NIS2 y RGPD para MSP: tabla comparativa y arquitectura
Desplegar un plano de control autohospedado para redes en malla garantiza que metadatos, topologías y registros de auditoría permanezcan dentro del perímetro soberano del proveedor de servicios gestionados. Aunque la coordinación local simplifica las obligaciones de residencia del Reglamento (UE) 2016/679 y la Directiva (UE) 2022/2555, no sustituye las responsabilidades operativas del administrador.
Datos procesados por el servidor de coordinación en una red malla
El servidor de coordinación se comunica mediante gRPC en el puerto TCP 50051 y gestiona inventarios de nodos, claves públicas de WireGuard, direcciones fijas en 100.64.0.0/10 y registros de auditoría. Según el Reglamento (UE) 2016/679 (RGPD), los nombres de equipos, cuentas de usuario y asignaciones de red son identificadores que exigen garantías documentadas. Externalizar estos registros en arquitecturas compartidas fuera de la Unión Europea obliga a suscribir acuerdos complejos de tratamiento y evaluar transferencias internacionales de datos.
El plano de datos opera de manera aislada gracias a que cada dispositivo custodia su propio par de claves WireGuard, prescindiendo de contraseñas durante la transmisión. WireGuard es una marca registrada de Jason A. Donenfeld. Los nodos negocian conexiones directas punto a punto mediante STUN en el puerto UDP 3478. En escenarios con cortafuegos simétricos o CGNAT, el tráfico se redirige por un repetidor en el puerto TCP 4430 que reenvía paquetes opacos sin capacidad para descifrarlos, preservando la confidencialidad técnica.
Modelos de alojamiento y soberanía de datos para el MSP europeo
El paquete autohospedado consta de tres contenedores con Docker Compose: servidor de coordinación con gRPC y STUN, repetidor y base de datos PostgreSQL. Funciona sobre Linux x86_64 o arm64 con Docker Engine 24 o superior y Compose v2, requiriendo 2 vCPU y 2 GB de RAM para coordinar cientos de nodos. Este software ha sido creado en Barcelona por Sinergia, empresa que no aloja ni accede a las instancias privadas de sus clientes.
Los profesionales del soporte remoto valoran diferentes modelos de despliegue según sus implicaciones legales, tal como analizamos en Alternativas a Tailscale en 2026: tabla comparativa. Tailscale centraliza la coordinación en sus propios servidores y repetidores DERP, Headscale ofrece una alternativa libre para autohospedar el servidor compatible con clientes Tailscale, NetBird distribuye componentes abiertos autohospedados y ZeroTier emplea controladores propietarios. Alojar el plano de coordinación en infraestructura propia evita transferencias internacionales de datos según el Capítulo V del RGPD.
| Modelo de arquitectura | Residencia de metadatos | Cadena de suministro | Obligaciones para el MSP |
|---|---|---|---|
| Coordinación SaaS externa | Alojada en infraestructuras del proveedor en varias regiones | Dependencia de proveedores externos y sus subencargados | Auditar transferencias internacionales y contratos de tratamiento |
| Coordinación local autohospedada | Custodiada en un PostgreSQL propio dentro del servidor local | Limitada al hardware propio y las imágenes base de contenedores | Actualizar el sistema anfitrión, gestionar copias y aislar la red |
| Esquema híbrido con repetidor | Metadatos en sede local y paquetes cifrados vía repetidor externo | Plano de control local más infraestructura del repetidor intermedio | Monitorear repetidores y mantener fijado el certificado TLS por SPKI |
Exigencias regulatorias que el autohospedaje no resuelve por sí solo
Prialo no posee ninguna certificación bajo la Directiva (UE) 2022/2555 (NIS2), el Reglamento (UE) 2016/679 (RGPD) ni el Real Decreto 311/2022 (Esquema Nacional de Seguridad). Retener claves y metadatos en servidores propios reduce la exposición a proveedores externos, pero no constituye por sí mismo el cumplimiento normativo. El MSP debe continuar aplicando directrices de control de accesos, planes de continuidad, análisis de riesgos y mecanismos de notificación de incidentes de seguridad.
El artículo 21 de NIS2 exige a entidades esenciales e importantes medidas técnicas de gestión de riesgos cibernéticos, autenticación robusta y control de accesos. Al estructurar accesos operativos, como en SSH y RDP a servidores de clientes: paso a paso para MSP, la red en malla elimina puertos expuestos hacia Internet. Sin embargo, corresponde al MSP definir caducidades en las claves de registro, validar rutas autorizadas y revisar minuciosamente los registros de auditoría administrativa.
Comandos de instalación y verificación técnica de un nodo soberano
La incorporación de un nodo Linux o macOS al plano de control autohospedado se ejecuta fijando la huella SPKI del certificado TLS para eliminar dependencias de autoridades de certificación externas.
sudo PRIALO_AUTH_KEY='<enrolment key>' prialo install --server=control.example.com:50051 --relay=control.example.com:4430 --tls-pin=sha256:<fingerprint>- Validar la conexión cifrada confirmando que prialo status devuelva el estado Control: tls, pinned y una IP fija en 100.64.0.0/10.
- Restringir la visibilidad de redes anunciando subredes locales con prialo up --advertise-routes=192.168.50.0/24 y aprobándolas explícitamente mediante prialo node routes <router> --approve 192.168.50.0/24.
- Proteger el puerto de gestión impidiendo la exposición del puerto 8080 a Internet y accediendo al panel exclusivamente mediante un túnel SSH.
- Inspeccionar túneles activos ejecutando prialo peers, prialo ip y prialo routes para monitorizar las conexiones establecidas entre extremos.
- Revocar credenciales obsoletas configurando claves de un solo uso o desconectando equipos mediante prialo logout cuando finalice la tarea técnica.
A fecha de 2026-10-17, el servidor autohospedado y el cliente de terminal están disponibles para Linux y macOS. Para Windows existe una compilación preliminar sin instalador ni firma digital, las aplicaciones para Mac e iPhone se encuentran en fase de revisión por Apple, y el soporte para Android está en preparación.
Preguntas frecuentes
¿El plano de control autohospedado otorga certificación bajo NIS2?
El plano de control autohospedado no confiere certificación bajo NIS2. La normativa exige medidas organizativas, gestión de vulnerabilidades y políticas de continuidad que corresponden exclusivamente al proveedor de servicios, aunque el modelo local facilita las tareas de justificación técnica.
¿Cómo favorece el servidor propio el cumplimiento del RGPD?
El servidor propio garantiza que nombres de dispositivos, claves públicas y rangos RFC 6598 permanezcan en la base de datos PostgreSQL del cliente. Al no recurrir a proveedores externos de coordinación, se evitan transferencias internacionales de datos fuera del territorio europeo.
¿Puede el repetidor intermedio interceptar comunicaciones confidenciales?
El repetidor intermedio no puede descifrar el tráfico transportado. WireGuard establece un canal cifrado de punto a punto entre los extremos. El repetidor en el puerto TCP 4430 procesa paquetes a unos 23 nanosegundos por trama sin tener acceso a los datos originales.
¿Qué recursos técnicos necesita el entorno autohospedado?
El entorno autohospedado requiere un servidor Linux x86_64 o arm64 con Docker Engine 24 o posterior y Compose v2. Con 2 vCPU y 2 GB de RAM puede coordinar de forma estable y fluida redes compuestas por cientos de nodos.
¿Prefieres tu propio servidor? Guía del paquete autoalojado de prialo