5 preguntas que revelan si tu soberanía digital es real

Pregúntale a cualquier responsable de sistemas dónde están alojados sus datos y te lo dirá sin dudar. Pregúntale quién puede acceder a esos sistemas ahora mismo, con qué privilegios y durante cuánto tiempo, y es probable que empiece a titubear.

Durante los últimos años hemos asociado la soberanía digital a una única pregunta: ¿dónde están nuestros datos?

No es una pregunta equivocada, pero ahora ya no es la más acertada.

Porque una organización puede alojar toda su infraestructura en Europa y seguir sin saber quién está entrando ahora mismo en sus sistemas críticos.

La mayoría de los artículos sobre este tema se quedan en las primeras preguntas: dónde están los datos, bajo qué jurisdicción, si el proveedor es europeo o no. Es una discusión legítima, pero incompleta. Una empresa puede tener toda su infraestructura en territorio nacional y aun así no tener ni idea de quién entró anoche en el servidor de producción, qué hizo, o si podría revocarle el acceso en este momento sin llamar al proveedor. Eso no es soberanía. Es geografía con apariencia de control.

Este artículo propone algo distinto: una forma de medir el control real con 5 preguntas clave.

Test de la soberanía digital

En lugar de una nueva definición, haremos cinco preguntas. Si tu organización no puede responderlas con seguridad, no importa dónde estén sus servidores, no tiene soberanía sobre sus sistemas críticos.

1. ¿Puedes revocar el acceso de cualquier usuario o proveedor externo en menos de 5 minutos, sin depender del soporte de un tercero? Si la respuesta pasa por abrir un ticket y esperar, el control no es tuyo.

2. ¿Sabes exactamente qué hizo cada usuario privilegiado la última vez que accedió al sistema? Un log de acceso dice quién entró. No dice qué sistemas manipuló. Esa diferencia separa una auditoría real de una casilla marcada por cumplimiento.

3. ¿Podrías aislar una sesión comprometida ahora mismo sin apagar el sistema completo? La mayoría de las organizaciones solo tienen dos opciones ante una sesión sospechosa: dejarla seguir o desconectar todo. Ninguna de las dos es control.

4. ¿Podrías demostrar en una auditoría, con datos propios y sin pedírselo al proveedor, quién accedió a qué sistema crítico en los últimos doce meses? Si la trazabilidad vive en la plataforma de otro, la soberanía también.

5. ¿Esa visibilidad cubre también tus sistemas OT, o solo el IT tradicional? Muchas organizaciones dan por resuelto el control de acceso en oficina y no se han hecho la misma pregunta sobre sus plantas.

Si la respuesta es “no” o “depende” en alguna de estas preguntas, el problema es de arquitectura, no de ubicación de datos.

La conversación está en el sitio equivocado

Durante los últimos años, el debate sobre soberanía digital ha girado casi exclusivamente en torno a una pregunta: ¿dónde están los datos y bajo qué jurisdicción se encuentran?

Y no es una preocupación menor. El Cloud Act estadounidense permite a las autoridades de Estados Unidos requerir información a proveedores tecnológicos sujetos a su jurisdicción, incluso cuando esos datos se almacenan físicamente fuera del país. Para organizaciones de defensa, administraciones públicas, operadores críticos o entidades financieras, esta capacidad introduce un riesgo jurídico y estratégico que no puede ignorarse.

Sin embargo, centrar toda la conversación en la jurisdicción conduce a una falsa sensación de control.

La jurisdicción determina quién puede solicitar acceso a la información. Pero no determina quién está accediendo realmente a los sistemas en este preciso momento, qué privilegios posee, qué acciones ejecuta o cuánto tardará la organización en detectarlo si algo sale mal.

Idea clave: La jurisdicción determina quién puede solicitar acceso. El control operativo determina quién puede acceder realmente.

En otras palabras, la soberanía jurídica no implica gobierno operativo del acceso. Y es precisamente esa segunda dimensión, el control de identidades, accesos privilegiados y sesiones, la que decide si una organización mantiene el control efectivo de su infraestructura o simplemente confía en que todo funcionará como debería.

La diferencia parece sutil, pero sus consecuencias son enormes.

CrowdStrike demostró algo inesperado

El 19 de julio de 2024, una actualización defectuosa distribuida por un único proveedor de ciberseguridad dejó inoperativos alrededor de 8,5 millones de equipos Windows en todo el mundo. Aerolíneas, hospitales, bancos, administraciones públicas y operadores de infraestructuras críticas sufrieron interrupciones simultáneas [2].

No fue un ataque sofisticado. No hubo una brecha de seguridad.

No puso en evidencia un fallo de seguridad. Puso en evidencia una dependencia.

Millones de organizaciones descubrieron que una única actualización podía detener su operativa mundial. Ese día cambió la conversación sobre resiliencia.

Cuando una organización delega completamente la capacidad de controlar quién accede a sus activos críticos, también está externalizando parte de su resiliencia operativa.

La soberanía digital empieza mucho antes de decidir dónde se almacenan los datos. Empieza cuando la organización conserva la capacidad de gobernar sus identidades, sus privilegios y sus accesos, independientemente del proveedor tecnológico que utilice.

La regulación no pregunta dónde están los datos; pregunta quién controla el acceso

Esta evolución no es una interpretación. Puede verse de forma muy clara cuando se analiza qué exigen realmente las principales normas europeas en materia de ciberseguridad y resiliencia, todas ellas con exigencias explícitas sobre gestión de accesos privilegiados y control de identidades.

Marco normativo	Exigencias específicas sobre el acceso
NIS2 (Directiva (UE) 2022/2555)	Exige implantar políticas de gestión de identidades y control de accesos como medida básica de ciberseguridad. Obliga a limitar los privilegios, gestionar las credenciales de forma segura, controlar el acceso a los sistemas críticos y poder demostrar que solo los usuarios autorizados acceden a los activos esenciales.
DORA (Reglamento (UE) 2022/2554)	Obliga a las entidades financieras a establecer controles robustos sobre los accesos privilegiados, revisar periódicamente los permisos, aplicar el principio de mínimo privilegio y supervisar los accesos de empleados, terceros y proveedores TIC durante todo el ciclo de vida de la relación.
Cyber Resilience Act (Reglamento (UE) 2024/2847)	Exige que los productos digitales incorporen mecanismos de autenticación segura, control de accesos y protección frente a accesos no autorizados desde su diseño (security by design), reduciendo la exposición de interfaces y funciones privilegiadas durante todo el ciclo de vida del producto.
Esquema Nacional de Seguridad (Real Decreto 311/2022)	Establece medidas obligatorias para la identificación, autenticación, autorización y control de accesos en función de la categoría del sistema. Exige trazabilidad de las acciones, segregación de funciones, gestión de cuentas privilegiadas y registro de eventos para garantizar la auditoría de los accesos.

El denominador común es evidente. Ninguna de estas normas considera suficiente afirmar que los datos permanecen en Europa o que el proveedor es europeo.

Lo que exigen es algo mucho más difícil de demostrar:

• Quién puede acceder
• Quién accede realmente
• Con qué privilegios
• Durante cuánto tiempo
• Bajo qué controles
• Con qué capacidad de auditoría y reacción ante cualquier incidente

En definitiva, la regulación está evolucionando desde la soberanía de la información hacia el gobierno real del acceso.

Los cinco niveles de madurez en soberanía digital

La soberanía digital no es un estado binario. No se alcanza simplemente porque los datos residan en territorio nacional o porque el proveedor sea europeo. Es un proceso de madurez que refleja el grado de control efectivo que una organización ejerce sobre sus activos críticos.

La diferencia entre un nivel y otro no está en la cantidad de tecnología desplegada, sino en la capacidad para gobernar identidades, controlar accesos privilegiados, reducir la dependencia de terceros y mantener la capacidad de decisión incluso en situaciones de crisis.

En otras palabras, cuanto mayor es el nivel de madurez, menor es la distancia entre el cumplimiento normativo y el control operativo real.

Nivel	Madurez	Capacidades de la organización	Pregunta clave
Nivel 1	Dependencia	Los accesos se gestionan mediante procedimientos básicos y controles administrativos. Existen cuentas compartidas, permisos permanentes, escasa trazabilidad y una elevada dependencia de proveedores o procesos manuales. El cumplimiento se demuestra principalmente durante auditorías.	¿Sabes realmente quién puede acceder a tus sistemas?
Nivel 2	Gobernanza	La organización dispone de políticas de identidad, autenticación multifactor, procedimientos de altas y bajas y revisiones periódicas de permisos. Existe un marco de gobierno, pero gran parte del control continúa siendo administrativo y reactivo.	¿Dispones de normas claras para decidir quién puede acceder?
Nivel 3	Visibilidad	Se monitorizan accesos, identidades y sesiones. Existen registros centralizados, inventario de cuentas privilegiadas y capacidad para detectar comportamientos anómalos. Sin embargo, la respuesta sigue dependiendo parcialmente de herramientas externas o de la intervención de terceros.	¿Sabes quién está accediendo a tus sistemas en este momento?
Nivel 4	Control	La organización controla activamente los accesos mediante privilegios dinámicos, acceso Just-in-Time (JIT), grabación de sesiones, segregación de funciones y revocación inmediata de permisos. Puede contener incidentes sin depender completamente del proveedor tecnológico.	¿Puedes limitar o revocar cualquier acceso de forma inmediata cuando la situación lo requiere?
Nivel 5	Soberanía operativa	La identidad, la autenticación, la autorización y la gestión de privilegios forman parte de una arquitectura estratégica bajo control directo de la organización. Incluso ante la indisponibilidad, sustitución o compromiso de un proveedor, la organización conserva la capacidad de decidir quién accede, cuándo, cómo y bajo qué condiciones.	¿Mantendrías el control de tus activos críticos incluso aunque mañana desapareciera uno de tus proveedores tecnológicos?

Del cumplimiento al control

Muchas organizaciones consideran que han alcanzado un nivel elevado de madurez porque cumplen con los principales marcos regulatorios, aplican autenticación multifactor o disponen de soluciones de gestión de identidades.

Sin embargo, cuando se analiza su capacidad para gobernar los accesos privilegiados, revocar permisos en tiempo real, controlar las sesiones críticas o mantener la operativa durante una interrupción de un proveedor tecnológico, la realidad suele ser distinta.

En la práctica, una parte importante del mercado continúa operando entre los niveles 1 y 2. Algunas organizaciones han alcanzado el nivel 3, incorporando capacidades de monitorización y trazabilidad, pero son pocas las que han evolucionado hacia un modelo de control operativo completo.

Alcanzar los niveles 4 y 5 ya no consiste únicamente en desplegar nuevas herramientas. Supone un cambio arquitectónico: pasar de confiar en que los accesos estén protegidos a gobernarlos de forma activa, reduciendo la dependencia tecnológica y conservando la capacidad de decisión en cualquier circunstancia.

Ese es, precisamente, el punto donde la soberanía digital deja de ser una cuestión jurídica y se convierte en una capacidad estratégica. Porque una organización solo ejerce un control real cuando puede mantener el gobierno efectivo sobre sus identidades, sus privilegios y sus accesos, independientemente del proveedor, de la tecnología utilizada o del contexto geopolítico en el que opere.

¿Cómo se traduce esto en la práctica?

Controlar el acceso no significa tener una política de contraseñas robusta ni un segundo factor de autenticación. Significa poder observar, aislar y cortar una sesión activa sin que eso dependa de la buena voluntad o disponibilidad de un tercero.

Es exactamente el problema que resuelve el modelo de Remote Shielded Workspace (RSW) que aplica Endurance, la solución de Cosmikal: un entorno Zero Trust que protege activos IT y OT sin exponerlos ni depender de la seguridad del endpoint, con trazabilidad total y capacidad de videograbación en tiempo real de las sesiones [3]. La sesión se corta de forma inmediata si algo no cuadra, sin necesidad de apagar el sistema ni esperar a que el proveedor externo coopere.

Esto no es una capa añadida sobre PAM (Privileged Access Management), IAM o VDI por separado. Es integrarlos en un único punto de control, lo que evita el problema más habitual: que la identidad se gestione en una herramienta, el acceso remoto en otra y la trazabilidad en una tercera, sin que ninguna de las tres tenga visibilidad completa sobre lo que hace un usuario privilegiado de principio a fin.

Lo que la soberanía digital significa sector por sector

El test es el mismo, pero lo que está en juego cambia según el sector:

• Administración Pública: cumplir el ENS no es opcional, y la certificación de los productos frente al CCN es cada vez más un requisito de contratación.
• Defensa: la interoperabilidad con estándares aliados (como el catálogo NIAPC de la OTAN) condiciona qué soluciones pueden usarse en según qué proyectos.
• Banca y Seguros: DORA convierte la gestión del riesgo de terceros TIC en una obligación auditable, no en una buena práctica.
• Energía, Agua e Infraestructuras, Industria: la pregunta sobre OT es tan relevante como la de IT (y a menudo más urgente): el impacto de una sesión no controlada no es una fuga de datos, es una parada de planta.
• Salud: la trazabilidad de quién accedió a qué sistema es a la vez un requisito de protección de datos y una cuestión de seguridad del paciente.
• Telecomunicaciones: como operadores de infraestructura crítica bajo NIS2, están entre los primeros obligados a demostrar control de acceso, no solo declararlo.

Endurance como caso de referencia

Endurance fue la primera solución española en obtener la certificación LINCE del Centro Criptológico Nacional (CCN) en la taxonomía de Gestión de Accesos Privilegiados (PAM) dentro del Catálogo de Productos y Servicios STIC (CPSTIC) [4]. La extensión de esa misma certificación a la taxonomía VDI se encuentra en su fase final, con cierre previsto en las próximas semanas [5]. Esta doble presencia en el catálogo, en dos taxonomías distintas, es a día de hoy inédita en el mercado español.

En junio de 2026, Endurance se incorporó además al NATO Information Assurance Product Catalogue (NIAPC), como primera solución española en la categoría de Control de Accesos, un proceso de validación que exige la evaluación de una autoridad nacional de certificación reconocida por la Alianza, en este caso el propio CCN [6].

Ninguna de estas certificaciones sustituye al test de cinco preguntas de este artículo. Lo que hacen es algo distinto y más valioso: permiten que un tercero independiente (no el propio fabricante) confirme que las respuestas a ese test son objetivamente ciertas, no solo una afirmación de producto.

La respuesta final

La soberanía digital no se demuestra con un mapa de centros de datos. Se demuestra respondiendo, sin dudar, a las cinco preguntas de este artículo y, cuando el sector lo exige, pudiendo acreditarlo ante un organismo independiente.

La soberanía digital no empieza cuando decides dónde almacenar tus datos.

Empieza cuando puedes decidir, en cualquier momento, quién entra en tus sistemas, qué puede hacer y cuándo deja de poder hacerlo.

Preguntas frecuentes

¿Qué diferencia hay entre soberanía digital e independencia tecnológica?

La independencia tecnológica busca reducir la dependencia de un proveedor o fabricante concreto. La soberanía digital exige, además, poder demostrar en cualquier momento quién controla el acceso a los sistemas críticos, con independencia de quién los fabrique o dónde estén alojados.

¿Es posible tener soberanía digital usando servicios cloud o proveedores no europeos?

Sí, siempre que la organización conserve el control sobre las identidades, las claves y la capacidad de revocar y auditar el acceso sin depender del proveedor para hacerlo.

¿Qué papel juega el PAM en la soberanía digital?

Es, junto con la gestión de identidades (IAM), el mecanismo más directo para ejercer ese control: decide quién puede acceder a un sistema crítico, con qué privilegios, durante cuánto tiempo y con qué trazabilidad. Un control de sesiones privilegiadas robusto es, en la práctica, el músculo operativo de la soberanía digital.

¿Qué relación existe entre Zero Trust y la soberanía digital?

Zero Trust aporta el principio —no confiar por defecto en ningún usuario, dispositivo o sesión— pero la soberanía digital exige además que esa desconfianza se traduzca en capacidad real de revocación, aislamiento y auditoría, gestionada por la propia organización y no delegada por completo en el proveedor.

¿Puede una organización cumplir NIS2 y seguir sin tener soberanía digital?

Sí. Cumplir NIS2 acredita que existen políticas y controles documentados sobre identidades y accesos, pero no garantiza que la organización pueda ejercer ese control de forma inmediata y autónoma ante un incidente. El cumplimiento normativo es el suelo, no el techo del control operativo.

¿Cómo ayuda Cosmikal a las certificaciones y auditorías (ENS, NIS2, DORA)?

Endurance está certificada LINCE por el CCN en PAM (con la extensión a VDI en su fase final) e incluida en el catálogo NIAPC de la OTAN, lo que facilita acreditar ante auditores y organismos de contratación el cumplimiento de requisitos de control de acceso exigidos por ENS, NIS2 y, en el sector financiero, DORA.

---

Fuentes

[1] CLOUD Act (2018) — U.S. Department of Justice. https://www.justice.gov/criminal/cloud-act-resources

[2] Incidente global CrowdStrike, 19 de julio de 2024 — IBM. https://www.ibm.com/think/news/recent-crowdstrike-outage-what-you-should-know

[3] Endurance: Espacio de Trabajo Remoto Blindado (RSW) — Cosmikal. https://www.cosmikal.es/soluciones/cosmikal-endurance/

[4] Cosmikal obtiene la certificación LINCE del CCN para Endurance (PAM) — Cosmikal. https://www.cosmikal.es/cosmikal-obtiene-certificacion-lince-centro-criptologico-nacional-producto-endurance/

[5] ENS, LINCE, CPSTIC y Common Criteria: qué son y en qué se diferencian — Cosmikal. https://www.cosmikal.es/ens-lince-cpstic-y-common-criteria-que-son-y-en-que-se-diferencian/

[6] Endurance de Cosmikal se incorpora al catálogo NIAPC de la OTAN — Cosmikal. https://www.cosmikal.es/endurance-de-cosmikal-se-incorpora-al-catalogo-niapc-de-la-otan-como-primera-solucion-espanola-en-control-de-accesos/

[NIS2] Directiva (UE) 2022/2555 — Centro Criptológico Nacional (CCN). https://www.ccn.cni.es/es/normativa/directiva-nis2

[DORA] Reglamento (UE) 2022/2554 — EUR-Lex, Diario Oficial de la UE. https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32022R2554

[CRA] Reglamento (UE) 2024/2847 — EUR-Lex, Diario Oficial de la UE. https://eur-lex.europa.eu/eli/reg/2024/2847/oj

[ENS] Real Decreto 311/2022, Esquema Nacional de Seguridad — Boletín Oficial del Estado (BOE). https://www.boe.es/buscar/act.php?id=BOE-A-2022-7191