25 tendencias que están reconfigurando los servicios TI gestionados enterprise en España y Europa

Septiembre de 2026 · Estudio sectorial del Equipo de Análisis de Smart Team

Cómo leer este estudio

Este trabajo ordena y documenta las 25 fuerzas que, con evidencia verificable, están alterando la economía de los servicios TI gestionados para grandes organizaciones en España y en el resto de Europa: externalización de infraestructura, administración de aplicaciones, managed cloud y operaciones TI corporativas. El filtro de entrada ha sido exigente a propósito. Solo acceden al ranking las dinámicas que cumplen dos condiciones simultáneas: existir en documentación pública contrastable y producir un efecto medible sobre alguna de las cuatro variables que hoy determinan la salud financiera de un proveedor enterprise —la erosión que la IA ejerce sobre precios y márgenes, el movimiento de carteras en cada ciclo de renovación, el acceso a licitaciones y contratos bajo supervisión reguladora, y la exposición al riesgo y a la responsabilidad en la entrega—.

El cuerpo del estudio se organiza en cinco bloques de cinco fichas. Todas siguen el mismo molde: una tesis inicial, un desarrollo de evidencia documental con datos y referencias enlazadas, y un cuadro de priorización que asigna impacto de mercado (escala 1-5), nivel de confirmación (escala 1-5), su media aritmética y la posición resultante en una clasificación única del 01 al 25. Dicha clasificación se construye exclusivamente por esa media y, por tanto, no guarda correspondencia con el número de ficha. Al final figuran ocho hipótesis elaboradas por el equipo, separadas con claridad del cuerpo probatorio: son deducciones analíticas y líneas de seguimiento estratégico, jamás hechos acreditados.

Escalas empleadas. Con impacto de mercado se valora hasta qué punto cada dinámica puede alterar márgenes, carteras, acceso contractual y riesgo de entrega del proveedor. Con nivel de confirmación se valora la consistencia y madurez de la evidencia que la respalda. Ambas notas son juicios del equipo analítico y no mediciones estadísticas. Su media gobierna la clasificación global. Ninguna ficha combina impacto bajo con confirmación baja: el proceso de selección eliminó previamente el ruido.

Recorrido del documento. I · El mercado que rota: demanda, cartera y modelos de sourcing (fichas 01-05) · II · La fábrica agéntica: IA, precio y modelo de entrega (fichas 06-10) · III · La licencia para operar: regulación, soberanía y cumplimiento (fichas 11-15) · IV · Confianza operativa: riesgo, seguridad y control del gasto (fichas 16-20) · V · El tablero europeo y español: capital, geografía y talento (fichas 21-25) · Hipótesis propias (H1-H8) · Síntesis ejecutiva.

Contexto de mercado: máximos agregados sobre un segmento gestionado prácticamente estancado

Las cifras de titular impresionan y, a la vez, inducen a error al proveedor de servicios gestionados. Gartner calcula que el gasto TI mundial llegará en 2026 a 6,37 billones de dólares, con un avance del 14,2%, después de haber corregido al alza su estimación tres veces en siete meses (6,15 billones en enero; 6,31 en abril). Dentro de ese agregado, sin embargo, servicios TI apenas progresa un 5,3% hasta 1,57 billones, mientras el dinero se concentra en sistemas de data center, que se disparan un 62,5% hasta 822.000 M$, y en IaaS, con un 29,3% y 287.000 M$. El presupuesto migra, en definitiva, hacia la capa de consumo cloud que envuelve al contrato gestionado.

El ISG Index correspondiente al segundo trimestre de 2026 certifica el ritmo más alto jamás observado en el mercado combinado: 42.400 M$ de ACV —contando únicamente contratos a partir de 5 M$—, lo que supone un 43% más que un año antes. Desagregado, el contraste resulta evidente. XaaS se expandió un 65% trimestral e IaaS un 78%, con los cuatro hyperscalers principales sumando un 80% más de ACV de IaaS en el semestre; los managed services, por contra, solo avanzaron un 2,7% hasta 10.900 M$, retrocedieron un 2,7% frente al trimestre precedente y su previsión anual queda fijada por ISG en un modesto +2,1%, frente al +30% proyectado para XaaS.

En el mercado español, los quince integradores de mayor tamaño elevaron su facturación conjunta un 10% en 2024, de acuerdo con el ranking de ASEST, en un sector que ronda los 15.500 M€. La conclusión que atraviesa todo este trabajo: el crecimiento ya no habita en la torre gestionada clásica, sino en las capas de consumo, gobierno y cumplimiento que la rodean. Cada una de las 25 tendencias documentadas a continuación es una manifestación concreta de esa reasignación.

Fuentes: Gartner: previsión mundial de gasto TI (julio de 2026) · ISG Index, segundo trimestre de 2026 · Ranking de consultoras de ASEST (2024)

Bloque I · El mercado que rota: demanda, cartera y modelos de sourcing

El segmento clásico apenas se expande, pero nunca se movió con tanta intensidad: la demanda adopta nuevos envoltorios, las carteras cambian de manos, los contratos reducen su tamaño y el comprador decide de nuevo, caso a caso, qué trabajo sale de casa y cuál regresa.

01 · El outsourcing clásico crece al 2% mientras el consumo cloud crece al 30%: la demanda cambia de envoltorio

El máximo histórico del mercado combinado funciona, para un proveedor de managed services, como un espejismo agregado: su propio segmento permanece congelado al tiempo que el presupuesto corporativo se reasigna hacia infraestructura de IA facturada por uso. El negocio que se juega en cada renovación ya se encuentra en otro lugar.

Evidencia documental. Nunca antes se había medido un avance semejante del mercado combinado: el ISG Index del 2T 2026 registra 42.400 M$ de ACV en contratos de al menos 5 M$, un 43% interanual. La desagregación, empero, castiga a la torre tradicional. Managed services sumó únicamente 10.900 M$ tras crecer un 2,7%, con un retroceso secuencial del 2,7%, e ISG proyecta para el año un +2,1% en este segmento frente al +30% que asigna a XaaS. Este último escaló un 65% en el trimestre, IaaS lo hizo un 78% y los cuatro hyperscalers acumularon en el semestre un incremento del 80% en su ACV de IaaS. Desde la óptica del gasto, Gartner documenta la misma transferencia: los sistemas de data center suben un 62,5% (822.000 M$) y el IaaS un 29,3% (287.000 M$), mientras servicios TI se queda en un 5,3%. Competir solo con la torre de outsourcing heredada equivale a disputar un mercado plano mientras el dinero se traslada a cloud operations, gobierno del consumo y FinOps.

Fuentes: ISG Index, 2T 2026 · Gartner: previsión de gasto TI, julio de 2026

02 · Récord de «new scope» sin demanda nueva: crecer consiste en capturar la cartera del competidor

Aproximadamente el 75% de los bookings de managed services es trabajo que rota de proveedor o de modelo operativo, y no gasto adicional. La palanca decisiva en lo comercial ya no consiste en vender proyectos, sino en ganar transiciones y renovaciones ajenas —y blindar las propias—.

Evidencia documental. Lo verdaderamente significativo del ISG Index 2T 2026 no está en el récord global, sino en su composición: el new scope marcó un techo histórico de 8.200 M$ de ACV tras crecer un 14%, lo que equivale aproximadamente al 75% de los bookings trimestrales del segmento. Steve Hall (ISG) lo describe con dos sintagmas: «reshaping sourcing portfolios» y «work moving between providers». La edición europea del índice acentúa el fenómeno: en EMEA el new scope repuntó un 32% trimestral. Y la propia firma, en su presentación del trimestre, retrata una cartera que se mueve en dos sentidos a la vez —consolidar por coste y, al mismo tiempo, recurrir a proveedores pequeños por velocidad— o, en sus palabras, «moving in two directions at once». En un segmento que avanza al 2%, todo euro de crecimiento neto sale del libro de un rival. Dominar las transiciones, auditar contratos heredados y tarifar con agresividad la entrada constituyen hoy la competencia comercial esencial; la base instalada propia es, a su vez, el primer frente de riesgo de ingresos.

Fuentes: ISG Index Europa, 2T 2026 · Presentación del ISG Index 2T26 (PDF) · ISG Index global, 2T 2026

03 · Adiós al mega-deal: contratos más cortos, más pequeños y multisourcing como arquitectura deliberada

El gran acuerdo único de infraestructura, firmado a siete o diez años vista, va cediendo ante torres fragmentadas y renegociaciones periódicas. La economía de la propuesta se transforma: proliferan las licitaciones, sube el coste de venta y baja el ACV que reporta cada victoria.

Evidencia documental. Apenas 7 mega-deals —aquellos con 100 M$ o más de ACV— aparecen contabilizados en el ISG Index 2T 2026, uno menos que doce meses antes, y con un ACV conjunto un 27% inferior. En Europa la retirada se agudiza: la edición EMEA del índice refleja un desplome del 56% en el ACV de mega-deals regionales al mismo tiempo que las adjudicaciones crecían un 23% hasta 294 contratos. Más operaciones, cada una de menor envergadura. Además, la presión cae justo donde más daño hace: el ITO se redujo hasta 7.700 M$ (-3%) por la deflación que la IA introduce en ADM. El comprador fragmenta a propósito —torres independientes, duraciones acortadas, multisourcing como modelo de gobierno deliberado—, de modo que cada oportunidad reclama la misma maquinaria de oferta (transición, due diligence, garantías) sobre un ticket menor y con renovaciones más próximas. Así se encarece el coste de venta en proporción al contrato, y sale premiado quien industrializa sus bids y modulariza sus torres, no quien persigue el elefante blanco del acuerdo integral.

Fuentes: ISG Index Europa, 2T 2026 · ISG Index global, 2T 2026

04 · El comprador re-internaliza lo estratégico: insourcing parcial y la expansión imparable de los GCC

Los Global Capability Centers están absorbiendo el trabajo de mayor valor que antes alimentaba al outsourcing. Al proveedor solo le quedan dos caminos: combatir el centro interno del cliente o pasar a construirlo, operarlo y transferirlo.

Evidencia documental. Las cuentas anuales ya reflejan el fenómeno: Atos atribuye sus retrocesos alemanes a «ramp-downs following insourcing strategies» por parte de sus clientes. Vanguard ofrece el caso de referencia: revirtió una parte de su acuerdo con Infosys incorporando a 248 empleados a la vez que ampliaba su GCC de Hyderabad. La magnitud del movimiento es estructural: en India operan ya alrededor de 1.800 GCC que mueven un mercado de 72.000-76.000 M$, y la encuesta global de outsourcing de Deloitte, citada por BBD Software, revela que el 70% de los directivos repatrió en los últimos cinco años trabajo previamente externalizado. En outsourcing permanece lo fungible, sometido a presión deflacionista; el margen y la relación con el cliente emigran al centro interno. La respuesta acertada no consiste en competir contra ese centro, sino en edificarlo, gestionarlo y entregarlo —fórmulas BOT y partner-assisted GCC—, de manera que la amenaza del insourcing se convierta en una línea de negocio con salida acordada desde el principio.

Fuentes: Angel One: Vanguard revierte su acuerdo con Infosys en plena expansión del GCC de Hyderabad · Atos, resultados anuales 2025 · The GCC Hub: los GCC indios redefinen los servicios TI · BBD Software: el modelo rightshore y la encuesta Deloitte

05 · El BPO se parte en dos: el back office crece un 34% con plataformas de agentes mientras el contact center se hunde un 16%

La IA conversacional devora las operaciones de contacto al mismo tiempo que impulsa la externalización de procesos documentales y transaccionales. Cambian tanto los procesos de negocio que se contratan en modo gestionado como la tecnología con que se prestan.

Evidencia documental. Dentro del BPO, la presentación del ISG Index 2T 2026 dibuja una bifurcación extraordinaria: el segmento ganó un 34% de ACV trimestral gracias a un back office que acumula un +96% semestral (cadena de suministro, recursos humanos, facilities), en tanto que customer experience retrocedió un 16%, su peor registro semestral desde 2020. El mecanismo es conocido: agentes de voz y de texto van ocupando el contact center tradicional, y los procesos documentales se externalizan sobre plataformas agénticas tarifadas por transacción. La primera gran consolidación del patrón ya ocurrió: Capgemini ha integrado WNS, con una plantilla combinada que aumenta un 24% hasta 423.400 personas, la primera operación que combina BPO, ITO e IA agéntica a esta escala en el sector. Para el proveedor, toca reordenar el catálogo: existe demanda de procesos gestionados y crece a dos dígitos, pero se adquiere empaquetada con plataforma de agentes; quien siga comercializando operaciones de contacto a base de FTE está sentado sobre la mitad del segmento que se hunde.

Fuentes: Presentación del ISG Index 2T26 · Capgemini, resultados anuales 2025

Bloque II · La fábrica agéntica: IA, precio y modelo de entrega

La IA ha dejado de ser una línea del catálogo para pasar a ser la forma misma de entregar, tarifar y dimensionar equipos. Estas cinco fichas recorren la reconstrucción íntegra de la máquina de delivery: precio, plataforma, aritmética de ingresos, automatización del soporte y demografía de la plantilla.

06 · La economía del precio se reescribe: rebajas del 20-30% exigidas por el cliente y facturación por resultado ya mayoritaria

Los copilotos y agentes aportan entre un 20% y un 40% de productividad en desarrollo, y esa ganancia migra del margen del proveedor hacia el precio contractual cada vez que se renegocia. La única defensa estructural pasa por vender resultados —gainshare, precio por transacción, acuerdos de experiencia—, un modelo que el mercado ha adoptado masivamente en apenas dos años.

Evidencia documental. Que la productividad se traslade al precio ya figura en las mesas de negociación: sobre el sector IT indio (283.000 M$), los clientes reclaman descuentos del 20-30% en el trabajo alcanzado por la IA, y EPAM, Endava y Globant admitieron presión tarifaria en sus comparecencias entre el 4T 2024 y el 1T 2025, según el análisis de Flow Partners. Las proyecciones apuntan a una caída del 14-16% en las tarifas de servicios TI como consecuencia de la IA; el NSE IT cotiza a 18 veces y los márgenes del sector se sitúan en el 15,7%, lejos del 19,5% histórico. Desde el lado de la demanda, el índice ISG 2T 2026 lo confirma: el ITO perdió un 3% de ACV, hasta los 7.700 M$, y ER&D un 6%, lastrados por el desplazamiento de mano de obra en ADM y en ingeniería; las tecnológicas indias, por su parte, llegaron a caer entre un 13% y un 27% en el solo mes de mayo de 2026 a pesar de firmar TCV récord. La respuesta contractual se ha vuelto mayoritaria: la adopción de esquemas basados en resultados pasó del 45% al 67% en dos años conforme a la encuesta global de Deloitte, y Everest Group identifica ya constructos transaction-linked y outcome-based, además de shared-risk, no solo entre líderes, sino entre los Major Contenders de pagos. El motivador de compra también ha cambiado de raíz: únicamente el 34% de las empresas cita hoy el coste como razón principal, frente al 70% que se registraba en 2020, de acuerdo con la guía 2026 para compradores de Team Computers; y los XLA —término acuñado por Giarte— evalúan resultados de usuario y de negocio (CSAT, NPS, DEX) como capa superpuesta a los SLA, sustituyendo los service credits por bonificaciones y penalizaciones, como explica CIO Pulse. Conservar el margen pasa por facturar resultados antes de que la rebaja la imponga el propio cliente al renovar; ello exige baselining riguroso, telemetría de resultados y un balance dispuesto a asumir el riesgo de ejecución que antes dormía del lado del cliente.

Fuentes: Flow Partners: sector de desarrollo de software · ISG Index, 2T 2026 · BBD Software: encuesta global de outsourcing de Deloitte · Everest Group: PEAK Matrix 2025 de servicios TI de pagos · Team Computers: guía del comprador 2026 · CIO Pulse: qué es un XLA

07 · La IA agéntica deja de ser un producto: opera ya como modelo estándar de entrega y como peaje de acceso a los grandes RFP

Los grandes proveedores han reorganizado por completo su maquinaria de delivery alrededor de plataformas propias de agentes, con métricas de productividad publicadas en resultados. Entregar con agentes y facturar por resultados deja de ser argumento de venta para convertirse en requisito de admisión en los shortlists de las grandes licitaciones.

Evidencia documental. Se trata de un hecho contable y no de una presentación comercial. En septiembre de 2025 Accenture fusionó sus líneas bajo la denominación «Reinvention Services» y, según su 8-K del Q4 FY25 registrado ante la SEC, los bookings de managed services —42.980 M$— rebasaron por primera vez en la historia los de consulting —37.640 M$—; los de GenAI llegaron a 5.900 M$ tras duplicarse interanualmente, y la firma declara 77.000 profesionales de AI/data, 550.000 empleados ya formados en GenAI y un efectivo total de 779.000 personas. El resto del cohorte replica el movimiento: en 2026 nacieron en Atos las unidades Amplify y Sovereign Agentic Studios; DXC empuja su plataforma OASIS en alianza con Anthropic; NTT DATA estrenó su Smart AI Agent Ecosystem en mayo de 2025, con la meta de 2.000 M$ de ingresos de agentic AI en 2027; y GFT declara 92 clientes (+250%) en su plataforma Wynxx Agentic AI, con 144 M€ de TCV influenciado desde su puesta en marcha. Para un proveedor enterprise, la consecuencia admite solo dos lecturas: contar con una plataforma agéntica propia y con métricas auditables de productividad se ha vuelto requisito de acceso al proceso comercial, y ya no un factor que incline la decisión final.

Fuentes: Resultados Q4 FY25 de Accenture (8-K ante la SEC) · NTT DATA presenta su Smart AI Agent Ecosystem

08 · Récord de ingresos IA sobre un núcleo que se erosiona: la sustitución corre más rápido que la expansión

Las cuentas del sector muestran bookings de IA en máximos con un crecimiento total casi plano. La transición debe gestionarse como reemplazo de ingresos —cada euro agéntico sustituye a más de un euro del negocio heredado—, no como expansión, con efectos directos sobre plantilla, cantera y pricing.

Evidencia documental. HFS Research lo enuncia sin eufemismos: «sustitución disfrazada de momentum». TCS firmó un TCV de 9.500 M$ y elevó sus ingresos anualizados de IA a 2.600 M$ en el 1T FY27, desde los 2.300 M$ del 4T FY26, según sus resultados oficiales; pese a todo, su crecimiento secuencial se limitó a un 0,4%. Infosys capturó 3.600 M$ en grandes deals y, aun así, recortó su guidance. Las previsiones FY27 del grupo indio destilan la misma prudencia: entre el 1,5% y el 3,5% en Infosys, del 1% al 4% en HCLTech, y de -2% a plano en Wipro. En sentido contrario figura Accenture, que triplicó su facturación de IA avanzada hasta los 2.700 M$ y avanzó un 7% en FY25, de modo que el debate entre expansión y sustitución sigue abierto. La lectura conservadora para cualquier proveedor es la de HFS: dimensionar capacidad, cantera y tarifas como si cada euro de ingreso IA reemplazara a más de un euro del core tradicional; la aritmética sectorial publicada señala justo ahí. Quien planifique para expansión y se encuentre sustitución llegará a 2027 con sobrecapacidad y el margen deteriorado.

Fuentes: HFS Research: «AI grows, but IT top line still lags» · Resultados Q1 FY27 de TCS

09 · La automatización del soporte ya figura en las cuentas: un único proveedor declara 775 M$ de ahorro anualizado y 13.000 FTE liberados

Lo que era promesa de AIOps figura hoy como partida auditada en resultados: miles de FTE de soporte liberados y ahorros publicados. Tarifar por FTE los niveles L1/L2 sin automatización incorporada se ha vuelto indefendible en un contrato de operaciones.

Evidencia documental. En Kyndryl, AIOps es ya una línea de la cuenta de resultados: de acuerdo con sus cifras FY2025, la plataforma Bridge ya había puesto en libertad a más de 13.000 profesionales de entrega, con unos 775 M$ de ahorro anualizado acumulados al cierre del ejercicio (marzo de 2025), por encima de su propia meta de 750 M$; en agosto de 2025 superaba las 1.200 empresas cliente y generaba 12 millones de insights de IA mensuales, y cifra en unos 2.000 M$ al año el ahorro que evita a sus clientes. El ecosistema acompaña: BigPanda estrenó su plataforma Agentic IT Operations en mayo de 2025 —AI Detection & Response, orientada a automatizar el nivel L1— y compró en noviembre de 2025 la SRE-startup Velocity, alegando reducciones del ruido de alertas por encima del 95%, frente al -87% declarado por PagerDuty, según la recopilación del Hype Cycle 2025 de Gartner elaborada por BigPanda. Si el líder mundial de la infraestructura gestionada declara en resultados oficiales cuántos FTE ha liberado, el coste de referencia de los niveles L1/L2 deja de admitir discusión. Todo contrato de operaciones que ignore esta curva de automatización llegará a su renovación estructuralmente fuera de mercado, y el comprador lo sabe porque lee las mismas cuentas.

Fuentes: Kyndryl: resultados del cuarto trimestre y del año fiscal 2025 · BigPanda: Hype Cycle 2025 de Gartner

10 · De la pirámide al diamante: el organigrama del outsourcing se rehace adelgazando la capa media y encareciendo a los especialistas de la base

El clásico pyramid —muchos juniors abajo, pocos seniors arriba— se desploma a la vista: desaparecen capas de coordinación intermedia, los juniors se reciclan sobre herramientas de IA y los especialistas cobran prima de escasez. Habrá que rehacer por completo la estructura de coste sobre la que descansa el pricing por FTE.

Evidencia documental. La demolición ocurre a la vista de todos. TCS anunció unos 12.000 despidos en 2025 —el 2% del efectivo—, concentrados en mandos medios y senior, al tiempo que TCS, Infosys y Cognizant proyectan en conjunto unas 80.000 incorporaciones de freshers en FY26 (TCS, en torno a 40.000). La recomposición demográfica resulta visible: los menores de 30 años representaban el 60% de Infosys en FY23 y solo el 51% en FY26, y la compañía paga a sus freshers especialistas en IA hasta 21 lakh ₹ al año, muy por encima de los 3,4-4,5 lakh del track base. Accenture, por su parte, aplicó un programa de «business optimization» por valor de 615 M$ durante el 4T FY25, seguido de 250 M$ adicionales en el 1T FY26, con cerca de 11.000 salidas globales bajo el paraguas de una «rotación de talento» hacia IA. Los efectivos del 3T FY26, recopilados por INDmoney, lo confirman: TCS quedó en 582.163 empleados tras perder 25.191 en 2025, mientras Infosys sumó 13.655 hasta 337.034. Para un proveedor europeo, la conclusión es que el modelo de plantilla sobre el que descansan sus márgenes debe rediseñarse sin demora: menos coordinación intermedia, una base formada de nuevo sobre agentes y primas de escasez cada vez mayores en la cúspide, lo que erosiona el arbitraje salarial sobre el que se construyeron tantos business cases.

Fuentes: CNBC-TV18: sueldos de los freshers especialistas de Infosys · INDmoney: efectivos de TCS, Wipro e Infosys

Bloque III · La licencia para operar: regulación, soberanía y cumplimiento

DORA, NIS2, el Cyber Resilience Act, el AI Act, el Data Act y la futura CADA han transformado el cumplimiento en criterio de adjudicación. Estas cinco fichas muestran cómo la regulación europea dejó de ser un coste administrativo para convertirse en la puerta de entrada —o de exclusión— de los contratos más rentables del mercado.

11 · DORA pone a los proveedores bajo supervisión: 19 CTPP designados y un artículo 30 que gotea por contrato hacia todo el sector

Tras la designación, en noviembre de 2025, de los 19 proveedores TIC considerados críticos, y con el primer ciclo de exámenes EBA programado para 2026, la resiliencia operativa se convierte en atributo supervisado. Y las exigencias DORA alcanzan por vía contractual a todos los MSP, designados o no.

Evidencia documental. El Comité Mixto de las ESA hizo pública el 18 de noviembre de 2025 la designación de los 19 primeros CTPP (proveedores TIC críticos), con la EBA ejerciendo de Lead Overseer para todos ellos, según la newsletter de KPMG France de noviembre de 2025. La lista reúne a hyperscalers (AWS, Microsoft, Google Cloud, Oracle, IBM, SAP), a grandes integradores (Accenture, Capgemini, Kyndryl, NTT DATA, TCS), a operadores de red y de centros de datos (Orange, Deutsche Telekom, Equinix, Colt, InterXion) y a proveedores de información financiera (Bloomberg, FIS, LSEG). DORA (Reglamento UE 2022/2554) aplica directamente desde el 17 de enero de 2025 sobre unas 22.000 entidades financieras de la UE, donde el primer ciclo de exámenes del art. 35 llegará en 2026 y el Banco de España destina 2 supervisores especializados a jornada completa. Las obligaciones contractuales de los artículos 28-30 —auditoría y acceso in situ, localización de los datos, estrategia de salida documentada, participación en TLPT, control de la subcontratación— llegan vía contractual incluso a los proveedores no designados, que —en expresión de la guía para proveedores de Regulation-DORA.eu— «sufren DORA por goteo» en cada renovación. La resiliencia, así, abandona el terreno del marketing y se convierte en atributo supervisado: quien no acredite documentalmente su preparación DORA perderá renovaciones financieras frente a quien sí lo haga.

Fuentes: KPMG France: newsletter de noviembre de 2025 · Regulation-DORA.eu: guía para proveedores (arts. 28-30) · Memoria de Supervisión Bancaria 2025 del Banco de España

12 · La soberanía digital pasa a decidir adjudicaciones: cuatro niveles CADA y un ENS que sigue abriendo lo público en España

Con la propuesta de ley Cloud and AI Development Act, presentada en junio de 2026, un mercado de IaaS soberano creciendo al 83% y los acuerdos de Telefónica con Google, S3NS y Bleu, la soberanía se transforma en requisito de compra verificable. En España, el ENS continúa siendo la llave de la contratación pública.

Evidencia documental. El 3 de junio de 2026 la Comisión Europea presentó el Cloud and AI Development Act (CADA), expediente 2026/0138(COD), que articula cuatro niveles de aseguramiento de la soberanía vinculados a la contratación pública y persigue triplicar la capacidad europea de centros de datos en un horizonte de cinco a siete años; el diagnóstico de partida es contundente: la cuota europea en el cloud de la UE se hundió del 29% (2017) a alrededor del 15% (2022). El mercado responde con cifras: según recoge Shattered.io, Gartner valora el IaaS soberano europeo en 6.900 M$ en 2025, 12.600 M$ en 2026 (+83%) y 23.100 M$ en 2027. El Sur de Europa se reparte mediante nubes soberanas construidas junto a hyperscalers: el 28 de mayo de 2026, Telefónica y Google Cloud presentaron su nube soberana, con tecnología Data Boundary desplegada en la región madrileña y las claves custodiadas por Telefónica; S3NS (Thales/Google) obtuvo la cualificación SecNumCloud a finales de 2025, y Bleu (Orange/Capgemini/Microsoft) la espera en 2026. En el ámbito español, el ENS (RD 311/2022) impone la conformidad del contratista y de su cadena de suministro en los pliegos públicos, y AWS acumula ya certificación ENS Alto para 172 servicios, conforme a la recopilación de Ángel Ortega Castro. Alcanzar los niveles CADA 3-4 —o la certificación ENS— decide hoy el acceso a lo público y a lo regulado.

Fuentes: Comisión Europea: política de cloud computing y CADA · Telefónica: nube soberana junto a Google Cloud · Shattered.io: AWS European Sovereign Cloud · Ángel Ortega Castro: servicios cloud con certificación ENS

13 · España, citada ante el TJUE por NIS2: un cumplimiento comprimido convertirá a los MSP en sujetos obligados por ley

España es el único gran Estado de la UE que aún no ha transpuesto la directiva, y acumula un cliff de cumplimiento que afectará a unas 20.000 empresas. Dentro del perímetro quedan los MSP, como entidades esenciales y con responsabilidad personal para sus órganos de dirección.

Evidencia documental. La Comisión Europea llevó a España ante el TJUE el 8 de julio de 2026 (expediente INFR(2024)0270), con petición de suma a tanto alzado y multas diarias; el mencionado Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad —aprobado el 14 de enero de 2025— aún no ha llegado al BOE a septiembre de 2026, con una única transposición parcial —el Real Decreto-ley 7/2025, del 24 de junio, circunscrito al sistema eléctrico—, según el análisis de Hard2bit. La directiva NIS2 encuadra a los MSP/MSSP (gestión de servicios TIC B2B) dentro de las entidades esenciales del Anexo I a partir de 50 empleados o 10 M€ de facturación, con multas que alcanzan los 10 M€ o, en su caso, el 2% de la facturación mundial, y responsabilidad personal para los órganos de dirección (art. 20), como detalla la guía de Acronis para MSP. Además, el art. 21(2)(d) impone seguridad en la cadena de suministro, de modo que los requisitos se transmiten en cascada incluso a los MSP que queden bajo el umbral, según explica Norppa. El efecto es doble: el proveedor pasa de ser proveedor a ser sujeto obligado; su propio cumplimiento se convierte en credencial comercial; y las ~20.000 empresas alcanzadas componen el mayor pipeline de seguridad gestionada que ha visto España en una década.

Fuentes: Hard2bit: NIS2, España sin ley y el expediente ante el TJUE · Acronis: cumplimiento NIS2 para MSP · Norppa: cadena de suministro en NIS2

14 · El software que instala el proveedor, regulado ya como producto: reporte CRA en 24 horas y etiquetado del AI Act desde agosto

Desde el pasado 11 de septiembre de 2026 rige la notificación 24h/72h de vulnerabilidades explotadas para los productos que integran los proveedores, y el AI Act ya exige transparencia sobre chatbots y agentes desplegados en clientes. El compliance de producto deviene servicio gestionado.

Evidencia documental. Con el Reglamento (UE) 2024/2847, conocido como Cyber Resilience Act, las obligaciones de notificación del art. 14 entraron en vigor el 11 de septiembre de 2026: aviso en 24 horas, notificación en 72 e informe final en 14 días o un mes por vulnerabilidades explotadas, a través de la plataforma única de ENISA; la aplicación plena, con marcado CE, llegará el 11 de diciembre de 2027, con multas de hasta 15 M€ o el 2,5% de la facturación, según el timeline de Finite State. El régimen alcanza asimismo a productos ya comercializados —SBOM, gestión de vulnerabilidades, soporte mínimo de cuatro años, art. 13—, conforme detalla Vamisec. Por otro frente, el AI Act —Reglamento (UE) 2024/1689— vuelve exigible desde el 2 de agosto de 2026 la transparencia del art. 50 —chatbots identificados como tales, contenido sintético etiquetado—, con multas que pueden llegar a 35 M€ o al 7%, según Truescreen; el Ómnibus Digital —Reglamento (UE) 2026/1744—, por su parte, traslada la exigencia de alto riesgo del Anexo III al día 2 de diciembre de 2027, lo que supone una ventana de preparación y no una exención, advierte el análisis de V-Proof Protocol. Para el proveedor, el stack que instala ha dejado de ser neutro: gestionará los avisos de los fabricantes y también el etiquetado de los agentes que instale, y esa operación continuada constituye, por sí misma, una nueva línea recurrente de servicio.

Fuentes: Finite State: calendario del Cyber Resilience Act 2026-2027 · Truescreen: lo que exige el AI Act desde el 2 de agosto de 2026 · Vamisec: el Cyber Resilience Act europeo · V-Proof Protocol: AI Act y Ómnibus Digital

15 · La reversibilidad se convierte en requisito de inspección: documentar, ensayar y auditar la estrategia de salida

El art. 28(8) de DORA y el Data Act —en aplicación desde septiembre de 2025— hacen de la portabilidad y de la salida del proveedor un requisito que se verifica en inspección. La negociación del lock-in se reabre contrato a contrato.

Evidencia documental. Bajo el artículo 28(8) de DORA, toda entidad financiera debe disponer de una estrategia de salida que esté documentada y probada frente a sus proveedores TIC críticos, incluyendo período de transición y portabilidad de los datos; el hallazgo «no credible exit» se está convirtiendo en estándar de las inspecciones supervisoras, según la guía de DORAGRC. En otro frente, el Reglamento (UE) 2023/2854 de Datos, exigible desde el 12 de septiembre de 2025, impone a los proveedores cloud la obligación de facilitar los cambios de proveedor y de suprimir las cargas de egress, de manera que el derecho a marcharse se transforma en obligación legal del vendor, como recoge el análisis de Qovery. Se añade el registro de información (RoI), con primera remisión el 30 de abril de 2025, que deviene auditoría anual permanente de contratos, subcontratistas y localizaciones, según Hogan Lovells. El resultado, paradójico pero tangible: la salida probada se transforma en argumento de venta. Quien convierta la reversibilidad en una oferta empaquetada —transiciones ensayadas, portabilidad acreditada documentalmente, exit assistance con precio cerrado— superará los filtros de compra de banca y seguros, y comprobará que ofrecer una «salida fácil» es hoy la vía más eficaz para que el cliente decida permanecer.

Fuentes: DORAGRC: guía de estrategias de salida del art. 28(8) · Qovery: plataformas cloud soberanas europeas y Data Act · Hogan Lovells: el registro de información de DORA

Bloque IV · Confianza operativa: riesgo, seguridad y control del gasto

La responsabilidad por fallos ha mudado de naturaleza, la cadena de suministro se ha vuelto el vector dominante del ataque y el gasto cloud reclama gobierno continuo. Estas cinco fichas configuran la nueva capa de confianza sobre la que se firman —y se auditan— los contratos de operación.

16 · Tras el caso CrowdStrike, el contrato enterprise cambia: los techos de responsabilidad habituales no resisten un fallo de alcance sistémico

El apagón de julio de 2024 llevó a los tribunales la responsabilidad del proveedor de software y de seguridad. Los compradores exigen ya SLAs para las actualizaciones, despliegues por anillos y techos de responsabilidad renegociados, y la arquitectura de riesgo pasa a integrarse en el precio.

Evidencia documental. El 19 de julio de 2024, un Channel File 291 defectuoso de CrowdStrike dejó 8,5 millones de equipos Windows en pantalla azul. Parametrix cifró las pérdidas directas de la Fortune 500 en torno a 5.400 M$ y los siniestros aseguradores en unos 1.500 M$, según el análisis de Harvard Business Review. Delta reclamó judicialmente más de 500 M$ tras cancelar 7.000 vuelos; CrowdStrike invocó un techo contractual de apenas «unos pocos millones de un dígito»; aun así, el tribunal de Fulton County admitió en mayo de 2025 las reclamaciones por negligencia grave a pesar de ese límite, según el caso documentado por Procurement Spectrum. De ahí derivó una nueva presión contractual: SLAs de actualización, despliegues escalonados en anillos canary y derechos de pausa sobre los updates, como reportó US News. El ciberseguro opera entretanto como regulador de facto: unas primas globales de 16.300 M$ en 2025 según Munich Re, con hasta el 27% de las reclamaciones denegadas o abonadas parcialmente según Chubb, datos recogidos por Celent. La enseñanza es estructural: la responsabilidad por los fallos operativos ha mudado de naturaleza: del SLA al balance. Techos, seguros y despliegues canary forman parte ya del margen de cada contrato.

Fuentes: HBR: lecciones de ciberriesgo del fallo de CrowdStrike de 2024 · Procurement Spectrum: el caso CrowdStrike-Delta · US News: las demandas cruzadas entre CrowdStrike y Delta · Celent: el ciberseguro en la era de la IA

17 · La cadena de suministro, vector principal del ataque: del ransomware MFT a la auditoría obligatoria del stack propio

MOVEit, Cleo y Oracle EBS evidencian que los ataques entran por el software del propio proveedor. La normativa (NIS2 21(2)(d); DORA, art. 30) hace obligatoria la auditoría del stack dentro de una obligación contractual que se propaga en cascada hasta los MSP.

Evidencia documental. La puerta de entrada preferida del atacante es hoy el software del proveedor. El patrón MFT se ha vuelto serial: MOVEit —mayo de 2023, grupo Cl0p, CVE-2023-34362— alcanzó a 2.773 organizaciones; más de 95 millones de personas se vieron afectadas y el coste estimado superó los 10.000 M$; Cleo replicó el esquema en diciembre de 2024, con unas 392 víctimas durante el primer trimestre de 2025; Oracle E-Business Suite lo siguió en octubre de 2025 (CVE-2025-61882), según la cronología de Brandefense. El ransomware ha derivado hacia extorsión pura por exfiltración, frente a lo cual las copias de seguridad han dejado de mitigar el riesgo principal. En España, INCIBE atendió 122.223 incidentes en 2025, un 26% más, con 392 episodios de ransomware y 401 incidentes en operadores esenciales e importantes; la banca concentró el 34%. La regulación transforma esta evidencia en obligación: NIS2, en su art. 21(2)(d), y DORA, en su art. 30, propagan en cascada hasta los MSP cuestionarios, derechos de auditoría y anexos de seguridad. La due diligence sobre el stack propio —MFT, EDR, herramientas de delivery— se convierte así en activo comercial: el proveedor incapaz de auditar y acreditar su propia cadena de suministro quedará fuera de los contratos regulados, con independencia de su precio.

Fuentes: Brandefense: el auge de los ciberataques a la cadena de suministro · IT User: INCIBE superó las 122.000 ciberincidencias en 2025

18 · La seguridad gestionada supera los 60.000 M$ en 2026: la puerta de acceso natural a la cuenta enterprise

MSS y MDR crecen por encima del resto de las torres de outsourcing, impulsados por la IA agéntica y la regulación financiera. Es el segmento con menor resistencia a la externalización y el que mejor soporta el precio por resultado.

Evidencia documental. Ningún segmento del outsourcing muestra tanta tracción como la seguridad gestionada: según las previsiones de Gartner, el mercado de managed security services rebasará los 60.000 M$ en 2026, con MDR como subsegmento de mayor crecimiento. La oferta se rearma alrededor de la IA agéntica: DXC ha puesto en producción su plataforma de SOC agéntico AgenTxSOC integrada en la arquitectura OASIS para automatizar triaje y respuesta. Dos motores regulatorios impulsan la demanda. Por un lado, las pruebas TLPT/TIBER-EU incorporan por contrato a los MSP en el perímetro de los ejercicios de penetración que ejecutan los clientes financieros —art. 30(3) de DORA—. Por otro lado, el balance de INCIBE en España —122.223 incidentes en 2025, un 26% más— alimenta una presión que desborda la capacidad interna de los CISO corporativos. MSS/MDR actúa como puerta de acceso natural a cuentas nuevas: es la torre que menos resistencia opone a la externalización, la que mejor encaja el outcome-based y la que antes abre paso hacia contratos de operación integral. Comercialmente, la disyuntiva ya no es vender o no vender seguridad, sino colocarla en primer lugar.

Fuentes: Infopercept: el mercado MSS superará 60.000 M$ en 2026 (Gartner) · PR Newswire: resultados FY2026 de DXC (AgenTxSOC) · IT User: balance 2025 de INCIBE

19 · FinOps opera ya como línea gestionada industrializada: la gobernanza desbanca a la optimización como primera prioridad

Con un tercio del gasto cloud yéndose a la basura y la factura de la IA disparada, el FinOps gestionado —gobernanza continua, estándar FOCUS, FinOps de tokens— abandona su condición de complemento consultivo y se erige en línea recurrente de primer nivel dentro de la operación contratada.

Evidencia documental. La disciplina ha cruzado el umbral de industrialización: Fortune Business Insights sitúa el mercado de soluciones cloud FinOps en 15.110 M$ en 2025 y lo proyecta hasta 39.040 M$ en 2034, con un CAGR del 11,1%. El dato estructural lo aporta la FinOps Foundation con su State of FinOps 2025: por vez primera, la gobernanza y las políticas ocupan el primer puesto de prioridades, por delante de la optimización de cargas; el estándar de facturación FOCUS v1.2 ha sido adoptado ya por AWS, Azure, Google Cloud y Oracle; y en torno al 70% de las grandes empresas cuenta con equipo FinOps dedicado, según la síntesis de ByteIota. La urgencia es aritmética: según Gartner, hasta un 35% del gasto cloud acaba desperdiciado; y sobre una factura de cloud público que escaló de 595.700 a 723.400 M$ (+21,5% en 2025), con la IA generativa convertida en nueva partida ingobernada. Los distribuidores ya lo venden empaquetado: TD SYNNEX junto a IBM Cloudability (octubre de 2025) y Flexera junto a SHI. La gobernanza continua, el FinOps de tokens y el reporting FOCUS se incorporan así como capa estándar a la operación gestionada: una línea de margen recurrente defendible frente a la deflación que padece el resto del catálogo.

Fuentes: Fortune Business Insights: mercado Cloud FinOps · ByteIota: State of FinOps 2025 y el auge de la gobernanza

20 · La observabilidad, nuevo plano de control de los agentes en producción y puerta de acceso comercial a la operación

Poner agentes en producción requiere observabilidad LLM/full-stack integrada con el ITSM; y los fabricantes de observabilidad se están haciendo a toda velocidad con la capa de control que antes correspondía al proveedor de servicios gestionados.

Evidencia documental. La capa de mando de la operación está cambiando de manos: en KubeCon NA (noviembre de 2025), Dynatrace viró hacia la «observabilidad autónoma», con observabilidad de LLM e integración MCP con los IDEs y ServiceNow, según Efficiently Connected. Los números del segmento avalan la apuesta. Datadog ingresó 3.430 M$ en 2025 (+28%), con 603 clientes por encima de 1 M$ de ARR (+31%); Dynatrace rozó los 2.020 M$ en FY2026 (+19%), y ServiceNow, 13.280 M$ de facturación. Gartner augura que el 60% de las grandes empresas adoptará AIOps como práctica estándar en 2026; las estimaciones de mercado, eso sí, discrepan de forma extrema —de 2.230 M$ según Fortune Business Insights a 15.960 M$ según TBRC—, lo que delata una categoría todavía en construcción. La consecuencia estratégica es nítida: el proveedor cuya oferta de operación no integre la observabilidad LLM/full-stack con el ITSM cederá la puerta de entrada de la cuenta a un fabricante que ya comercializa el plano de control sobre el que se gobiernan los agentes del propio proveedor. Perder esa capa significa perder la visibilidad —y la relación— sobre la que se renuevan los contratos.

Fuentes: Efficiently Connected: la apuesta de Dynatrace por la observabilidad autónoma en KubeCon NA 2025 · Fortune Business Insights: mercado AIOps

Bloque V · El tablero europeo y español: capital, geografía y talento

El centro de gravedad comercial retorna a Europa, España se afianza como hub de datos del sur del continente y su mid-market de integradores cambia de manos, mientras la plantilla del sector sufre una pinza sin precedentes. Las cinco fichas finales sitúan al proveedor español ante su mayor ventana de posicionamiento en dos décadas.

21 · El sector se bifurca: crecen los cloud-led, se encogen los outsourcers de infraestructura heredada y su cartera entra en disputa

Los resultados del sector dibujan dos velocidades: Accenture ya factura más por managed services que por consulting, al tiempo que Kyndryl, DXC y Atos pierden volumen en orgánico. Se abre así una ventana histórica para capturar cartera —y también un riesgo de solvencia— en los contratos largos de infraestructura.

Evidencia documental. Los ejercicios FY25-FY26 lo certifican. Accenture cerró su año fiscal 2025 (agosto) con 69.670 M$ (+7%): managed services aportó 34.600 M$ (+9% en moneda local, el 53% de los ingresos) y sus bookings del segmento, 42.980 M$, superaron los 37.640 M$ de consulting, según su 8-K ante la SEC; su acción, no obstante, se dejó un 40% en doce meses por el temor a la deflación IA. En el bando legacy, Kyndryl cerró FY26 con 15.100 M$, sin crecimiento (-3% en divisa constante), y guía FY27 plana o -2%; DXC comunicó 12.640 M$ de ingresos, un -1,8% (-4,8% orgánico); Global Infrastructure Services cayó un 3,9%, el book-to-bill quedó en 0,98x y el castigo bursátil alcanzó el 19%; y Atos registró 8.001 M€, con un -16,2% orgánico en su SBU core, una pérdida neta de 1.404 M€, un efectivo reducido en un 19,1% y la desinversión de Bull en favor del Estado francés (31/03/2026; EV de hasta 404 M€). La lectura es doble: cada renovación de un competidor débil pone cartera en juego, pero también impone vigilar la solvencia de los socios de delivery propios en contratos de cinco a siete años.

Fuentes: 8-K Q4 FY25 de Accenture (SEC EDGAR) · Investing.com: resultados FY26 de Kyndryl · PR Newswire: resultados FY2026 de DXC · Atos Group: resultados anuales 2025 (GlobeNewswire)

22 · EMEA por delante de Américas: el eje comercial de los managed services retorna a Europa

Con EMEA creciendo un 21% en managed services frente a la caída del 12% de Américas, vender y entregar desde Europa —capacidad infravalorada durante una década de hegemonía estadounidense e india— vuelve a ser una ventaja estructural.

Evidencia documental. El ISG Index correspondiente al 2T 2026 dibuja un mapa regional patas arriba. Según la edición europea del índice, el managed services de EMEA progresó un 21% y alcanzó 4.700 M$ de ACV —su mejor semestre desde 2021—, con 294 contratos adjudicados (+23%) y un new scope que repuntó un 32%. Américas, en cambio, retrocedió un 12% hasta 5.200 M$, su primer semestre en negativo desde 2019, con un ITO desplomado un 23%. El mercado combinado europeo tocó los 13.000 M$ (+46%), máximo de ocho años, y lo logró con los mega-deals en plena retirada (-56% de ACV regional): creció a base de contratos medianos y rotación de cartera, no de grandes apuestas puntuales, como detalla la presentación trimestral de ISG. Que este impulso coincida con el ciclo regulatorio europeo (DORA, NIS2 y CADA), que premia credenciales solo acreditables con estructura local, refuerza el giro. Para un proveedor con base en España o en Europa, la consecuencia práctica: el pipeline de 2027 se levanta en casa; la inversión comercial que antes se destinaba a América debe reorientarse hacia las grandes cuentas europeas que entran en renovación.

Fuentes: ISG Index: el ACV europeo de servicios tecnológicos salta un 46% en el 2T · Presentación del ISG Index 2T26

23 · España se afianza como hub de datos del sur europeo: 40.000 M€ comprometidos y capacidad multiplicada por once

Los planes de AWS y Microsoft reordenan el mapa de delivery de infraestructura alrededor de Aragón y Madrid, y con ellos una demanda estructural de servicios gestionados de infraestructura, red, migración y soberanía prestados desde territorio nacional.

Evidencia documental. La magnitud de la apuesta ya no admite discusión: AWS elevó su plan español a 33.700 M€ hasta 2035 —a los 15.700 M€ comunicados en mayo de 2024 se sumaron 18.000 M€ más, presentados en el MWC de Barcelona de marzo de 2026—; Microsoft, por su parte, tiene proyectados más de 6.500 M€ en Aragón desde su aprobación inicial en noviembre de 2025. Según Morgan Stanley, la capacidad española de centros de datos se multiplicará por once, con Aragón como epicentro, según El Demócrata: cerca de 1 GW de AWS; SAMCA (300 MW / 2.600 M€); QTS/Blackstone, con 300 MW en Calatorao y otros 4.300 M€ condicionales; Box2Bit (520 MW / 3.900 M€); XDC (480 MW / 3.600 M€ en Cantabria); y Merlin (pipeline de 0,7 GW a 2032). Existen riesgos de ejecución documentados —energía, conexión a red, permisos, concentración en hyperscalers—, pero ninguno altera la dirección. Todo megavatio instalado trae consigo contratos recurrentes de cloud operations, migración, redes y cumplimiento de soberanía; quien carezca de presencia operativa en el eje Madrid-Zaragoza verá cómo ese trabajo lo prestan otros, o se presta desde fuera de España.

Fuentes: Expansión: Amazon anuncia 18.000 millones adicionales para España · El Demócrata: Morgan Stanley eleva su previsión de capacidad española de data centers

24 · El mid-market español se recompone: Ayesa desmembrada, Carlyle dentro de Seidor e Indra vendiendo BPO para apostar por defensa

El mid-market de integradores españoles atraviesa una recomposición accionarial y estratégica —escisiones, private equity, pivotes industriales— que abre una ventana de consolidación: adquirir escala, cartera y talento certificado saldrá más barato que construirlos.

Evidencia documental. Los movimientos de 2025-2026 redibujan el tablero nacional. Ayesa ha quedado desmembrada: el grupo —unos ingresos próximos a 900 M€ y un EBITDA de 100 M€ en 2025— traspasó su negocio digital por 480 M€ a un consorcio vasco integrado por Gobierno Vasco, Kutxabank, BBK y Teknei, y Colliers, la canadiense, se hizo con la ingeniería por 600 M€. En el 2T 2026, Indra se desprendió de su negocio de BPO y pactó la desinversión de Minsait Business Consulting para concentrarse en defensa y espacio; su cartera alcanza un récord de 16.083 M€ y la guía 2026 supera los 7.000 M€. Entretanto, Telefónica Tech aumentó sus ingresos un 18,9% en 2025, hasta 2.222 M€; Seidor (1.121 M€ en 2024, +30%) quedó bajo el control de Carlyle, e Inetum, a pesar de crecer un 17% en España, cerró 2025 con un resultado neto de -5,4 M€. La ventana es de carácter táctico: los activos en transición arrastran consigo clientes, contratos y equipos certificados, y en un mercado que avanza al 2% comprar escala resulta hoy más rápido y barato que construirla orgánicamente. Telefónica Tech, NTT Data o el capital francés ya están en disposición de mover ficha.

Fuentes: El Confidencial: Colliers compra Ayesa Ingeniería por 600 M€ · La Razón: Indra en el 2T 2026 · Telefónica Tech: resultados 2025

25 · La pinza del talento y la red multidestino: se cierra la puerta junior, escasea el senior y el delivery se reparte entre España, LATAM, Magreb y Europa del Este

La automatización de las tareas de aprendizaje quiebra la cantera del sector (-41% de vacantes junior) y un 87% de empresas que no logra encontrar perfiles senior. La respuesta operativa es una red de entrega multidestino que compite con el offshore indio por coste, idioma y huso horario.

Evidencia documental. Ambos brazos de la pinza constan documentados en España. Por abajo: el estudio de InfoJobs y Esade cifra en -41% las vacantes tecnológicas sin experiencia previa durante 2025 (unas 6.000 ofertas menos); la EPA del 1T 2026 contabiliza unos 14.000 puestos destruidos en el ámbito de la programación y la consultoría desde otoño de 2024; y un estudio de Stanford (2025) cifra en -13% el empleo relativo de los trabajadores de 22 a 25 años en ocupaciones expuestas a GenAI, según Revista Cloud Computing. Por arriba: según Hays España, el 87% de las empresas IT no logra cubrir sus necesidades de talento, la satisfacción salarial baja del 58% al 44% entre 2024 y 2025, 7 de cada 10 profesionales IT prevén cambiar de empresa en 2026 y DigitalES estima unas 138.000 vacantes TIC en 2025. La respuesta de delivery se lee en los diferenciales: un senior en Polonia cuesta alrededor de 75.500 $ anuales y las tarifas oscilan entre 43 y 60 €/h; LATAM se mueve en bandas de 2.800 a 4.500 €/mes, frente a los 6.000-9.000 €/mes habituales en España, con idioma y huso horario a favor; y el Magreb, entre 150 y 350 € por día, según las referencias de Systelium sobre nearshore europeo. Paralelamente, el offshore tradicional pierde fuelle relativo: las guías FY27 prudentes del sector indio erosionan su ventaja arbitrajista justo cuando la deflación IA comprime tarifas en todos los destinos, y el modelo rightshore de asignación multidestino deja de ser teoría. El diseño ganador ha dejado de ser «España más India»: es una red en la que el trabajo se asigna en función de coste, idioma, huso horario y sensibilidad regulatoria, y en la que orquestarla con calidad homogénea constituye, por sí misma, propuesta de valor.

Fuentes: Revista Cloud Computing: el empleo júnior tecnológico se parte en dos · Hays España: causas de la escasez de talento IT · Alcor: desarrollo nearshore en Europa del Este · Werun.dev: guía de nearshoring tecnológico España-LATAM · Systelium: nearshoring TI en Europa · BBD Software: el modelo rightshore

Hipótesis propias: ocho señales bajo el radar

Las ocho líneas que siguen no son hechos documentados: son deducciones del Equipo de Análisis de Smart Team construidas a partir de la evidencia reunida en este estudio. Funcionan como líneas de vigilancia trimestral: cuando la señal aparece, la hipótesis pasa a ser tendencia; cuando no, se descarta sin coste. Tienen carácter exploratorio y no constituyen asesoramiento de inversión.

H1 · El estatus CTPP operará como barrera de entrada al outsourcing financiero europeo. DORA fuerza a cada entidad financiera a registrar, auditar y justificar ante el supervisor sus dependencias TIC críticas, y esa carga probatoria la soporta el banco, no el proveedor. Y con la EBA supervisando directamente a los 19 designados, para un CRO, el camino de menor fricción pasa por concentrar las funciones críticas en proveedores que ya están supervisados: externalizar hacia un designado traslada parte del riesgo supervisor; externalizar hacia uno no designado lo internaliza. Es la dinámica que ya erigió en requisito comercial de facto certificaciones como SOC 2 o ISO 27001. Deducción, no hecho. Señal a vigilar: RFP financieros que pregunten por la designación CTPP o por supervisión equivalente, y no designados buscando vehículos que les acerquen al estatus. (Impacto potencial 4/5 · Confirmación 3/5 · Índice 3,5)

H2 · El contrato gestionado mutará hacia una póliza de riesgo sobre el comportamiento de los agentes. Si CrowdStrike/Delta probó que los techos estándar no soportan un fallo sistémico, y el outcome-based ya traslada al proveedor el riesgo de ejecución, el paso siguiente —aún no documentado de forma masiva— es que los anexos incorporen coberturas explícitas frente a errores de agentes —alucinaciones con impacto operativo o acciones autónomas fuera de perímetro—, con primas, deducibles y exclusiones de corte asegurador. Deducción del equipo. Señal a vigilar: cláusulas de «AI liability cap» y garantías de human-in-the-loop en renovaciones de grandes cuentas, y corredores empaquetando pólizas de errores de IA junto a contratos gestionados. (Impacto potencial 4/5 · Confirmación 2/5 · Índice 3,0)

H3 · El corredor Madrid-Zaragoza captará operaciones actualmente prestadas fuera de España. Los más de 6.500 M€ de Microsoft y los 33.700 M€ de AWS no levantan solo naves: levantan ecosistema —fábrica de servidores, fibra, energía contratada y talento especializado en data centers—. La gravedad industrial concentró históricamente los managed services de infraestructura cerca del cómputo (Dublín, Fráncfort, Ámsterdam); si España llega a multiplicar por once su capacidad, los contratos de migración, cloud operations, FinOps y soberanía de niveles CADA 3-4 tenderán a prestarse desde ese corredor para el Sur de Europa. Hipótesis, no dato. Señal a vigilar: anuncios de NOC/SOC de grandes integradores en Zaragoza o Madrid asociados a nuevas regiones cloud, y licitaciones públicas que exijan operar desde territorio nacional. (Impacto potencial 4/5 · Confirmación 3/5 · Índice 3,5)

H4 · Antes de 2028, la deflación forzará una gran fusión o rescate entre outsourcers europeos legacy. Los números no cuadran: de los cuatro grandes outsourcers occidentales de infraestructura, tres decrecen en orgánico (Atos -16,2%, DXC -4,8%, Kyndryl -3%) mientras managed services avanza un 2,1% y la deflación recorta las tarifas otro 14-16%. Es la lógica habitual de las industrias en declive estructural: cuando el mercado se estrecha y los costes fijos no, consolidarse deja de ser opcional. Lectura inferencial del equipo. Señal a vigilar: book-to-bill persistentemente por debajo de 1,0, activistas en el capital, torres enteras vendidas a especialistas o a fondos. (Impacto potencial 5/5 · Confirmación 2/5 · Índice 3,5)

H5 · La rotación de carteras acabará en litigios de transición entre proveedor saliente y entrante. DORA convierte la salida en derecho ejercitable y el Data Act suprime las cargas de egress; sin embargo, la transición efectiva —conocimiento, accesos, subcontratistas, datos— la ejecuta quien acaba de perder el contrato. Con el new scope en máximos y márgenes estrechos, se disparan incentivos contrapuestos: obstaculizar, por parte de quien sale; reclamar penalizaciones, por parte de quien entra. Deducción, sin casos documentados masivos todavía. Señal a vigilar: reclamaciones arbitrales por exit assistance incumplida y cláusulas de termination assistance fee ya tasadas en renovaciones de la banca española. (Impacto potencial 3/5 · Confirmación 2/5 · Índice 2,5)

H6 · El GCC-as-a-service como escudo defensivo de los integradores españoles ante el insourcing. Si el 70% de los directivos repatrió trabajo en cinco años y los GCC indios suman ya unos 1.800, combatir esa corriente con outsourcing puro equivale a perder la cuenta entera. La jugada calcaría la estrategia de las franquicias hoteleras: si el propietario quiere quedarse con el activo, se le vende la gestión —edificar, operar y transferir el capability center en formato BOT, con España como destino europeo competitivo—. Hipótesis del equipo. Señal a vigilar: contratos BOT iniciales de consultoras españolas de segundo nivel con clientes nor-europeos, y ofertas de «GCC setup lead» publicadas en portales de empleo españoles. (Impacto potencial 4/5 · Confirmación 3/5 · Índice 3,5)

H7 · Una ley NIS2 tardía: entre 12 y 18 meses de cuello de botella en auditores y MSSP. El cumplimiento comprimido de unas 20.000 empresas contra una capacidad certificadora finita —idéntico al shock que ya vivió el ENS con sus auditorías acreditadas por ENAC— convertirá el acceso al auditor en ventaja competitiva y en argumento de pricing. Deducción construida por analogía regulatoria. Señal a vigilar: encarecimiento de tarifas y plazos en los organismos de evaluación ENAC durante 2026-2027, y procesos de captación de auditores lanzados por Big Four y MSSP antes de que la ley se publique. (Impacto potencial 4/5 · Confirmación 3/5 · Índice 3,5)

H8 · La prima salarial de la IA podría invertir los flujos de nearshoring: menos plantilla local y más supervisión agéntica desde LATAM y el Magreb. Si un agente ejecuta el L1/L2 y el junior español deja de entrar, las tareas humanas residuales se agrupan en torno a la supervisión, el diseño y la relación con el cliente. Y esa capa de supervisión no tiene por qué estar en Madrid: reproduce, un nivel más arriba, el mecanismo que en los noventa deslocalizó el soporte. La paradoja: la IA, llamada a relocalizar el trabajo, vuelve a globalizarlo en la capa de supervisión, justo donde la escasez senior más encarece. Deducción del equipo. Señal a vigilar: consultoras españolas que abran hubs de AI operations en Colombia, México o Marruecos, y plantillas de delivery planas con ingresos crecientes. (Impacto potencial 4/5 · Confirmación 2/5 · Índice 3,0)

Síntesis ejecutiva: diez lecturas para la dirección

1. El mercado no crece: rota. Managed services avanza un 2,1% y el new scope toca techo (8.200 M$ trimestrales, el 75% de los bookings): la batalla comercial de 2027 no consiste en vender demanda nueva, sino en ganar transiciones y renovaciones. Estancamiento del outsourcing, rotación de carteras y retirada de los mega-deals son un mismo mercado observado desde tres ángulos.

2. La IA es el nuevo coste de sentarse a la mesa. Sin plataforma agéntica propia y sin métricas auditables de productividad —13.000 FTE liberados en un solo proveedor— no se pasa el primer corte de los grandes RFP, por competitiva que sea la tarifa.

3. La deflación es el precio de entrada; el outcome-based, la defensa del margen. Los descuentos del 20-30% sobre el trabajo alcanzado por la IA ya forman parte de las exigencias de compra; la única vía de no ceder gratis la productividad consiste en contratar por resultados con gainshare, como evidencia una adopción que pasó del 45% al 67% en dos años.

4. Europa recupera el centro del tablero. EMEA crece un 21% mientras Américas cae un 12%, y la regulación europea (DORA, NIS2, CRA y CADA) premia justo aquello que mejor acredita un proveedor europeo: supervisión, cumplimiento y soberanía verificables.

5. El cumplimiento se ha convertido en el primer argumento comercial. El goteo de DORA, NIS2 como sujeto obligado, el ENS en la contratación pública y los niveles CADA transforman las certificaciones en condición de admisión, ya no en diferenciador: invertir en credenciales es comprar acceso a mercado.

6. La responsabilidad mudó de naturaleza: del SLA al balance. El litigio CrowdStrike/Delta probó que los fallos operativos cuestan cientos de millones y que los techos contractuales ya no protegen; seguros, límites renegociados y despliegues canary integran el precio de cada contrato.

7. España disfruta de una ventana geográfica única. Con más de 40.000 M€ comprometidos en centros de datos, la nube soberana de Telefónica con Google y el liderazgo comercial de EMEA, el integrador español afronta su mejor ocasión de posicionamiento en dos décadas.

8. El mid-market español se reorganizará, participemos o no. Ayesa desmembrada, Seidor bajo Carlyle e Indra vendiendo BPO anuncian una oleada de M&A: adquirir escala y talento certificado ahora saldrá más barato que construirlos.

9. La crisis de talento es una crisis de pipeline más que de titulares. Con el entry-level cerrado —un 41% menos de vacantes— y unas 138.000 posiciones TIC sin cubrir, quien no rediseñe su cantera —junior acompañado de agente desde el primer día— recibirá en 2030 una plantilla senior sin recambio.

10. Los clientes desean salir menos de lo que proclaman, pero exigen poder hacerlo. La reversibilidad demostrada, el multisourcing y los GCC conviven con un máximo histórico de renovaciones: ofrecer una «salida fácil» se ha vuelto, paradójicamente, la mejor manera de retener la cuenta.

Nota metodológica

Estudio elaborado por el Equipo de Análisis de Smart Team sobre fuentes públicas verificadas entre los meses de julio y septiembre de 2026, enlazadas en cada ficha. Las puntuaciones de impacto y de confirmación constituyen juicios analíticos del equipo y no mediciones estadísticas. Las hipótesis propias se ofrecen con carácter exploratorio y en ningún caso representan asesoramiento de inversión.