«Resiliencia» está en el título del real decreto de centros de datos. En el articulado, no

Hoy a las cinco de la tarde se ha cerrado el plazo de alegaciones de un borrador de real decreto que condiciona el permiso de acceso a la red eléctrica de los centros de datos españoles. Se tramita por vía urgente desde el 25 de agosto y la audiencia pública ha durado dos semanas, contando la ampliación. El título de la norma enumera cuatro materias: sostenibilidad energética, medioambiental, resiliencia y soberanía digital. Nos fuimos a buscar la tercera. Está en el encabezado del artículo 5. Leído entero, ese artículo no crea ni un solo requisito de resiliencia.

Leímos el borrador el 30 de agosto y ya escribimos sobre él —de la parte eléctrica, que era la que ocupaba todos los teletipos: el número que decide no es el 80 % renovable, es un PUE de 1,15—. No hemos presentado alegaciones y no vamos a fingir que sí. Una audiencia pública de dos semanas, en agosto, sobre un texto que puede tumbar un permiso de acceso a la red, se le pasa a mucha gente. Lo que traemos hoy es lo que aquel día no miramos: el artículo que lleva la palabra «resiliencia» en el encabezado.

Lo primero, y va en tu contra como titular: esto no te obliga a ti

El artículo 2 fija el ámbito y es corto de leer. Las obligaciones se aplican a los centros de datos cuya potencia de acceso sea igual o superior a 1 MW, y a los grupos de centros situados en la misma ubicación y de la misma titularidad que agregados lleguen a esa potencia. Hay una excepción hacia abajo: el artículo 14, el de publicar información, alcanza a quien tenga 500 kW o más de potencia de tecnología de la información, con independencia de su potencia de acceso. Y quedan fuera los centros destinados en exclusiva a defensa, protección civil y seguridad pública.

Traducido a lo que tenemos delante todas las semanas: 1 MW de potencia de acceso es un edificio. El armario del cuarto técnico no llega, la media docena de servidores de la oficina tampoco, y una sala pequeña con su SAI y su clima dedicado, tampoco. Si alguien te vende que «hay una nueva normativa para tus servidores», te está vendiendo algo. Esto regula a quien construye y opera centros de datos, no a quien tiene infraestructura dentro de uno.

Es la misma lectura que hicimos con el AI Act y lo que te aplica de verdad: la primera pregunta ante un texto normativo es a quién obliga.

La palabra que está en el título y no está en el articulado

El artículo 5 se llama «Requisitos de resiliencia y soberanía digital». Su apartado 2 enumera los requisitos con seis letras, de la a) a la f), y las seis son de soberanía: establecerse en la Unión Europea; que los datos, metadatos y registros de la operación permanezcan en la UE; controlar y trazar los accesos de soporte o mantenimiento hechos desde terceros países; identificar y supervisar por contrato a los subcontratistas directos; adoptar medidas frente a requerimientos de autoridades de terceros países que sean contrarios al Derecho de la Unión o al nacional y no se amparen en un acuerdo internacional en vigor; y cualquier compromiso voluntario adicional. Resiliencia, cero.

Antes de seguir, la objeción que se le puede poner a lo anterior, porque existe y está dentro del propio texto: el artículo 4.1.a) llama a esa declaración «relativa a los requisitos de resiliencia y soberanía digital», y la disposición transitoria quinta se titula «Aplicación de los requisitos de resiliencia y soberanía digital». Dos sitios más donde la palabra aparece y no tiene nada detrás. El apartado 8 lo confirma en vez de desmentirlo: las medidas adicionales para sistemas críticos o esenciales «deberán estar previstas en dicha normativa o haber sido impuestas mediante resolución de la autoridad sectorial competente». Siempre otra norma. Lo más parecido a un objetivo de resiliencia que hay en el articulado es el final de la letra c), y va de accesos desde terceros países: que no «comprometan su autonomía operativa».

Vamos a decir algo que no se espera de un post con este titular: nos parece bien. Duplicar NIS2 dentro de un decreto de acceso a la red eléctrica habría creado dos autoridades preguntando lo mismo con formularios distintos, que es exactamente el tipo de cumplimiento que no protege nada. El apartado 4 evita eso.

La resiliencia sí reaparece una vez con efectos, y merece la pena mirar dónde: en la disposición final primera, que añade un párrafo al Real Decreto 1183/2020 para que los criterios de los concursos de capacidad de demanda en que participen centros de datos incluyan, «en su caso», criterios de resiliencia y soberanía digital. Tres palabras, «en su caso», que la convierten en potestativa. Es decir: la resiliencia entra en el texto como criterio para repartir megavatios entre proyectos, no como garantía que nadie le deba a un cliente.

La consecuencia es la que llevamos años repitiendo y que ahora tiene un documento oficial detrás: nadie te va a regalar la disponibilidad por decreto. Ni este ni el que venga. El fallo del suministro, del disco o de la persona es inevitable; el tamaño de la avería lo decides tú antes, cuando eliges arquitectura, contrato y procedimiento. Lo escribimos hace tres días con un caso donde la pareja redundante la deshacía un procedimiento, no una avería, y sigue valiendo aquí: la resiliencia sale de decisiones que firmas tú.

Soberanía del centro no es soberanía de tus datos

Que la etiqueta de soberanía va sobre el edificio y no sobre tu carga ya lo sostuvimos el 30 de agosto citando la letra b) del apartado 2 —«sin extenderse a los sistemas, datos o servicios de sus clientes sobre los que no tenga acceso ni control»—, y no lo vamos a repetir entero: está en aquel post. Lo que sí conviene añadir es de dónde sale esa limitación, porque no es una interpretación nuestra: el apartado 2 arranca acotándose a sí mismo, «se limitarán a los elementos sometidos al control directo o contractual del obligado», y esa frase gobierna las seis letras.

De las seis letras, la que más nos interesa profesionalmente es la c): controlar y mantener la trazabilidad de los accesos y las operaciones de soporte o mantenimiento realizados desde terceros países. Eso es el plano de gestión privilegiado de toda la vida —quién puede entrar en la infraestructura, desde dónde y con qué queda registrado—, que es el mismo problema que ya contamos desde dentro cuando hablamos de la consola que gestiona tus equipos. Si el borrador sobrevive con esa letra intacta, habrá conseguido algo sensato: que alguien tenga que escribir en un papel quién tiene la llave y desde qué país la usa.

La cláusula que sí te va a llegar, y te llegará por contrato

El apartado 3 del artículo 5 es el que hay que leer dos veces. Prohíbe que los centros de datos incluidos en el ámbito alojen sistemas de información del Esquema Nacional de Seguridad que traten datos bajo control del sector público, o vinculados a la seguridad o la defensa nacional, salvo que todo se trate, almacene y transfiera exclusivamente dentro de la Unión Europea. Y ese «todo» viene enumerado: los datos, los metadatos, los datos de telemetría, los registros, las réplicas y las copias de seguridad.

Que un texto normativo nombre expresamente las réplicas y las copias de seguridad es poco frecuente y es una buena noticia, porque es justo donde se rompe. Casi todo el mundo sabe dónde vive el dato primario. Bastante menos gente sabe dónde acaba la tercera copia, en qué región del proveedor de turno y bajo qué contrato. Nosotros preguntamos eso en cada revisión y la respuesta tarda, de media, más de lo que la gente espera.

La parte que te alcanza a ti está en el párrafo siguiente. Los obligados «incorporarán a sus contratos la obligación de identificar, antes de su alojamiento, los sistemas y datos sujetos a este apartado, y de trasladar la prohibición establecida en él a los clientes, proveedores y subcontratistas». Ahí no hay ambigüedad: es una cascada contractual. Si el texto sale así, aparecerá una cláusula nueva en el contrato de alojamiento de mucha gente que no ha leído este decreto ni piensa leerlo.

Y viene el reparto de la culpa, que es la frase que conviene tener subrayada si alojas trabajo de administración pública: el incumplimiento no será imputable al obligado cuando derive de información omitida o inexacta facilitada por un cliente, proveedor o subcontratista que no hubiera podido detectar aplicando la diligencia exigible, y siempre que acredite haber puesto la cláusula en sus contratos y haya cortado el incumplimiento en cuanto lo supo. Léelo al revés, que es como te va a llegar: si no declaras que ese sistema es ENS, el problema es tuyo.

Los números que pueden acabar en el precio de tu rack

De la parte eléctrica escribimos entero el 30 de agosto —el PUE de 1,15, el WUE de 0,1 y la escala de recargos del artículo 10—, así que aquí solo dejamos lo justo para entender por dónde llega la factura: el artículo 4 condiciona el otorgamiento de los permisos de acceso y conexión a acreditar soberanía, eficiencia y renovables; el artículo 10 llega a multiplicar por seis la parte regulada de la factura eléctrica; y el artículo 11 permite acabar en la pérdida de los permisos de acceso y conexión. La palanca es el enchufe.

Lectura nuestra, y la declaramos como lectura: esos recargos no los paga el operador con cargo a su simpatía, acaban en el precio del kilovatio que te repercute y, por tanto, en el precio del rack. Hay otro detalle que nos ha llamado la atención más que los porcentajes: la disposición adicional segunda abre una ventana de seis meses para renunciar a solicitudes o permisos aún no conectados sin que se ejecuten las garantías depositadas, mientras la disposición transitoria tercera da seis meses a los proyectos con permiso y sin conectar para acreditar el cumplimiento, y si no lo acreditan los permisos caducan con ejecución de garantías. Eso es una salida ordenada para proyectos que no van a llegar. Cuánta capacidad anunciada se retirará por esa puerta no lo sabemos, y no vamos a inventar un número.

Un apunte a favor del texto, porque no todo es carga: el artículo 5.1 permite que el operador incorpore compromisos voluntarios de soberanía estratégica digital, incluida la reserva de capacidad de almacenamiento o de cómputo para empresas españolas o de la Unión Europea, con su porcentaje y su plazo. Y esos compromisos cuentan como criterio en los concursos de capacidad. Es el único sitio del borrador donde encontramos a alguien ganando megavatios por comprometerse a reservarte sitio.

Y con todo esto, aún no está en vigor

Conviene decirlo alto porque es la parte que las noticias se dejan. Es un borrador: la fecha del Consejo de Ministros que lo aprobaría está escrita en el texto como «XXX». La disposición final quinta dice que entrará en vigor a los veinte días de publicarse en el BOE, y todavía no se ha publicado. La disposición adicional tercera permite modificar por resolución la cuota renovable, los valores de PUE y WUE y los porcentajes de cobertura. Y hay una capa más de espera: la disposición transitoria quinta difiere la exigibilidad del artículo 5 salvo dos piezas: su apartado 9 y el párrafo segundo de su apartado 1, que es justo la declaración responsable que se presenta al gestor de red al solicitar los permisos y que el artículo 4 exige. El resto espera a la orden ministerial que fije el modelo, y luego hay seis meses para presentarla. El grueso de la soberanía digital no tiene fecha; la declaración previa, sí.

Así que no tomes ninguna decisión de compra apoyándote en esto, y desconfía de quien te la proponga. Lo que sí puedes hacer es preparar las preguntas, que no caducan aunque el texto cambie.

Cinco cosas que puedes hacer sin esperar al BOE

1. Pregunta la potencia de acceso de la sala donde estás. Es un dato que tu proveedor conoce y tú probablemente no. Marca si le aplica el decreto entero o solo la parte de publicar información, y por tanto qué te va a acabar trasladando.
2. Pregunta el PUE, y anota la respuesta. Hoy es un dato comercial que cada uno cuenta como quiere. El artículo 14 obliga a los de 500 kW de potencia TI en adelante a remitir antes del 15 de mayo los indicadores del Reglamento Delegado (UE) 2024/1364, y al Ministerio a publicarlos en su portal. Cuando eso ocurra, tendrás dónde comparar lo que te dijeron.
3. Si tocas sector público, identifícalo tú primero. El borrador dice que el incumplimiento no es imputable al operador si el cliente omitió la información. Haz la lista de qué sistemas tuyos entran en el ENS antes de que te llegue el formulario, no después.
4. Averigua dónde está tu tercera copia. No la primera, que esa la sabe todo el mundo: la réplica y el backup del backup, con su región y su contrato. El texto los nombra expresamente, y es la pregunta que más veces se queda sin respuesta cuando la hacemos.
5. No confundas la declaración de tu proveedor con una garantía de tu servicio. Nada de este decreto habla de tu tiempo de recuperación ni de tu punto de recuperación. Esas dos cifras siguen saliendo de tu diseño y de tu contrato, y si no las tienes escritas, no las tienes.

Lo que no afirmamos

No somos abogados y esto no es asesoramiento jurídico: es la lectura de un operador que monta y mantiene infraestructura, hecha sobre el PDF del borrador. No afirmamos que el texto final vaya a mantener el umbral de 1 MW, los recargos ni los valores de PUE y WUE, entre otras cosas porque la propia norma prevé cambiarlos por resolución. No damos ninguna cifra sobre cuánto encarecerá esto el alojamiento, porque no la tenemos. Y no decimos que el artículo 5 esté mal por no exigir resiliencia: decimos que quien lea el título y espere encontrar ahí una garantía de disponibilidad se va a llevar un chasco.

Nota de fuentes

Todo lo que este post afirma sobre el contenido de la norma sale de dos documentos primarios descargados hoy, 10 de septiembre de 2026, del portal del Ministerio para la Transición Ecológica y el Reto Demográfico, en el trámite de audiencia e información pública del «Proyecto de Real Decreto por el que se regulan los requisitos de sostenibilidad energética, medioambiental y de resiliencia y soberanía digital aplicables a los centros de datos»: el PDF del proyecto de real decreto y la resolución de ampliación de plazo. Del proyecto proceden el ámbito de aplicación del artículo 2 (1 MW de potencia de acceso, agregación por ubicación y titularidad, 500 kW de potencia TI para el artículo 14 y las exclusiones de defensa, protección civil y seguridad pública); el encabezado y las seis letras del artículo 5.2, incluido su acotamiento al control directo o contractual y la exclusión expresa de los sistemas y datos de los clientes; el artículo 5.3 con la prohibición relativa al Esquema Nacional de Seguridad, la enumeración de metadatos, telemetría, registros, réplicas y copias de seguridad, la cascada contractual y el reparto de responsabilidad ante información omitida o inexacta; el artículo 5.4 y su remisión a la normativa de cada entidad y a la transposición de NIS2; los compromisos voluntarios de soberanía estratégica digital del artículo 5.1; el artículo 6 y la disposición transitoria cuarta (clase «A», PUE 1,15, WUE 0,1 y el incumplimiento grave a los dos años consecutivos); los artículos 7, 8 y 9 (cuota renovable, 80 % de cobertura, dieciocho meses de antigüedad del acta de puesta en servicio, correlación horaria); el artículo 10 con la escala de recargos del 500, 400, 300 y 100 % y el 65 % con diez puntos por año; el artículo 11 sobre pérdida de permisos; el artículo 14 sobre publicidad de la información y la fecha del 15 de mayo; la disposición adicional segunda sobre renuncia sin ejecución de garantías; la disposición adicional tercera sobre modificación de umbrales; las disposiciones transitorias tercera y quinta; y las disposiciones finales primera y quinta, incluido el «en su caso» del párrafo añadido al Real Decreto 1183/2020. De la resolución de ampliación proceden las fechas: acuerdo de Consejo de Ministros del 25 de agosto de 2026 autorizando la tramitación urgente, publicación del anuncio el 27 de agosto, plazo inicial hasta el 4 de septiembre y ampliación hasta el 10 de septiembre de 2026 a las 17:00. Es lectura NUESTRA, y no del documento: que la ausencia de requisitos propios de resiliencia sea buena técnica normativa; que los recargos acaben repercutidos en el precio del alojamiento; que la ventana de renuncia sea una salida ordenada para proyectos que no van a llegar; y las cinco recomendaciones del checklist. No damos cifras de mercado, de precios ni de capacidad, y no afirmamos nada sobre el contenido del texto final, que todavía no existe. Que everyWAN opera hardware propio en datacenter y presta colocation es información propia. La fotografía de portada es «Systems testing in the service switchgear room of a power substation located in Queens», de MTA Capital Construction Mega Projects, publicada en Wikimedia Commons bajo licencia Creative Commons BY 2.0 y recortada para este uso.