Para cada norma: qué exige, desde cuándo, a quién afecta y qué combinación de productos P3 te la hace cumplir sin reescribir el portfolio de proveedores.
Ninguna es opcional. Tres ya están en vigor. La cuarta es la más pesada y vence en 2026.
Risk management, incident reporting en 24h+72h, supply-chain security, board accountability. Sanciones hasta el 2% de la facturación global o 10M€.
Clasificación de los sistemas de IA por riesgo (prohibido → mínimo). Documentación técnica, gobernanza, supervisión humana, registro público. Multas hasta 35M€ o 7%.
Resiliencia ICT del sector financiero. Third-party risk, testing avanzado (TLPT), incident report, oversight de proveedores críticos. Directa sobre bancos, asset managers, IT service providers.
Transferencias fuera de la UE, bases jurídicas, DPIA, notificación de incidente en 72h. Combinado con el Cloud Act, convierte el alojamiento en la UE en una decisión técnica, no política.
Así funciona de verdad una auditoría: el auditor te pide "control X", tú muestras "producto Y configurado así". Tabla usada literalmente en nuestras propuestas.
Incluso con el mejor contrato, el mejor DPA, el mejor SCC, un proveedor estadounidense sigue sujeto a una ley estadounidense. Punto.
No es una posición política: es el texto del Clarifying Lawful Overseas Use of Data Act, firmado en 2018. Ninguna cláusula privada puede derogarlo. Ningún DPA, ningún SCC, ninguna certificación ISO. Cuando llega el requerimiento, el proveedor estadounidense elige entre cumplir la ley de EE. UU. o la de la UE. Elige siempre la de EE. UU.: es la que lo manda a prisión.
Esta es la razón por la que cada byte de cada cliente P3 vive en Europa. No es marketing, es arquitectura. Si algún día cambiara, aunque fuera para un solo cliente migrado a un servicio en región de EE. UU., nos veríamos obligados a reescribir el manifiesto. Por ahora, lo mantenemos por diseño.
Munin es la puerta de entrada. Siete días on-premise, informe archivable, entregables en tu idioma.
[ Reserva Munin ]