Hay tres referencias útiles para comparar con los esquemas europeos de certificación de ciberseguridad: Estados Unidos, China e India. No son idénticas al modelo del Reglamento de Ciberseguridad pero cumplen funciones parecidas de “sello de confianza regulado”.

Estados Unidos: FedRAMP para servicios en la nube

Rododendro

En Estados Unidos, el referente más claro es el Programa Federal de Gestión de Riesgos y Autorizaciones (Federal Risk and Authorization Management Program, FedRAMP). FedRAMP es un programa federal que proporciona un enfoque estandarizado para la evaluación y autorización de seguridad de servicios y productos de computación en la nube utilizados por agencias federales.

• FedRAMP define un marco único para que los proveedores de servicios en la nube (cloud service providers, CSP) puedan ser evaluados frente a un conjunto de controles de seguridad basados en las publicaciones del Instituto Nacional de Estándares y Tecnología (National Institute of Standards and Technology, NIST), en particular NIST SP 800‑53

• El objetivo es evitar que cada agencia federal repita evaluaciones desde cero: se crea un modelo de riesgo y una autorización “común” reutilizable por múltiples agencias.

• Existen distintos niveles (por ejemplo, impacto bajo, moderado o alto), que determinan la intensidad de los controles y el tipo de datos que pueden alojarse en ese servicio.

• FedRAMP exige supervisión continua y revisiones periódicas, y mantiene un listado de servicios autorizados que las agencias

En la práctica, para muchos proveedores cloud, disponer de autorización FedRAMP se ha convertido en un requisito de acceso al mercado federal. Es un esquema sectorial (Administración federal, servicios en la nube) y no un marco horizontal tan amplio como el de la Unión Europea, pero ilustra bien cómo una combinación de estándares NIST y un programa federal de certificación crea un “sello” obligatorio de facto.

China: Esquema de Protección Multi‑nivel (MLPS 2.0) y certificaciones asociadas

En la República Popular China, el núcleo no es un único esquema de certificación, sino el Esquema de Protección Multi‑nivel (Multi‑Level Protection Scheme, MLPS 2.0), desarrollado bajo la Ley de Ciberseguridad china (Cybersecurity Law).

• Todos los “operadores de redes” deben clasificar sus sistemas de información en niveles del 1 al 5 según su importancia para la seguridad nacional, el orden social y los derechos de los ciudadanos.

• A partir de cierto nivel (por ejemplo, nivel 2 o superior) se exige registro ante las autoridades; a partir de nivel 3 se requiere evaluación y certificación por instituciones de ciberseguridad cualificadas, con auditorías periódicas.​

• El esquema fija requisitos crecientes de seguridad técnica, gestión interna, monitorización y respuesta a incidentes, alineados con el nivel asignado.​

Además, China exige y promueve distintos certificados específicos para productos y servicios:

Camelia blanca

• Certificación de equipos y productos de red considerados “críticos” o de uso masivo.

• Requisitos particulares para proveedores de servicios en la nube, como uso de centros de datos ubicados en China, medidas reforzadas de control de perímetro, autenticación, copias de seguridad, etc.

• Interacción con otras normas, como la Ley de Seguridad de Datos (Data Security Law) y la Ley de Protección de Información Personal (Personal Information Protection Law), que añaden capas de obligaciones.

A diferencia del modelo europeo, el Esquema de Protección Multi‑nivel (MLPS 2.0) está íntimamente ligado al control estatal de infraestructuras y datos: la clasificación y certificación tienen una fuerte dimensión de seguridad nacional y control regulatorio, no solo de “sello de confianza” para el mercado.

India: empanelamiento MeitY para servicios en la nube

En la India, un referente importante es el sistema de empanelamiento del Ministerio de Electrónica y Tecnologías de la Información (Ministry of Electronics and Information Technology, MeitY) para proveedores de servicios en la nube utilizados por organismos públicos.

• El Ministerio de Electrónica y Tecnologías de la Información (MeitY) define criterios de seguridad, interoperabilidad, portabilidad de datos, acuerdos de nivel de servicio y condiciones contractuales que deben cumplir los proveedores de servicios en la nube que quieran prestar servicios a la Administración y al sector público.

• Los proveedores son auditados por la Dirección de Certificación de Pruebas y Calidad (Standardisation Testing and Quality Certification, STQC) y, si superan la evaluación, se “empanelan”, es decir, se incluyen en una lista de servicios autorizados para uso gubernamental.​

• Entre los requisitos figuran el alojamiento de datos dentro del territorio de la India, el cumplimiento de estándares internacionales (como ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, ISO/IEC 20000) y el ajuste a guías de seguridad específicas del Gobierno indio.l

Llegan las camelias

De nuevo, se trata de un esquema focalizado en servicios en la nube para el sector público, que funciona como filtro: sin empanelamiento del Ministerio de Electrónica y Tecnologías de la Información (MeitY), un proveedor no puede competir en ciertos contratos o proyectos gubernamentales. No es tan amplio ni formalizado como el marco europeo de certificación, pero refleja una lógica similar