¿Quién decide si sus sistemas funcionan, dónde y bajo qué derecho? En 2026, la soberanía digital ya no es un debate de principios, sino una categoría medible y auditable.
En mayo de 2025, el fiscal jefe de la Corte Penal Internacional (CPI) perdió el acceso a su cuenta de Microsoft Outlook: no hizo falta un ciberataque, bastó una sanción estadounidense. El incidente lo deja claro: la soberanía digital no es una cuestión de protección de datos, sino de control de los sistemas: ¿quién decide si sus cálculos se ejecutan, dónde y bajo qué derecho? Alrededor del 70 % del mercado europeo de la nube corresponde a tres hiperescaladores estadounidenses, y el 57 % de las empresas de la región DACH no tiene, según el estudio de Lünendonk de 2026, un plan B para su caída. Con el marco SEAL de la UE y el catálogo de criterios C3A v1.0 del BSI (27/04/2026), la soberanía se vuelve ahora evaluable de forma objetiva y puede anclarse como criterio de adjudicación. Esta página ordena las dimensiones, la situación jurídica, el esquema de evaluación y el procedimiento práctico.
La soberanía digital no queda resuelta con la conformidad con el RGPD. Lo decisivo es quién determina si sus cálculos se ejecutan, dónde y bajo qué derecho, a lo largo de seis palancas: computación e infraestructura, ecosistemas industriales, plataformas, estándares, creación de valor y la posición estructural. La soberanía no surge en una capa aislada, sino de la alineación de todas ellas.
El RGPD exige que los datos no abandonen la jurisdicción de la UE; el CLOUD Act estadounidense permite a las autoridades de EE. UU. acceder a los datos de proveedores bajo control estadounidense, con independencia del lugar de almacenamiento. En junio de 2025, Microsoft declaró ante un tribunal francés que no podía garantizar la soberanía frente al CLOUD Act. Un centro de datos en Fráncfort no resuelve este conflicto mientras el proveedor esté sujeto al derecho estadounidense.
El marco SEAL de la UE define ocho Sovereignty Objectives ponderados y auditables y cinco niveles: desde SEAL 1 (básico), pasando por SEAL 2 (datos personales) y SEAL 3 (infraestructura crítica), hasta SEAL 5 (seguridad nacional). El catálogo C3A v1.0 del BSI, del 27 de abril de 2026, concreta el marco para Alemania con las áreas de criterios SOV-1 a SOV-6. Con ello, la posición de soberanía de un uso de la nube puede evaluarse de forma objetiva y anclarse en las licitaciones.
El cifrado solo protege si el proveedor no posee él mismo las claves: para los datos sensibles, las claves de cifrado propias en lugar de un KMS del proveedor forman parte del programa obligatorio (C3A SOV-3), complementadas con vías de salida documentadas para datos y servicios. La iniciativa EuroStack demuestra al mismo tiempo que un stack europeo existe realmente: desde la nube y la computación (OVHcloud, STACKIT, Scaleway) hasta las aplicaciones y la IA (Mistral, Aleph Alpha).
A la declaración de la UE sobre la soberanía digital (finales de 2025) le siguieron el EU Cloud and AI Development Act y, en abril de 2026, el marco SEAL junto con una licitación de soberanía en la nube por 180 millones de euros y el C3A v1.0 del BSI. La soberanía pasa así de ser un término de marketing a una categoría auditable. Cuidado con el sovereignty washing: «los datos permanecen en la UE» no es una prueba si la sede del proveedor hace aplicable el CLOUD Act.
Primero, clasificar las cargas de trabajo según su criticidad de soberanía (C3A SOV-1); segundo, auditar una línea base frente a las áreas de criterios de derecho, operación y cadena de suministro. Tercero, documentar planes de salida para las rutas de datos y de servicios; cuarto, anclar los niveles SEAL como criterio de adjudicación en las RFP, por ejemplo SEAL 2 para datos personales y SEAL 3 para infraestructura crítica. Quinto, establecer la soberanía sobre las claves: claves de cifrado propias y ningún KMS del proveedor para datos sensibles.
Los contenidos de esta página se basan en las siguientes guías y estudios disponibles públicamente.
Catálogo alemán de criterios para la soberanía en la nube (SOV-1 a SOV-6), publicado el 27 de abril de 2026; se basa en el EU Cloud Sovereignty Framework.
Ocho Sovereignty Objectives ponderados y auditables con cinco niveles (SEAL 1–5), vinculados a un procedimiento de adjudicación por 180 millones de euros (17/04/2026).
Análisis del debate europeo sobre la soberanía y de la concentración del mercado de la nube de la UE en unos pocos proveedores estadounidenses.
El 57 % de las empresas de la región DACH no tiene un plan B para la caída de su hiperescalador.
Cifra el gasto mundial en IaaS de nube soberana en 2026 en 80.000 millones de dólares estadounidenses (+35,6 %).
Webinar en directo de 60 minutos sobre el control de los sistemas, RGPD vs. CLOUD Act, SEAL/BSI C3A y un plan de acción en cinco pasos.
VamiSec evalúa su soberanía en la nube a lo largo del catálogo de criterios C3A del BSI, como complemento de bases de auditoría consolidadas como el BSI C5. Póngase en contacto con nosotros para un assessment de su postura de soberanía.
