Soberanía en la nube: C5, residencia de datos, control de claves
La soberanía implica residencia de datos, control operativo y posesión de las claves.
La soberanía aparece en casi todos los procesos de adquisición cloud, pero a menudo permanece difusa. Los proveedores estampan el término en sus fichas técnicas y en las ofertas se convierte rápidamente en una casilla de cumplimiento normativo. En la arquitectura se descompone en tres preguntas concretas: dónde residen los datos, quién opera la plataforma y quién controla las claves. Solo las respuestas a estas preguntas determinan si una configuración cloud es soberana de forma sólida o simplemente se denomina así.
Lo más importante en resumen
- La soberanía requiere decisiones arquitectónicas: Se descompone en residencia de datos, control operativo y control de claves. Quien solo verifica la ubicación ha pasado por alto dos de los tres niveles.
- El BSI C5 es el estándar, no una promesa de residencia: El catálogo de criterios evalúa la seguridad de un servicio cloud, pero no dice nada sobre la ubicación de los datos. Ambos aspectos deben aclararse por separado.
- C5:2026 endurece la auditoría: 168 criterios en lugar de 121, novedades para contenedores, criptografía poscuántica y computación confidencial. Los requisitos penetran más profundamente en las arquitecturas existentes.
Relacionado:La soberanía de la IA comienza en la infraestructura / Soberano, ¿pero frente a qué?
La soberanía requiere decisiones arquitectónicas
¿Qué es el BSI C5? El C5, abreviatura de Cloud Computing Compliance Criteria Catalogue, es un catálogo de criterios elaborado por la Oficina Federal de Seguridad de la Información. Define los requisitos mínimos de seguridad de la información para los servicios cloud y es auditado por auditores independientes. Un certificado C5 demuestra que un proveedor implementa medidas de seguridad verificadas. En Alemania es el estándar de facto para la adquisición seria de servicios cloud.
El error más frecuente comienza con una confusión. Un certificado C5 en una oferta se interpreta como prueba de soberanía. No lo es. El C5 evalúa la seguridad con la que se opera un servicio, no dónde residen los datos ni quién puede acceder a ellos en caso de necesidad. Un proveedor puede tener un certificado C5 y aun así estar sujeto a un marco jurídico que permita el acceso a datos europeos. Ambas cuestiones están relacionadas, pero no son idénticas.
Verificar la soberanía con rigor significa descomponerla en sus elementos constitutivos. Solo cuando queda claro qué niveles de los tres necesita un proyecto es posible evaluar si una oferta resulta adecuada. Muchas promesas de soberanía no fracasan por razones técnicas, sino por esta distinción que nunca se establece.
Residencia de datos, soberanía operativa, soberanía de claves: tres niveles
El primer nivel es la residencia de datos, la cuestión del lugar físico. Es el más fácil de verificar y por eso se equipara con frecuencia a soberanía. Tener los datos en un centro de datos de Fráncfort es un buen comienzo, pero solo responde a la más sencilla de las tres preguntas.
El segundo nivel es la soberanía operativa. Quién administra la plataforma, desde dónde y bajo qué ordenamiento jurídico está sometido ese personal. Un centro de datos en la UE administrado de forma remota desde un tercer país tiene residencia de datos, pero no soberanía operativa. El tercero y más exigente de los niveles es la soberanía de claves. Quien controla las claves de cifrado controla los datos, independientemente de dónde estén ubicados. Si el proveedor retiene las claves, la residencia pasa a un segundo plano.
| Nivel | Pregunta clave | Verificable en |
|---|---|---|
| Residencia de datos | ¿Dónde están los datos físicamente? | Ubicación del centro de datos |
| Soberanía operativa | ¿Quién administra la plataforma? | Ubicación y marco jurídico del personal |
| Soberanía de claves | ¿Quién controla el cifrado? | Gestión de claves, BYOK o HYOK |
En la práctica, no todo proyecto necesita los tres niveles en igual medida. Una presencia web pública tolera una nube estándar. Un historial clínico o un conjunto de datos de ingeniería exige soberanía de claves y soberanía operativa, no solo una ubicación en la UE. El trabajo de arquitectura consiste aquí en asignar a cada conjunto de datos el nivel adecuado, en lugar de exigir soberanía de forma generalizada o comprar nube estándar sin más.
Lo que C5:2026 significa concretamente para la arquitectura
El catálogo de criterios ha sido ampliado. La versión publicada en abril de 2026 eleva los requisitos. Los 121 criterios de la versión anterior han pasado a ser 168. Los nuevos requisitos afectan a campos centrales de la arquitectura cloud moderna.
Tres nuevos focos son relevantes para los arquitectos. La gestión de contenedores se audita por primera vez de forma independiente, lo que afecta directamente a los equipos con plataformas Kubernetes. Se incorpora la criptografía post-cuántica, porque la amenaza de los futuros ordenadores cuánticos ya requiere anticipación en la arquitectura desde hoy. La computación confidencial, es decir, el cifrado de los datos también durante su procesamiento, adquiere mayor protagonismo en el foco de auditoría. Los nuevos requisitos serán vinculantes para los periodos de auditoría a partir de mediados de 2027. Para los equipos de arquitectura, la ventana de planificación comienza por tanto ahora.
Quien planifique hoy una plataforma debería incorporar estos temas de forma firme en su hoja de ruta. Una arquitectura que contemple desde el principio el aislamiento de contenedores, los procedimientos cripto-ágiles y el procesamiento confidencial superará la próxima certificación sin necesidad de modificaciones. La que deba incorporarlos a posteriori pagará dos veces.
Lo que sostiene la soberanía y lo que solo la proclama
Entre la soberanía real y la declarada rara vez está la tecnología, sino la precisión de la verificación. Los siguientes patrones distinguen una de la otra.
Solo proclamada
- Un certificado C5 leído como prueba de soberanía de datos
- Ubicación en la UE verificada, pero no la soberanía operativa ni la de claves
- Claves en manos del proveedor, la residencia como escaparate
- Soberanía exigida de forma genérica, sin distinguir clases de datos
Realmente sólida
- Residencia de datos, soberanía operativa y soberanía de claves verificadas por separado
- Soberanía de claves mediante BYOK o HYOK en la propia organización
- Cada conjunto de datos asignado al nivel de soberanía correspondiente
- Requisitos C5:2026 planificados desde el principio, no incorporados a posteriori
La diferencia entre las columnas no depende únicamente del proveedor. Incluso una gran nube internacional ofrece ya regiones soberanas con administración separada y soberanía de claves. Lo decisivo es que la propia arquitectura exija y verifique el nivel correcto, en lugar de fiarse de una etiqueta. La soberanía no es, en última instancia, un producto que se compra, sino una propiedad que se demuestra.
Preguntas frecuentes
¿Un certificado C5 significa que mis datos están en Alemania?
No. El C5 evalúa la seguridad de la información de un servicio en la nube, no la ubicación de los datos. Un proveedor puede tener un certificado C5 completo y procesar datos fuera de Alemania. La residencia de datos debe acordarse y verificarse por separado en el contrato; no forma parte de la acreditación C5.
¿Qué diferencia hay entre BYOK y HYOK?
Con Bring Your Own Key, el cliente aporta sus propias claves, pero el proveedor las gestiona en su infraestructura. Con Hold Your Own Key, las claves permanecen íntegramente bajo el control del cliente; el proveedor no puede descifrar sin autorización previa. HYOK ofrece mayor soberanía sobre las claves, aunque implica una operación más compleja.
¿Es suficiente un centro de datos en la UE para garantizar la soberanía?
Solo cubre la residencia de los datos. La soberanía operativa y la soberanía sobre las claves siguen sin resolverse. Si la plataforma se administra desde un tercer país o el proveedor retiene las claves, la ubicación en la UE por sí sola no constituye una protección sólida. La soberanía real solo surge cuando los tres niveles están clarificados.
¿Qué cambia con C5:2026 en mi arquitectura?
La nueva versión amplía el catálogo a 168 criterios e incorpora gestión de contenedores, criptografía post-cuántica y computación confidencial. Las plataformas deben planificar con antelación el aislamiento de contenedores, procedimientos cripto-ágiles y el procesamiento confidencial. Los nuevos requisitos serán vinculantes para los períodos de auditoría a partir de mediados de 2027.
¿Qué datos requieren el nivel más alto de soberanía?
Los activos con alta necesidad de protección o regulación estricta: datos de salud, datos de construcción e investigación, datos personales a gran escala. Para estos, merece la pena la soberanía sobre claves y operaciones. Los datos públicos o no críticos pueden gestionarse con una nube estándar. El reto está en la clasificación adecuada, no en exigir el máximo nivel de forma indiscriminada.
Fuente de imagen: imagen de portada generada por IA (junio de 2026), certificado C2PA incorporado en la imagen
