En GrayHats S.L.U. somos el operador técnico de Dataspace.es, el espacio de datos multisectorial promovido por CordubaTech ESAL.
Como operador asumimos la infraestructura del ecosistema: arquitectura, seguridad, conectores, identidad, trazabilidad y controles de cumplimiento normativo. No gobernamos las reglas del espacio ni explotamos los datos que circulan por él, y esa separación es exactamente lo que permite que el espacio sea soberano.
Un espacio de datos es un ecosistema en el que varias organizaciones comparten datos de forma voluntaria bajo reglas comunes de gobernanza, identidad y seguridad, sin ceder la propiedad ni el control de la información. Sostener uno exige cinco piezas: identidad verificable, conectores que apliquen las condiciones de uso, catálogo de metadatos, registro de evidencias y una gobernanza neutral. Somos responsables de las cuatro primeras.
El proyecto se llama «Plataforma dataspace.es», GrayHats S.L.U. es la entidad beneficiaria y está financiado por la Unión Europea a través del Plan de Recuperación, Transformación y Resiliencia – Next Generation EU, dentro de la convocatoria de 2024 de productos y servicios tecnológicos para espacios de datos del Ministerio para la Transformación Digital y de la Función Pública (expediente TSI-100130-2024-31).
Esa convocatoria, regulada por la Orden TDF/1229/2024, de 4 de noviembre, se dotó con 44 millones de euros y estableció un plazo de ejecución tasado. Contamos esto porque el calendario explica el ritmo: no era un piloto abierto, era una infraestructura con fecha de entrega.
¿Por qué ahora y no hace cinco años?
Porque hasta hace poco no coincidían las tres condiciones necesarias: norma, estándar y financiación.
La norma llegó con el paquete europeo de datos.
El Reglamento de Gobernanza de Datos (Data Governance Act, DGA), Reglamento (UE) 2022/868, regula la figura de los servicios de intermediación de datos y les impone obligaciones de neutralidad. Y el Reglamento (UE) 2023/2854, conocido como Data Act o Reglamento de Datos, es directamente aplicable en España desde el 12 de septiembre de 2025 y regula el acceso y la compartición de los datos generados por productos conectados y servicios asociados, con requisitos de diseño que se aplican de forma escalonada en septiembre de 2026 y 2027.
El estándar llegó con los modelos de referencia de la International Data Spaces Association (IDSA) y de GAIA-X, y en España con la norma UNE 0087:2025, que traduce esos modelos a roles, perfiles técnicos y niveles de madurez evaluables.
La financiación llegó con el Plan de Impulso de los Espacios de Datos Sectoriales de la Secretaría de Estado de Digitalización e Inteligencia Artificial. El marco, por tanto, ya existe. Lo que sigue escaseando en España son infraestructuras que lo implementen de verdad, y ahí es donde decidimos estar.
¿En qué se diferencia un espacio de datos de compartir datos por API o por FTP?
En quién controla lo que ocurre con el dato después de entregarlo.
En una integración clásica, cuando el fichero sale de tu organización el control se convierte en confianza: un contrato, un correo y la expectativa de que la otra parte cumpla. Nadie puede demostrar qué se hizo con ese dato, ni revocarlo, ni acreditar ante un tercero qué condiciones se pactaron.
En un espacio de datos, las condiciones de uso se expresan en un lenguaje legible por máquina —el estándar ODRL del W3C, Open Digital Rights Language— y las aplica un componente software llamado conector. Si el propósito de uso no coincide con el autorizado, o si vence el plazo pactado, el acceso se corta sin que nadie tenga que intervenir. Cada intercambio deja además una evidencia registrada, utilizable en una auditoría o en una reclamación.
La arquitectura es federada: los datos permanecen en origen y no se centralizan en un repositorio común. Lo que se publica de forma centralizada son los metadatos, es decir, la descripción de qué datos existen y bajo qué condiciones, nunca el contenido.
¿Qué asumimos exactamente como operador técnico?
Cuatro de las cinco piezas del ecosistema, más su operación continuada.
Ninguna es opcional: un espacio de datos al que le falte una de ellas es un repositorio compartido con buen marketing.
- Identidad verificable. Antes de compartir nada hay que poder demostrar quién es la otra parte y qué atributos acredita. Lo resolvemos con credenciales verificables emitidas bajo el marco eIDAS 2.0 y alineadas con el Trust Framework de GAIA-X. Sin identidad fuerte, todo lo demás es decorativo.
- Conectores. Es el componente que se despliega en cada participante y que aplica las políticas de uso, controla el flujo y genera la traza. Trabajamos sobre perfiles de conector compatibles con IDS, EDC y FIWARE. El conector es donde la política deja de ser un PDF y pasa a ser un control técnico.
- Catálogo de metadatos. Para que alguien pueda usar un dato, primero tiene que saber que existe y en qué condiciones. Mantenemos el catálogo conforme a DCAT-AP/ES, sin acceder nunca al contenido real de los datos.
- Registro de evidencias. Sellamos temporalmente cada transacción y custodiamos la prueba. Es lo que convierte la trazabilidad en algo utilizable ante un auditor, un cliente o un juzgado.
La quinta pieza, la gobernanza, no es nuestra. Y es deliberado.
¿Por qué el promotor y el operador somos entidades separadas?
Porque si quien gobierna las reglas es también quien explota los datos, el espacio no es soberano: es la plataforma de alguien.
CordubaTech ESAL, asociación sin ánimo de lucro, actúa como promotor del ecosistema. Gobierna y supervisa el espacio, dinamiza el tejido empresarial e institucional, y no participa en transacciones comerciales de datos ni los explota con fines propios.
Esa neutralidad no es una declaración de intenciones: responde a los principios de neutralidad, transparencia e independencia que el artículo 11 del DGA exige a los servicios de intermediación de datos.
Nosotros operamos los servicios esenciales, pero no decidimos quién entra, ni aprobamos las políticas, ni resolvemos disputas entre participantes. Podemos proponer y podemos advertir; no podemos decidir.
Es la primera pregunta que nos hace cualquier organización con datos sensibles antes de adherirse. Y es la pregunta correcta.
¿Cómo nos hemos organizado internamente para ejecutarlo?
En cuatro grupos de trabajo con responsable único, más dirección y gestión de proyecto. La estructura no es un organigrama de presentación: es la que ha ejecutado el proyecto.
- Sistemas, dirigido por Antonio Poveda: infraestructura, despliegue, hardening, monitorización y operación de los entornos del ecosistema.
- Desarrollo, dirigido por Tomás Fernández: componentes de la plataforma, integración de conectores y servicios habilitadores.
- Cumplimiento, con José Carlos Almansa como responsable: alineamiento con el Esquema Nacional de Seguridad (ENS), el RGPD, el DGA y el Data Act, y documentación de controles.
- Datos, con Jacqueline Ghysbrecht como responsable: modelo de datos, semántica, metadatos y políticas de uso.
- La dirección del proyecto la asume Javier Jiménez, Director General y CISO, y la gestión del proyecto Emilio Olmo.
- La revisión final de toda pieza de comunicación externa está centralizada en el departamento de comunicación, para que el proyecto no se explique de forma distinta según quién lo cuente.
Lo que hemos aprendido de esa organización es que la parte difícil no fue la técnica. Fue coordinar cuatro criterios distintos —sistemas, desarrollo, cumplimiento y datos— sobre las mismas decisiones de arquitectura, sin que ninguno de los cuatro pudiera imponerse a los demás. Un espacio de datos falla por ahí antes que por un problema de software.
¿Por qué una empresa de ciberseguridad opera un espacio de datos?
Porque es el mismo trabajo que ya hacemos, aplicado a un problema nuevo.
Identidad, control de acceso, aplicación de políticas, trazabilidad y evidencia son el oficio de una empresa de ciberseguridad. Cuando el control del dato tiene que sostenerse fuera de tu perímetro, en sistemas que no administras y sobre los que no tienes autoridad, el problema deja de ser de integración y pasa a ser de seguridad. Ahí sabemos trabajar.
Y sobre por qué queríamos estar entre los primeros: en los próximos años, compartir datos con un cliente, un proveedor o una administración va a exigir hablar el mismo lenguaje técnico de identidad, políticas de uso y trazabilidad. Ese lenguaje se está fijando ahora, y se fija en los proyectos que se construyen, no en los que se comentan. Preferimos aprenderlo levantando la infraestructura que adaptarnos después a decisiones tomadas por otros.
¿Qué límites tiene Dataspace.es hoy?
Esta sección existe porque un texto que solo cuenta las ventajas no sirve para decidir.
- No sustituye tus obligaciones normativas. El ecosistema hereda controles alineados con el ENS, el RGPD, el DGA y el Data Act, y eso reduce mucho el trabajo de partida. Pero cada participante sigue siendo responsable de la base jurídica de sus tratamientos, de la calidad de sus datos y de sus propios sistemas. Adherirse no traslada la responsabilidad a nadie.
- No hay valor sin masa crítica. El valor depende de quién más está dentro y de qué casos de uso se activan. Con pocos participantes y sin caso de uso definido, la infraestructura funciona y el retorno no aparece.
- Requiere trabajo interno que no podemos hacer por ti. Clasificar los datos y decidir qué se comparte, con quién y bajo qué condiciones es una decisión de negocio, no una tarea técnica. Es la parte que más tiempo consume y la que más se subestima.
- El ecosistema está en validación. Dataspace.es opera hoy con un grupo limitado de organizaciones. No es un catálogo abierto con miles de conjuntos de datos disponibles, y decir lo contrario sería vender humo.
¿Qué puede hacer tu organización con esto la semana que viene?
Tres cosas, y ninguna exige tecnología nueva.
- La primera es un inventario honesto: qué datos generas ya, quién te los pide hoy y con qué fricción se los das. Si en ese ejercicio aparece un intercambio que resuelves con un Excel por correo o con un FTP, ya tienes un caso de uso candidato.
- La segunda es identificar el intercambio que no haces por miedo: la conversación que se quedó parada porque nadie sabía cómo garantizar que el dato no se usaría para otra cosa. Ese es el caso de uso con más retorno, porque hoy vale cero.
- La tercera es mirar la financiación antes de presupuestar. En España existen líneas de ayuda públicas orientadas a cubrir el coste de incorporación a espacios de datos, como el programa Kit Espacios de Datos. Conviene comprobar qué convocatoria está abierta en ese momento, porque los plazos cambian.
Javier Jiménez.
Director General y CISO en GrayHats.
© Grayhats | Blog
¿Tiene tu organización datos que hoy no comparte por miedo a perder el control?
Ese es exactamente el problema que resuelve un espacio de datos, y el primer paso es sencillo: ver si tu caso de uso encaja antes de comprometer nada.
Respondemos tus dudas
No. La arquitectura es federada: los datos permanecen en los sistemas de cada participante y se acceden bajo condiciones pactadas. Lo que se comparte de forma centralizada son metadatos —la descripción de qué datos existen y en qué condiciones—, no el contenido.
No. El modelo de adhesión es escalonado y está pensado para organizaciones con niveles de madurez digital distintos, incluidas pymes, cooperativas, administraciones locales y centros de investigación. El requisito de entrada real no es el tamaño: es tener un caso de uso identificado.
Depende del caso de uso y de la madurez de los datos de partida, no de la infraestructura. Lo que suele marcar el plazo es el trabajo previo de clasificación y de decisión sobre qué se comparte y bajo qué condiciones, no el despliegue del conector.
Dataspace.es es un proyecto promovido por CordubaTech ESAL y operado técnicamente por GrayHats S.L.U.
Financiado por la Unión Europea – NextGenerationEU. Los puntos de vista y las opiniones expresadas son únicamente los del autor o autores y no reflejan necesariamente los de la Unión Europea o la Comisión Europea. Ni la Unión Europea ni la Comisión Europea pueden ser consideradas responsables de las mismas. Proyecto correspondiente a los fondos del Plan de Recuperación, Transformación y Resiliencia del Ministerio para la Transformación Digital y de la Función Pública (Expediente: TSI-100130-2024-31).