Datenschutz

El BSI publica criterios para evaluar la soberanía de los servicios en la nube

En un paso clave para fortalecer la autonomía digital en Europa, el Bundesamt für Sicherheit in der Informationstechnik (BSI), la agencia federal alemana de ciberseguridad, ha dado a conocer un conjunto de criterios diseñados para evaluar la soberanía de los servicios en la nube. Este marco busca proporcionar a gobiernos, empresas y organizaciones herramientas claras para determinar hasta qué punto un proveedor de cloud cumple con los estándares de control, seguridad y autonomía requeridos en el contexto europeo.

La iniciativa refleja una preocupación creciente en el continente por reducir la dependencia de infraestructuras tecnológicas externas, especialmente en un sector dominado por actores no europeos. Aunque el documento no menciona proveedores específicos, su enfoque está alineado con los esfuerzos de la Unión Europea para impulsar alternativas locales que garanticen mayor transparencia y cumplimiento normativo.

¿Qué evalúan los criterios?

Según el BSI, los parámetros publicados abordan aspectos técnicos, legales y operativos, entre los que destacan:

• Control sobre los datos: Capacidad de las organizaciones para gestionar y proteger la información almacenada en la nube sin interferencias externas.
• Cumplimiento normativo: Alineación con regulaciones europeas como el Reglamento General de Protección de Datos (GDPR) y otras leyes de ciberseguridad.
• Resiliencia y transparencia: Mecanismos para garantizar la disponibilidad de los servicios y la trazabilidad de las operaciones.
• Independencia tecnológica: Uso de estándares abiertos y soluciones que minimicen la dependencia de proveedores con sede fuera de la UE.

El BSI subraya que estos criterios no son vinculantes, sino una guía para que las entidades puedan tomar decisiones informadas al contratar servicios en la nube. «La soberanía digital no es solo un tema de seguridad, sino también de autonomía estratégica», señala el documento, aunque no incluye declaraciones atribuidas a funcionarios.

Un paso en la estrategia europea

La publicación de estos criterios se enmarca en un contexto más amplio de colaboración entre países de la UE para reducir riesgos asociados a la concentración del mercado cloud en manos de un reducido número de empresas. En noviembre de 2025, el BSI y su homólogo francés, la Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI), emitieron un comunicado conjunto sobre la necesidad de establecer marcos comunes para la soberanía en la nube, aunque sin detallar los criterios específicos ahora publicados.

Para las empresas europeas, especialmente aquellas que manejan datos sensibles, estos criterios podrían convertirse en un referente a la hora de elegir proveedores. Sin embargo, su adopción dependerá de cómo se integren en las políticas nacionales y en los procesos de contratación pública.

Desafíos pendientes

A pesar de los avances, expertos señalan que la soberanía en la nube enfrenta obstáculos como la falta de alternativas locales con capacidad para competir en escala con los grandes proveedores globales. Además, la interoperabilidad entre servicios y la portabilidad de datos siguen siendo retos técnicos clave para evitar el vendor lock-in (dependencia de un único proveedor).

El BSI no ha anunciado planes para actualizar estos criterios en el corto plazo, pero se espera que sirvan como base para futuras discusiones a nivel europeo. Mientras tanto, las organizaciones interesadas pueden consultar el documento completo en el sitio web del BSI.