De NIS2 a la cadena de suministro: los centros de datos se están convirtiendo en el punto de convergencia entre la regulación y el riesgo cibernético

Introducción

Los centros de datos ya no son solo una combinación de bienes inmuebles e ingeniería mecánica y eléctrica; constituyen la capa física que sustenta la computación en la nube, el entrenamiento de IA, los sistemas de control industrial y el procesamiento de datos gubernamentales. El bufete internacional Squire Patton Boggs, en su página temática "Data Centers" publicada abiertamente, analiza de forma sistemática los asuntos del ciclo de vida completo de este sector, desde la selección del emplazamiento, el financiamiento y la construcción hasta la operación y la resolución de controversias; entre ellos, la ciberseguridad, la privacidad de datos, el cumplimiento normativo y los riesgos de la cadena de suministro se incluyen como áreas prioritarias independientes. Esta perspectiva merece la atención de los responsables de seguridad corporativa: cuando los reguladores y las fuentes de capital empiezan a considerar los centros de datos como infraestructura crítica, la seguridad deja de ser solo un asunto del equipo de operaciones y pasa a formar parte de las discusiones sobre cláusulas contractuales, condiciones de financiamiento y gobierno corporativo.

Panorama del asunto: un mapa sectorial desde la perspectiva jurídica

Este tema no es la divulgación de un incidente de seguridad concreto, sino un mapa de asuntos dirigido a los participantes en todo el ciclo de vida de los centros de datos. Las áreas prioritarias enumeradas en la página incluyen:

• IA: la adopción y el desarrollo de soluciones de IA por parte de las empresas está impulsando de manera significativa la demanda de capacidad de centros de datos; el contenido relacionado también abarca la privacidad de datos, la propiedad intelectual, el derecho de la competencia y las políticas regulatorias.
• Servicios de alojamiento en la nube: abarca IaaS, PaaS, SaaS, entornos de hiperescala, computación perimetral y distribuida, así como la externalización de plataformas críticas para el negocio y las cadenas de suministro de datos con múltiples participantes.
• Ciberseguridad: incluye opciones y obligaciones de respuesta ante incidentes como ransomware, filtraciones de datos personales, divulgación no autorizada y correos de phishing; la interlocución con organismos de aplicación de la ley, autoridades reguladoras, autoridades de protección de datos y aseguradoras; la notificación de filtraciones; la respuesta en gestión de crisis; y los litigios que de ello se derivan.
• Privacidad de datos: riesgos regulatorios, de políticas y de litigios relacionados con la recopilación, comercialización, almacenamiento y transferencia transfronteriza de datos.
• Antimonopolio y competencia: acuerdos de "no captación mutua de personal" en el ámbito de la construcción de centros de datos, intercambio de información sensible para la competencia (como precios y datos de clientes), y revisión del poder de mercado de los proveedores de hiperescala; el riesgo de cumplimiento normativo señala explícitamente la Directiva NIS2 de la UE y la Ley de Datos (Data Act).
• Ingeniería y construcción: sistemas de alimentación ininterrumpida (UPS), soluciones de refrigeración, sistemas de gestión de edificios (BMS), protección contra incendios y seguridad, calefacción, ventilación y aire acondicionado (HVAC), construcción modular, mecanismos críticos de prueba y puesta en servicio, y la transmisión descendente de protocolos de operación y mantenimiento y acuerdos de nivel de servicio (SLA).
• Estructura corporativa y financiamiento: estructuras OPCO/PROPCO, transacciones de fusiones y adquisiciones, y el diseño de la bancabilidad del financiamiento en torno a la disponibilidad de suministro eléctrico, la resiliencia, los acuerdos de tierras a largo plazo, la conectividad de fibra óptica, la redundancia y las obligaciones de nivel de servicio, incluidos la construcción por fases, la entrega modular progresiva, la reserva de capacidad y la puesta en servicio escalonada vinculada a pruebas de resiliencia y rendimiento.
• Energía: en un contexto de presión sobre la red eléctrica, el giro hacia la generación in situ y los acuerdos de suministro eléctrico mediante líneas dedicadas, y la gestión de riesgos de emisiones de carbono y volatilidad del mercado energético.这些条目共同勾勒出一个事实：los límites de riesgo de un centro de datos son mucho más amplios que la “seguridad de la sala de servidores”.

Análisis técnico y de riesgos: las cuatro capas de la superficie de ataque de un centro de datos

Según lo descrito en este informe, los riesgos de red y operativos de un centro de datos pueden dividirse a grandes rasgos en cuatro capas superpuestas.

Primera capa: sistemas físicos y de edificios. Los sistemas UPS, de refrigeración, BMS, de protección contra incendios y de seguridad pertenecen originalmente al ámbito de la ingeniería, pero en los centros de datos modernos suelen ser sistemas conectados en red y gestionables de forma remota. Si la BMS y la red de operación y mantenimiento carecen de aislamiento respecto de la red de TI, un atacante podría afectar la disponibilidad a través de puntos de entrada del lado de la ingeniería. El informe sitúa la BMS, la protección contra incendios y la seguridad junto con la UPS y la refrigeración como cuestiones contractuales y de ingeniería, lo que indica que estos sistemas tienen una doble condición: “equipos de seguridad” y “activos atacables”.

Segunda capa: nube y plataformas de alojamiento. IaaS, PaaS, SaaS, entornos de hiperescala, computación en el borde y distribuida, así como la externalización de plataformas críticas para el negocio, constituyen una cadena de servicios con múltiples participantes y múltiples capas de externalización. Dónde están los límites de responsabilidad, quién puede acceder a qué y cómo se notifican fallos e incidentes de seguridad son aspectos que deben especificarse en los contratos, aunque en la práctica esos detalles suelen quedar ocultos tras la formulación de los SLO y SLA.

Tercera capa: identidad y datos. La notificación de brechas, la transferencia transfronteriza de datos, la soberanía de los datos y la comercialización de datos son temas mencionados repetidamente en el informe. Una vez que se compromete un sistema de identidad, el atacante no solo obtiene los datos de un cliente concreto, sino posiblemente la capacidad de movimiento lateral en un entorno multiarrendatario.

Cuarta capa: cadena de suministro y terceros. La construcción modular, la adquisición de equipos con largos plazos de entrega, los subcontratistas, los proveedores y los coinversores pasan a formar parte de la cadena de entrega y operación de los centros de datos. El informe menciona explícitamente que su trabajo de ciberseguridad incluye la diligencia debida sobre proveedores de servicios externos, fusiones y adquisiciones, y empresas conjuntas. Esta capa suele ser la más difícil de auditar y la más difícil de delimitar rápidamente responsabilidades cuando ocurre un incidente.

Cabe señalar que el contenido de la fuente es una recopilación de temas desde una perspectiva legal y comercial, y no revela incidentes de ataque concretos, organizaciones atacantes ni datos estadísticos. Por lo tanto, este artículo no hace ninguna inferencia sobre la frecuencia de los ataques, los importes de las pérdidas ni la atribución.

Análisis del impacto empresarial

Riesgo operativo. La disponibilidad de un centro de datos determina directamente si las operaciones posteriores pueden funcionar. Si los sistemas del lado de la ingeniería (suministro eléctrico, refrigeración, BMS) se ven perturbados, el impacto es físico y no puede evitarse cambiando de región de nube.

Riesgo financiero. La sección de financiación del informe muestra que la disponibilidad del suministro eléctrico, la resiliencia, la redundancia y las obligaciones de nivel de servicio son en sí mismas elementos de evaluación de la bancabilidad de la financiación. Un desempeño deficiente en seguridad y resiliencia puede afectar directamente las condiciones de financiación y el ritmo del proyecto; que la reserva de capacidad y la puesta en marcha por etapas estén vinculadas a pruebas de resiliencia implica que “no superar las pruebas” tendrá consecuencias comerciales claras.Riesgo de cumplimiento normativo. En el contexto de la UE, la Directiva NIS2 y la Ley de Datos se identifican explícitamente como requisitos regulatorios específicos del sector, y también implican coordinación con autoridades de protección de datos, organismos de aplicación de la ley y aseguradoras. Para las empresas de centros de datos con operaciones multinacionales, el mismo conjunto de controles de seguridad puede tener que satisfacer plazos de notificación y requisitos probatorios distintos en múltiples jurisdicciones.

Riesgo para la marca y la confianza de los clientes. Una filtración en un entorno multiinquilino afecta a todos los inquilinos. En el informe, “notificación de filtraciones”, “respuesta de gestión de crisis” y “litigios relacionados” aparecen en paralelo, lo que indica que la cadena de consecuencias de un incidente se extiende desde la respuesta técnica hasta la comunicación con clientes, las presentaciones regulatorias y los procedimientos legales.

Riesgo de datos. La soberanía de los datos, las transferencias transfronterizas y la comercialización de datos se entrelazan, lo que significa que la ubicación de los datos y las rutas de acceso son en sí mismas decisiones de cumplimiento, y no una mera elección de arquitectura técnica.

Observación de tendencias del sector

Primero, la demanda de capacidad impulsada por la IA y la demanda de seguridad aumentan simultáneamente. El informe señala que la adopción de la IA está aumentando significativamente la demanda de capacidad de los centros de datos. La expansión de capacidad suele ir acompañada de presión por entregas rápidas, y existe una tensión natural entre la rapidez de entrega y las evaluaciones de seguridad rigurosas.

Segundo, la regulación pasa de “recomendación” a “obligación ejecutable”. Se mencionan específicamente NIS2 y la Ley de Datos, y se vinculan directamente con objetivos como “facilitar el cambio de proveedor” y “proteger la seguridad”, lo que indica que la atención regulatoria no se limita a la seguridad puntual, sino que también abarca la estructura del mercado y la sustituibilidad.

Tercero, la seguridad se está incorporando a los contratos comerciales. UPS, refrigeración, BMS, sistemas contra incendios y de seguridad, SLA en cascada, acuerdos de operación y mantenimiento: estas cláusulas convierten, en esencia, los requisitos de seguridad y resiliencia en obligaciones contractuales exigibles. Esto cambia el rol de los equipos de seguridad: cada vez más, necesitan proporcionar criterios técnicos a compras y asuntos legales.

Cuarto, las restricciones energéticas se convierten en una variable de resiliencia. La presión sobre la red eléctrica impulsa la generación in situ y los arreglos de suministro por línea dedicada, y la seguridad energética y la ciberseguridad aparecen una junto a otra en la misma lista de riesgos.

Quinto, la consolidación del sector genera presión de diligencia debida. Con el aumento de fusiones y adquisiciones, alianzas estratégicas e inversiones minoritarias cruzadas, la situación de ciberseguridad pasa a formar parte de la diligencia debida de las transacciones y de las condiciones de cierre.

En conjunto, no se trata de un incidente aislado, sino de un cambio estructural del sector: el papel de los centros de datos pasa de “instalación” a “activo crítico regulado”.

Recomendaciones de defensa y respuesta

A nivel empresarial (identidad y acceso)

• Implementar autenticación fuerte y privilegio mínimo para el acceso remoto de operaciones, ingeniería y terceros, y evitar cuentas compartidas con privilegios elevados.
• Aislar en red las interfaces de administración de sistemas de ingeniería como BMS, UPS y refrigeración, y establecer límites y monitoreo claros con la red de TI.
• Ampliar el alcance de la gestión de vulnerabilidades al software y firmware del lado de ingeniería, y no solo a servidores y terminales.

A nivel técnico (detección y respuesta)

• Usar SIEM para agregar registros de IT y de OT/ingeniería, de modo que las operaciones anómalas de los sistemas físicos puedan verse en una misma línea temporal.
• Desplegar EDR/XDR en terminales y servidores, y usar inteligencia de amenazas para identificar tácticas conocidas dirigidas a proveedores de servicios gestionados y entornos cloud.
• En entornos multiarrendatario, priorizar la validación de la capacidad de detección de movimiento lateral, en lugar de validar únicamente la protección perimetral.

Nivel de gestión (gobernanza y terceros)

• Establecer procesos ejecutables de respuesta a incidentes, y definir claramente las vías de contacto y la autorización interna con fuerzas del orden, reguladores, autoridades de protección de datos y aseguradoras.
• Dejar por escrito en los contratos los requisitos de seguridad, los plazos de notificación, los derechos de auditoría y la asignación de responsabilidades, y asegurar que los SLA se trasladen en cascada a subcontratistas y proveedores.
• Trasladar la gestión de riesgos de terceros a la etapa de compras y decisiones de inversión: el estado de ciberseguridad de proveedores, objetivos de fusiones y adquisiciones y socios de empresas conjuntas debe incluirse en las listas de verificación de diligencia debida.
• Vincular los indicadores de resiliencia con los criterios de puesta en marcha y aceptación ya en las fases de financiación y construcción, para evitar que la seguridad y la resiliencia se conviertan en un añadido posterior a la entrega.

SecurityPost Insight

Este mapa de temas de centros de datos desde una perspectiva legal no tiene su verdadero valor en cuántos riesgos enumera, sino en que revela una migración de posición que está ocurriendo: la ciberseguridad de los centros de datos está pasando de ser un KPI del equipo de operaciones a formar parte de las condiciones de financiación, las cláusulas contractuales, la diligencia debida de fusiones y adquisiciones y las declaraciones regulatorias.

Para los responsables de seguridad de las empresas, hay tres puntos que vale la pena anotar. Primero, la superficie de ataque ya ha cruzado las fronteras entre IT e ingeniería; BMS, UPS, refrigeración y protección contra incendios ya no son solo “un problema de instalaciones”, e incluirlos en el inventario de activos y en el sistema de registros es una acción necesaria. Segundo, la regulación está interviniendo mediante reglas específicas por sector; el enfoque que representan NIS2 y la Ley de Datos —proteger la seguridad, facilitar la conmutación y limitar el dominio del mercado— significa que las capacidades de seguridad estarán profundamente acopladas al acceso al mercado y a las relaciones comerciales. Tercero, la presión de expansión de capacidad que trae la IA generará tensión con las revisiones de seguridad durante bastante tiempo; quien pueda adelantar los requisitos de resiliencia a las fases de diseño y contrato tendrá más probabilidades de lograr un equilibrio entre la velocidad de entrega y el control de riesgos.

Durante un tiempo, lo que merece atención continua no es un incidente concreto, sino dos cambios: si la regulación convertirá aún más la “conmutabilidad de proveedores” y la “divulgación de resiliencia” en requisitos obligatorios; y si, en las actividades de fusiones y adquisiciones y de financiación, la diligencia debida de ciberseguridad pasará de ser opcional a ser una cláusula estándar. Para el CISO, participar por adelantado en compras, asuntos legales y decisiones de inversión puede valer más que añadir un dispositivo de seguridad más.