Durante años, quien escribía sobre soberanía digital en Portugal tenía que hacerlo en condicional. Se hablaba de lo que el Estado debería hacer, de lo que sería deseable, de lo que otros países ya estaban haciendo.
Eso cambió en mayo de 2026. La Resolución del Consejo de Ministros n.º 102/2026, publicada el día 27 de ese mes, aprobó el Plan Nacional de Nube Soberana. Por primera vez existe un documento oficial que reconoce la dependencia tecnológica del Estado como un riesgo y traza un camino para reducirla.
Es una buena noticia. Pero entre el plan y la realidad sobre el terreno hay una distancia que conviene medir con honestidad, sobre todo si miramos a la parte de la administración pública más expuesta y menos equipada: los municipios.
Qué dice el plan
El Plan Nacional de Nube Soberana se apoya en tres dimensiones: clasificar los procesos de negocio, los datos y los sistemas de la administración pública; definir requisitos de soberanía, seguridad y resiliencia para cada nivel; y adoptar infraestructura digital soberana por fases.
La lógica es sólida y merece reconocimiento, porque rompe con quince años de tratamiento uniforme. No todos los datos del Estado requieren el mismo grado de protección, y por primera vez se reconoce formalmente que existe un nivel de criticidad que exige infraestructura bajo control reforzado del Estado.
Los elementos operativos son igualmente concretos:
- La supervisión corresponde a la Agencia para la Reforma Tecnológica del Estado, en coordinación con el Centro Nacional de Ciberseguridad.
- La infraestructura corresponde a IP Telecom, con un centro de datos soberano previsto para 2027 y la finalización de la estructura prevista para 2030.
- Todos los organismos de la administración pública deben tener sus procesos inventariados y clasificados antes del 30 de junio de 2027.
- Hay un incentivo financiero poco habitual: la mitad del dinero ahorrado con la migración se queda en la propia entidad.
- Está prevista formación en soberanía digital para al menos el 10 % de los especialistas en TI de la administración pública antes de 2028, y para más de mil altos directivos antes de 2030.
Es un plan serio. El problema no es lo que dice. Es cuánto tardará, y quién queda expuesto mientras tanto.
Sobre el terreno: 308 ayuntamientos, una sola superficie de ataque
La imagen más reciente de los municipios portugueses no es tranquilizadora.
En el informe de ciberseguridad de 2024 del Centro Nacional de Ciberseguridad, los ayuntamientos aparecen identificados como objetivo preferente, con un aumento de 9,4 puntos porcentuales en los incidentes desde 2021. Una cuarta parte de los municipios declaró haber detectado incidentes ese año. En el conjunto del país, CERT.PT registró un aumento del 36 % en los incidentes respecto al año anterior.
Un estudio académico que analizó los sitios web de los 308 municipios concluyó que, pese a las mejoras, persisten vulnerabilidades significativas, algunas de las cuales, en palabras de los investigadores, no requerirían un atacante especialmente sofisticado para ser explotadas. La puntuación media nacional en el indicador de ciberseguridad fue de 0,660, en una escala de cero a uno.
Una cifra más ayuda a explicar la naturaleza del problema: el malware de robo de credenciales representó más del 80 % de la actividad de malware registrada en el tercer trimestre de 2025. Y el tipo de incidente más frecuente sigue siendo el phishing, con campañas que imitan cada vez más a la propia administración pública.
Si se junta todo esto, la imagen queda clara. La vía de entrada dominante no es un fallo exótico en un servidor. Es un correo electrónico que alguien abre.
La asimetría que ningún plan puede corregir
La administración central portuguesa tiene equipos de TI, presupuestos propios y capacidad para contratar. Los propios datos del informe lo muestran: el 63 % de la administración central utiliza al menos dos factores de autenticación, un porcentaje superior al de las empresas portuguesas.
Un municipio de veinte mil habitantes es otra realidad. A menudo cuenta con una o dos personas responsables de toda la informática, incluidos el soporte a los usuarios, el portal municipal, los sistemas de gestión documental, el urbanismo, el agua, las tasas y las licencias. La ciberseguridad compite con todo esto por el mismo tiempo y el mismo presupuesto.
No es falta de voluntad. Es aritmética. Y por eso importan iniciativas como el ejercicio nacional de ciberseguridad para las administraciones locales, que reunió a más de 270 ayuntamientos y a cerca de mil participantes en escenarios de ransomware y phishing: no porque entrenen la tecnología, sino porque entrenan la toma de decisiones en organizaciones donde no existe un equipo de crisis permanente.
El Plan Nacional de Nube Soberana se dirige a la administración pública en su conjunto. Por sí solo no resuelve la brecha de capacidad entre un ministerio y un pequeño municipio del interior.
La brecha que nadie puede ignorar
Conviene leer las fechas con atención. Clasificación de los procesos a mediados de 2027. Centro de datos soberano previsto para 2027. Finalización de la estructura prevista para 2030.
Son plazos razonables para una transformación de esta magnitud. Pero implican que, durante los próximos años, las comunicaciones entre el Estado y los ciudadanos seguirán funcionando sobre la infraestructura que existe hoy. Y esa infraestructura, en muchos municipios, depende de servicios contratados a proveedores sujetos a las leyes de terceros países.
La pregunta práctica, para quien dirige hoy un municipio o un servicio público, no es “qué cambiará en 2030”. Es “qué puedo decidir en el próximo contrato que firme”.
Tres decisiones que no dependen de esperar
Primera: tratar la jurisdicción como un requisito, no como un criterio de desempate. No hace falta nueva legislación. Los pliegos de condiciones pueden exigir, desde ya, que el proveedor esté sujeto exclusivamente al Derecho portugués y europeo, y que no haya transferencias a terceros países. Es una línea de texto.
Segunda: empezar por el correo electrónico. Es por donde entran los ataques, es donde vive la información más sensible de la relación con los ciudadanos y es el sistema más fácil de cambiar, porque se basa en protocolos abiertos. Por ahí empezaron Alemania y Francia, y no por casualidad.
Tercera: exigir pruebas en lugar de promesas. Un proveedor debería poder responder por escrito y sin vacilar a preguntas sencillas: dónde están los datos, a qué ley está sujeta la empresa que los opera, cuánto tiempo se conservan los registros y qué ocurre cuando termina el contrato.
Ninguna de estas tres decisiones requiere presupuesto adicional, cambios legislativos ni esperar a la infraestructura nacional. Solo requieren hacer las preguntas correctas en el momento de contratar.
Lo que está realmente en juego
Para la mayoría de las personas, el municipio es la cara más cercana del Estado. Es donde se tramita una licencia, se comunica una incidencia, se solicita una ayuda social o se resuelve un problema con el agua. La información que circula por estas comunicaciones es, a menudo, más sensible que la que pasa por un ministerio.
Portugal dio un paso importante al aprobar un plan nacional. Pero la soberanía digital no se decide solo en el Consejo de Ministros. Se decide, sobre todo, en los miles de procedimientos de contratación que los organismos públicos lanzan cada año, mucho antes de que cualquier infraestructura nacional esté lista.
El plan fija el destino. Cada contrato firmado hasta entonces fija el camino.