KRITIS centro de datos: resiliencia física y concepto de protección 2026

Quien opera un centro de datos KRITIS conoce las obligaciones cibernéticas de la NIS-2 desde la ley de transposición. La resiliencia física conforme al KRITIS-Dachgesetz constituye un círculo de obligaciones propio. Ambos corren en paralelo, ambos son auditados, ambos deben funcionar de forma demostrable en 2026. Este artículo separa los dos marcos normativos, expone el cuadro de amenazas y compara el vigilante clásico con la robótica autónoma en cifras.

KRITIS centro de datos: umbrales y estatus regulatorio 2026

La clasificación como instalación crítica en el sector TI y telecomunicaciones se rige por criterios cuantitativos claros. La KritisV define los umbrales para centros de datos del sector TI y telecomunicaciones en el anexo 4 de la BSI-Kritisverordnung: 3,5 millones de direcciones IP utilizadas o 100.000 contratantes. Los proveedores de colocation entran en el ámbito cuando alcanzan 5 MW de potencia TI contractualmente garantizada.

El KRITIS-Dachgesetz complementa las obligaciones cibernéticas existentes de la NIS-2 con requisitos sobre la resiliencia física de instalaciones críticas (Bundestag-Drucksache 20/9262). Este punto se mezcla con regularidad en el sector: la NIS-2 aborda ciberresiliencia, autenticación, gestión de parches y notificación de incidentes. El Dachgesetz aborda valla, puerta, detección, personal, incendio y dron. Ambos círculos de obligaciones existen en paralelo y deben acreditarse por separado.

La doble regulación es real. Un emplazamiento hyperscale queda bajo BSIG, KritisV, KRITIS-Dachgesetz y la ley de transposición de NIS-2. Para el SAI georredundante rige adicionalmente la EnWG. La obligación de registro ante el BBK aplica en un plazo de tres meses tras la entrada en vigor del Dachgesetz. La Directiva NIS-2 califica los servicios de centro de datos como entidad esencial con deberes de diligencia reforzados (Directiva UE 2022/2555).

Siguiente paso: revisar las exigencias KRITIS en visión general como mapeo contra el propio emplazamiento.

Amenazas físicas contra centros de datos: cuadro de situación 2024 a 2026

El cuadro de situación se ha desplazado. En 2024 los informes del BBK documentaron doce casos de sabotaje en trazados de fibra óptica fuera del perímetro en DACH. [Fuente por insertar] El patrón: cortes selectivos en arquetas identificables en OSM o en planos. La valla del centro de datos estaba intacta, el servicio caído igualmente.

Los sobrevuelos de drones con fines de reconocimiento se triplicaron en los emplazamientos de Frankfurt entre 2022 y 2024. [Fuente por insertar] Los aparatos son pequeños, frecuentemente por debajo de 250 gramos, vuelan antes del amanecer y cartografían cubiertas, equipos de refrigeración y subestaciones. La explotación de esos datos apareció después en dos casos en foros de sabotaje.

El incendio provocado contra grupos electrógenos y subestaciones es el vector de ataque más eficaz contra la disponibilidad. Un artefacto incendiario bajo un depósito exterior cuesta al operador el SLA de las siguientes 48 horas. Los lugares del hecho quedan casi siempre fuera de la visión directa de la garita.

Los autores internos con acceso a whitespace y meet-me-room son la categoría subestimada. El control de personal según la Sicherheitsüberprüfungsgesetz solo opera cuando existe necesidad de protección de secretos. El personal de limpieza y los técnicos subcontratados no quedan cubiertos. El tailgating en esclusas de alta seguridad sigue siendo el problema estándar: estudios sectoriales muestran que el personal de vigilancia pasa por alto entre el 4 y el 7 por ciento de los intentos por turno. [Fuente por insertar] Con 200 pasos diarios son entre ocho y catorce acompañantes no detectados.

Concepto de protección para centros de datos: cuatro perímetros y el papel de la robótica autónoma

Un concepto de seguridad de datacenter sólido trabaja con cuatro perímetros escalonados. La robótica autónoma complementa la sensórica estacionaria donde la instalación fija resulta demasiado cara o demasiado rígida.

El perímetro 1 es la valla exterior. QR-2 para servicio exterior 24/7 aporta detección térmica y clasificación de personas a 80 metros en condiciones de oscuridad. La patrulla discurre de forma continua. Las cámaras PTZ estáticas dejan la valla sin observar hasta 38 segundos entre dos barridos. [Fuente por insertar]

El perímetro 2 es la superficie exterior entre valla y edificio. QR-3 con LiDAR y detección de drones reconoce drones por debajo de 250 gramos en aproximación y clasifica vehículos en la vía de suministro. El LiDAR funciona con mayor fiabilidad que el reconocimiento puramente visual en niebla y contraluz.

El perímetro 3 es la envolvente del edificio. QR-1 con sensórica acústica detecta rotura de cristal, apertura de puerta y patrones de pasos inusuales en la caja de escaleras. El umbral de audio está calibrado al fondo sonoro típico de un centro de datos, es decir, ventilación en el rango de 65 a 72 dB.

El perímetro 4 es whitespace y meet-me-room. La patrulla interior coteja el RFID contra el carnet de visitante. Quien entra en un cage que no le está asignado dispara un evento antes de alcanzar el rack.

La entrega al SOC se realiza como evento firmado con vídeo, marca temporal y geocoordenada. Con ello la cadena de prueba resulta utilizable ante un tribunal. El robot cubre ángulos muertos sin instalación fija adicional. Ese es el verdadero valor añadido frente al análisis de vídeo estacionario. Quien reforma o amplía un emplazamiento desplaza la ruta de patrulla por configuración, no por obra civil.

Comparativa TCO: personal de vigilancia frente a robot en el datacenter

Las cifras deciden. Un vigilante 24/7 en el perímetro del datacenter cuesta entre 15.000 y 25.000 euros por mes incluyendo costes adicionales, sustitución por vacaciones, bajas y formación según §34a GewO. [Fuente por insertar] Tres puestos en un emplazamiento típico con tres accesos suman entre 45.000 y 75.000 euros al mes.

QR-2 cubre un perímetro de 600 a 800 metros por 3.500 euros al mes. [Fuente por insertar] Una configuración híbrida con dos QR-2, un QR-3 y un vigilante reducido en la garita se sitúa en torno a los 18.000 euros mensuales. El ahorro frente a la ocupación completa es del 60 al 75 por ciento con mayor densidad de detección. [Fuente por insertar]

Lo que la configuración híbrida no sustituye: la escalada humana en el acceso físico, la entrega a la policía, la presencia en accesos de proveedores. Quien reduce a cero el personal de vigilancia pierde esas funciones. Quien reduce a un solo puesto las conserva y ahorra de todas formas.

El modelo Robotics-as-a-Service evita el CapEx. Para operadores cotizados resulta relevante en balance: las partidas corren como OpEx, el umbral de activación según IFRS 16 queda por debajo gracias a la cancelación mensual tras el plazo inicial. [Fuente por insertar] La comparativa TCO completa frente al vigilante fijo contiene el análisis de sensibilidad.

Integración en DCIM, SIEM y centro de control

Seguridad sin integración en el centro de control es teatro. La plataforma Quarero entrega eventos por MQTT, REST y Syslog a los sistemas SIEM habituales. Splunk, QRadar y Sentinel aceptan el formato sin parser personalizado.

La correlación con control de accesos, central de incendios y refrigeración corre en un flujo de eventos unificado. Si un contacto de puerta en el bunker del diésel se abre a las 03:17 horas y simultáneamente un QR-2 detecta una persona en el sector, eso es un incidente. No dos líneas de log separadas.

La conexión por API a Schneider EcoStruxure, Vertiv Trellis y Sunbird DCIM es estándar, no desarrollo a medida. El audio bidireccional a través del robot permite la interpelación directa desde el NOC 7x24. El operador interpela al intruso sin que haya un vigilante presente. En tres casos documentados en 2024 la persona abandonó el intento tras la interpelación. [Fuente por insertar]

El expediente de incidente es exportable de forma automática en formato conforme al BSI para la acreditación anual obligatoria. Eso ahorra al departamento de compliance entre 80 y 120 horas anuales de trabajo de preparación de promedio. [Fuente por insertar]

Protección de datos y conformidad ISO en la operación del datacenter

La protección de datos es un punto crítico en el uso de robots, en particular en emplazamientos hyperscale con clientes internacionales. EN ISO 13482 es la norma de seguridad relevante para robots personales de cuidado y servicio en uso operativo (ISO 13482:2014). La norma regula seguridad mecánica, parada de emergencia y prevención de colisiones.

La operación conforme al RGPD se ejecuta mediante procesamiento on-edge. Las imágenes de personas no salen del robot hacia la nube. Privacy-by-Design significa: los rostros se enmascaran de forma automática en las grabaciones fuera del contexto de incidente. En el propio incidente la máscara queda levantada. Antes y después la imagen permanece tachada.

El contrato de encargado de tratamiento según art. 28 RGPD forma parte del contrato estándar de RaaS. Quien no lo necesita porque asume el tratamiento por su cuenta puede optar por una variante de licencia. El itinerario de certificación ISO 27001 Annex A.7 Physical Controls se apoya en los logs del robot. Los auditores aceptan los registros de eventos firmados como prueba de la supervisión continua. Con libros de turno meros, esa prueba resulta a menudo controvertida.

El BBK es la autoridad federal competente para el registro de operadores de instalaciones críticas (portal del BBK). Los canales de notificación de incidentes relevantes para la seguridad discurren directamente hacia esa autoridad.

Piloto en 48 horas: procedimiento operativo

El piloto está estandarizado y discurre en una ventana temporal fija.

Día 1 por la mañana: recorrido del emplazamiento con el jefe de seguridad. Fijación de rutas de patrulla, definición de los límites del geofence, identificación de la estación base con alimentación eléctrica y respaldo LTE.

Día 1 por la tarde: entrega de QR-2 o QR-3. Calibración de geofence y estación base. Primera patrulla en modo manual para validar la ruta.

Día 2 por la mañana: integración en el centro de control. Prueba de la cadena de escalada con el servicio de vigilancia, incluyendo escenarios de avería y emergencia. Formación de los operadores del NOC sobre el panel de eventos, duración 90 minutos.

Día 2 por la tarde: entrega al servicio 7x24. Inicio de la fase piloto de cuatro semanas. Los KPI se evalúan semanalmente, la primera revisión tiene lugar tras siete días.

La duración mínima del contrato tras un piloto exitoso es de 24 meses. Después el contrato es cancelable mensualmente con tres meses de preaviso. El interlocutor fijo para DACH es Marcus Köhnlein, Sales Lead Schweiz.

Para la preparación operativa recomendamos la lista de verificación del KRITIS-Dachgesetz como plantilla para la evaluación del emplazamiento. Quien quiera fijar fecha para el piloto se dirige directamente a Marcus Köhnlein, Sales Lead DACH.