6 Min. Tiempo de lectura<\/p>\n
Dos conjuntos de reglas, un cl\u00faster, mucha confusi\u00f3n. Quien combina NIS2 y DORA en el mismo entorno de Kubernetes se crea un problema de auditor\u00eda que solo se detecta durante la inspecci\u00f3n. La separaci\u00f3n limpia en cl\u00fasteres de cumplimiento separados ahorra, en caso de emergencia, las semanas que un equipo perder\u00eda buscando pruebas.<\/strong><\/p>\n Relacionado:<\/span>Kubernetes como sistema operativo predeterminado de IA: cl\u00faster como cuesti\u00f3n de cumplimiento<\/a> \/<\/span> La soberan\u00eda de la IA comienza en la infraestructura<\/a><\/p>\n El error m\u00e1s com\u00fan ocurre antes de la primera l\u00ednea de YAML. Los equipos tratan NIS2 y DORA como un solo paquete de cumplimiento, porque ambos provienen de Bruselas y ambos suenan a resiliencia. En la pr\u00e1ctica, abordan diferentes destinatarios con diferente profundidad.<\/p>\n DORA, la Ley de Resiliencia Operativa Digital, est\u00e1 en vigor desde principios de 2025. Se aplica directamente a las empresas financieras y captura a los proveedores cr\u00edticos de TI a trav\u00e9s de un r\u00e9gimen de supervisi\u00f3n y contrato propio. NIS2, la directiva subyacente de la UE, traza un c\u00edrculo mucho m\u00e1s amplio: energ\u00eda, salud, transporte, infraestructura digital y muchos proveedores entran dentro. En Alemania, la ley de implementaci\u00f3n de NIS2 ya ha sido aprobada y est\u00e1 en vigor desde diciembre de 2025. La obligaci\u00f3n de implementaci\u00f3n se vuelve as\u00ed concreta.<\/p>\n Importante para la arquitectura es el orden de prioridad. Para una empresa financiera regulada, DORA como regla especial tiene prioridad sobre los requisitos generales de NIS2, donde ambos regulan el mismo asunto. Un arquitecto de nube en la mediana empresa que construye para un banco, planea principalmente contra DORA. Quien construye para un proveedor de energ\u00eda o un fabricante de m\u00e1quinas, planea contra NIS2. Quien atiende a ambos clientes, necesita ambos mundos separados, no mezclados.<\/p>\n \u00bfQu\u00e9 es un Compliance-Cluster?<\/strong> Un Compliance-Cluster es un entorno Kubernetes delimitado, en el que las workloads de un determinado marco normativo se ejecutan aisladas, con sus propias Policies, su propio control de acceso y su propia evidencia. El l\u00edmite se impone t\u00e9cnicamente y se mantiene en operaci\u00f3n.<\/p>\n Detr\u00e1s del t\u00e9rmino hay una decisi\u00f3n de segmentaci\u00f3n. La regla b\u00e1sica: las workloads que caen bajo diferentes marcos normativos no comparten una zona de confianza. En Kubernetes esto se puede implementar en dos niveles.<\/p>\n La separaci\u00f3n estricta se realiza mediante cl\u00fasteres dedicados con su propio Control Plane y su propio modelo de acceso. Los Node-Pools solo separan la capacidad de c\u00e1lculo y comparten la capa de control; para workloads financieros fuertemente regulados, esto a menudo no basta. La separaci\u00f3n m\u00e1s suave dentro de un cl\u00faster utiliza Namespaces como l\u00edmite de cumplimiento, asegurados con Network Policies que impiden el tr\u00e1fico cruzado entre zonas. Un Namespace solo se convierte en un verdadero l\u00edmite mediante una Network Policy aplicada; antes de eso, sigue siendo una mera etiqueta.<\/p>\n La diferencia la marca la aplicaci\u00f3n. Los Policy-Engines como Kyverno o Open Policy Agent revisan cada recurso contra reglas antes de que llegue al cl\u00faster. No hay Pod sin l\u00edmites de recursos definidos, no hay contenedor como root, no hay imagen de un registro no autorizado. Estas reglas son la verdadera evidencia de cumplimiento, porque imponen el estado deseado y lo demuestran en todo momento.<\/p>\n La mayor parte del trabajo de cumplimiento se consume en la evidencia, no en la implementaci\u00f3n. Quien el d\u00eda de la auditor\u00eda busca entre los logs, ha construido el sistema de forma incorrecta. Un Compliance-Cluster genera su propia evidencia en operaci\u00f3n.<\/p>\n Tres capas deben activarse por defecto. El Kubernetes-Audit-Log registra cada acci\u00f3n de la API, qui\u00e9n, cu\u00e1ndo y qu\u00e9 recurso se modific\u00f3. Un vigilante de tiempo de ejecuci\u00f3n como Falco informa de comportamientos sospechosos en contenedores, por ejemplo una shell que aparece en un Pod de producci\u00f3n. Y la Policy-Engine registra cada recurso rechazado como una entrada verificable de que la regla se aplica. En conjunto, estas tres capas forman una cadena de evidencia que un auditor puede seguir sin necesidad de mirar la pantalla del equipo.<\/p>\n El beneficio va m\u00e1s all\u00e1 de la auditor\u00eda. NIS2 exige a las entidades afectadas que notifiquen incidentes de seguridad significativos en plazos cortos. Quien ha instrumentado su telemetr\u00eda de forma limpia, responde a la pregunta de qu\u00e9 y cu\u00e1ndo ocurri\u00f3 un incidente a partir de sus propios datos, en lugar de reconstruirlos.<\/p>\n La soberan\u00eda se decide en la configuraci\u00f3n, no en el contrato con el proveedor de servicios en la nube. Ambas regulaciones exigen control sobre d\u00f3nde se encuentran los datos y qui\u00e9n accede a ellos. En Kubernetes, esto se puede implementar t\u00e9cnicamente.<\/p>\n El anclaje de regi\u00f3n a trav\u00e9s de afinidades de nodo y restricciones de topolog\u00eda garantiza que las cargas de trabajo reguladas no abandonen la regi\u00f3n prometida. El cifrado debe aplicarse en ambos caminos, en tr\u00e1nsito y en reposo, con claves cuya administraci\u00f3n controle la empresa misma. Y el acceso se realiza a trav\u00e9s de derechos basados en roles, que se asignan seg\u00fan el principio de privilegios m\u00ednimos. Un cl\u00faster en el que la mitad del equipo sea administrador de cl\u00faster no resiste una auditor\u00eda seria.<\/p>\n Qu\u00e9 rompe una auditor\u00eda<\/p>\n Qu\u00e9 contribuye<\/p>\n El orden decide sobre el esfuerzo. Quien comienza con la decisi\u00f3n de interfaz, qu\u00e9 cargas de trabajo pertenecen a qu\u00e9 zona, ahorra reconstrucciones costosas m\u00e1s adelante. Quien comienza con la herramienta, construye pol\u00edticas para una separaci\u00f3n que a\u00fan no se ha pensado.<\/p>\n Tres pasos en esta secuencia brindan la mayor palanca. Primero, el mapa regulatorio: \u00bfQu\u00e9 carga de trabajo cae bajo qu\u00e9 regulaci\u00f3n, y hay cargas de trabajo financieras que activan la prioridad DORA? Luego, la separaci\u00f3n: cl\u00fasteres dedicados para los casos dif\u00edciles, espacios de nombres con pol\u00edticas de red para el resto. Finalmente, la automatizaci\u00f3n de la evidencia, para que la prueba se genere en la operaci\u00f3n. Las multas son reales, la directiva NIS2 prev\u00e9 sanciones de al menos 10 millones de euros o el 2% del volumen de negocios mundial del a\u00f1o anterior para las entidades esenciales, dependiendo de cu\u00e1l sea mayor. Sin embargo, el da\u00f1o real suele ocurrir antes, en semanas que un equipo pierde en la documentaci\u00f3n posterior, porque la arquitectura nunca gener\u00f3 la prueba por s\u00ed misma.<\/p>\n Depende del sector. Las empresas financieras caen principalmente bajo DORA, que como regla especial precede a los requisitos generales de NIS2, donde ambos regulan el mismo asunto. Las empresas fuera del sector financiero que se consideran instalaciones cr\u00edticas o importantes planifican contra NIS2. Quien atiende a ambos mundos, los separa t\u00e9cnicamente.<\/p>\n<\/details>\n T\u00e9cnicamente es posible mediante espacios de nombres con pol\u00edticas de red aplicadas. En casos dif\u00edciles, como cargas de trabajo financieras cr\u00edticas bajo DORA, la separaci\u00f3n f\u00edsica en cl\u00fasteres dedicados o grupos de nodos es la opci\u00f3n m\u00e1s limpia. La decisi\u00f3n depende del riesgo, no de la comodidad.<\/p>\n<\/details>\n Un estado objetivo forzado m\u00e1s una cadena de evidencia rastreable. Un motor de pol\u00edticas que verifica cada recurso frente a las reglas, un registro de auditor\u00eda de Kubernetes y el monitoreo en tiempo de ejecuci\u00f3n juntos proporcionan la prueba de que las especificaciones t\u00e9cnicas son efectivas. Un PDF que describe el estado es significativamente m\u00e1s d\u00e9bil.<\/p>\n<\/details>\n DORA es v\u00e1lida como reglamento de la UE desde el 17 de enero de 2025. NIS2 es una directiva que requiere implementaci\u00f3n nacional. En Alemania, la ley de implementaci\u00f3n de NIS2 est\u00e1 en vigor desde diciembre de 2025. Las instalaciones afectadas deben verificar activamente sus obligaciones de registro y notificaci\u00f3n.<\/p>\n<\/details>\n Con el mapa regulatorio, no con la herramienta. Primero, aclaren qu\u00e9 carga de trabajo cae bajo qu\u00e9 conjunto de reglas, luego corten la separaci\u00f3n y luego automaticen la evidencia. Este orden evita reconstrucciones costosas y asegura que la evidencia ya est\u00e9 disponible durante la operaci\u00f3n en curso.<\/p>\n<\/details>\nLo m\u00e1s importante en resumen<\/h2>\n
\n
1. Separar NIS2 y DORA antes de que est\u00e9 la arquitectura<\/h2>\n
2. Cortar los cl\u00fasteres de forma limpia en lugar de mezclar cargas de trabajo<\/h2>\n
\n\n
\n \nDimensi\u00f3n<\/th>\n NIS2<\/th>\n DORA<\/th>\n<\/tr>\n<\/thead>\n \n Destinatarios<\/strong><\/td>\n Instalaciones cr\u00edticas y importantes en numerosos sectores<\/td>\n Empresas financieras y sus proveedores de TI cr\u00edticos<\/td>\n<\/tr>\n \n \u00c1mbito<\/strong><\/td>\n Directiva de la UE, se requiere implementaci\u00f3n nacional<\/td>\n Reglamento de la UE, aplicable directamente desde el 17 de enero de 2025<\/td>\n<\/tr>\n \n Enfoque<\/strong><\/td>\n Gesti\u00f3n de riesgos, obligaciones de notificaci\u00f3n, cadena de suministro<\/td>\n Resiliencia de TI, riesgo de terceros, pruebas de resiliencia<\/td>\n<\/tr>\n \n Relaci\u00f3n<\/strong><\/td>\n Marco general<\/td>\n Regla especial, prevalece en el sector financiero<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n 3. Recopilar evidencia autom\u00e1ticamente, no buscarla el d\u00eda de la auditor\u00eda<\/h2>\n
4. Anclar la soberan\u00eda de datos en la configuraci\u00f3n del cl\u00faster<\/h2>\n
\n
\n
5. Por d\u00f3nde deben empezar los arquitectos<\/h2>\n
Preguntas frecuentes<\/h2>\n
\u00bfSe aplican NIS2 y DORA simult\u00e1neamente a mi empresa?<\/strong><\/summary>\n
\u00bfEs suficiente un solo cl\u00faster de Kubernetes para ambos conjuntos de reglas?<\/strong><\/summary>\n
\u00bfQu\u00e9 se considera una prueba de cumplimiento fiable en una auditor\u00eda?<\/strong><\/summary>\n
\u00bfDesde cu\u00e1ndo es v\u00e1lida DORA y si NIS2 es ley en Alemania?<\/strong><\/summary>\n
\u00bfD\u00f3nde empiezan mejor los equipos de nube de tama\u00f1o mediano?<\/strong><\/summary>\n