Del Cloud Act a la CADA: qué separa una nube europea de una nube soberana
Alojar los datos en Europa ya no garantiza que queden fuera del alcance de leyes de otros países. Esa es la distancia que separa una nube europea de una nube soberana. Para el partner que trabaja con sector público, donde rige el Esquema Nacional de Seguridad, o con sectores regulados, entender la diferencia ya forma parte de cómo elige un servidor cloud para sus clientes.
La Comisión Europea le puso nombre y niveles a esa diferencia en junio de 2026, con su propuesta de Cloud and AI Development Act (CADA). Todavía es un texto en negociación, pero ya orienta cómo comprarán cloud las administraciones públicas en los próximos años.
Qué es una nube soberana y por qué no equivale a una nube alojada en Europa
Una nube soberana es un servicio cloud en el que los datos, la operación y el control del proveedor quedan sujetos a la jurisdicción de la Unión Europea, sin que terceros países puedan imponer su acceso. La ubicación física es una condición necesaria, pero no suficiente.
Una nube europea, en sentido amplio, es cualquier servicio con centros de datos en territorio de la UE. Puede pertenecer a una empresa europea o a una multinacional extranjera, y esa diferencia de propiedad cambia qué leyes se le aplican.
La soberanía se juega en tres capas:
- Soberanía del dato: dónde se almacena y procesa la información, y bajo qué leyes.
- Soberanía operativa: quién administra la plataforma y quién puede acceder a ella.
- Soberanía tecnológica: de quién depende el software y si puede cortarse o condicionarse desde fuera, algo que afecta directamente al RTO y RPO que se puede comprometer con el cliente.
Cuando las tres capas quedan dentro de la UE, se habla de un cloud soberano en sentido estricto. Cuando solo se cumple la primera, se trata de una nube europea por ubicación.
Un ejemplo ayuda a verlo. Un hospital que guarda historias clínicas en un centro de datos de Madrid gestionado por una filial de un grupo extranjero cumple la ubicación, pero no controla quién puede reclamar esos datos. Esa es la brecha que el concepto de soberanía intenta cerrar.
El Cloud Act: cuando la jurisdicción del proveedor pesa más que la ubicación del dato
El Cloud Act (Clarifying Lawful Overseas Use of Data Act) es una ley estadounidense de 2018 que permite a las autoridades de EE. UU. exigir a los proveedores sujetos a su jurisdicción los datos que tengan bajo su posesión, custodia o control, aunque estén almacenados fuera del país.
En la práctica, un servidor en Madrid o en Fráncfort operado por una empresa estadounidense, o por una filial bajo su control, puede quedar expuesto a una orden de acceso dictada en Estados Unidos. Ocurre también cuando ese proveedor solo guarda la réplica externa de un backup inmutable.
Ese choque con el RGPD, cuyo artículo 48 solo reconoce las órdenes de autoridades de terceros países basadas en un acuerdo internacional, lleva años alimentando el debate sobre la soberanía digital en Europa.
Para los datos no personales, el artículo 32 del Reglamento de Datos (UE) 2023/2854 obliga además a los proveedores a adoptar medidas contra el acceso de gobiernos de terceros países.
Para un organismo público o una entidad regulada, la pregunta ya no es solo dónde están sus datos, sino quién puede verse obligado a entregarlos. Es la pregunta que responde una nube soberana.
Varios grandes proveedores han lanzado ofertas «soberanas» en Europa, a menudo con socios locales o estructuras separadas. Evaluarlas exige mirar la estructura de control, no solo la etiqueta.
Qué propone la CADA para la soberanía digital europea
La Cloud and AI Development Act es una propuesta de reglamento que la Comisión Europea presentó el 3 de junio de 2026, dentro de su paquete de soberanía tecnológica. Busca ampliar la capacidad europea de centros de datos y reducir la dependencia de proveedores de fuera de la UE.
Según la Comisión Europea, sus objetivos se agrupan en tres ejes:
- Capacidad: al menos triplicar la capacidad de centros de datos de la UE en cinco a siete años.
- Autonomía: un marco único de soberanía cloud y un sistema común de compra pública.
- Innovación: impulso a la I+D en nube e IA y a las soluciones de código abierto.
La pieza con más impacto para el canal es el marco que define qué es una nube soberana a efectos de contratación pública. Establece cuatro niveles de garantía, que los organismos públicos usarán según su análisis de riesgos y que los proveedores podrán acreditar ante los Estados miembros tras una auditoría:
- Nivel 1: datos procesados y almacenados en infraestructura situada en la UE.
- Nivel 2: independencia de terceros países y transparencia sobre la cadena de suministro de software.
- Nivel 3: propiedad y control desde la UE, con criterios adicionales como la nacionalidad del personal.
- Nivel 4: control total de la cadena de suministro de software, sin interferencia de terceros países.
Es una propuesta en tramitación: el Parlamento Europeo y el Consejo están fijando sus posiciones y la adopción final se prevé para finales de 2027. El texto final, los plazos de aplicación y el procedimiento de evaluación pueden cambiar, así que conviene seguirla sin darla por cerrada, como ocurre con la NIS2 en España, aún pendiente de transposición.
Cinco criterios para distinguir un cloud soberano de uno que solo lo parece
Mientras la CADA se negocia, un partner puede evaluar la soberanía de un proveedor con cinco criterios verificables:
- Ubicación: centro de datos propio en la UE, con dirección física conocida.
- Propiedad y control: capital y sede de la empresa, y jurisdicción a la que responde.
- Operación: quién administra y da soporte a la plataforma, y desde dónde lo hace.
- Certificaciones: esquemas auditados por terceros, como la certificación de conformidad con el ENS o la ISO 27001. Acreditan el nivel de seguridad del servicio, no su soberanía, por lo que deben leerse junto con los criterios de propiedad y operación.
- Portabilidad: APIs abiertas y estándares que permitan cambiar de proveedor sin rehacer la plataforma. Aquí ya hay obligación legal: el Reglamento de Datos (UE) 2023/2854 se aplica desde el 12 de septiembre de 2025 y, a partir del 12 de enero de 2027, prohíbe cobrar gastos por cambio de proveedor.
El último criterio suele olvidarse: una nube soberana que retiene al cliente con tecnología propietaria limita su autonomía casi tanto como una jurisdicción extranjera. Por eso la propia CADA incluye el código abierto entre sus palancas de resiliencia.
Walhalla responde a esos criterios con datos: capital 100% español, CPD propio en Castellón con sistema autónomo propio (AS30937), ENS Categoría Alta, ISO 27001:2022 y API abierta OpenStack. El detalle de sus auditorías figura en la última renovación de certificaciones.
Cómo preparar a tu cliente público para los requisitos de soberanía
Si la CADA sale adelante, la soberanía cloud dejará de ser un argumento de marketing para convertirse en un criterio graduado de contratación pública: los proveedores del sector público tendrían que cumplir al menos el nivel 1, y cada organismo podría exigir niveles superiores según su análisis de riesgos.
En España, el ENS (Real Decreto 311/2022) ya se aplica a los proveedores que prestan servicios al sector público, que deben acreditar su conformidad: mediante autoevaluación en la categoría BÁSICA y mediante auditoría de certificación en las categorías MEDIA y ALTA. Parte del camino, por tanto, está recorrido.
Preparar al cliente antes de que llegue esa exigencia es una oportunidad para el partner:
- Clasifica los datos del cliente según su sensibilidad y el nivel de soberanía que podrían exigir.
- Revisa qué proveedores actuales dependen de jurisdicciones de fuera de la UE.
- Prioriza la migración de las cargas más sensibles a infraestructura con control europeo.
- Documenta cada decisión para poder justificarla en futuras licitaciones.
Si quieres analizar un caso concreto, escríbenos a comercial@walhallacloud.com con tu nombre, empresa, teléfono, una breve descripción del proyecto y el producto de interés.
En Walhalla Cloud ayudamos al canal a construir sobre una nube soberana con datos y certificaciones que se pueden comprobar.
