Manteni­miento de software: qué debe cubrir un contrato de manteni­miento

Un contrato de mantenimiento debe regular quién mantiene su software actualizado, seguro y operativo. Eso incluye actualizaciones de seguridad y de versión, copias de seguridad con prueba de restauración, monitorización, corrección de errores, tiempos de respuesta escalonados, una bolsa de horas para pequeños ajustes y un informe periódico. El software nunca está terminado: aunque su código no cambie, su entorno cambia sin parar.

Aunque hoy un sitio web, un portal de clientes o una app funcionen sin fallos, los sistemas operativos, los navegadores, los lenguajes de programación, las bibliotecas y los servicios conectados siguen evolucionando. Este artículo muestra qué servicios forman parte de un buen contrato de mantenimiento, cómo separar mantenimiento, soporte y evolución y cómo reconocer el alcance adecuado.

Por qué el software envejece sin manteni­miento

El software moderno se compone en gran parte de elementos de terceros: frameworks, bibliotecas, plugins y servicios en la nube. Cada uno de ellos recibe actualizaciones, a menudo por vulnerabilidades de seguridad. Quien no las aplica deja abiertos puntos débiles conocidos y, de paso, acumula deuda técnica.

• Las vulnerabilidades de frameworks y plugins se hacen públicas y se explotan de forma deliberada.
• Los lenguajes de programación como PHP tienen periodos de soporte fijos; después ya no hay actualizaciones de seguridad.
• Los sistemas operativos y los navegadores cambian su comportamiento y sus requisitos, por lo que las apps deben adaptarse con regularidad.
• Las interfaces externas de proveedores de pago, servicios de envío o plataformas cambian o se desactivan.
• Los requisitos legales, como la protección de datos o la accesibilidad, siguen evolucionando.

Obligaciones que hacen necesario el manteni­miento

El mantenimiento no es solo una cuestión técnica, sino también jurídica. Tres ejemplos:

• Protección de datos: el RGPD exige medidas técnicas y organizativas adecuadas conforme al estado de la técnica (art. 32). Eso incluye cerrar con prontitud las vulnerabilidades conocidas.
• Accesibilidad: la Ley alemana de accesibilidad (BFSG) se aplica desde el 28 de junio de 2025 a determinados productos y servicios digitales, como las tiendas online para consumidores. Los cambios y las actualizaciones no pueden empeorar la accesibilidad.
• Cyber Resilience Act: el reglamento de la UE afecta a los fabricantes de productos con elementos digitales, como software y dispositivos con software que se ofrecen en el mercado de la UE. Las obligaciones de notificación de vulnerabilidades explotadas activamente se aplican desde el 11 de septiembre de 2026 y las demás obligaciones, desde el 11 de diciembre de 2027. Que su producto esté afectado depende de cada caso.

Las empresas incluidas en el ámbito de la Directiva NIS2 también deben vigilar la seguridad de su cadena de suministro y, con ello, la de sus proveedores de servicios. Un contrato de mantenimiento no sustituye una revisión de cumplimiento, pero crea las rutinas con las que estos requisitos pueden cumplirse de forma duradera.

Qué debe incluir un contrato de manteni­miento

Actualiza­ciones de seguridad y de versión

Actualización periódica de frameworks, bibliotecas, plugins y entorno de servidor: primero se prueba en un entorno de pruebas y después se aplica en producción. Defina con qué ritmo se realizan las actualizaciones de funciones y con qué rapidez se aplican las actualizaciones críticas de seguridad.

Copias de seguridad con prueba de restauración

Una copia de seguridad vale lo que vale su restauración. Un buen mantenimiento incluye copias automáticas en un lugar separado, según la regla 3-2-1 (tres copias en dos soportes, una de ellas externa), y pruebas periódicas para comprobar que de ellas puede restaurarse realmente un sistema que funcione.

Monitoriza­ción

La disponibilidad, los tiempos de carga, los certificados SSL que caducan, el espacio de almacenamiento y los registros de errores se supervisan automáticamente. Así los problemas se detectan antes de que los clientes los noten. Ante cualquier anomalía, los responsables reciben un aviso inmediato, por correo electrónico o en el sistema de tickets.

Corrección de errores y tiempos de respuesta

¿Cómo se notifican los errores, con qué rapidez se responde y qué incluye el contrato? Distinga entre tiempo de respuesta (cuándo empieza la atención) y tiempo de resolución (cuándo vuelve a funcionar el sistema) y acuerde ambos de forma escalonada según la urgencia. Un ejemplo de escalonamiento; los tiempos concretos son objeto de negociación y dependen de la importancia del software:

• Crítico (caída total, pérdida de datos, incidente de seguridad): respuesta inmediata, si es necesario también fuera del horario laboral
• Alto (función central como el pedido o el inicio de sesión limitada): respuesta el mismo día laborable
• Normal (error con solución alternativa): respuesta en pocos días laborables
• Bajo (errores de visualización, deseos): atención en la siguiente ventana de mantenimiento

Quien necesite una disponibilidad determinada la regula aparte como acuerdo de nivel de servicio (SLA).

Bolsa de horas para pequeños ajustes

Un bloque de texto, un campo nuevo en el formulario, una plantilla de correo modificada: una bolsa fija de horas permite planificar sin complicaciones los cambios pequeños.

Docu­menta­ción e informes

¿Qué se ha actualizado, qué incidentes hubo, dónde hay que actuar? Un informe periódico aporta transparencia y ayuda a planificar el presupuesto.

Delimitar manteni­miento, soporte y evolución

Estos conceptos se mezclan a menudo. El siguiente cuadro muestra dónde están los límites:

Ámbito	Objetivo	Ejemplos	Se factura normalmente mediante
Mantenimiento	conservar el estado actual y la seguridad	actualizaciones, copias de seguridad, monitorización, renovación de certificados	tarifa fija o bolsa de horas
Soporte	resolver consultas e incidencias en la operación	ayuda de uso, análisis de errores, gestión de usuarios	bolsa de horas o por esfuerzo
Evolución	crear funciones nuevas	módulo nuevo, interfaz nueva, rediseño	un presupuesto aparte
Garantía legal	subsanar defectos del desarrollo original	errores que ya estaban en el código en el momento de la aceptación	el contrato de desarrollo, no la tarifa fija de mantenimiento

Un buen contrato indica con claridad qué incluye la tarifa fija y qué se encarga aparte. Especialmente importante es el límite con la garantía legal: los errores que ya estaban en el código original corresponden, por regla general, al contrato de desarrollo dentro del plazo de garantía. Jurídicamente, los contratos de mantenimiento suelen mezclar elementos de contrato de servicios (Dienstvertrag) y de contrato de obra (Werkvertrag); haga revisar la fórmula.

El manteni­miento en la práctica: actualiza­ción de PHP, emergencias y apps

Ejemplo práctico: la actualiza­ción de PHP

Muchos sitios web, tiendas y portales funcionan con PHP. Cada versión de PHP recibe actualizaciones de seguridad solo durante un periodo fijo: PHP 8.1 llegó a ese punto a finales de 2025 y PHP 8.2 lo hará a finales de 2026. Actualizar a una versión nueva no es cuestión de pulsar un botón: hay que adaptar y probar las funciones obsoletas del código y de los plugins.

Con un mantenimiento continuo, esto es un paso rutinario y planificable: se comprueba pronto qué plugins y bibliotecas son compatibles, el cambio se prueba en un entorno de staging y se aplica en el momento acordado. Sin mantenimiento suele convertirse en una operación de emergencia, normalmente cuando el proveedor de hosting desactiva la versión antigua o se conoce una vulnerabilidad.

Qué puede pasar sin manteni­miento

• Un plugin con una vulnerabilidad conocida se convierte en la puerta de entrada de código malicioso.
• Un certificado SSL caducado muestra a los visitantes un aviso que los disuade.
• Una interfaz de pago deja de aceptar pedidos de repente tras un cambio del proveedor.
• Un almacenamiento que se llena o una copia de seguridad fallida solo se detectan cuando ya es una emergencia.

Cada uno de estos casos cuesta ventas y confianza, y resolverlos con prisas casi siempre resulta más caro que el mantenimiento preventivo.

Particulari­dades de las apps

En las apps se suman los requisitos de las tiendas. Google Play exige que las apps se orienten con regularidad a las versiones actuales de Android y Apple también requiere herramientas de desarrollo actuales para las versiones nuevas. Quien no cuida su app puede llegar a no poder publicar más actualizaciones y, en el peor de los casos, deja de mostrarse a los usuarios nuevos.

Hacer eficiente el manteni­miento

Un buen mantenimiento no consiste en hacer clic a mano por interfaces de administración. Las pruebas automatizadas comprueban tras cada actualización si siguen funcionando los procesos más importantes. Una pipeline de despliegue aplica los cambios de forma reproducible y permite volver con rapidez al último estado estable si hay problemas. Y los avisos automáticos sobre dependencias vulnerables muestran dónde hay que actuar. Eso ahorra tiempo y reduce el riesgo de cada actualización.

Cómo se factura el manteni­miento

Modelo	Encaja si …	Ventaja	Riesgo
Tarifa mensual fija	el software es crítico para el negocio y el alcance puede definirse con claridad	costes previsibles, tiempos de respuesta fijos	el alcance debe describirse con precisión
Bolsa de horas	la demanda fluctúa y se trata sobre todo de actualizaciones y cambios pequeños	uso flexible	el mantenimiento puede quedar relegado por el día a día
Facturación por esfuerzo	el software se usa poco y no es crítico	solo paga cuando hay necesidad	sin previsibilidad ni respuesta garantizada

Para el software crítico para el negocio suele recomendarse una tarifa fija con tiempos de respuesta definidos: hace los costes previsibles y garantiza que el mantenimiento no quede relegado por el día a día.

Encontrar el alcance adecuado y revisar el contrato

No todo el software necesita el mismo cuidado. Estas preguntas ayudan a situar el suyo:

• ¿Cuánto le cuesta que el software no esté disponible durante un día?
• ¿Se tratan datos personales o sensibles?
• ¿Cuántas extensiones, plugins e interfaces están en uso?
• ¿Con qué frecuencia hacen falta cambios pequeños?
• ¿Hay alguien en la empresa que pueda comprobar las actualizaciones?

Checklist para su contrato de manteni­miento

• Alcance de las actualizaciones y procedimientos de prueba descritos
• Frecuencia de las copias, lugar de almacenamiento y pruebas de restauración regulados
• Monitorización con notificaciones acordada
• Tiempos de respuesta y de resolución fijados según la urgencia
• Bolsa de horas para pequeños cambios definida
• Límites con la evolución y la garantía legal formulados con claridad
• Accesos, documentación y derechos sobre el código regulados
• Contrato de encargo de tratamiento si el proveedor tiene acceso a datos personales
• Duración, plazos de preaviso y traspaso en caso de cambio de proveedor definidos
• Informes periódicos acordados

Cómo le ayuda Nano Concepts

El mantenimiento no es una obligación molesta, sino el seguro de su inversión. Ofrecemos mantenimiento de software y mantenimiento y soporte para sitios web, tiendas, portales y apps, nos ocupamos de la seguridad web y automatizamos actualizaciones y despliegues con DevOps y CI/CD.

¿Tiene un software desarrollado por otro proveedor del que ya nadie se ocupa? También nos hacemos cargo de proyectos existentes. Primero revisamos el código, el servidor y las dependencias y le mostramos dónde hay riesgos. Si reconstruir tiene más sentido que seguir evolucionando el software, se lo decimos con franqueza. En la primera consulta gratuita aclaramos el alcance y después recibe un presupuesto transparente.

Este artículo no sustituye el asesoramiento jurídico.