Nubes soberanas, contexto e implicaciones jurídicas

Una de las características esenciales de los Estados modernos como organizaciones políticas consiste en ejercer su poder soberano e independiente en un territorio delimitado por fronteras. Es dentro de ese territorio donde los Estados, a través de las administraciones públicas, desempeñan todas aquellas funciones destinadas a facilitar la vida diaria de sus ciudadanos.

Los Estados también han experimentado el omnipresente proceso de transformación digital, de forma que el ejercicio de las funciones que caracterizan a los Estados se ha visto progresivamente deslocalizado a causa del propio diseño global de las infraestructuras, tecnologías y servicios digitales. Como reacción, los Estados se han visto abocados a adoptar normas tendentes a reconducir su nueva realidad en búsqueda de una deseable "soberanía digital". El conjunto de esos requisitos legales de un determinado país que impactan en la definición y el diseño tanto de la arquitectura física como de la lógica de los sistemas cloud, conforma el ahora denominado concepto de "nube soberana".

Por tanto, la soberanía digital en el ámbito de los sistemas cloud -una de las tecnología de base en la sociedad de la información- se ha constituido como una prioridad para los Estados miembros de la Unión Europea (UE). No en vano, la Comisión Europea enfatiza esta idea en su primer "Informe de 2023 sobre el estado de la Década Digital" junto a la de la necesidad de que sean los propios Estados miembros quienes deben apoyar en sus territorios la implantación y el despliegue de servicios cloud soberanos, fiables, eficientes, innovadores y avanzados. En este sentido, España está impulsando actualmente un IPCEI (Proyecto importante de interés común europeo, por sus iniciales en inglés) junto a otros once Estados miembros de la UE para el despliegue a gran escala de infraestructuras, tecnología y servicios cloud que también persigue involucrar a entidades privadas del sector digital.

En España, el Esquema Nacional de Seguridad (ENS) destaca como el marco normativo de referencia en materia de seguridad de la información y de los servicios prestados por medios digitales. El ENS resulta de aplicación no sólo al sector público, sino a toda aquella institución privada que preste servicios o suministre soluciones tecnológicas digitales al sector público para el ejercicio de sus competencias y potestades administrativas. Este marco se ve complementado, entre otras, con normativa europea de referencia en el tratamiento de datos personales (como es el GDPR), la seguridad de redes y sistemas (como la Directiva NIS, NIS 2 y el Reglamento ENISA), o la gestión de los datos generados en la fabricación de productos o la prestación de servicios (que se regulará en la futura Data Act).

Desde una perspectiva más práctica, la participación en España de proveedores cloud en soluciones de "nube soberana" pasa necesariamente por certificar sus sistemas de información en el mencionado ENS. Este proceso se ve precedido de una fase de adecuación en la que los proveedores deben evaluar el perímetro de los sistemas que serán objeto de certificación, así como también categorizar dichos sistemas en la escala "Básica-Media-Alta" en función de las diferentes dimensiones de la seguridad que potencialmente puedan verse afectadas. Apuntamos aquí únicamente las etapas más iniciales de un proceso que finaliza con la obtención de una certificación que, entre otros fines, persigue asegurar la soberanía del ecosistema cloud sobre el que se apoya la actuación administrativa en nuestro país.

Este artículo ha sido escrito por Rafael García del Poyo, abogado, socio director del departamento de Derecho IT/IP de Osborne Clarke.