Cuando un equipo de TI descubre un lunes por la mañana que su proveedor de la nube ha modificado sus condiciones de tratamiento de datos para cumplir con una nueva regulación europea, la vigilancia tecnológica deja de ser un lujo. La actualidad informática de este año se caracteriza por una aceleración regulatoria que afecta directamente las elecciones de arquitectura, los contratos con proveedores y la seguridad de los productos digitales.
Cyber Resilience Act y obligaciones de seguridad de productos en 2026
Los competidores hablan mucho de ciberseguridad en general. Vamos a hablar de un texto específico que cambia las reglas del juego para los editores de software y los fabricantes de hardware conectado: el Cyber Resilience Act (CRA).
Desde el 11 de septiembre de 2026, las obligaciones de notificación de incidentes del CRA han entrado en vigor. Concretamente, cualquier editor o fabricante que comercialice un producto digital en la Unión Europea debe informar sobre las vulnerabilidades que están siendo explotadas activamente dentro de plazos establecidos.
El CRA no se detiene ahí. Establece una trayectoria hacia requisitos de seguridad “por defecto”, con un marcado CE obligatorio y obligaciones completas a partir de diciembre de 2027. Para seguir las noticias informáticas en Bargento permite mantener un ojo en estos plazos regulatorios que impactan los ciclos de desarrollo.
Para un equipo de producto, esto significa integrar la seguridad desde el diseño, documentar los componentes de software (SBOM), y prever un proceso de notificación. Las opiniones varían sobre la carga real que esto representa según el tamaño de la empresa, pero el calendario, en sí, ya no se mueve.
Soberanía en la nube: del discurso estratégico a la obligación regulatoria
Se había escuchado “soberanía digital” durante años sin consecuencias operativas directas. Ya no es el caso.
La Comisión Europea publicó el 3 de junio de 2026 una propuesta de Cloud and AI Development Act. Este texto introduce un marco unificado para evaluar la “soberanía” de los servicios en la nube, con un impacto directo en los contratos públicos y las elecciones de alojamiento de las empresas que trabajan con el sector público.
En la práctica, si se responde a una licitación pública o se manejan datos sensibles para un organismo europeo, la elección del proveedor de la nube deberá cumplir con criterios de soberanía formalizados. Ya no es una preferencia, es una matriz de evaluación regulatoria.
Lo que cambia para los arquitectos de SI
Los equipos que han construido su infraestructura sobre un hyperscaler estadounidense no están condenados, pero deben mapear sus flujos de datos e identificar las cargas de trabajo afectadas. El multicloud se convierte en una necesidad regulatoria, no en una elección técnica.
Varios proveedores europeos están posicionando ofertas de “geopatriación”, un término que se refiere al retorno de datos y procesos a infraestructuras legalmente europeas. El movimiento ha comenzado, los plazos de migración siguen siendo el punto crítico.
DORA y riesgo de terceros ICT: los contratos con proveedores bajo control
El reglamento DORA (Digital Operational Resilience Act), aplicable desde el 17 de enero de 2025, produce sus primeros efectos concretos en 2026. Las autoridades de supervisión intensifican sus controles sobre el riesgo de terceros ICT y las cláusulas contractuales asociadas.
Para las empresas del sector financiero (y sus proveedores tecnológicos), esto se traduce en requisitos precisos:
- Los contratos con proveedores críticos de ICT deben incluir cláusulas de resiliencia operativa, derecho de auditoría y estrategia de salida documentada
- Las pruebas de resiliencia (incluidas pruebas de penetración avanzadas) deben cubrir las dependencias de terceros, no solo los sistemas internos
- Se debe mantener un registro centralizado de proveedores de ICT de terceros y transmitirlo a los reguladores a solicitud
Fuera del sector financiero, DORA crea un precedente. Las buenas prácticas que impone sobre la gestión de proveedores de TI se difunden como estándar de mercado. Un contrato de nube sin cláusula de salida documentada se convierte en una señal de alerta.
AI Act europeo: el calendario real después del Digital Omnibus
El AI Act ha generado mucho debate, pero su calendario ha evolucionado. La entrada en vigor del Digital Omnibus on AI el 27 de julio de 2026 ha pospuesto algunas obligaciones relacionadas con los sistemas de IA de alto riesgo.
Sin embargo, varios requisitos clave son aplicables desde el 2 de agosto de 2026. Para los equipos que despliegan inteligencia artificial en producción, la prioridad operativa se centra en tres puntos:
- La clasificación del nivel de riesgo de cada sistema de IA desplegado, según la matriz actualizada por el Digital Omnibus
- La documentación técnica y la trazabilidad de las decisiones algorítmicas para los sistemas clasificados como de alto riesgo
- La implementación de una supervisión humana efectiva, no simbólica, sobre los procesos de toma de decisiones automatizados
Este aplazamiento parcial no debe crear una falsa sensación de confort. Las empresas que esperan los plazos finales para cumplir acumulan una deuda de cumplimiento que será costosa de saldar.
Vínculo con la estrategia de datos y nube
El AI Act, el Cloud and AI Development Act y DORA no son textos aislados. Forman un ecosistema regulatorio donde las elecciones de alojamiento, subcontratación y gobernanza de datos se entrelazan. Una decisión de arquitectura en la nube tomada sin considerar los tres textos expone a recalificaciones en cascada.
Para los CIO y responsables de cumplimiento, la vigilancia sobre la actualidad informática ya no es un ejercicio de curiosidad tecnológica. Es una herramienta de gestión de riesgos. Los textos europeos publicados este año rediseñan las restricciones operativas sobre la nube, la seguridad del producto, los contratos con proveedores y el despliegue de la IA. Cada trimestre trae su lote de plazos concretos, y los equipos que los anticipan mantienen una ventaja sobre aquellos que los sufren.
