GrooveGRCAcceder

Certificaciones y cumplimiento normativo sin frenar el ritmo de tu empresa

GrooveGRC asume la gestión documental y las evidencias de tus certificaciones combinando tecnología especializada con consultores al frente de cada decisión.

HablemosAcceder

De un vistazo

72horasNotificación de brechas de seguridadLímite legal para reportar brechas de datos a la AEPD bajo el RGPD y ciberincidentes bajo la Directiva NIS2.
24horasAlerta temprana bajo Directiva NIS2Plazo preceptivo inicial para notificar ciberincidentes significativos ante la autoridad de supervisión.
3añosCiclo de validez de certificaciónPeriodo de vigencia de certificados como ISO 27001 o la etiqueta TISAX antes de la renovación integral.
1horaReunión semanal de coordinaciónDedicación semanal requerida al equipo del cliente para revisar avances y validar entregables del proyecto.

Qué hacemos

¿Qué marcos normativos acompaña GrooveGRC?GrooveGRC acompaña en la preparación y certificación de los estándares clave de seguridad, privacidad y gobierno digital demandados por el mercado y las normativas europeas.Saber más →¿Cómo mantiene GrooveGRC el cumplimiento en el tiempo?GrooveGRC presta servicios continuados de dirección de seguridad y protección de datos mediante figuras externas que garantizan la independencia técnica y el cumplimiento continuo.Saber más →

¿Qué marcos normativos acompaña GrooveGRC?

GrooveGRC acompaña en la preparación y certificación de los estándares clave de seguridad, privacidad y gobierno digital demandados por el mercado y las normativas europeas.

  • ISO/IEC 27001 e ISO 22301

    Sistemas de gestión de seguridad de la información y planes de continuidad de negocio para proteger operaciones críticas.

  • Esquema Nacional de Seguridad (ENS)

    Marco de seguridad preceptivo para el sector público y sus proveedores tecnológicos en categorías Básica, Media o Alta.

  • Reglamento de IA (RIA) e ISO/IEC 42001

    Gobernanza ética y técnica, clasificación de riesgos y sistemas de gestión certificables para inteligencia artificial.

  • Directiva NIS2 y Reglamento DORA

    Resiliencia operativa digital, gestión de riesgos tecnológicos y reporte formal de incidentes en finanzas y sectores esenciales.

  • RGPD, LOPDGDD y Sector Sanitario

    Protección de datos personales, evaluaciones de impacto obligatorias y directrices de seguridad para el sector salud.

  • TISAX, PCI DSS y CRA

    Estándar de automoción, seguridad en operaciones de pago y requisitos de ciberresiliencia en productos digitales.

¿Cómo mantiene GrooveGRC el cumplimiento en el tiempo?

GrooveGRC presta servicios continuados de dirección de seguridad y protección de datos mediante figuras externas que garantizan la independencia técnica y el cumplimiento continuo.

  • Responsable de Seguridad Externo (vCISO)

    Dirección periódica de la seguridad de la información para gestionar riesgos, supervisar controles e interactuar con auditores y clientes sin crear estructura fija.

  • Delegado de Protección de Datos (DPDaaS)

    Asunción formal de la figura de Delegado de Protección de Datos certificado ante la AEPD para supervisar tratamientos y tutelar derechos de forma independiente.

  • Segregación obligatoria de funciones

    Diferenciación estricta y obligatoria entre quien implanta las salvaguardas de seguridad y quien audita la privacidad, garantizando la ausencia de conflictos de interés.

Preguntas frecuentes

¿Cuáles son los plazos y obligaciones legales de notificación ante incidentes y brechas de seguridad según RGPD y NIS2?

El RGPD exige notificar cualquier brecha de seguridad que afecte a datos personales a la Agencia Española de Protección de Datos (AEPD) en un plazo máximo de 72 horas. La Directiva NIS2 establece una alerta temprana a las autoridades competentes en un plazo máximo de 24 horas tras la detección de un incidente significativo, una notificación formal de incidente en 72 horas y un informe final de seguimiento al cabo de un mes.

¿A quién aplica obligatoriamente el Esquema Nacional de Seguridad (ENS) y qué exigencias impone a los proveedores privados?

El ENS es de obligado cumplimiento para todo el sector público español y para las empresas privadas contratistas que le prestan servicios tecnológicos o tratan datos públicos. Los pliegos de contratación pública exigen contractualmente que los subcontratistas y proveedores cuenten con una certificación oficial en el ENS de categoría igual o superior a la exigida al propio organismo licitador.

¿Cuáles son las etapas y fases del ciclo de auditoría y certificación bajo la norma ISO 27001?

El ciclo trienal de ISO 27001 se divide en cinco etapas: una auditoría interna formal e independiente previa a la certificación, una auditoría externa de Etapa 1 para verificar la madurez y documentación del sistema, una auditoría externa de Etapa 2 que audita la eficacia de los controles y otorga la certificación, auditorías anuales de vigilancia para garantizar el mantenimiento continuo y una auditoría de recertificación completa al finalizar el tercer año.

¿Cuál es la limitación de responsabilidad asumida por GrooveGRC respecto al resultado de la auditoría de certificación?

GrooveGRC asume la consultoría técnica, elaboración documental y acompañamiento del proyecto, pero no garantiza de forma expresa ni implícita la obtención del certificado oficial ni la ausencia de sanciones. La emisión formal de la certificación corresponde con exclusividad e independencia al organismo de evaluación acreditado, y el cumplimiento efectivo depende de la ejecución real de las medidas por parte de la empresa cliente.

¿Qué requisitos y evidencias operativas definen una supervisión humana efectiva (Human-in-the-Loop) en sistemas de IA?

La supervisión humana efectiva bajo el Reglamento de IA exige cuatro condiciones operativas: explicabilidad activa que permita comprender los factores determinantes de la predicción, potestad técnica formal para anular o corregir la decisión sugerida (override), un registro inmutable que documente la verificación y juicio profesional adoptado, y formación específica para neutralizar el sesgo de automatización acrítica.

¿Cómo clasifica el Reglamento de Inteligencia Artificial (RIA) los sistemas de IA y qué régimen aplica a cada categoría?

El RIA clasifica los sistemas en una taxonomía de cuatro niveles: riesgo inaceptable (prácticas prohibidas como la manipulación cognitiva o el crédito social), alto riesgo (sistemas en empleo o infraestructuras críticas sujetos a evaluación de conformidad y marcado CE), riesgo limitado (chatbots y generación de contenido sujetos a transparencia informativa) y riesgo mínimo o nulo (aplicaciones cotidianas sin obligaciones legales).

¿Cómo deben distribuirse las responsabilidades y roles de seguridad para evitar conflictos de interés?

Para evitar incompatibilidades legales, el Responsable de Seguridad (o vCISO) debe ser una figura independiente de la explotación tecnológica y de la función del Delegado de Protección de Datos (DPD). La normativa exige una estricta segregación funcional: quien diseña y opera los controles de seguridad técnica no puede asumir el rol neutral y fiscalizador de tutela de la privacidad.

¿Qué normativas le aplican a tu empresa? Descúbrelo en 5 minutos y averigua el esfuerzo necesario para cumplir.

Responde unas preguntas sobre tu empresa y te diremos qué leyes, regulaciones y marcos te afectan (RGPD, NIS2, ENS, ISO 27001…), lo cerca o lejos que estás de cumplirlos y por dónde empezar. Déjanos tus datos y te enviaremos un enlace personal para hacer tu diagnóstico.

Quiero mi diagnóstico