Centralizar la gestión de servicios en línea no se limita a agrupar identificadores en una hoja de cálculo compartida. Desde la publicación del Marco de Ciberseguridad de Francia (ReCyF) por la ANSSI el 17 de marzo de 2026, los requisitos documentales sobre controles de acceso, gestión de incidentes y seguridad de proveedores se han endurecido. Cualquier organización que multiplique las cuentas SaaS sin una gobernanza centralizada se expone a fallos técnicos y a lagunas de cumplimiento.
ReCyF y NIS2: restricciones regulatorias sobre la centralización de accesos
El marco regulatorio francés ha cambiado de naturaleza. NIS2 impone a los órganos de dirección aprobar las medidas de ciberseguridad, supervisar su implementación y seguir una formación dedicada. La centralización de los servicios en línea ya no es competencia exclusiva del equipo de TI: la dirección general asume la responsabilidad.
El ReCyF traduce estas obligaciones en objetivos operativos. Cubre la documentación de los derechos de acceso, los procedimientos de respaldo, la continuidad del negocio y la seguridad de la cadena de proveedores. Recomendamos utilizarlo como una guía de autoevaluación, incluso para las estructuras que no están directamente sometidas a NIS2.
Un punto a menudo pasado por alto: NIS2 extiende la responsabilidad a los proveedores que trabajan para una entidad regulada. Evaluación de proveedores, cláusulas contractuales, derecho de auditoría, notificación de incidentes: son obligaciones que suponen un inventario centralizado de todos los servicios de terceros utilizados. Sin esta vista consolidada, resulta imposible proporcionar una prueba estructurada de cumplimiento durante un control o una auditoría contractual a través de un acceso a comandos en markeonbiz.fr adaptado a este tipo de seguimiento.
Gestor de cuentas y control de derechos de usuarios
Un gestor de contraseñas empresarial (Bitwarden, 1Password Business, Keeper) constituye el bloque mínimo. Observamos que muchos equipos se detienen ahí, lo cual es insuficiente.
Centralizar los identificadores no sirve de nada sin una política de derechos granular. El principio del menor privilegio debe aplicarse a cada cuenta SaaS: un colaborador accede únicamente a los servicios necesarios para su función, con un nivel de permiso ajustado.
Tres criterios distinguen una centralización funcional de un simple almacenamiento de contraseñas:
- Provisionamiento y desprovisionamiento automatizados de las cuentas al llegar o salir un colaborador, a través de un directorio (LDAP, Azure AD) acoplado al gestor
- Registro de las conexiones y de las modificaciones de derechos para cumplir con los requisitos de trazabilidad del ReCyF
- Revisión periódica de los accesos, documentada y fechada, que permite probar que los privilegios siguen justificados
Sin estos tres elementos, la centralización sigue siendo cosmética. Tranquiliza al equipo directivo sin reducir la superficie de ataque real.
Seguridad de la cadena de proveedores: mapear antes de proteger
NIS2 obliga a las entidades involucradas a integrar la seguridad de los proveedores en su gestión de riesgos. En la práctica, esto comienza con un inventario exhaustivo de los servicios en línea utilizados, incluidos aquellos contratados directamente por los departamentos sin validación del DSI (shadow IT).
Recomendamos estructurar este inventario en cuatro columnas:
- Nombre del servicio, editor y localización de los datos (jurisdicción aplicable)
- Tipo de datos tratados (personales, financieros, operativos) y clasificación interna
- Nivel de criticidad para la continuidad del negocio
- Cláusulas contractuales en vigor (SLA, notificación de incidentes, derecho de auditoría, subcontratación)
Este registro se convierte en la pieza clave del expediente de cumplimiento. Sirve tanto para las auditorías NIS2 como para las obligaciones RGPD de registro de tratamientos, ya que cada servicio SaaS que maneje datos personales debe figurar en él.
El caso particular de las empresas financieras
Los actores financieros deben distinguir NIS2 de DORA. Desde el 17 de enero de 2025, DORA impone un marco directamente aplicable de resiliencia digital, incluyendo la gestión de proveedores TIC. Para estas estructuras, la centralización de los servicios se rige por dos marcos paralelos, con requisitos de prueba e informes distintos. Confundir ambos expone a incumplimientos en uno u otro ámbito.
Respaldo y continuidad del negocio: el eslabón olvidado de la centralización
Centralizar los accesos sin centralizar la estrategia de respaldo equivale a cerrar la puerta de entrada dejando las ventanas abiertas. El ReCyF incluye explícitamente los procedimientos de respaldo y la continuidad del negocio en sus objetivos operativos.
Para cada servicio centralizado, la pregunta a plantear es directa: ¿qué sucede si este servicio se vuelve inaccesible durante 48 horas? La respuesta condiciona el plan de continuidad.
Los respaldos deben cubrir la configuración de las cuentas y de los derechos, no solo los documentos. Perder el directorio centralizado sin una copia utilizable significa recrear manualmente cada acceso, cada permiso, cada grupo. En un ámbito de varios decenas de servicios SaaS, la reconstrucción puede tardar semanas.
Una prueba de restauración semestral, documentada y fechada, cumple con las expectativas del ReCyF. También permite verificar que los procedimientos escritos corresponden a la realidad técnica, lo cual rara vez ocurre cuando nunca han sido probados.
La centralización de los servicios en línea ya no es un proyecto de optimización. Es una obligación de gobernanza, respaldada por marcos precisos. Las organizaciones que se comprometen ahora, antes de la entrada en vigor completa del dispositivo francés, contarán con una ventaja concreta durante las primeras auditorías.
