FAQ - Preguntas frecuentes

Lympha Technologies S.r.l. es un Service Provider y Systems Integrator con domicilio social en Bolonia (Via Guglielmo Marconi, 32) y sede operativa en Castel San Pietro Terme (BO). Diseña, gestiona y protege centros de datos, granjas de servidores y sistemas informáticos para la Administración Pública local, la sanidad, las grandes empresas y las pymes.

Lympha es una antigua divinidad romana de las aguas dulces, una de las doce divinidades duces de los agricultores romanos. Del mito derivan tres significados clave: savia (lo que nutre y hace crecer), límpido (claridad y transparencia), inspiración y sabiduría (conocimiento que fluye desde la fuente).

Desde 2010, cuando el proyecto «Lympha Tech» fue reconocido como idea empresarial innovadora en el sector TIC para la difusión de la virtualización y la computación en la nube. En 2011 nace la S.r.l., incubada por ASTER en el proyecto WeTECH-OFF. Desde 2014, la colaboración con Executive Service (hoy EXE.IT S.r.l. SB), con la que se construyó el Green Data Center 00GATE.

La empresa está estructurada en 8 unidades de negocio especializadas (CNS, PRJ, PCS, SEC, AED, NOC, NET, OTS) con centros de competencia integrados que operan verticalmente dentro de su propia unidad y transversalmente en apoyo de las demás, o directamente integrados en el departamento informático del cliente.

Es uno de los tres pilares de nuestra visión: construimos valor a largo plazo, anticipando los cambios y acompañando las decisiones de los clientes. Evitamos el vendor lock-in, incluso cuando nos afecta a nosotros mismos.

Nuestro Green Data Center se llama 00GATE y está en Castel San Pietro Terme (BO), en Via Antonio Meucci, 24/i/2. Los datos permanecen exclusivamente en Italia.

Correo electrónico: info@lymphatech.it — Teléfono: +39 051 0981815 — Sede operativa: Via Antonio Meucci, 24/c — 40024 Castel San Pietro Terme (BO). En el sitio web hay disponible un formulario de contacto con selección del área de interés.

No, no nos hemos adherido al Climate Neutral Data Center Pact, que es una iniciativa voluntaria de autorregulación con objetivo en 2030. La opción de 00GATE fue otra: diseñarlo desde el principio para no producir emisiones —estructura de madera, free cooling sin refrigeración, energía 100% renovable— y hacerlo verificar por un organismo externo con la certificación Green Accredia®.

Sí, y están declaradas: Libraesva, Oplon y Veeam. Siguen siendo opciones, no ataduras: nuestro planteamiento es neutral respecto al fabricante e integramos tecnologías de código abierto (OpenStack, PostgreSQL, Ollama) o comerciales según el caso de uso, sin vincularos a un único proveedor, nosotros incluidos.

Ocho: CNS (diseño de centros de datos), PRJ (continuidad de negocio y recuperación ante desastres), PCS (servicios de nube privada y consultoría TI), SEC (seguridad TI), AED (aplicaciones, ERP y desarrollo), NOC (Network & Security Operations Center), NET (redes y comunicaciones unificadas), OTS (externalización).

No tenemos una oferta vertical dedicada a la moda y el lujo: los sectores que cubrimos con contenidos y competencias específicas son la Administración Pública local, la sanidad, las grandes empresas y las pymes. Los servicios de continuidad operativa, protección del dato y nube privada son, sin embargo, transversales y se dimensionan sobre el proceso crítico del cliente, sea cual sea su sector.

No tenemos una especialización vertical en la industria manufacturera ni una oferta OT/ICS dedicada. Lo que aportamos a una empresa industrial es lo que hacemos para todos: continuidad operativa dimensionada sobre el BIA, protección del dato, nube privada y cobertura NOC 24×7×365. Si el alcance incluye redes industriales, hay que valorarlo conjuntamente caso por caso.

Desde 2010: el primer proyecto de Lympha fue un sistema de virtualización de código abierto basado en OpenStack, en años en los que la nube privada era todavía una apuesta. Esa raíz permanece en el planteamiento actual: estándares abiertos y ninguna atadura a una pila propietaria.

Somos una pyme estructurada: organización en ocho unidades de negocio con centros de competencia integrados, procesos formalizados y sistema de gestión de la calidad certificado ISO 9001:2015. El tamaño nos mantiene ágiles; la organización nos permite sostener proyectos empresariales y acuerdos marco públicos.

El LEI (Legal Entity Identifier) es el código internacional único que identifica a las entidades jurídicas en los mercados financieros. Es un indicador de transparencia y cumplimiento, especialmente relevante para clientes del sector financiero.

El domicilio social está en Bolonia (Via Guglielmo Marconi, 32). La sede operativa está en Castel San Pietro Terme, en Via Antonio Meucci 24/c, y el Green Data Center 00GATE se encuentra en la misma calle, en el número 24/i/2: son dos direcciones distintas. Operamos en todo el territorio nacional con el modelo SPOC en remoto e intervenciones presenciales programadas.

El ITSM (Information Technology & System Management) es el gobierno operativo diario de los sistemas: activos, procedimientos recurrentes, niveles de responsabilidad y calidad del servicio. Estructuramos la gestión según las buenas prácticas ITIL.

SPOC = Single Point Of Contact: una única entrada para los usuarios y para el departamento informático del cliente. Detrás, un Help Desk de front y back office filtra, clasifica y encamina cada solicitud hacia el soporte remoto o la intervención presencial, sin idas y venidas.

KMDB (Knowledge Management Database): base de conocimiento compartida que se enriquece con cada ticket cerrado. CMDB (Configuration Management Database): mapa de activos (números de serie, fichas técnicas, configuraciones) siempre actualizado.

Cada incidente sigue un macroproceso formalizado: notificación por teléfono/correo/ticket → asignación al SPOC → clasificación y consulta de CMDB/KMDB → resolución remota o cola presencial con prioridad (VIP o estándar) → cierre del ticket y actualización de las bases de datos.

SLA = Service Level Agreement: tiempos de asignación y resolución acordados y medidos. Los informes periódicos permiten juzgar el servicio por los números, no por las impresiones.

Sí. En nuestro SPOC se pueden delegar tareas recurrentes como la gestión de incidentes en los puestos de trabajo, los puestos nuevos o las sustituciones, las instalaciones de software y la gestión de cuentas, todas ellas con catálogo de servicios estándar y procesos trazados.

Inventario y gestión de activos y configuraciones; procesos de gestión de incidentes, solicitudes y cambios; procedimientos recurrentes gobernados (actualizaciones, verificaciones, mantenimientos); informes y SLA acordados.

No. Nuestro centro de competencia se integra con vuestro departamento informático: ninguna sustitución, sino un refuerzo. Las políticas y las decisiones siguen siendo de vuestro responsable de TI.

El FinOps es la disciplina que gobierna los costes de la nube con visibilidad y responsabilidad. Lo aplicamos en el VDC GREEN (cuota de pago por uso sin umbrales de consumo) y ayudamos a los clientes a optimizar el gasto en entornos híbridos.

Sí, cuando el proyecto lo requiere: canalizaciones CI/CD, contenedorización y automatización de la infraestructura, ejecutadas dentro del perímetro del cliente. El VDC GREEN expone API REST precisamente para poder ser gobernado con estas herramientas.

Usamos metodologías ágiles en el desarrollo de software (AED) con entregas iterativas, retroalimentación continua y corrección del rumbo. Para la infraestructura aplicamos ciclos Plan-Do-Check-Act (PDCA).

Sí. El catálogo de servicios estándar forma parte del modelo SPOC: cada servicio (puesto nuevo, sustitución, instalaciones) está descrito con SLA, plazos y responsabilidades definidos.

Sí. Además de la gestión de incidentes, realizamos análisis de causa raíz para prevenir recurrencias, enriqueciendo el KMDB con soluciones alternativas definitivas.

Cada cambio sigue un proceso formalizado: solicitud → evaluación del impacto → aprobación → planificación → implementación → verificación → cierre documentado.

Sí. Informes periódicos (mensuales/trimestrales) con KPI de servicio: tiempos de respuesta, resolución en el primer contacto, disponibilidad, tickets abiertos y cerrados por categoría.

Sí. El CMDB incluye no solo el hardware, sino también las licencias de software, con vencimientos, renovaciones y optimización (por ejemplo, identificación de licencias sin uso).

Sí. El proceso de puesto nuevo incluye el aprovisionamiento de la cuenta, la asignación de permisos y la configuración del software según catálogo, con registro de auditoría completo.

En el co-sourcing, las políticas y las decisiones siguen siendo de vuestro responsable de TI, mientras que nosotros gestionamos las tareas operativas repetitivas. Es un modelo intermedio entre la internalización y la externalización total.

Sí. Los parches de sistema operativo, middleware y aplicaciones se programan, se prueban en un entorno de preproducción y se despliegan en ventanas acordadas, con informes de cumplimiento.

Usamos herramientas de código abierto de ticketing, inventario y descubrimiento, integradas con el CMDB y el KMDB. Es una decisión coherente con el resto: ninguna atadura de licencia sobre el sistema que custodia el histórico de vuestro servicio, y la posibilidad de llevároslo.

Sí. Nuestro SPOC soporta entornos multiplataforma: Windows, macOS y Linux, con procedimientos específicos para cada sistema operativo.

Los usuarios críticos (directivos, roles clave) tienen colas prioritarias en el sistema SPOC, con SLA de asignación reducidos y escalado directo.

Sí, como paquete del catálogo SPOC: creación de la cuenta, dotación de hardware y software, formación básica, integración con Active Directory y sistemas de recursos humanos.

Sí. El proceso incluye: recuperación del activo, borrado seguro de datos (wiping), actualización del CMDB y, en su caso, reutilización o eliminación certificada como residuo electrónico.

Sí. Monitorizamos las tendencias de uso para anticipar necesidades de ampliación (almacenamiento, cómputo, red), integrando la planificación de capacidad con el DCMM.

Notificaciones programadas por correo o ticket con preaviso, ventana temporal acordada e informe posterior a la intervención con verificación del correcto funcionamiento.

Sí. ITAM completo con inventario físico y lógico, trazabilidad del ciclo de vida, optimización de costes, cumplimiento de licencias e informes para la dirección.

Sí, sobre todo en el VDC GREEN, donde cada cliente tiene su propia pila aislada. La gestión multiinquilino es nativa en nuestra arquitectura OpenStack.

Es el gobierno estratégico de todos los servicios TI: cuáles activar, cuáles retirar, en cuáles invertir. Lo integramos con el gobierno de TI para alinear la informática con el negocio.

El KMDB es una base de conocimiento organizada en artículos categorizados (incidentes resueltos, soluciones alternativas, procedimientos), consultable por operadores y usuarios finales.

Sí. Podemos actuar como intermediarios frente a otros proveedores (operadores de internet, fabricantes de software, otros MSP), coordinando SLA, escalados e informes.

Con la valoración al cerrar el ticket y con los informes periódicos de servicio, que son la verdadera medida: tiempos de asignación y resolución, resolución en el primer contacto, disponibilidad. Las revisiones con el cliente se acuerdan en el contrato de servicio.

El NOC opera 24×7×365 sobre la monitorización de sistemas, redes y aplicaciones. El Service Desk dirigido a los usuarios, en cambio, tiene un horario definido en el contrato, con ampliaciones nocturnas o festivas donde sean necesarias: son dos servicios distintos y deben dimensionarse por separado.

DPaaS (Data Protection as a Service) es el servicio de copia de seguridad gestionada con cuota de pago por uso: costes siempre bajo control, sin inversión inicial. Abre la puerta a la recuperación ante desastres también a quien no tiene presupuesto para grandes proyectos.

Son las dos métricas de la continuidad operativa: RPO (Recovery Point Objective) = cuántos datos puedo permitirme perder; RTO (Recovery Time Objective) = con qué rapidez debo reanudar. Están definidos en el vocabulario ISO 22300 y los usan la ISO 22301 y la ISO/IEC 27031. Quien fija su valor es el análisis de impacto en el negocio, no el catálogo tecnológico.

La protección del dato no es un producto, sino una posición en un continuo. A la izquierda, la copia de seguridad (costes bajos, reanudación en días u horas); en el centro, el Rapid Data Recovery (minutos o segundos); a la derecha, la Continuous Availability (cero pérdida de datos, coste más alto).

El modelo de siete niveles (SHARE 1992, después IBM) describe con qué rapidez se reanuda. Los niveles bajos viven solo en el Core Site con copia de seguridad y replicación asíncrona: reanudación en días u horas. Los niveles intermedios añaden un sitio de DR con replicación síncrona y servidores en espera: minutos o segundos. Los niveles altos son alta disponibilidad entre sitios, con objetivo de cero pérdida de datos.

Sí. La protección es coherente con el RGPD y con las políticas de la empresa, y los datos se custodian en un centro de datos de emisiones cero en Italia.

La cuota es de pago por uso: costes siempre bajo control, sin inversión inicial (CAPEX). Es un coste operativo (OPEX) dimensionado por contrato.

El DPaaS es la puerta de entrada a la recuperación ante desastres. Con nuestro recorrido guiado en 5 fases (evaluación/BIA → arquitectura objetivo → seguridad → implantación y pruebas → mejora continua) se progresa de forma estructurada.

Tener copias no significa saber reanudar. La diferencia la marcan cuatro cosas: objetivos claros (RTO y RPO), un análisis de impacto (BIA), pruebas de restauración reales y alguien que vigile los trabajos cada día.

Elegimos la tecnología según el caso de uso, no según el catálogo: entre los socios tecnológicos declarados está Veeam para copia de seguridad, replicación y recuperación frente a ransomware, y usamos soluciones de código abierto donde son la respuesta adecuada. En todos los casos, la infraestructura de destino es nuestro centro de datos y la supervisión corresponde al NOC.

El CDP es una técnica que captura cada modificación de los datos en tiempo real, permitiendo restauraciones a cualquier punto en el tiempo. Es útil para bases de datos y cargas de trabajo de alta transaccionalidad.

El Vault Backup es una copia inmutable de los datos, protegida frente a borrados accidentales o ransomware, conservada en un entorno aislado (air-gapped).

Sí, bajo petición configuramos retención inmutable (WORM) para proteger frente a ransomware y manipulaciones internas, en línea con la buena práctica 3-2-1-1-0.

Sí: 3 copias de los datos, 2 soportes distintos, 1 fuera de las instalaciones (en nuestro centro de datos), 1 sin conexión o inmutable, 0 errores gracias a pruebas de restauración periódicas.

Sí, con tecnologías específicas para la virtualización VMware (vSphere, vCloud Director), copia a nivel de máquina virtual, restauración a nivel de fichero e instant recovery.

Sí: SQL Server, PostgreSQL, Oracle y MySQL con copia consciente de la aplicación, consistencia garantizada y recuperación a un punto en el tiempo.

Sí. Copia de correo de Exchange, SharePoint, OneDrive y Teams con retención configurable y restauración granular, porque Microsoft garantiza el servicio pero no los datos del usuario.

Las cargas en contenedores se pueden proteger como las demás, pero hay que decidir qué es realmente el dato: los volúmenes persistentes y las configuraciones, no los contenedores, que por definición se recrean. Es una valoración que hay que hacer en el proyecto, junto con quien gestiona el clúster.

Sí, con deduplicación, compresión y replicación hacia nuestro centro de datos Green para lograr la máxima eficiencia en costes y espacio.

Sí, forma parte del DPaaS: cuota de pago por uso, infraestructura incluida, monitorización desde el NOC y pruebas de restauración periódicas.

No existe una retención «habitual»: se define en el contrato a partir de las obligaciones normativas del sector y de los resultados del BIA. Un esquema recurrente alterna copias diarias a corto plazo, semanales y mensuales a medio plazo y copias anuales donde la conservación viene impuesta por ley, pero es un punto de partida, no una tarifa.

Sí, todas las copias se alojan en el centro de datos 00GATE de Castel San Pietro Terme (BO), nunca en el extranjero.

Con inmutabilidad, air-gap lógico, segmentación de red, monitorización de anomalías, autenticación multifactor y pruebas de restauración verificadas.

Un SLA específico que define: frecuencia de las copias, retención, RPO, tiempos de restauración, informes y pruebas periódicas.

Sí, las cargas de trabajo en AWS, Azure o GCP también se pueden copiar hacia nuestro centro de datos para soberanía del dato y protección frente al lock-in.

Sí, configurable entre el Core Site y el sitio de DR, de forma síncrona o asíncrona según el RPO objetivo.

El NOC monitoriza 24/7 todos los trabajos, con alertas automáticas ante fallos, informes e intervención proactiva.

Sí, cifrado extremo a extremo AES-256 tanto en tránsito como en reposo, con claves gestionadas según la política del cliente.

La recuperación ante desastres es lo que separa un incidente gestionado de una parada del negocio. La continuidad de negocio es el nivel superior: sistemas que no se detienen nunca (Continuous Availability, cero pérdida de datos), típicamente en arquitectura de tres centros de datos.

El BIA es el análisis que ordena los procesos de la organización, mide qué ocurre si cada uno de ellos se detiene y define el RTO y el RPO por nivel de criticidad. Es el BIA el que establece los objetivos de recuperación, no el catálogo tecnológico.

El DRP es el plan estructurado que describe cómo reactivar los servicios críticos tras un evento desastroso, con estudio de viabilidad, comparación de mercado, diseño de los subsistemas, ejecución y pruebas periódicas.

Un plan sin probar no es un plan. Una parada de la actividad no es el momento adecuado para descubrir que la copia de seguridad no funciona o que los procedimientos están incompletos. Las pruebas con tiempos cronometrados forman parte integral del servicio.

ISO 22301 (continuidad operativa), ISO/IEC 27031 (puente entre continuidad y seguridad de la información), ISO/IEC 27001 (control 5.30 de la versión de 2022: preparación TIC planificada y probada).

Para organizaciones con servicios críticos: sanidad, Administración Pública local, industria, finanzas, y para cualquiera que haya calculado cuánto cuesta una hora de parada.

Sí. La integración con la protección del dato y el NOC es natural: quien monitoriza sabe también cómo reanudar. Todo el programa sigue el ciclo Plan-Do-Check-Act.

Es el desplazamiento del objetivo del sistema al proceso: no «cuánto tardo en volver a encender el servidor», sino «el proceso continúa mientras el incidente está en curso». Requiere arquitecturas activas en varios sitios y es la franja alta del continuo, la que en nuestro esquema se llama continuous availability.

Sí: infraestructura de reanudación en nuestro centro de datos, procedimientos de conmutación y retorno documentados y pruebas periódicas con tiempos cronometrados. Los objetivos de RTO y RPO no son una tarifa: se derivan del análisis de impacto en el negocio y se escriben en el contrato de servicio, donde se convierten en compromisos verificables.

No existe un porcentaje válido para todos: depende del RTO y el RPO requeridos, del volumen de datos y de cuánto haya que replicar. La ventaja estructural del DRaaS es otra: el modelo de pago por uso transforma una inversión inicial (CAPEX) en una cuota (OPEX) y hace alcanzable la recuperación ante desastres también a quien no podía permitirse un segundo sitio. El dimensionamiento parte siempre del BIA.

Sí, pruebas periódicas obligatorias: de mesa (simulación), conmutación parcial y conmutación completa, con informe y remediación.

El RTO no se elige de un catálogo: se deriva del análisis de impacto en el negocio y después se compra la arquitectura capaz de sostenerlo. En el continuo se va desde la copia de seguridad (reanudación en horas o días) al rapid data recovery (minutos) hasta la continuous availability (ininterrumpida). El valor garantizado se escribe en el contrato de servicio tras la evaluación, y debe demostrarse con pruebas cronometradas.

Depende de la arquitectura elegida: con replicación síncrona el objetivo es cero pérdida de datos, con replicación asíncrona se mide en minutos, y solo con copia de seguridad periódica se mide por el intervalo entre dos copias. Cuál es sostenible para vosotros lo establece el BIA, que relaciona el dato perdido con el daño que produce.

Sí, para cargas con requisitos de RTO exigentes. La conmutación se orquesta mediante sistemas de monitorización y orquestación.

El failback es el retorno al entorno primario después del incidente. Lo gestionamos con procedimientos documentados, sincronización de datos y pruebas de coherencia.

Sí. Arquitecturas híbridas (on-premise + VDC + nube pública) con DR orquestado a través de todos los entornos.

Los planes de DR incluyen escenarios de recuperación tras un ciberataque (ransomware, brecha de datos), con restauración desde copias inmutables y procedimientos de saneamiento.

Nuestra aportación termina donde termina la informática, y conviene decirlo: BIA, objetivos de RTO y RPO por proceso, arquitecturas de continuidad, pruebas cronometradas y gestión de incidentes. Un plan de continuidad de negocio completo incluye también personas, logística y proveedores no informáticos: son ámbitos que siguen correspondiendo a la organización o a sus consultores.

Es la parte que se refiere a las personas y a las comunicaciones durante un evento grave: quién avisa a quién, con qué plazos y hacia qué interlocutores. No es un servicio que prestemos. Lo que ponemos a disposición es el presupuesto técnico: escalados trazados, estado de los sistemas conocido en todo momento y tiempos de restablecimiento medidos, para que quien comunica sepa lo que está diciendo.

En el perímetro informático sí, y forma parte del razonamiento sobre la continuidad: de qué proveedores depende un servicio crítico, qué ocurre si uno se detiene, qué alternativas existen. La evaluación del riesgo de suministro en toda la cadena de la organización es, en cambio, un ejercicio más amplio, que corresponde a la propia organización.

Con planes de continuidad que abarcan también a las personas y no solo a los sistemas: trabajo en remoto para las funciones que lo permiten, cobertura NOC que no depende de una única sede y procedimientos operativos documentados para que quien esté de turno sepa qué hacer. Los escenarios concretos se definen en el plan de continuidad junto con el cliente.

Sí. DR que implica cargas de trabajo en AWS, Azure, GCP y nuestro VDC, con orquestación centralizada.

Un documento operativo paso a paso que describe cómo activar el DR: quién hace qué, en qué orden, con qué herramientas y verificaciones.

Al menos anualmente o con ocasión de cambios significativos (nuevos sistemas, fusiones y adquisiciones, cambios normativos).

Las pruebas planificadas forman parte del servicio y se acuerdan en el contrato: un plan de continuidad sin probar no es un plan. Las sesiones adicionales o fuera de programa se presupuestan aparte.

Evaluación de vulnerabilidades y pruebas de penetración con informes personalizados; seguridad de las aplicaciones web; ingeniería inversa y revisión de código; gestión de registros, análisis de datos y correlaciones; gestión de identidades y control de accesos; respuesta a incidentes (malware, brechas de datos).

Es el primer nivel de análisis: verificamos que los componentes principales estén configurados según las buenas prácticas del fabricante y los estándares del sector, con atención a la segregación (SAFE), al modelo de permisos (principio de mínimo privilegio) y a las funcionalidades esenciales.

Sí. La prueba de penetración de red evalúa la accesibilidad y la exposición de los componentes críticos: mapeo de puertos y servicios expuestos, vulnerabilidades conocidas, políticas de segmentación y cortafuegos. Lo abordamos con un doble punto de vista: ciberseguridad y sistemas e infraestructura.

Es una prueba específica para escenarios en los que bots y agentes de IA interactúan con los sistemas PAM. Verificamos si pueden manipularse mediante inyección de instrucciones, jailbreak o abuso de los flujos de autorización, para obtener accesos no autorizados.

Sí. Si la plataforma está integrada con SSO (SAML 2.0, OIDC, AD/LDAP), verificamos su implementación: validación de los flujos de autenticación, gestión de las sesiones y robustez de la cadena de confianza.

Gestión de malware y brechas de datos con análisis del vector de entrada y de las conexiones remotas; saneamiento del sistema de información y corrección de la vulnerabilidad explotada; intervención con SLA personalizados, incluso dentro de las 24 horas siguientes a la llamada.

Es un WAF prestado como servicio gestionado, que protege las aplicaciones web frente a ataques como la inyección SQL, el XSS y otras amenazas OWASP, sin necesidad de hardware dedicado.

Al finalizar las actividades elaboramos un informe detallado con los hallazgos clasificados por nivel de riesgo —crítico, alto, medio, bajo— e indicaciones prácticas de remediación para cada evidencia.

Sí. Las indicaciones de la ACN sobre la nube para la Administración Pública y la directiva NIS2 exigen soberanía y localización del dato, además de medidas de seguridad adecuadas. Nuestra nube privada es un perímetro dedicado, en Italia.

Un SOC (Security Operation Center) es la estructura que monitoriza, detecta y responde a los incidentes de seguridad de forma continua. Lo que Lympha tiene es el NOC —Network & Security Operations Center— activo 24×7×365 sobre la monitorización de sistemas, redes y aplicaciones, con procedimientos de escalado y gestión de incidentes. Las actividades de análisis ofensivo (evaluaciones y pruebas de penetración) se prestan como proyectos desde la unidad de negocio SEC, no como servicio continuo.

Es la búsqueda proactiva de amenazas ya presentes en una infraestructura, en lugar de esperar una alerta. No lo prestamos como servicio continuo: nuestro ámbito son las evaluaciones y las pruebas de penetración por encargo, la gestión de incidentes y la cobertura del NOC. Cuando se necesita una capacidad de hunting continua, hay que construirla con vosotros como proyecto específico.

Es el trabajo conjunto entre quien ataca (Red Team) y quien defiende (Blue Team), pensado para que cada simulación produzca una mejora defensiva medible en lugar de una simple calificación. Nuestra aportación habitual está del lado analítico: pruebas de penetración, revisión de configuración y arquitectura y plan de remediación con los hallazgos ordenados por riesgo.

Es la simulación realista de un atacante avanzado que intenta comprometer una organización con varios vectores a la vez: phishing, ingeniería social, exploits, movimiento lateral. Es un ejercicio distinto de la prueba de penetración perimetral que prestamos nosotros, que tiene objetivo y alcance acordados de antemano.

Es la recopilación y el análisis de información sobre actores, técnicas e indicadores de compromiso, empleada para anticipar los ataques en lugar de sufrirlos. No la prestamos como servicio de suscripción: las fuentes de inteligencia públicas alimentan nuestro trabajo de evaluación y la gestión de vulnerabilidades.

El PAM (Privileged Access Management) es la plataforma que custodia y controla las cuentas privilegiadas: credenciales en una bóveda, grabación de las sesiones, acceso concedido solo cuando hace falta, flujos de aprobación. Es el perímetro sobre el que se construye nuestra evaluación de seguridad: quien controla el PAM tiene las llaves del reino, y hay que verificar que solo las use quien debe.

Refuerzo de los sistemas de mensajería (correo electrónico, chat) con protección frente al phishing y la suplantación (SPF, DKIM, DMARC) y cifrado extremo a extremo.

Es la seguridad pensada para entornos de contenedores: análisis de las imágenes, protección en tiempo de ejecución, aplicación de políticas y red de confianza cero entre servicios. Nos ocupamos de ella cuando el perímetro a evaluar los incluye, dentro de las evaluaciones de configuración y arquitectura.

Integración entre los equipos de seguridad y de operaciones para una respuesta más rápida a los incidentes, automatización de los manuales de actuación y reducción de los tiempos de remediación.

Modelo de seguridad que no confía en nada por defecto: verificación continua de identidad, dispositivo y contexto para cada acceso a los recursos.

Los principios de confianza cero —verificación continua de la identidad, mínimo privilegio, segmentación— son aquellos con los que evaluamos las arquitecturas en nuestras evaluaciones, en particular en la revisión de configuración y arquitectura y en la revisión de SSO e integración de identidades. Ahora bien, un programa completo de confianza cero es un recorrido plurianual de la organización, no un producto que se instala.

El EDR (Endpoint Detection & Response) vigila los dispositivos finales y registra sus comportamientos sospechosos; el XDR extiende la misma lógica a la red, la nube y la identidad. Son tecnologías que encontramos instaladas en los clientes y cuya configuración y eficacia verificamos en las evaluaciones; su gestión continua se valora caso por caso.

Programa estructurado de análisis, priorización y remediación de vulnerabilidades con KPI e informes continuos.

Es la reproducción de las tácticas y técnicas de un atacante concreto, catalogadas en marcos como MITRE ATT&CK, para verificar si las defensas resisten precisamente frente a ellas. Es una práctica especializada que no figura en nuestro catálogo: nuestro ámbito son las pruebas de penetración sobre redes, aplicaciones y —esto sí es una especificidad— agentes y bots basados en LLM.

Sí: la prueba de penetración de LLM verifica si los bots y agentes basados en modelos de lenguaje pueden manipularse mediante inyección de instrucciones, jailbreak o abuso de los flujos de autorización, hasta obtener accesos no previstos. Es el punto donde se encuentran nuestro trabajo sobre la IA y el de seguridad: los construimos, así que sabemos dónde mirar.

SLA de intervención en un plazo de 24 horas, equipo dedicado, procedimientos de contención, erradicación y recuperación, y lecciones aprendidas.

VDC GREEN es nuestro servicio de centro de datos virtual: entornos virtuales dedicados (cómputo, almacenamiento y red) aislados y escalables, alojados en nuestro Green Data Center 00GATE. Cada recurso (vCPU, vRAM, almacenamiento, red) escala de forma independiente.

Cada VDC vive en una pila de infraestructura aislada: lo que está dentro de tu perímetro es tuyo, incluidas las VLAN y las redes virtuales con control detallado sobre las reglas del cortafuegos. En la nube pública, algunos elementos permanecen lógicamente compartidos entre clientes.

On-premise: licencias CAPEX, escalabilidad limitada, mantenimiento a cargo del departamento informático interno. VDC GREEN: cuota OPEX, escalabilidad en minutos, mantenimiento gestionado, seguridad incluida, DR preparado. La diferencia es tangible en los costes totales y en la agilidad.

Cuota mensual de pago por uso acordada de antemano, sin umbrales de consumo en ningún recurso (vCPU, vRAM, almacenamiento, ancho de banda). Las licencias de software también siguen el consumo y la cuota se ajusta a la baja si se reducen usuarios o recursos.

La virtualización se apoya en tecnologías consolidadas y abiertas: nuestra raíz es OpenStack, desde 2010. La plataforma es accesible desde una única consola web y mediante API REST para la automatización DevOps.

Sí. Está certificado Green por Accredia® (el organismo nacional italiano de acreditación). La certificación para los servicios alojados es gratuita para el cliente y se publica en el registro del Green Cloud Consortium, verificable por cualquiera.

Configuración Tier III con continuidad operativa garantizada del 99,98% (un máximo de 1,6 horas de parada al año).

Sí. El centro de datos dispone de un área de housing con racks protegidos donde puedes instalar tus propios equipos, o los instalamos nosotros por ti. La conexión lógica al VDC la gestiona el soporte técnico.

Sí. Los datos permanecen exclusivamente en Italia, en nuestro centro de datos 00GATE de Castel San Pietro Terme.

Sí. Si los servicios que prestas a tus clientes viven en tu VDC, pueden obtener un certificado derivado del tuyo y mostrar el distintivo de alojamiento sostenible en sus propios sitios web.

El VDC GREEN se basa en OpenStack. Si ya habéis realizado inversiones en VMware, el punto que hay que aclarar antes que nada es el coste de las licencias y su portabilidad: es una valoración que hacemos juntos, sin dar por sentado que el mejor camino sea replicar lo existente.

El VDC GREEN se basa en OpenStack, que es nuestra raíz tecnológica desde 2010. Los entornos construidos sobre otros hipervisores se valoran como proyecto: la pregunta correcta no es qué hipervisor preferís, sino quién asume la operación de esa pila y con qué niveles de servicio.

La hiperconvergencia integra cómputo, almacenamiento y red en una única plataforma definida por software, reduciendo los componentes que hay que gestionar por separado. Es una arquitectura que valoramos al diseñar infraestructuras para los clientes; nuestro VDC GREEN, en cambio, sigue otro camino, con recursos que escalan de forma independiente unos de otros.

No como servicio de catálogo con SLA publicados. El VDC GREEN ofrece los recursos y las API sobre los que hacer vivir un clúster, y el NOC puede asumir su monitorización en el marco de un contrato de gestión: el nivel —desde el simple ticket hasta la gestión completa— se elige y puede cambiarse con el tiempo.

No es una plataforma que prestemos por catálogo. El VDC GREEN proporciona los recursos (cómputo, almacenamiento, red) y las API REST sobre los que una organización puede llevar su propia plataforma aplicativa; si el proyecto contempla OpenShift, hay que valorar juntos qué queda a vuestro cargo y qué al nuestro.

El centro de datos dispone de un área de housing con racks protegidos donde alojar hardware propiedad del cliente, útil para cargas ligadas a licencias por hardware o a necesidades de rendimiento particulares. Es un servicio de colocación con la conexión lógica al VDC gestionada por nuestro soporte técnico, no un catálogo de bare metal as a service.

Es la conectividad privada entre vuestro VDC y las nubes públicas, sin pasar por internet, para los escenarios híbridos. Hay que diseñarla junto con todo lo demás: el centro de datos está conectado a dos operadores con doble anillo de fibra, y la topología de enlace depende de las cargas que debáis mantener a cada lado.

En el VDC podemos prestar bases de datos con copia de seguridad, monitorización y actualizaciones asumidas por el NOC, según el nivel de gestión acordado. PostgreSQL es también la base sobre la que funciona nuestra plataforma RAG. El alcance del servicio —y quién responde de qué— se define en el contrato.

Sí. Evaluación, planificación, ejecución y validación de migraciones desde entornos on-premise u otras nubes hacia nuestro VDC GREEN.

Espacio de rack dedicado en nuestro centro de datos para hardware propiedad del cliente. Incluye alimentación, refrigeración, conectividad y seguridad física.

Sí. Entorno de ejecución Docker, registros privados, orquestación con K8s, monitorización y copia de seguridad de los contenedores.

Almacenamiento escalable con API compatibles con S3, ideal para copias de seguridad, archivos, lagos de datos y contenidos multimedia.

Ancho de banda garantizado, conexión a 2 operadores, conectividad redundante en fibra sobre doble anillo y peering con los principales puntos neutros.

Sí, las visitas al centro de datos 00GATE son siempre bienvenidas. Con cita previa y sujetas a los procedimientos de seguridad.

Es la idea de que los datos y las operaciones permanezcan bajo la jurisdicción de un país. Conviene leerla bien, sin embargo: un centro de datos en Europa propiedad de otros no hace soberanos vuestros datos; lo que cuenta es la propiedad, el control y la posibilidad de salir. En nuestro caso los datos permanecen en Italia, en un centro de datos que podemos enseñaros, y la pila es abierta: la salida existe.

Sí. En el VDC pueden ejecutarse entornos Windows Server, con las licencias incluidas en la cuota o aportadas por vosotros. Rige el principio del pago por uso: también las licencias siguen el consumo y la cuota se ajusta si disminuyen los usuarios.

Sí, como componente de arquitectura dentro del VDC: distribución del tráfico entre instancias, terminación TLS y comprobaciones de estado, dimensionados sobre el servicio que se va a publicar. La supervisión corresponde al NOC según el nivel de gestión acordado.

Sí. Entornos aislados para pruebas, desarrollo y control de calidad, con posibilidad de clonar producción y con costes reducidos.

Cada recurso del VDC GREEN (vCPU, vRAM, almacenamiento, red) escala de forma independiente de los demás, en minutos y sin umbrales de consumo: la cuota sigue el uso, también a la baja si reducís usuarios o recursos. Las políticas de escalado automático guiadas por métricas se configuran sobre las API REST, como parte del proyecto.

Sí. API completas para aprovisionamiento, gestión y monitorización, integrables con canalizaciones CI/CD e infraestructura como código (Terraform, Ansible).

IaaS es el VDC GREEN: recursos virtuales que gestionáis vosotros. PaaS son los servicios que asumimos por encima de esos recursos (bases de datos, entornos aplicativos), según el nivel de gestión elegido. SaaS son nuestros productos: ACME ECMS y la plataforma ACME ECMS IA & RAG Integration. En todos los casos la infraestructura es la misma y los datos permanecen en Italia.

El NOC (Network & Security Operations Center) es nuestro centro operativo, que gestiona la monitorización de servidores, redes y aplicaciones 24×7×365, actuando de forma proactiva para resolver problemas y garantizar la continuidad del servicio.

Sí. La cobertura es continua y proactiva, 24×7×365, con procedimientos de escalado inmediato para eventos imprevisibles (corte de corriente, fibra cortada).

Servidores, redes y aplicaciones de forma activa y proactiva; el funcionamiento de las redes IP; las tareas programadas (verificación de copias de seguridad, parcheado, revisión de registros); el cumplimiento de las buenas prácticas ITIL en la gestión de incidentes.

Para los eventos imprevisibles están previstos procedimientos de escalado inmediato hacia los técnicos responsables, con seguimiento completo hasta la resolución.

Sí. Cuando la cobertura abarca también los puestos de trabajo y el soporte a los usuarios, el NOC trabaja en tándem con el modelo SPOC/Help Desk: un único punto de contacto, colas con prioridad y KMDB/CMDB compartidos.

Sí. En el NOC se pueden delegar tareas repetitivas programadas como la verificación de las copias de seguridad, el parcheado y la revisión de registros, con procedimientos estándar personalizables.

Se elige el nivel y puede cambiarse con el tiempo: desde el simple ticket cuando hace falta, hasta el co-sourcing de los servidores virtuales con el NOC proactivo día y noche, pasando por la gestión completa.

Monitorización del rendimiento de las aplicaciones: tiempos de respuesta, rendimiento de proceso, errores y trazado distribuido para identificar cuellos de botella.

Monitorización proactiva mediante guiones que simulan usuarios reales: comprobaciones de disponibilidad, rendimiento y funcionalidades clave.

Sí. Rendimiento de las consultas, grupos de conexiones, retraso de replicación, bloqueos mutuos y capacidad, con alertas proactivas.

Sí. La recopilación, la indexación y las alertas sobre los registros forman parte de las tareas programadas que se pueden delegar en el NOC, junto con la verificación de las copias de seguridad y el parcheado. La elección de la pila se hace caso por caso: donde es posible, damos preferencia a componentes de código abierto, para no atar el histórico de vuestros registros a una licencia.

Evolución de la monitorización: combinación de métricas, registros y trazado para comprender el estado interno de sistemas complejos (microservicios, K8s).

La observabilidad de un sistema se diseña con el sistema, no se añade después: cuando el proyecto lo prevé implementamos la instrumentación y el NOC asume su supervisión continua. No es un paquete de catálogo con una pila predefinida.

La monitorización del funcionamiento de las redes IP forma parte del servicio NOC. En arquitecturas SD-WAN concretas, el alcance de la visibilidad depende de la plataforma del fabricante y hay que verificarlo en la fase de evaluación: la unidad de negocio NET se ocupa de redes y seguridad perimetral.

Sí. Análisis de tendencias para anticipar el agotamiento de los recursos (almacenamiento, CPU, RAM, ancho de banda) con planificación proactiva.

El NOC monitoriza sistemas, redes y aplicaciones: cuando el perímetro acordado incluye un clúster, monitorizamos su disponibilidad y sus recursos según el nivel de gestión elegido. La instrumentación específica hay que acordarla con quien gestiona el clúster.

No es un ámbito que cubramos con competencias específicas. El NOC monitoriza sistemas, redes y aplicaciones 24×7×365: si un proyecto incluye dispositivos periféricos, hay que valorar conjuntamente qué es realmente observable y con qué umbrales.

El DCIM (Data Center Infrastructure Management) es la monitorización de la infraestructura física del centro de datos: alimentación, refrigeración, espacio en los racks y condiciones ambientales. Es un componente de los Zero Emission Data Center que diseñamos para los clientes, donde sirve para mantener bajo control el consumo y la eficiencia.

Sí. Cuadros de mando e informes a medida para distintos destinatarios: técnico, de gestión, directivo y de cumplimiento.

RAG (Retrieval-Augmented Generation) conecta los modelos de lenguaje con los datos reales de la empresa —documentos, bases de conocimiento, sistemas de gestión— de modo que las respuestas sean pertinentes, actualizadas y verificables, con referencia a las fuentes.

Con los agentes damos el paso siguiente: la IA no solo responde, sino que ejecuta tareas —consulta sistemas, prepara documentos, inicia flujos— dentro de reglas y permisos definidos por el cliente.

Nuestra plataforma RAG on-premise se llama ACME ECMS IA & RAG Integration (Private, Simple & Fast RAG). Es una pila totalmente en contenedores, ejecutada sobre GPU dedicadas en una red privada aislada.

No. Todos los componentes son de código abierto, los modelos son intercambiables (Mistral, Gemma, Qwen…), no hay llamadas a servicios externos, ningún dato abandona el perímetro y no existe vendor lock-in.

Cuando un asistente documental responde mal, el problema está casi siempre en la recuperación, no en el modelo. La búsqueda que decide qué documentos lee el modelo hay que medirla antes de gastar. Nosotros usamos una recuperación híbrida (índice vectorial + grafo de conocimiento).

Además del índice vectorial, LightRAG construye un grafo de entidades y relaciones (Apache AGE sobre PostgreSQL): las respuestas conectan los hechos, no se limitan a parecerse a la pregunta.

Los modelos son intercambiables: Mistral, Gemma, Qwen y otros ejecutados mediante Ollama para los LLM y las incrustaciones, y vLLM para la reordenación. Ninguna dependencia de un único fabricante.

Usamos RAGAS, una herramienta que genera conjuntos de preguntas de prueba a partir de vuestros propios documentos y evalúa las respuestas con métricas en italiano. La calidad se mide, no se declara.

Significa procesar documentos sin que salgan del perímetro de la empresa. La pregunta de los clientes ha cambiado: ya no es «¿podemos usar la IA generativa?», sino «¿podemos procesar estos documentos sin que salgan de nuestro perímetro?». La respuesta es sí.

Búsqueda documental inteligente: consultar archivos, resoluciones y manuales con la fuente citada; asistentes internos sobre la base de conocimiento de la organización; análisis y preparación de documentos; agentes en los procesos: tareas repetitivas ejecutadas por la IA dentro de los flujos de trabajo.

Es la IA que permanece bajo el control de quien la usa: modelos, datos e infraestructura dentro de un perímetro definido. Nuestra plataforma RAG responde a este requisito del modo más directo posible: funciona on-premise sobre GPU dedicadas en una red aislada, los componentes son de código abierto, los modelos son intercambiables y ninguna llamada sale hacia servicios externos.

Es la IA que no se limita a responder, sino que ejecuta: consulta sistemas, prepara documentos e inicia flujos de trabajo, siempre dentro de reglas y permisos definidos por el cliente. Es exactamente lo que hacemos con los agentes en los procesos documentales y de autorización.

No tenemos una oferta vertical para la industria manufacturera: el mantenimiento predictivo y el control de calidad visual exigen conocimientos de dominio y datos de proceso que no son nuestro oficio. Lo que aportamos es la infraestructura para ejecutarla en vuestra casa —GPU dedicadas, red aislada, datos que no salen— y las arquitecturas RAG y de agentes sobre los documentos de la organización.

Flujo de trabajo en el que agentes de IA autónomos ejecutan tareas complejas con planificación, ejecución, validación e interacción con los sistemas.

Es el procesamiento de datos dentro de enclaves cifrados a nivel de procesador, de modo que ni siquiera quien gestiona la infraestructura pueda leerlos. No es una tecnología que empleemos: el problema que resuelve —hacer procesar datos sensibles sin exponerlos a terceros— nosotros lo abordamos antes, manteniendo el procesamiento dentro del perímetro del cliente.

La calidad de un sistema RAG hay que mantenerla bajo observación a lo largo del tiempo, no medirla una sola vez en la aceptación: con RAGAS generamos conjuntos de preguntas de prueba a partir de vuestros propios documentos y reevaluamos las respuestas en cada cambio relevante. Así se ven la deriva del comportamiento y los empeoramientos.

Combinación de búsqueda por similitud (vectores) y grafo de conocimiento (entidades y relaciones) para una recuperación más precisa. Es nuestra arquitectura LightRAG.

Sí. Mistral es uno de los modelos ejecutables en la plataforma, junto con Gemma, Qwen y otros: son intercambiables por decisión arquitectónica, de modo que la elección del modelo sigue siendo reversible y no se convierte en una atadura.

Sí. Gemma está soportado como alternativa de código abierto para cargas específicas.

Sí. La familia Qwen está disponible para escenarios multilingües o requisitos de rendimiento específicos.

Sí. Llama está entre los modelos ejecutables on-premise en la plataforma. El criterio de elección no es el nombre del modelo, sino la licencia de uso, el tratamiento del italiano y el comportamiento medido sobre vuestros documentos.

En la mayoría de los casos no hace falta, y es un punto en el que insistimos: cuando un asistente documental responde mal, el problema está casi siempre en la recuperación, no en el modelo. Primero se mide la calidad de la recuperación (usamos RAGAS sobre un conjunto de prueba en italiano) y después se valora si intervenir sobre el modelo aporta realmente algo.

Técnica que reordena por pertinencia los documentos recuperados antes de pasárselos al LLM. Usamos vLLM para la reordenación dedicada.

Son los controles sobre lo que entra y lo que sale de un sistema de IA: filtros contra los intentos de elusión, protección de los datos personales y verificación de que la respuesta siga anclada a las fuentes. En nuestra arquitectura, el primer guardarraíl es estructural: el modelo responde citando los documentos de los que ha extraído la información, de modo que la afirmación es verificable.

Es la aplicación de las prácticas DevOps a los modelos: versionado, despliegue, monitorización y reentrenamiento. En nuestra plataforma, la parte que realmente pesa es la medición continua de la calidad: con cada cambio de configuración se reevalúa el sistema con RAGAS, porque la calidad se mide, no se declara.

IA ejecutada en dispositivos periféricos (IoT, servidores de borde) en lugar de en la nube, para lograr baja latencia y privacidad.

No es un ámbito que cubramos. Nuestro planteamiento es el opuesto y deliberado: concentrar el procesamiento en GPU dedicadas dentro del perímetro de la organización, donde los datos siguen siendo gobernables, en lugar de distribuirlo entre dispositivos periféricos.

Es la técnica con la que se entrena un modelo pequeño para que reproduzca el comportamiento de uno grande, reduciendo el coste de ejecución. Es lo que hace practicable la IA «off-grid»: modelos lo bastante compactos como para funcionar en GPU dedicadas en vuestra casa, sin que los documentos tengan que salir para ser procesados.

Representación vectorial de texto o imágenes en un espacio multidimensional. Base de la recuperación en RAG.

Modelos de código abierto como Nomic, BGE y E5, ejecutados on-premise mediante Ollama.

Base de datos optimizada para la búsqueda por similitud sobre vectores. Usamos pgvector (extensión de PostgreSQL).

Representación de entidades y relaciones. Usamos Apache AGE sobre PostgreSQL para un RAG enriquecido.

Sí, dentro del perímetro del cliente: la plataforma incluye la generación de imágenes on-premise (ComfyUI con FLUX/SDXL) junto a los modelos de lenguaje, y el procesamiento de documentos que contienen texto e imágenes a la vez. Rige la misma regla que para todo lo demás: nada sale de la red aislada.

Sí. ComfyUI + FLUX/SDXL para la generación de imágenes en el ámbito de la organización sin salir del perímetro.

Marco de políticas, procesos y controles para un uso ético, conforme y seguro de la IA.

Nuestra aportación está donde el Reglamento de IA se cruza con el gobierno de la informática: inventariar los sistemas de IA en uso, clasificar su riesgo, documentar las decisiones y preparar las medidas técnicas de transparencia. Es trabajo de gobierno de TI, no asesoramiento jurídico: las calificaciones legales deben validarse con un asesor.

Es el trabajo destinado a que los contenidos puedan ser citados por los asistentes conversacionales, que cada vez con más frecuencia se sitúan entre las personas y los sitios web. Es una práctica que aplicamos ante todo a nosotros mismos: esta página existe también en Markdown y en JSON-LD precisamente para que un asistente pueda recuperarla íntegramente y citarla con precisión.

ACME ECMS es nuestra plataforma CMS para crear, organizar y publicar contenidos digitales de forma estructurada, escalable y coherente. Es un producto de Lympha Technologies (sitio específico: acmecms.it), modular y construido sobre CakePHP 5.2.

Sí. Los contenidos son utilizables por todos, un requisito de casa para quien trabaja con la Administración Pública. El CMS cumple las WCAG 2.1 AA y las directrices de la AgID (Ley italiana 4/2004).

Varios sitios y dominios desde una única instalación, con contenidos en varios idiomas coordinados y coherentes dentro del mismo flujo editorial.

El catálogo oficial cuenta hoy con 31 complementos: módulos, extensiones e integraciones que hacen crecer la plataforma sin desarrollos puntuales.

No partimos de la tecnología: partimos del proceso que hay que apoyar. Antes de escribir código mapeamos casos de uso, roles e integraciones con quienes viven el proceso cada día, y después diseñamos una aplicación que se inserta en los sistemas existentes en lugar de sustituirlos.

Siempre que es posible usamos tecnologías de código abierto: el software sigue siendo tuyo y gobernable. Estándares abiertos y propiedad del resultado = ningún vendor lock-in.

Conectamos aplicaciones y servicios en flujos coherentes y orquestados, donde cada paso es automático cuando puede serlo y humano cuando debe serlo, y siempre queda trazado.

Circuitos de aprobación (solicitudes, autorizaciones, firmas); integración entre sistemas de gestión (ERP, CRM); incorporación y aprovisionamiento; notificaciones y control de vencimientos; agentes de IA en los flujos (clasificación, resumen, preparación).

Sí. Ofrecemos un único interlocutor desde el desarrollo hasta la explotación: alojamiento en la nube privada, monitorización desde el NOC y soporte continuo. La evolución se planifica, no se sufre.

Sí. Desarrollamos soluciones con agentes y arquitecturas RAG ejecutadas on-premise, en el perímetro que el cliente controla. Somos proveedores de IA a efectos del Reglamento (UE) 2024/1689 (Reglamento de IA).

Disciplina para modelar, automatizar, monitorizar y optimizar los procesos de la organización de extremo a extremo.

Sí. Análisis de procesos, modelado BPMN, implementación de flujos de trabajo y seguimiento de KPI.

Gestión del ciclo de vida de los contenidos de la organización: creación, colaboración, publicación y archivo. ACME ECMS es nuestro ECM.

Gestión centralizada de las comunicaciones dirigidas a los clientes: documentos personalizados, multicanal y conformes con la normativa.

No como producto independiente. ACME ECMS gestiona contenidos multicanal y multiidioma desde una única instalación, y es la base sobre la que construimos las comunicaciones hacia usuarios y ciudadanos cuando forman parte de un proceso que estamos digitalizando.

Plataformas que permiten crear aplicaciones escribiendo un mínimo de código, mediante interfaces visuales.

ACME ECMS incluye módulos configurables para formularios y flujos de trabajo, que cubren los casos recurrentes sin desarrollo. Para la lógica compleja preferimos el desarrollo a medida: una plataforma low-code desplaza la atadura, no la elimina, y el software debe seguir siendo vuestro y gobernable.

Son avatares generados por IA usados para asistencia o comunicación. No los realizamos. Conviene recordar que, desde el 2 de agosto de 2026, el artículo 50 del Reglamento de IA obliga a hacer reconocible la interacción con un sistema de IA y a etiquetar los contenidos sintéticos: es una obligación que recae sobre quien los publica.

Diseñar los sistemas partiendo de las API como contrato, garantizando la integración y la reutilización.

Sí. Cada aplicación que desarrollamos tiene API REST/GraphQL documentadas como interfaz principal.

Plataforma de integración empresarial para conectar aplicaciones on-premise y en la nube mediante flujos de trabajo.

Nuestra manera de conectar aplicaciones y servicios es la orquestación de flujos y procesos: flujos en los que cada paso es automático cuando puede serlo y humano cuando debe serlo, y siempre queda trazado. Si la solución adecuada es una plataforma de integración del mercado la valoramos, pero no revendemos ninguna por catálogo.

Sí. PWA para experiencias móviles nativas sin publicación en las tiendas de aplicaciones.

No tenemos un equipo dedicado al desarrollo móvil nativo. Las aplicaciones que realizamos están diseñadas con enfoque API-first y son accesibles desde el navegador también en dispositivos móviles; si un proyecto exige una aplicación nativa, el punto hay que abordarlo abiertamente en la fase de análisis.

No es nuestro terreno: no tenemos oferta de comercio electrónico ni competencias en plataformas de este tipo. Desarrollamos aplicaciones de gestión y documentales construidas sobre el proceso: circuitos de aprobación, integraciones con ERP y sistemas de gestión, orquestación de flujos.

Es la experiencia de cliente coherente en todos los puntos de contacto: web, móvil, oficina, centro de llamadas. Es un asunto de marketing y experiencia de cliente: no es el ámbito en el que operamos, que es el de los procesos internos y los servicios digitales al ciudadano.

No. Integramos aplicaciones y servicios en flujos orquestados y trazados —es la orquestación de flujos y procesos—, pero la integración entre CRM, comercio electrónico, TPV y centro de llamadas para la vista de 360° del cliente no forma parte de nuestra oferta.

Un CMS headless separa la gestión de los contenidos de su presentación: los contenidos se publican mediante API y pueden alimentar canales distintos. ACME ECMS está diseñado con enfoque API-first, lo que permite usarlo en esta modalidad en los proyectos que lo requieran.

Cuando el problema lo justifica. No partimos de la tecnología, sino del proceso que hay que apoyar: una arquitectura de microservicios añade coste operativo, y tiene sentido si aporta una ventaja que el proceso realmente reclama. En cualquier caso, las aplicaciones se diseñan con enfoque API-first, con interfaces documentadas.

Sí, cuando el proceso lo requiere: los eventos que desacoplan los sistemas son a menudo la respuesta adecuada para integrar sistemas de gestión que no tienen por qué conocerse entre sí. La elección de los componentes se hace en el proyecto, con la regla de siempre: estándares abiertos y ninguna atadura.

Automatización de tareas repetitivas mediante bots de software. La integramos con agentes de IA para la hiperautomatización.

La automatización de los pasos repetitivos forma parte de la orquestación de flujos y procesos, y cada vez con más frecuencia la pieza que antes requería un bot la hace un agente de IA: clasificar un documento, extraer sus datos, preparar un expediente. La diferencia es que el agente trabaja dentro de reglas y permisos definidos por vosotros, y cada paso queda trazado.

El diseño de la interfaz forma parte del desarrollo, con una atención que para nosotros no es opcional: la accesibilidad WCAG 2.1 AA es un requisito de casa, porque trabajamos con la Administración Pública. No tenemos, sin embargo, un equipo de diseño independiente que ofrecer como servicio en sí mismo.

Es lo que permite que la informática se gobierne como el resto de la organización: con prioridades explícitas, presupuestos motivados, riesgos medidos y resultados comparables. Ayudamos a construir modelos de decisión, KPI de servicio y de proyecto, y gobierno de las inversiones.

El DCMM es el modelo publicado en 2011 por The Green Grid para medir la eficiencia y la sostenibilidad de un centro de datos en una escala de seis niveles (0–5) y en dos dimensiones: instalación (alimentación, refrigeración, edificio) y TI (cómputo, almacenamiento, red).

El resultado no es una nota, sino una hoja de ruta: saber dónde estás hoy para decidir a dónde ir mañana. Sirve para medir antes de invertir, dirigir las inversiones allí donde producen más valor y planificar la evolución en lugar de ir detrás de las emergencias.

No. Sus preguntas valen igual para una sala de servidores con tres racks: ¿cuánto consume la refrigeración? ¿Cuánto trabajan los servidores? ¿Los datos fríos ocupan almacenamiento caro? Lo usamos como rejilla de lectura para realidades de cualquier tamaño.

Gestionamos el ciclo de vida completo del servicio según el enfoque ITIL Service Lifecycle en cuatro fases: estrategia y diseño → transición → operación → mejora continua. Un único responsable de extremo a extremo.

Un único responsable a lo largo de todo el ciclo; fases y resultados verificables, sin zonas grises entre el proyecto y la explotación; los centros de competencia que diseñan están integrados con quienes gestionan y dan soporte.

PUE (Power Usage Effectiveness); ERF (Energy Reuse Factor); CUE (Carbon Usage Effectiveness); WUE (Water Usage Effectiveness); uso medio mensual de los servidores; eficiencia de la cadena eléctrica.

Definición de modelos de decisión (quién decide qué); KPI de servicio y de proyecto medidos a lo largo del tiempo; gobierno de inversiones, prioridades y riesgo informático; alineación continua entre la informática y los objetivos del negocio.

Environmental, Social, Governance: tres dimensiones de la sostenibilidad. Cada vez más relevantes para el acceso al crédito, las licitaciones y los inversores.

En junio de 2026, Ecomate asignó a Lympha Technologies el grado BBB del ESG SME Rating, con una puntuación global de 51/100: Environmental 45, Social 52, Governance 57. El perfil es público y la calificación se actualiza periódicamente: el valor aquí indicado es el de la evaluación de junio de 2026.

Declaraciones ambientales no verificables o engañosas. Lo evitamos con datos certificados y medibles.

Con verificaciones de terceros y no con declaraciones: la certificación Green del centro de datos se emite conforme a un reglamento técnico y se publica en el registro del Green Cloud Consortium, verificable por cualquiera; la calificación ESG la asigna un evaluador externo y el perfil es público. Cuando no publicamos un dato, no lo reivindicamos.

Marco para el gobierno económico de la nube: visibilidad, optimización, responsabilidad.

Sí. Evaluación, implantación, formación y seguimiento continuo para la optimización de los costes de la nube.

Coste total de un activo informático a lo largo de su ciclo de vida (adquisición, explotación, mantenimiento, retirada).

Sí, para comparar escenarios (on-premise frente a nube, distintos fabricantes, distintas arquitecturas).

Evolución de ITIL: incluye Agile, DevOps, transformación digital, cadenas de valor y las 4 dimensiones de la gestión de servicios.

La empresa está certificada ISO 9001:2015 (registro 19349-A, organismo Kiwa, acreditación Accredia). ITIL no es una certificación de empresa, sino un conjunto de buenas prácticas: nuestros procesos de gestión de incidentes, solicitudes y cambios están alineados con ellas, tal como se describe en las páginas de ITSM y de ciclo de vida del servicio.

Fase de ITIL para la mejora continua basada en métricas, revisiones y acciones correctivas.

Sí, y es una fase explícita de nuestro ciclo de vida del servicio, no un buen propósito: los informes de servicio producen los números y los números producen las acciones correctivas. La periodicidad de las revisiones con el cliente es la acordada en el contrato de servicio.

TOGAF es un marco de arquitectura empresarial: relaciona negocio, datos, aplicaciones y tecnología en un cuadro único. Es una de las referencias del razonamiento sobre el gobierno; el modelo que usamos operativamente para medir la madurez de la infraestructura es el DCMM de The Green Grid.

COBIT es un marco de gobierno de la informática, complementario de ITIL: donde ITIL describe cómo prestar los servicios, COBIT describe cómo gobernarlos y medirlos. En nuestro trabajo de gobierno de TI el objetivo es el mismo —modelos de decisión explícitos, KPI medidos, inversiones motivadas— con las herramientas que la organización ya usa.

Identificación, análisis y tratamiento de los riesgos informáticos con marcos de referencia (ISO 27005, NIST SP 800-30).

Sí. Evaluación estructurada con matriz de riesgo, plan de tratamiento y seguimiento.

Plano de la organización informática alineado con el negocio: procesos, datos, aplicaciones y tecnología.

Trabajamos sobre el gobierno de la informática y la madurez de la infraestructura: modelos de decisión, KPI de servicio y de proyecto, gobierno de inversiones y riesgo, y la evaluación DCMM como fotografía de partida. Un encargo de arquitectura empresarial en sentido estricto, sobre todo el perímetro aplicativo de la organización, no es nuestro oficio.

Estructura de gobierno para coordinar las iniciativas de transformación digital.

El diseño organizativo de una estructura de este tipo no es lo que vendemos. Lo que aportamos es la parte informática sobre la que una transformación se sostiene o se detiene: medir la madurez antes de invertir, definir quién decide qué y establecer KPI comparables sobre servicios y proyectos.

Valoración del nivel de madurez de un área (informática, seguridad, centro de datos) respecto a marcos de referencia (DCMM, CMMI, ISO).

El modelo que usamos es el DCMM (Data Center Maturity Model) de The Green Grid: seis niveles, dos dimensiones (instalación y TI) y, como resultado, una hoja de ruta en lugar de una nota. Funciona tanto en un centro de datos como en una sala de servidores con tres racks.

Es el instrumento con el que una organización sigue la pista de las tecnologías emergentes y decide si adoptarlas, experimentar con ellas o dejarlas estar. Es el tipo de decisión que el gobierno de TI hace explícita en lugar de dejarla a la urgencia: prioridades declaradas, inversiones motivadas, riesgos medidos.

Un centro de datos diseñado para un impacto ambiental mínimo: estructura de madera de baja transmitancia, baja densidad de infraestructura, free cooling sin refrigeración y energía 100% renovable. Nuestro 00GATE está certificado Green por Accredia® y, por cómo está construido, está entre los primeros del sur de Europa en su género.

El PUE (Power Usage Effectiveness) es un indicador nacido en 2007 que mide con qué eficiencia usa la energía un centro de datos. Un PUE de 1,0 sería perfecto (toda la energía va a la parte informática). Es el número que separa los centros de datos gestionados de los meramente padecidos.

En los centros de datos más nuevos, entre el 70% y el 90% de la energía la consumen los sistemas informáticos, precisamente la parte que el PUE no mide. Hacen falta métricas de capacidad de trabajo, de productividad por megavatio hora y las nuevas métricas de eficiencia del trabajo.

Estructura de madera para una transmitancia térmica mínima; baja densidad (50% del espacio de rack utilizado) para la disipación natural; free cooling (movimientos convectivos, sin refrigeración); temperatura de funcionamiento de unos 28 °C en lugar de los tradicionales 18–20 °C; energía 100% renovable (fotovoltaica y eólica).

Valores medios (fuente: Gartner): ≈200 g de CO₂ por un correo electrónico con 10 MB de archivos adjuntos; 250 g de CO₂ por un minuto de vídeo; 200 g de CO₂ por un SMS; 4 g de CO₂ por una página web.

Sí. En junio de 2026, Ecomate asignó a Lympha Technologies el grado BBB (ESG SME Rating) con una puntuación de 51/100: Environmental 45/100, Social 52/100, Governance 57/100.

Un centro de datos construido en suelo europeo pero propiedad de otros no hace soberanos tus datos: lo que cuenta es la propiedad, el control y la posibilidad de salir. Nosotros garantizamos que los datos permanezcan en Italia y bajo tu control.

Sí. Nuestra experiencia se ha convertido en un servicio: diseñamos Zero Emission Data Center para los clientes, centros de datos de emisiones cero alimentados con renovables, con PUE optimizado y monitorización DCIM del consumo y la eficiencia.

Son las clasificaciones del Uptime Institute sobre la redundancia de un centro de datos: el Tier III se puede mantener sin detener los servicios, el Tier IV tolera el fallo de un componente sin interrupción. 00GATE está en configuración Tier III, con continuidad operativa garantizada del 99,98%, es decir, un máximo de 1,6 horas de parada al año.

Está en configuración Tier III, con continuidad operativa garantizada del 99,98% —un máximo de 1,6 horas de parada al año— y protección física confiada a casi 200 dispositivos entre controles de acceso, detección y videovigilancia.

LEED (Leadership in Energy and Environmental Design) es una certificación internacional de sostenibilidad de los edificios que evalúa los materiales, el consumo y la calidad de los espacios. Está extendida en la edificación, centros de datos incluidos.

No. La verificación externa que hemos elegido es la certificación Green emitida conforme a un reglamento técnico y acreditada por Accredia®, publicada en el registro del Green Cloud Consortium y verificable por cualquiera. LEED se refiere a la sostenibilidad del edificio; esa certificación se refiere a la explotación del centro de datos.

El CUE (Carbon Usage Effectiveness) mide las emisiones de carbono por unidad de energía consumida por la parte informática. Es la métrica sobre la que pesa la elección de la fuente: la alimentación de 00GATE procede al 100% de fuentes renovables, y es esto —y no un mecanismo de compensación— lo que incide en el resultado.

El WUE (Water Usage Effectiveness) mide los litros de agua consumidos por unidad de energía informática. Es una métrica que pesa porque muchos centros de datos se refrigeran con agua. 00GATE no lo hace: usa free cooling por movimientos convectivos, sin instalaciones de refrigeración y, por tanto, sin consumo de agua para refrigerar.

El ERF (Energy Reuse Factor) mide qué parte de la energía consumida se recupera y se reutiliza en otro lugar, típicamente como calor residual. Es una métrica que premia a los centros de datos de alta densidad con mucho calor concentrado; 00GATE está diseñado justo al revés —baja densidad y disipación natural— y el calor recuperable es estructuralmente escaso.

La garantía de origen es el certificado europeo que acredita la procedencia renovable de la energía eléctrica. La alimentación del centro de datos procede al 100% de fuentes renovables, fotovoltaica y eólica; los certificados de nuestros contratos de suministro están publicados y son descargables en la página de sostenibilidad.

DORA (Digital Operational Resilience Act) es el reglamento europeo sobre la resiliencia operativa digital del sector financiero. No se nos aplica como tales: se aplica a las entidades financieras y, por traslación contractual, a los proveedores TIC que las sirven. Si estáis sujetos a DORA, los requisitos sobre continuidad, pruebas y gestión de incidentes deben traducirse en cláusulas contractuales: es una verificación que hay que hacer conjuntamente antes de la firma, no una declaración de conformidad por nuestra parte.

Es la iniciativa voluntaria con la que los operadores europeos de centros de datos se han comprometido a alcanzar la neutralidad climática antes de 2030, con objetivos en eficiencia, energía limpia, agua y economía circular. No nos hemos adherido: 00GATE se diseñó para no producir emisiones desde el principio, y la verificación externa que aportamos es la certificación Green de Accredia®.

Es el programa voluntario de la Comisión Europea sobre la eficiencia energética de los centros de datos, con una lista pública de participantes y adheridos. No figuramos en él: la verificación externa que hemos elegido para 00GATE es la certificación Green de Accredia®, publicada en el registro del Green Cloud Consortium.

La ISO 50001 es la norma para los sistemas de gestión de la energía, y exige medir el trabajo producido por unidad de energía consumida, no solo cuánta energía se consume. No estamos certificados en ISO 50001: la única certificación de sistema de Lympha Technologies es la ISO 9001:2015 (registro 19349-A, organismo Kiwa, acreditación Accredia).

Es la serie de normas internacionales dedicada a las infraestructuras de los centros de datos —alimentación, refrigeración, seguridad física, cableado—, análoga en su finalidad a la estadounidense TIA-942. 00GATE está en configuración Tier III y certificado Green por Accredia®; una conformidad declarada con la serie 22237 no forma parte de las certificaciones que publicamos.

El PUE instantáneo dice poco: depende de la carga y de la estación, y se presta a ser elegido en el momento más favorable. El anual, media de doce meses, es el único comparable. Vale también una premisa más incómoda: en los centros de datos recientes, entre el 70% y el 90% de la energía la consume la parte informática, es decir, precisamente aquella que el PUE no mide.

Refrigeración con aire exterior sin enfriamiento por compresor. 00GATE usa únicamente free cooling invernal y convectivo.

Es el confinamiento de los pasillos calientes, con el que se separan los flujos de aire caliente y frío para no desperdiciar refrigeración. Es una técnica pensada para salas de alta densidad: 00GATE sigue otro camino —baja densidad, la mitad del espacio de rack utilizado a propósito y disipación por movimientos convectivos naturales—.

Es la refrigeración por líquido, necesaria cuando la densidad de potencia por rack llega a ser demasiado alta para que baste el aire: es el camino de las salas dedicadas al cálculo intensivo. 00GATE va en la dirección opuesta por diseño: la mitad del espacio de rack utilizado a propósito, temperatura de funcionamiento en torno a los 28 °C y free cooling convectivo, sin instalaciones de refrigeración.

Entre los valores medios que citamos (fuente: Gartner), un correo electrónico con 10 MB de archivos adjuntos pesa unos 200 g de CO₂. Para comparar: 250 g un minuto de vídeo, 200 g un SMS, 4 g una página web. Son órdenes de magnitud, útiles para entender que lo digital sí tiene un coste ambiental.

Es la huella global de las actividades digitales de una organización: dispositivos, red, centro de datos, servicios en la nube. Medirla requiere datos que están en sitios distintos, y es una de las razones por las que insistimos en el inventario de los activos: el CMDB y la monitorización del consumo son el presupuesto de cualquier medición creíble.

Conformidad con el CAD (Decreto Legislativo italiano 82/2005): preferencia por el software de código abierto y la reutilización (artículos 68–69), accesibilidad WCAG 2.1 AA, plena conformidad con el RGPD con DPO titulado, y soberanía del dato conforme a la NIS2 y a las indicaciones de la ACN.

Los datos sanitarios son categorías especiales (artículo 9 del RGPD): garantías reforzadas, minimización y trazabilidad de los accesos. Ofrecemos continuidad y recuperación ante desastres con RTO/RPO por servicio clínico, NOC 24×7, nube privada dedicada e IA on-premise sin que los datos salgan.

La NIS2 afecta a los sectores esenciales e importantes —entre ellos la sanidad, la energía, el transporte, la Administración Pública, las finanzas y las telecomunicaciones— y exige medidas de seguridad adecuadas, planes de continuidad probados y notificación de los incidentes. Si entráis en su ámbito, los elementos sobre los que incidimos son los de infraestructura: continuidad con RTO y RPO derivados del BIA, pruebas cronometradas, gestión documentada de los incidentes y evaluaciones de seguridad. Ahora bien, la calificación de vuestra entidad como sujeto NIS2 es una determinación que os corresponde a vosotros.

Ofrecemos gobierno de TI y DCMM para gobernar inversiones a gran escala, diseño de centros de datos y gestión de instalaciones (también Zero Emission), gestión del parque de puestos de trabajo mediante SPOC con colas VIP y CMDB, y centros de competencia integrados.

Recorridos modulares por cuota: 1. Protección y continuidad — DPaaS por cuota; 2. Puestos gestionados — modelo SPOC/Help Desk; 3. Informática gestionada completa — NOC + soporte continuo.

Sí —paradas, pérdida de datos, ataques—, pero no los mismos presupuestos ni un departamento informático estructurado. El modelo de pago por uso y los recorridos modulares permiten empezar por lo que realmente hace falta y crecer cuando sea necesario.

Sí. El diseño de centros de datos y la gestión de instalaciones forman parte de la unidad de negocio CNS, con arquitecturas, planificación de capacidad y planificación de instalaciones para granjas de servidores y centros de datos.

Con el lenguaje de los acuerdos marco públicos: procesos formalizados, SLA e informes. El CMS ACME ECMS cumple el CAD y las directrices de la AgID en materia de accesibilidad.

Es el sistema que recoge en forma digital el historial clínico del ciudadano, gestionado a nivel regional. No realizamos implantaciones de FSE: nuestro papel en el sector sanitario es la infraestructura bajo las aplicaciones clínicas —continuidad, protección del dato, supervisión continua y nube privada con los datos en Italia—.

La sanidad es uno de los cuatro sectores que cubrimos. El planteamiento es el descrito en la página específica: continuidad y recuperación ante desastres con RTO y RPO definidos por servicio clínico, cobertura NOC 24×7×365, nube privada dedicada con los datos en Italia e IA on-premise para los documentos que no pueden salir. Las referencias concretas las compartimos previa solicitud.

El CAD (Codice dell'Amministrazione Digitale, Decreto Legislativo italiano 82/2005) es el marco normativo de la digitalización de la Administración Pública. Los artículos que más nos afectan son el 68 y el 69, sobre la preferencia por el software de código abierto y sobre la reutilización: es la razón por la que desarrollamos con tecnologías abiertas y el software sigue siendo del organismo.

ACME ECMS incluye el complemento Acme SpidFedera para la autenticación con SPID y Federa, y el complemento Acme LDAP para las cuentas corporativas. La integración con CIE no forma parte del catálogo de complementos publicado: si un proyecto la requiere, hay que preverla expresamente.

PagoPA no aparece en el catálogo de complementos publicados de ACME ECMS. Es una integración realizable como desarrollo a medida dentro de un proyecto para la Administración Pública, pero hay que preverla y dimensionarla: no es una funcionalidad ya disponible en el catálogo.

La integración con la aplicación IO no forma parte del catálogo de complementos publicados de ACME ECMS. Como ocurre con los demás servicios de la plataforma pública nacional, es realizable como desarrollo a medida y hay que preverla en el proyecto.

La integración con ANPR (el registro nacional italiano de la población residente) no forma parte del catálogo de complementos publicados de ACME ECMS. Es realizable como desarrollo a medida en el marco de un proyecto de servicios demográficos municipales.

Los ámbitos en los que intervenimos —migración a la nube, seguridad, digitalización de procesos, accesibilidad— son aquellos en los que muchos organismos han invertido con fondos del PNRR. Trabajamos con el lenguaje de los acuerdos marco públicos: procesos formalizados, SLA e informes. La justificación de los fondos sigue correspondiendo al organismo y a sus asesores.

Es el principio según el cual una administración debe valorar en primer lugar las soluciones en la nube y motivar su decisión si opta por otra cosa. Hay que leerlo junto con los requisitos sobre soberanía y localización del dato invocados por la NIS2 y por las indicaciones de la ACN: nuestra nube privada es un perímetro dedicado con los datos en Italia. Cuando la licitación exija la cualificación de los servicios por parte de la ACN, el requisito hay que verificarlo de antemano.

No tenemos una oferta dedicada al mundo universitario. Nuestras raíces, sin embargo, pasan cerca: Lympha nace en 2011 incubada por ASTER, el consorcio de la Región de Emilia-Romaña con la Universidad de Bolonia, el CNR y el ENEA. Los sectores que cubrimos con contenidos y competencias específicas son la Administración Pública local, la sanidad, las grandes empresas y las pymes.

No tenemos una oferta vertical para las fundaciones. Los servicios de continuidad, protección del dato, puestos gestionados y nube privada son transversales y se dimensionan sobre la organización que los solicita, sea cual sea su forma jurídica.

No tenemos una oferta vertical para el mundo cooperativo. Vale lo mismo que para las demás organizaciones: los recorridos modulares por cuota —protección y continuidad, puestos gestionados, informática gestionada completa— se eligen en función de lo que realmente hace falta y crecen con el tiempo.

No tenemos una oferta vertical para los consorcios. La infraestructura y los servicios gestionados que prestamos son los mismos, dimensionados sobre el proceso crítico de la organización: el punto de partida es siempre entender qué parada no os podéis permitir.

La habilitación en el mercado electrónico de la Administración Pública italiana debe comprobarse en el portal Acquisti in Rete, donde la lista de operadores es pública y siempre está actualizada. Para las modalidades de compra y los acuerdos marco aplicables a vuestra entidad, lo más rápido es preguntárnoslo directamente.

El Reglamento (UE) 2024/1689 es la primera regulación orgánica de la inteligencia artificial en Europa: gradúa las obligaciones en función del riesgo del sistema, desde las prohibiciones absolutas hasta las obligaciones de transparencia. Ha sido modificado por el Reglamento (UE) 2026/1744, el «Digital Omnibus sobre la IA», en vigor desde el 27 de julio de 2026, que ha reescrito algunos de sus artículos y ha retrasado los plazos relativos al alto riesgo.

Las obligaciones de transparencia del artículo 50, el régimen sancionador y la operatividad de las autoridades de vigilancia del mercado: es el plazo que el Digital Omnibus confirmó, no aplazó. Afectan a cualquiera que haga interactuar a personas con un sistema de IA o publique contenidos generados, incluidos quienes no se consideran una empresa «que hace IA».

Solo el alto riesgo, y con dos fechas distintas fijadas por el Digital Omnibus: el 2 de diciembre de 2027 para los sistemas del anexo III (artículo 6, apartado 2) y el 2 de agosto de 2028 para los integrados en productos del anexo I (artículo 6, apartado 1). Se mantienen en cambio en el 2 de diciembre de 2026 el plazo transitorio para el marcado de los contenidos generados por sistemas ya en el mercado y las nuevas prohibiciones introducidas por el Omnibus.

Es proveedor quien introduce en el mercado o pone en servicio un sistema de IA con su propio nombre, incluso cuando el modelo subyacente es de terceros; es responsable del despliegue quien lo usa bajo su propia autoridad. Esta distinción determina todas las demás obligaciones, y es la primera determinación que hay que hacer, sistema por sistema. Nosotros nos calificamos como proveedores para las plataformas que realizamos, y dejamos por escrito en el contrato qué obligaciones asumimos nosotros y cuáles quedan a vuestro cargo.

Sí. ACME ECMS cumple el CAD (Decreto Legislativo italiano 82/2005), las directrices de la AgID, la Ley italiana 4/2004 sobre accesibilidad (WCAG 2.1 AA) y el RGPD, con DPO titulado.

Las decisiones que contamos son estructurales, no añadidas después: el sistema de calidad certificado ISO 9001:2015, el centro de datos certificado Green por Accredia®, la conformidad con el RGPD con DPO titulado y la calificación de legalidad. Sobre la NIS2 y el Reglamento de IA nuestro papel es distinto y hay que decirlo con precisión: no somos nosotros quienes os hacemos conformes, pero gobernamos los aspectos de infraestructura y técnicos de los que depende vuestra conformidad.

La Agencia para la Ciberseguridad Nacional es la autoridad italiana en materia de ciberseguridad: gestiona la cualificación de los servicios en la nube para la Administración Pública y la vigilancia sobre la aplicación de la NIS2. Con la Ley italiana 132/2025 se le ha atribuido también un papel en materia de inteligencia artificial —vigilancia, inspecciones y sanciones—, mientras que a la AgID le corresponden la notificación, la evaluación y la acreditación.

CISPE (Cloud Infrastructure Services Providers in Europe) es la asociación de los proveedores europeos de infraestructuras en la nube, conocida por su código de conducta sobre protección de datos reconocido conforme al artículo 40 del RGPD. No formamos parte de ella: las verificaciones externas que aportamos son la certificación Green del centro de datos y el sistema de calidad ISO 9001:2015.

Datos de salud, biométricos, genéticos, opiniones políticas, religión y vida sexual. Requieren garantías reforzadas.

Con las garantías que los datos de categorías especiales exigen: cifrado, minimización, control granular de los accesos y trazabilidad de quién ha visto qué. Cuando tratamos estos datos por cuenta de un cliente lo hacemos como encargados del tratamiento, dentro de las instrucciones del responsable; la evaluación de impacto, cuando sea necesaria, corresponde al responsable.

Es la evaluación de impacto relativa a la protección de datos, obligatoria para los tratamientos que presentan un riesgo elevado para los derechos de las personas. Es una obligación del responsable del tratamiento: en los proyectos que implican datos de categorías especiales aportamos los elementos técnicos necesarios —medidas de seguridad, flujos, plazos de conservación— y nuestro DPO titulado puede acompañaros, pero la evaluación sigue siendo vuestra.

Figura obligatoria para la Administración Pública y para algunas entidades privadas. Ofrecemos servicio de DPO externo titulado.

Cuatro niveles: prácticas prohibidas (artículo 5), alto riesgo (artículo 6 y anexo III), riesgo de transparencia (artículo 50) y riesgo mínimo. Las sanciones siguen la misma escala: hasta 35 millones de euros o el 7% de la facturación mundial para las prácticas prohibidas, y hasta 15 millones o el 3% para las infracciones de las obligaciones de transparencia. La clasificación debe motivarse por escrito: es el primer documento que pide una autoridad.

Por lo general no: las plataformas documentales y los agentes que realizamos quedan dentro de las obligaciones de transparencia del artículo 50 o del riesgo mínimo. Pero la clasificación se hace sistema por sistema, sobre el uso concreto: el caso de alto riesgo más realista para una empresa es la selección de personal (anexo III), que a menudo es un punto ciego porque la herramienta llega de recursos humanos y no del departamento informático.

Es el procedimiento con el que se verifica que un sistema de alto riesgo cumple los requisitos del reglamento antes de introducirse en el mercado; en algunos casos requiere la intervención de un organismo notificado. El Digital Omnibus ha previsto un módulo simplificado de documentación técnica para pymes y empresas emergentes, que los organismos notificados están obligados a aceptar.

Es el marcado que acredita la conformidad de un sistema de alto riesgo y es necesario antes de su introducción en el mercado de la UE. Hay que distinguirlo de otra obligación, que llega antes y afecta a muchos más sujetos: el marcado en formato legible por máquina de los contenidos generados por IA, previsto en el artículo 50, apartado 2, a cargo del proveedor, con plazo transitorio hasta el 2 de diciembre de 2026 para los sistemas ya presentes en el mercado.

El Reglamento de IA prevé una base de datos de la Unión (artículo 71) en la que deben registrarse los sistemas de alto riesgo antes de su introducción en el mercado, con obligaciones de información a cargo del proveedor. No es un registro general de todos los sistemas de IA: para los sujetos únicamente al artículo 50, la obligación es de transparencia hacia las personas, no de registro.

El Digital Operational Resilience Act es el reglamento europeo que impone a las entidades financieras un marco estructurado de gestión del riesgo TIC: inventario de las dependencias, pruebas de resiliencia, notificación de los incidentes y cláusulas obligatorias en los contratos con los proveedores de servicios TIC. Las obligaciones recaen sobre la entidad financiera, que las traslada contractualmente a la cadena de suministro.

En los puntos donde el reglamento toca la infraestructura: planes de continuidad y recuperación ante desastres probados con tiempos cronometrados, gestión documentada de los incidentes, evaluaciones de seguridad e informes utilizables como evidencia. Las cláusulas contractuales exigidas por DORA hay que acordarlas expresamente; la calificación jurídica de la relación debe validarse con vuestros asesores.

La directiva CER (Critical Entities Resilience) se refiere a la resiliencia física y organizativa de las entidades críticas —energía, transporte, sanidad, banca— y es el complemento de la NIS2, que se ocupa en cambio de la seguridad informática. Ambas deben leerse conjuntamente: un plan de continuidad que cubra solo el incidente cibernético deja sin cubrir la mitad del problema.

Restricción geográfica sobre el lugar en el que los datos residen físicamente. Nuestros datos residen exclusivamente en Italia.

Sí. La sanidad se encuentra entre los sectores esenciales (directiva NIS2): hacen falta planes de continuidad y restablecimiento probados, no declarados.

El CAD (Decreto Legislativo italiano 82/2005), el RGPD, la NIS2, las indicaciones de la ACN sobre la nube, la accesibilidad conforme a la Ley italiana 4/2004 y a las WCAG 2.1 AA, y ahora el Reglamento de IA. Nuestra aportación está donde estas normas tocan la infraestructura y las aplicaciones: soberanía y localización del dato, continuidad probada, accesibilidad verificada y trazabilidad. Las obligaciones que recaen sobre el organismo en cuanto responsable del tratamiento siguen siendo suyas.