ACN Cloud QC: Niveles QC1-QC4 Explicados

La migración a la nube es una prioridad para las administraciones públicas. Sin embargo, el camino está lleno de desafíos normativos y técnicos. La Agencia para la Ciberseguridad Nacional (ACN) ha definido un sistema de calificación de servicios cloud que es un pilar para la seguridad y la conformidad. Comprender los niveles QC1-QC4 y la correcta clasificación de los datos es crucial para evitar errores costosos, sanciones y, sobre todo, comprometer la seguridad de la información pública.

Cuando he asistido a entidades con infraestructuras complejas, he notado que la confusión sobre los niveles de calificación ACN y la clasificación de los datos es uno de los mayores obstáculos. A menudo, se tiende a subestimar el impacto de una elección errónea, descubriendo solo a posteriori que el servicio adoptado no cumple los requisitos mínimos para el tipo de datos gestionados. Esto no solo genera costos adicionales para la migración a una solución conforme, sino que expone a la entidad a riesgos significativos en términos de brechas de datos y violación de la normativa NIS2. El objetivo de esta guía es proporcionar claridad y herramientas prácticas para navegar el Catálogo ACN con seguridad, garantizando que cada decisión sea informada y estratégicamente válida. Lee también: Ciberseguridad: Exposiciones Recurrentes 90 Días

Tested on: Reglamento ACN sobre servicios cloud · Catálogo ACN · Octubre 2026

Requisitos Previos / Entorno de Prueba

Para seguir correctamente esta guía, es suficiente tener acceso a un navegador web y al sitio oficial de la ACN. No se requieren habilidades técnicas específicas para la consulta del catálogo, pero se recomienda una comprensión básica de los conceptos de ciberseguridad y gestión de datos para interpretar mejor la información. Es fundamental referirse siempre y solo a los documentos oficiales y al Catálogo de Servicios Cloud para la PA, disponibles en el portal de la ACN, para tener la información más actualizada y precisa.

Clasificación de los datos: ordinarios, críticos, estratégicos

El primer paso fundamental para cualquier administración que pretenda migrar sus servicios a la nube es la correcta clasificación de los datos que serán tratados. Esta clasificación no es arbitraria, sino que sigue directrices precisas definidas por la ACN y la normativa vigente, incluida la NIS2. Los datos se categorizan en tres macro-tipologías:

Datos Ordinarios: Son informaciones cuya compromiso (pérdida de confidencialidad, integridad o disponibilidad) no causa daños significativos a la entidad, a los ciudadanos o a los intereses nacionales. Ejemplos pueden incluir datos públicos o informaciones no sensibles. Lee también: Plazos PA Q4: Calendario Normativo IT
Datos Críticos: La compromiso de estos datos puede causar daños significativos, interrupciones de servicios esenciales o perjudicar derechos y libertades fundamentales. Entran en esta categoría datos personales, sanitarios, financieros no estratégicos, o informaciones necesarias para el funcionamiento de servicios públicos no vitales.
Datos Estratégicos: La compromiso de estos datos puede tener un impacto devastador en el interés nacional, en la seguridad pública, en la defensa, en la economía o en la salud de los ciudadanos a gran escala. Son datos cuya integridad y confidencialidad son de vital importancia. Entran en esta categoría sistemas de control críticos, datos relativos a infraestructuras esenciales, o informaciones con implicaciones para la seguridad nacional.

La correcta atribución de un nivel de criticidad a cada conjunto de datos es un proceso que requiere un análisis profundo y una evaluación de riesgos, a menudo apoyada por metodologías estándar como las previstas por la ISO 27001:2022 o el NIST CSF 2.0. Un análisis preciso permite determinar el nivel de protección necesario y, en consecuencia, el nivel de calificación cloud requerido.

Qué significan los niveles QC1, QC2, QC3 y QC4

Los niveles de Calificación Cloud (QC) definidos por la ACN son el instrumento a través del cual se evalúa y certifica la capacidad de un proveedor de servicios cloud para garantizar determinados estándares de seguridad, fiabilidad y soberanía de los datos. Cada nivel representa un conjunto creciente de requisitos y controles, proporcional a la criticidad de los datos que el servicio está destinado a albergar.

QC1 (Calificación Base): Adecuado para la prestación de servicios que tratan Datos Ordinarios. Los requisitos de seguridad son estándar, garantizando un nivel de protección adecuado para informaciones no sensibles.
QC2 (Calificación Media): Requerido para servicios que gestionan Datos Críticos. Prevé requisitos de seguridad más estrictos, mayor resiliencia y controles sobre la localización de los datos dentro de la Unión Europea.
QC3 (Calificación Elevada): Destinado a servicios que tratan Datos Estratégicos. Los requisitos son extremadamente rigurosos, incluyendo garantías de soberanía nacional sobre los datos, controles de seguridad avanzados y una arquitectura de sistema altamente resiliente y redundante.
QC4 (Calificación Máxima): Este nivel, aunque formalmente previsto, representa el máximo grado de seguridad y control. Está reservado para casos excepcionales y estratégicos, donde la protección de los datos es la prioridad absoluta y requiere un control total sobre la cadena de suministro del servicio, incluida la nacionalidad de los proveedores y del personal involucrado. Actualmente, la mayoría de los servicios calificados se sitúan en QC1, QC2 o QC3, con QC4 aún en fase de definición práctica para necesidades específicas.

La elección del nivel QC apropiado está directamente correlacionada con la clasificación de los datos. Un servicio QC1 nunca podrá albergar datos críticos o estratégicos, y viceversa. Esta correspondencia es la piedra angular de la estrategia cloud de la PA.

Qué nivel se necesita para los servicios de una entidad

Determinar el nivel QC necesario para un servicio cloud depende exclusivamente de la clasificación de los datos que ese servicio va a tratar. No existe una regla general que valga para todos los servicios de una entidad, ya que una administración puede gestionar simultáneamente datos ordinarios, críticos y estratégicos en diferentes contextos operativos. Lee también: VMware Migración: Costos, Fallas y Lecciones

La lógica es la siguiente:

Si un servicio gestiona predominantemente Datos Ordinarios, será suficiente un proveedor con calificación QC1.
Si el servicio trata Datos Críticos, será indispensable un proveedor con calificación QC2 o superior.
Para los servicios que procesan Datos Estratégicos, la elección deberá recaer en proveedores con calificación QC3 o, en casos específicos, QC4.

Es crucial realizar esta evaluación para cada servicio o aplicación que se pretende migrar. Un error común es aplicar una calificación homogénea a toda la infraestructura, terminando por adoptar soluciones sobredimensionadas (y costosas) para datos ordinarios o, peor, subdimensionadas para datos críticos o estratégicos. El enfoque debe ser granular y basado en el riesgo efectivo de los datos.

Cómo verificar el nivel de un servicio en el catálogo

El Catálogo de Servicios Cloud para la PA, gestionado por la ACN, es la herramienta oficial y la única fuente fiable para verificar las calificaciones de los proveedores y los servicios cloud. Es fundamental consultarlo regularmente, ya que las calificaciones pueden variar con el tiempo.

Para consultar el catálogo:

Acceder al sitio oficial de la Agencia para la Ciberseguridad Nacional (ACN) en la dirección acn.gov.it.
Utilizar la función de búsqueda o los filtros disponibles para localizar el proveedor o el servicio de interés.
Verificar la sección relativa a la “Calificación del Servicio” o “Calificación de la Infraestructura” para identificar el nivel QC asignado (QC1, QC2, QC3, QC4).

Es importante distinguir entre la calificación de la infraestructura y la del servicio específico. Un proveedor puede tener una infraestructura calificada QC3, pero ofrecer un servicio específico sobre esa infraestructura que ha sido calificado solo QC2, quizás porque no todos los controles de seguridad específicos del servicio alcanzan el nivel máximo. Leer atentamente las fichas de detalle de cada servicio es imprescindible.

Infraestructura y servicios: dos calificaciones diferentes

Un aspecto a menudo pasado por alto es la distinción entre la calificación de la infraestructura cloud (IaaS/PaaS) y la del servicio aplicativo (SaaS) que se presta sobre ella. No son lo mismo y no siempre coinciden.

Calificación de la Infraestructura: Se refiere al entorno subyacente (data center, hardware, virtualización, networking) proporcionado por el proveedor cloud. Una infraestructura calificada QC3 significa que el proveedor cumple con estándares elevados para la gestión física y lógica de sus sistemas.
Calificación del Servicio: Se refiere a la aplicación o al servicio específico (ej. suite de productividad, gestor, CRM) que se presta sobre la infraestructura. La calificación de un servicio tiene en cuenta no solo la infraestructura subyacente, sino también los controles de seguridad implementados a nivel aplicativo, la gestión de accesos, el ciclo de vida del software, etc.

Es posible que un proveedor ofrezca una infraestructura QC3, pero que una aplicación específica prestada sobre ella esté calificada solo QC2, debido a controles de seguridad aplicativos menos estrictos o a requisitos específicos no satisfechos a nivel de servicio. Por el contrario, un servicio particularmente robusto podría estar calificado QC3 incluso si se basa en una infraestructura con calificaciones inferiores, siempre que los controles compensatorios a nivel de servicio sean suficientes. Sin embargo, la regla general es que el servicio no puede tener una calificación superior a la de la infraestructura en la que reside. Lee también: Oracle RMAN: Recuperar Base de Datos Tras Fallo

Para una administración, esto significa que no basta con verificar la calificación de la infraestructura del proveedor, sino que es obligatorio controlar la calificación de cada servicio que se pretende utilizar. Esta granularidad es fundamental para la conformidad.

Errores frecuentes en la elección del proveedor

En el proceso de selección de un proveedor cloud para la PA, he encontrado algunos errores recurrentes que pueden comprometer la seguridad y la conformidad normativa:

Subestimación de la clasificación de los datos: No clasificar correctamente los datos, o clasificarlos de forma demasiado genérica, lleva a elegir un nivel QC inadecuado. Este es el error más grave y común.
Confiar solo en la calificación de la infraestructura: Como se ha comentado, la calificación de la infraestructura no es suficiente. Es esencial verificar la calificación del servicio específico que se pretende utilizar.
Ignorar la localización de los datos: Para datos críticos y estratégicos, la normativa ACN impone requisitos estrictos sobre la localización física de los data centers y sobre la soberanía de los datos. Un proveedor con data centers fuera de la UE, aunque calificado, podría no ser idóneo.
No verificar la validez de la calificación: Las calificaciones tienen una fecha de caducidad y pueden ser revocadas. Consultar siempre el catálogo ACN para la validez actual.
Confundir certificaciones del sector con calificaciones ACN: Certificaciones como ISO 27001 o GDPR compliance son importantes, pero no sustituyen la calificación ACN, que es específica para el contexto de la PA italiana.

Evitar estos errores requiere una metodología rigurosa y una consulta constante de las fuentes oficiales. La inversión inicial en la comprensión de estos mecanismos se traduce en un ahorro significativo de tiempo y recursos a largo plazo, garantizando al mismo tiempo la seguridad y la conformidad de los servicios públicos.

# Ejemplo de consulta simulada al catálogo ACN (conceptual)
# Esto no es un comando real, sino una representación de la lógica de búsqueda.

# 1. Acceder al portal del catálogo (URL ficticia para demostración)
URL_CATALOGO="https://www.acn.gov.it/cloud/catalogo-servicios-cloud-pa"

# 2. Buscar un proveedor específico
PROVEEDOR="ProveedorX"

# 3. Filtrar por servicio (ej. "Gestión Documental")
SERVICIO="Gestión Documental"

# 4. Obtener la calificación del servicio
# En un sistema real, esto implicaría navegar por la interfaz web o usar una API.
# Por simplicidad, se muestra un resultado esperado.

CALIFICACION_SERVICIO=$(curl -s "$URL_CATALOGO?proveedor=$PROVEEDOR&servicio=$SERVICIO" | grep "Calificación del Servicio" | awk '{print $NF}')

if [ "$CALIFICACION_SERVICIO" == "QC3" ]; then
  echo "El servicio '$SERVICIO' del '$PROVEEDOR' tiene calificación QC3. Apto para datos estratégicos."
elif [ "$CALIFICACION_SERVICIO" == "QC2" ]; then
  echo "El servicio '$SERVICIO' del '$PROVEEDOR' tiene calificación QC2. Apto para datos críticos."
else
  echo "El servicio '$SERVICIO' del '$PROVEEDOR' tiene calificación $CALIFICACION_SERVICIO. Evaluar criticidad de datos."
fi

FAQ — Preguntas Frecuentes

¿Debo reclasificar mis datos si uso un nuevo servicio cloud?

Sí, cada vez que se introduce un nuevo servicio o se migran datos, es fundamental revisar la clasificación de los datos en función del contexto específico del nuevo servicio. La criticidad de los datos puede variar según cómo se traten y utilicen por la aplicación. Una reclasificación precisa asegura que el servicio cloud elegido esté siempre alineado con los requisitos de seguridad.

¿La calificación QC de un proveedor es permanente?

No, las calificaciones ACN no son permanentes. Tienen una validez temporal y están sujetas a revisiones y posibles revocaciones. Es responsabilidad de la entidad pública verificar periódicamente la validez de las calificaciones de sus proveedores en el Catálogo ACN para asegurar la continua conformidad de los servicios utilizados.

¿Puedo usar un servicio QC1 para datos críticos si he implementado controles de seguridad adicionales?

En general, no. La normativa ACN es estricta: el nivel de calificación del servicio debe ser adecuado a la máxima criticidad de los datos tratados. Los controles adicionales internos pueden reforzar la seguridad general, pero no pueden compensar una calificación QC inferior a la requerida por la ley para un tipo específico de datos. La conformidad es prioritaria.

¿Qué sucede si un proveedor pierde su calificación QC?

Si un proveedor pierde su calificación QC o si el nivel se degrada por debajo de lo requerido para los datos tratados, la entidad pública está obligada a intervenir. Esto puede significar la migración de los datos y los servicios a un proveedor alternativo con la calificación adecuada, o la interrupción del servicio, para evitar sanciones y riesgos para la seguridad de los datos. Es una situación que requiere una acción inmediata.

¿Existe un costo por consultar el Catálogo ACN?

No, el Catálogo de Servicios Cloud para la PA es una herramienta pública y su consulta es completamente gratuita. La ACN lo pone a disposición para apoyar a las administraciones en el proceso de migración a la nube, proporcionando transparencia sobre las calificaciones de los proveedores y los servicios.

Conclusiones con Puntos Clave Operativos

La navegación en el panorama de los servicios cloud para la Administración Pública es compleja, pero no imposible. La clave del éxito reside en la comprensión profunda y en la aplicación rigurosa de las directrices ACN. El punto clave operativo principal es: partir de la clasificación de los datos. Solo después de haber identificado si los datos son ordinarios, críticos o estratégicos, es posible determinar el nivel de calificación QC (QC1-QC4) requerido para el servicio cloud. Recuerde siempre consultar el Catálogo ACN oficial para verificar las calificaciones de infraestructura y servicio, distinguiendo cuidadosamente entre ambas. Un enfoque metódico e informado no solo garantiza la conformidad normativa, sino que refuerza significativamente la postura de ciberseguridad de la entidad, protegiendo información sensible y servicios esenciales.

Fuentes

Reglamento ACN sobre los servicios cloud de la PA y catálogo oficial

Actualizado: octubre 2026