Cómo las agencias gubernamentales europeas pueden cumplir los requisitos de adquisición para la soberanía digital

Las agencias gubernamentales europeas están pasando de objetivos aspiracionales de soberanía digital a especificaciones de adquisición exigibles. En octubre de 2025, la Comisión Europea publicó el Marco de Soberanía en la Nube (versión 1.2.1), que introduce ocho Objetivos de Soberanía y una metodología de puntuación que las agencias gubernamentales de todos los niveles pueden usar para evaluar a los proveedores de nube. La Comisión respaldó el marco con una licitación de 180 millones de euros para servicios de nube soberana bajo el Sistema Dinámico de Adquisición Cloud III, estableciendo el primer referente operativo sobre cómo se aplica la soberanía de los datos en la práctica para la adquisición de nube en el sector público.

Este cambio refleja una realidad estructural que los responsables de adquisiciones, directores de TI y responsables de protección de datos en las administraciones públicas europeas están afrontando. El informe del Parlamento Europeo de 2025 sobre soberanía tecnológica estima que la UE depende de países no pertenecientes a la UE para más del 80% de productos digitales, servicios, infraestructura y propiedad intelectual. Los proveedores europeos de nube poseen aproximadamente el 15% del mercado de la UE. Cuando los datos de los ciudadanos, el uso compartido de archivos entre agencias y la correspondencia regulatoria circulan por plataformas controladas por proveedores no europeos sujetos al CLOUD Act y la Sección 702 de FISA, la distancia entre la intención de adquisición y la realidad operativa en materia de soberanía es significativa.

Esta guía analiza cómo las agencias gubernamentales europeas pueden redactar especificaciones de adquisición que traduzcan los requisitos de soberanía en criterios técnicos evaluables, utilizando el Marco de Soberanía en la Nube de la UE como punto de partida y aplicándolo a las decisiones prácticas que toman las agencias al seleccionar plataformas para el intercambio de datos sensibles.

Resumen Ejecutivo

Idea principal: Las agencias gubernamentales europeas ahora cuentan con un marco estandarizado para evaluar la soberanía en la nube durante las adquisiciones. Los ocho Objetivos de Soberanía y el sistema de puntuación SEAL (Sovereignty Effective Assurance Level) del Marco de Soberanía en la Nube de la UE proporcionan criterios evaluables que cubren dimensiones estratégicas, legales, operativas y tecnológicas. Las agencias pueden usar este marco para redactar especificaciones que distingan entre soberanía genuina y argumentos de marketing, exigiendo a los proveedores evidencia arquitectónica en lugar de simples garantías contractuales.

Por qué te interesa: El Marco de Soberanía en la Nube no es teórico. La Comisión Europea lo está utilizando para su propia adquisición de nube por 180 millones de euros, con adjudicación prevista entre diciembre de 2025 y febrero de 2026. Toda oferta que no cumpla los niveles mínimos de garantía en los ocho objetivos se rechaza automáticamente. Se espera que los gobiernos nacionales adopten criterios comparables. La certificación SecNumCloud de Francia ya exige requisitos de soberanía para la nube del sector público. Los Requisitos de Plataforma en la Nube de Alemania establecen expectativas similares a través de la asociación Delos Cloud. Las agencias que no actualicen sus especificaciones de adquisición corren el riesgo de elegir proveedores que no puedan cumplir con los estándares emergentes de soberanía a nivel nacional y de la UE.

5 conclusiones clave

1. El Marco de Soberanía en la Nube de la UE proporciona ocho objetivos evaluables para adquisiciones. SOV-1 a SOV-8 cubren soberanía estratégica, legal, de datos, operativa, de cadena de suministro, tecnológica, de seguridad y medioambiental. Cada uno se puntúa con niveles SEAL del 0 (sin soberanía) al 4 (soberanía digital total). Las agencias pueden establecer niveles mínimos SEAL como umbrales de adquisición.
2. La soberanía legal y jurisdiccional (SOV-2) exige una evaluación honesta de la exposición a leyes extraterritoriales. El marco evalúa explícitamente si las autoridades no pertenecientes a la UE pueden exigir acceso a datos o sistemas mediante canales legales, contractuales o técnicos. Los proveedores sujetos al CLOUD Act obtienen una puntuación más baja independientemente de la ubicación del centro de datos en la UE.
3. Las estrategias nacionales de soberanía en la nube están convergiendo hacia estándares a nivel de la UE. SecNumCloud de Francia, el programa Souveräner Cloud de Alemania y el Marco de Soberanía en la Nube de la UE comparten requisitos clave sobre control de claves de cifrado, residencia de datos e independencia operativa de entidades no pertenecientes a la UE.
4. El cifrado controlado por el cliente es un criterio fundamental de adquisición. La soberanía de datos e IA (SOV-3) evalúa si la agencia mantiene el control de las claves de cifrado y si el proveedor puede acceder al contenido descifrado. Este único criterio separa la soberanía genuina del marketing basado en residencia de datos.
5. La Ley de Desarrollo de la Nube e IA formalizará los requisitos de adquisición en la legislación. La Comisión Europea ha anunciado una legislación para crear una política de nube armonizada en toda la UE para administraciones públicas, que hará obligatorios los estándares de soberanía en adquisiciones. Adoptar especificaciones alineadas con el marco desde el principio posiciona a las agencias por delante de los requisitos regulatorios.

El Marco de Soberanía en la Nube de la UE: Guía para responsables de adquisiciones

Ocho objetivos de soberanía como criterios de evaluación

El Marco de Soberanía en la Nube, publicado por la Comisión Europea el 20 de octubre de 2025, introduce una metodología de evaluación estructurada que los responsables de adquisiciones pueden incorporar directamente en los pliegos de licitación. El marco se inspira en el programa Cloud de Confiance de Francia, la iniciativa Souveräner Cloud de Alemania y regulaciones europeas como NIS2 y DORA para definir la soberanía en términos medibles.

Los ocho Objetivos de Soberanía (SOV-1 a SOV-8) ofrecen una estructura de evaluación integral. SOV-1: Soberanía estratégica evalúa si la gobernanza, propiedad y estructura de capital del proveedor están bajo control de la UE o expuestas a dependencias externas. SOV-2: Soberanía legal y jurisdiccional analiza la exposición a sistemas legales no pertenecientes a la UE, incluyendo si las autoridades externas pueden exigir acceso a datos mediante canales legales, contractuales o técnicos. Este objetivo aborda directamente el CLOUD Act y leyes extraterritoriales similares. SOV-3: Soberanía de datos e IA cubre el control sobre el procesamiento de datos, almacenamiento y gestión de claves de cifrado. SOV-4: Soberanía operativa examina si las operaciones, el personal y el soporte del servicio se realizan bajo jurisdicción de la UE.

SOV-5: Soberanía de la cadena de suministro examina el origen y control de componentes de hardware, dependencias de software y cadenas de subcontratistas. SOV-6: Soberanía tecnológica evalúa el grado de independencia tecnológica, incluyendo si la tecnología depende de sistemas propietarios no europeos que podrían ser suspendidos. SOV-7: Soberanía de seguridad y cumplimiento valora la alineación con marcos europeos de certificación de ciberseguridad como ENISA, NIS2 y DORA. SOV-8: Sostenibilidad medioambiental cubre eficiencia energética, uso de energías renovables e informes de sostenibilidad.

Niveles SEAL: de sin soberanía a soberanía digital total

Cada Objetivo de Soberanía se puntúa utilizando los Niveles de Garantía Efectiva de Soberanía (SEAL), que van desde SEAL-0 (sin soberanía) hasta SEAL-4 (soberanía digital total). El marco establece niveles mínimos SEAL que los proveedores deben alcanzar en los ocho objetivos para poder optar a adquisiciones de la UE. Toda oferta que no cumpla el mínimo requerido en algún objetivo se rechaza automáticamente.

Para los responsables de adquisiciones, el sistema SEAL proporciona el lenguaje y la estructura necesarios para superar los requisitos vagos de soberanía en los pliegos de licitación. En lugar de especificar que los proveedores deben «garantizar la soberanía de los datos», las agencias pueden exigir niveles SEAL concretos para objetivos específicos. Por ejemplo, una licitación para el procesamiento de datos de ciudadanos podría exigir SEAL-3 o superior para SOV-2 (soberanía legal) y SOV-3 (soberanía de datos), y aceptar SEAL-2 para SOV-8 (sostenibilidad medioambiental).

Cómo traducir el marco en especificaciones de adquisición

Criterios críticos para plataformas de datos sensibles

Las agencias gubernamentales que adquieran plataformas para uso compartido seguro de archivos, comunicaciones entre agencias y procesamiento de datos de ciudadanos deben priorizar cuatro de los ocho Objetivos de Soberanía en sus especificaciones.

Soberanía legal y jurisdiccional (SOV-2) es el criterio más determinante. Las especificaciones de adquisición deben exigir a los proveedores que revelen todas las jurisdicciones cuyas leyes aplican a su estructura corporativa, operaciones, personal y actividades de procesamiento de datos. La especificación debe preguntar explícitamente si alguna entidad gubernamental no perteneciente a la UE puede exigir al proveedor que produzca, revele o proporcione acceso a los datos de la agencia mediante cualquier mecanismo legal, incluidas órdenes de seguridad nacional, citaciones judiciales o autoridades de inteligencia. Los proveedores sujetos al CLOUD Act deben responder afirmativamente independientemente de dónde se almacenen físicamente los datos.

Soberanía de datos (SOV-3) Las especificaciones deben exigir a los proveedores que documenten en detalle su arquitectura de cifrado. Preguntas clave incluyen si la agencia genera y conserva sus propias claves de cifrado, si el proveedor puede acceder al contenido descifrado bajo cualquier circunstancia y si la gestión de claves de cifrado está separada técnicamente del entorno de procesamiento de datos. La diferencia entre claves gestionadas por el proveedor (donde puede descifrar) y claves controladas por el cliente (donde el proveedor no puede) es la línea práctica entre residencia de datos y soberanía de datos.

Soberanía operativa (SOV-4) Las especificaciones deben abordar si las operaciones, el mantenimiento y el soporte del servicio se realizan exclusivamente por personal con base en la UE bajo jurisdicción europea. Las agencias deben exigir la divulgación de cualquier capacidad de acceso remoto desde ubicaciones fuera de la UE y cualquier circunstancia en la que personal externo pueda acceder a los entornos de la agencia.

Soberanía de la cadena de suministro (SOV-5) Las especificaciones deben exigir transparencia sobre las cadenas de subcontratistas, especialmente si la infraestructura subyacente depende de plataformas en la nube no europeas que reintroducen la exposición jurisdiccional que la adquisición soberana busca eliminar.

Cómo redactar especificaciones evaluables: un enfoque práctico

Las especificaciones de adquisición efectivas en materia de soberanía traducen los requisitos de política en preguntas técnicas de sí/no y requisitos de evidencia documentada. Para cada Objetivo de Soberanía prioritario, las especificaciones deben incluir un requisito obligatorio de divulgación (lo que el proveedor debe revelar), un criterio de evaluación (cómo se puntúan las respuestas) y un estándar de evidencia (qué documentación demuestra el cumplimiento).

Para la gestión de claves de cifrado, la especificación podría decir: «El proveedor debe documentar el ciclo de vida completo de las claves de cifrado, incluyendo generación, almacenamiento, rotación y destrucción de claves. La agencia debe conservar el control exclusivo de las claves en su propio módulo de seguridad de hardware (HSM) o sistema de gestión de claves equivalente. El proveedor debe demostrar, mediante documentación arquitectónica y verificación independiente, que no puede acceder a los datos descifrados de la agencia bajo ninguna circunstancia, incluso bajo coacción legal de cualquier jurisdicción».

Para la residencia de datos, la especificación podría requerir: «Todos los datos de la agencia, incluyendo almacenamiento primario, copias de seguridad, réplicas y metadatos, deben residir exclusivamente dentro de [estado(s) miembro(s) de la UE especificados]. El proveedor debe implementar controles técnicos que impidan que los datos salgan de los límites geográficos designados y debe proporcionar registro de auditoría continuo sobre la ubicación de los datos. La agencia debe tener la capacidad de verificar la residencia de los datos de forma independiente».

Para la independencia del proveedor, la especificación debe indicar: «El proveedor debe demostrar que la agencia puede finalizar la relación sin pérdida de datos ni interrupción del servicio. Todos los datos de la agencia deben ser exportables en formatos estándar y no propietarios. El proveedor debe documentar un plan de transición probado que incluya cronograma, recursos necesarios y procedimientos de migración de datos».

Estrategias nacionales de soberanía con las que deben alinearse las agencias

Francia: SecNumCloud y Cloud de Confiance

El enfoque de Francia es el más prescriptivo de Europa. La certificación SecNumCloud de la ANSSI (v3.2) exige que los proveedores certificados localicen todos los datos de clientes y técnicos en la UE, realicen todo el soporte del sistema dentro de la UE por personal con base en la UE y cumplan restricciones de propiedad que limitan la participación de accionistas no europeos a menos del 25% individualmente y 39% en conjunto. La certificación SecNumCloud es obligatoria para la adquisición de nube del sector público francés y cada vez más influyente para proveedores de infraestructuras críticas en salud, energía, finanzas y transporte. La asociación de Microsoft con Bleu (joint venture Orange/Capgemini) y la de Google con S3NS (Thales) reflejan el peso operativo de estos requisitos.

Alemania: Requisitos de Plataforma en la Nube y Delos Cloud

El enfoque de Alemania opera a través de los Requisitos de Plataforma en la Nube establecidos por el gobierno alemán, implementados mediante la asociación Delos Cloud (una filial de SAP que opera tecnologías Microsoft bajo control alemán). El IT-Planungsrat de Alemania coordina los estándares de TI del sector público a nivel federal y estatal. Para las agencias alemanas, las expectativas supervisoras de BaFin sobre externalización en la nube y las directrices técnicas de la BSI proporcionan requisitos adicionales que complementan los marcos a nivel de la UE. Las agencias que adquieran para uso federal o de Länder deben incorporar tanto los criterios del Marco de Soberanía en la Nube de la UE como los requisitos específicos de Alemania.

Convergencia hacia los estándares de la UE

La Comisión Europea ha anunciado la Ley de Desarrollo de la Nube e IA (CAIDA), que creará una política única de nube en toda la UE para administraciones públicas con estándares de adquisición armonizados. Es probable que esta legislación se base en los ocho objetivos y la metodología SEAL del Marco de Soberanía en la Nube. Las agencias que alineen sus especificaciones de adquisición con el marco ahora estarán preparadas para cumplir con los requisitos de CAIDA cuando sean obligatorios, en lugar de tener que volver a licitar o renegociar acuerdos existentes.

La distancia de soberanía en la práctica actual de adquisiciones

Por qué «centro de datos en la UE» no es suficiente como criterio de adquisición

Muchas especificaciones de adquisiciones gubernamentales actuales exigen «almacenamiento de datos en la UE» o «ubicación de centro de datos en la UE» como medida de soberanía. El Marco de Soberanía en la Nube demuestra por qué esto es insuficiente. La ubicación del centro de datos aborda la geografía física pero no la jurisdicción legal, el control de claves de cifrado, el acceso operativo ni las dependencias de la cadena de suministro. Un proveedor con sede en EE. UU. que opera un centro de datos en la UE obtiene SEAL-0 o SEAL-1 en SOV-2 (soberanía legal) porque la ley estadounidense rige las obligaciones del proveedor independientemente de la ubicación del servidor.

La decisión de la Comisión Europea de usar ocho Objetivos de Soberanía separados en lugar de una sola casilla de «soberanía» refleja la naturaleza multidimensional del reto. Las especificaciones de adquisición que se basan solo en la ubicación del centro de datos permiten a los proveedores afirmar el cumplimiento de soberanía mientras siguen sujetos plenamente a demandas de acceso de gobiernos externos.

Por qué las asociaciones de «nube soberana» requieren escrutinio

Los grandes proveedores estadounidenses han respondido a la presión europea sobre soberanía estableciendo asociaciones en Europa. Bleu de Microsoft (Francia) y Delos Cloud (Alemania), S3NS de Google (Francia) y la European Sovereign Cloud de AWS se presentan como alternativas soberanas. Estas alianzas varían significativamente en el grado de soberanía real que ofrecen, y las especificaciones de adquisición deben evaluarlas con los mismos criterios del marco que a cualquier otro proveedor.

Las preguntas clave para evaluar asociaciones de nube soberana incluyen si la entidad europea tiene control técnico total sobre la tecnología o depende de la matriz estadounidense para código, actualizaciones y mantenimiento. Las agencias deben determinar si la alianza ha sido puesta a prueba ante una demanda del CLOUD Act o FISA y cuál sería el resultado documentado. Deben verificar si la entidad europea puede operar de forma independiente si el socio estadounidense retira su cooperación y si la arquitectura de implementación utiliza infraestructura dedicada o infraestructura multi-tenant compartida con cargas de trabajo no soberanas.

Implementación: cómo integrar la soberanía en tu proceso de adquisición

Fase 1: Evalúa los acuerdos actuales según el marco

Haz un mapeo de todos los servicios cloud y SaaS que procesan datos de ciudadanos, comunicaciones entre agencias, correspondencia regulatoria y documentos internos de políticas. Para cada servicio, evalúa al proveedor actual según los ocho Objetivos de Soberanía, documentando los niveles SEAL cuando sea posible. Identifica acuerdos donde la soberanía legal (SOV-2) o la soberanía de datos (SOV-3) estén por debajo de los umbrales aceptables. Esta evaluación establece la lista de prioridades de migración.

Fase 2: Desarrolla pliegos de licitación alineados con el marco

Redacta especificaciones de adquisición que incorporen los ocho Objetivos de Soberanía como criterios de evaluación, con niveles mínimos SEAL definidos para cada uno. Pondera los criterios según la sensibilidad de los datos y funciones a adquirir. Incluye requisitos obligatorios de divulgación sobre arquitectura de cifrado, exposición jurisdiccional, acceso operativo y composición de la cadena de suministro. Define estándares de evidencia que exijan documentación arquitectónica, no materiales de marketing. Especifica requisitos de estrategia de salida alineados con las expectativas de soberanía operativa del marco.

Fase 3: Evalúa las respuestas usando la metodología del marco

Puntúa las respuestas de los proveedores para cada Objetivo de Soberanía utilizando la metodología SEAL. Rechaza cualquier respuesta que no cumpla los umbrales mínimos en los objetivos prioritarios. Para las respuestas calificadas, aplica la ponderación del marco para comparar la postura general de soberanía. Solicita verificación independiente de las afirmaciones del proveedor, especialmente sobre gestión de claves de cifrado e independencia jurisdiccional.

Fase 4: Valida y monitoriza tras la adjudicación

Tras la adjudicación, valida que la arquitectura implementada coincide con la especificación licitada mediante verificación de auditoría independiente. Establece un seguimiento continuo que incluya reevaluaciones periódicas frente a los Objetivos de Soberanía, especialmente a medida que evolucionen la estructura de propiedad del proveedor, relaciones con subcontratistas y entornos legales. Incluye cláusulas contractuales para la rescisión si la postura de soberanía cae por debajo de los umbrales especificados.

La adquisición soberana protege la confianza ciudadana

Los ciudadanos europeos confían a sus gobiernos datos personales. Registros fiscales, información de salud, datos de servicios sociales, documentos de identidad y comunicaciones entre agencias representan las categorías más sensibles de información en cualquier sociedad. Cuando estos datos circulan por plataformas sujetas a demandas de acceso de gobiernos extranjeros, la promesa implícita de protección de datos ciudadanos se ve comprometida independientemente de lo que digan los contratos.

El Marco de Soberanía en la Nube de la UE proporciona a las agencias gubernamentales las herramientas para tomar decisiones de adquisición que honren esa confianza. Al traducir los principios de soberanía en criterios técnicos evaluables, las agencias pueden seleccionar plataformas que ofrezcan protección genuina en vez de garantías contractuales que no resisten la coacción legal de jurisdicciones extranjeras.

Kiteworks ayuda a las agencias gubernamentales europeas a cumplir los requisitos de adquisición de soberanía digital

La Red de Datos Privados de Kiteworks ofrece una arquitectura soberana alineada con los requisitos del Marco de Soberanía en la Nube de la UE en todos los objetivos prioritarios. En SOV-2 (soberanía legal), el modelo de cifrado controlado por el cliente de Kiteworks significa que la plataforma no puede cumplir demandas extranjeras de descifrado porque no posee las claves. En SOV-3 (soberanía de datos), las agencias generan y conservan las claves en su propio HSM, garantizando la imposibilidad técnica de accesos no autorizados.

Kiteworks se implementa como una instancia de tenencia única en infraestructura dedicada europea, abordando SOV-4 (soberanía operativa) mediante entornos aislados que no se comparten con otros inquilinos ni jurisdicciones. El geofencing integrado refuerza la residencia de datos a nivel de plataforma, proporcionando la evidencia de auditoría continua que exigen las especificaciones de adquisición alineadas con el marco. Kiteworks facilita el cumplimiento GDPR, la alineación con NIS2 y la resiliencia operativa DORA en todos los canales de comunicación de contenido sensible.

La plataforma unifica el uso compartido seguro de archivos, la protección de correo electrónico, la transferencia gestionada de archivos y los formularios web bajo un único marco de gobernanza, permitiendo a las agencias cubrir los requisitos de adquisición de soberanía en todos los canales de intercambio de datos con una sola arquitectura, una sola evaluación y un solo paquete de evidencia.

Para descubrir cómo cumplir los requisitos de adquisición de soberanía digital, agenda una demo personalizada hoy mismo.

Recursos adicionales 

• Artículo del Blog  
  Soberanía de datos: ¿mejor práctica o requisito regulatorio?
• eBook  
  Soberanía de datos y GDPR
• Artículo del Blog  
  Evita estos errores en soberanía de datos
• Artículo del Blog  
  Mejores prácticas de soberanía de datos
• Artículo del Blog  
  Soberanía de datos y GDPR [Entendiendo la seguridad de los datos]