NIS2 para centros de datos: cuándo un centro de datos entra en el BSIG
Quien ofrece servicios de centro de datos a terceros, como la colocación (colocation), es entidad importante a partir de 50 empleados o con más de 10 millones de euros tanto de facturación como de balance, y entidad esencial a partir de 250 empleados (§ 28 BSIG). Una sala de servidores solo para su propia empresa no es un servicio ofrecido. Que un centro de datos sea además una instalación crítica depende de un umbral propio.
Qué es un servicio de centro de datos
Se refiere a toda la operación: salas, racks y red, además de la distribución de energía y la refrigeración. Las instalaciones técnicas del edificio forman parte del servicio.
Que usted alquile espacio, energía y refrigeración para servidores ajenos (colocación) o que opere usted mismo los servidores no cambia que cuente como servicio de centro de datos.
§ 2 n.º 35 BSIG · Art. 6(31) NIS 2
‘data centre service’ means a service that encompasses structures, or groups of structures, dedicated to the centralised accommodation, interconnection and operation of IT and network equipment providing data storage, processing and transport services together with all the facilities and infrastructures for power distribution and environmental control;
A partir de qué tamaño está afectado un proveedor
Entidad importante: al menos 50 empleados, o una facturación anual y un balance de más de 10 millones de euros cada uno.
Entidad esencial: al menos 250 empleados, o más de 50 millones de euros de facturación y más de 43 millones de euros de balance. Esto es posible porque los centros de datos figuran en el Anexo 1.
A diferencia, por ejemplo, de los servicios DNS o de los servicios de confianza cualificados, los centros de datos no están incluidos con independencia de su tamaño.
El cómputo sigue la Recomendación 2003/361/CE. También pueden contar las empresas asociadas y vinculadas.
§ 28(1), (2) y (4) BSIG
Su propia sala de servidores
Si su empresa opera servidores solo para sí misma, no ofrece un servicio de centro de datos. Por esta línea del Anexo 1 no queda afectada.
Su empresa puede estar afectada por otro motivo, por ejemplo como fabricante, empresa de alimentación o empresa de residuos. En ese caso, la sala de servidores es uno de los sistemas que protege.
Si una empresa opera un centro de datos a cambio de una remuneración para otras empresas del mismo grupo, conviene comprobarlo caso por caso.
Cuándo un centro de datos es una instalación crítica
Con independencia del tamaño de la empresa, un centro de datos puede ser una instalación crítica. Su operador es entonces entidad esencial.
Que una instalación sea crítica depende de umbrales fijados en un reglamento. En el Reglamento alemán de infraestructuras críticas del BSI (BSI-KritisV), el valor para un centro de datos (housing) es de 3,5 megavatios de potencia acordada por contrato.
Los operadores de instalaciones críticas tienen dos deberes más: usan sistemas de detección de ataques y acreditan sus medidas ante el BSI cada tres años.
§ 2 n.º 22, § 28(1) n.º 1, §§ 31 y 39 BSIG
Normas más detalladas para los proveedores digitales
A los proveedores de servicios de centro de datos se les aplica además el Reglamento de Ejecución (UE) 2024/2690. Describe con más detalle los requisitos técnicos de los diez ámbitos y, en esa medida, prevalece sobre el BSIG.
También fija cuándo un incidente en estos proveedores es significativo y debe notificarse.
§ 30(3) BSIG · Reglamento de Ejecución (UE) 2024/2690
Un ejemplo
Una empresa inventada: un proveedor regional de colocación con 60 empleados, dos emplazamientos y clientes pymes. Tiene 2 megavatios de potencia acordados por contrato.
La colocación es un servicio de centro de datos. Con 60 empleados, la empresa es entidad importante.
Con 2 megavatios está por debajo del valor de la BSI-KritisV. Por ello, el centro de datos no es una instalación crítica.
Se registra ante el BSI e implementa las medidas del § 30 BSIG, con la profundidad que exige el Reglamento de Ejecución (UE) 2024/2690.
La lista de sus activos empieza por las instalaciones técnicas del edificio: conexión a la red eléctrica, SAI, energía de emergencia, refrigeración, protección contra incendios y control de acceso. Después vienen la red, los racks y la monitorización.
Cómo lo hace el recorrido guiado
En el recorrido guiado de nisd2.eu, el trabajo empieza por la lista de aquello con lo que trabaja su empresa.
Un paso pregunta por procesos, software, dispositivos, salas y redes, y por quién los suministra. Así se obtiene la lista de sus activos.
En el perfil de la empresa indica si opera una instalación crítica. Solo entonces aparece el paso sobre la detección de ataques y las pruebas ante el BSI.
Junto a cada paso está la norma, explicada con palabras sencillas.
Al final, la dirección aprueba los documentos en la app, con su propia cuenta.
Preguntas frecuentes
¿Es la colocación un servicio de centro de datos según NIS2?
Sí. La colocación pone a disposición salas, energía y refrigeración para la informática de otros. Eso entra en la definición del § 2 n.º 35 BSIG.
¿Se aplica NIS2 a nuestra propia sala de servidores?
No como servicio de centro de datos, mientras la opere solo para su propia empresa. Si su empresa está afectada por otro motivo, protege la sala de servidores como parte de sus medidas.
¿A partir de qué tamaño está afectado un centro de datos?
A partir de 50 empleados o con una facturación anual y un balance de más de 10 millones de euros cada uno (§ 28(2) BSIG). Si el centro de datos es una instalación crítica, con independencia del tamaño.
¿Es todo centro de datos KRITIS?
No. Un centro de datos solo es una instalación crítica por encima de un umbral. En la BSI-KritisV son 3,5 megavatios de potencia acordada por contrato para el housing.
Fuentes
- Ley del BSI (BSIG) § 2 n.º 22 y 35, §§ 28, 30, 31, 39, Anexo 1, gesetze-im-internet.de/bsig_2025
- Directiva (UE) 2022/2555 (NIS 2), art. 6(31) y Anexo I, EUR-Lex
- Reglamento de Ejecución (UE) 2024/2690, EUR-Lex
- BSI-KritisV, Anexo 4, gesetze-im-internet.de/bsi-kritisv
- Recomendación 2003/361/CE de la Comisión, EUR-Lex
En la práctica
Dónde aparece esto en el recorrido guiado
El recorrido guiado lo convierte en pasos que usted rellena, con la ley explicada al lado de cada uno. Abra un paso para ver su pantalla, rellenada para una empresa ficticia.
El recorrido está en alemán y en inglés.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Lo que cuesta el recorrido guiado
4800 € sin IVA al año, más IVA
30 días de devolución del dineroCon factura, a pagar en 30 días. Cancelación dentro de los primeros 30 días: factura anulada o devolución del dinero.
Implantación guiada de NIS 2, paso a paso
Un historial de cambios y aprobaciones para mostrar a su autoridad supervisora
Plazos y recordatorios para cada requisito
Cuestionario de seguridad para sus proveedores
Exportación a PDF o CSV en cualquier momento
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
