Resumen

Arquitectura empresarial, interoperabilidad, gobernanza de servicios, seguridad, privacidad, accesibilidad, contratación pública y restricciones institucionales de la UE.

Estado del módulo

•Itinerario: Fundamentos comunes de TIC
•Última verificación: 2026-10-27
•Alcance: Formación independiente de EPSOHQ vinculada a las funciones descritas en la convocatoria; prevalecen las fuentes oficiales.

La arquitectura antes que los productos

Un administrador AD7 debe traducir las necesidades institucionales en servicios que puedan seguir recibiendo soporte y que sean seguros e interoperables. Se debe comenzar por las capacidades, los flujos de información, los niveles de servicio, las restricciones y los riesgos. La selección de productos viene después de la arquitectura objetivo y los criterios de evaluación. Un diseño técnicamente elegante, pero imposible de operar, adquirir, auditar o abandonar, está incompleto.

Las decisiones de arquitectura deben documentar el contexto, las opciones, la decisión adoptada, las consecuencias y los factores que motivarían una revisión. La reversibilidad es importante. Las interfaces y los formatos de datos portátiles reducen el acoplamiento. Un radar tecnológico distingue entre tecnologías adoptadas, en fase de prueba, evaluadas y en espera, para evitar que la experimentación se convierta inadvertidamente en arquitectura de producción.

Interoperabilidad y restricciones del sector público

El Reglamento sobre la Europa Interoperable establece un marco para la interoperabilidad transfronteriza de los sistemas de redes y de información del sector público. La interoperabilidad tiene dimensiones jurídicas, organizativas, semánticas y técnicas. Una API por sí sola no resuelve las diferencias entre fundamentos jurídicos, la responsabilidad sobre los procesos o el significado de los datos.

La accesibilidad debe formar parte de los criterios de aceptación. La seguridad y la protección de datos deben integrarse en el diseño. La contratación pública requiere requisitos mensurables, una evaluación imparcial y una estrategia de salida. La gestión documental, la transparencia y la auditabilidad afectan a los registros, la conservación y las pruebas que sustentan las decisiones.

Seguridad y privacidad desde el diseño

Utilice el riesgo para seleccionar los controles. La defensa en profundidad combina la identidad, los dispositivos finales, las redes, las aplicaciones, los datos, la supervisión y la recuperación. El principio de mínimo privilegio limita el acceso a lo que necesita un sujeto. La separación de funciones reduce la probabilidad de que una misma identidad pueda iniciar, aprobar y ocultar una acción sensible.

La privacidad desde el diseño implica definir la finalidad, la base jurídica, la minimización, la conservación, el acceso, las transferencias y los derechos de los interesados antes de la implementación. El cifrado protege la confidencialidad, pero no establece por sí solo la licitud del tratamiento. La seudonimización reduce la posibilidad de vinculación, pero sigue constituyendo un tratamiento de datos personales cuando aún es posible volver a identificar a las personas.

Gobernanza de servicios

Defina al responsable del servicio, al responsable del producto, al responsable técnico y al responsable de los datos. Establezca indicadores de nivel de servicio antes que objetivos de nivel de servicio. Supervise los resultados para los usuarios junto con la disponibilidad. Un servicio puede estar disponible desde el punto de vista técnico y, aun así, resultar inutilizable debido a un fallo de autenticación, latencia o una dependencia crítica.

Todo servicio en producción necesita supervisión, funciones definidas para la gestión de incidentes, pruebas de copia de seguridad y restauración, supuestos de continuidad, procedimientos de escalado al proveedor y un plan de retirada. La aprobación de los cambios debe ser proporcional al riesgo. Los cambios estándar de bajo riesgo pueden autorizarse previamente; los cambios de emergencia siguen requiriendo trazabilidad y una revisión retrospectiva.

Conjunto de fuentes principales

•Reglamento sobre la Europa Interoperable — Reglamento (UE) 2024/903
•NIS2 — Directiva (UE) 2022/2555
•RGPD — Reglamento (UE) 2016/679
•Directiva sobre la accesibilidad de los sitios web — Directiva (UE) 2016/2102
•Metodología PM² de la Comisión Europea — Portal PM²

Política digital de la UE: identifique al actor antes que la obligación

Complemento verificado el 27 de octubre de 2026. Estas distinciones respaldan el criterio técnico y la redacción sobre asuntos de la UE. Son una ayuda para el repaso, no una predicción de las preguntas de EPSO ni del expediente del EUFTE.

Instrumento	Pregunta principal	Pruebas prácticas que deben solicitarse	Trampa de alcance
Reglamento de IA	¿Cuál es la finalidad prevista del sistema, su clasificación de riesgo y el papel de la organización?	Inventario de casos de uso, justificación de la clasificación, registros de supervisión y evaluación	La etiqueta 'conforme con la IA' de un proveedor no resuelve todos los despliegues
NIS2	¿Es la organización una entidad incluida en el ámbito de la directiva y de la normativa nacional pertinente?	Gestión de riesgos, proceso de incidentes, controles de la cadena de suministro y gobernanza	No aplique por defecto una directiva dirigida a los Estados miembros a todas las instituciones de la UE
Reglamento (UE, Euratom) 2023/2841	¿Qué obligaciones de ciberseguridad afectan a las instituciones, órganos y organismos de la Unión?	Marco institucional de riesgos, responsabilidades y coordinación de incidentes	El régimen institucional requiere su propio análisis de alcance
DORA	¿Se trata de una entidad financiera cubierta o de un acuerdo pertinente con un tercero proveedor de servicios TIC?	Controles de riesgo TIC, registro contractual, pruebas de resiliencia y estrategias de salida	DORA es sectorial; no es la norma general para todos los proyectos informáticos del sector público
Reglamento de Ciberresiliencia	¿Están incluidos en el ámbito un producto con elementos digitales y un operador económico?	Gestión de vulnerabilidades, información de soporte y pruebas de conformidad	Un control de seguridad operativo y la conformidad de un producto responden a preguntas distintas
RGPD / Reglamento (UE) 2018/1725	¿Qué régimen de datos personales y qué funciones de responsable y encargado del tratamiento se aplican?	Registros de finalidad, base jurídica, minimización, conservación y acceso	La ubicación en la nube o una configuración de cifrado no bastan por sí solas para que el tratamiento sea lícito
Reglamento de Datos	¿Qué norma de acceso a los datos o de cambio de servicio de tratamiento de datos es pertinente?	Formatos de exportación, dependencias, salida contractual y pruebas de transición	La portabilidad no significa que todas las aplicaciones se trasladen sin adaptaciones
Reglamento de Gobernanza de Datos / Directiva de Datos Abiertos	¿Se trata de la reutilización de datos protegidos del sector público, de un intermediario de intercambio o de información reutilizable del sector público?	Condiciones de autorización, garantías de acceso y clasificación de los conjuntos de datos	Estos instrumentos no convierten todos los datos que se poseen en datos abiertos sin restricciones
Programa de política de la Década Digital	¿Qué capacidad o resultado de servicio de 2030 se persigue?	Indicadores de capacidades, conectividad, empresas o servicios públicos	Un objetivo político no es el certificado de seguridad de un sistema concreto

Lea el texto aplicable y las modificaciones vigentes antes de memorizar una fecha de aplicación. La entrada en vigor, la aplicación general, las obligaciones escalonadas y las obligaciones reales de notificación de una entidad pueden diferir. Por ejemplo, la Comisión distingue la notificación del Reglamento de Ciberresiliencia de sus obligaciones principales posteriores. Trate las obligaciones jurídicas, los objetivos políticos, las normas técnicas y los marcos de gobernanza voluntarios como tipos de autoridad distintos.

Gaia-X puede aportar contexto sobre la nube y los ecosistemas de datos. No es un reglamento de la UE ni una certificación jurídica general. Cualquier afirmación de soberanía sigue necesitando pruebas sobre el control de las claves, el acceso, los subcontratistas, la portabilidad y la exposición jurídica. La Ley Europea de Chips se refiere a la capacidad de semiconductores y a la resiliencia del suministro; no certifica una carga de trabajo concreta en la nube. Ajuste el instrumento a la decisión que se esté tomando.

Cuatro decisiones de alcance originales

Infraestructura: un fabricante ofrece un aparato conectado con marcado CE. Eso no demuestra que se haya probado la recuperación del servicio de la institución. Solicite por separado las pruebas relativas al producto y las pruebas de recuperación local.
Gestión de proyectos: un proveedor promete 'el cumplimiento de toda la normativa de la UE'. Antes de aprobar el requisito, pida un mapa de alcance por actor e instrumento, los responsables, las pruebas de aceptación y las dependencias pendientes.
Nubes y redes: dos proveedores utilizan servicios distintos de identidad y de bases de datos gestionadas. Una exportación de datos por sí sola no demuestra un plan de salida ejecutable. Pruebe las dependencias, el tiempo de recuperación, el acceso y la integridad de los datos.
Ciencia de datos: una prueba de referencia de exactitud no acredita un uso lícito de los datos ni una supervisión adecuada. Pregunte por separado por la finalidad prevista, las normas aplicables, la procedencia de los datos, el rendimiento por subgrupos y las decisiones humanas.

Gobernanza compartida de las TIC, seguridad y prestación de servicios institucionales de la UE