[{"data":1,"prerenderedAt":197},["ShallowReactive",2],{"seo-verification":3,"blog-nis2-evidencias-de-cumplimiento-de-tu-proveedor-vps-es":6},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-nis2-evidencias-de-cumplimiento-de-tu-proveedor-vps-es",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":27,"featuredImage":29,"bgImage":30,"posterImage":31,"relatedSolution":29,"intro":32,"sections":33,"ctaTitle":145,"ctaBody":146,"ctaButton":147,"ctaUrl":148,"relatedPosts":149},462,"nis2-evidencias-de-cumplimiento-de-tu-proveedor-vps",{"fr":12,"en":13,"ar":14,"es":10},"nis2-preuve-conformite-hebergeur-vps","nis2-compliance-evidence-from-your-vps-provider","nis2-أدلة-الامتثال-من-مزود-استضافة-vps","NIS2: evidencias de cumplimiento que exigir a su proveedor VPS","¿Qué evidencias documentales solicitar a su proveedor VPS para una auditoría NIS2? Logs de acceso, gestión de parches, SLA de seguridad, PCA, informes de incidentes.",13,0,false,"2026-10-17T00:00:00+00:00","2026-10-18T21:57:56+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":25},10,"Cumplimiento y normativa","conformite","bg-amber-500\u002F10 text-amber-400",[28],{"id":23,"name":24,"slug":25,"color":26,"icon":25},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Fnis2-preuve-conformite-hebergeur-vps-poster.svg","El plazo de cumplimiento de 18 meses concedido a las entidades notificadas en 2025 ya ha vencido: el expediente de evidencias ya no es opcional. Ante un auditor, siempre surge la misma pregunta: ¿qué puede probar su proveedor de alojamiento y qué debe documentar usted mismo? La Directiva (UE) 2022\u002F2555 (NIS2) establece una responsabilidad compartida: el proveedor cubre la infraestructura, usted cubre sus procesos y activos. Este artículo describe con precisión los documentos que solicitar, las cláusulas contractuales que verificar y las evidencias que debe producir usted mismo en un VPS de ServOrbit.",[34,38,49,52,88,91,99,102,133,136,139,142],{"type":35,"title":36,"body":37},"h2","Por qué el expediente de evidencias es urgente","La directiva NIS2 entró en vigor en enero de 2023 y el plazo de transposición para los Estados miembros de la UE era el 17 de octubre de 2024. Las entidades notificadas después de esa fecha dispusieron generalmente de un plazo de 18 meses para lograr el cumplimiento, que vence actualmente para la mayoría de las organizaciones afectadas. Las primeras acciones de ejecución están en marcha en varios Estados miembros y las autoridades competentes están emitiendo solicitudes formales de documentación.\n\nUna auditoría NIS2 no solo verifica que las medidas técnicas estén en vigor: exige evidencias fechadas, trazables y oponibles. Un sistema correctamente configurado pero no documentado no superará una auditoría, ni tampoco un informe de incidente sin marca de tiempo fiable. La constitución del expediente de evidencias es, por tanto, una tarea distinta del cumplimiento técnico en sí, e implica tanto a su proveedor de alojamiento como a sus propios equipos.",{"type":39,"title":40,"items":41,"body":5},"ul","Qué abarca este artículo",[42,43,44,45,46,47,48],"**Alcance del proveedor** — qué debe probar y qué no puede certificar en su nombre","**Logs de acceso y seguridad** — qué registros solicitar, en qué formato y con qué período de retención","**Gestión de parches** — informes de vulnerabilidades y parches aplicados a la infraestructura subyacente","**SLA de seguridad** — cláusulas contractuales con valor probatorio en una auditoría","**Plan de continuidad de actividad (PCA)** — qué documenta el proveedor y qué debe producir usted mismo","**Informe de incidente** — el calendario de notificación del artículo 23 de NIS2 y la cadena de evidencias a reconstruir","**Lo que el proveedor no puede certificar** — el límite claro entre infraestructura y política de seguridad del cliente",{"type":35,"title":50,"body":51},"El límite entre lo que prueba el proveedor y lo que le corresponde a usted","La objeción más frecuente en auditoría: «nuestro proveedor de alojamiento está certificado ISO 27001, ¿cubre eso nuestro cumplimiento NIS2?» La respuesta es no, y la distinción es importante. El proveedor prueba la seguridad de su infraestructura: centro de datos, hipervisor, red, procedimientos internos de su personal. Usted prueba la seguridad de lo que despliega sobre ella: sus aplicaciones, sus datos, sus controles de acceso, sus procedimientos.\n\nEl artículo 21 de la directiva NIS2 impone medidas a la entidad sujeta a la directiva, no a su proveedor de alojamiento. El proveedor es un elemento de su cadena de suministro (Art. 21.d): debe documentar cómo evaluó sus prácticas de seguridad, qué cláusulas contractuales le protegen y qué mecanismos de notificación de incidentes le ofrece. Lo que el proveedor nunca puede producir en su lugar: su mapa de activos, su política de seguridad formalizada, la formación de sus equipos, su propio procedimiento de gestión de incidentes y la prueba de que sus datos aplicativos están cifrados según sus propias elecciones.",{"type":53,"title":54,"headers":55,"rows":59,"body":5},"comparison","Distribución de responsabilidades documentales",[56,57,58],"Ámbito","Lo que documenta el proveedor","Lo que documenta usted",[60,64,68,72,76,80,84],[61,62,63],"Infraestructura física","Certificación del centro de datos (ISO 27001, SOC 2), control de acceso físico, alimentación redundante","Elección del centro de datos y justificación de la ubicación geográfica de los datos",[65,66,67],"Red e hipervisor","Logs de flujo de red, aislamiento de VMs, actualización del hipervisor","Configuración del firewall aplicativo, reglas de red en el lado del SO invitado",[69,70,71],"Gestión de parches","Boletines de parches aplicados a la infraestructura, CVEs tratadas","Actualizaciones del SO, dependencias de la aplicación, runtime",[73,74,75],"Logs de acceso","Acceso al panel de gestión, acciones de administración sobre la infraestructura","Logs de aplicación, logs de autenticación SSH, acceso a la base de datos",[77,78,79],"Incidentes de seguridad","Notificación en los plazos del artículo 23 de NIS2, informe de incidente sobre la infraestructura","Su propio informe de incidente, impacto en sus datos y servicios",[81,82,83],"Continuidad de negocio","SLA de disponibilidad, plan de recuperación de infraestructura, copias de seguridad de snapshots de VM","RPO\u002FRTO definidos, prueba de restauración de aplicación, plan de crisis documentado",[85,86,87],"Política de seguridad","Política de seguridad interna del proveedor (proporcionada bajo solicitud contractual)","Su política de seguridad del SI, mapa de activos, formación de equipos",{"type":35,"title":89,"body":90},"Logs de acceso y seguridad: qué solicitar","Los logs son lo primero que solicita un auditor NIS2, ya que permiten reconstruir el desarrollo de un incidente (Art. 21.b) y probar que los controles de acceso se aplican efectivamente. En un VPS, la cadena de logs implica dos capas: la del proveedor (acceso al panel de gestión, operaciones sobre la infraestructura) y la suya (sistema operativo invitado, aplicaciones).\n\nDel lado del proveedor, los logs a solicitar explícitamente son: eventos de inicio de sesión en el panel de gestión (con dirección IP de origen y marca de tiempo), operaciones de redimensionamiento, snapshot o reinstalación de VMs, y alertas de seguridad detectadas en el nivel de infraestructura. Estos logs deben ser exportables en formato estructurado (JSON, CSV) y cubrir como mínimo los últimos 90 días. Para los logs de autenticación y administración, la mayoría de los CSIRT nacionales recomiendan una retención de 12 meses.\n\nDel lado de su VPS, la configuración mínima a documentar incluye: centralizar `auth.log` hacia un almacenamiento que la cuenta de aplicación no pueda modificar, retener los logs de Nginx\u002FApache con rotación configurada para conservar al menos 90 días, y exportar a una solución externa para preservar la integridad en caso de compromiso del servidor.",{"type":39,"title":92,"items":93,"body":5},"Documentos que solicitar al proveedor sobre los logs",[94,95,96,97,98],"**Log de acceso al panel de gestión** — exportación de conexiones con IP de origen, fecha\u002Fhora, acción realizada, con un mínimo de 12 meses","**Log de operaciones de infraestructura** — creación\u002Feliminación\u002Fredimensionamiento de VMs, snapshots, modificaciones de configuración de red","**Política de retención documentada** — duración oficial de conservación de los logs del proveedor, formato y procedimiento de exportación","**Alertas de seguridad de red** — informes de anomalías detectadas en el nivel de infraestructura (escaneos, intentos de intrusión perimetral)","**Procedimiento de acceso a los logs durante un incidente** — canal, tiempo de respuesta y formato de entrega para solicitudes urgentes de un auditor o autoridad",{"type":35,"title":100,"body":101},"Gestión de parches: evidencias del proveedor y del cliente","El artículo 21 de NIS2 exige medidas para garantizar la seguridad en la adquisición, el desarrollo y el mantenimiento de los sistemas. Para un VPS, esto cubre dos perímetros distintos que el auditor examinará por separado.\n\nDel lado del proveedor, los elementos que solicitar son: la política de gestión de vulnerabilidades aplicada al hipervisor y la infraestructura de red, los boletines de seguridad publicados o transmitidos a los clientes para las CVE críticas que afectan a la infraestructura subyacente, y los plazos de despliegue de parches críticos garantizados contractualmente. En ServOrbit, la política de gestión de parches de la infraestructura está documentada y se comunica durante los incidentes que afectan al hipervisor; puede solicitar una copia formalizada para su expediente de auditoría.\n\nDel lado del cliente, debe documentar: la frecuencia de las actualizaciones del SO (semanal o mensual según su política), la gestión de dependencias de la aplicación (herramienta de escaneo, registro de CVE tratadas) y las pruebas realizadas antes de desplegar un parche en producción.",{"type":103,"title":104,"steps":105,"body":5},"steps","Constituir su expediente de evidencias NIS2: pasos prácticos",[106,109,112,115,118,121,124,127,130],{"title":107,"body":108},"Solicitar el expediente de cumplimiento de infraestructura a su proveedor","Formule una solicitud escrita a su proveedor especificando el marco NIS2 y los elementos requeridos: certificado ISO 27001 o SOC 2 en vigor, ubicación de los centros de datos, política de gestión de vulnerabilidades, procedimiento de notificación de incidentes. En ServOrbit, este expediente puede solicitarse a través del soporte mencionando su proceso de auditoría NIS2.",{"title":110,"body":111},"Auditar y exportar los logs de acceso al VPS","Acceda a su panel de gestión de ServOrbit y exporte el historial de conexiones y operaciones. En el VPS, verifique la configuración de `logrotate` para `auth.log` y sus logs de aplicación: la directiva `rotate` debe permitir una retención mínima de 90 días. Configure la exportación a almacenamiento externo con `rsyslog` o un agente de Loki si no está ya implementado.",{"title":113,"body":114},"Verificar y documentar las cláusulas contractuales con valor probatorio","Relea su contrato de alojamiento buscando explícitamente: SLA de disponibilidad con penalizaciones medibles, obligaciones de notificación en caso de incidente de seguridad (plazo y canal), duración de retención de logs y procedimiento de acceso durante investigación, condiciones de auditoría o inspección por el cliente, y compromisos de continuidad de negocio con métricas medibles (RTO, RPO).",{"title":116,"body":117},"Producir su propia política de seguridad documentada","El proveedor no puede producir este documento en su lugar. Debe cubrir como mínimo: el mapa de activos críticos alojados, las reglas de gestión de accesos (MFA obligatorio, claves SSH, política de rotación de secretos), la política de copias de seguridad (frecuencia, ubicación, prueba de restauración) y las personas autorizadas a acceder a la infraestructura.",{"title":119,"body":120},"Implantar y probar el plan de continuidad de negocio","El PCA NIS2 cubre dos niveles: el del proveedor (disponibilidad de la infraestructura, procedimiento de conmutación por error) y el suyo (procedimiento de restauración de la aplicación, contactos de escalada, decisión de conmutación). En ServOrbit, documente los snapshots automatizados disponibles, su frecuencia y retención, y añada su propio procedimiento de restauración, probado y fechado.",{"title":122,"body":123},"Preparar el procedimiento de notificación de incidentes NIS2","El artículo 23 de la directiva exige: una alerta temprana a la autoridad nacional competente en las 24 horas siguientes a la detección de un incidente significativo, una notificación formal en las 72 horas con evaluación inicial del impacto y causa probable, y un informe final en el plazo de un mes. Defina por escrito: quién es responsable de la notificación, qué umbral de significatividad se adopta y qué canal se utiliza.",{"title":125,"body":126},"Configurar las copias de seguridad con prueba de restauración","En ServOrbit, los snapshots automatizados cubren la capa de VM. Para la capa aplicativa, configure una copia de seguridad independiente exportada a almacenamiento de objetos externo (compatible con S3). Documente cada prueba de restauración: fecha, versión restaurada, duración, resultado. La frecuencia mínima recomendada para una prueba de restauración completa es trimestral.",{"title":128,"body":129},"Verificar la cadena de suministro (Art. 21.d)","Inventaríe todos los proveedores con acceso a su infraestructura: proveedor de alojamiento, servicios gestionados, desarrolladores externos, integradores, proveedores de bibliotecas críticas. Para cada uno, documente: el nivel de acceso concedido, las cláusulas de seguridad en el contrato y el procedimiento si el proveedor sufre él mismo un incidente.",{"title":131,"body":132},"Archivar y versionar todo el expediente","Un expediente de cumplimiento NIS2 debe ser fechable y oponible. Almacene todos los documentos en un espacio de acceso controlado y versionado (un repositorio git privado es adecuado), con un historial de modificaciones. Cada documento debe llevar una fecha, una versión y la identidad de su aprobador. Planifique una revisión anual mínima, también documentada.",{"type":35,"title":134,"body":135},"SLA de seguridad: las cláusulas con valor probatorio","Un SLA de disponibilidad (disponibilidad contractual) no es un SLA de seguridad. Para una auditoría NIS2, las cláusulas contractuales con valor probatorio son diferentes y más precisas. Esto es lo que distingue un contrato de alojamiento aceptable de uno insuficiente a la luz de la directiva.\n\nLas cláusulas esenciales para NIS2 se refieren a: el plazo de notificación de incidentes de seguridad que afecten a la infraestructura (debe ser igual o inferior a 24 horas para ser compatible con el artículo 23), el tipo de información transmitida durante un incidente (como mínimo: naturaleza del incidente, sistemas afectados, medidas adoptadas), la duración de retención de logs y el procedimiento de acceso durante investigación, las condiciones de auditoría o inspección por el cliente, y los compromisos de continuidad de negocio con métricas medibles (RTO, RPO).\n\nEn ServOrbit, las condiciones generales de servicio documentan los compromisos de disponibilidad y las obligaciones de notificación. Para las entidades NIS2, recomendamos complementar esto con un intercambio escrito que especifique los plazos de notificación de incidentes y los procedimientos de acceso a los logs — ese intercambio en sí mismo constituye una pieza del expediente de evidencias.",{"type":137,"body":138,"title":5},"tip","Endurecimiento: no se conforme con la certificación ISO 27001 de su proveedor como única evidencia. ISO 27001 cubre los procesos internos del proveedor, no su entorno específico. Solicite explícitamente el alcance de la certificación (¿está incluido su centro de datos?) y su fecha de emisión. Complemente con los boletines de seguridad recientes e informes de incidentes de los últimos 12 meses cuando estén disponibles. Para su propio perímetro, una prueba de penetración anual realizada por un tercero y su informe constituyen la evidencia más sólida de la madurez de su postura de seguridad.",{"type":35,"title":140,"body":141},"Informe de incidente NIS2: la cadena de evidencias a reconstruir","El artículo 23 de la directiva NIS2 es una de las obligaciones más concretas y exigentes: impone una secuencia de notificación precisa, y la ausencia de evidencias fechadas en cada etapa constituye en sí misma una infracción. Comprender esta secuencia antes de que ocurra un incidente es indispensable.\n\nLa cronología exigida es la siguiente: en las 24 horas siguientes a la detección de un incidente significativo, la entidad debe transmitir una alerta temprana a la autoridad nacional competente. En las 72 horas siguientes, debe transmitirse una notificación formal con evaluación inicial de la gravedad, sistemas afectados y causa probable. En el mes siguiente a la resolución del incidente, debe redactarse un informe final que documente todo el desarrollo, las medidas correctoras adoptadas y las lecciones aprendidas.\n\nPara poder producir estos documentos, su infraestructura debe aportar evidencias en cada etapa: la marca de tiempo precisa de la detección (log con timestamp del servidor), la lista de sistemas afectados (inventario actualizado), la naturaleza de los datos expuestos (mapa de activos) y las acciones tomadas (registro de operaciones). Su proveedor debe facilitarle su propia cronología si el incidente afecta a su infraestructura — esta obligación debe figurar en su contrato.",{"type":35,"title":143,"body":144},"Conclusión y enlaces relacionados","Constituir un expediente de evidencias NIS2 no es un trámite burocrático: es la traducción documental de prácticas de seguridad que, si están realmente implantadas, solo necesitan ser formalizadas. La distinción fundamental a retener es entre lo que su proveedor de alojamiento prueba (su infraestructura, sus procesos, sus certificaciones) y lo que usted mismo debe producir (su política, sus activos, sus procedimientos, sus pruebas).\n\nEn un VPS de ServOrbit, los componentes técnicos están disponibles: snapshots automatizados, logs de acceso exportables, notificación contractual de incidentes e infraestructura certificada. Lo que debe añadir es la capa documental que hace oponibles estos elementos ante un auditor: solicitudes formalizadas, cláusulas contractuales verificadas, procedimientos escritos y probados.\n\nPara profundizar: las obligaciones generales de los proveedores de alojamiento y sus clientes en el marco NIS2 se detallan en [nis2-hebergement-obligations-clients-2026](\u002Fblog\u002Fnis2-hebergement-obligations-clients-2026). El impacto de la Ley de Resiliencia Cibernética (CRA) en los componentes de software de su infraestructura se trata en [cra-cyber-resilience-act-hebergement-2027](\u002Fblog\u002Fcra-cyber-resilience-act-hebergement-2027). Las obligaciones de localización y transferencia de datos en el marco de la CNDP se abordan en [conformite-cndp-hebergement-hors-maroc](\u002Fblog\u002Fconformite-cndp-hebergement-hors-maroc).","Infraestructura documentable para su auditoría NIS2","ServOrbit le proporciona los logs de acceso, snapshots con marca de tiempo y compromisos contractuales necesarios para su expediente de cumplimiento NIS2 — desde 99 DH\u002Fmes.","Ver nuestro compromiso de seguridad","\u002Fpourquoi\u002Fsecurite",[150,166,182],{"id":151,"slug":152,"slugs":153,"title":157,"excerpt":158,"readTime":159,"views":18,"isPinned":19,"publishedAt":160,"updatedAt":161,"category":162,"categories":163,"featuredImage":29,"bgImage":30,"posterImage":165,"relatedSolution":29},211,"nis2-obligaciones-hosting-clientes-2026",{"fr":154,"en":155,"ar":156,"es":152},"nis2-hebergement-obligations-clients-2026","nis2-what-the-directive-requires-from-your-hosted-clients","nis2-ما-تفرضه-التوجيهات-على-عملائكم-المستضافين","NIS2: lo que la directiva exige a sus clientes alojados","La directiva NIS2 se aplica desde octubre de 2026 en la UE — sus clientes de sectores esenciales deberán elegir proveedores conformes.",4,"2026-08-02T00:00:00+00:00","2026-09-07T11:26:10+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":25},[164],{"id":23,"name":24,"slug":25,"color":26,"icon":25},"\u002Fblog\u002Fcovers\u002Fnis2-hebergement-obligations-clients-2026-poster.svg",{"id":167,"slug":168,"slugs":169,"title":173,"excerpt":174,"readTime":175,"views":176,"isPinned":19,"publishedAt":177,"updatedAt":161,"category":178,"categories":179,"featuredImage":29,"bgImage":30,"posterImage":181,"relatedSolution":29},267,"cra-2027-cyber-resilience-act-agencias",{"fr":170,"en":171,"ar":172,"es":168},"cra-cyber-resilience-act-hebergement-2027","cra-2027-what-the-cyber-resilience-act-changes-for-your-agency","cra-2027-ما-يغيره-قانون-المرونة-الإلكترونية-لوكالتك","CRA 2027: qué cambia el Cyber Resilience Act para usted","El Cyber Resilience Act (CRA) se aplica plenamente en diciembre de 2027. Qué obliga, qué sanciona y cómo preparar su agencia desde ahora.",11,3,"2026-08-15T00:00:00+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":25},[180],{"id":23,"name":24,"slug":25,"color":26,"icon":25},"\u002Fblog\u002Fcovers\u002Fcra-cyber-resilience-act-hebergement-2027-poster.svg",{"id":183,"slug":184,"slugs":185,"title":189,"excerpt":190,"readTime":23,"views":191,"isPinned":19,"publishedAt":192,"updatedAt":161,"category":193,"categories":194,"featuredImage":29,"bgImage":30,"posterImage":196,"relatedSolution":29},276,"alojamiento-fuera-de-marruecos-autorizacion-cndp",{"fr":186,"en":187,"ar":188,"es":184},"conformite-cndp-hebergement-hors-maroc","hosting-outside-morocco-cndp-prior-authorization","cndp-والاستضافة-خارج-المغرب-الترخيص-المسبق-إلزامي","Alojamiento fuera de Marruecos: autorización previa CNDP","La ley 09-08 regula toda transferencia de datos fuera de Marruecos, desde el primer correo de un formulario. Autorización o simple mención: depende del país de destino.",7,"2026-08-17T00:00:00+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":25},[195],{"id":23,"name":24,"slug":25,"color":26,"icon":25},"\u002Fblog\u002Fcovers\u002Fconformite-cndp-hebergement-hors-maroc-poster.svg",1792361173364]