{"id":3361,"date":"2026-10-05T22:26:29","date_gmt":"2026-10-05T20:26:29","guid":{"rendered":"https:\/\/eu.klytic.com\/?page_id=3361"},"modified":"2026-10-06T17:21:35","modified_gmt":"2026-10-06T15:21:35","slug":"nube-soberana-definicion","status":"publish","type":"page","link":"https:\/\/eu.klytic.com\/es\/nube-soberana-definicion\/","title":{"rendered":"Nube soberana: definici\u00f3n, criterios y l\u00edmites"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Inicio<\/a>\u203a<\/span>Gu\u00edas<\/a>\u203a<\/span>Soberan\u00eda<\/a><\/p>

Soberan\u00eda<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Nube soberana: definici\u00f3n, criterios y l\u00edmites<\/h1>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

En un expediente de compra, una nube soberana es un servicio cuyo operador, derecho aplicable y accesos de administraci\u00f3n se conocen, y cuyos datos pueden recuperarse. La definici\u00f3n de marketing var\u00eda. Los criterios, en cambio, se prestan a una matriz.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t

Actualizado en octubre de 2026<\/b><\/span>9 min<\/b> de lectura<\/span>Fuentes oficiales citadas<\/span><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Por qu\u00e9 una matriz en lugar de un sello<\/h2>

Escribir \u00abnube soberana\u00bb en una licitaci\u00f3n equivale a plantear una pregunta a la que todos los candidatos responden que s\u00ed. Las respuestas dejan de ser comparables y la elecci\u00f3n se hace por el precio o por la impresi\u00f3n que deja la presentaci\u00f3n.<\/p>

Una matriz obliga a cada candidato a responder a la misma pregunta, con un documento justificativo. Tambi\u00e9n protege al comprador tras la firma: un compromiso escrito en la respuesta a la licitaci\u00f3n puede recogerse en el contrato, mientras que un adjetivo no se puede controlar. La noci\u00f3n en s\u00ed se explica en qu\u00e9 es una nube soberana<\/a>. Esta p\u00e1gina sirve para la compra.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t

Una definici\u00f3n utilizable<\/h2>

Qu\u00e9dese con esta.<\/p>

Un servicio digital se considera soberano, para un comprador europeo, cuando la sociedad que lo opera est\u00e1 sujeta a un derecho europeo, los datos confiados y sus copias de seguridad permanecen en el per\u00edmetro geogr\u00e1fico declarado, los accesos de explotaci\u00f3n est\u00e1n identificados y el cliente puede exportar sus datos y despu\u00e9s hacer que se supriman.<\/p><\/blockquote>

Esta frase es una herramienta de trabajo. No es un art\u00edculo del RGPD (Reglamento General de Protecci\u00f3n de Datos). El reglamento define roles (responsable del tratamiento, encargado del tratamiento), transferencias y derechos de las personas. No concede ning\u00fan sello de \u00absoberano\u00bb.<\/p>

Cada parte de la frase remite a uno o varios de los criterios siguientes. Eso es lo que la hace utilizable: se puede descomponer en preguntas y puntuar las respuestas.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t

Diez criterios<\/h2>

Cada criterio se demuestra con un documento, no con un adjetivo.<\/p>

  1. Sociedad operadora.<\/strong> Raz\u00f3n social, pa\u00eds de la sede y sociedad matriz. Una filial europea de un grupo estadounidense puede facturar en euros y pertenecer a la vez a un grupo sujeto al derecho estadounidense. Es el criterio que determina a qui\u00e9n puede dirigirse una autoridad extranjera.<\/li>
  2. Derecho del contrato.<\/strong> Ley aplicable y tribunal competente. Compruebe que las condiciones generales y el acuerdo de tratamiento de datos dicen lo mismo.<\/li>
  3. Per\u00edmetro de los datos.<\/strong> Contenido (correos, archivos), copias de seguridad, registros t\u00e9cnicos, datos de soporte. El contenido por s\u00ed solo no basta: un compromiso que solo cubre los buzones deja fuera las copias.<\/li>
  4. Ubicaci\u00f3n.<\/strong> Pa\u00eds o regi\u00f3n para cada categor\u00eda del punto 3. \u00abEuropa\u00bb debe precisarse: Uni\u00f3n Europea, AELC o un pa\u00eds concreto.<\/li>
  5. Personas que administran.<\/strong> Empleados del operador, subcontratistas, guardias fuera de la zona. Un acceso remoto, aunque sea temporal, es un tratamiento. Pregunte tambi\u00e9n si esos accesos quedan registrados y si el cliente puede consultar el registro.<\/li>
  6. Claves de cifrado.<\/strong> Qui\u00e9n las posee, qui\u00e9n puede usarlas para una restauraci\u00f3n, qui\u00e9n puede entregarlas a un tercero. La pregunta no es \u00ab\u00bfest\u00e1n cifrados los datos?\u00bb, sino \u00ab\u00bfqui\u00e9n puede descifrarlos?\u00bb.<\/li>
  7. Subcontratistas.<\/strong> Lista actualizada: antispam, copia de seguridad, soporte, medici\u00f3n de audiencia, identidad. Un subcontratista sujeto a otro derecho puede anular el efecto del criterio 1.<\/li>
  8. Solicitudes de autoridades.<\/strong> Procedimiento interno cuando una autoridad solicita datos, y derecho aplicable a esa solicitud. Pregunte si el proveedor se compromete a informar al cliente, en la medida en que la ley lo permita.<\/li>
  9. Reversibilidad.<\/strong> Formatos, plazo, coste y lo que no es exportable (historiales de chat, reglas internas, registros). Lo m\u00e1s seguro es probar una exportaci\u00f3n antes de firmar.<\/li>
  10. Cualificaci\u00f3n, en su caso.<\/strong> Si el comprador exige SecNumCloud, el nombre del servicio cualificado debe ser el del cat\u00e1logo de la ANSSI. Una oferta alojada en una infraestructura cualificada no hereda la cualificaci\u00f3n. Desde la versi\u00f3n 3.2 de su referencial (2022), SecNumCloud incluye requisitos de protecci\u00f3n frente a los derechos extraeuropeos, que se refieren a la sede, el control del capital, la localizaci\u00f3n y el personal.<\/li><\/ol>

    C\u00f3mo ponderar<\/h3>

    Los diez criterios no tienen el mismo peso para todos los compradores. Para el correo electr\u00f3nico y el intercambio de archivos, los criterios 1, 3, 4, 5 y 9 suelen marcar la diferencia entre las ofertas. El criterio 10 es eliminatorio cuando se exige, y neutro en caso contrario. Decida la ponderaci\u00f3n antes de abrir las respuestas, no despu\u00e9s.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Los l\u00edmites, dichos con claridad<\/h2>

    La ubicaci\u00f3n no equivale al derecho.<\/strong> Un centro de datos en Fr\u00e1ncfort operado por una sociedad estadounidense sigue siendo un servicio de esa sociedad. El CLOUD Act estadounidense se aplica a los datos en poder de un proveedor sujeto a la jurisdicci\u00f3n de Estados Unidos, sea cual sea el pa\u00eds del disco. Consulte proteger una empresa frente al CLOUD Act<\/a> y la comparaci\u00f3n nube europea o nube estadounidense<\/a>.<\/p>

    El derecho europeo no equivale a la ausencia de requerimientos.<\/strong> Un juez franc\u00e9s, alem\u00e1n o neerland\u00e9s puede ordenar la comunicaci\u00f3n de datos a un operador de su jurisdicci\u00f3n. La diferencia est\u00e1 en el juez, el procedimiento y las v\u00edas de recurso. Una matriz que diera a entender lo contrario inducir\u00eda a error al comprador.<\/p>

    El software y el operador son cosas distintas.<\/strong> Nextcloud lo edita Nextcloud GmbH, en Alemania. Zimbra lo edita Synacor, en Estados Unidos. BlueMind es una sociedad francesa. En los tres casos, la soberan\u00eda de su<\/em> servicio depende de qui\u00e9n lo instala, qui\u00e9n hace las copias de seguridad y qui\u00e9n responde al tel\u00e9fono. La nacionalidad del proveedor del software importa sobre todo si tiene acceso a los datos: en ese caso se trata en el criterio 7.<\/p>

    SecNumCloud es restringido.<\/strong> Es una cualificaci\u00f3n de la ANSSI, oferta por oferta, con un per\u00edmetro y una fecha de vencimiento. Se exige a menudo para datos sensibles del Estado. Es desproporcionada como \u00fanico criterio para una pyme que busca un servicio de correo electr\u00f3nico y de intercambio de archivos. Es insuficiente si se invoca sin leer la decisi\u00f3n.<\/p>

    Ninguna oferta cubre todos los usos de Microsoft 365.<\/strong> Excel avanzado, Power BI, el ecosistema Teams y los complementos de negocio no tienen un equivalente general entre los operadores europeos. El criterio de soberan\u00eda no resuelve este punto. Se suma a \u00e9l. Si esos usos son centrales, la matriz puede llevar a mantener Microsoft 365 con pleno conocimiento de causa: consulte Microsoft 365 frente a una soluci\u00f3n soberana<\/a>.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    C\u00f3mo redactarlo en un pliego de condiciones<\/h2>

    Sustituya \u00abnube soberana\u00bb por los diez criterios, cada uno con una prueba esperada. As\u00ed podr\u00e1 comparar una oferta de Microsoft con l\u00edmite de datos de la UE, una oferta de Google con regi\u00f3n de datos, una oferta suiza como Infomaniak y una oferta operada en Francia. La comparaci\u00f3n se convierte en una lectura de pruebas, no en una batalla de adjetivos.<\/p>

    Criterio<\/th>Pregunta al candidato<\/th>Documento esperado<\/th><\/tr><\/thead>
    1. Sociedad operadora<\/td>\u00bfQu\u00e9 sociedad opera el servicio y qui\u00e9n la controla?<\/td>Extracto del registro mercantil, organigrama del grupo<\/td><\/tr>
    2. Derecho del contrato<\/td>\u00bfQu\u00e9 ley, qu\u00e9 tribunal?<\/td>Cl\u00e1usula de las condiciones generales y del acuerdo de tratamiento<\/td><\/tr>
    3 y 4. Per\u00edmetro y ubicaci\u00f3n<\/td>\u00bfQu\u00e9 categor\u00edas de datos, en qu\u00e9 pa\u00edses?<\/td>Tabla por categor\u00eda: contenido, copias de seguridad, registros, soporte<\/td><\/tr>
    5. Administraci\u00f3n<\/td>\u00bfQui\u00e9n administra, desde d\u00f3nde, con qu\u00e9 trazabilidad?<\/td>Descripci\u00f3n de los equipos y del registro de accesos<\/td><\/tr>
    6. Claves<\/td>\u00bfQui\u00e9n puede descifrar y en qu\u00e9 casos?<\/td>Descripci\u00f3n del esquema de cifrado<\/td><\/tr>
    7. Subcontratistas<\/td>\u00bfQui\u00e9n recibe una copia o un acceso?<\/td>Lista nominativa con pa\u00eds<\/td><\/tr>
    8. Autoridades<\/td>\u00bfQu\u00e9 hacen ante una solicitud?<\/td>Procedimiento escrito<\/td><\/tr>
    9. Reversibilidad<\/td>\u00bfC\u00f3mo lo recuperamos todo y en cu\u00e1nto tiempo?<\/td>Procedimiento de exportaci\u00f3n, formatos, prueba<\/td><\/tr>
    10. Cualificaci\u00f3n<\/td>\u00bfEst\u00e1 cualificada la oferta propuesta?<\/td>Referencia al cat\u00e1logo de la ANSSI, si se exige<\/td><\/tr><\/tbody><\/table><\/div>

    El detalle del criterio geogr\u00e1fico por s\u00ed solo se trata en Qu\u00e9 significa realmente \u00abdatos alojados en Europa\u00bb<\/a>.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Ejemplo: una empresa mediana de servicios que licita<\/h2>

    Caso hipot\u00e9tico. Una empresa mediana de servicios renueva su correo electr\u00f3nico y su servicio de intercambio de archivos. La primera versi\u00f3n de su pliego de condiciones pide \u00abuna soluci\u00f3n de nube soberana alojada en Europa\u00bb. Los tres candidatos responden que s\u00ed.<\/p>

    La direcci\u00f3n de sistemas de informaci\u00f3n reescribe la licitaci\u00f3n con la matriz. Las respuestas se vuelven legibles. El primer candidato aloja en Europa pero pertenece a un grupo sujeto al derecho estadounidense: criterio 1 no cumplido, criterios 3 y 4 bien documentados. El segundo es una sociedad europea, pero conf\u00eda el soporte nocturno a un subcontratista fuera de la zona: criterio 5 por negociar. El tercero cumple los criterios jur\u00eddicos pero no cubre un uso de negocio: la direcci\u00f3n debe decidir. La matriz no ha elegido en lugar de la empresa. Ha hecho expl\u00edcita la elecci\u00f3n.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Los errores frecuentes<\/h2>