Para cumplir con la normativa que regula dónde se almacenan y utilizan sus datos, muchas organizaciones creen que basta con adquirir un SKU de nube soberana de un hiperescalador y dar por cumplido el requisito. Sin embargo, esto dista mucho de lo que realmente se exige —algo de lo que quizá solo se den cuenta cuando un organismo regulador les pida que demuestren que un conjunto de datos nunca ha salido de una zona geográfica definida, que ningún personal de una jurisdicción extranjera ha accedido a él y que pueden recuperarlo en un plazo de 24 horas en caso de incidente.
En un seminario web reciente, participé junto con Alex Zinin, director general de Commvault y responsable de nuestro grupo de trabajo sobre soberanía digital; Jakub Lewandowski, nuestro consejero general adjunto para EMEA; y Pranay Ahlawat, nuestro director de tecnología e inteligencia artificial, para analizar qué debe incluir un enfoque integral de la soberanía digital y en qué aspectos fallan la mayoría de los programas.
Vea el seminario web completo y obtenga el informe de Readiness y el marco de implementación completos de «Digital Sovereignty Decoded».
Puntos clave
- El Marco de Soberanía en la Nube de la UE define ocho objetivos de soberanía, de los cuales solo uno se refiere a la ubicación de los datos.
- La elección de una región de nube soberana aborda dónde se almacenan los datos, pero no quién puede acceder a ellos, bajo qué autoridad legal, ni si es posible recuperarlos en condiciones reales.
- Una estrategia de soberanía completa se sustenta en cuatro pilares interdependientes: la ubicación de los datos, la soberanía tecnológica, la soberanía operativa y la soberanía jurisdiccional. La información…
- Los programas de soberanía que tratan la arquitectura de Recovery por separado de la gobernanza primaria de los datos conllevan un riesgo no evaluado que puede surgir durante los incidentes.
- En lugar de una política de soberanía máxima a cualquier precio, las organizaciones deberían diseñar su estrategia en torno a la soberanía mínima viable: los controles adecuados, aplicados de forma coherente y ajustados a las obligaciones reales.
La soberanía digital se convierte en un requisito empresarial
Durante la última década, las normas más estrictas en materia de soberanía digital y de datos se han aplicado principalmente al gobierno, la defensa y otras cargas de trabajo relacionadas con la seguridad nacional. Fuera de los sectores altamente regulados, muchas empresas trataban los principios de soberanía como orientaciones de diseño en lugar de como una restricción arquitectónica estricta.
Esto está cambiando ahora. La aplicación del RGPD ha evolucionado más allá de las simples directrices hasta llegar a imponer multas sustanciales por fallos operativos, y los nuevos regímenes como la DORA, la NIS2, la normativa alemana KRITIS y la Ley de Datos de la UE han endurecido las expectativas en torno al control jurisdiccional y la resiliencia operativa.
Las cuestiones de soberanía están surgiendo ahora también en las solicitudes de propuestas (RFP), la diligencia debida en fusiones y adquisiciones, y las revisiones de riesgos a nivel del consejo de administración.
El Marco de Soberanía en la Nube de la UE, publicado en octubre de 2025, aclara qué es lo que realmente evalúa este escrutinio. De sus ocho objetivos de soberanía, solo uno aborda la ubicación de los datos. Los otros siete abarcan el control de acceso, las dependencias operativas, la exposición jurisdiccional y Recovery.
Para las empresas, esta estructura es ahora el prisma a través del cual deben evaluarse las capacidades de los proveedores.
Avance: Repensar la soberanía y la resiliencia
En este fragmento del seminario web, Jakub analiza cómo la soberanía es una postura frente al riesgo, más que un producto concreto. Las organizaciones necesitan una estrategia holística que combine arquitectura, operaciones, gobernanza, auditabilidad y planificación de Recovery para abordarla.
La ubicación de los datos no equivale a soberanía
La ubicación de los datos solo responde a preguntas sobre «dónde». Las normativas de soberanía también exigen poder explicar «quién», «cómo» y «en qué condiciones».
En la práctica, una postura de soberanía completa se basa en cuatro pilares interdependientes.
1. Localización de los datos
Este pilar abarca no solo dónde se almacenan los datos, sino también por dónde circulan. Los artefactos del plano de control, los metadatos y la telemetría pueden cruzar fronteras geográficas incluso cuando los datos primarios permanecen dentro de la región.
2. Soberanía tecnológica
Este pilar aborda si la organización controla los mecanismos que protegen los datos:
- Cómo se concede el acceso.
- Cómo se cifran los datos.
- Si se mantiene la custodia de las claves de cifrado en todas las circunstancias.
Un concepto clave en este sentido (nunca mejor dicho) es la distinción entre «Bring Your Own Key» (BYOK), en la que las claves de cifrado propias de la organización se gestionan dentro de la plataforma del proveedor, y «Hold Your Own Key» (HYOK), en la que la organización mantiene la custodia independiente de las claves totalmente fuera del entorno del proveedor.
Para las organizaciones reguladas con requisitos estrictos de soberanía, es posible que el modelo BYOK no ofrezca una protección suficiente si una autoridad judicial extranjera puede obligar al proveedor a facilitar el acceso a las claves en determinadas circunstancias.
3. Soberanía operativa
Esto abarca quién gestiona el entorno y desde dónde, incluyendo si el personal de soporte o los proveedores externos están sujetos a una jurisdicción extranjera.
4. Soberanía jurisdiccional
Este último pilar establece el marco jurídico bajo el cual se prestan los servicios y si existen protecciones explícitas contra el acceso extraterritorial, como las situaciones transfronterizas contempladas en la Ley CLOUD de EE. UU.
Cada uno de estos pilares es esencial para mantener el cumplimiento normativo. Una postura sólida en materia de localización de datos, combinada con controles operativos débiles, puede dar lugar a riesgos no evaluados.
Dónde fallan los programas de soberanía digital
Mi experiencia en este ámbito ha revelado un patrón recurrente: cuando la soberanía se convierte en una conversación técnica, se reduce en exceso y con demasiada rapidez. Los talleres se centran en dónde residen los datos, los equipos se ponen a trabajar en esa única cuestión y luego pasan a otra cosa, dejando los otros tres pilares prácticamente sin examinar.
También entran en juego problemas estructurales. La soberanía digital debe abordarse como un programa continuo en el que participan partes interesadas de ámbito jurídico, técnico y operativo, y no como un proyecto de TI que se marca como completado.
Las organizaciones también pueden dejarse llevar por algunos mitos. Uno de ellos, como ya hemos comentado, es la impresión de que soberanía es sinónimo de residencia.
Luego está el mito de la soberanía absoluta, la idea de que se puede alcanzar una independencia total respecto a todas las jurisdicciones y dependencias externas. En la práctica, la soberanía siempre implica un equilibrio entre el control, el coste, la velocidad tecnológica y la capacidad de innovar.
El objetivo debería ser alcanzar el equilibrio adecuado entre la independencia respecto a las jurisdicciones extranjeras y las necesidades de su negocio. También es importante comprender que la soberanía no es un producto que se pueda comprar, sino una postura de riesgo construida a partir de la arquitectura, las operaciones, los contratos, las certificaciones y la auditabilidad continua.
La resiliencia forma parte de los límites de la soberanía
La soberanía operativa es el pilar más difícil de auditar y el que más se suele subestimar. Si su entorno necesitara acceso para un mantenimiento rutinario esta noche, ¿quién lo llevaría a cabo, desde qué país y bajo qué jurisdicción legal? La mayoría de las organizaciones, cuando abordan esta cuestión por primera vez, se encuentran con al menos una vía de asistencia que cruza un límite jurisdiccional que no habían tenido en cuenta.
Esta laguna cobra mayor relevancia durante la recuperación. La mayoría de los programas de soberanía regulan los entornos de datos primarios, pero tratan la infraestructura de copias de seguridad, la secuencia de restauración y la gestión de puntos de recuperación bajo un conjunto de controles independiente —y a menudo más débil—. Cuando se produce un incidente, es posible que el personal de Recovery no cumpla los requisitos jurisdiccionales, y la arquitectura soberana diseñada para proteger los datos puede complicar activamente la restauración si no se ha tenido en cuenta la resiliencia desde el principio.
El modelo de operaciones de resiliencia de Commvault, ResOps™, aborda esta necesidad directamente al enmarcar Recovery como una disciplina operativa continua que debe diseñarse, probarse y validarse dentro del mismo límite de soberanía que los datos que protege.
Soberanía mínima viable: el nivel adecuado de control, no el máximo
Un enfoque absolutista de la soberanía digital puede suponer una carga para los recursos, al tiempo que restringe innecesariamente la capacidad de una empresa para alcanzar sus objetivos comerciales.
Un sistema de nóminas, una base de datos de transacciones de clientes y una herramienta interna de RR. HH. no conllevan las mismas obligaciones de soberanía. Adoptar un enfoque binario del cumplimiento normativo puede llevar a invertir de forma insuficiente donde realmente importa o a invertir en exceso, más allá de lo que realmente se requiere.
La soberanía mínima viable establece un objetivo más práctico: controles adecuados, aplicados de forma coherente y demostrados continuamente, calibrados en función de lo que cada carga de trabajo requiere realmente en los cuatro pilares.
Las organizaciones disponen de una amplia gama de opciones para implementar los controles de soberanía en todo su entorno, cada una de las cuales ofrece controles diferentes.
Cómo aborda Commvault la cuestión de la soberanía digital
El marco Geo Shield de Commvault está diseñado para ayudar a las organizaciones a orientarse en ese espectro. En lugar de ofrecer un único punto de referencia de soberanía, Geo Shield se adapta a toda la gama de modelos de implementación:
- Servicios de nube soberana regional prestados como SaaS
- Alianzas con hiperescaladores para el lanzamiento de soluciones soberanas
- Ofertas soberanas nacionales gestionadas por socios y creadas con proveedores de servicios locales
- Entornos privados soberanos totalmente controlados por el cliente que cumplen los requisitos de marcos como FedRAMP High.
De este modo, las organizaciones pueden alcanzar un nivel de soberanía digital que se mantenga en condiciones reales, incluso cuando se produzca un incidente.
Vea el seminario web completo y obtenga el informe de Readiness
En el seminario web completo, disponible bajo demanda, descubrirás:
- Por qué la soberanía digital es más que una solución tecnológica.
- El papel de la arquitectura y las operaciones en la estrategia de soberanía.
- Cómo influyen la gobernanza, los contratos y la auditabilidad en la resiliencia.
- Por qué la soberanía debe mantenerse firme durante los incidentes cibernéticos y las interrupciones del servicio.
- La importancia de un enfoque holístico y basado en el riesgo para la soberanía.
Ve el seminario web y obtén el informe completo «Digital Sovereignty Decoded» sobre la Readiness y el marco complementario.
Preguntas frecuentes
P: ¿Cuál es la diferencia entre la residencia de datos y la soberanía digital?
R: La residencia de datos se refiere al lugar donde se almacenan físicamente los datos. La soberanía digital es un concepto más amplio: aborda quién puede acceder a los datos, bajo qué autoridad legal, a través de qué vías operativas y si pueden recuperarse de forma segura en condiciones reales.
Una organización puede tener los datos alojados en el país adecuado y, aun así, seguir expuesta a jurisdicciones extranjeras a través de su personal de soporte, los acuerdos de acceso con proveedores o la infraestructura de copias de seguridad. La residencia es la condición de partida; la soberanía es la postura completa que se construye a partir de ella.
P: ¿Qué es el Marco de Soberanía en la Nube de la UE y por qué es importante?
R: El Marco de Soberanía en la Nube de la UE es una herramienta de evaluación estructurada desarrollada por la Comisión Europea para evaluar a los proveedores de servicios en la nube y de tecnología en función de criterios de soberanía durante los procesos de contratación pública.
Define ocho objetivos de soberanía, con niveles de garantía que van del cero al cuatro para cada uno. Solo uno de los ocho objetivos se refiere a la ubicación de los datos; el resto abarca los controles operativos, la custodia de las claves, la exposición jurisdiccional y Recovery.
Este marco constituye el marco público más completo para evaluar la postura en materia de soberanía y cada vez más regiones y organismos de contratación pública fuera de la UE lo utilizan como referencia.
P: ¿Cuál es la diferencia entre BYOK y HYOK, y por qué es importante para la soberanía?
R: «Bring Your Own Key» (BYOK) permite a una organización proporcionar sus propias claves de cifrado, pero dichas claves suelen gestionarse dentro de la plataforma del proveedor. «Hold Your Own Key» (HYOK) significa que la organización mantiene la custodia independiente de las claves totalmente fuera del entorno del proveedor, incluso en situaciones de crisis o ante una obligación legal.
Para las organizaciones reguladas con requisitos estrictos de soberanía, es posible que BYOK no ofrezca una protección suficiente si una autoridad jurídica extranjera puede obligar al proveedor a facilitar el acceso a las claves. La ley estadounidense CLOUD Act, por ejemplo, puede afectar a los proveedores que operan bajo la jurisdicción de EE. UU., independientemente de dónde se almacenen físicamente los datos.
HYOK aborda directamente ese riesgo, aunque puede requerir un nivel de plataforma superior en las implementaciones de SaaS.
P: ¿Por qué la mayoría de las estrategias de soberanía pasan por alto la soberanía operativa?
R: La soberanía operativa, que abarca quién gestiona el entorno y desde dónde, es el pilar más difícil de auditar, ya que requiere realizar un inventario de los contratos de soporte, los acuerdos de acceso de los proveedores y las dependencias de terceros a lo largo de toda la cadena operativa.
La mayoría de las organizaciones ponen en marcha programas de soberanía centrados en la ubicación y el cifrado de los datos, que son más visibles. Las dependencias operativas suelen salir a la luz solo cuando se auditan explícitamente o cuando un incidente obliga a plantearse la cuestión.
Como primer paso para evaluar la soberanía operativa, debe identificar todas las vías de acceso a su entorno soberano y la jurisdicción legal de cada parte que disponga de dicho acceso.
P: ¿Cómo deben abordar las organizaciones la Recovery en el contexto de la soberanía?
R: La arquitectura de Recovery debe cumplir los mismos requisitos de soberanía que los entornos de datos primarios, pero no siempre es así. En la mayoría de las organizaciones, la infraestructura de copias de seguridad, la secuencia de restauración y la gestión de los puntos de recuperación suelen funcionar bajo controles independientes, o carecen de ellos por completo.
Durante un incidente, es posible que el personal autorizado para ejecutar la Recovery no cumpla los requisitos jurisdiccionales, que los puntos de Recovery no hayan sido validados como limpios y no comprometidos, y que la arquitectura soberana diseñada para proteger los datos pueda complicar activamente la Recovery si la resiliencia no se integró en el diseño original. Una revisión de la soberanía siempre debe incluir la planificación de la Recovery.
P: ¿Qué significa en la práctica la «soberanía mínima viable»?
R: La soberanía mínima viable consiste en identificar el nivel adecuado de control para cada carga de trabajo, ajustado a las obligaciones normativas reales, la tolerancia al riesgo y las limitaciones operativas, en lugar de aplicar controles máximos de manera uniforme.
La soberanía máxima conlleva concesiones reales: complejidad tecnológica, carga operativa, limitaciones del servicio y costes. Las organizaciones que definen los requisitos por carga de trabajo en los cuatro pilares, los asocian a modelos de implementación y recopilan pruebas de una aplicación coherente se encuentran en una posición mucho más sólida que aquellas que adoptan enfoques de «todo o nada».
P: ¿Qué papel desempeñan las certificaciones como C5, SecNumCloud e ISO 27001 en una estrategia de soberanía?
R: Las certificaciones ayudan a proporcionar pruebas auditables de que los controles han sido verificados de forma independiente, lo cual constituye una parte importante de cualquier postura de soberanía defendible. C5 en Alemania, SecNumCloud en Francia e ISO/IEC 27001 establecen, cada una, unos requisitos mínimos que los proveedores deben demostrar mediante auditorías independientes.
Las posturas de soberanía más sólidas consideran estas certificaciones como un mínimo, que aportan la evidencia necesaria de que existen controles, pero no sustituyen a las pruebas operativas en condiciones reales.
Darren Thomson es vicepresidente y director de tecnología para la región de EMEA en Commvault. No te pierdas sus intervenciones en la serie de podcasts STRIVE.
