Cumplimiento de las ESN: RGPD, AI Act, NIS2 & DORA

Por qué el sector «Empresas de servicios digitales (ESN)» está concernido

La empresa de servicios digitales está expuesta simultáneamente por su propia actividad y por la de sus clientes. Cuando externaliza la gestión de un sistema de información o presta servicios de mantenimiento en condiciones operativas, accede a datos personales por cuenta del cliente: es encargada del tratamiento en virtud del RGPD. Cuando desarrolla un módulo de IA comercializado bajo su propia marca, se convierte en proveedor en el sentido del AI Act. Cuando opera servicios gestionados, queda sujeta a la «gestión de servicios TIC» expresamente contemplada por NIS2.

La condición de proveedor de servicios agrava la responsabilidad: una empresa de servicios digitales es un punto de entrada privilegiado para los ataques a la cadena de suministro, precisamente el riesgo que NIS2 busca reducir. Un incidente en el proveedor se propaga mecánicamente al conjunto de sus clientes.

Por último, en cuanto una ESN cuenta entre sus clientes con bancos, aseguradoras u otras entidades financieras, DORA entra en escena por vía contractual: dichos clientes deben encuadrar a sus proveedores TIC mediante cláusulas precisas, mantener un registro de información y, en el caso de los más críticos, someterlos a supervisión europea directa.

NIS2 — la gestión de servicios TIC en primera línea

NIS2 designa expresamente a los proveedores de servicios gestionados y la gestión de servicios TIC (B2B). Por encima del umbral de «entidad mediana» (≥ 50 empleados o > 10 M€), una ESN se encuadra en las entidades importantes, o incluso esenciales según su función. Debe desplegar las medidas de gestión de riesgos del artículo 21, notificar los incidentes e implicar a su dirección.

El asunto más sensible para una ESN es la seguridad de la cadena de suministro, de la que ella misma es un eslabón crítico para sus clientes.

Obligaciones clave

• Medidas de gestión de riesgos (art. 21): acceso, cifrado, MFA, continuidad.
• Notificación de incidentes significativos por etapas.
• Seguridad de la cadena de suministro.
• Implicación y responsabilidad de la dirección.

RGPD — la ESN como encargada del tratamiento

En la gestión externalizada de TI, TMA o alojamiento, la empresa de servicios digitales trata datos personales por cuenta de sus clientes: actúa como encargada del tratamiento y debe suscribir un DPA conforme al artículo 28, garantizar la seguridad de los tratamientos, encuadrar a sus subencargados y gestionar las transferencias fuera de la UE.

Para sus propios tratamientos (personal, contratación, prospección), actúa como responsable del tratamiento.

Obligaciones clave

• DPA artículo 28 con cada cliente.
• Tratamiento bajo instrucción documentada.
• Encuadramiento de los subencargados ulteriores y transferencias fuera de la UE.
• Asistencia al cliente en materia de derechos e incidentes.

AI Act — proveedor o desplegador según el entregable

Una empresa de servicios digitales que desarrolla y comercializa una solución de IA bajo su marca es proveedora y asume las obligaciones más exigentes (documentación técnica, gestión de riesgos, transparencia, evaluación de conformidad). Si se limita a explotar herramientas de terceros, es desplegadora, con obligaciones más reducidas.

La calificación se aprecia entregable por entregable: una misma ESN puede ser proveedora en un proyecto y desplegadora en otro.

Obligaciones clave

• Calificar el estatus (proveedor/desplegador) por proyecto.
• Documentación técnica para los sistemas entregados.
• Transparencia y supervisión humana.
• Trazabilidad contractual de las responsabilidades IA con el cliente.

DORA — proveedor TIC de entidades financieras

Cuando la ESN presta servicios a entidades financieras, se convierte en proveedor tercero de TIC en el sentido de DORA. Sus clientes deben encuadrar la relación mediante cláusulas contractuales precisas (seguridad, auditoría, reversibilidad, subcontratación) e inscribirla en su registro de información. Una ESN considerada crítica puede quedar sujeta a la supervisión directa de las autoridades europeas.

Anticiparse a estos requisitos se ha convertido en una ventaja comercial: las entidades financieras priorizan a los proveedores «DORA-ready».

Obligaciones clave

• Cláusulas contractuales DORA (auditoría, reversibilidad, seguridad, subcontratación).
• Cooperación en el registro de información del cliente.
• Notificación y cooperación en caso de incidente TIC.
• Preparación ante una eventual supervisión (proveedor crítico).

Data Act & CRA — según los servicios y la edición

Si la empresa de servicios digitales presta servicios de tratamiento de datos (cloud gestionado), el Data Act le obliga a facilitar el cambio de proveedor y la portabilidad. Si desarrolla y comercializa componentes de software, el Cyber Resilience Act la califica de fabricante: seguridad desde el diseño, gestión de vulnerabilidades, SBOM y notificación.

Obligaciones clave

• Portabilidad y switching para los servicios cloud (Data Act).
• Seguridad by design y gestión de vulnerabilidades para los componentes desarrollados (CRA).

Vista comparada de las regulaciones

Cómo se articulan estas normativas

Para una empresa de servicios digitales, todo converge hacia la seguridad y el control de la cadena de suministro. Las medidas de NIS2 (artículo 21), los requisitos de seguridad del RGPD (artículo 32), las cláusulas de DORA y, en su caso, las obligaciones del CRA comparten una base común: política de seguridad, gestión de accesos, registro de eventos, gestión de vulnerabilidades, plan de continuidad. Construir esta base una sola vez y adaptarla después a cada texto evita multiplicar los proyectos.

La dificultad propia de las ESN es contractual: cada cliente les impone sus propios requisitos (DPA RGPD, cláusulas DORA, anexos de seguridad NIS2). Estandarizar una base contractual de «cumplimiento» reutilizable es la principal ganancia de eficiencia.

Calendario de aplicación

• 1RGPD. En vigor desde mayo de 2018.
• 2DORA. Aplicable desde el 17 de enero de 2025 (impacta a la ESN a través de sus clientes financieros).
• 3AI Act. Prohibiciones desde febrero de 2025; alto riesgo a partir de agosto de 2026.
• 4NIS2. Transposición francesa en proceso de finalización; anticiparse desde ahora.
• 5Data Act. Obligaciones mayoritarias desde el 12 de septiembre de 2025.

Sanciones aplicables

Los límites varían: NIS2 hasta 10 M€ o el 2 % para las entidades esenciales (7 M€ o el 1,4 % para las importantes), RGPD hasta 20 M€ o el 4 %, AI Act hasta 35 M€ o el 7 %. NIS2 introduce la responsabilidad personal de los directivos. En cuanto a DORA, la ESN no es sancionada directamente como una entidad financiera, pero un proveedor crítico sometido a supervisión puede enfrentarse a multas coercitivas de hasta el 1 % de su volumen de negocio diario mundial medio.

El riesgo más tangible sigue siendo comercial: un incumplimiento de NIS2 o DORA descalifica a la empresa de servicios tecnológicos en las licitaciones de sus clientes más regulados.

Hoja de ruta de puesta en conformidad

• 1Cartografiar. Inventariar los servicios (gestión externalizada, TMA, cloud, desarrollo IA), los datos tratados y los clientes regulados (finanzas).
• 2Construir la base de seguridad. Formalizar la política de seguridad, la gestión de accesos y vulnerabilidades, el registro de eventos y la continuidad — al servicio de NIS2, RGPD y DORA.
• 3Estandarizar los contratos. Crear una base contractual de «cumplimiento»: DPA tipo, cláusulas DORA, anexos de seguridad NIS2 reutilizables.
• 4Calificar la IA. Determinar, por proyecto, el estatus de proveedor/desplegador y producir la documentación requerida.
• 5Pilotar. Involucrar a la dirección, designar DPO y CISO (internos o externalizados) e instaurar una revisión periódica.

Cómo Data Comply One acompaña al sector

Data Comply One reúne RGPD, AI Act, NIS2 y DORA en una plataforma única, con DPO y CISO externalizados — una cobertura que se ajusta exactamente al perfil regulatorio de una ESN. El objetivo: una base de cumplimiento mutualizada y entregables contractuales reutilizables de un cliente a otro.

DCO proporciona también plantillas (DPA, cláusulas DORA, medidas NIS2, documentación AI Act) que aceleran la respuesta a los requisitos de los clientes regulados.

Preguntas frecuentes