Telefónica Tech y el soberanismo cloud: análisis de tendencia

La geopolítica llega al data center

El concepto de cloud soberano ha pasado de ser un tema de nicho regulatorio a una tendencia de negocio concreta en menos de dos años. Y España se está posicionando como uno de los mercados europeos donde más tracción tiene.

Los movimientos recientes lo confirman. Telefónica Tech lanzó su oferta de cloud soberano construida sobre infraestructura propia con certificaciones ENS (Esquema Nacional de Seguridad) de nivel alto. Minsait (Indra) cerró su alianza con Google Cloud para ofrecer Distributed Cloud Hosted, una versión de GCP que se ejecuta íntegramente en centros de datos españoles bajo control operativo de Minsait. Y AWS anunció la apertura de su región en Aragón para 2025, sumándose a la región existente de eu-south-2.

La pregunta relevante no es si la soberanía cloud es real. Lo es. La pregunta es: quién la necesita, qué problema resuelve, y cuánto cuesta respecto a las alternativas.

Qué impulsa la tendencia

Tres fuerzas convergentes explican por qué las empresas españolas están prestando atención a la soberanía cloud ahora y no hace cinco años.

Regulación. El GDPR ya exigía que los datos personales de ciudadanos europeos se tratasen bajo jurisdicción europea. Pero la sentencia Schrems II (2020) y las posteriores guías del EDPB complicaron los mecanismos de transferencia a terceros países. La consecuencia práctica: las empresas que gestionan datos sensibles (salud, finanzas, administración pública) prefieren evitar el debate jurídico de las transferencias transatlánticas manteniendo los datos físicamente en la UE, operados por entidades europeas.

El ENS añade una capa adicional en España. Para contratar con la Administración General del Estado, los proveedores cloud deben tener certificación ENS. Nivel alto para datos sensibles. Esto excluye automáticamente a proveedores que no tienen presencia certificada en España.

FISA 702 y Cloud Act. Las leyes estadounidenses de vigilancia permiten al gobierno de EE.UU. solicitar acceso a datos almacenados por empresas americanas, incluso si los datos están físicamente en servidores europeos. AWS, Azure y GCP son empresas estadounidenses. Esto no es teoría conspirativa. Es el marco legal vigente. Para sectores como defensa, administración pública y sanidad, este riesgo jurídico es suficiente para preferir un proveedor cloud europeo.

Cadena de suministro. La pandemia y las tensiones geopolíticas han demostrado que depender de un único proveedor para infraestructura crítica es un riesgo. El cloud soberano es, en parte, una estrategia de diversificación: tener la capacidad de operar servicios críticos en infraestructura controlada por entidades locales, sin depender de decisiones corporativas tomadas en Seattle o Redmond.

Qué ofrece el mercado español

El panorama de cloud soberano en España tiene tres capas:

Hyperscalers con presencia local. AWS (región en Aragón), Azure (región en Madrid), GCP (a través de Minsait y Telefónica). Ofrecen las mismas APIs y servicios que sus regiones globales, pero con datos físicamente en España. Resuelven el problema de residencia de datos, pero no el de soberanía operativa: la gestión y el acceso siguen siendo de la empresa americana.

Partnerships soberanos. Minsait+Google Cloud y Telefónica Tech+AWS. Estos acuerdos crean una capa de soberanía operativa: la infraestructura está en España, la operación la hace una empresa española, y (en algunos modelos) las claves de cifrado están exclusivamente en manos del cliente o del partner europeo. Es un compromiso entre la funcionalidad del hyperscaler y las garantías de soberanía.

Proveedores puramente españoles. Empresas como Gigas, Arsys, o Stackscale (ahora parte de Telefónica Tech) ofrecen infraestructura cloud íntegramente española. Menor catálogo de servicios que un hyperscaler, pero sin ninguna duda sobre jurisdicción. Para cargas de trabajo que no necesitan servicios gestionados avanzados (ML, analytics a escala), son una alternativa viable y a menudo más económica.

La pregunta que importa: quién necesita esto realmente

No todas las empresas necesitan cloud soberano. La gran mayoría no lo necesitan.

Lo necesitan las empresas que cumplen al menos uno de estos criterios:

• Contratan con la Administración pública y requieren ENS nivel alto
• Manejan datos de salud protegidos por la LOPD-GDD y el RGPD con requisitos adicionales de AEPD
• Operan en sectores regulados (banca, seguros, energía) con requisitos de la CNMV, Banco de España, o CNMC sobre residencia de datos
• Tienen datos clasificados o de defensa

Para una empresa de comercio electrónico, una SaaS B2B, o una startup de logística, la región eu-west-1 de AWS en Irlanda es perfectamente válida. Los datos están en la UE. El GDPR se cumple. Y el coste es un 15-30% menor que las opciones soberanas españolas, porque los hyperscalers son más eficientes a escala.

El error que estamos viendo es empresas que adoptan cloud soberano “por precaución” sin un requisito regulatorio real. El resultado: pagan más, tienen menos servicios disponibles, y no obtienen ningún beneficio legal tangible. La soberanía cloud es una herramienta para un problema específico, no una mejora genérica.

Implicaciones para la estrategia cloud

Para empresas que sí necesitan soberanía cloud, la recomendación práctica es:

Multi-cloud con propósito. Cargas reguladas en el cloud soberano. Cargas no reguladas en el hyperscaler de mejor relación calidad-precio. No mezclar todo en un solo proveedor “para simplificar”. La simplicidad aparente de un solo proveedor se convierte en dependencia real.

Abstraer la infraestructura. Kubernetes (EKS, AKS, GKE, o autoalojado) como capa de abstracción permite mover cargas entre proveedores con fricción razonable. Si tu aplicación está acoplada a servicios específicos de AWS (Lambda, DynamoDB, SQS), migrar a un cloud soberano es un proyecto de reescritura. Si está en contenedores orquestados por Kubernetes con bases de datos gestionadas estándar, la migración es un cambio de configuración.

Evaluar el coste total. El cloud soberano típicamente cuesta un 20-40% más que el hyperscaler equivalente para las mismas cargas. Ese sobrecoste es aceptable si evita un riesgo legal o regulatorio real. Es inaceptable si es solo una prima de tranquilidad sin fundamento regulatorio.

La soberanía cloud es una tendencia real que responde a necesidades reales de un segmento específico del mercado. No es la siguiente gran cosa para todas las empresas. Es la solución correcta para las empresas correctas. Y saber si tu empresa es una de ellas requiere un análisis de riesgos, no un folleto comercial.

Para empresas que necesiten evaluar su estrategia cloud, empezamos por el análisis de requisitos regulatorios y de negocio. La tecnología viene después.