Regulación
KRITIS y NIS2, sin los certificados
Dos regímenes rigen la seguridad de un centro de datos alemán: las normas nacionales de infraestructura crítica, KRITIS, y la directiva europea NIS2 tal como está implementada en el derecho alemán. Normalmente se habla de ellos como si fueran certificados. No son certificados, y esta página dice lo que realmente son.
Lo que el derecho alemán de infraestructuras críticas y la directiva europea realmente obligan a hacer a un operador, y por qué aquí nadie está certificado.
KRITIS es un umbral, no una insignia
La regulación alemana de infraestructura crítica se aplica a operadores por encima de umbrales definidos en sectores definidos, entre ellos tecnología de la información y telecomunicaciones. Estar cubierto es cuestión de suministro medido, no de solicitarlo. Una vez cubierto, un operador debe a la oficina federal evidencia de medidas organizativas y técnicas adecuadas, de forma periódica, y debe notificación cuando algo ocurre.
NIS2 amplía la red
La directiva europea sobre seguridad de las redes y de la información eleva las obligaciones y amplía sustancialmente la población afectada, alcanzando a operadores que quedaban por debajo de cualquier umbral anterior. La implementación alemana la traslada al derecho nacional. Su centro de gravedad es la gestión de riesgos, la seguridad de la cadena de suministro, la notificación de incidentes en un plazo corto, y — la parte que cambia el comportamiento — la responsabilidad de la dirección.
Por qué nunca escribimos «conforme»
Ninguno de los dos regímenes emite un certificado que un edificio pueda exhibir. Existe una vía de auditoría, existen atestaciones frente a normas como ISO 27001, y existe una relación de supervisión. Un centro de datos en construcción está en un camino hacia obligaciones que comienzan cuando entra en operación. Reclamar esa insignia en un emplazamiento que todavía no opera describe un estado que todavía no puede existir, y cualquier revisor que conozca el régimen lo lee como una señal de alarma.
Qué le hace al plano
La regulación de seguridad es más barata de cumplir cuando se diseña desde el principio, y más cara cuando se añade después. Zonas desde el borde público hasta la nave de máquinas, límites físicos antes que electrónicos, acceso registrado por zona, y un centro combinado de operaciones de seguridad y de red. Son líneas en un plano del emplazamiento, y cuestan menos el día en que ese plano se dibuja por primera vez.
