La migración de información institucional hacia la nube ofrece eficiencia y capacidad de respuesta, pero también multiplica las dependencias tecnológicas y jurídicas. Ante ese escenario, la soberanía de los datos exige combinar controles de acceso, cifrado, diversificación de infraestructuras y una preparación anticipada para la amenaza de la computación cuántica.
Guardar información en la nube suele evocar una imagen equivocada. Los datos parecen estar suspendidos en un espacio abstracto, disponible desde cualquier lugar y protegido por grandes compañías tecnológicas. En realidad, detrás de cada archivo existen centros de datos, redes, sistemas de identidad, proveedores externos y jurisdicciones legales. Cuanto más depende una institución de esa cadena, mayor es la importancia de saber quién controla los datos, dónde se encuentran y qué ocurre si uno de los eslabones falla.
La preocupación no es nueva, pero está adquiriendo una dimensión diferente. La Agencia de Ciberseguridad de la Unión Europea, ENISA, ha advertido que la creciente dependencia de proveedores externos y de servicios tecnológicos puede crear puntos de concentración capaces de amplificar el impacto de un ataque. En su panorama de amenazas de 2025 destacó precisamente el aumento de los ataques dirigidos contra dependencias digitales y cadenas de suministro.
La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos, CISA, llegó a una conclusión similar desde otra perspectiva. En un análisis publicado en 2025 señaló que las infraestructuras de nube afrontan amenazas cada vez más sofisticadas contra los sistemas de identidad y autenticación. Credenciales robadas, falsificación de tokens, deficiencias en la gestión de claves y registros insuficientes pueden abrir una puerta hacia grandes cantidades de información institucional.
El problema se vuelve más delicado cuando una organización utiliza simultáneamente infraestructura propia y servicios de varios proveedores. El Instituto Nacional de Estándares y Tecnología de Estados Unidos, NIST, reconoce que la distribución de recursos entre entornos locales y múltiples nubes dificulta mantener controles de seguridad y privacidad uniformes. La cuestión ya no consiste simplemente en proteger un servidor, sino en mantener una política coherente sobre datos que pueden desplazarse entre diferentes plataformas.
De ahí surge el interés por las arquitecturas híbridas. Su valor no reside en asumir que una nube privada es siempre más segura que una pública, ni en acumular sistemas por precaución. La ventaja potencial está en poder decidir dónde almacenar determinada información, separar los activos más sensibles y conservar alternativas operativas cuando un proveedor o una infraestructura no esté disponible.
Pero existe otra amenaza que avanza a un ritmo diferente: la computación cuántica. Los sistemas criptográficos utilizados actualmente para proteger buena parte de las comunicaciones digitales podrían quedar expuestos en el futuro ante computadoras cuánticas suficientemente potentes. El riesgo es particularmente relevante para información que debe mantenerse confidencial durante muchos años.
El NIST dio un paso decisivo en agosto de 2024 al aprobar tres estándares de criptografía poscuántica. FIPS 203 establece un mecanismo para el establecimiento de claves, mientras que FIPS 204 y FIPS 205 contemplan esquemas de firma digital. En febrero de 2026, el organismo reiteró que las organizaciones deberían comenzar ya la transición hacia estas tecnologías, precisamente porque sustituir sistemas criptográficos extendidos puede requerir años.
La Agencia de Seguridad Nacional estadounidense también ha avanzado en esta transición. Su política CNSA 2.0 establece una hoja de ruta para incorporar algoritmos resistentes a la computación cuántica en sistemas relacionados con la seguridad nacional. La preocupación no significa que exista actualmente una computadora cuántica capaz de descifrar masivamente la infraestructura mundial. Significa que la migración tecnológica es suficientemente lenta como para que esperar a que aparezca esa capacidad podría ser una mala estrategia.
Existe además un riesgo conocido como «capturar ahora y descifrar después». Un atacante puede obtener hoy información cifrada y conservarla con la expectativa de poder descifrarla en el futuro cuando disponga de herramientas cuánticas suficientemente avanzadas. Para determinados documentos gubernamentales, financieros, científicos o estratégicos, cuya confidencialidad puede ser necesaria durante décadas, esa posibilidad merece atención.
La soberanía de los datos, por tanto, no puede reducirse a una pregunta geográfica. Saber en qué país se encuentra un centro de datos es importante, pero también lo es conocer qué leyes pueden aplicarse, quién administra las claves, qué proveedores intervienen, cómo se recupera la información después de un incidente y cuánto depende una institución de una sola plataforma.
La respuesta tampoco consiste en abandonar la nube. La computación en la nube puede mejorar la disponibilidad, facilitar la recuperación ante desastres y ofrecer capacidades que serían costosas de construir internamente. El desafío consiste en evitar que esa eficiencia se convierta en dependencia ciega. CISA recomienda precisamente reforzar la gestión de identidades, secretos, accesos y registros, mientras que NIST promueve arquitecturas de confianza cero capaces de proteger recursos distribuidos entre múltiples entornos.
La verdad es que la soberanía digital empieza mucho antes de un ciberataque. Comienza cuando una institución decide qué información puede confiar a terceros, qué debe permanecer bajo control directo y qué mecanismos utilizará para continuar funcionando si un proveedor queda comprometido o inaccesible.
En los próximos años, proteger los datos institucionales exigirá pensar en dos horizontes simultáneos. Uno es inmediato: credenciales robadas, errores de configuración, ransomware, ataques a proveedores y fallas de disponibilidad. El otro es más silencioso: la transición hacia una criptografía capaz de resistir el futuro cuántico. La organización que espere a resolver ambos problemas cuando ya estén encima probablemente llegará tarde.
La nube no eliminó la necesidad de custodiar la información. Simplemente trasladó esa responsabilidad a un ecosistema mucho más amplio. La verdadera soberanía digital consistirá en conservar el control sobre los datos aun cuando la infraestructura que los almacena, procesa y transmite se encuentre repartida entre múltiples territorios y proveedores.
