La facturación en la nube suele encajar cuando se busca acceso sencillo y operación delegada; una instalación propia puede encajar cuando existen requisitos justificados de control, red local o personalización. Ninguna opción es intrínsecamente más segura, rápida o económica: decide comparando responsabilidades, continuidad, coste total, integración y facilidad de salida.
Primero aclara qué estás comparando
“Nube” puede significar SaaS, una aplicación alojada o un servidor virtual; “instalación propia”, un equipo local o infraestructura alquilada, administrada interna o externamente. La ubicación no revela quién actualiza, hace copias o responde a una incidencia.
Explicación: compara dos modelos operativos completos: aplicación, infraestructura, conectividad, soporte, datos, personas y contratos. Recomendación: descarta propuestas que asignen tareas críticas sin concretar su alcance.
| Criterio | SaaS en la nube | Instalación propia o autogestionada | Pregunta de decisión |
|---|---|---|---|
| Operación | El proveedor suele operar aplicación e infraestructura | La empresa coordina más capas o contrata su gestión | ¿Quién realiza cada tarea y cómo lo demuestra? |
| Actualizaciones | Más frecuentes y con calendario del proveedor | Mayor control de ventana, con riesgo de retrasarlas | ¿Cómo se prueban cambios y cuánto puede aplazarse un parche? |
| Acceso | Diseñado habitualmente para conexión remota | Puede priorizar red local y requerir acceso remoto seguro | ¿Desde dónde trabaja el equipo durante una incidencia? |
| Personalización | Limitada a configuración, API y extensiones admitidas | Puede ofrecer más libertad y más mantenimiento | ¿La diferencia aporta valor sostenible? |
| Escalado | Puede ampliarse por plan, consumo o petición | Exige prever y adquirir o provisionar capacidad | ¿Qué picos existen y cuánto tarda la ampliación? |
| Salida | Depende de exportaciones y condiciones contractuales | Hay más acceso técnico, pero los formatos pueden seguir siendo propietarios | ¿Puede reconstruirse la operativa fuera del sistema? |
Seguridad: compara controles y capacidad de operarlos
Hecho: externalizar no transfiere todas las obligaciones. Si el proveedor trata datos personales por cuenta del cliente, deben definirse las condiciones del encargo; la AEPD señala que el responsable debe elegir y supervisar al encargado con diligencia. Revisa también medidas, subencargados y transferencias cuando correspondan.
En SaaS, pregunta por autenticación, permisos, cifrado aplicable, registros, vulnerabilidades, incidentes y separación de clientes. En una instalación propia, añade protección física, red, acceso remoto, parches, detección, monitorización y custodia de credenciales. Un equipo local sin esos controles no es automáticamente más seguro.
Recomendación: aplica controles proporcionales al riesgo y solicita evidencias. El ENS tiene un ámbito legal definido; sus medidas sobre responsabilidades y continuidad pueden orientar otros casos, pero usar esos conceptos no demuestra conformidad con el ENS ni certificación ISO.
Continuidad: convierte “hay copias” en RPO y RTO
El RPO limita la antigüedad aceptable del punto recuperado y la posible pérdida de datos; el RTO, el tiempo objetivo para recuperar el servicio. Ambos deben partir del impacto del incidente. Un SLA de respuesta de soporte no equivale a un RTO de restauración.
Prueba la recuperación completa
| Control | Qué debe comprobarse | Resultado que se documenta |
|---|---|---|
| Copia | Base de datos, adjuntos, configuración, claves y versión | Alcance, fecha, retención y ubicación |
| Separación | Un mismo incidente no afecta al original y a todas las copias | Dependencias y escenarios cubiertos |
| Restauración | El sistema arranca y los documentos se abren | Tiempo real, errores e integridad verificada |
| Operación alternativa | Cómo se trabaja durante la caída y cómo se reconcilia después | Responsable, instrucciones y ejercicio realizado |
INCIBE recomienda adecuar las copias al negocio y comprobar la recuperación. En SaaS, averigua qué puede restaurarse y cuánto tarda; una copia global quizá no recupere un único elemento. En instalación propia, usa alertas, copias separadas y pruebas periódicas. Registra siempre si se cumplen RPO y RTO.
Rendimiento e integraciones: mide el recorrido completo
La nube depende de la conectividad; una instalación local puede rendir bien en la oficina y peor desde otras sedes. Mide en horas de carga la consulta, emisión, adjuntos, exportaciones, cierres e integraciones. Más recursos no corrigen una consulta o un conector mal diseñados.
Inventaría API, webhooks, importaciones, dispositivos, bancos, tienda, ERP y correo. Define para cada enlace autenticación, dato principal, reintentos, duplicados, monitorización y respuesta al fallo. Confirma versiones y coste de mantenimiento; consulta también cómo evaluar plugins e integraciones de gestión.
Calcula el TCO sin ocultar trabajo interno
Para el coste total de propiedad —TCO— usa el mismo horizonte. En SaaS incluye alta, cuota, usuarios, módulos, almacenamiento, API, soporte, migración y salida. En instalación propia incluye infraestructura, licencias, administración, copias, seguridad, renovaciones, conectividad y personal. En ambas suma integraciones, paradas y cambios de versión.
Una cuota puede ser previsible y crecer con el uso. La infraestructura propia también debe operarse y renovarse. Compara escenarios normal, crecimiento e incidente, y registra las hipótesis.
Lee el SLA y la matriz de responsabilidades juntos
- Servicio, horario y componentes cubiertos por el SLA.
- Método de cálculo de disponibilidad y exclusiones por mantenimiento.
- Severidades, tiempo de respuesta, actualización y restauración si se compromete.
- Responsable de aplicación, sistema, base de datos, red, copias y seguridad.
- Canal de incidentes y personas autorizadas para cambios urgentes.
- Dependencias de otros proveedores y coordinación entre ellos.
- Informes o evidencias disponibles para revisar el servicio.
Explicación: un SLA no evita fallos; fija expectativas medibles. En una instalación propia, la empresa puede tener que coordinar aplicación, alojamiento y red. En SaaS suele haber un interlocutor, pero hay que comprobar sus exclusiones.
Diseña la reversibilidad antes de elegir
La salida requiere más que un CSV. Comprueba maestros, documentos, rectificativas, vencimientos, adjuntos, relaciones e historial. Define formatos, campos, tiempo, coste, consulta posterior y eliminación de copias cuando proceda. Abre una exportación de prueba sin depender de la aplicación.
La instalación propia no garantiza reversibilidad si sus datos requieren conocimiento especializado; un SaaS puede facilitarla con exportaciones completas y probadas. Para cambiar, utiliza una lista de control de migración y no mantengas dos sistemas editables sin conciliación.
Secuencia de decisión en siete pasos
- Describe procesos, datos, usuarios, sedes y periodos críticos.
- Fija RPO, RTO, rendimiento y controles de acceso a partir del impacto.
- Inventaría integraciones y restricciones reales de conectividad.
- Compara al menos un SaaS y una opción propia o gestionada con el mismo guion.
- Revisa contrato de datos, SLA, responsabilidades, copias y salida.
- Prueba tareas, carga, restauración y exportación con datos controlados.
- Decide por evidencia y reevalúa cuando cambien volumen, normativa o dependencia.
Recomendación final: elige SaaS cuando su servicio probado cubra tus requisitos y quieras delegar operación; elige instalación propia cuando el control adicional resuelva una necesidad concreta y puedas sostenerlo. Si necesitas recursos reservados sin asumir toda la administración, compara también una instalación de facturación dedicada.
Fuentes oficiales y primarias consultadas
- INCIBE: copias de seguridad, guía de aproximación para el empresario (consulta: 11 de agosto de 2026).
- AEPD: directrices para contratos entre responsables y encargados del tratamiento (PDF; consulta: 11 de agosto de 2026).
- CCN-CERT: guía CCN-STIC 823 sobre seguridad en entornos cloud (PDF; continuidad, SLA y finalización; consulta: 11 de agosto de 2026).
- BOE: Real Decreto 311/2022, Esquema Nacional de Seguridad (texto consolidado; consulta: 11 de agosto de 2026).