Una nube es soberana cuando ningún sujeto fuera de la Unión Europea puede interrumpirla, leerla o condicionarla. Hasta hace poco era una opinión: cada cual llamaba «soberano» a lo que le convenía. Desde octubre de 2025 existe un baremo público —ocho objetivos ponderados y cinco niveles, de SEAL-0 a SEAL-4— y en abril de 2026 la Comisión Europea lo usó para adjudicar un contrato de 180 millones. Tú también puedes usarlo hoy con tu proveedor.
01¿Qué es una «nube soberana»?
La palabra se vació antes incluso de definirse. «Soberano» ha acabado en ofertas que guardan los datos en un centro europeo, en las que tienen una filial local que firma el contrato, en las que llevan un acuerdo de tratamiento bien redactado. Ninguna de esas cosas responde por sí sola a la pregunta que importa: quién puede obligar al proveedor a actuar en contra de tu interés y qué le pasa a tu servicio ese día.
La distinción ya la aterrizamos en el artículo sobre la soberanía operativa: la residencia de los datos es geografía, la soberanía es control. Lo nuevo es que hoy tiene forma medible y —más raro aún— un documento público que la pone por escrito, firmado por quienes compran nube para las instituciones europeas.
02¿Cómo mide la soberanía la Unión Europea?
Con el Cloud Sovereignty Framework, versión 1.2.1, publicado en octubre de 2025 por la Dirección General de Servicios Digitales de la Comisión Europea (Comisión Europea, Cloud Sovereignty Framework v1.2.1). No es una ley ni una certificación: es el instrumento con el que un órgano de contratación evalúa, en una licitación, hasta qué punto es soberana una oferta cloud. El documento declara apoyarse en trabajos previos —el referencial francés Cloud de Confiance, las reglas de Gaia-X, el marco europeo de certificación de la ciberseguridad— y convertirlos en criterios aplicables a un pliego.
La estructura es sencilla y vale la pena aprenderla, porque es la rejilla de preguntas más completa disponible hoy en Europa. Ocho objetivos de soberanía, cada uno con su peso en la puntuación final:
- SOV-5 · Cadena de suministro (20%) — origen geográfico de componentes y fabricación, jurisdicción del firmware, dónde y por quién se diseña, empaqueta y actualiza el software. El peso más alto de los ocho.
- SOV-1 · Estratégica (15%) — dónde residen los órganos con autoridad decisiva, qué garantías hay frente a un cambio de control, capacidad de seguir operando si el proveedor retira el soporte.
- SOV-4 · Operativa (15%) — capacidad de operadores de la UE para gestionar el servicio sin el proveedor extracomunitario, disponibilidad de documentación y código, soporte prestado desde la UE.
- SOV-6 · Tecnológica (15%) — API y protocolos abiertos, licencias que permiten auditar y modificar, visibilidad sobre la cadena de subproveedores, independencia en computación de alto rendimiento.
- SOV-2 · Legal y jurisdiccional (10%) — grado de exposición a leyes extracomunitarias con alcance transfronterizo (el documento cita expresamente la CLOUD Act estadounidense y la ley china de ciberseguridad) y existencia de canales legales, contractuales o técnicos por los que una autoridad no comunitaria pudiera imponer el acceso.
- SOV-3 · Datos e IA (10%) — que solo el cliente, no el proveedor, tenga control efectivo del acceso criptográfico a los datos; sin recurso a terceros países; gobernanza de los modelos de IA.
- SOV-7 · Seguridad y cumplimiento (10%) — certificaciones, adhesión al RGPD, NIS2 y DORA, equipos de seguridad operando exclusivamente bajo jurisdicción de la UE, derecho de auditoría independiente.
- SOV-8 · Sostenibilidad ambiental (5%) — eficiencia energética, economía circular, transparencia sobre emisiones.
Sobre los objetivos operan dos mecanismos. El primero es el SEAL (Sovereignty Effectiveness Assurance Level): el pliego fija un nivel mínimo por objetivo y —literalmente— las ofertas que no lo alcanzan de forma coherente en todos son rechazadas. El segundo es la Sovereignty Score, suma ponderada que entra en la puntuación de calidad como criterio de adjudicación. Barrera de entrada y clasificación, separadas.
Los cinco niveles SEAL, tal como los formula el marco: SEAL-0, sin soberanía (control exclusivo de terceros no comunitarios, gobierno íntegramente fuera de la UE); SEAL-1, soberanía jurisdiccional (el Derecho de la UE se aplica formalmente, con exigibilidad práctica limitada); SEAL-2, soberanía sobre los datos (Derecho de la UE aplicable y exigible, con dependencias extracomunitarias materiales y control indirecto de terceros); SEAL-3, resiliencia digital (actores de la UE con influencia significativa pero no plena, control extracomunitario marginal); SEAL-4, plena soberanía digital (tecnología y operaciones bajo control completo de la UE, sin dependencias críticas extracomunitarias).
03El baremo a prueba: el contrato de 180 millones
Un criterio vale lo que vale su aplicación. El 17 de abril de 2026 la Comisión adjudicó cuatro contratos, por hasta 180 millones de euros en seis años, para la nube soberana de las instituciones, órganos y agencias de la Unión. Para ser admisibles, los proveedores debían alcanzar al menos el nivel SEAL-2, el de soberanía sobre los datos (Comisión Europea, 17 de abril de 2026).
Ganaron cuatro agrupaciones europeas: una alianza luxemburguesa-francesa liderada por Post Telecom con OVHcloud y Clever Cloud; la alemana STACKIT (grupo Schwarz); la francesa Scaleway (grupo Iliad); y una alianza belga-francesa-luxemburguesa liderada por Proximus con S3NS, Clarence y Mistral. Tres de ellas alcanzaron SEAL-3. El consorcio de Proximus se quedó en SEAL-2: S3NS —la empresa conjunta entre Thales y Google Cloud— no demostró inmunidad frente a una interrupción de la cadena de suministro extracomunitaria. CISPE, la asociación de proveedores cloud europeos, criticó con dureza el resultado, advirtiendo del riesgo de institucionalizar el «sovereignty washing» (The Register, 20 de abril de 2026).
Más allá de la polémica, el dato que cuenta es otro: el baremo discriminó. Separó cuatro ofertas que en el mercado se presentan todas como «soberanas», y lo hizo justo en el punto que el marketing evita: cadena de suministro y control societario, no el mapa de los centros de datos. Es la primera vez en un procedimiento público europeo, y por eso vale más que diez white papers.
04¿Y las «nubes soberanas» de los hyperscalers?
Hay que mirarlas sin prejuicio y sin descuentos. El 15 de enero de 2026 AWS puso en disponibilidad general la AWS European Sovereign Cloud, con su primera región en Brandeburgo: una nueva sociedad matriz y tres filiales constituidas en Alemania, personal operativo residente en la UE y —en palabras de la propia compañía— «zero operational control outside of EU borders», con 7.800 millones de euros de inversión anunciada (AWS, nota de prensa del 15 de enero de 2026). No es marketing gratuito: es una reorganización societaria e industrial seria, señal de que la presión regulatoria europea funciona.
Dicho esto, el marco no pregunta dónde está la gente. Pregunta tres cosas distintas: quién tiene la autoridad decisiva sobre el servicio y qué garantías hay frente a un cambio de control (SOV-1); qué exposición queda a leyes extracomunitarias y por qué canales podrían imponer el acceso (SOV-2); y de dónde vienen hardware, firmware y software, con su 20% de peso (SOV-5). Se responden con documentos societarios y listas de suministro, no con una nota de prensa.
Y hay que decirlo con honestidad: ninguna de estas ofertas tiene hoy una evaluación SEAL pública, y el SEAL no es un sello que se obtenga: es un juicio que un órgano de contratación emite dentro de un procedimiento. Lo que sí puedes hacer es tomar esas mismas preguntas y meterlas en tu pliego: la respuesta escrita de un proveedor vale lo que su web nunca valdrá.
05¿Qué cambia con la Cloud and AI Development Act?
El 3 de junio de 2026 la Comisión presentó la propuesta de Cloud and AI Development Act, núcleo del paquete sobre soberanía tecnológica (Comisión Europea, CADA). La propuesta lleva la lógica del marco más allá de la contratación de la Comisión: introduce cuatro niveles de garantía de soberanía a escala de la Unión y prevé que los proveedores cloud del sector público cumplan al menos el nivel básico, con niveles superiores para sectores críticos según las evaluaciones de riesgo de los Estados miembros; las entidades esenciales conforme a NIS2 pueden realizar evaluaciones análogas (Covington, análisis de la CADA, junio de 2026).
Cuidado con adelantarse: es una propuesta, no una ley. Todavía debe pasar la negociación entre Consejo y Parlamento, y los niveles de soberanía son justo la parte donde se espera el choque más duro: umbrales y definiciones pueden cambiar. Pero la dirección se lee, y tiene una consecuencia práctica inmediata: la soberanía está pasando de tema de congreso a condición de acceso al mercado. Si vendes a la administración pública, o a una entidad esencial que responde ante NIS2, esas preguntas llegarán a tu cuestionario de proveedores mucho antes que al Diario Oficial.
06Cómo usarlo sin esperar a Bruselas
No hace falta ser una institución europea. El documento es público, las preguntas funcionan con cualquier proveedor y el ejercicio ocupa media jornada. Coge tus tres a cinco proveedores cloud críticos y pregunta por escrito: quién tiene autoridad decisiva sobre el servicio y qué garantías hay frente a un cambio de control; qué Derecho nacional rige el contrato y las operaciones; qué leyes extracomunitarias alcanzan a la cadena societaria y por qué canales podría una autoridad extranjera obtener acceso; quién custodia las claves de cifrado; de dónde salen hardware, firmware y software; quién opera el servicio y desde dónde; cuánto cuesta y cuántos días lleva salir.
Las reconocerás: son las cinco pruebas de la soberanía operativa —jurisdicción, claves, salida, continuidad, competencia— con la granularidad de una licitación europea. Es el mismo método con el que abordamos DORA: primero la fotografía, después las decisiones. Y si algunos procesos no superan ninguna de esas preguntas, la respuesta es arquitectónica: soberanía operativa significa moverlos a software soberano, on-premise o EU-hosted, sin lock-in by design —incluido el caso de la IA sin vendor lock-in—. Para empezar por la fotografía, el primer paso es una auditoría on-prem de siete días; para comentar tu caso, escríbenos.