¿Qué es una nube pública soberana? Catalunya refuerza la resiliencia y reduce la dependencia tecnológica externa a la UE

El objetivo de esta infraestructura es reforzar el control sobre los datos y reducir las dependencias tecnológicas externas a la Unión Europea. La Generalitat prevé alojar en ella servicios y datos sensibles vinculados a la salud pública, los Mossos d’Esquadra o la gestión viaria. El proyecto forma parte de la Estrategia de Autonomía Tecnológica de la Generalitat de Catalunya (ESTRATEC) y busca aumentar la resiliencia de los servicios públicos.

Con un importe máximo de 481 millones de euros durante ocho años, la adjudicación está prevista para el cuarto trimestre de 2026 y el servicio debería entrar en funcionamiento durante el segundo semestre de 2027. La empresa adjudicataria podrá ofrecerlo a la propia Generalitat y a otras entidades públicas y privadas, pero no a particulares.

Ahora bien, ¿qué es exactamente una nube pública soberana y qué objetivos persigue? Antes de responder, conviene aclarar un término que se presta a confusión: el de nube “pública”.

El término “pública” no implica que la información sea accesible para cualquiera ni que la infraestructura pertenezca necesariamente a una Administración. Una nube pública es un modelo en el que un proveedor ofrece recursos de computación, almacenamiento y otros servicios tecnológicos a diferentes organizaciones, manteniendo separados y protegidos sus respectivos datos y entornos.

Una nube privada, por su parte, utiliza una infraestructura reservada para una única organización, aunque puede estar gestionada internamente o por un proveedor externo. Este modelo ofrece mayor control sobre la configuración, los recursos y las políticas de seguridad. En cambio, la nube pública facilita la escalabilidad y permite acceder bajo demanda a recursos tecnológicos gestionados.

La soberanía no es un modelo alternativo de nube; añade garantías jurídicas, operativas y tecnológicas a la infraestructura elegida. En el caso catalán, a una nube pública.

La condición soberana suma requisitos relacionados con:

• La jurisdicción aplicable.
• La ubicación y el procesamiento de los datos.
• El control de los accesos y las claves de cifrado.
• La capacidad de auditoría.
• La cadena de proveedores y subcontratistas.
• Las dependencias del hardware y el software.
• La continuidad del servicio.

Una nube pública soberana combina, por tanto, la flexibilidad y la escalabilidad propia de los servicios en la nube con mayores garantías sobre quién controla la infraestructura y bajo qué legislación se gestiona.

Su valor radica en la capacidad de decisión que conserva la organización. En concreto, permite:

• Determinar dónde se alojan los datos más sensibles.
• Controlar quién puede acceder a ellos.
• Identificar qué dependencias tecnológicas intervienen.
• Prever cómo se mantendrían los servicios ante una interrupción, un cambio contractual o un conflicto regulatorio.

La ubicación física de los centros de datos es un factor relevante, aunque no basta por sí sola. También importan la jurisdicción del proveedor y de sus empresas matrices, el origen de la tecnología, la posibilidad de migrar las cargas de trabajo y la capacidad para operar sin una intervención determinante de entidades externas a la Unión Europea.

La soberanía tecnológica tampoco exige prescindir de cualquier solución internacional. Su objetivo consiste en conocer las dependencias existentes, reducir las más críticas y disponer de alternativas para los datos y servicios que requieren mayores garantías de control, seguridad y continuidad.

En el caso de la nube catalana, la Generalitat ya utiliza servicios de nube pública comercial. La novedad consiste en incorporar un entorno que combine las capacidades de este modelo con mayores garantías jurídicas, tecnológicas y operativas.

La licitación está gestionada por el Centre de Telecomunicacions i Tecnologies de la Informació (CTTI), la empresa pública que integra los servicios informáticos y de telecomunicaciones de la Generalitat y coordina sus proyectos tecnológicos. La infraestructura estará situada íntegramente en Catalunya y se conectará con otras infraestructuras públicas de comunicaciones de la Generalitat, como la red de fibra óptica de titularidad pública.

Una arquitectura híbrida combina una nube privada con una o varias nubes públicas, y permite distribuir entre ellas las aplicaciones y los datos. Cada carga de trabajo se sitúa en el entorno más adecuado según su sensibilidad, criticidad y necesidades de seguridad, capacidad, rendimiento o innovación.

La propia Comisión Europea definió para sus servicios una estrategia de nube híbrida y multicloud, basada en la combinación de una nube privada gestionada internamente y servicios proporcionados por diferentes operadores de nube pública.

En el caso catalán, actualmente alrededor del 80 % de los servicios de la Generalitat se encuentran en una nube privada y el 20 % utiliza servicios de nube pública comercial. El nuevo modelo prevé evolucionar, en un horizonte de dos años, hacia esta distribución:

• 40 % en la nueva nube pública soberana.
• 30 % en servicios de nube pública comercial.
• 30 % en nube privada.

La nueva nube soberana no sustituirá todos los entornos que utiliza la Generalitat. Incorporará una opción adicional para alojar los datos y servicios que necesiten combinar las prestaciones de una nube pública con mayores garantías de soberanía y resiliencia.

Asimismo, esta misma lógica sirve de referencia para las empresas. Una compañía puede mantener sus sistemas más sensibles en una nube privada, recurrir a servicios de nube pública comercial cuando necesita escalabilidad o capacidades avanzadas y utilizar infraestructuras soberanas para información sujeta a requisitos jurídicos u operativos específicos. El proyecto de la Generalitat ofrece así un espejo en el que las organizaciones pueden revisar su propia estrategia tecnológica.

Una vez distribuidos los datos y las aplicaciones entre varios entornos, la red pasa a ser el elemento que los conecta y condiciona buena parte de la seguridad y la continuidad. En una arquitectura híbrida, la red debe conectar sedes, centros de datos, usuarios, aplicaciones y diferentes entornos de nube de forma segura y continua. Para ello resultan especialmente importantes:

• El cifrado de las comunicaciones.
• La segmentación y separación de los distintos tipos de tráfico.
• La redundancia de las conexiones.
• La aplicación centralizada de políticas de seguridad.
• La visibilidad sobre los accesos y los flujos de datos.
• La detección de comportamientos anómalos.
• La capacidad para aislar una parte de la infraestructura ante un incidente.

La red no determina por sí sola la soberanía de un servicio en la nube, pero refuerza la seguridad, la disponibilidad y la resiliencia del acceso a ese entorno.