Naturgy ha completado junto a Kyndryl la modernización de su sistema de identidad digital con un modelo de identidad zero trust basado en la nube, autenticación resiliente y validación continua de accesos. La energética asegura que la práctica totalidad de sus aplicaciones corporativas ya autentican contra la nueva plataforma, un cambio que desplaza una pieza sensible de la arquitectura tecnológica hacia un esquema pensado para verificar cada acceso de forma dinámica.
Kyndryl presenta el proyecto como la primera implantación integral de este tipo dentro del IBEX 35. La afirmación procede de la propia tecnológica y no viene acompañada de una comparación pública detallada con las arquitecturas de identidad del resto de compañías del índice. Aun así, el alcance descrito sitúa el proyecto más allá de una migración puntual de credenciales: la identidad pasa a convertirse en uno de los controles centrales para decidir quién accede, desde qué entorno y bajo qué condiciones.
Naturgy concentra la identidad zero trust en la nube
La transición afecta a los sistemas de autenticación corporativa y, según las compañías, deja ya a casi todas las aplicaciones conectadas con la plataforma cloud. El cambio reduce la dependencia de mecanismos distribuidos o heredados y facilita aplicar políticas comunes de acceso, aunque la información pública disponible no identifica el proveedor concreto de la plataforma de identidad ni detalla qué aplicaciones han quedado fuera de la migración.
Ese matiz importa porque zero trust describe una arquitectura y un conjunto de principios, no un producto cerrado. El National Institute of Standards and Technology de Estados Unidos, una de las referencias técnicas más utilizadas en este ámbito, define este enfoque como un desplazamiento desde defensas estáticas basadas en el perímetro de red hacia controles centrados en usuarios, activos y recursos. La autorización debe ser dinámica y la confianza puede reevaluarse durante la sesión, en función de las políticas y del riesgo observado.
Para una compañía energética, el impacto operativo va más allá del inicio de sesión. La gestión de identidades conecta empleados, proveedores, aplicaciones y servicios cloud con recursos corporativos de distintos niveles de criticidad. Centralizar ese control permite aplicar criterios homogéneos y simplificar la administración, pero también eleva la importancia de la disponibilidad del sistema de autenticación. De ahí el énfasis en la resiliencia: una capa de identidad indisponible puede convertirse en un cuello de botella para múltiples servicios internos.
Jesús Sánchez, CISO de Naturgy, vincula la iniciativa con la hoja de ruta de la compañía hacia la nube. «Este proyecto representa un paso clave en nuestra hoja de ruta hacia la nube, reforzando un componente tan crítico como la gestión de identidades. Nos permite ganar en seguridad, eficiencia y capacidad de adaptación a las necesidades del negocio», señala.
La validación continua cambia el modelo de acceso
El elemento diferencial está en la validación continuada. En arquitecturas tradicionales, la red corporativa y una autenticación inicial podían otorgar un nivel elevado de confianza al usuario durante buena parte de la sesión. Los modelos zero trust introducen evaluaciones más frecuentes, ligadas a la identidad, el dispositivo, el recurso solicitado o señales de comportamiento. El NIST incluye la autenticación y autorización dinámicas entre los principios de una arquitectura de este tipo.
En la práctica, esa lógica permite endurecer controles sin obligar a tratar todos los accesos de la misma manera. Un usuario que accede desde un equipo gestionado, una ubicación habitual y una aplicación de bajo riesgo puede recibir un tratamiento distinto al de una conexión con señales anómalas o dirigida a información sensible. La eficacia depende de la calidad de las políticas, del inventario de activos y de la integración entre identidad, dispositivos y aplicaciones.
Kyndryl ha participado en la consultoría y en la modernización de la infraestructura necesaria para la transición. Enrique Cortés, presidente de Kyndryl España, sostiene que el proyecto afecta «directamente a la base de su tecnología» y sitúa la seguridad y la resiliencia entre los ejes de la transformación digital de la energética.
La tecnológica no ha publicado indicadores sobre reducción de incidentes, tiempos de autenticación, disponibilidad del servicio o ahorro operativo. Tampoco se detallan públicamente los mecanismos concretos de autenticación multifactor, acceso condicional o recuperación ante fallos utilizados. Esa ausencia limita la comparación con otros despliegues empresariales, aunque no altera el alcance comunicado: casi toda la cartera de aplicaciones corporativas ya depende del nuevo esquema de autenticación.
La identidad zero trust entra en la agenda regulatoria
El movimiento llega mientras el sector energético europeo afronta mayores exigencias de ciberseguridad. La directiva NIS2 incluye la energía entre los sectores de alta criticidad y exige a las entidades afectadas medidas de gestión del riesgo, seguridad de la cadena de suministro, gestión de vulnerabilidades y procedimientos de notificación de incidentes. También introduce responsabilidades para la alta dirección en relación con las medidas de ciberseguridad.
España mantiene una situación regulatoria particular. El 8 de julio de 2026, la Comisión Europea anunció que remitía a España, junto con Irlanda, Francia y Países Bajos, al Tribunal de Justicia de la Unión Europea por no haber notificado la transposición completa de NIS2. El calendario nacional añade incertidumbre jurídica, pero la dirección regulatoria europea resulta clara: las empresas de sectores críticos deben reforzar su capacidad para prevenir, detectar y responder a incidentes.
La identidad encaja en ese marco porque concentra una parte relevante del control de acceso. La extensión del cloud, el trabajo distribuido y los proveedores externos ha reducido la utilidad de distinguir de forma rígida entre una red interna confiable y un exterior hostil. El modelo zero trust sustituye esa frontera por decisiones de acceso más granulares y revisables.
El reto pasa de migrar a operar el modelo
Para Naturgy, haber movido la práctica totalidad de las aplicaciones a la nueva plataforma cierra una fase de transformación y abre otra centrada en la operación diaria. Las políticas de acceso tendrán que mantenerse actualizadas a medida que cambien aplicaciones, perfiles profesionales, proveedores y entornos tecnológicos. También será necesario vigilar el equilibrio entre controles adicionales y fricción para el usuario, uno de los riesgos que Kyndryl identifica en sus materiales sobre zero trust.
La iniciativa encaja además con una modernización tecnológica más amplia de la energética. Naturgy explicó en 2025 que su nueva plataforma digital de clientes utiliza servicios cloud de AWS y que Kyndryl participa en la operación de su infraestructura, junto con otros socios tecnológicos en áreas como CRM y sistemas de facturación. El proyecto de identidad se incorpora así a una arquitectura corporativa cada vez más distribuida, donde la coherencia de los controles de acceso gana peso.
El beneficio empresarial dependerá ahora de variables menos visibles que la propia migración: disponibilidad, capacidad de recuperación, calidad de las reglas de acceso y velocidad para incorporar nuevas aplicaciones sin recrear excepciones heredadas. Para una energética que opera infraestructuras críticas, la identidad digital pasa a formar parte de la continuidad operativa. El valor del proyecto se medirá cuando el sistema tenga que responder a cambios de riesgo, fallos o incidentes sin bloquear el funcionamiento ordinario de la organización.
