el mercado europeo.

Esta orientación refleja una evolución significativa de la política europea de ciberseguridad. Durante la última década, la actuación de la Unión se ha centrado principalmente en la adopción de un marco regulatorio cada vez más exigente, integrado, entre otros instrumentos, por la Directiva NIS2, el Reglamento de Ciberresiliencia (Cyber Resilience Act), el Reglamento DORA y el Reglamento de Inteligencia Artificial. Sin embargo, la efectividad de este conjunto normativo depende, en gran medida, de la existencia de profesionales suficientemente cualificados para aplicarlo e integrarlo en la gestión de las organizaciones. En consecuencia, la política europea evoluciona desde un modelo basado esencialmente en la imposición de obligaciones jurídicas hacia otro más amplio, en el que la regulación se complementa con mecanismos de coordinación institucional, financiación, desarrollo de capacidades e infraestructuras comunes destinadas a garantizar una aplicación efectiva y homogénea del marco normativo europeo.

 

 

Reformas en las infraestructuras europeas de pagos, TARGET

La Orientación (UE) 2026/1473 del Banco Central Europeo, que modifica la Orientación (UE) 2022/912 sobre el sistema TARGET, representa un nuevo paso en la transformación de las infraestructuras financieras europeas hacia un modelo caracterizado por la automatización, la interoperabilidad y la resiliencia operacional.

TARGET constituye la principal infraestructura del Eurosistema para la liquidación bruta en tiempo real y el funcionamiento de los pagos instantáneos mediante TIPS (TARGET Instant Payment Settlement), esencial para la estabilidad financiera europea. El objetivo principal de esta reforma es adaptar los servicios de liquidación, incluyendo la incorporación del esquema de transferencias inmediatas One-Leg Out del Consejo Europeo de Pagos y la habilitación de envío de flujos de liquidez para los bancos centrales.

La nueva Orientación persigue tres grandes objetivos que reflejan que estamos ante una evolución en el diseño institucional de una infraestructura crítica:

  • incorporar nuevas funcionalidades para los pagos instantáneos;
  • optimizar la gestión automática de la liquidez de las entidades participantes;
  • reforzar determinados mecanismos de gobernanza y gestión del riesgo dentro del sistema.

La automatización de la liquidez

Una de las novedades más relevantes consiste en la introducción de traspasos automáticos de liquidez basados en reglas («rule-based liquidity transfers«).

Las entidades podrán fijar umbrales mínimos y máximos en sus cuentas TIPS. Cuando el saldo supere o descienda de esos límites, el propio sistema ejecutará automáticamente movimientos de liquidez entre cuentas, evitando intervenciones manuales y mejorando la eficiencia operativa. Esta funcionalidad estará operativa en verano de 2026. Con este nuevo instrumento, determinadas decisiones tradicionalmente adoptadas por operadores humanos pasan a integrarse directamente en la arquitectura normativa del sistema.

Pagos instantáneos internacionales

Otra modificación importante prepara TARGET para operar con el Esquema SEPA One-Leg Out (OCT Inst), que permitirá procesar determinados pagos instantáneos cuando una de las entidades participantes se encuentre fuera del espacio SEPA tradicional.

La Orientación adapta las condiciones de participación, los requisitos de adhesión y los procedimientos técnicos para hacer posible esta interoperabilidad a partir del 14 de noviembre de 2026. Se trata de un paso relevante hacia la internacionalización de los pagos instantáneos europeos.

Nuevos criterios de gestión del riesgo

La reforma también introduce modificaciones menos visibles pero especialmente significativas desde el punto de vista jurídico. Entre ellas destacan  algunas, por su impacto en reducir la discrecionalidad, reforzar la seguridad jurídica y aumentar la resiliencia del sistema:

Pisa di notte

  • – la clarificación de las condiciones de acceso de entidades sujetas a medidas restrictivas o sanciones internacionales;
  • – una mayor precisión sobre los efectos de la suspensión o finalización de la participación en TARGET;
  • – la actualización de los activos de garantía aplicables a las operaciones de crédito intradía conforme al nuevo marco del Eurosistema;
  • – la revisión de determinadas estructuras tarifarias aplicables a las cuentas RTGS.

Infraestructuras críticas y gobernanza

Quizá el aspecto más interesante de esta reforma sea el cambio de paradigma que refleja. Las infraestructuras financieras dejan de ser simples plataformas de liquidación para convertirse en auténticos sistemas de gobernanza automatizada. Las reglas jurídicas ya no solo determinan quién puede participar o qué obligaciones existen, sino que se incorporan directamente al funcionamiento del software que ejecuta las operaciones. La liquidez, los límites operativos, las autorizaciones y las condiciones de acceso pasan a gestionarse mediante reglas predefinidas que el propio sistema aplica automáticamente.

Este fenómeno confirma una tendencia cada vez más visible en el Derecho financiero europeo: la regulación se proyecta sobre la arquitectura tecnológica de las infraestructuras críticas, convirtiendo el diseño del sistema en un auténtico instrumento de política regulatoria.

La modificación de TARGET ilustra perfectamente cómo las infraestructuras digitales críticas se están convirtiendo en espacios donde convergen el Derecho, la tecnología y la estabilidad financiera.

Este tipo de normas muestran que la resiliencia ya no depende únicamente de obligaciones jurídicas impuestas a los operadores, sino también del diseño de las propias arquitecturas técnicas que ejecutan automáticamente dichas obligaciones. Por tanto, la transformación digital del sistema financiero europeo no consiste únicamente en acelerar los pagos, sino en rediseñar las reglas de funcionamiento de una de las infraestructuras esenciales sobre las que descansa el mercado interior.

EU inc, ¿una nueva forma de organización jurídica de las empresas europeas?

Aproximadamente una quinta parte de la producción científica mundial tiene su origen en instituciones y centros de investigación situados en los Estados miembros. Ello se complementa con una contribución significativa del tejido empresarial europeo al desarrollo global de la investigación y desarrollo (I+D) y a la generación de activos de propiedad intelectual e industrial, que constituyen uno de los principales indicadores de competitividad tecnológica. Aún queda mucho por avanzar , de ahí la Comunicación de la Comisión que da título a esta entrada.

La Comunicación de la Comunicación COM(2026) 320 final, titulada “Hacia un 28.º régimen para las empresas de la UE” es una pieza central de la Comisión Europea para reforzar la competitividad empresarial y la integración efectiva del mercado interior mediante la creación de un marco societario opcional de dimensión plenamente europea orientado especialmente a las empresas con vocación innovadora.  Configura la EU Inc. como un instrumento jurídico orientado a reducir la fragmentación normativa del mercado interior y a facilitar el desarrollo de empresas innovadoras en un entorno económico globalizado y digitalizado. Su relevancia no reside únicamente en la introducción de una nueva forma societaria, sino en la articulación de un conjunto integrado de reformas institucionales, tecnológicas y financieras destinadas a reforzar la competitividad europea y a consolidar un espacio empresarial verdaderamente único dentro de la Unión.

La iniciativa se inscribe en la lógica histórica de los instrumentos societarios supranacionales —como la sociedad europea o la sociedad cooperativa europea—, pero pretende ir más allá de estos precedentes mediante el diseño de una forma jurídica concebida desde su origen para el entorno digital y para los modelos de negocio innovadores. En este contexto, la propuesta introduce el concepto de EU Inc. como una nueva forma societaria europea, caracterizada por su simplicidad estructural, su portabilidad transfronteriza y su orientación a empresas de rápido crecimiento, particularmente en sectores tecnológicos, digitales o intensivos en conocimiento.

El objetivo fundamental de esta iniciativa consiste en ofrecer a los operadores económicos una forma jurídica única, accesible y homogénea en todo el territorio de la Unión, que permita constituir y gestionar una empresa con independencia del Estado miembro en el que se desarrolle la actividad principal. Para ello, la Comunicación plantea la creación de un sistema de constitución íntegramente digital, basado en un registro central europeo, que permitiría formalizar la constitución de la sociedad en un plazo muy breve —expresado simbólicamente en la meta de 48 horas— y con costes administrativos reducidos. Esta simplificación se articula, además, en torno a la aplicación reforzada del principio de “solo una vez”, de modo que la información empresarial aportada a una autoridad pública no deba volver a presentarse ante otras autoridades, lo que reduce sustancialmente las cargas burocráticas y los costes de transacción asociados al establecimiento y funcionamiento de empresas en el mercado interior. En términos sistemáticos, la propuesta persigue así reforzar la libertad de establecimiento y la eficiencia administrativa mediante herramientas jurídicas y tecnológicas que faciliten la movilidad empresarial y la escalabilidad de los modelos de negocio.

Aunque formalmente abierta a cualquier empresa, la Comunicación subraya que su diseño responde principalmente a las necesidades de startups y scale-ups, especialmente aquellas que operan en entornos digitales o que requieren financiación rápida y flexible. En coherencia con esta orientación, el modelo prevé la digitalización integral de los procesos societarios, incluyendo no solo la constitución, sino también el gobierno corporativo, la adopción de acuerdos sociales y la transmisión de participaciones. La eliminación de intermediarios obligatorios en determinadas operaciones y la incorporación de instrumentos contractuales estandarizados —como los acuerdos de financiación simplificados utilizados en el ecosistema emprendedor— reflejan la voluntad de adaptar el Derecho societario europeo a las prácticas habituales de los mercados de capital riesgo y de innovación.

 

La Comunicación vincula esta nueva forma societaria a un conjunto de medidas complementarias destinadas a mejorar el entorno jurídico y económico de las empresas innovadoras. Entre ellas destaca la creación de un programa europeo de opciones sobre acciones para empleados (EU-ESO), concebido como un mecanismo de incentivo laboral que permite alinear los intereses de los trabajadores con los de la empresa mediante la participación en el capital social. La propuesta contempla, en este ámbito, un tratamiento fiscal específico que difiere la tributación hasta el momento de la realización efectiva de las ganancias, con el fin de evitar cargas fiscales prematuras que puedan desincentivar la participación en este tipo de planes. Asimismo, se prevé la introducción de procedimientos de insolvencia simplificados para empresas innovadoras que adopten esta forma societaria, en coherencia con las iniciativas de armonización europea en materia concursal y con la tendencia general a favorecer la reestructuración temprana y la continuidad empresarial.

 

La iniciativa se inserta, además, en una agenda más amplia orientada a consolidar un ecosistema europeo favorable a la innovación y al crecimiento empresarial. En este sentido, la Comunicación anuncia la adopción de una Recomendación destinada a establecer definiciones armonizadas de conceptos como empresa innovadora, startup innovadora o empresa en expansión innovadora, con el objetivo de asegurar una mayor coherencia en las políticas públicas de apoyo, en los programas de financiación y en la recopilación de datos estadísticos a escala europea. Esta homogeneización conceptual responde a la necesidad de evitar la fragmentación normativa y administrativa que, en la práctica, dificulta la comparabilidad de medidas y la coordinación de instrumentos de política económica entre los Estados miembros.

La Comunicación identifica cuatro ámbitos de actuación complementarios que configuran el entorno operativo de la futura EU Inc.

Zarzas y lila

  • En primer lugar, en materia de digitalización, se prevé el desarrollo de herramientas como la cartera europea para empresas y la utilización de sistemas de intercambio automático de información administrativa, apoyados en tecnologías de inteligencia artificial que permitan, por ejemplo, la traducción automática de documentos societarios y contractuales, reduciendo la dependencia de traducciones juradas y los costes asociados a la actividad transfronteriza.
  • En segundo lugar, en el ámbito financiero, la iniciativa se vincula al proceso de profundización de la Unión de Ahorros e Inversiones, mediante la revisión de los instrumentos de financiación empresarial y el fortalecimiento de los mercados de capital riesgo.
  • En tercer lugar, se contemplan medidas destinadas a facilitar la movilidad del talento y el trabajo transfronterizo, incluyendo la digitalización de los sistemas de seguridad social y la simplificación de los procedimientos migratorios para trabajadores altamente cualificados.
  • Finalmente, en materia fiscal, la Comunicación apunta hacia la construcción progresiva de un marco más coherente de imposición sobre sociedades, con reglas que favorezcan la neutralidad fiscal y la movilidad empresarial dentro del mercado interior.

En su dimensión institucional, la Comunicación subraya la importancia de garantizar un marco jurídico claro, coherente y previsible que proporcione seguridad jurídica a los operadores económicos y a los inversores. Para ello, se invita a los Estados miembros a considerar la especialización de órganos jurisdiccionales en materia mercantil y societaria, así como a aprovechar los instrumentos existentes en el ámbito de la cooperación judicial civil y mercantil, en particular los mecanismos de competencia judicial internacional y reconocimiento de resoluciones previstos en el Reglamento (UE) n.º 1215/2012. Esta referencia pone de relieve que la eficacia de una forma societaria europea no depende únicamente de su diseño normativo, sino también de la existencia de un sistema judicial capaz de ofrecer soluciones rápidas y coherentes a los conflictos transfronterizos.

 

TJUE, sentencia de 19 de marzo de 2026, C‑526/24, Brillen Rottler: abuso del derecho de acceso a los propios datos personales (art. 15 RGPD)

Comentario a la Sentencia del Tribunal de Justicia en el asunto C-526/24 Brillen Rottler: Una solicitud de acceso a los propios datos personales puede considerarse abusiva y denegarse si se presenta con el único fin de solicitar posteriormente una indemnización por una supuesta infracción del RGPD

El conflicto se origina cuando TC, residente en Austria, se suscribe en marzo de 2023 al boletín informativo de Brillen Rottler GmbH & Co. KG, óptica familiar establecida en Alemania, facilitando sus datos personales a través del formulario web. Poco después, ejerce ante la empresa su derecho de acceso previsto en el artículo 15 RGPD.

Brillen Rottler deniega la solicitud dentro del plazo de un mes, calificándola de “excesiva” en el sentido del artículo 12.5 RGPD, y el interesado mantiene su petición y añade una reclamación indemnizatoria de 1.000 euros al amparo del artículo 82 RGPD por daño inmaterial. El Amtsgericht Arnsberg plantea varias cuestiones prejudiciales sobre:

  • si incluso una primera solicitud de acceso puede ser “excesiva/abusiva” y, por tanto, denegarse;

  • si cabe indemnización por vulneración del derecho de acceso aunque no exista un tratamiento ilícito de datos como tal;

  • y cómo se configura el daño inmaterial indemnizable.

Cuestiones jurídicas planteadas

Las cuestiones centrales se refieren a la interpretación de los artículos 12.5, 15.1 y 82.1 RGPD:

  • Alcance de la cláusula que permite al responsable negase a actuar cuando las solicitudes sean “manifiestamente infundadas o excesivas” (art. 12.5).

  • Posibilidad de considerar “excesiva” una primera solicitud, pese a que el precepto menciona la repetición como ejemplo típico.

  • Configuración del derecho a indemnización por vulneración del derecho de acceso, incluso si la infracción se concreta en una negativa a tramitar la solicitud.

  • Determinación de si la pérdida de control sobre los datos o la incertidumbre sobre su tratamiento puede constituir daño inmaterial indemnizable.

Estas cuestiones sitúan el caso en la intersección entre la amplitud del derecho de acceso y el principio de prohibición del abuso del derecho en el marco del Derecho de la Unión.

Razonamiento del TJUE sobre el carácter “excesivo/abusivo”

El Tribunal declara que el artículo 12.5 RGPD permite considerar “excesiva” incluso una primera solicitud de acceso, siempre que concurran criterios estrictos, habida cuenta de que se trata de una excepción al derecho de acceso que debe interpretarse de forma restrictiva.

El TJUE fija los siguientes elementos:

  • El carácter repetitivo de las solicitudes es un indicio, pero no un requisito necesario; la “primera” solicitud puede ser excesiva si se acredita abuso.

  • La carga de la prueba recae sobre el responsable del tratamiento, que debe demostrar, a la vista de todas las circunstancias, que la solicitud no se presentó para conocer el tratamiento ni verificar su licitud, sino con intención abusiva, en particular para crear artificialmente las condiciones necesarias para reclamar una indemnización.

  • El Tribunal admite que el patrón de conducta del interesado (suscripciones sucesivas, solicitudes de acceso y reclamaciones indemnizatorias frente a distintos responsables) puede constituir un indicador relevante de ese uso instrumental del derecho.

Con ello, el TJUE no convierte el carácter económico de la pretensión en ilegítimo per se, pero sí exige que el ejercicio del derecho de acceso mantenga un vínculo real con su finalidad propia: permitir al interesado conocer y controlar el tratamiento de sus datos personales.

Derecho a indemnización y daño inmaterial

En relación con el artículo 82.1 RGPD, el Tribunal declara que confiere al interesado un derecho a indemnización por los daños y perjuicios resultantes de una vulneración del derecho de acceso del artículo 15.1, aunque esa vulneración consista en la negativa a dar curso a una solicitud, y no en un tratamiento ilícito de datos en sentido estricto.

El TJUE subraya que:

  • El tenor del artículo 82.1 no limita el derecho a indemnización a daños derivados de un “tratamiento” como tal, de modo que excluir las infracciones de los derechos del capítulo III vaciaría de efecto útil la norma.

  • El daño inmaterial puede incluir la pérdida de control sobre los datos personales o la incertidumbre acerca de si estos han sido objeto de tratamiento.

  • No toda infracción del RGPD genera automáticamente derecho a indemnización: el interesado debe probar tres requisitos acumulativos: infracción del RGPD, existencia de un daño efectivo (material o inmaterial) y nexo de causalidad entre ambos.

  • No procede indemnización cuando la pérdida de control o la incertidumbre se deben precisamente a la conducta del propio interesado, que decide someter sus datos al responsable con el fin de crear artificialmente las condiciones para obtener una compensación.

Corresponde al órgano jurisdiccional nacional apreciar, sobre la base de estos criterios, si en el caso concreto concurren abuso y daño indemnizable.

Relevancia práctica

La sentencia ofrece claridad operativa a responsables del tratamiento y autoridades de control:

  • Legitima la posibilidad de denegar solicitudes de acceso abusivas, incluso si son las primeras, siempre que se motive la decisión y se pueda acreditar el uso instrumental del derecho.

  • Refuerza la idea de que el artículo 12.5 RGPD actúa como “válvula de seguridad” frente a estrategias de litigación sistemática basadas en el mero cumplimiento formal de los requisitos del derecho de acceso.

  • Al mismo tiempo, subraya que el derecho a indemnización del artículo 82 no se vacía: se extiende a la vulneración del derecho de acceso, pero exige una prueba rigurosa del daño y de su causalidad, evitando una automatización de la compensación.

Para la práctica de cumplimiento, la sentencia impone a los responsables la necesidad de documentar los indicios de abuso, revisar patrones de conducta del interesado y articular políticas internas sobre tratamiento de solicitudes sospechosas, sin trivializar el estándar probatorio exigido por el TJUE.

Encaje en la doctrina general del abuso del derecho en la UE

Brillen Rottler se inserta en la jurisprudencia que reconoce el abuso del derecho como principio general del Derecho de la Unión, aplicable transversalmente cuando un derecho conferido por una norma de la UE se ejerce de forma contraria a su objeto y finalidad.

De esa doctrina general, el TJUE retoma la construcción clásica en torno a dos elementos:

  • Elemento objetivo: pese al respeto formal de los requisitos legales, el ejercicio del derecho persigue obtener una ventaja contraria al propósito de la norma, aquí, convertir el derecho de acceso en un mero instrumento para generar litigios indemnizatorios.

  • Elemento subjetivo: existencia de una intención de obtener de modo artificioso esa ventaja, que en este caso puede inferirse de un patrón de suscripciones, solicitudes y reclamaciones repetidas frente a distintos responsables.

La aportación específica de Brillen Rottler consiste en trasladar esta lógica al régimen de los derechos del interesado del RGPD, reafirmando que dichos derechos no son absolutos ni están al margen del principio de buena fe en su ejercicio. La sentencia no recorta el contenido esencial del derecho de acceso, pero sí excluye de su ámbito de protección las conductas estratégicas destinadas a construir artificialmente un escenario indemnizatorio.

En conclusión, el TJUE: admite que una primera solicitud de acceso pueda ser considerada “excesiva” y, por tanto, denegada, cuando se pruebe su carácter abusivo (art. 12.5 y 15 RGPD); reconoce que la vulneración del derecho de acceso puede generar derecho a indemnización (art. 82), incluso sin tratamiento ilícito, pero supedita ese derecho a la acreditación de un daño real y de la ausencia de una auto-creación artificiosa de ese daño; y consolida la integración del principio de abuso del derecho en el ámbito de la protección de datos, configurando el RGPD como un sistema de garantías robustas, pero no disponible para usos meramente instrumentales.

Esquemas Europeos de Certificación de Ciberseguridad- ENISA_

Los esquemas europeos de certificación de ciberseguridad que impulsa la Agencia de la Unión Europea para la Ciberseguridad (ENISA) son una pieza central del nuevo Derecho de la economía digital en la Unión Europea (UE). No son solo “sellos técnicos”: son instrumentos híbridos, a medio camino entre la normalización técnica y la regulación, que condicionan de forma creciente la contratación, la supervisión sectorial y la responsabilidad de empresas y administraciones públicas.

1. Del mosaico nacional al marco europeo: el Reglamento de Ciberseguridad (Cybersecurity Act)

Mongolfiera

El punto de partida es el Reglamento (UE) 2019/881, conocido como Reglamento de Ciberseguridad (Cybersecurity Act), que hizo de la Agencia de la Unión Europea para la Ciberseguridad (ENISA) una auténtica agencia permanente de ciberseguridad y estableció un marco europeo de certificación de ciberseguridad. Hasta su aprobación, el paisaje europeo era un mosaico de esquemas nacionales, acuerdos como el Acuerdo de Reconocimiento Mutuo Senior Officials Group Information Systems Security (SOG‑IS MRA) y sellos privados difícilmente comparables entre sí. Cada Estado miembro podía exigir o promover sus propios certificados,

El Reglamento de Ciberseguridad (Cybersecurity Act) pretende resolver este problema mediante nuevos procedimientos que permiten que la Comisión Europea, con apoyo técnico de la  ENISA adopte esquemas europeos de certificación de ciberseguridad aplicables a productos, servicios o procesos de tecnologías de la información y la comunicación (TIC). Una vez adoptado un esquema, los certificados emitidos conforme al mismo deben ser reconocidos en todos los Estados miembros, lo que crea un mercado único de certificación y evita duplicidades de pruebas y acreditaciones.

Cada esquema define su ámbito (por ejemplo, productos de tecnologías de la información y la comunicación, servicios de computación en la nube, redes de comunicaciones móviles de quinta generación) y los niveles de aseguramiento (básico, sustancial, alto) con un conjunto de requisitos de seguridad asociados a cada nivel. También determina qué organismos pueden evaluar y certificar (organismos de certificación acreditados, laboratorios) y qué normas de acreditación se aplican (por ejemplo, la norma ISO/IEC  que se designe. El resultado es una arquitectura en la que el legislador europeo fija el marco y los objetivos, y el detalle técnico se construye sobre la base de estándares internacionales y prácticas de evaluación consolidadas.

En principio, la certificación bajo estos esquemas es voluntaria. Sin embargo, el Reglamento prevé que un producto o servicio certificado goce de una presunción de conformidad con los requisitos del esquema, lo que tiene consecuencias muy concretas: puede servir de referencia en licitaciones, ser exigido por reguladores sectoriales o convertirse en estándar de diligencia debida en determinados mercados. De facto, lo que empieza como “voluntario” tiende a convertirse en requisito de mercado o en criterio de supervisión

2. Esquema Europeo de Certificación de Ciberseguridad basado en Common Criteria (EUCC)

Catedral León. Roset
on

El primer esquema adoptado formalmente bajo el Reglamento de Ciberseguridad es el Esquema Europeo de Certificación de Ciberseguridad basado en Common Criteria (EUCC). Su objetivo es unificar a escala europea la certificación de productos de tecnologías de la información y la comunicación que se evaluaban tradicionalmente conforme al estándar internacional Common Criteria (CC), como tarjetas inteligentes, módulos criptográficos, sistemas operativos embebidos o ciertos elementos de infraestructuras de confianza (identidad electrónica, servicios de confianza de firma electrónica).

Antes de este EUCC, estos productos se certificaban en el marco de esquemas nacionales coordinados parcialmente por el Acuerdo de Reconocimiento Mutuo Senior Officials Group Information Systems Security (SOG‑IS MRA), que ahora se ve progresivamente sustituido por un esquema europeo único. El Esquema Europeo de Certificación de Ciberseguridad basado en Common Criteria (EUCC) recoge ese legado, actualiza los requisitos y establece un marco común de evaluación que ​

  • Define qué categorías de productos pueden certificarse y bajo qué perfiles de protección u objetivos de seguridad.

  • Establece niveles de aseguramiento y requisitos de evaluación asociados a Common Criteria (CC), adaptados al entorno europeo

  • Requiere que los organismos de certificación y los laboratorios estén acreditados conforme a normas armonizadas, garantizando un nivel comparable de calidad en las evaluaciones.​

Para juristas y reguladores, EUCC es relevante porque permite a la norma sectorial (por ejemplo, en identidad electrónica, servicios de confianza, sistemas de pago o infraestructuras críticas) remitir a un referente técnico común, en lugar de citar múltiples esquemas nacionales. Además, puede servir de criterio de diligencia: un operador que elige componentes certificados al amparo del EUCC con un nivel de aseguramiento alto podría alegar haber tomado medidas razonables de seguridad; a la inversa, la ausencia de certificación podría ser un indicio de falta de diligencia en determinados contextos. Finalmente, la existencia de un registro europeo de certificados facilita la transparencia y el control para supervisores y contrapartes contractuales.

3. Esquema Europeo de Certificación de Ciberseguridad para Servicios en la Nube (EUCS)

El Esquema Europeo de Certificación de Ciberseguridad para Servicios en la Nube (EUCS) es el gran proyecto en materia de certificación de servicios de computación en la nube, todavía en fase de candidatura y consulta pública, pero ya bien definido en sus líneas maestras. Su razón de ser es evidente: hoy los servicios de computación en la nube son infraestructura básica para entidades financieras, aseguradoras, plataformas de negociación, administraciones públicas, sistemas sanitarios, etc., pero los requisitos de seguridad que se les exigen están fragmentados entre normas nacionales, guías de supervisores y esquemas privados.

Museo San Matteo. Pisa

El EUCS aspira a convertirse en el lenguaje común europeo para estos servicios. Define categorías de servicios (infraestructura como servicio, plataforma como servicio, software como servicio) y niveles de aseguramiento (básico, sustancial, alto), con un conjunto de requisitos asociados a cada nivel. Entre esos requisitos se incluyen controles sobre: Gestión de identidades y accesos, autenticación robusta y segregación de funciones; cifrado en tránsito y en reposo, gestión de claves, registros de actividad y monitorización;continuidad de negocio, recuperación ante desastres y gestión de incidentes; seguridad de la cadena de suministro y de la subcontratación (subencargados de tratamiento y otros proveedores).

Desde la óptica jurídica, resulta especialmente relevante cómo el EUCS integra cuestiones que trascienden la técnica pura. Uno de los debates centrales gira en torno a la localización de datos y las transferencias internacionales: lugar de almacenamiento y procesamiento, jurisdicciones aplicables y condiciones de acceso por autoridades de terceros países. Todo ello conecta directamente con el Reglamento general de protección de datos (RGPD), con la Directiva (UE) 2022/2555 sobre medidas para un nivel elevado común de ciberseguridad en la Unión (NIS2) y con normativas sectoriales que condicionan el uso de la nube en sectores críticos.

Si el EUCS se adopta en los términos previstos, es previsible que se convierta en referencia para los requisitos de contratación pública de servicios en la nube (por ejemplo, exigir un nivel “alto” para determinados datos o procesos críticos); expectativas de supervisores financieros, sanitarios o de otros sectores críticos respecto del uso de la nube por sus entidades supervisadas; cláusulas contractuales entre proveedores de servicios en la nube y clientes corporativos en toda la Unión Europea.

4. Esquema Europeo de Certificación de Ciberseguridad para redes 5G

El tercer gran eje es el futuro Esquema Europeo de Certificación de Ciberseguridad para reds 5G, que la Comisión Europea ha encargado a la  ENISA en el marco de la estrategia de seguridad de redes 5G y de la denominada “caja de herramientas 5G” (5G Toolbox). Las redes de comunicaciones móviles de quinta generación (5G) constituyen la base tecnológica de servicios industriales, vehículos conectados, ciudades inteligentes y numerosas aplicaciones de misión crítica.

Este Esquema Europeo de Certificación de Ciberseguridad para redes 5G tiene como finalidad evaluar de forma sistemática la seguridad de equipos, software y arquitecturas de red 5G, incluidas funciones virtualizadas y segmentación de red (network slicing); abordar riesgos derivados de la cadena de suministro, donde intervienen múltiples fabricantes y desarrolladores, algunos potencialmente calificados como proveedores de “alto riesgo”; proporcionar a los Estados miembros y a los operadores de redes públicas un instrumento común para comparar la robustez de diferentes soluciones y proveedores

Este esquema se sitúa en el corazón del debate sobre infraestructuras críticas, soberanía tecnológica y dependencia de terceros países. La certificación al amparo del Esquema Europeo de Certificación de Ciberseguridad para redes 5G no sustituye a decisiones políticas (por ejemplo, restricciones a ciertos proveedores), pero aporta una base técnica más uniforme para justificarlas y para diseñar obligaciones de seguridad reforzadas.

5. Implicaciones jurídicas

Estos esquemas son normas regulatorias “de segundo nivel”. El Reglamento de Ciberseguridad crea un marco general y habilita la adopción de esquemas técnicos que, sin ser leyes formales, tienen efectos normativos muy intensos: introducen presunciones de conformidad, son citados por otras normas y condicionan la práctica contractual.

La existencia o ausencia de certificación bajo esquemas como los mencionados puede influir en la apreciación de la diligencia exigible a fabricantes, proveedores de servicios y usuarios industriales. Un nivel “alto” de aseguramiento no es solo un argumento comercial, sino un elemento que puede entrar en la valoración jurídica ex ante (deber de cuidado) y ex post (juicios de culpa).

Estos esquemas de certificación se entrecruzan con la protección de datos (Reglamento general de protección de datos), con la seguridad de redes y sistemas (Directiva NIS2), con la regulación financiera, sanitaria o de infraestructuras críticas y, cada vez más, con la contratación pública, donde los pliegos comienzan a remitir a niveles concretos de certificación.

Finalmente, estos esquemas ilustran cómo, en el entorno digital, la confianza no se construye solo con normas generales, sino con arquitecturas jurídico‑técnicas complejas, en las que el Derecho, los estándares y la evaluación independiente caminan juntos.

Industria de Defensa. Reglamento Europeo del rearme y de la financiación de tecnologías de doble uso

El Reglamento (UE) 2025/2653 del Parlamento Europeo y del Consejo, de 17 de octubre de 2025 introduce modificaciones en  en varios reglamentos sectoriales de la UE para integrar la política industrial de defensa en el núcleo de los programas de financiación existentes. Se trata de un importante paso para implementar el Plan “ReArmar Europa”.

  • Entre las normas afectadas por esta reforma se encuentran el Reglamento (UE) 2021/694, que establece el programa Europa Digital; el Reglamento (UE) 2021/695, que crea Horizonte Europa; el Reglamento (UE) 2021/697, relativo al Fondo Europeo de Defensa; el Reglamento (UE) 2021/1153, que establece el Mecanismo «Conectar Europa»; y el Reglamento (UE) 2024/795, que pone en marcha la Plataforma de Tecnologías Estratégicas para Europa (STEP).

En el actual contexto caracterizado por el deterioro geopolítico, el incremento del gasto en defensa y las dificultades de acceso a financiación para la industria del sector, la finalidad transversal de estas modificaciones es movilizar tanto inversión pública como privada hacia capacidades militares y tecnologías de doble uso.  Es decir, que la política de defensa europea no dependa exclusivamente de esfuerzos nacionales aislados, sino que se articule de manera coordinada y estratégica en el conjunto de los grandes programas comunitarios.

El núcleo del Reglamento reside en la ampliación de la Plataforma de Tecnologías Estratégicas para Europa, que hasta ahora cubría tres ámbitos estratégicos —transición digital y deep tech, tecnologías limpias y biotecnologías—.  Ahora se se incorpora un cuarto sector específico de “tecnologías de defensa”.

  • Este sector se define por referencia a los productos relacionados con la defensa y a las tecnologías necesarias para su desarrollo, según los criterios establecidos por la Directiva 2009/43/CE sobre transferencias intracomunitarias de productos de defensa.
  • Asi, se permite ahora que los proyectos de defensa puedan beneficiarse del “sello STEP”, de la priorización en la evaluación y de ventajas de cofinanciación, abarcando iniciativas que impliquen capacidades intensivas en datos, infraestructuras avanzadas de computación o “gigafactorías de inteligencia artificial” susceptibles de aplicación militar. Esta ampliación refleja un cambio sustancial en la orientación de la política industrial europea, al vincular la innovación tecnológica avanzada con necesidades estratégicas de defensa en el marco de los programas comunitarios existentes.

Zamora, vista allén del río

De manera complementaria, el Reglamento introduce una excepción significativa en el programa Horizonte Europa. Mientras que el artículo 7, apartado 1, del , todavía vigente, Reglamento (UE) 2021/695 consagra el carácter civil de las actividades financiadas, el nuevo texto permite, con carácter excepcional y estrictamente acotado, que el Acelerador del Consejo Europeo de Innovación apoye innovaciones con posibles aplicaciones de doble uso. Esta medida habilita la financiación mediante instrumentos de capital a pymes, start‑ups y small mid‑caps del sector de la defensa que desarrollen tecnologías consideradas fundamentales para este ámbito, asegurando al mismo tiempo la complementariedad con el Fondo Europeo de Defensa y otros instrumentos financieros de la Unión, como InvestEU.

El Reglamento refuerza asimismo las salvaguardas de seguridad y el control de acceso para los proyectos de doble uso. En determinadas convocatorias, las normas de admisibilidad y selección pueden limitar la participación a entidades establecidas en Estados miembros y, de forma limitada, en algunos países asociados, excluyendo empresas controladas por terceros países no asociados cuando ello sea necesario para proteger los intereses estratégicos y de seguridad de la Unión. La Comisión queda obligada a supervisar el uso de esta “excepción de defensa” dentro de Horizonte Europa, recopilando y comunicando información sobre los proyectos afectados sin generar nuevas cargas administrativas para los beneficiarios, lo que garantiza una gestión controlada y transparente de los recursos públicos destinados a la innovación estratégica.

Además, las modificaciones introducidas en Europa Digital, el Fondo Europeo de Defensa y el Mecanismo «Conectar Europa» completan esta lógica de integración, facilitando que programas originalmente concebidos para la digitalización, la investigación y desarrollo civil o las infraestructuras de transporte y energía puedan apoyar de manera efectiva capacidades críticas con relevancia militar o de doble uso. Entre estas capacidades destacan infraestructuras esenciales para la movilidad de fuerzas, la resiliencia energética y la seguridad de las comunicaciones, que se vuelven estratégicas en el marco del Plan ReArmar Europa.

Este Reglamento (UE) 2025/2653 constituye una pieza central de coordinación y planificación presupuestaria, trasladando la política de defensa desde un enfoque estrictamente nacional hacia una estrategia industrial europea integrada, que articula los grandes instrumentos de financiación de la Unión para responder a desafíos geopolíticos y tecnológicos contemporáneos.

Hacia la simplificación del ordenamiento europeo de sociedades y los criterios ESG en derecho societario- (las propuestas Omnibus)

Riaño, by Ricardo Castellanos Blanco

La creciente densidad del acervo europeo en materia financiera, societaria y de sostenibilidad ha generado una preocupación creciente por la complejidad y los costes de cumplimiento asociados. En sus recientes comunicaciones e informes sobre simplificación, la COMISIÓN EUROPEA viene anunciando que está sometiendo la legislación vigente a revisión para detectar acumulaciones regulatorias, racionalizar obligaciones y garantizar que las normas sigan siendo proporcionadas y adecuadas a sus fines . Véase, por ejemplo, la Comunicación «Una normativa de la UE más sencilla, eficaz y preparada para el futuro», COM(2025) 47 final, y el Informe sobre simplificación, aplicación y cumplimiento, COM(2025) 871 final). Cada comisario ha asumido, en este contexto, un mandato específico de revisión de su cartera normativa, con prioridad en aquellos ámbitos en los que empresas y partes interesadas perciben mayor carga administrativa, de modo que los resultados de este escrutinio alimentan tanto futuras iniciativas de reforma como sucesivos paquetes “ómnibus” orientados a corregir disfunciones y solapamientos.

Tanto el denominado Informe Draghi sobre competitividad europea (M. Draghi, «The future of European competitiveness. A competitiveness strategy for Europe (Part A)», Informe para la Comisión Europea, 9.9.2024) como la Declaración de Budapest en favor de un nuevo pacto para la competitividad (CONSEJO DE LA UE, “Declaración de Budapest sobre el Nuevo Pacto para la Competitividad Europea”, Comunicado de prensa 838/24, 8.11.2024) han contribuido a reforzar esta orientación, al reclamar una “revolución de la simplificación” y un marco normativo más predecible y menos oneroso, en particular para las pymes.

​En este marco, la reforma conocida como Ómnibus I, articulada a través de una Propuesta de Directiva que modifica, entre otros instrumentos, la Directiva sobre información corporativa en materia de sostenibilidad (Directiva (UE) 2022/2464 del Parlamento Europeo y del Consejo, relativa a la información corporativa sobre sostenibilidad, “CSRD”) y la Directiva sobre diligencia debida en materia de sostenibilidad empresarial (Directiva (UE) 2024/1760 del Parlamento Europeo y del Consejo, sobre diligencia debida de las empresas en materia de sostenibilidad, “DDD”), se inserta en una estrategia explícita de simplificación para reducir la carga administrativa asociada a las obligaciones ESG de las empresas europeas (Propuesta de Directiva por la que se modifican las Directivas 2006/43/CE, 2013/34/UE, (UE) 2022/2464 y (UE) 2024/1760 en lo que respecta a determinados requisitos de presentación de información corporativa y de diligencia debida de las empresas en materia de sostenibilidad, COM(2025) 81 final).

Ómnibus I puede leerse como una reacción ponderada, aunque no exenta de controversia, frente a la centralidad adquirida por la sostenibilidad en la agenda regulatoria europea, entendida en los últimos años como un vector destinado a reorientar las prioridades de las sociedades mercantiles combinando la obtención de beneficios económicos, con objetivos ambientales, sociales y de buen gobierno (ESG)

  • En el ámbito de la información sobre sostenibilidad, la propuesta reduce de forma sustancial el universo de empresas obligadas elevando los umbrales de entrada, de manera que solo queden plenamente sometidas sociedades de gran dimensión —por encima de determinados niveles de plantilla y facturación— incluidas ciertas filiales y sucursales de grupos de terceros países con actividad relevante en la Unión (conforme a los nuevos umbrales que introduce la Propuesta COM(2025) 81 final al modificar la Directiva 2013/34/UE y la Directiva (UE) 2022/2464).
  • Paralelamente, se simplifican los contenidos de la información que deben elaborar las empresas, se flexibilizan determinados estándares sectoriales, se introduce un modelo optativo para la comunicación del grado de alineación con el Reglamento (UE) 2020/852 del Parlamento Europeo y del Consejo, de 18 de junio de 2020, relativo a la taxonomía de actividades sostenibles (“Reglamento de Taxonomía”), y se refuerzan salvaguardias destinadas a evitar el traslado indirecto de obligaciones hacia empresas de menor tamaño a través de la cadena de valor.
  • Se acompaña de medidas de apoyo institucional —como portales digitales con orientaciones y plantillas armonizadas— y de una reprogramación temporal que difiere la plena aplicación del nuevo marco, con el objetivo declarado de ofrecer flexibilidad y permitir una adaptación progresiva, en especial para empresas intermedias o en transición

La reforma proyecta efectos relevantes también sobre el régimen de diligencia debida en materia de sostenibilidad, que pasa a concentrarse en un número más reducido de empresas de gran dimensión, modulando el alcance de la identificación y gestión de riesgos ambientales y sociales, suavizando ciertas consecuencias jurídicas —incluido el régimen sancionador— y precisando las cadenas de relaciones comerciales a las que debe extenderse el deber de vigilancia, mediante las modificaciones introducidas sobre la Directiva (UE) 2024/1760 por la Propuesta COM(2025) 81 final. En paralelo, algunas posiciones nacionales, como la del Bundesrat alemán (BUNDESRAT, “Beitrag des Deutschen Bundesrats zur Überarbeitung der Europäischen Standards zur Nachhaltigkeitsberichterstattung und der CSDDD”, 2025), reclaman una clarificación adicional del perímetro de las obligaciones de diligencia y del contenido de los estándares materiales aplicables, así como la necesidad de directrices uniformes sobre responsabilidad civil para evitar divergencias interpretativas que podrían generar inseguridad jurídica y distorsiones competitivas dentro del mercado interior.​

Con todo, aunque el propósito explícito de estas modificaciones es reforzar la proporcionalidad regulatoria, reducir costes de cumplimiento y preservar la competitividad de las empresas europeas, el sentido de la reforma no está exento de ambivalencias. La elevación de umbrales, la reducción del detalle informativo y el recurso a modelos voluntarios en ámbitos clave pueden traducirse, según advierten diversos sectores académicos, organizaciones ambientales y actores de la sociedad civil, en una pérdida de densidad evaluativa, una menor trazabilidad de impactos y un debilitamiento de los incentivos para integrar de forma sustantiva la sostenibilidad en la estrategia corporativa y en los sistemas de gobernanza. En este sentido, la propuesta  Ómnibus I refleja una opción de política económica que prioriza la reducción de cargas y la estabilidad competitiva frente al impulso transformador que caracterizó las fases iniciales de la agenda europea de sostenibilidad, de manera que su efectividad real dependerá, en última instancia, de cómo empresas y supervisores consigan equilibrar esa simplificación normativa con la preservación de los objetivos ambientales y sociales a medio y largo plazo (tal y como han subrayado diversas valoraciones críticas del paquete, tanto institucionales como académicas).

En cuanto a Ómnibus II,  COMISIÓN EUROPEA: Proposal for a Regulation of the European Parliament and of the Council amending Regulations (EU) 2015/1017, (EU) 2021/523, (EU) 2021/695 and (EU) 2021/1153 as regards increasing the efficiency of the Union guarantee under Regulation (EU) 2021/523 and simplifying reporting requirements, COM(2025) 84 final, Bruselas, 2025; modifica —como parte del paquete Omnibus II— el marco normativo que rige el programa InvestEU y otros instrumentos relacionados con la garantía de la UE para facilitar la movilización de inversiones, simplificar requisitos de reporte y reducir cargas administrativas para implementar inversiones estratégicas.