{"id":88909,"date":"2026-04-14T10:02:11","date_gmt":"2026-04-14T10:02:11","guid":{"rendered":"https:\/\/www.sardinasystems.com\/sin-categorizar\/kritis-y-nis2umsg-nuevas-normas-para-la-ti-de-infraestructuras-criticas\/"},"modified":"2026-04-14T11:40:57","modified_gmt":"2026-04-14T11:40:57","slug":"kritis-nis2umsg-new-rules-for-critical-infrastructure-it","status":"publish","type":"post","link":"https:\/\/www.sardinasystems.com\/es\/noticias-es\/kritis-nis2umsg-new-rules-for-critical-infrastructure-it\/","title":{"rendered":"KRITIS y NIS2UmsG: nuevas normas para la TI de infraestructuras cr\u00edticas"},"content":{"rendered":"\n

El marco KRITIS de Alemania para proteger las infraestructuras cr\u00edticas acaba de experimentar su revisi\u00f3n m\u00e1s importante en una d\u00e9cada. La Ley de Implementaci\u00f3n de NIS2 \u2014 Gesetz zur Umsetzung der NIS-2-Richtlinie<\/em>, o NIS2UmsG\u2014 entr\u00f3 en vigor el 6 de diciembre de 2025, revisando sustancialmente la Ley BSI (BSIG) que ha regulado las obligaciones de seguridad de TI para los operadores de infraestructuras cr\u00edticas desde 2009. <\/p>\n\n

Para las organizaciones que operan en sectores como la energ\u00eda, el agua, la sanidad, el transporte o las TI y las telecomunicaciones, esto no es una actualizaci\u00f3n menor. El alcance de qui\u00e9n est\u00e1 regulado, qu\u00e9 debe hacer y c\u00f3mo debe demostrarlo ha cambiado de forma concreta. Este art\u00edculo explica qu\u00e9 ha cambiado, qu\u00e9 sigue igual y qu\u00e9 significa en la pr\u00e1ctica al elegir una plataforma cloud. Qu\u00e9 es KRITIS y qu\u00e9 significa ahora seg\u00fan la nueva ley<\/strong>KRITIS \u2014 abreviatura de Kritische Infrastrukturen<\/em><\/a>\u2014 es la designaci\u00f3n federal alemana para la infraestructura cr\u00edtica. Los operadores de instalaciones relevantes para KRITIS han estado durante mucho tiempo sujetos a obligaciones espec\u00edficas de seguridad de TI en virtud de la BSIG, supervisadas por el BSI (Bundesamt f\u00fcr Sicherheit in der Informationstechnik<\/em>). <\/p>\n\n

Con la nueva ley, la terminolog\u00eda ha cambiado. La BSIG revisada <\/a>ya no habla de \u201cKritische Infrastrukturen\u201d como categor\u00eda principal. En su lugar, regula besonders wichtige Einrichtungen<\/em> (entidades especialmente importantes) y wichtige Einrichtungen<\/em> (entidades importantes). Los operadores de lo que ahora se denomina kritische Anlagen<\/em> (instalaciones cr\u00edticas) son un subconjunto del primer grupo y siguen afrontando los requisitos m\u00e1s estrictos. Las obligaciones que ten\u00edan bajo la BSIG anterior se mantienen en gran medida, pero se han reestructurado y, en algunos \u00e1mbitos, endurecido. <\/p>\n\n

Los sectores cubiertos siguen siendo, en l\u00edneas generales, los mismos: energ\u00eda, transporte, finanzas, salud, agua, alimentaci\u00f3n, TI y telecomunicaciones, espacio y gesti\u00f3n de residuos. Lo que ha cambiado es la l\u00f3gica de umbrales, algunas normas espec\u00edficas por sector y el alcance global de qui\u00e9n queda incluido en el marco: no solo los operadores de KRITIS, sino decenas de miles de organizaciones dentro de las categor\u00edas m\u00e1s amplias de NIS2. <\/p>\n\n

Un cambio estructural destacable: el sector financiero se ha dividido en dos: Finanzwesen<\/em> (Finanzas) y Leistungen der Sozialversicherung sowie Grundsicherung f\u00fcr Arbeitsuchende <\/em>(prestaciones sociales y renta b\u00e1sica para demandantes de empleo)<\/em>. Los proveedores de seguros privados ya no est\u00e1n incluidos. Las organizaciones sujetas al reglamento DORA de la UE quedan exentas de determinadas obligaciones de notificaci\u00f3n y auditor\u00eda de la BSIG, ya que ambos marcos se solapan de forma significativa. <\/p>\n\n

Qu\u00e9 deben hacer ahora los operadores de instalaciones cr\u00edticas<\/strong><\/h3>\n\n

Para los operadores de kritische Anlagen<\/em>, las obligaciones principales \u2014registro, notificaci\u00f3n de incidentes, implantaci\u00f3n de medidas t\u00e9cnicas y organizativas adecuadas y aportaci\u00f3n peri\u00f3dica de evidencias de cumplimiento\u2014 se mantienen. Pero han cambiado varios detalles. <\/p>\n\n

El registro pasa a ser de doble v\u00eda.<\/strong> Los operadores de KRITIS existentes deben registrarse no solo en el portal MIP (Melde- und Informationsportal<\/em>)<\/a>, que han utilizado hasta ahora, sino tambi\u00e9n como besonders wichtige Einrichtung<\/em> en el nuevo portal del BSI. El plazo para quienes ya estaban registrados es de tres meses a partir del 6 de diciembre de 2025; es decir, hasta el 6 de marzo de 2026. Los nuevos operadores deben realizar ambos registros desde el inicio. <\/p>\n\n

El ciclo de auditor\u00eda se ha ampliado.<\/strong> Antes, los operadores deb\u00edan presentar evidencias de cumplimiento cada dos a\u00f1os. Con la nueva BSIG, el ciclo pasa a ser cada tres a\u00f1os. El BSI ha notificado directamente a los operadores existentes sus nuevos plazos individuales. <\/p>\n\n

La notificaci\u00f3n de incidentes sigue la estructura de NIS2.<\/strong> La obligaci\u00f3n anterior de notificaci\u00f3n de KRITIS queda ahora plenamente integrada en el marco NIS2. Los operadores que informen a trav\u00e9s de MIP no necesitan duplicar el informe en el portal del BSI; el BSI ha confirmado que este r\u00e9gimen transitorio se mantendr\u00e1 al menos hasta el 31 de julio de 2026. <\/p>\n\n

Los sistemas de detecci\u00f3n de ataques siguen siendo obligatorios.<\/strong> El requisito de desplegar sistemas capaces de detectar eventos relevantes para la seguridad \u2014introducido por IT-SiG 2.0 en 2021\u2014 se mantiene en el \u00a731 de la BSIG espec\u00edficamente para los operadores de instalaciones cr\u00edticas. El BSI ha publicado una gu\u00eda sobre lo que estos sistemas deben ser capaces de hacer (Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung<\/em>), disponible en la p\u00e1gina de descargas del BSI. <\/p>\n\n

Se eliminan los puntos de contacto compartidos (G\u00dcAS).<\/strong> Los operadores que antes compart\u00edan una estructura de contacto com\u00fan con hom\u00f3logos del mismo sector ahora deben mantener cada uno sus propios mecanismos de contacto directo con el BSI.<\/p>\n\n

Por qu\u00e9 la elecci\u00f3n de la plataforma cloud es una decisi\u00f3n de cumplimiento KRITIS<\/strong><\/h3>\n\n

La BSIG revisada exige expl\u00edcitamente a los operadores evaluar la fiabilidad de sus proveedores tecnol\u00f3gicos, incluidas las plataformas en las que se ejecutan sus cargas de trabajo cr\u00edticas. Esto no es nuevo, pero ahora est\u00e1 integrado de forma m\u00e1s formal en el marco. En el caso de la infraestructura cloud, esto plantea cuestiones que van m\u00e1s all\u00e1 de las certificaciones y los SLA. <\/p>\n\n

Las plataformas de nube p\u00fablica hiperescalable \u2014AWS, Azure, GCP\u2014 presentan caracter\u00edsticas estructurales dif\u00edciles de conciliar con los requisitos de KRITIS. Las decisiones de enrutamiento de datos se toman de forma din\u00e1mica, lo que dificulta t\u00e9cnicamente garantizar que los datos nunca salgan de Alemania o de la UE. Sus sistemas internos \u2014hipervisores, pilas de red\u2014 no pueden auditarse de forma independiente, lo que genera fricci\u00f3n con los requisitos de evaluaci\u00f3n de la cadena de suministro. Y los proveedores con sede en EE. UU. siguen estando sujetos a la CLOUD Act (18 U.S.C. \u00a7 2713), que puede obligar a divulgar datos con independencia de d\u00f3nde se almacenen, en conflicto directo con las obligaciones de soberan\u00eda de datos del marco de la BSIG. <\/p>\n\n

Nada de esto significa que un hiperescalador no pueda formar parte de la infraestructura de un operador. Pero s\u00ed significa que, para las cargas de trabajo clasificadas como cr\u00edticas, la cuesti\u00f3n de la plataforma tiene peso regulatorio, no solo operativo. <\/p>\n\n

Qu\u00e9 buscar en una plataforma cloud conforme<\/strong><\/h3>\n\n

Seg\u00fan los requisitos establecidos en la BSIG revisada y las directrices del BSI, una plataforma cloud que soporte cargas de trabajo reguladas por KRITIS debe abordar de forma demostrable varias \u00e1reas:<\/p>\n\n

Alta disponibilidad por arquitectura<\/mark><\/strong>: no solo un tiempo de actividad prometido contractualmente, sino redundancia integrada en las capas de c\u00f3mputo, almacenamiento y red, sin puntos \u00fanicos de fallo.<\/p>\n\n

Despliegue on-premises o privado con control total de la residencia de los datos<\/strong> <\/mark>: el operador debe poder verificar d\u00f3nde se procesan y almacenan los datos, sin enrutamiento externo no declarado.<\/p>\n\n

Cifrado en reposo y en tr\u00e1nsito<\/mark><\/strong>, gesti\u00f3n de claves bajo el control del operador y segmentaci\u00f3n de red estricta entre inquilinos.<\/p>\n\n

Capacidad de detecci\u00f3n de ataques<\/mark><\/strong> que cumpla las directrices del BSI: monitorizaci\u00f3n en tiempo real, detecci\u00f3n de anomal\u00edas e integraci\u00f3n con herramientas SIEM.<\/p>\n\n

Registro completo de auditor\u00eda<\/mark><\/strong>: cada llamada a la API, cada cambio de configuraci\u00f3n, cada acci\u00f3n administrativa, exportable para la inspecci\u00f3n del BSI y la presentaci\u00f3n trienal de evidencias de cumplimiento.<\/p>\n\n

Una cadena de suministro de software auditable<\/mark><\/strong>: bases de c\u00f3digo abierto con una lista de materiales de software (SBOM) publicada, para que los operadores puedan realizar la evaluaci\u00f3n de fiabilidad que exige la ley.<\/p>\n\n

C\u00f3mo FishOS aborda los requisitos de KRITIS<\/strong><\/h3>\n\n

FishOS, desarrollado por Sardina Systems, es una plataforma de gesti\u00f3n cloud que integra OpenStack, Kubernetes y Ceph en una \u00fanica pila automatizada. Est\u00e1 dise\u00f1ada para despliegues on-premises y de nube privada, lo que significa que los operadores conservan el control directo sobre d\u00f3nde residen y se procesan sus datos, sin dependencia de infraestructura cloud externa ni de jurisdicciones extranjeras. <\/p>\n\n

En cuanto a disponibilidad, FishOS incluye un componente propietario Health Monitoring Component<\/a> que analiza continuamente m\u00e9tricas en tiempo real y datos de registros. Seg\u00fan Sardina Systems, utiliza lo que describen como un enfoque de \u201cinmunolog\u00eda inform\u00e1tica\u201d, identificando no solo estados de fallo, sino tambi\u00e9n estados \u201cenfermos\u201d degradados antes de que provoquen interrupciones. Esto se diferencia de las herramientas de monitorizaci\u00f3n convencionales. <\/p>\n\n

En materia de seguridad y auditor\u00eda, FishOS ofrece un registro de auditor\u00eda centralizado que cubre acciones de usuario y a nivel de sistema en toda la infraestructura, y admite integraci\u00f3n con SIEM. Seg\u00fan rese\u00f1as de terceros sobre la plataforma, FishOS incluye una capacidad SIEM integrada para detectar y responder a amenazas de seguridad dentro del entorno. <\/p>\n\n

En transparencia de la cadena de suministro, FishOS se basa en componentes de c\u00f3digo abierto \u2014OpenStack, Ceph, Kubernetes\u2014 con bases de c\u00f3digo auditables p\u00fablicamente. Sardina Systems proporciona documentaci\u00f3n SBOM, lo que respalda directamente la evaluaci\u00f3n de fiabilidad de la cadena de suministro exigida por la BSIG revisada. <\/p>\n\n

FishOS admite la migraci\u00f3n desde VMware y otras plataformas heredadas mediante su appliance FishOS Move It, utilizando un enfoque de tiempo de inactividad m\u00ednimo o el seguimiento de bloques modificados (CBT) para entornos en vivo. Ambos m\u00e9todos cuentan con un historial probado en entornos de producci\u00f3n. <\/p>\n\n

FishOS proporciona la base arquitect\u00f3nica \u2014soberan\u00eda on-premises, auditabilidad de c\u00f3digo abierto, alta disponibilidad y las herramientas operativas\u2014 que los operadores necesitan para construir y demostrar una infraestructura conforme.<\/p>\n\n

Por d\u00f3nde empezar con KRITIS<\/strong>Si su organizaci\u00f3n podr\u00eda estar dentro del alcance de la BSIG revisada \u2014ya sea como operador de KRITIS existente o como entidad reci\u00e9n regulada dentro de las categor\u00edas NIS2\u2014 las prioridades inmediatas son:<\/p>\n\n

En primer lugar, verifique si cumple los requisitos como Betreiber kritischer Anlagen<\/em> seg\u00fan la BSI-KritisV actualizada, o como besonders wichtige<\/em> o wichtige Einrichtung<\/em> dentro del marco NIS2 m\u00e1s amplio. El BSI ha publicado una herramienta de autoevaluaci\u00f3n para este fin. <\/p>\n\n

En segundo lugar, si ya est\u00e1 registrado en MIP como operador de KRITIS, inicie el registro en el nuevo portal del BSI como besonders wichtige Einrichtung<\/em> antes del 6 de marzo de 2026.<\/p>\n\n

En tercer lugar, eval\u00fae su infraestructura actual frente a los requisitos t\u00e9cnicos de los \u00a730 y 31 de la BSIG, en particular en lo relativo a detecci\u00f3n de ataques, registro de auditor\u00eda y documentaci\u00f3n de la cadena de suministro.<\/p>\n\n

\"Un<\/a><\/figure>\n\n

<\/p>\n","protected":false},"excerpt":{"rendered":"

El marco KRITIS de Alemania para proteger las infraestructuras cr\u00edticas acaba de experimentar su revisi\u00f3n m\u00e1s importante en una d\u00e9cada. La Ley de Implementaci\u00f3n de NIS2 \u2014 Gesetz zur Umsetzung der NIS-2-Richtlinie, o NIS2UmsG\u2014 entr\u00f3 en vigor el 6 de diciembre de 2025, revisando sustancialmente la Ley BSI (BSIG) que ha regulado las obligaciones de […]<\/p>\n","protected":false},"author":20,"featured_media":88911,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1284,1285],"tags":[1700,3469],"class_list":["post-88909","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias-es","category-nuestro-blog","tag-infraestructura-abierta","tag-cumplimiento-en-la-nube","grve-entry-item","grve-blog-item"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t