6 min. de lectura<\/p>\n
En 2026, el reshoring ya no es una etiqueta de marketing, sino una partida de presupuesto. Las medianas empresas alemanas trasladan cargas concretas desde las regiones estadounidenses de los hyperscalers a centros de datos de la UE: algunas completas, muchas h\u00edbridas. Los impulsores rara vez son debates puros de soberan\u00eda. Son preguntas de auditor\u00eda de los ex\u00e1menes BSI-KRITIS, atestaciones C5 de los clientes y obligaciones de la ley marco KRITIS a partir de octubre de 2025, que golpean en lo operativo.<\/strong><\/p>\n Lo esencial en resumen<\/p>\n Relacionado<\/span>Cloud Repatriation 2026: el modelo TCO \/<\/span> Canal Broadcom-VMware: el panorama de providers 2026<\/p>\n El movimiento no se ejecuta como un gran exit. Se ejecuta como una triage de cargas: qu\u00e9 tiene que estar forzosamente en la UE, qu\u00e9 puede correr en h\u00edbrido y qu\u00e9 se queda pragm\u00e1ticamente en AWS us-east-1 o Azure East US. Este texto describe lo que realmente ocurre en proyectos desde principios de 2026, y d\u00f3nde el relato choca con la realidad de la escala de los hyperscalers.<\/p>\n Hay tres cl\u00fasteres claros que las medianas empresas migran activamente en 2026. Primer cl\u00faster: cargas relevantes para KRITIS. Desde la ley marco KRITIS y la transposici\u00f3n de NIS2 en Alemania, los operadores de instalaciones cr\u00edticas deben aportar pruebas sobre ubicaci\u00f3n, acceso y dependencia de instrucciones en el tratamiento de datos. Las el\u00e9ctricas, las empresas de aguas y los grupos hospitalarios se llevan sus datos de pacientes y de control, a menudo a Open Telekom Cloud o IONOS.<\/p>\n Segundo cl\u00faster: anal\u00edtica con datos personales y datos de CRM con riesgo Schrems II. Las empresas que en 2024\/25 apostaron por SCCs de AWS y el EU-US Data Privacy Framework viven en las auditor\u00edas preguntas dif\u00edciles. Los pipelines anal\u00edticos pasan a proveedores nativos de la UE o a AWS Frankfurt (eu-central-1) con pol\u00edticas expl\u00edcitas de region lock.<\/p>\n Tercer cl\u00faster: backups y archivos de largo plazo con obligaci\u00f3n legal de conservaci\u00f3n (Derecho mercantil y fiscal, \u00a7257 HGB, \u00a7147 AO). Aqu\u00ed los datos fr\u00edos migran de S3 en EE. UU. a proveedores UE compatibles con S3 o al object storage de OVHcloud. El esfuerzo de migraci\u00f3n es manejable y el argumento de compliance es fuerte.<\/p>\n Tres marcos dominan la discusi\u00f3n, cada uno con peso distinto. C5 (Cloud Computing Compliance Criteria Catalogue) del BSI<\/strong> es la palanca pr\u00e1cticamente m\u00e1s importante. Los grandes clientes y los contratantes p\u00fablicos exigen C5 Tipo 2 como base contractual. AWS, Azure y Google Cloud tienen atestaciones C5 para sus regiones UE, pero los criterios adicionales (DEU C5:2020) sobre localidad del dato obligan a una configuraci\u00f3n de regi\u00f3n expl\u00edcita. Quien hasta ahora desplegaba a nivel global tiene que rehacer arquitectura.<\/p>\n BSI-KRITIS<\/strong> no es un certificado, sino un r\u00e9gimen obligatorio para operadores de infraestructuras cr\u00edticas. La obligaci\u00f3n de prueba seg\u00fan \u00a78a de la ley BSI exige cada dos a\u00f1os una revisi\u00f3n de medidas de protecci\u00f3n adecuadas. En la pr\u00e1ctica eso significa: las externalizaciones a cloud deben estar documentadas, los contratos de encargo del tratamiento tienen que ser s\u00f3lidos y las estrategias de salida robustas. Los contratos est\u00e1ndar de los hyperscalers ya a menudo no bastan.<\/p>\n Gaia-X<\/strong> aporta un marco de arquitectura y un sistema de etiquetas (Gaia-X Labels nivel 1 a 3) que garantiza la soberan\u00eda del dato. Las cargas productivas sobre servicios certificados por Gaia-X siguen siendo raras. Gaia-X act\u00faa sobre todo como criterio de licitaci\u00f3n en el sector p\u00fablico y como plantilla argumentativa para la gobernanza interna. Quien espere de Gaia-X una cloud lista para usar se llevar\u00e1 una decepci\u00f3n.<\/p>\n La narrativa de soberan\u00eda suena limpia: fuera de las clouds de EE. UU., dentro de proveedores UE. En la realidad del proyecto, el relato se rompe en tres puntos.<\/p>\n Primer punto de ruptura: managed services.<\/strong> Quien corra en producci\u00f3n sobre Amazon Aurora, DynamoDB o Azure Cosmos DB no tiene en los proveedores UE un managed service equivalente. La migraci\u00f3n suele significar cambiar a PostgreSQL autogestionado o a cat\u00e1logos de servicio m\u00e1s peque\u00f1os. Es viable, pero cuesta tiempo de ingenier\u00eda.<\/p>\n Segundo punto de ruptura: dependencias SaaS.<\/strong> Microsoft 365, Salesforce y ServiceNow viven en corporaciones estadounidenses. Incluso las ofertas de Microsoft EU Cloud (EU Data Boundary) no escapan del todo al CLOUD Act. Quien quiera excluir en serio el acceso desde EE. UU. tiene que empezar por la capa SaaS, no por el IaaS.<\/p>\n Tercer punto de ruptura: stack de IA.<\/strong> Los proveedores UE invierten (STACKIT tiene plataforma de IA, OVHcloud ofrece instancias GPU), pero la brecha con Bedrock o Vertex AI es grande. Los equipos que construyen productos basados en LLM se quedan, al menos para inferencia, con frecuencia en los hyperscalers de EE. UU. Reshoring aqu\u00ed significa: datos en la UE, inferencia del modelo donde corren los modelos.<\/p>\n Quien arranque un proyecto de reshoring deber\u00eda ir en este orden:<\/p>\n El reshoring en 2026 no es un gesto pol\u00edtico, sino un proyecto de ingenier\u00eda con motor de compliance. El enfoque m\u00e1s limpio es poco espectacular: priorizar cargas, probar un proveedor con disciplina y construir capacidad de salida. Quien lo haga con disciplina obtiene soberan\u00eda del dato sin los retrocesos de escala que el relato suele esconder. Quien planifique el reshoring como salida total de las clouds estadounidenses aterriza r\u00e1pido en debates SaaS que el equipo IaaS no puede resolver.<\/p>\n Al final decide la pregunta de para qu\u00e9 se necesita el sello de auditor\u00eda. Para obligaciones KRITIS y licitaciones p\u00fablicas, en la mayor\u00eda de los casos no hay forma de evitar a los proveedores UE. Para plataformas productivas de IA y de datos, se mantiene la realidad h\u00edbrida: regi\u00f3n UE en el hyperscaler con region locks estrictos, y un proveedor UE nativo adicional para las piezas que requieren forzosamente C5 Tipo 2. Esa arquitectura en dos capas es poco atractiva, pero sobrevive a los pr\u00f3ximos ciclos de auditor\u00eda.<\/p>\n En el trabajo operativo de arquitectura en 2026, Gaia-X rara vez aparece como requisito propio, pero s\u00ed de forma regular en licitaciones del sector p\u00fablico y de sectores regulados. En la pr\u00e1ctica son relevantes los esquemas de self-description y el sistema de labels: un proveedor con Gaia-X Label nivel 2 o 3 indica que se han garantizado contractualmente ciertos criterios de soberan\u00eda (sede del tratamiento, derechos de acceso, jurisdicci\u00f3n). Para una empresa KRITIS que tiene que explicar a su auditor por qu\u00e9 una determinada carga permanece en una cloud de EE. UU., la etiqueta es un argumento utilizable. Sin label, la discusi\u00f3n se alarga.<\/p>\n EuroStack es m\u00e1s joven, est\u00e1 m\u00e1s cargado pol\u00edticamente y hoy por hoy es sobre todo un debate de roadmap. La idea de construir un stack europeo de infraestructura extremo a extremo – desde el silicio hasta el compute y los servicios de plataforma – todav\u00eda en 2026 no es base de decisi\u00f3n para la arquitectura de una mediana empresa. Pero aparece en convocatorias de ayudas y afecta a la pregunta de qu\u00e9 proveedores UE resultan estrat\u00e9gicamente interesantes para los pr\u00f3ximos cinco a\u00f1os. Quien planifique hoy un reshoring deber\u00eda revisar la lista de proveedores que participan activamente en proyectos EuroStack. No es un criterio de compra, pero s\u00ed una se\u00f1al de compromiso inversor a largo plazo.<\/p>\n En la pr\u00e1ctica: en la licitaci\u00f3n, Gaia-X Label como criterio must, participaci\u00f3n en EuroStack como puntuaci\u00f3n plus. Ambos se comunican internamente sin euforia. Quien infle Gaia-X como tema de marketing perder\u00e1 al departamento de compliance; quien lo ignore, perder\u00e1 licitaciones p\u00fablicas.<\/p>\n El n\u00facleo jur\u00eddico de la ola de reshoring no est\u00e1 en Berl\u00edn, sino en Luxemburgo. Desde la sentencia Schrems II de 2020 y los debates posteriores sobre el EU-US Data Privacy Framework, la transferencia de datos personales a EE. UU. solo es admisible con medidas t\u00e9cnicas y organizativas adicionales. El Data Privacy Framework de 2023 ha estabilizado formalmente la situaci\u00f3n, pero queda bajo observaci\u00f3n permanente. Varias autoridades de control de datos en la UE han se\u00f1alado que, en caso de duda, volver\u00e1n a pedir revisi\u00f3n si el marco cae pol\u00edtica o jur\u00eddicamente.<\/p>\n Para la arquitectura eso significa: quien hoy opere sistemas productivos con datos personales en regiones de EE. UU. asume un riesgo residual que se puede atenuar con region locks en la UE, pero no eliminar del todo. El CLOUD Act permite a autoridades estadounidenses, bajo determinadas condiciones, acceder a datos de empresas estadounidenses, independientemente de d\u00f3nde est\u00e9n f\u00edsicamente los datos. Para la mayor\u00eda de las medianas empresas no es un problema operativo, pero s\u00ed un auditable item, y los auditable items acaban antes o despu\u00e9s en el registro de riesgos.<\/p>\n La respuesta de arquitectura m\u00e1s limpia en 2026 no es la salida total, sino la separaci\u00f3n por clases de datos: datos personales de alta sensibilidad (salud, empleados, comunicaciones) en proveedores UE nativos, datos operativos sin dato personal siguen en los hyperscalers, formas mixtas caso por caso. Es m\u00e1s administraci\u00f3n, pero reduce significativamente la superficie jur\u00eddica expuesta, y es exactamente el lenguaje que las autoridades de protecci\u00f3n de datos quieren o\u00edr.<\/p>\n Dos malentendidos se mantienen con fuerza. Primero: el reshoring no resuelve la dependencia de stacks de software estadounidenses. Quien deposite sus datos en un centro de datos UE pero los procese con Microsoft 365, Salesforce o ServiceNow no ha abandonado realmente la jurisdicci\u00f3n. La cuesti\u00f3n SaaS es un proyecto propio y necesita respuestas propias – palabras clave: alternativas europeas como Nextcloud, Open-Xchange o SaaS vertical especializado del espacio DACH.<\/p>\n Qu\u00e9 resuelve el reshoring<\/p>\n Qu\u00e9 NO resuelve el reshoring<\/p>\n Segundo: el reshoring no es un proyecto de ahorro. Los proveedores UE nativos son, en la mayor\u00eda de comparativas de precios, m\u00e1s caros que los hyperscalers, sobre todo en cargas el\u00e1sticas. Eso hay que dec\u00edrselo al CFO con honestidad, si no el proyecto cae en la primera ronda de presupuesto. El business case se justifica por soportar la auditor\u00eda, no por la factura de infraestructura. Quien lo invierta construir\u00e1 un proyecto de reshoring que, al cabo de dos a\u00f1os, se deshace porque no se cumple la expectativa de ahorro.<\/p>\n Como muy tarde cuando las obligaciones KRITIS, las atestaciones C5 o las exigencias del BSI est\u00e1n sobre la mesa para el pr\u00f3ximo ciclo de auditor\u00eda y el auditor aborda expresamente la cuesti\u00f3n de jurisdicci\u00f3n. Por debajo de ese umbral basta en muchos casos un region lock bien documentado en la regi\u00f3n UE del hyperscaler – menos esfuerzo y cumple la mayor\u00eda de los requisitos en la mediana empresa.<\/p>\n<\/details>\n No. La mayor\u00eda de los proyectos de 2026 son h\u00edbridos: cargas cr\u00edticas por clase de dato en proveedores UE nativos, el resto se queda en AWS, Azure o Google Cloud con region lock UE. La ret\u00f3rica de la salida total funciona en discursos, rara vez en el roadmap.<\/p>\n<\/details>\n En la pr\u00e1ctica: C5 Tipo 2 del BSI como referencia b\u00e1sica, ISO 27001 como base, Gaia-X Label nivel 2+ en licitaciones p\u00fablicas. Los certificados KRITIS se a\u00f1aden por sector (B3S). Todo lo dem\u00e1s es a\u00f1adido de marketing: no sin importancia, pero no criterio de decisi\u00f3n.<\/p>\n<\/details>\n Apostar desde el d\u00eda uno por tecnolog\u00edas portables: Kubernetes en lugar de orquestaci\u00f3n propietaria, Terraform en lugar de consolas espec\u00edficas del proveedor, formatos de datos abiertos en lugar de especificidades de managed service. No escribir los planes de salida cuando llega el cambio, sino fijarlos contractualmente como parte del onboarding con el nuevo proveedor.<\/p>\n<\/details>\n Poco o nada, mientras el foco est\u00e9 en el IaaS. El debate SaaS es un proyecto propio con otros impulsores y con costes pol\u00edticos normalmente m\u00e1s altos. Quien haga limpio el reshoring en el IaaS y aparque la cuesti\u00f3n SaaS ha entregado una respuesta honesta: nadie tira Microsoft 365 como proyecto secundario de un programa de infraestructura.<\/p>\n<\/details>\n Recomendaciones de lectura<\/p>\n M\u00e1s en la red MBF Media<\/p>\n Soberan\u00eda digital en la mediana empresa\n<\/p><\/div>\n Soberan\u00eda cloud UE en la agenda del CIO\n<\/p><\/div>\n SecurityToday: ley marco KRITIS y compliance cloud\n<\/p><\/div>\n<\/div>\n Fuente de la imagen de portada: Pexels \/ Sergei Starostin (px:6466141)<\/p>\n","protected":false},"excerpt":{"rendered":"Informe pr\u00e1ctico 2026: qu\u00e9 cargas traen de vuelta las medianas empresas alemanas desde regiones de EE. UU. a centros de datos de la UE, qu\u00e9 certificaciones realmente empujan y d\u00f3nde el relato de soberan\u00eda choca con la realidad de los hyperscalers.","protected":false},"author":87,"featured_media":35554,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_yoast_wpseo_focuskw":"","_yoast_wpseo_title":"Reshoring 2026: repensar la cadena de suministro cloud en la mediana empresa","_yoast_wpseo_metadesc":"Qu\u00e9 cargas traen de vuelta las medianas empresas alemanas desde los hyperscalers de EE. UU. a proveedores UE y qu\u00e9 certificaciones (C5, BSI-KRITIS) realmente lo empujan.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":"","_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":"","ngg_post_thumbnail":0,"pre_headline":"","bildquelle":"","teasertext":"","language":"de","footnotes":""},"categories":[902,951],"tags":[],"industry":[],"class_list":["post-36164","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-logistics-supply-chain"],"wpml_language":"es","wpml_translation_of":35555,"acf":[],"yoast_head":"\n\n
Qu\u00e9 cargas se traen de vuelta en concreto<\/h2>\n
Qu\u00e9 empujan realmente las certificaciones<\/h2>\n
D\u00f3nde choca el relato con la realidad de los hyperscalers<\/h2>\n
\n
\n
Pasos pr\u00e1cticos para un proyecto de reshoring<\/h2>\n
\n
C\u00f3mo entran Gaia-X y EuroStack en el debate de reshoring<\/h2>\n
RGPD, Schrems II y la pregunta por la jurisdicci\u00f3n<\/h2>\n
Qu\u00e9 no resuelve el reshoring<\/h2>\n
\n
\n
Preguntas frecuentes<\/h2>\n
\u00bfDesde cu\u00e1ndo merece la pena plantear el reshoring como proyecto?<\/strong><\/summary>\n
\u00bfTengo que salir completamente de la cloud estadounidense para hacer reshoring?<\/strong><\/summary>\n
\u00bfQu\u00e9 certificados son realmente relevantes para el debate del reshoring?<\/strong><\/summary>\n
\u00bfC\u00f3mo evito pasar del lock-in estadounidense a un lock-in europeo?<\/strong><\/summary>\n
\u00bfQu\u00e9 significa el reshoring para el paisaje SaaS en la empresa?<\/strong><\/summary>\n
\n
\n