Hasta hace poco, comparar proveedores Cloud era sobre todo una cuestión de precio, capacidad y prestaciones. Hoy la conversación ha cambiado. Con la soberanía del dato en el centro del debate europeo, la pregunta que más pesa es otra: ¿quién controla de verdad tu infraestructura y tus datos?

El término «soberano» se ha puesto de moda y cada proveedor lo interpreta a su manera. Para algunos basta con almacenar los datos en Europa. Otros van más allá y controlan también la operación, el personal con acceso a los sistemas y la legislación que se les aplica. La diferencia es importante, sobre todo si trabajas en un sector regulado.

En esta guía repasamos qué es un Cloud soberano, qué conviene evaluar antes de elegir proveedor y qué preguntas hacerle para comprobar que cumple lo que promete.

Qué es un Cloud soberano

Hablamos de Cloud soberano cuando los datos, la infraestructura y la operación del servicio quedan bajo la jurisdicción y el control del país o la región del cliente, sin que terceros países puedan exigir acceso a ellos.

Que los servidores estén en España no lo garantiza por sí solo. También cuenta de quién es la propiedad de la empresa, desde dónde se administra el servicio y a qué leyes responde el proveedor.

Tener una región en Europa no es lo mismo

Los grandes proveedores estadounidenses tienen regiones en España y en el resto de Europa. Los datos se guardan aquí, sí, pero la empresa matriz sigue sometida a la legislación de Estados Unidos.

La norma que suele salir en esta conversación es la CLOUD Act, aprobada en 2018. Permite a las autoridades estadounidenses pedir a las empresas bajo su jurisdicción los datos que controlan, estén donde estén almacenados. Y eso puede chocar con el RGPD o con las obligaciones de confidencialidad de muchos sectores.

Por eso conviene distinguir entre tres niveles. El primero es la residencia del dato, es decir, que los datos estén físicamente en España o en la UE. El segundo es la soberanía operativa: que la administración y el soporte se hagan desde la UE, con personal sometido a su legislación. Y el tercero, la soberanía plena, en la que proveedor, infraestructura y operación están bajo jurisdicción europea sin depender legalmente de otros países.

8 criterios para elegir un proveedor de Cloud soberano

1. Infraestructura bajo control

Lo primero es saber de quién son los centros de datos y el hardware. Un proveedor con CPD propios decide sobre la seguridad física, el mantenimiento y la evolución de la plataforma. Si revende capacidad de un tercero, depende de lo que ese tercero decida.

Puedes preguntar dónde están ubicados los centros de datos, si son propios o alquilados, qué redundancia tienen en energía y conectividad, y quién es el accionista mayoritario de la compañía.

2. Datos bajo control

Tienes que saber en todo momento dónde se almacenan, se procesan y se respaldan tus datos. Y aquí las copias de seguridad cuentan tanto como la producción: de poco sirve tener los sistemas en Madrid si el backup se replica fuera de la UE.

Otro punto que a menudo se pasa por alto es el cifrado. Si puedes gestionar tus propias claves, el control sobre la información es mucho mayor. Puedes pedir que la ubicación de los datos y las copias quede reflejada en el contrato, junto con el acuerdo de encargo de tratamiento que exige el RGPD.

3. Operación y administración

La soberanía también depende de quién tiene las llaves. Si la plataforma se administra desde fuera de la UE, o la gestiona personal sometido a otra legislación, el control real se reduce.

Conviene preguntar:

• Desde qué países se presta la administración y el soporte.
• Cómo se controlan y registran los accesos privilegiados.
• Si vas a tener trazabilidad de quién accede a tus sistemas y cuándo.

4. Cumplimiento demostrable

Decir que se cumple es fácil; demostrarlo, no tanto. Las certificaciones y las auditorías independientes son la forma más objetiva de comprobarlo.

La ISO 27001 es el punto de partida. Si trabajas con el sector público necesitarás además el Esquema Nacional de Seguridad en la categoría que corresponda. Revisa siempre el alcance de cada certificado: tiene que cubrir el servicio que vas a contratar, no solo una parte de la empresa.

5. Continuidad de negocio

Un Cloud que aloja sistemas críticos tiene que estar preparado para que algo falle sin que tu negocio se pare. Eso significa alta disponibilidad con redundancia geográfica, copias de seguridad que se prueban de forma periódica y un plan de recuperación ante desastres.

Pide que el RTO y el RPO estén garantizados por contrato, pregunta si existe un centro de respaldo separado geográficamente y cada cuánto se ensaya una recuperación completa.

6. Responsabilidad clara

Cuando surge una incidencia tienes que saber quién responde, en cuánto tiempo y cómo se escala. En los modelos de responsabilidad compartida es habitual descubrir tarde que una parte del problema le tocaba al cliente.

Una matriz de responsabilidades y un SLA con tiempos de respuesta por nivel de criticidad evitan sorpresas. Contar con un interlocutor técnico que conozca tu entorno también marca la diferencia.

7. Transparencia sobre terceros

La cadena de suministro tecnológica forma parte del riesgo. NIS2 y DORA obligan a muchas organizaciones a conocer y supervisar no solo a sus proveedores, sino también a los proveedores de estos.

Pide el listado de subcontratistas que intervienen en el servicio, comprueba que operan en la UE y asegúrate de que el contrato te obliga a avisarte antes de cualquier cambio.

8. Capacidad de auditoría

En banca, seguros, sanidad o administración pública tendrás que demostrar a tus auditores y supervisores cómo se protegen tus sistemas. Tu proveedor debe ponértelo fácil: con derecho de auditoría recogido en el contrato, informes periódicos y disposición a colaborar si un regulador pide información.

Qué normativa influye en la elección

La soberanía del dato no es solo una preferencia. Varias normas obligan a controlar dónde están los datos y quién los gestiona:

• Afecta a cualquier organización que trate datos personales. Exige un contrato de encargo de tratamiento y control sobre las transferencias internacionales y los subencargados.
• ENS (Real Decreto 311/2022). Se aplica al sector público y a sus proveedores tecnológicos, que deben estar certificados en la categoría que corresponda.
• Afecta a entidades esenciales e importantes de sectores como energía, salud, transporte o infraestructura digital. Pone el foco en la cadena de suministro y la notificación de incidentes.
• Obligatorio para las entidades financieras desde enero de 2025. Exige registrar y supervisar a los proveedores TIC, con derecho de auditoría y estrategias de salida.

Si tu organización está sujeta a alguna de ellas, el proveedor Cloud pasa a formar parte de tu propio cumplimiento. Elegir uno que no aporte evidencias es trasladar el riesgo a casa.

Preguntas frecuentes

¿Una región de un hiperescalar en España es un Cloud soberano?

No necesariamente. Garantiza que los datos residen en España, pero si la empresa matriz está sometida a legislación extranjera, como la CLOUD Act, no hay soberanía plena.

¿Es lo mismo Cloud soberano que nube soberana?

Sí. Son dos formas de llamar al mismo concepto: servicios en la nube bajo jurisdicción y control europeos.

¿Qué certificaciones debería tener un proveedor Cloud?

Como mínimo, ISO 27001 sobre el servicio que presta. Si trabajas con el sector público, también el ENS. Otras habituales son la ISO 22301, de continuidad de negocio, y la ISO 9001, de calidad.

¿La administración pública está obligada a usar un Cloud soberano?

El ENS exige que los proveedores que dan servicio al sector público estén certificados y cumplan sus medidas de seguridad. En los sistemas de categoría alta, la ubicación y el control de los datos tienen un peso especial.

¿Un Cloud soberano es menos escalable?

No. Ofrece recursos bajo demanda y alta disponibilidad igual que cualquier otro Cloud, y puede convivir con otras plataformas en un modelo híbrido.

Tu Cloud soberano con ASAC

En ASAC operamos nuestro Cloud sobre centros de datos propios en España, con un equipo técnico propio y sin depender de hiperescalares.

Puedes alojar tus sistemas en nuestro Cloud privado o llevar tu Data Center a la nube, con servicios gestionados y soporte en español.

¿Quieres saber qué modelo encaja con tus sistemas? Analiza tu estrategia Cloud con ASAC y te ayudamos a valorar las opciones.