Checklist de cumplimiento normativo para pymes: qué obligaciones legales no puedes olvidar
¿Te resulta útil BOE Hoy? Ayúdanos marcándonos como fuente preferida en Google.
Llevas la pyme y no sabes si te falta algo legal por cumplir
Gestionas la empresa, los clientes, las nóminas y, de fondo, una sensación incómoda: ¿tienes todo en regla?
Nadie te manda un aviso previo cuando incumples una obligación normativa. La sanción, si llega, llega después de una inspección o de una denuncia, no antes.
El problema no es solo desconocer una norma concreta. Es no tener un mapa claro de qué obligaciones aplican a tu tamaño de plantilla y cuáles no.
Una pyme de 8 empleados no tiene las mismas obligaciones que una de 60. Aplicar de más malgasta recursos; aplicar de menos es el riesgo real.
Este artículo organiza en una checklist las áreas de cumplimiento normativo más habituales para una pyme española, señalando en qué casos depende del tamaño de la empresa.
Por qué el cumplimiento normativo de una pyme no es "todo o nada"
La mayoría de obligaciones de compliance en España no aplican igual a todas las empresas. Dependen de variables como el número de trabajadores, el sector o el volumen de facturación.
Esto genera un problema práctico habitual: una pyme copia la checklist de otra empresa de tamaño distinto y termina con obligaciones que no le corresponden, o peor, sin las que sí le corresponden.
La protección de datos, por ejemplo, aplica a cualquier empresa que trate datos personales, sin umbral de plantilla. El canal de denuncias interno, en cambio, solo es obligatorio a partir de un número concreto de trabajadores.
Antes de aplicar cualquier checklist genérica de cumplimiento normativo pyme, conviene identificar en qué tramo de plantilla y facturación está tu empresa exactamente.
Área 1: protección de datos (RGPD y LOPDGDD)
Cualquier pyme que trate datos personales — de clientes, empleados o proveedores — entra dentro del ámbito del Reglamento General de Protección de Datos (RGPD) y de la Ley Orgánica de Protección de Datos y garantía de los derechos digitales (LOPDGDD). No hay umbral mínimo de plantilla: aplica desde el primer empleado o el primer cliente registrado.
En la práctica, esto suele traducirse en tener identificado un registro de actividades de tratamiento, cláusulas de consentimiento y política de privacidad actualizadas, y un procedimiento definido para responder a una brecha de seguridad o a una solicitud de un interesado (acceso, rectificación, supresión).
La figura del delegado de protección de datos (DPO) no es obligatoria para toda pyme: suele depender de si el tratamiento de datos es a gran escala o de si la actividad implica categorías especiales de datos. Conviene revisar con detalle si tu actividad concreta lo exige antes de descartarlo.
Área 2: canal de denuncias interno (Ley 2/2023)
La Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas, obliga a las empresas privadas con 50 o más trabajadores a disponer de un sistema interno de información — comúnmente llamado canal de denuncias o whistleblowing — para recibir comunicaciones sobre posibles irregularidades.
Si tu pyme está por debajo de ese umbral de plantilla, esta obligación concreta no suele aplicarte, salvo que operes en un sector regulado con requisitos específicos (servicios financieros, prevención de blanqueo de capitales, entre otros).
El canal debe ofrecer más de un cauce de comunicación (escrito, verbal o presencial), garantizar la confidencialidad del informante y contar con un procedimiento de gestión de las comunicaciones recibidas dentro de plazos determinados.
Checklist de cumplimiento normativo pyme por tramo de plantilla
Un punto que muchas pymes pasan por alto: el registro retributivo (los valores medios de salarios desagregados por sexo) es obligatorio para cualquier empresa, tenga uno o cien empleados, desde 2021. El plan de igualdad, en cambio, sí depende del tamaño de plantilla.
| Área de cumplimiento | Obligación habitual | A quién suele aplicar |
|---|---|---|
| Protección de datos | RGPD y LOPDGDD: registro de tratamientos, política de privacidad, gestión de brechas | Toda empresa que trate datos personales, sin umbral de plantilla |
| Canal de denuncias | Sistema interno de información (Ley 2/2023) | Empresas privadas con 50 o más trabajadores (o sectores regulados sin umbral) |
| Registro retributivo | Documento con salarios medios desagregados por sexo | Toda empresa, con independencia del tamaño de plantilla |
| Plan de igualdad | Plan negociado y registrado, con auditoría retributiva | Empresas de 50 o más trabajadores |
| Prevención de riesgos laborales | Evaluación de riesgos, organización preventiva, formación e información | Toda empresa con personal contratado, con obligaciones que se adaptan según tamaño y actividad |
| Registro de jornada | Registro diario de inicio y fin de jornada de cada trabajador | Toda empresa, con independencia del tamaño de plantilla |
| Facturación electrónica B2B | Emisión y recepción de factura electrónica entre empresarios y profesionales | Todas las empresas y autónomos, en fases escalonadas según volumen de facturación |
Esta tabla resume obligaciones habituales a fecha de publicación de este artículo. Los umbrales y calendarios normativos cambian: conviene verificar la situación concreta de tu empresa antes de dar nada por asumido.
Área 3: prevención de riesgos laborales
La normativa de prevención de riesgos laborales (Ley 31/1995 y su desarrollo reglamentario) aplica a cualquier empresa con personal contratado, sea cual sea su tamaño. Lo que cambia según el tamaño y la actividad es cómo se organiza esa prevención: una pyme pequeña con actividad de bajo riesgo puede, en determinados casos, asumir directamente parte de la prevención, mientras que otras necesitan un servicio de prevención propio o ajeno.
En todos los casos, suele ser exigible tener una evaluación de riesgos actualizada del puesto de trabajo, un plan de formación e información a la plantilla, y protocolos frente a riesgos concretos de la actividad — incluidos, cada vez con más peso normativo, los riesgos psicosociales (estrés, carga de trabajo, teletrabajo).
Área 4: registro de jornada
El registro diario de la jornada laboral es obligatorio desde 2019 (Real Decreto-ley 8/2019) para toda empresa, con independencia de su tamaño, sector o tipo de contrato del trabajador. No llevarlo se considera una infracción grave según la Ley sobre Infracciones y Sanciones en el Orden Social (LISOS), con sanciones económicas que se gradúan según el número de trabajadores afectados y la reincidencia.
A fecha de este artículo hay un proceso normativo en curso para reforzar los requisitos técnicos del registro (formato digital, imposibilidad de modificar los datos registrados). Como el texto está en tramitación, conviene revisar su estado antes de dar por hecho un requisito concreto que todavía no esté en vigor.
Área 5: facturación electrónica B2B (Ley Crea y Crece)
La Ley Crea y Crece y su desarrollo reglamentario (Real Decreto 238/2026) establecen la obligación de emitir y recibir factura electrónica en las operaciones entre empresarios y profesionales, no solo frente a la Administración. El calendario de entrada en vigor efectiva es escalonado según el volumen de facturación de cada empresa, y depende de la aprobación de la orden ministerial que desarrolla la solución pública de facturación electrónica.
Para una pyme, lo relevante hoy no es tanto memorizar la fecha exacta —el calendario puede ajustarse por normativa posterior— sino empezar a evaluar con antelación qué sistema de facturación usa y si es compatible con el formato electrónico que se exigirá.
Cómo montar tu propio checklist de cumplimiento normativo pyme
Una checklist genérica sirve de punto de partida, pero cada pyme necesita adaptarla a su plantilla, su sector y su actividad concreta. El proceso suele ser parecido en cualquier empresa:
- Cuenta cuántos trabajadores tienes en plantilla, porque varios umbrales legales (canal de denuncias, plan de igualdad) dependen de esa cifra exacta.
- Revisa si tu actividad implica tratamiento de datos personales a gran escala o categorías especiales de datos, para valorar si necesitas un DPO.
- Confirma que tienes al día el registro retributivo y el registro de jornada, obligatorios con independencia del tamaño.
- Verifica el estado de tu sistema de facturación de cara a la facturación electrónica B2B, aunque el plazo definitivo todavía dependa de desarrollo normativo posterior.
- Documenta cada revisión con fecha, para tener trazabilidad si en algún momento hace falta acreditar que el cumplimiento normativo se revisa de forma periódica.
Si tu pyme además participa o quiere empezar a participar en contratación pública, la checklist de cumplimiento se cruza con otra distinta: la documentación exigida para licitar. Puedes revisar el checklist de licitación para pymes con los pasos y documentos habituales antes de presentar una oferta.
Mantener todo esto al día sin sumar una persona dedicada en exclusiva es precisamente el reto que abordamos en la guía de automatizar el compliance normativo sin más personal, con el papel que puede asumir un sistema de alertas y el que sigue necesitando criterio humano.
Los resúmenes son orientativos. Para efectos legales, consulta siempre el texto íntegro en boe.es. Este artículo no sustituye la asesoría legal profesional: ante cualquier duda sobre tu caso concreto, conviene consultar con un abogado o asesor especializado en compliance.
Qué cambia si tu pyme crece de plantilla
Cruzar ciertos umbrales de plantilla no es solo una cuestión de contratación: activa obligaciones normativas nuevas de forma automática. Pasar de 49 a 50 trabajadores, por ejemplo, suele implicar entrar en el ámbito del canal de denuncias y del plan de igualdad casi al mismo tiempo.
Por eso conviene revisar el checklist de cumplimiento normativo no solo al arrancar la empresa, sino en cada fase de crecimiento relevante de la plantilla, y no únicamente cuando llega una inspección o una auditoría.
El Boletín Oficial del Estado (BOE) publica de forma constante desarrollos normativos, órdenes ministeriales y calendarios de entrada en vigor que afectan a estas obligaciones — como ha ocurrido con la facturación electrónica B2B. El BOE es la fuente donde se confirma el estado real de cada norma, más allá de lo que indiquen guías de terceros.
Para no depender de revisar el BOE manualmente cada día, en BOE Hoy puedes consultar el catálogo de herramientas legaltech para el BOE — desde alertas por sector hasta resúmenes generados con IA — pensadas para pymes y asesorías que necesitan seguimiento normativo sin dedicarle horas de lectura diaria.
Antes de cerrar el checklist, revisa las plantillas descargables
Un checklist ayuda a no olvidar obligaciones, pero completar cada trámite suele necesitar además la documentación concreta: modelos de registro, formularios y plantillas ya preparadas.
En BOE Hoy encontrarás una sección de plantillas administrativas gratuitas y descargables, pensada para que una pyme no tenga que redactar desde cero cada documento que un proceso de cumplimiento normativo suele exigir.
Preguntas frecuentes sobre cumplimiento normativo para pymes
Antes de cerrar, resolvemos algunas de las dudas más habituales que suelen surgir al montar un checklist de cumplimiento normativo en una pyme.
Preguntas frecuentes
¿Qué pymes están obligadas a tener un canal de denuncias interno?
Según la Ley 2/2023, las empresas privadas con 50 o más trabajadores están obligadas a disponer de un sistema interno de información (canal de denuncias). Las pymes por debajo de ese umbral suelen quedar excluidas de esta obligación concreta, salvo que operen en sectores regulados con requisitos específicos sin umbral de plantilla, como ciertos servicios financieros.
¿Necesita mi pyme un plan de igualdad?
El plan de igualdad es obligatorio para empresas de 50 o más trabajadores, e incluye una auditoría retributiva y su registro oficial. Por debajo de ese umbral no suele ser obligatorio, aunque el registro retributivo (los salarios medios desagregados por sexo) sí aplica a cualquier empresa, con independencia de su plantilla.
¿Desde cuándo es obligatoria la facturación electrónica B2B para pymes?
La Ley Crea y Crece y su desarrollo reglamentario (Real Decreto 238/2026) establecen un calendario escalonado según el volumen de facturación de cada empresa, condicionado a la orden ministerial que desarrolla la solución técnica pública. Al tratarse de un calendario en desarrollo, conviene revisar el estado actualizado en boe.es o con tu asesoría antes de dar una fecha por definitiva.
¿Toda pyme necesita un delegado de protección de datos (DPO)?
No necesariamente. La figura del DPO suele depender de si la actividad implica tratamiento de datos a gran escala o categorías especiales de datos, no del tamaño de la plantilla por sí solo. Conviene valorar la actividad concreta de la empresa —no solo su tamaño— antes de descartar o asumir esta obligación.
¿Qué pasa si mi pyme no lleva el registro de jornada de los empleados?
El registro de jornada es obligatorio desde 2019 para toda empresa, con independencia de su tamaño. No llevarlo se considera una infracción grave según la LISOS, con sanciones económicas que se gradúan según el número de trabajadores afectados y otros factores. El importe exacto depende de cada caso, por lo que conviene consultar la normativa vigente o a un asesor laboral.
¿Cómo puedo mantener actualizado el checklist de cumplimiento normativo de mi pyme?
Lo habitual es revisar el checklist en cada cambio relevante de plantilla o actividad, y no solo una vez al año. Combinar esa revisión periódica con alertas normativas por sector —para detectar cambios de umbrales o calendarios en el BOE— reduce el riesgo de que una obligación nueva pase desapercibida.