{"id":69812,"date":"2026-09-25T09:24:06","date_gmt":"2026-09-25T09:24:06","guid":{"rendered":"https:\/\/overcentral.com\/es\/?p=69812"},"modified":"2026-09-25T09:24:06","modified_gmt":"2026-09-25T09:24:06","slug":"soberania-del-dato-y-ens-empujan-a-empresas-hacia-servidores-dedicados","status":"publish","type":"post","link":"https:\/\/overcentral.com\/es\/soberania-del-dato-y-ens-empujan-a-empresas-hacia-servidores-dedicados\/","title":{"rendered":"Soberan\u00eda del dato y ENS empujan a empresas hacia servidores dedicados"},"content":{"rendered":"

La confluencia de dos fuerzas regulatorias est\u00e1 redefiniendo la infraestructura tecnol\u00f3gica de miles de empresas en Espa\u00f1a y Europa. Por un lado, el Esquema Nacional de Seguridad (ENS), que desde el Real Decreto 311\/2022 ya no es un asunto exclusivo de las Administraciones P\u00fablicas, sino que alcanza a cualquier empresa privada que, por contrato, preste servicios al sector p\u00fablico. Por otro, la Directiva NIS2, que extiende las obligaciones de ciberseguridad a 18 sectores cr\u00edticos e incluye la seguridad de la cadena de suministro. Ambas normativas convergen en una misma exigencia pr\u00e1ctica: saber d\u00f3nde est\u00e1 el servidor, qui\u00e9n lo opera y bajo qu\u00e9 jurisdicci\u00f3n cae. Esta presi\u00f3n est\u00e1 empujando a muchas organizaciones hacia los servidores dedicados como la v\u00eda m\u00e1s directa para demostrar soberan\u00eda del dato y conformidad con el ENS, especialmente cuando los pliegos de contrataci\u00f3n empiezan a pedir ambas cosas por escrito.<\/p>\n

El ENS se extiende a la empresa privada: del Real Decreto 311\/2022 a la cadena de suministro<\/h2>\n

El art\u00edculo 2.3 del Real Decreto 311\/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, establece que las entidades del sector privado quedan sujetas al ENS cuando prestan servicios o proveen soluciones a las Administraciones P\u00fablicas. La obligaci\u00f3n no se queda en el contratista principal: baja a toda la cadena de suministro en funci\u00f3n del an\u00e1lisis de riesgos. Un subcontratista puede terminar dentro del per\u00edmetro de seguridad sin haber firmado ning\u00fan contrato directo con la Administraci\u00f3n.<\/p>\n

La categor\u00eda del sistema la determina el due\u00f1o de la informaci\u00f3n evaluando cinco dimensiones: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad. Basta con que una sola dimensi\u00f3n alcance el nivel alto para que todo el sistema sea clasificado como categor\u00eda ALTA. Esta clasificaci\u00f3n tiene consecuencias directas sobre c\u00f3mo se acredita la conformidad:<\/p>\n\n\n\n\n\n
Categor\u00eda<\/th>\nRequisito de acreditaci\u00f3n<\/th>\n<\/tr>\n
B\u00c1SICA<\/td>\nDeclaraci\u00f3n de la propia organizaci\u00f3n tras una autoevaluaci\u00f3n<\/td>\n<\/tr>\n
MEDIA<\/td>\nAuditor\u00eda y certificado por entidad acreditada por ENAC, validez 2 a\u00f1os<\/td>\n<\/tr>\n
ALTA<\/td>\nAuditor\u00eda y certificado por entidad acreditada por ENAC, validez 2 a\u00f1os<\/td>\n<\/tr>\n<\/table>\n

La certificaci\u00f3n ya no es una rareza. El registro del Centro Criptol\u00f3gico Nacional (CCN) contabiliza 4.099 sistemas certificados, 1.004 de ellos en categor\u00eda alta. Para los productos que se integran en esos sistemas, existe el Cat\u00e1logo de Productos y Servicios de Seguridad TIC (CPSTIC), que recoge los cualificados o aprobados para su uso en entornos sujetos al ENS. Quien firma con la Administraci\u00f3n hereda todo este marco normativo, incluyendo la obligaci\u00f3n de contar con una pol\u00edtica de seguridad propia.<\/p>\n

Servidores dedicados: una respuesta arquitect\u00f3nica a las exigencias del ENS<\/h2>\n

Aqu\u00ed es donde la arquitectura empieza a decidir el papeleo. La gu\u00eda CCN-STIC 823, sobre seguridad en entornos cloud, establece que para una comunidad de seguridad de categor\u00eda media el equipo base queda reservado a una sola comunidad, y en categor\u00eda alta la separaci\u00f3n se extiende a las redes de administraci\u00f3n. Un servidor dedicado entrega esa separaci\u00f3n por construcci\u00f3n: inquilino \u00fanico en el chasis, ubicaci\u00f3n f\u00edsica identificable (sala y pa\u00eds concretos, registrables directamente en el inventario) y un alcance acotado donde quien alquila responde de todo lo que va por encima del hardware: sistema operativo, cuentas de administraci\u00f3n, cifrado, aplicaciones, datos y copias de seguridad.<\/p>\n

En un entorno compartido \u2014ya sea nube p\u00fablica o hosting compartido\u2014 esa misma separaci\u00f3n debe demostrarse con medidas adicionales y sostenerse en el an\u00e1lisis de riesgos, lo cual alarga tanto la implantaci\u00f3n como la auditor\u00eda. La nube p\u00fablica sigue siendo una opci\u00f3n v\u00e1lida, y existen prestadores con servicios certificados en categor\u00eda alta. Pero lo que cambia con el hierro reservado es el trabajo de acotar el alcance, que es precisamente donde se consume el presupuesto de un proyecto ENS. Quien busca \u00abalquiler servidor dedicado\u00bb con un pliego ENS encima de la mesa compra, sobre todo, un per\u00edmetro m\u00e1s f\u00e1cil de describir y auditar.<\/p>\n

\u00bfQu\u00e9 implica para una empresa cumplir con el ENS en categor\u00eda alta?<\/h3>\n

Cuando un sistema se clasifica como categor\u00eda ALTA, la organizaci\u00f3n debe someterse a una auditor\u00eda completa realizada por una entidad acreditada por la Entidad Nacional de Acreditaci\u00f3n (ENAC), obtener un certificado con validez de dos a\u00f1os y someterse a revisiones al menos bienales. Adem\u00e1s, la infraestructura debe garantizar separaci\u00f3n f\u00edsica a nivel de servidor y de redes de administraci\u00f3n. Esto hace que el servidor dedicado no sea una opci\u00f3n m\u00e1s, sino la soluci\u00f3n m\u00e1s directa para cumplir con los requisitos de aislamiento sin tener que demostrar medidas compensatorias complejas.<\/p>\n

Soberan\u00eda del dato: m\u00e1s all\u00e1 de la ubicaci\u00f3n, la jurisdicci\u00f3n y la operatividad<\/h2>\n

Elegir una regi\u00f3n europea en un panel de control deja resuelta la ubicaci\u00f3n f\u00edsica, pero abre una pregunta m\u00e1s profunda. La gesti\u00f3n de los medios de tratamiento, identidades, DNS o plano de control depende a menudo de servicios centralizados en la regi\u00f3n de origen del proveedor. Una ca\u00edda de esos servicios alcanza a las aplicaciones alojadas en centros de datos europeos. La soberan\u00eda operativa \u2014la capacidad de operar y gestionar los sistemas de tratamiento de forma aut\u00f3noma\u2014 es un requisito que el responsable del tratamiento debe demostrar con diligencia debida antes de que el riesgo se materialice.<\/p>\n

En transferencias internacionales, el punto de partida es la lista de decisiones de adecuaci\u00f3n de la Comisi\u00f3n Europea. Desde el 10 de julio de 2023, Estados Unidos figura en esa lista para las organizaciones comerciales adheridas al Data Privacy Framework. Sin embargo, cualquier respuesta sobre este marco tiene fecha de caducidad: el DPF est\u00e1 en vigor pero tambi\u00e9n recurrido ante el Tribunal de Justicia de la Uni\u00f3n Europea, en una situaci\u00f3n que recuerda al precedente del Privacy Shield, tumbado por la sentencia Schrems II (asunto C-311\/18) de 2020 debido al alcance de la vigilancia estadounidense.<\/p>\n

La CLOUD Act de 2018 a\u00f1ade otra capa de complejidad: permite a las autoridades de Estados Unidos reclamar datos a un proveedor sujeto a su jurisdicci\u00f3n, est\u00e9n donde est\u00e9n guardados. Por eso cuenta la nacionalidad del proveedor, no solo la ubicaci\u00f3n del dato. La jurisdicci\u00f3n tambi\u00e9n se intenta resolver mediante certificaciones como la SecNumCloud de la ANSSI francesa, que exige que los datos del cliente no queden sujetos a normativas no europeas. El esquema europeo EUCS, que deb\u00eda armonizar esa exigencia, segu\u00eda en desarrollo a principios de 2026 por el desacuerdo sobre los requisitos de soberan\u00eda entre los Estados miembros.<\/p>\n

Lo que debe constar en el pliego antes de mover un solo byte<\/h2>\n

Un certificado de prestador de servicios cloud tiene un alcance, y ese alcance se lee en el propio documento: qu\u00e9 servicios cubre, qu\u00e9 centros de datos, en qu\u00e9 categor\u00eda ENS, qu\u00e9 entidad lo emiti\u00f3 y entre qu\u00e9 fechas tiene validez. Junto a ese certificado deben existir, firmados antes de mover cualquier carga de trabajo, el encargo de tratamiento del art\u00edculo 28 del Reglamento General de Protecci\u00f3n de Datos y el acuerdo de nivel de servicio (SLA).<\/p>\n

En el mercado existen cat\u00e1logos amplios, como la gama Advance de servidores dedicados para empresas de OVHcloud, desplegable en quince regiones repartidas entre cuatro continentes, con infraestructura anti-DDoS disponible por defecto. Un cat\u00e1logo de ese alcance convierte la regi\u00f3n en una decisi\u00f3n del comprador: hay que tomarla, escribirla en el contrato y poder acreditarla despu\u00e9s. La ficha describe la m\u00e1quina; el alcance ENS lo fija el cliente. OVHcloud declara en su p\u00e1gina de cumplimiento la conformidad con el ENS de categor\u00eda alta, pero antes de citarlo en un pliego conviene pedir el certificado y comprobar qu\u00e9 servicios y centros de datos cubre exactamente.<\/p>\n

El sello del prestador no pasa a la aplicaci\u00f3n del cliente<\/h2>\n

Un error frecuente en los procesos de contrataci\u00f3n es asumir que la certificaci\u00f3n del proveedor cubre autom\u00e1ticamente la aplicaci\u00f3n o el sistema del cliente. No es as\u00ed. La certificaci\u00f3n de un prestador acredita sus servicios y sus sistemas, pero el sello no se transfiere. La responsabilidad final de la conformidad con el ENS recae siempre en el organismo contratante. La ISO 27001, por su parte, acredita un sistema de gesti\u00f3n de la seguridad de la informaci\u00f3n y responde a un marco distinto, con otro alcance y otra entidad de certificaci\u00f3n detr\u00e1s.<\/p>\n

Adecuar un sistema al Esquema Nacional de Seguridad es a la vez un ejercicio de papeleo y de arquitectura. Nombrar la m\u00e1quina, la sala y el pa\u00eds ayuda al inventario y a la jurisdicci\u00f3n, y ahorra media docena de preguntas en el siguiente pliego. La pol\u00edtica de seguridad, el an\u00e1lisis de riesgos y la auditor\u00eda siguen siendo responsabilidad del contratante. El chasis no firma la conformidad, pero un servidor dedicado bien elegido \u2014con la regi\u00f3n correcta, el proveedor adecuado y los certificados en regla\u2014 convierte el camino hacia la certificaci\u00f3n en un proceso notablemente m\u00e1s recto.<\/p>\n

Para las empresas que miran los pr\u00f3ximos ciclos de contrataci\u00f3n p\u00fablica, la ecuaci\u00f3n es clara: la soberan\u00eda del dato y el ENS ya no son opcionales, y el servidor dedicado se perfila como la herramienta m\u00e1s pragm\u00e1tica para resolver las exigencias de separaci\u00f3n f\u00edsica, ubicaci\u00f3n identificable y jurisdicci\u00f3n controlada. Quien espera a que el pliego llegue sobre la mesa para empezar a preguntar por estas variables, probablemente llegar\u00e1 tarde.<\/p>\n","protected":false},"excerpt":{"rendered":"

La confluencia de dos fuerzas regulatorias est\u00e1 redefiniendo la infraestructura tecnol\u00f3gica de miles de empresas en Espa\u00f1a y Europa. Por un lado, el Esquema Nacional de Seguridad (ENS), que desde el Real Decreto 311\/2022 ya no es un asunto exclusivo de las Administraciones P\u00fablicas, sino que alcanza a cualquier empresa privada que, por contrato, preste […]<\/p>\n","protected":false},"author":2,"featured_media":69814,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/es\/69812.png","fifu_image_alt":"Soberan\u00eda del dato y ENS empujan a empresas hacia servidores dedicados","footnotes":""},"categories":[5],"tags":[],"class_list":["post-69812","post","type-post","status-publish","format-standard","has-post-thumbnail","category-tecnologia"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/es\/69812.png","fifu_image_alt":"Soberan\u00eda del dato y ENS empujan a empresas hacia servidores dedicados","_links":{"self":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/69812","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/comments?post=69812"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/69812\/revisions"}],"predecessor-version":[{"id":69815,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/69812\/revisions\/69815"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/media\/69814"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/media?parent=69812"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/categories?post=69812"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/tags?post=69812"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}