Blog Soberanía en la nube y cumplimiento normativo en Europa: NIS2, DORA y Ley de IA de la UE

Por qué la ubicación física ya no garantiza el cumplimiento

Elegir un centro de datos dentro de la frontera nacional adecuada solía ser suficiente para considerar que una carga de trabajo «cumplía con la normativa». Esa suposición ha dejado de ser válida paulatinamente. Un servidor ubicado en Fráncfort o Ámsterdam no dice nada sobre quién puede ser obligado legalmente a entregar los datos que contiene, que es exactamente la brecha que los reguladores han dedicado los últimos tres años a cerrar.

Tres marcos convergen ahora en la misma cuestión: no solo dónde se encuentran los datos, sino quién puede acceder a ellos y si se puede demostrar en una auditoría. La directiva NIS2 cubre a más de 160.000 entidades en 18 sectores, y las autoridades de protección de datos de la UE han impuesto más de 5900 millones de euros en multas por el RGPD desde mayo de 2018, según el seguimiento de datos de GDPR Enforcement Tracker realizado por Vision Compliance. DORA se aplica a las entidades financieras de la UE y a sus proveedores de TIC críticos. La Ley de IA de la UE añade además obligaciones de infraestructura para los sistemas de IA de alto riesgo.

El argumento comercial avanza con la misma rapidez. La encuesta sobre el Desafío de la Soberanía Digital de Insight, realizada por Coleman Parkes entre diciembre de 2025 y enero de 2026 entre 900 altos cargos con capacidad de decisión en organizaciones con más de 500 empleados de nueve países europeos, reveló que el 67 % de las organizaciones ya considera la soberanía digital como una consideración estratégica crítica, cifra que asciende al 78 % en un plazo de uno a dos años y al 82 % en tres años. El 55 % señaló la complejidad regulatoria como uno de sus mayores desafíos estratégicos, y el 43 % ya había utilizado credenciales sólidas de soberanía para conseguir o conservar negocio. Se trata de los resultados de una encuesta encargada por un proveedor y no de estadísticas oficiales, por lo que deben tratarse como una orientación del sentimiento de la industria y no como un hecho definitivo.

A continuación se analiza el panorama regulatorio tal y como se presenta en 2026, lo que exige realmente cada marco a su arquitectura en la nube y cómo las organizaciones que se basan en Azure, AWS o Google Cloud pueden alcanzar una postura preparada para la soberanía sin asumir un sobrecoste de cumplimiento imposible de justificar internamente.

El marco regulatorio europeo y por qué se comporta como un único sistema

El RGPD, la directiva NIS2, DORA y la Ley de IA no surgieron como cuatro listas de verificación independientes, aunque la mayoría de los equipos de cumplimiento los sigan gestionando así. Para 2026, orientan hacia los mismos tres resultados: saber exactamente dónde residen los datos, controlar quién puede acceder a ellos y ser capaz de demostrar, con pruebas en lugar de promesas, que se puede seguir operando tras un fallo o durante una auditoría.

El solapamiento es mayor para las organizaciones de los sectores financiero, sanitario, energético y público, donde una sola deficiencia de control puede desencadenar obligaciones en virtud de dos o tres regímenes a la vez.

NIS2: obligaciones de ciberseguridad en 18 sectores, con responsabilidad personal asociada

NIS2, la Directiva revisada sobre Seguridad de las Redes y de los Sistemas de Información introducida por la UE en 2023, sustituye a una antecesora más limitada con obligaciones imperativas que cubren a más de 160.000 entidades. Introduce requisitos de gestión de riesgos, responsabilidad a nivel directivo, plazos de notificación de incidentes y mandatos de seguridad en la cadena de suministro, incluyendo la responsabilidad personal de la alta dirección en caso de incumplimiento comprobado.

La directiva divide a las organizaciones obligadas en dos categorías:

• Entidades esenciales: grandes operadores en energía, transporte, banca, sanidad e infraestructura digital, que se enfrentan a una supervisión proactiva y al cumplimiento más estricto.
• Entidades importantes: organizaciones medianas de los mismos sectores, sujetas al mismo nivel de exigencia técnica pero con una supervisión reactiva en lugar de proactiva.

Cuatro aspectos que la directiva NIS2 exige que un consejo de administración sea capaz de demostrar:

1. Asunción del riesgo. El consejo aprueba las medidas de ciberseguridad y supervisa su aplicación; no hacerlo puede acarrear responsabilidad personal.
2. Requisitos de seguridad. El artículo 21 de la Directiva NIS2 establece las medidas básicas, incluidas la gestión de incidentes, la continuidad del negocio y la gestión de crisis.
3. Seguridad de la cadena de suministro. Es necesario evaluar las prácticas de ciberseguridad de los proveedores de bienes y servicios, no solo las propias.
4. Notificación de incidentes. Las entidades esenciales deben notificar a su CSIRT nacional en un plazo de 24 horas tras un incidente significativo, debiendo presentar un informe más completo en 72 horas.

En la práctica, NIS2 traslada el rigor en la identidad, los registros a prueba de manipulaciones, la gobernanza de proveedores y la notificación de incidentes con plazos definidos directamente a la capa de la plataforma. La palabra clave es demostrable: un auditor debe ser capaz de rastrear sus controles a través de telemetría y registros de cambios, sin limitarse a confiar en su palabra.

Las sanciones son reales y escalonadas: las entidades esenciales se enfrentan a multas de hasta 10 millones de euros o el 2 % del volumen de negocios anual mundial (lo que sea mayor), mientras que las entidades importantes se enfrentan a hasta 7 millones de euros o el 1,4 % del volumen de negocios. Estas cifras se aplican por Estado miembro, por lo que una organización con filiales en varios países de la UE se enfrenta a un riesgo independiente en cada uno de ellos.

DORA: la resiliencia operativa como algo que debe demostrarse, no solo planificarse

La Ley de Resiliencia Operativa Digital (DORA, por sus siglas en inglés) impone normas de resiliencia operativa a las entidades financieras de la UE y a sus proveedores de TIC, y es de obligado cumplimiento desde enero de 2025. Exige estrategias de salida documentadas y probadas para los proveedores críticos, derechos de auditoría contractuales, controles sobre el riesgo de concentración de TIC y la supervisión continua de terceros.

El alcance lo determina la actividad, no el número de empleados. Una empresa FinTech de 50 personas que procesa pagos está sujeta a las mismas obligaciones que un gran banco.

DORA estandariza la gestión de riesgos de TIC en todo el sector: conmutación por error probada, objetivos de tiempo y punto de recuperación medidos, pruebas basadas en amenazas cuando corresponda y un registro de acuerdos de TIC con terceros que coincida realmente con lo que se ejecuta en producción. La resiliencia se ha convertido eficazmente en un requisito de producto más que en un punto en un plan de recuperación ante desastres.

La implicación arquitectónica es el aspecto más crítico. La estrategia de salida obligatoria del artículo 28 exige a las entidades financieras mantener un plan documentado, probado y auditable para migrar de cualquier proveedor de TIC crítico sin interrumpir el servicio. Si su plataforma está estrechamente vinculada a las API propietarias de un único proveedor, ese «plan de salida» puede ser en la práctica una migración de varios años: no un plan de contingencia, sino una dependencia del proveedor disfrazada de cumplimiento normativo.

Lo que las organizaciones financieras europeas deberían estar haciendo ahora:

1. Auditar todos los contratos en la nube existentes con respecto a los requisitos de la estrategia de salida del artículo 28.
2. Clasificar las cargas de trabajo por criticidad y señalar cuáles dependen de servicios gestionados de un único proveedor.
3. Comenzar a documentar la arquitectura de la estrategia de salida a nivel empresarial, antes de que una crisis fuerce la decisión.
4. Asegurarse de que el registro de riesgos de TIC de terceros cubra a todos los proveedores de la nube, con una supervisión continua en lugar de una revisión puntual.

La Ley de IA de la UE: una obligación de infraestructura oculta en una regulación de IA

La Ley de IA de la UE (Reglamento 2024/1689) es la primera regulación integral de este tipo específica para la IA; clasifica los sistemas de IA según el riesgo e impone requisitos de gobernanza de datos, auditabilidad e infraestructura a los sistemas de alto riesgo. Su aplicación plena comienza el 2 de agosto de 2026 y las sanciones pueden alcanzar el 7 % del volumen de negocios anual global.

Muchos productos SaaS no se dan cuenta de que están incluidos en el alcance: las herramientas de evaluación de la solvencia en FinTech, el filtrado de currículums en tecnología de RR. HH. y las funciones relacionadas con dispositivos médicos en HealthTech pueden entrar en las categorías de alto riesgo del Anexo III. El problema de infraestructura es directo: las plataformas SaaS que se ejecutan en servicios de IA gestionados compartidos por hiperescaladores a menudo no pueden ofrecer la trazabilidad a nivel de infraestructura que exige la Ley. Los entornos soberanos o alojados localmente permiten documentar completamente el linaje de los datos, algo que los servicios multinquilino compartidos no suelen ofrecer.

Para los equipos de infraestructura, esto se traduce en entornos de entrenamiento e inferencia segregados, documentación de conjuntos de datos, artefactos de evaluación y rutas de reversión; aspectos considerablemente más fáciles de ofrecer cuando el perímetro de datos y la gestión de claves residen en una jurisdicción única y sencilla.

Residencia de datos frente a soberanía de datos: la distinción que determina su postura de cumplimiento

El malentendido más costoso en el cumplimiento de la nube europea en este momento es tratar la residencia y la soberanía como si fueran lo mismo. No lo son, y en la brecha entre ambas es donde reside realmente la mayor parte del riesgo regulatorio.

Un hiperescalador estadounidense que ejecute servidores en suelo de la UE le ofrece residencia. No le otorga soberanía: la legislación estadounidense puede exigir la divulgación con independencia de dónde se encuentre físicamente el hardware. Según el análisis de SoftwareSeni del Marco de Soberanía en la Nube de la Comisión Europea de octubre de 2025, los hiperescaladores estadounidenses controlan más del 70 % del mercado de la nube de la UE y siguen sujetos a leyes extraterritoriales de EE. UU., en concreto la CLOUD Act y FISA, que pueden obligar al acceso a los datos independientemente de la ubicación del servidor. La mayoría de las cargas de trabajo reguladas necesitan ahora soberanía, no solo residencia, para cumplir con sus obligaciones.

El escenario del «botón de apagado»: por qué la ubicación por sí sola no le protege

El estudio sobre el Trilema de la Soberanía Digital de Insight lo expresa con precisión: el 67 % afirma que mantener la soberanía digital es una consideración crítica a la hora de tomar decisiones empresariales estratégicas en la actualidad, cifra que aumenta al 78 % en uno o dos años y al 82 % en tres o más años. El sector público lidera este cambio: el 73 % considera que la soberanía digital es fundamental para sus decisiones estratégicas, lo que refleja una mayor atención a la seguridad nacional y a la protección jurisdiccional.

En la práctica, la resiliencia operativa se basa ahora en la soberanía digital: la capacidad de mantener el control técnico sobre sus sistemas y claves de cifrado independientemente de las interferencias externas. El propio planteamiento de Insight al respecto es directo: imagine que una jurisdicción extranjera ejerce su autoridad sobre su proveedor de la nube y acciona un «botón de apagado» (kill switch) en sus sistemas empresariales. Esto no es un mero escenario informático; es una amenaza a la continuidad del negocio sin una solución sencilla una vez que ocurre. El mismo estudio reveló que el 32 % de las organizaciones priorizan ahora la resiliencia y la continuidad de la cadena de suministro al evaluar la estrategia en la nube, por delante del control de costes (20 %) y la velocidad de comercialización (16 %).

Incluso cuando existen mecanismos legales de transferencia sobre el papel, la mayoría de los consejos de administración prefieren ahora limitar su exposición de forma directa: mantener las cargas de trabajo sensibles y la telemetría dentro del EEE y custodiar las claves bajo la jurisdicción de la UE. Es una postura que reduce el riesgo, simplifica las auditorías y hace que la rendición de cuentas sea mucho más fácil de explicar a posteriori.

Lo que cuesta realmente el incumplimiento

Las consecuencias financieras aquí ya no son teóricas. Según el seguimiento de datos de cumplimiento de Vision Compliance, las autoridades de protección de datos de la UE han impuesto aproximadamente 5900 millones de euros en multas por el RGPD desde que la regulación entró en vigor en mayo de 2018 (de las cuales las 10 principales multas representan por sí solas más de 4500 millones de euros), y el informe Cost of a Data Breach Report 2025 de IBM sitúa el coste medio de una brecha en la UE en 4,57 millones de euros. Cabe destacar: las cifras globales de IBM para el mismo informe se citan en USD en otros lugares (una media global de 4,44 millones de dólares y 4,18 millones de dólares específicamente para brechas en la nube pública), por lo que debe asegurarse de comparar la cifra en euros específica de la UE y no mezclarla con la cifra global en dólares. Tras ocho años de aplicación, solo un tercio de las organizaciones aproximadamente (34 %, según el Cisco Data Privacy Benchmark Study 2025) afirma cumplir plenamente con el RGPD.

La parte del desaprovechamiento financiero está mejor documentada. El estudio sobre el Trilema de la Soberanía Digital de Insight sitúa el desperdicio de capacidad en la nube europea en un 24 % anual, impulsado principalmente por recursos inactivos o huérfanos, escasa visibilidad en todos los entornos y una gobernanza débil. La IA ha provocado un aumento del 12 % en los costes de alojamiento en un solo año, y el 56 % de las organizaciones no realiza una evaluación del Coste Total de Propiedad (TCO) antes de tomar decisiones importantes sobre la ubicación de las cargas de trabajo, según la misma encuesta.

Construir una única arquitectura soberana en lugar de cuatro flujos de cumplimiento paralelos

El fallo más común no es la falta de un control: es gestionar el RGPD, NIS2, DORA y la Ley de IA como listas de verificación independientes que nunca llegan a converger, aunque se solapen en controles, cadenas de notificación y los modelos de riesgo que los reguladores esperan ver. Si se define la intención compartida —que es limitar el riesgo sistémico, aplicar controles auditables y proteger los datos de los ciudadanos europeos—, la mayoría de las decisiones de arquitectura se vuelven bastante evidentes.

Cinco principios definen el patrón que suele superar una auditoría regulatoria europea:

1. Multirregión exclusiva de la UE con conmutación por error verificable. Utilice al menos dos ubicaciones independientes en la UE. Mantenga la producción, las instantáneas y las copias de recuperación ante desastres (DR) dentro del EEE. Ejecute conmutaciones por error controladas de forma programada y conserve las pruebas con el mismo rigor que los registros financieros.
2. Gestión determinista de claves. Adopte un KMS residente en la UE con propiedad explícita. Para cargas de trabajo relevantes, utilice esquemas de aportación de clave propia (BYOK) o custodia de clave propia (HYOK) respaldados por raíces de confianza basadas en hardware y custodia compartida.
3. Gobernanza del tráfico de salida de red. Cierre la salida por defecto. Enumere los destinos permitidos mediante directivas y documente el motivo de la existencia de cada uno.
4. Operaciones centradas en pruebas. Centralice los registros, el historial de configuración y las trazas de acceso privilegiado en almacenes inmutables y gestionados según su ciclo de vida. La plataforma debe ser capaz de responder a quién, qué, cuándo y dónde sin recurrir a scripts ad hoc en mitad de un incidente.
5. Salida y portabilidad desde el diseño. Diseñe su estrategia de salida desde el principio, no después de firmar un contrato. Utilice imágenes de máquinas virtuales estándar y formatos de datos abiertos. Mantenga los manuales de restauración y migración bajo control de versiones y ensáyelos realmente: su portabilidad depende de la última vez que la haya demostrado.

Convertir el cumplimiento en una ventaja competitiva

La soberanía no tiene por qué ir acompañada de un sobrecoste permanente. Las organizaciones que salen ganando en materia de cumplimiento en toda Europa son, por lo general, aquellas que lo tratan como un principio de diseño desde el primer día, en lugar de algo añadido a posteriori cuando un regulador hace preguntas.

El enfoque de Insight diseña marcos de cumplimiento soberanos que mantienen las operaciones en funcionamiento las 24 horas del día sin quedar sujetas a los cambios de licencias de los proveedores o a modificaciones en las leyes regionales de datos. A través de las evaluaciones de FinOps y nube híbrida, Insight repatria las cargas de trabajo de alta intensidad al entorno que sea genuinamente más rentable. Insight señala que sus clientes suelen recuperar alrededor del 12 % de su presupuesto de alojamiento para reinvertirlo en IA e I+D, una cifra derivada de los compromisos de Insight con sus propios clientes y no un promedio de la industria auditado independientemente.

Evitar la «tasa de soberanía» con FinOps

La página de la campaña de Soberanía Digital de Insight atribuye la afirmación subyacente a Gartner: dado que el 56 % de las organizaciones no realiza una evaluación del TCO antes de trasladar sus cargas de trabajo, la mayoría está pagando sin saberlo un sobrecoste de entre el 15 y el 30 % por una infraestructura «cumplidora». Las evaluaciones de FinOps y nube híbrida de Insight identifican ahorros en ese mismo rango del 15 al 30 % como punto de referencia interno obtenido en proyectos con clientes, un dato que conviene validar con respecto a su propio perfil de carga de trabajo en lugar de considerarlo un resultado garantizado.

Los servicios FinOps de Insight acompañan a las organizaciones en cualquier etapa de su proceso: identificando el desperdicio y los recursos no utilizados, alineando equipos, optimizando costes y reforzando la gobernanza, con el objetivo de lograr una mejor gestión, menores costes y una colaboración más estrecha entre finanzas e ingeniería.

Explore los Servicios FinOps de Insight para descubrir dónde podría estar su organización subvencionando silenciosamente la ineficiencia en el cumplimiento.

Preparación para NIS2: de la evaluación de deficiencias a la confianza a nivel de consejo

El enfoque de Insight para el cumplimiento de NIS2 se basa en los procesos existentes y tiene en cuenta la superposición de directivas de la UE, en lugar de tratar a NIS2 como un ejercicio aislado, priorizando la gestión de riesgos y la notificación de incidentes desde el primer momento. Insight ofrece un taller de concienciación sobre NIS2 para preparar a los equipos de alta dirección, además de un servicio de evaluación de NIS2 para identificar deficiencias y elaborar una hoja de ruta de cumplimiento a medida.

Dónde deja esto a la estrategia europea en la nube

NIS2, DORA, la Ley de IA de la UE y la agenda más amplia de soberanía de datos europea no son preocupaciones futuras que deban planificarse con tiempo. Son riesgos empresariales activos, con actuaciones de ejecución, sanciones financieras y consecuencias reputacionales que ya se están produciendo en todo el continente.

Las organizaciones mejor posicionadas para los próximos años son aquellas que tratan la resiliencia operativa, la agilidad y la eficiencia de costes como un marco estratégico único en lugar de tres prioridades contrapuestas: diseñando para la soberanía desde el principio mientras mantienen suficiente flexibilidad para adaptarse a medida que el panorama regulatorio siga cambiando, porque seguirá cambiando.

Las organizaciones que construyen pensando en la soberanía desde el principio no solo soportan mejor el próximo revés regulatorio. También tienden a conseguir más negocio gracias a ello. La resiliencia ha dejado de ser una partida defensiva; es un argumento comercial.