El paisaje normativo en el ámbito tecnológico está más saturado que nunca, con una serie de siglas que incluye ENS, NIS2, DORA y el AI Act, entre otras. Este escenario desafiante suele llegar a la atención de las empresas en momentos críticos, ya sea en licitaciones, auditorías o incidentes de seguridad, dejando a los equipos técnicos con la sensación de que navegan en un mar de regulaciones inconexas.
Una práctica común y errónea es abordar cada marco normativo como un proyecto independiente. Esta fragmentación provoca una duplicación de esfuerzos y documentación dispersa en distintos formatos, desde correos y hojas de cálculo hasta herramientas aisladas. Sin embargo, para las organizaciones tecnológicas, la clave no está en partir de la norma, sino de la arquitectura de sus servicios: comprender qué servicios se prestan, qué datos se manejan, qué infraestructura se utiliza y qué terceros están involucrados.
A menudo, la aplicabilidad de una norma no se limita a una sola etiqueta. Una empresa puede cumplir múltiples roles al mismo tiempo, cada uno con distintas obligaciones. Por ejemplo, el Esquema Nacional de Seguridad en España regula la gestión de información en la administración electrónica, mientras que la directiva NIS2 se enfoca en elevar el nivel de ciberseguridad en la UE. Por su parte, el Reglamento DORA aborda la resiliencia digital en el sector financiero. Y, al hablar del AI Act, el enfoque se desplaza hacia los riesgos asociados con los sistemas de inteligencia artificial.
En este contexto, el inventario de servicios se vuelve tan crucial como el de activos. No es suficiente conocer el número de servidores o bases de datos; es esencial saber qué función cumplen dentro del servicio, qué datos manejan y qué obligaciones legales o contractuales acompañan a cada uno.
A pesar de sus diferencias, muchos de estos marcos normativos comparten requisitos comunes en cuanto a gestión de riesgos, control de accesos y continuidad del servicio, entre otros. Esto permite a los equipos técnicos desarrollar una base común de cumplimiento. Así, no resulta lógico tener sistemas de evidencia separados para cada norma cuando se puede centralizar la información clave que todas ellas requieren.
El futuro del cumplimiento normativo en tecnología se orienta hacia la integración de estos controles en la propia operación técnica, una filosofía conocida como «compliance as code». Esto implica automatizar y verificar de manera continua el cumplimiento a través de la infraestructura tecnológica existente, sin dejar de lado el análisis jurídico ni ignorar el criterio del CISO.
Este enfoque transformará la relación entre los departamentos legales y técnicos. Los abogados ya no pueden limitarse a redactar cláusulas sin considerar la complejidad técnica, mientras que los técnicos deben reconocer que las regulaciones suelen alinearse con buenas prácticas de seguridad.
Con vistas a 2026, el verdadero desafío no será memorizar todas las siglas, sino establecer un modelo que permita responder con agilidad a preguntas críticas sobre servicios, datos, clientes y proveedores. Aquellas organizaciones que consiguen implementar un sistema robusto y adaptativo de cumplimiento operarán mejor preparadas para un entorno regulado, capaz de superar auditorías sin apenas fricciones.
Más información y referencias en Noticias Cloud.
