Área de investigación · Cloud y soberanía
Soberanía cloud: de la ubicación de los datos al control demostrable
¿Quién decide si sus sistemas funcionan, dónde y bajo qué derecho? ¿Y su IA? Vami Research traduce BSI C5, el catálogo de soberanía C3A, la CSA Cloud Controls Matrix y la propuesta de la Comisión sobre el Cloud & AI Development Act en criterios auditables para la selección de proveedores, los contratos y la operación. En la operación cuenta el contexto, no la lista de hallazgos: se prioriza según la explotabilidad real.
- BSI C5
- BSI C3A
- CSA CCM y CAIQ
- CNAPP y CSPM
- Borrador del CADA
- EUCS
- Soberanía sobre las claves
- Deep Dives
- 6
- Whitepapers
- 0
- Soluciones
- 1
La soberanía pasa a ser un requisito auditable
Hoy, la seguridad en la nube es menos un problema tecnológico que de gestión. Los tres primeros puestos de los CSA Top Threats 2024 corresponden a los errores de configuración y el control de cambios insuficiente, a Identity and Access Management y a las interfaces y API inseguras, todos ellos temas dentro del ámbito de responsabilidad del cliente. Según la matriz de responsabilidades de Microsoft, los datos, los dispositivos finales, las cuentas y la gestión de accesos quedan en manos del cliente en cualquier modelo de servicio.
Al mismo tiempo, en 2026 la soberanía se ha vuelto medible. Con el C3A v1.0, el BSI presentó el 27 de abril de 2026 por primera vez criterios para el uso autodeterminado de la nube; la nueva versión C5:2026 incorpora la soberanía técnica, el confidential computing y la criptografía poscuántica. El Cloud & AI Development Act existe desde el 3 de junio de 2026 como propuesta de la Comisión, y el esquema europeo de certificación EUCS sigue sin aprobarse.
Evaluamos los usos de la nube según estos catálogos y borradores, y planteamos la misma pregunta de control a la IA. VamiGRC, VamiAppSec, VamiThreat, VamiRedteam, VamiDAST, VamiReverse y Vamiset funcionan como SaaS en T Cloud Public, exclusivamente en centros de datos alemanes. El modelo de lenguaje es a su elección: en VamiAppSec, VamiThreat, VamiDAST y VamiReverse, hasta el Qwen3.8 local en el centro de datos de VamiSec en Sankt Augustin; en VamiGRC, para chat, asistente y agentes. Los datos de clientes no se utilizan para entrenar IA.
Preguntas abiertas de la práctica
- 01
¿Cómo reconoce si un servicio en la nube es soberano y no se limita a almacenar datos en la UE?
Nuestro enfoque
En el borrador del CADA, la residencia de datos solo cubre el más bajo de cuatro niveles. Por eso comprobamos además la operación y la tecnología: quién opera el servicio, de dónde procede el soporte, a quién pertenece el proveedor y quién sigue desarrollando el software. Como marco de referencia sirven los bloques de criterios SOV-1 a SOV-6 del BSI C3A y la lógica de niveles del borrador del CADA.
- 02
¿Cómo se anclan los requisitos de soberanía en las licitaciones sin restringir indebidamente la competencia?
Nuestro enfoque
Seleccionamos los criterios C3A adecuados para cada escenario de uso y los formulamos como requisitos auditables para el pliego de prescripciones técnicas y la evaluación de proveedores. Según el BSI, las restricciones a variantes de la UE o de Alemania deben estar justificadas y ser jurídicamente admisibles; por eso las vinculamos al objeto del contrato y las documentamos, desde la localización de datos incluida la telemetría hasta los derechos de auditoría.
- 03
¿Qué demuestra realmente una atestación C5 y qué cambia con el C5:2026?
Nuestro enfoque
Primero comprobamos el tipo de informe: el tipo 1 confirma el diseño de los controles en una fecha de referencia; solo el tipo 2 confirma su eficacia durante un periodo de auditoría de, por lo general, tres a doce meses. La nueva versión C5:2026 comprende 168 criterios en lugar de 121 y es obligatoria para las atestaciones con fechas de referencia o periodos de auditoría a partir del 1 de junio de 2027; se admite una aplicación anterior.
- 04
¿Qué significa la soberanía cuando los sistemas de IA y los agentes llegan como servicio desde la nube?
Nuestro enfoque
Tratamos un servicio de IA como cualquier otro servicio en la nube y comprobamos además el modelo, la inferencia y los datos de entrenamiento: dónde se procesan los prompts, las salidas y la telemetría, quién opera y sigue desarrollando el modelo y si los datos operativos o de clientes se utilizan en un entrenamiento. Esta lógica sigue el borrador del CADA, que clasifica los sistemas de IA operados en remoto como servicios en la nube.
Lo que constatamos
- 01
La ubicación de los datos no demuestra la soberanía
La soberanía se decide por el control de los sistemas, no solo por la conformidad con el RGPD. El CLOUD Act estadounidense permite a las autoridades de EE. UU. acceder a los datos de proveedores bajo control estadounidense con independencia del lugar de almacenamiento. Por eso, «los datos permanecen en la UE» no es una prueba: la jurisdicción y el control del proveedor, la operación y la soberanía sobre las claves deben formar parte de toda evaluación.
Fuente: Soberanía digital
- 02
El C3A hace auditable la soberanía, pero aún falta un procedimiento de atestación
El catálogo C3A v1.0 del BSI, del 27 de abril de 2026, estructura la soberanía en seis bloques de criterios, de la soberanía estratégica a la tecnológica, y presupone los criterios del C5. No es una ley ni un certificado; por ahora, el BSI solo ha anunciado procesos de auditoría estandarizados. Por eso, las declaraciones de los proveedores deben contrastarse con evidencias sólidas.
Fuente: BSI C3A
- 03
Una atestación C5 traslada trabajo al cliente en lugar de quitárselo
El C5 es una atestación, no un sello: auditores independientes emiten la atestación según ISAE 3000 o IDW PS 860, y el resultado es un informe de auditoría que debe analizarse. Contiene criterios correspondientes para clientes que el propio usuario implanta. Solo quien los asigna a sus propios controles y documenta su implantación puede acreditar el uso.
Fuente: BSI C5
- 04
El borrador del CADA aplica a los servicios de IA la misma lógica de niveles que a la nube
El Cloud & AI Development Act existe como propuesta de la Comisión del 3 de junio de 2026; los criterios y los plazos aún pueden cambiar en el procedimiento legislativo. El borrador escalona la soberanía en cuatro niveles de garantía de la Unión, a partir del nivel 2 con auditoría de tercero y la prohibición de usar datos operativos para entrenar IA de terceros países. Trata los sistemas de IA operados en remoto como servicios en la nube.
Cómo procedemos
Combinamos catálogos de criterios, informes de auditoría y telemetría técnica en una sola evaluación, desde la carga de trabajo individual hasta la licitación. Los borradores como el CADA y el EUCS los señalamos como borradores.
Matriz de las tres soberanías
Evaluar la soberanía de datos, la soberanía operativa y la soberanía tecnológica por carga de trabajo, incluidos los flujos de metadatos, las vías de soporte y la estructura de propiedad del proveedor.
Cotejo de criterios C5, C3A y CCM
Reunir los requisitos de BSI C5, de los bloques SOV-1 a SOV-6 y de la CSA Cloud Controls Matrix; el CAIQ lo utilizamos para evaluaciones estructuradas de proveedores.
Analizar los informes de auditoría
Comprobar el tipo de informe y el periodo de auditoría, extraer los criterios correspondientes para clientes y asignarlos a los propios controles.
Análisis de grafos en lugar de lista de hallazgos
Vincular errores de configuración, vulnerabilidades, identidades y exposición de red y hacer visibles las rutas de ataque, por ejemplo con Wiz; VamiSec es miembro de la Wiz Partner Alliance.
Inventario de solo lectura con Vamiset
Vamiset inventaría los activos en AWS, Azure y GCP exclusivamente con permisos de lectura y los evalúa frente a los CIS Benchmarks y frente a controles, por ejemplo, de ISO 27001 y NIS2, actualmente sin función de IA.
Seguimiento del estado
Seguir de forma continua el estado de tramitación de la propuesta CADA y del esquema candidato EUCS, así como la transición del C5:2020 al C5:2026.
Cómo empezar
- 1Clasificar las cargas de trabajoClasificar las cargas de trabajo según su criticidad de soberanía y registrar las categorías de datos, la necesidad de protección, la situación contractual y las evidencias existentes.
- 2Medir y priorizar las brechasCotejar la situación actual con C5, C3A y los niveles del borrador del CADA y priorizar las brechas por esfuerzo, dependencia y vigencia contractual.
- 3Establecer y acreditar el controlImplantar la soberanía sobre las claves, los planes de salida y las cláusulas contractuales, probar la salida y agrupar las evidencias para una auditoría independiente.
Deep Dives, whitepapers y análisis
Deep Dives 6
Análisis y noticias
Otras páginas
Del área a la implantación
Áreas de investigación relacionadas
¿Cuán soberana es su nube, de forma demostrable?
Contrastamos su entorno cloud con BSI C5, BSI C3A y los niveles del borrador del CADA y señalamos las brechas de evidencia que ya pueden cerrarse.