{"id":3916,"date":"2026-10-19T01:29:14","date_gmt":"2026-10-19T00:29:14","guid":{"rendered":"http:\/\/sooma.com\/pt-pt\/bruxelas-passa-a-exigir-cloud-europeia-o-que-muda-para-quem-compra-e-quem-fornece\/"},"modified":"2026-10-19T01:29:14","modified_gmt":"2026-10-19T00:29:14","slug":"bruselas-pasa-a-exigir-nube-europea-que-cambia-para-quien-compra-y-quien-provee","status":"publish","type":"post","link":"https:\/\/sooma.com\/es\/bruxelas-passa-a-exigir-cloud-europeia-o-que-muda-para-quem-compra-e-quem-fornece\/","title":{"rendered":"Bruselas empieza a exigir nube europea: qu\u00e9 cambia para compradores y proveedores"},"content":{"rendered":"

Mientras la Cloud and AI Development Act avanza en el Parlamento y el Consejo, la Comisi\u00f3n Europea no esper\u00f3: en su propia licitaci\u00f3n de nube soberana aplic\u00f3 una tabla de niveles de soberan\u00eda, excluy\u00f3 a quien no alcanzaba el m\u00ednimo y adjudic\u00f3 todo a proveedores europeos. El resultado muestra hasta d\u00f3nde llegan las ofertas \u201csoberanas\u201d de los hiperescaladores, y qu\u00e9 puede exigir hoy un organismo p\u00fablico europeo.<\/strong><\/em><\/p>\n

Lo que ya ha ocurrido<\/h2>\n

En abril de 2026, la Comisi\u00f3n reparti\u00f3 un contrato marco de seis a\u00f1os y 180 millones de euros, abierto a todas las instituciones y agencias de la UE, entre cuatro consorcios: Post Telecom con OVHcloud y Clever Cloud, STACKIT (Grupo Schwarz), Scaleway (Grupo Iliad) y Proximus con S3NS, Clarence y Mistral. Los evalu\u00f3 con su Cloud Sovereignty Framework, que traduce la soberan\u00eda en ocho objetivos medibles y asigna un nivel SEAL de 0 a 4: control societario, ubicaci\u00f3n de los datos, cadena de suministro, apertura tecnol\u00f3gica, seguridad y cumplimiento del Derecho de la UE. Solo eran elegibles los licitadores que alcanzaran SEAL-2 (soberan\u00eda de los datos). OVHcloud, STACKIT y Scaleway alcanzaron SEAL-3 (resiliencia digital). El consorcio basado en S3NS, la empresa conjunta de Thales y Google, se qued\u00f3 en SEAL-2, el m\u00ednimo. La Comisi\u00f3n aplicar\u00e1 los mismos criterios a sus propios servicios digitales y publicar\u00e1 una versi\u00f3n actualizada del marco.<\/p>\n

Lo que viene<\/h2>\n

La Cloud and AI Development Act (CADA) har\u00e1 obligatoria este tipo de tabla para el sector p\u00fablico de todos los Estados miembros, con cuatro niveles de garant\u00eda y la exigencia de nivel 2 o superior en los sectores cr\u00edticos, ampliable a las empresas cubiertas por la NIS2. Explicamos los cuatro niveles en Bruselas propone cuatro niveles de soberan\u00eda digital en la contrataci\u00f3n p\u00fablica<\/a>.<\/p>\n

La Ley de Contrataci\u00f3n P\u00fablica (Public Procurement Act), adoptada el 9 de septiembre, sustituye las directivas de contrataci\u00f3n p\u00fablica por un reglamento \u00fanico con preferencia europea en todos los sectores: al menos un 30 % de la evaluaci\u00f3n basado en criterios distintos del precio, donde puede contar el origen europeo, y la facultad de la Comisi\u00f3n de cerrar licitaciones a pa\u00edses sin reciprocidad. Las plataformas de contrataci\u00f3n electr\u00f3nica deber\u00e1n estar establecidas en el EEE, conservar all\u00ed sus datos y estar libres de control externo.<\/p>\n

Ninguna de las dos est\u00e1 todav\u00eda en vigor. La CADA no tendr\u00e1 texto definitivo antes de 2027 y no se aplicar\u00e1 antes de 2028; la Ley de Contrataci\u00f3n P\u00fablica no se aplicar\u00e1 antes de 2029. Pero un contrato de nube a cuatro a\u00f1os firmado hoy terminar\u00e1 bajo estas reglas.<\/p>\n

D\u00f3nde deja esto a Microsoft, Google y Amazon<\/h2>\n

Los tres hiperescaladores pueden cumplir el nivel 1: tienen filiales europeas y regiones de datos en la UE. Pero eso no es lo que viene por defecto. La residencia de datos en la UE es una opci\u00f3n que hay que configurar y contratar aparte, con un coste adicional y con exclusiones, como la telemetr\u00eda, el soporte y algunos servicios de IA, que siguen saliendo de Europa. Incluso para asegurar el nivel 1, el cliente tiene que saber qu\u00e9 pedir y pagar por ello. El problema empieza en el nivel 2. Mientras la empresa matriz est\u00e9 sujeta a la CLOUD Act y a la FISA 702, un proveedor controlado desde Estados Unidos no puede garantizar que ning\u00fan actor extranjero acceda a los datos o suspenda el servicio. El caso de 2025 en que se suspendi\u00f3 la cuenta de correo de un fiscal de la Corte Penal Internacional a ra\u00edz de sanciones estadounidenses se cita en los trabajos preparatorios como el escenario exacto que el nivel 2 pretende evitar.<\/p>\n

Su respuesta es el modelo de fideicomisario (trustee): tecnolog\u00eda estadounidense operada por una entidad europea que custodia las claves y emplea al personal. S3NS (Thales con Google), Bleu (Orange y Capgemini con Microsoft) y la European Sovereign Cloud de AWS siguen ese camino. La licitaci\u00f3n de la Comisi\u00f3n mostr\u00f3 su l\u00edmite: el consorcio que se apoyaba en S3NS se qued\u00f3 en SEAL-2, el m\u00ednimo, mientras que los proveedores europeos nativos alcanzaron SEAL-3. El nivel 3 de la CADA solo admite proveedores controlados desde terceros pa\u00edses si la Comisi\u00f3n reconoce formalmente la jurisdicci\u00f3n y se demuestran las salvaguardias; el nivel 4 no admite excepciones.<\/p>\n

D\u00f3nde deja esto a Sooma<\/h2>\n

Sooma es una empresa europea, con capital, direcci\u00f3n y equipo en la UE, que opera su propia infraestructura desde 2018: servidores exclusivamente en Europa, fuera del alcance de las leyes de terceros pa\u00edses. Los criterios estructurales de los niveles 2 y 3 de la CADA, establecimiento y datos en la UE, cadena de subcontrataci\u00f3n europea, ausencia de control desde terceros pa\u00edses y equipo europeo, son sencillamente la forma en que Sooma ha operado siempre. Sooma Business, con correo, drive y chat construidos sobre software de c\u00f3digo abierto, cumple el criterio de apertura tecnol\u00f3gica que el marco SEAL valora y que evita la dependencia del proveedor.<\/p>\n

La tabla siguiente contrasta los criterios de la CADA y del marco SEAL con lo que cada tipo de proveedor puede demostrar hoy.<\/p>\n\n\n\n\n\n\n\n\n\n\n\n
Lo que exigir\u00e1 el comprador<\/th>\nMicrosoft, Google, Amazon<\/th>\nSooma<\/th>\n<\/tr>\n<\/thead>\n
Establecimiento y control en la UE<\/td>\nFilial europea, pero control \u00faltimo en EE. UU.; solo se resuelve mediante un modelo de fideicomisario (S3NS, Bleu, AWS European Sovereign Cloud)<\/td>\nEmpresa europea, con capital y direcci\u00f3n en la UE<\/td>\n<\/tr>\n
Datos, copias de seguridad y registros en la UE<\/td>\nRegiones europeas disponibles; la telemetr\u00eda y el soporte no siempre se limitan a la UE<\/td>\nServidores exclusivamente en Europa<\/td>\n<\/tr>\n
Subcontratistas europeos<\/td>\nCadena global de hardware, software y soporte<\/td>\nCentros de datos, conectividad y proveedores en la UE<\/td>\n<\/tr>\n
Inmunidad frente a \u00f3rdenes y sanciones de terceros pa\u00edses<\/td>\nNo puede garantizarse mientras la empresa matriz est\u00e9 sujeta a la CLOUD Act y a la FISA 702; el modelo de fideicomisario se qued\u00f3 en SEAL-2 en la licitaci\u00f3n de la Comisi\u00f3n<\/td>\nSujeta \u00fanicamente al Derecho de la UE y de sus Estados miembros<\/td>\n<\/tr>\n
Personal con acceso privilegiado con ciudadan\u00eda de la UE (nivel 3)<\/td>\nSolo en las ofertas de fideicomisario, dentro de un per\u00edmetro limitado<\/td>\nEquipo \u00edntegramente en la UE<\/td>\n<\/tr>\n
Datos de los clientes no utilizados para entrenar IA de terceros pa\u00edses<\/td>\nDepende de cl\u00e1usulas contractuales; los modelos de IA se operan desde EE. UU.<\/td>\nNing\u00fan entrenamiento de modelos con datos de los clientes<\/td>\n<\/tr>\n
Apertura tecnol\u00f3gica y plan de salida de 12 meses<\/td>\nFormatos y API propietarios; migraci\u00f3n compleja<\/td>\nSooma Business es de c\u00f3digo abierto; formatos abiertos y portabilidad<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

El l\u00edmite de los hiperescaladores no es t\u00e9cnico, es jur\u00eddico: por mucho que inviertan en regiones y socios europeos, el control \u00faltimo y la exposici\u00f3n al Derecho estadounidense no cambian. Ese es precisamente el criterio que el nivel 3 de la CADA y SEAL-3 ponen en el centro.<\/p>\n

Para los organismos p\u00fablicos y las empresas de sectores cr\u00edticos de toda Europa, el mensaje es simple: los proveedores que ser\u00e1n elegibles en 2028 ya existen hoy, y los criterios para distinguirlos ya est\u00e1n publicados.<\/strong><\/em><\/p>\n

Fuentes<\/h2>\n