La confluencia de dos fuerzas regulatorias está redefiniendo la infraestructura tecnológica de miles de empresas en España y Europa. Por un lado, el Esquema Nacional de Seguridad (ENS), que desde el Real Decreto 311/2022 ya no es un asunto exclusivo de las Administraciones Públicas, sino que alcanza a cualquier empresa privada que, por contrato, preste servicios al sector público. Por otro, la Directiva NIS2, que extiende las obligaciones de ciberseguridad a 18 sectores críticos e incluye la seguridad de la cadena de suministro. Ambas normativas convergen en una misma exigencia práctica: saber dónde está el servidor, quién lo opera y bajo qué jurisdicción cae. Esta presión está empujando a muchas organizaciones hacia los servidores dedicados como la vía más directa para demostrar soberanía del dato y conformidad con el ENS, especialmente cuando los pliegos de contratación empiezan a pedir ambas cosas por escrito.
El ENS se extiende a la empresa privada: del Real Decreto 311/2022 a la cadena de suministro
El artículo 2.3 del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, establece que las entidades del sector privado quedan sujetas al ENS cuando prestan servicios o proveen soluciones a las Administraciones Públicas. La obligación no se queda en el contratista principal: baja a toda la cadena de suministro en función del análisis de riesgos. Un subcontratista puede terminar dentro del perímetro de seguridad sin haber firmado ningún contrato directo con la Administración.
La categoría del sistema la determina el dueño de la información evaluando cinco dimensiones: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad. Basta con que una sola dimensión alcance el nivel alto para que todo el sistema sea clasificado como categoría ALTA. Esta clasificación tiene consecuencias directas sobre cómo se acredita la conformidad:
| Categoría | Requisito de acreditación |
|---|---|
| BÁSICA | Declaración de la propia organización tras una autoevaluación |
| MEDIA | Auditoría y certificado por entidad acreditada por ENAC, validez 2 años |
| ALTA | Auditoría y certificado por entidad acreditada por ENAC, validez 2 años |
La certificación ya no es una rareza. El registro del Centro Criptológico Nacional (CCN) contabiliza 4.099 sistemas certificados, 1.004 de ellos en categoría alta. Para los productos que se integran en esos sistemas, existe el Catálogo de Productos y Servicios de Seguridad TIC (CPSTIC), que recoge los cualificados o aprobados para su uso en entornos sujetos al ENS. Quien firma con la Administración hereda todo este marco normativo, incluyendo la obligación de contar con una política de seguridad propia.
Servidores dedicados: una respuesta arquitectónica a las exigencias del ENS
Aquí es donde la arquitectura empieza a decidir el papeleo. La guía CCN-STIC 823, sobre seguridad en entornos cloud, establece que para una comunidad de seguridad de categoría media el equipo base queda reservado a una sola comunidad, y en categoría alta la separación se extiende a las redes de administración. Un servidor dedicado entrega esa separación por construcción: inquilino único en el chasis, ubicación física identificable (sala y país concretos, registrables directamente en el inventario) y un alcance acotado donde quien alquila responde de todo lo que va por encima del hardware: sistema operativo, cuentas de administración, cifrado, aplicaciones, datos y copias de seguridad.
En un entorno compartido —ya sea nube pública o hosting compartido— esa misma separación debe demostrarse con medidas adicionales y sostenerse en el análisis de riesgos, lo cual alarga tanto la implantación como la auditoría. La nube pública sigue siendo una opción válida, y existen prestadores con servicios certificados en categoría alta. Pero lo que cambia con el hierro reservado es el trabajo de acotar el alcance, que es precisamente donde se consume el presupuesto de un proyecto ENS. Quien busca «alquiler servidor dedicado» con un pliego ENS encima de la mesa compra, sobre todo, un perímetro más fácil de describir y auditar.
¿Qué implica para una empresa cumplir con el ENS en categoría alta?
Cuando un sistema se clasifica como categoría ALTA, la organización debe someterse a una auditoría completa realizada por una entidad acreditada por la Entidad Nacional de Acreditación (ENAC), obtener un certificado con validez de dos años y someterse a revisiones al menos bienales. Además, la infraestructura debe garantizar separación física a nivel de servidor y de redes de administración. Esto hace que el servidor dedicado no sea una opción más, sino la solución más directa para cumplir con los requisitos de aislamiento sin tener que demostrar medidas compensatorias complejas.
Soberanía del dato: más allá de la ubicación, la jurisdicción y la operatividad
Elegir una región europea en un panel de control deja resuelta la ubicación física, pero abre una pregunta más profunda. La gestión de los medios de tratamiento, identidades, DNS o plano de control depende a menudo de servicios centralizados en la región de origen del proveedor. Una caída de esos servicios alcanza a las aplicaciones alojadas en centros de datos europeos. La soberanía operativa —la capacidad de operar y gestionar los sistemas de tratamiento de forma autónoma— es un requisito que el responsable del tratamiento debe demostrar con diligencia debida antes de que el riesgo se materialice.
En transferencias internacionales, el punto de partida es la lista de decisiones de adecuación de la Comisión Europea. Desde el 10 de julio de 2023, Estados Unidos figura en esa lista para las organizaciones comerciales adheridas al Data Privacy Framework. Sin embargo, cualquier respuesta sobre este marco tiene fecha de caducidad: el DPF está en vigor pero también recurrido ante el Tribunal de Justicia de la Unión Europea, en una situación que recuerda al precedente del Privacy Shield, tumbado por la sentencia Schrems II (asunto C-311/18) de 2020 debido al alcance de la vigilancia estadounidense.
La CLOUD Act de 2018 añade otra capa de complejidad: permite a las autoridades de Estados Unidos reclamar datos a un proveedor sujeto a su jurisdicción, estén donde estén guardados. Por eso cuenta la nacionalidad del proveedor, no solo la ubicación del dato. La jurisdicción también se intenta resolver mediante certificaciones como la SecNumCloud de la ANSSI francesa, que exige que los datos del cliente no queden sujetos a normativas no europeas. El esquema europeo EUCS, que debía armonizar esa exigencia, seguía en desarrollo a principios de 2026 por el desacuerdo sobre los requisitos de soberanía entre los Estados miembros.
Lo que debe constar en el pliego antes de mover un solo byte
Un certificado de prestador de servicios cloud tiene un alcance, y ese alcance se lee en el propio documento: qué servicios cubre, qué centros de datos, en qué categoría ENS, qué entidad lo emitió y entre qué fechas tiene validez. Junto a ese certificado deben existir, firmados antes de mover cualquier carga de trabajo, el encargo de tratamiento del artículo 28 del Reglamento General de Protección de Datos y el acuerdo de nivel de servicio (SLA).
En el mercado existen catálogos amplios, como la gama Advance de servidores dedicados para empresas de OVHcloud, desplegable en quince regiones repartidas entre cuatro continentes, con infraestructura anti-DDoS disponible por defecto. Un catálogo de ese alcance convierte la región en una decisión del comprador: hay que tomarla, escribirla en el contrato y poder acreditarla después. La ficha describe la máquina; el alcance ENS lo fija el cliente. OVHcloud declara en su página de cumplimiento la conformidad con el ENS de categoría alta, pero antes de citarlo en un pliego conviene pedir el certificado y comprobar qué servicios y centros de datos cubre exactamente.
El sello del prestador no pasa a la aplicación del cliente
Un error frecuente en los procesos de contratación es asumir que la certificación del proveedor cubre automáticamente la aplicación o el sistema del cliente. No es así. La certificación de un prestador acredita sus servicios y sus sistemas, pero el sello no se transfiere. La responsabilidad final de la conformidad con el ENS recae siempre en el organismo contratante. La ISO 27001, por su parte, acredita un sistema de gestión de la seguridad de la información y responde a un marco distinto, con otro alcance y otra entidad de certificación detrás.
Adecuar un sistema al Esquema Nacional de Seguridad es a la vez un ejercicio de papeleo y de arquitectura. Nombrar la máquina, la sala y el país ayuda al inventario y a la jurisdicción, y ahorra media docena de preguntas en el siguiente pliego. La política de seguridad, el análisis de riesgos y la auditoría siguen siendo responsabilidad del contratante. El chasis no firma la conformidad, pero un servidor dedicado bien elegido —con la región correcta, el proveedor adecuado y los certificados en regla— convierte el camino hacia la certificación en un proceso notablemente más recto.
Para las empresas que miran los próximos ciclos de contratación pública, la ecuación es clara: la soberanía del dato y el ENS ya no son opcionales, y el servidor dedicado se perfila como la herramienta más pragmática para resolver las exigencias de separación física, ubicación identificable y jurisdicción controlada. Quien espera a que el pliego llegue sobre la mesa para empezar a preguntar por estas variables, probablemente llegará tarde.
