El marco KRITIS de Alemania para proteger las infraestructuras críticas acaba de experimentar su revisión más importante en una década. La Ley de Implementación de NIS2 — Gesetz zur Umsetzung der NIS-2-Richtlinie, o NIS2UmsG— entró en vigor el 6 de diciembre de 2025, revisando sustancialmente la Ley BSI (BSIG) que ha regulado las obligaciones de seguridad de TI para los operadores de infraestructuras críticas desde 2009.
Para las organizaciones que operan en sectores como la energía, el agua, la sanidad, el transporte o las TI y las telecomunicaciones, esto no es una actualización menor. El alcance de quién está regulado, qué debe hacer y cómo debe demostrarlo ha cambiado de forma concreta. Este artículo explica qué ha cambiado, qué sigue igual y qué significa en la práctica al elegir una plataforma cloud.
Qué es KRITIS y qué significa ahora según la nueva ley
KRITIS — abreviatura de Kritische Infrastrukturen— es la designación federal alemana para la infraestructura crítica. Los operadores de instalaciones relevantes para KRITIS han estado durante mucho tiempo sujetos a obligaciones específicas de seguridad de TI en virtud de la BSIG, supervisadas por el BSI (Bundesamt für Sicherheit in der Informationstechnik).
Con la nueva ley, la terminología ha cambiado. La BSIG revisada ya no habla de “Kritische Infrastrukturen” como categoría principal. En su lugar, regula besonders wichtige Einrichtungen (entidades especialmente importantes) y wichtige Einrichtungen (entidades importantes). Los operadores de lo que ahora se denomina kritische Anlagen (instalaciones críticas) son un subconjunto del primer grupo y siguen afrontando los requisitos más estrictos. Las obligaciones que tenían bajo la BSIG anterior se mantienen en gran medida, pero se han reestructurado y, en algunos ámbitos, endurecido.
Los sectores cubiertos siguen siendo, en líneas generales, los mismos: energía, transporte, finanzas, salud, agua, alimentación, TI y telecomunicaciones, espacio y gestión de residuos. Lo que ha cambiado es la lógica de umbrales, algunas normas específicas por sector y el alcance global de quién queda incluido en el marco: no solo los operadores de KRITIS, sino decenas de miles de organizaciones dentro de las categorías más amplias de NIS2.
Un cambio estructural destacable: el sector financiero se ha dividido en dos: Finanzwesen (Finanzas) y Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende (prestaciones sociales y renta básica para demandantes de empleo). Los proveedores de seguros privados ya no están incluidos. Las organizaciones sujetas al reglamento DORA de la UE quedan exentas de determinadas obligaciones de notificación y auditoría de la BSIG, ya que ambos marcos se solapan de forma significativa.
Qué deben hacer ahora los operadores de instalaciones críticas
Para los operadores de kritische Anlagen, las obligaciones principales —registro, notificación de incidentes, implantación de medidas técnicas y organizativas adecuadas y aportación periódica de evidencias de cumplimiento— se mantienen. Pero han cambiado varios detalles.
El registro pasa a ser de doble vía. Los operadores de KRITIS existentes deben registrarse no solo en el portal MIP (Melde- und Informationsportal), que han utilizado hasta ahora, sino también como besonders wichtige Einrichtung en el nuevo portal del BSI. El plazo para quienes ya estaban registrados es de tres meses a partir del 6 de diciembre de 2025; es decir, hasta el 6 de marzo de 2026. Los nuevos operadores deben realizar ambos registros desde el inicio.
El ciclo de auditoría se ha ampliado. Antes, los operadores debían presentar evidencias de cumplimiento cada dos años. Con la nueva BSIG, el ciclo pasa a ser cada tres años. El BSI ha notificado directamente a los operadores existentes sus nuevos plazos individuales.
La notificación de incidentes sigue la estructura de NIS2. La obligación anterior de notificación de KRITIS queda ahora plenamente integrada en el marco NIS2. Los operadores que informen a través de MIP no necesitan duplicar el informe en el portal del BSI; el BSI ha confirmado que este régimen transitorio se mantendrá al menos hasta el 31 de julio de 2026.
Los sistemas de detección de ataques siguen siendo obligatorios. El requisito de desplegar sistemas capaces de detectar eventos relevantes para la seguridad —introducido por IT-SiG 2.0 en 2021— se mantiene en el §31 de la BSIG específicamente para los operadores de instalaciones críticas. El BSI ha publicado una guía sobre lo que estos sistemas deben ser capaces de hacer (Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung), disponible en la página de descargas del BSI.
Se eliminan los puntos de contacto compartidos (GÜAS). Los operadores que antes compartían una estructura de contacto común con homólogos del mismo sector ahora deben mantener cada uno sus propios mecanismos de contacto directo con el BSI.
Por qué la elección de la plataforma cloud es una decisión de cumplimiento KRITIS
La BSIG revisada exige explícitamente a los operadores evaluar la fiabilidad de sus proveedores tecnológicos, incluidas las plataformas en las que se ejecutan sus cargas de trabajo críticas. Esto no es nuevo, pero ahora está integrado de forma más formal en el marco. En el caso de la infraestructura cloud, esto plantea cuestiones que van más allá de las certificaciones y los SLA.
Las plataformas de nube pública hiperescalable —AWS, Azure, GCP— presentan características estructurales difíciles de conciliar con los requisitos de KRITIS. Las decisiones de enrutamiento de datos se toman de forma dinámica, lo que dificulta técnicamente garantizar que los datos nunca salgan de Alemania o de la UE. Sus sistemas internos —hipervisores, pilas de red— no pueden auditarse de forma independiente, lo que genera fricción con los requisitos de evaluación de la cadena de suministro. Y los proveedores con sede en EE. UU. siguen estando sujetos a la CLOUD Act (18 U.S.C. § 2713), que puede obligar a divulgar datos con independencia de dónde se almacenen, en conflicto directo con las obligaciones de soberanía de datos del marco de la BSIG.
Nada de esto significa que un hiperescalador no pueda formar parte de la infraestructura de un operador. Pero sí significa que, para las cargas de trabajo clasificadas como críticas, la cuestión de la plataforma tiene peso regulatorio, no solo operativo.
Qué buscar en una plataforma cloud conforme
Según los requisitos establecidos en la BSIG revisada y las directrices del BSI, una plataforma cloud que soporte cargas de trabajo reguladas por KRITIS debe abordar de forma demostrable varias áreas:
Alta disponibilidad por arquitectura: no solo un tiempo de actividad prometido contractualmente, sino redundancia integrada en las capas de cómputo, almacenamiento y red, sin puntos únicos de fallo.
Despliegue on-premises o privado con control total de la residencia de los datos : el operador debe poder verificar dónde se procesan y almacenan los datos, sin enrutamiento externo no declarado.
Cifrado en reposo y en tránsito, gestión de claves bajo el control del operador y segmentación de red estricta entre inquilinos.
Capacidad de detección de ataques que cumpla las directrices del BSI: monitorización en tiempo real, detección de anomalías e integración con herramientas SIEM.
Registro completo de auditoría: cada llamada a la API, cada cambio de configuración, cada acción administrativa, exportable para la inspección del BSI y la presentación trienal de evidencias de cumplimiento.
Una cadena de suministro de software auditable: bases de código abierto con una lista de materiales de software (SBOM) publicada, para que los operadores puedan realizar la evaluación de fiabilidad que exige la ley.
Cómo FishOS aborda los requisitos de KRITIS
FishOS, desarrollado por Sardina Systems, es una plataforma de gestión cloud que integra OpenStack, Kubernetes y Ceph en una única pila automatizada. Está diseñada para despliegues on-premises y de nube privada, lo que significa que los operadores conservan el control directo sobre dónde residen y se procesan sus datos, sin dependencia de infraestructura cloud externa ni de jurisdicciones extranjeras.
En cuanto a disponibilidad, FishOS incluye un componente propietario Health Monitoring Component que analiza continuamente métricas en tiempo real y datos de registros. Según Sardina Systems, utiliza lo que describen como un enfoque de “inmunología informática”, identificando no solo estados de fallo, sino también estados “enfermos” degradados antes de que provoquen interrupciones. Esto se diferencia de las herramientas de monitorización convencionales.
En materia de seguridad y auditoría, FishOS ofrece un registro de auditoría centralizado que cubre acciones de usuario y a nivel de sistema en toda la infraestructura, y admite integración con SIEM. Según reseñas de terceros sobre la plataforma, FishOS incluye una capacidad SIEM integrada para detectar y responder a amenazas de seguridad dentro del entorno.
En transparencia de la cadena de suministro, FishOS se basa en componentes de código abierto —OpenStack, Ceph, Kubernetes— con bases de código auditables públicamente. Sardina Systems proporciona documentación SBOM, lo que respalda directamente la evaluación de fiabilidad de la cadena de suministro exigida por la BSIG revisada.
FishOS admite la migración desde VMware y otras plataformas heredadas mediante su appliance FishOS Move It, utilizando un enfoque de tiempo de inactividad mínimo o el seguimiento de bloques modificados (CBT) para entornos en vivo. Ambos métodos cuentan con un historial probado en entornos de producción.
FishOS proporciona la base arquitectónica —soberanía on-premises, auditabilidad de código abierto, alta disponibilidad y las herramientas operativas— que los operadores necesitan para construir y demostrar una infraestructura conforme.
Por dónde empezar con KRITIS
Si su organización podría estar dentro del alcance de la BSIG revisada —ya sea como operador de KRITIS existente o como entidad recién regulada dentro de las categorías NIS2— las prioridades inmediatas son:
En primer lugar, verifique si cumple los requisitos como Betreiber kritischer Anlagen según la BSI-KritisV actualizada, o como besonders wichtige o wichtige Einrichtung dentro del marco NIS2 más amplio. El BSI ha publicado una herramienta de autoevaluación para este fin.
En segundo lugar, si ya está registrado en MIP como operador de KRITIS, inicie el registro en el nuevo portal del BSI como besonders wichtige Einrichtung antes del 6 de marzo de 2026.
En tercer lugar, evalúe su infraestructura actual frente a los requisitos técnicos de los §30 y 31 de la BSIG, en particular en lo relativo a detección de ataques, registro de auditoría y documentación de la cadena de suministro.
