Un proveedor de servicios informáticos no se evalúa por su folleto comercial. El filtro más fiable sigue siendo la lectura técnica del contrato, la verificación del alcance real de las certificaciones y la capacidad del candidato para documentar sus compromisos de seguridad frente a las obligaciones reglamentarias del cliente.
Alcance de las certificaciones: qué cubre realmente el certificado de un proveedor de servicios informáticos
Que un proveedor de alojamiento web exhiba una certificación ISO 27001 o una cualificación SecNumCloud no garantiza nada sobre la empresa de servicios gestionados que administra el sistema a diario. Cada certificado cubre un alcance específico: entidades, centros y servicios. Si el proveedor subcontrata el alojamiento a un tercero certificado, pero se encarga de la administración por su cuenta, la certificación del tercero no se extiende a sus propias prácticas.
Antes de firmar, solicite el certificado original y lea el anexo sobre el alcance. Compruebe que los servicios incluidos en el presupuesto coincidan con los que figuran en el certificado. Un proveedor serio facilita esta información sin dudarlo.
Empresas como ProInfo Services estructuran su oferta en torno a esta transparencia y detallan los componentes técnicos cubiertos por sus propias cualificaciones y por las de sus socios de alojamiento.
Preguntas que conviene hacer sobre las certificaciones
- ¿Qué centros y servicios están incluidos en el alcance auditado de su certificación?
- ¿El alojamiento lo gestionan ustedes o está subcontratado? En este último caso, ¿el subcontratista está certificado para el mismo alcance?
- ¿Con qué frecuencia se realiza la auditoría de renovación y se puede consultar el último informe?
Obligaciones de NIS2 y del RGPD: la externalización no transfiere responsabilidades
La externalización informática no traslada la responsabilidad jurídica del cliente. En materia de RGPD, la empresa sigue siendo responsable del tratamiento de los datos personales, aunque sea el proveedor quien los gestione técnicamente. En caso de brecha de seguridad, es el cliente quien debe notificarla a la CNIL dentro del plazo establecido.
Por tanto, el contrato de encargo del tratamiento debe establecer el proceso de notificación. El proveedor se compromete a comunicar al cliente cualquier brecha en un plazo definido y con suficiente detalle para que este pueda cumplir sus propias obligaciones de notificación.
Cómo afecta la directiva NIS2 a la elección del proveedor
Un proveedor de servicios informáticos puede verse afectado indirectamente por NIS2. Si la empresa cliente está sujeta a esta directiva, debe obtener garantías de sus proveedores sobre la gestión de los accesos administrativos, el mantenimiento de los registros de actividad, la gestión de vulnerabilidades y la notificación de incidentes.
En la práctica, pregunte al candidato por tres aspectos: su política de registro de los accesos privilegiados, su procedimiento de gestión de vulnerabilidades (frecuencia de los análisis y plazo de corrección) y su proceso de notificación de incidentes. Un proveedor que no sepa responder a estas preguntas no está preparado para acompañar a una empresa sujeta a requisitos sectoriales de ciberseguridad.
SLA y compromisos de servicio: cómo leer el contrato de servicios gestionados más allá del porcentaje de disponibilidad
El porcentaje de disponibilidad anunciado (que suele expresarse en forma de porcentaje) apenas aporta información si no va acompañado de tres elementos: el método de cálculo, las exclusiones y las penalizaciones efectivas.
- El método de cálculo: ¿se excluye del cálculo el tiempo dedicado al mantenimiento programado? De ser así, un proveedor puede anunciar un porcentaje elevado y, al mismo tiempo, programar frecuentes periodos de indisponibilidad.
- Las exclusiones: ¿los incidentes relacionados con un proveedor externo (operador de telecomunicaciones o desarrollador de software) se contabilizan o quedan excluidos del SLA?
- Las penalizaciones: un abono de unos pocos puntos porcentuales en la factura mensual no compensa las pérdidas de explotación. Compruebe si el contrato prevé un mecanismo de compensación proporcional al impacto real.
- El GTI (garantía del tiempo de intervención) y el GTR (garantía del tiempo de restablecimiento): son dos indicadores distintos. El primero mide el tiempo que tarda un técnico en hacerse cargo del ticket; el segundo, el plazo hasta la resolución efectiva. Un GTI breve con un GTR impreciso carece de valor operativo.
Observamos que los contratos más sólidos distinguen claramente los niveles de criticidad (P1 a P4), con GTI y GTR diferenciados para cada nivel y penalizaciones progresivas.
Reversibilidad y dependencia técnica: prever la salida desde el momento de la firma
La cláusula de reversibilidad condiciona su libertad para cambiar de proveedor. Un contrato de servicios gestionados sin un plan de reversibilidad detallado genera una dependencia técnica que puede salir muy cara en caso de rescisión.
La reversibilidad abarca tres aspectos. El primero es la devolución de los datos en un formato utilizable, no en un formato propietario que solo el proveedor saliente pueda leer. El segundo es la documentación técnica: diagramas de red, inventario de configuraciones y procedimientos operativos. El tercero es el periodo de transición, durante el cual el proveedor saliente colabora con el nuevo para garantizar la continuidad del servicio.
Aspectos que conviene revisar en la cláusula de reversibilidad
Compruebe que el contrato especifique el formato de devolución de los datos, el plazo máximo de transferencia y el posible coste del servicio de reversibilidad. Algunos proveedores facturan este servicio según el tiempo empleado y sin límite máximo, lo que puede convertirse en una herramienta de presión en caso de desacuerdo.
Un proveedor de servicios informáticos fiable incluye la reversibilidad como un compromiso contractual estándar, no como una opción negociable al final de las conversaciones. El plan de reversibilidad se negocia antes de firmar, cuando la posición de negociación aún está equilibrada.
La elección de un proveedor de servicios informáticos para acompañar a una empresa en su día a día depende menos de las promesas anunciadas que de la lectura atenta del contrato, la verificación concreta del alcance de las certificaciones y la capacidad del candidato para responder a los requisitos reglamentarios del cliente. Un buen proveedor documenta sus compromisos, es transparente sobre sus limitaciones y prevé la salida desde el primer día.
