Soberanía digital: qué significa de verdad

Qué es la soberanía y qué no es

Soberanía significa, en esencia, control: el derecho y la capacidad de decidir qué pasa, sin que otro lo decida por encima de ti. En teoría del Estado eso se refiere a un país. La soberanía digital es la misma idea aplicada a tu sistema de información.

Para una organización se descompone en tres preguntas, y conviene hacerlas por separado:

• ¿Quién puede llegar a tus datos? No solo quién tiene permiso, sino quién puede técnica y jurídicamente, incluso sin que tú te enteres.
• ¿Quién decide si tu tecnología sigue funcionando? Una licencia que no se renueva, un servicio que se retira, un precio que se duplica: todas son decisiones ajenas que caen sobre tu operación.
• ¿Puedes irte? Y no en teoría. ¿Puedes demostrarlo, en un plazo que sobrevivas?

Lo que no es: autosuficiencia. Construirlo y gestionarlo todo por tu cuenta no es una decisión sensata para casi ninguna organización, y tampoco produce soberanía: solo traslada la dependencia a las dos personas que lo entienden. La soberanía no va de externalizar menos, sino de externalizar con la salida a la vista.

Por qué un centro de datos europeo no basta

Aquí es donde encallan casi todas las conversaciones, y es el punto que importa.

La CLOUD Act estadounidense de 2018 establece que las autoridades de ese país pueden obligar a un proveedor sujeto a su jurisdicción a entregar datos que tenga bajo su control, con independencia del país en el que estén físicamente. La ley se ancla en el control sobre los datos, no en su ubicación. Un centro de datos europeo de una matriz estadounidense no cambia eso por sí solo.

Encima está la parte europea. El Tribunal de Justicia anuló el Privacy Shield en la sentencia Schrems II de 2020; desde 2023 hay una nueva decisión de adecuación para las transferencias a Estados Unidos. Esa decisión hace viables las transferencias, pero no responde a la pregunta de jurisdicción: regula en qué condiciones los datos pueden cruzar la frontera, no quién puede reclamarlos al otro lado.

Los grandes proveedores ya tienen respuestas en forma de variantes con una entidad jurídica europea, personal europeo y una operación que no sale del continente. No están vacías —desplazan el control de verdad— pero tampoco son gratuitas ni están disponibles en todas partes, y las condiciones exactas cambian según el proveedor y el servicio. Léelas, y que un abogado las revise antes de construir sobre ellas. Somos una empresa de TI y no un despacho: podemos enseñarte dónde está la tecnología y qué es trasladable, no qué opinará un juez.

Las tres capas donde está la dependencia

En la práctica conviene mirar la soberanía capa por capa, porque el coste y las opciones varían enormemente entre ellas.

• Los datos. Dónde están, quién guarda las claves con las que están cifrados y dónde están las copias de seguridad. Es la capa más barata de abordar y normalmente la más importante.
• La tecnología. ¿Tu aplicación corre sobre algo que también corre en otro sitio, o sobre un servicio que existe en un único lugar? Una base de datos en un contenedor se muda. Un servicio que solo existe en un proveedor no se muda: se reconstruye.
• La operación. Quién entra a administrar, desde qué país, y a qué derecho está sujeta la parte que lo hace. Es la capa que más se olvida y la primera que importa durante un incidente.

Las tres no viajan juntas. Tus datos pueden estar en Europa mientras la administración se hace desde otro continente, y puedes tener un proveedor íntegramente europeo que use software del que nunca te librarás. Quien trate la soberanía como una sola casilla marcará la capa que era más fácil de resolver.

Qué dicen las normas en realidad

Se cita mucha legislación para justificar exigencias de soberanía. Esto es lo que dice, y dónde se detiene.

El RGPD impone condiciones a las transferencias fuera del Espacio Económico Europeo y a lo que pactas con los encargados del tratamiento. No exige un proveedor europeo; exige que puedas explicar a dónde van los datos y con qué base.

NIS2, desarrollada en los Países Bajos como la Cyberbeveiligingswet, pide gestión del riesgo en la cadena de suministro y sitúa la responsabilidad expresamente en el órgano de dirección. Tampoco es una exigencia de soberanía, pero obliga a poner por escrito qué proveedor aporta qué riesgo, y ese es exactamente el inventario con el que empieza este asunto.

DORA se aplica a las entidades financieras desde enero de 2025 y es la que más lejos llega: deben tener una estrategia de salida para los proveedores de TIC críticos y ponderar el riesgo de concentración de forma explícita. Hoy por hoy es el equivalente legal más cercano a lo que trata este artículo.

El Reglamento europeo de Datos se aplica desde septiembre de 2025 y obliga a los proveedores a hacer posible el cambio en lugar de dificultarlo por contrato; los costes que pueden cobrar por ello deben ir desapareciendo. Para este tema es la novedad más útil de los últimos años.

En un esquema europeo de certificación para la nube se lleva años trabajando, y el nivel al que se aplicarían las exigencias de soberanía es justo la parte en la que se atasca una y otra vez. No cuentes con que esté cuando tengas que elegir.

Qué hacer al respecto, en la práctica

Aquí tienes una escalera, de barato a caro. La mayoría de las organizaciones no pasa de los tres primeros peldaños, y normalmente eso es justo lo suficiente.

• Pon por escrito dónde está todo. Qué servicio, qué proveedor, qué país, bajo qué derecho, y qué se para si desaparece. Cuesta una tarde y es el único paso que necesitas de todos modos: para NIS2, para tu aseguradora y para ti.
• Pon las copias de seguridad en otro sitio. Con otro proveedor, en otra jurisdicción, escritas de forma inmutable. Es el peldaño con mayor rendimiento por euro: protege frente a un proveedor que desaparece, frente al ransomware y frente a una factura sin pagar. Cómo lo montamos está en copias y continuidad.
• Guarda tus propias claves donde puedas. El cifrado con claves que conservas tú limita lo que un proveedor puede entregar cuando se lo piden. Eso sí, ten claro qué compras: en muchos servicios la clave tiene que pasar por la memoria del proveedor para poder usarla, y en ese momento la protección es de procedimiento y no matemática.
• Prueba la salida. Un plan de salida que nunca se ha ejecutado es un documento, no un plan. Una vez al año, restaura un entorno en otra parte y mide cuánto tardó. Casi nadie lo hace, y casi todo el que lo hace se encuentra con algo.
• Traslada lo trasladable. Solo aquí entran en escena las variantes soberanas, los proveedores europeos o el equipo propio: cuando los cuatro primeros peldaños están puestos y la ponderación sigue apuntando hacia ahí.

La pregunta inversa también cuenta: cuándo no hace falta. Si no tratas categorías especiales de datos personales, no estás sujeto ni a NIS2 ni a DORA y ningún cliente te lo exige, el primer peldaño basta y los otros cuatro son dinero que rinde más en otro sitio. Lo decimos también cuando nos cuesta el trabajo.