Qué comprobaron realmente la ANSSI y la BSI

El 17 de agosto de 2026, la agencia francesa de ciberseguridad ANSSI concedió a Nextcloud Files, versión 31.0.7.2, la certificación CSPN, el nivel básico de seguridad que el país exige en la contratación pública. Los evaluadores realizaron pruebas de vulnerabilidades y penetración sobre cinco funciones concretas, autenticación, control de acceso, protección de datos almacenados, comunicaciones HTTPS y registro, en una configuración de alojamiento local, y no reportaron incidencias. Por separado, una instalación de Nextcloud operada por Dataport, el proveedor público de TI de varios estados alemanes, funciona ahora dentro de un entorno certificado bajo el esquema BSI IT-Grundschutz, integrado en el propio sistema de gestión de seguridad de Dataport en lugar de certificarse como producto independiente.

Una certificación, dos países

Lo que convierte dos aprobaciones nacionales separadas en una sola historia es el reconocimiento, no la casualidad. La BSI alemana trata formalmente la CSPN de la ANSSI como equivalente a su propio esquema acelerado, la Beschleunigte Sicherheitszertifizierung, porque ambas se corresponden con el mismo estándar europeo, la EN 17640, construido para ser compatible con la Ley de Ciberseguridad de la UE. En la práctica, eso significa que un proveedor ya no necesita pasar dos auditorías nacionales separadas para demostrar la misma garantía de seguridad en los dos mayores mercados de contratación pública de la UE; una sola certificación hace ahora el trabajo de dos.

La promesa de la Ley de Ciberseguridad de la UE, puesta a prueba

La Ley de Ciberseguridad se redactó bajo la premisa de que un único esquema de certificación paneuropeo podía sustituir a 27 regímenes nacionales fragmentados, reduciendo el coste duplicado de cumplimiento para cualquier proveedor que venda a través de fronteras. Gran parte de esa promesa había seguido siendo teórica porque los esquemas de la ley aún se están construyendo; el reconocimiento entre la ANSSI y la BSI es uno de los primeros casos en que funcionó visiblemente para un producto real, y quien se benefició no fue un gigante tecnológico estadounidense, sino una plataforma de colaboración de código abierto que la mayoría de los compradores públicos europeos todavía no elige por defecto.

Qué cambia para quien compra

Para cualquier organización de la UE o el Reino Unido que valore una alternativa alojada en la UE a Microsoft 365 o Google Workspace por motivos de cumplimiento, el cambio práctico es menos fricción en la contratación: una certificación en la que ya confía su homólogo público alemán ahora vale también en un concurso francés, y viceversa, sin un nuevo ciclo de auditoría. Eso no hace que Nextcloud sea por sí sola más segura que los proveedores establecidos, y cubre una versión de producto y una configuración de alojamiento concretas, no cada instalación. Pero es el primer caso de referencia transfronteriza al que un equipo de compras puede señalar de verdad, en lugar de limitarse a la propia afirmación de cumplimiento de un proveedor.

Leer a continuación: Francia saca su base de datos sanitaria de Azure  |  Una capa de IA soberana ya habla la API de OpenAI