La parte del presupuesto de TI en los gastos globales de las empresas francesas aumenta cada año, pero los resultados no siempre siguen el mismo ritmo. Entre parques de máquinas envejecidos, contratos de mantenimiento mal calibrados y una regulación europea que endurece sus exigencias en ciberseguridad, el simple hecho de “hacer funcionar la informática” ya no es suficiente. El tema ya no es técnico: es estructural.
Cyber Resilience Act: la nueva restricción regulatoria que cambia las reglas del juego para los servicios informáticos
El Cyber Resilience Act (reglamento UE 2024/2847), que entró en vigor el 10 de diciembre de 2024, impone requisitos de ciberseguridad obligatorios a todos los productos que contengan elementos digitales vendidos en la Unión Europea. Hardware, software, objetos conectados: la cobertura es amplia.
A partir del 11 de septiembre de 2026, los fabricantes deben informar en un plazo de 24 horas sobre cualquier vulnerabilidad que esté siendo activamente explotada y cualquier incidente grave que afecte la seguridad de sus productos. Estos informes se realizan a través de plataformas centralizadas gestionadas por la ENISA y los CSIRT nacionales.
Para una empresa que externaliza total o parcialmente sus servicios informáticos, este reglamento tiene consecuencias directas. El proveedor de TI se convierte en un eslabón de la cadena de conformidad. Un software empresarial implementado sin seguimiento de vulnerabilidades expone a la empresa cliente a un riesgo regulatorio, no solo técnico.
Los contratos de externalización firmados antes de este plazo merecen una revisión atenta. La gestión de vulnerabilidades y la notificación de incidentes deben figurar explícitamente, bajo pena de encontrarse con un proveedor que no tiene ninguna obligación contractual de informar sobre una falla explotada en una herramienta que administra. Entre los servicios informáticos de Digiterio, esta dimensión regulatoria forma parte de los ejes de trabajo estructurales para las empresas que desean alinear su SI con las nuevas obligaciones europeas.
Externalización y gestión de TI: lo que los contratos no siempre dicen
Externalizar la gestión de su informática parece simple sobre el papel. Un proveedor se encarga del mantenimiento, el soporte técnico, a veces el alojamiento en la nube. En la práctica, la calidad del servicio depende de lo que esté escrito (o no) en el contrato.
Las zonas grises contractuales a verificar
- La reversibilidad de los datos: en caso de cambio de proveedor, ¿en qué plazo y en qué formato se recuperan los datos? Algunos contratos no especifican nada, lo que crea una dependencia de hecho.
- El perímetro exacto del soporte: un contrato de mantenimiento puede cubrir el hardware pero excluir las actualizaciones de software críticas, o incluir un número limitado de intervenciones por mes sin que este límite esté claramente anunciado.
- La localización de los datos alojados: con el RGPD y las evoluciones del Cloud Act estadounidense, saber si los servidores están en Francia, en la UE o en otro lugar no es un detalle. Los informes del terreno difieren sobre la transparencia real de los proveedores al respecto.
- Los compromisos de nivel de servicio (SLA): una tasa de disponibilidad anunciada al alza no vale nada sin penalizaciones contractuales en caso de incumplimiento.
Un contrato de externalización bien negociado protege tanto como un buen cortafuegos. Un contrato vago expone a la empresa a costos ocultos y a una pérdida de control progresiva sobre su propio sistema de información.
DSI internalizada o proveedor externo: arbitrar según el tamaño y los desafíos
La pregunta surge sistemáticamente: ¿hay que contratar un responsable de informática interno o confiar la gestión a un proveedor? La respuesta depende menos del tamaño de la empresa que de la criticidad del SI en su actividad.
Una PYME cuyo núcleo de negocio se basa en una aplicación web necesita más una competencia de TI internalizada que una consultora de 200 personas que utiliza únicamente una suite de oficina en la nube. La criticidad del SI determina el modelo, no el número de empleados.
Lo que la internalización aporta (y lo que cuesta)
Un DSI o un responsable de TI interno conoce los procesos de negocio, los usuarios, las restricciones específicas. Esta cercanía acelera la resolución de incidentes y permite anticipar las evoluciones. Sin embargo, el costo salarial, la formación continua y la vigilancia tecnológica pesan sobre estructuras de tamaño modesto.
Lo que la externalización permite (y lo que oculta)
Un proveedor externo mutualiza sus competencias entre varios clientes. Generalmente, tiene una superficie técnica más amplia (seguridad, nube, red). El riesgo: un conocimiento superficial del negocio del cliente y tiempos de respuesta que dependen de la carga global del proveedor. La externalización funciona cuando el pliego de condiciones es preciso y el seguimiento es regular.
Automatización de procesos de TI: separar las ganancias reales del discurso de marketing
La automatización se ha convertido en un argumento comercial omnipresente en las ofertas de servicios informáticos. Despliegue automatizado de actualizaciones, gestión de tickets por inteligencia artificial, aprovisionamiento en la nube en autoservicio: las promesas son numerosas.
Las ganancias reales existen, pero están condicionadas. Automatizar un proceso mal definido equivale a industrializar un mal funcionamiento. Antes de desplegar una herramienta de automatización, es necesario mapear los flujos existentes, identificar las tareas realmente repetitivas y medir el tiempo efectivamente perdido.
Algunos casos donde la automatización produce resultados medibles:
- La gestión de los derechos de acceso durante las llegadas y salidas de colaboradores, que a menudo toma varias horas en tratamiento manual.
- El despliegue de parches de seguridad en un parque de puestos, donde el tiempo entre la publicación de un parche y su aplicación es un factor de riesgo directo.
- La supervisión proactiva de servidores y equipos de red, que permite detectar una anomalía antes de que se convierta en una falla.
Los datos disponibles no permiten generalizar una tasa de ganancia de productividad. Los resultados dependen del contexto técnico, de la madurez de los equipos y de la calidad de la integración. Un proveedor que anuncia un porcentaje de reducción de costos sin una auditoría previa merece cierta prudencia.
La elección de un proveedor de informática compromete a la empresa durante varios años. Los criterios técnicos son importantes, pero la capacidad para acompañar las evoluciones regulatorias (como el Cyber Resilience Act), la transparencia contractual y la calidad del seguimiento humano marcan la diferencia entre un servicio que funciona y un servicio que protege.
