Sovereign-Audit es una auditoría estructurada que evalúa su dependencia de los proveedores de nube (Microsoft 365 en particular) y su capacidad real para recuperar sus datos y cambiar de proveedor. No certificamos una «soberanía»: medimos, documentamos y priorizamos.
La dependencia digital rara vez se mide, y el asunto se está convirtiendo en una cuestión normativa
El Reglamento (UE) 2023/2854 (Reglamento de Datos) incluye un capítulo dedicado al cambio entre servicios de tratamiento de datos, con obligaciones de eliminar los obstáculos técnicos y contractuales al cambio de proveedor. Pocas organizaciones saben hoy en qué punto se encuentran a este respecto.
Cuentas de emergencia, federación de identidades, Copilot, cifrado nativo, aplicaciones de Teams personalizadas: cada decisión técnica crea un poco más de dependencia, sin que se haya tomado una decisión explícita.
Los contratos de nube contienen cláusulas de recuperación de datos y de salida, pero se firman una vez y nunca se revisan a la luz del uso real del inquilino.
El Reglamento de Datos, SecNumCloud y Gaia-X definen un vocabulario y unos requisitos de portabilidad, pero traducirlos en una constatación operativa sobre SU inquilino exige un método y un tiempo de los que los equipos informáticos internos no disponen.
Un método estructurado, apoyado en un catálogo de 32 controles de dependencia y de portabilidad
Reunión con la dirección o con el responsable de informática para delimitar el alcance (inquilino de M365, entidades, filiales, proveedores clave) y los retos de dependencia propios de su organización.
Examen de la configuración de Microsoft 365 (identidad, copia de seguridad, residencia de los datos, cifrado, aplicaciones) y de las cláusulas contractuales de reversibilidad con sus proveedores.
Cada control se evalúa con un estado claro (cubierto, parcial, ausente, pendiente de verificación contractual), con una correspondencia con los ámbitos de Microsoft 365 afectados.
Las constataciones se vinculan, cuando procede, con los requisitos del Reglamento de Datos europeo y con el vocabulario de referencia de SecNumCloud/Gaia-X, sin presentarlo nunca como una certificación obtenida.
Entrega de un informe claro a la dirección, con un plan de acción priorizado para reducir los puntos de dependencia más críticos.
Un conjunto claro de documentos que su dirección y sus equipos informáticos pueden aprovechar
Evaluación documentada de los 32 controles del catálogo, con un estado por control.
Una visión de conjunto de dónde se concentra su dependencia de Microsoft.
Un apoyo para revisar con sus equipos jurídicos sus contratos de nube vigentes.
Correspondencia entre sus constataciones y el vocabulario de los marcos de referencia.
Recomendaciones clasificadas por criticidad y facilidad de aplicación.
Documentos en formatos que sus equipos pueden aprovechar.
Sovereign-Audit se apoya en marcos públicos existentes: no expedimos ninguna certificación
Texto europeo que incluye un capítulo dedicado al cambio entre servicios de tratamiento de datos (portabilidad e interoperabilidad de la nube). Sovereign-Audit se apoya en ese capítulo para estructurar las preguntas de la auditoría, sin presentar un artículo concreto como una obligación ya exigible a su organización sin una verificación jurídica.
Los controles organizativos relativos a las relaciones con los proveedores y a la continuidad de la actividad estructuran una parte del análisis de dependencia.
Marco de cualificación voluntaria de la ANSSI. Su cláusula de reversibilidad contractual sirve aquí de guía de lectura, aunque Microsoft 365 estándar no está cualificado SecNumCloud.
Marco europeo voluntario y no vinculante que ofrece un vocabulario común de soberanía y de interoperabilidad entre los agentes de la nube, utilizado aquí como guía de lectura.
Cada misión se define mediante presupuesto, según el tamaño y la complejidad de su entorno
Pyme, un único inquilino de M365
Pyme/mediana empresa, varias entidades o filiales
Organizaciones con un plan de corrección
En esta página no se fija de antemano ninguna tarifa
El alcance exacto (número de entidades, tamaño del inquilino, profundidad del análisis contractual) se define con usted antes de cualquier presupuesto.
No solo los grandes grupos ni los sectores «sensibles»: la dependencia de un proveedor de nube afecta a empresas muy distintas, por razones distintas. Estos son los criterios oficiales, sin confundir obligación legal y buena práctica.
El CLOUD Act estadounidense (ley federal, Public Law 115-141) se aplica a los «proveedores de servicios de comunicaciones electrónicas o de servicios de computación remota» estadounidenses y permite obligarlos a entregar a la justicia estadounidense los datos que obren en su «posesión, custodia o control», aunque esos datos se almacenen fuera de los Estados Unidos (disposición codificada en 18 U.S.C. § 2713). En concreto: una pyme francesa que aloja su correo electrónico o su ERP con un proveedor estadounidense, o una filial europea de un grupo estadounidense, puede verse afectada por el mero vínculo de control, aunque sus datos estén alojados en Francia o en la UE. Texto oficial (Congress.gov)
El Reglamento de Datos (Reglamento (UE) 2023/2854), aplicable desde el 12 de septiembre de 2025, es un texto transversal que «se aplica a todos los sectores». Su capítulo sobre el cambio de proveedor de nube otorga a todo cliente, sea cual sea su tamaño, el derecho a «cambiar efectivamente de proveedor de servicios de tratamiento de datos» (portabilidad, interoperabilidad), sin exención general para las pequeñas empresas. Comisión Europea - Reglamento de Datos
La Directiva NIS2 abarca 18 sectores (energía, transporte, sanidad, finanzas, gestión del agua, infraestructuras digitales, comunicaciones electrónicas, plataformas digitales, gestión de residuos, fabricación de productos críticos, servicios postales, espacio, administración pública). Para esos sectores, «por regla general, las entidades medianas y grandes deberán adoptar medidas adecuadas de gestión de los riesgos de ciberseguridad», lo que incluye la gestión del riesgo ligado a sus proveedores, entre ellos sus proveedores de nube. Comisión Europea - NIS2
La cualificación SecNumCloud de la ANSSI «reconoce ofertas de nube de confianza» mediante un visado de seguridad. No es una obligación legal generalizada para las empresas privadas: es una cualificación voluntaria, recomendada para proteger datos sensibles o alojar sistemas de información sensibles en la nube. ANSSI - cyber.gouv.fr
En resumen, cuatro perfiles típicamente afectados
1. Una pyme que aloja su correo electrónico, su ERP o su CRM con un proveedor estadounidense de nube a gran escala (o una filial
europea de un grupo estadounidense): afectada por el CLOUD Act, con independencia de su tamaño.
2. Cualquier empresa europea, de cualquier tamaño, usuaria de un servicio de nube
(SaaS, PaaS o IaaS): afectada desde el 12/09/2025 por los nuevos derechos de portabilidad del
Reglamento de Datos.
3. Una empresa mediana o grande de uno de los 18 sectores críticos de NIS2 (energía, sanidad,
transporte, finanzas, infraestructuras digitales...): debe gestionar el riesgo de los proveedores, nube
incluida.
4. Un organismo público o una empresa que aloja datos sensibles: objetivo recomendado
(no siempre obligatorio) de la cualificación SecNumCloud.
Estos criterios proceden de los textos y páginas oficiales citados más arriba. No es un dictamen jurídico: su situación exacta depende de su sector, de su tamaño y de sus contratos, y conviene que la confirme un jurista si es necesario.
Qué es una verdadera obligación legal, qué es una buena práctica recomendada y qué llegará pronto, explicado con sencillez y con fuentes oficiales.
Si su empresa aloja datos personales (de empleados, de clientes) con un proveedor de nube situado fuera de la Unión Europea, es su empresa, y no el proveedor, la que sigue siendo jurídicamente responsable de la protección de esos datos ante el RGPD. Debe asegurarse de que esa transferencia se base en una garantía reconocida: o bien el país es considerado seguro por la Unión Europea («decisión de adecuación»), o bien firma con el proveedor las cláusulas contractuales tipo facilitadas por la Comisión Europea. Son documentos estándar que hay que incorporar a su contrato, no una negociación que deba inventar usted mismo.
Fuente: CNIL, marco de las transferencias de datos fuera de la UE previsto por el RGPD (capítulo V, artículos 45 y 46) - cnil.fr, consultado el 18/07/2026.
Desde el 12 de septiembre de 2025, un reglamento europeo (el «Reglamento de Datos») obliga a los proveedores de servicios de nube a facilitar el cambio de proveedor: deben reducir progresivamente los costes de salida y entregar sus datos en un formato que usted pueda reutilizar en otro lugar. En concreto, si un proveedor le responde que «no es posible» o le factura importes desproporcionados por recuperar sus propios datos, eso ya no es normal desde esa fecha. El calendario preciso de supresión total de esos costes lo fija el texto reglamentario; conviene que su jurista o su proveedor lo verifiquen si se le factura algún importe.
Fuente: Comisión Europea, «Reglamento de Datos» (Reglamento (UE) 2023/2854, capítulo VI) - digital-strategy.ec.europa.eu, consultado el 18/07/2026.
SecNumCloud es una cualificación otorgada por la ANSSI (la agencia francesa de ciberseguridad) que permite reconocer las ofertas de nube consideradas dignas de confianza para alojar datos sensibles. No es una obligación legal para una empresa privada. Se impone sobre todo a las administraciones y a los organismos que gestionan sistemas de información sensibles para el Estado. Para una pyme, es una referencia útil para comparar ofertas de nube entre sí, no una norma que deba cumplirse por ley.
Fuente: ANSSI (cyber.gouv.fr), página «Nube» - cyber.gouv.fr, consultado el 18/07/2026.
La CNIL recomienda, sin que sea una obligación cifrada y detallada en la ley, hacer una lista de los servicios de nube realmente utilizados en su empresa, comprobar el nivel de seguridad del proveedor antes de firmar, dejar por escrito en el contrato quién hace qué en materia de seguridad, y cifrar los datos sensibles. El principio que debe recordar: el proveedor protege su infraestructura, pero a usted le corresponde configurar bien los accesos y las cuentas de sus equipos. Una mala configuración por su parte no queda cubierta por la seguridad del proveedor.
Fuente: CNIL, «Seguridad de la nube (computación en la nube)» - cnil.fr, consultado el 18/07/2026.
La Comisión Europea ha puesto en debate un proyecto de reglamento, la «Ley de Desarrollo de la Nube y la IA», para reforzar las capacidades europeas de nube e inteligencia artificial y reducir la dependencia de los grandes proveedores no europeos. Este texto aún no está en vigor: es una propuesta en estudio, no una norma que aplicar hoy. Prevé un sistema de niveles de confianza para evaluar la soberanía de una oferta de nube. Conviene seguirlo, sin extraer de él ninguna conclusión operativa inmediata.
Fuente: Comisión Europea, «Ley de Desarrollo de la Nube y la IA» - digital-strategy.ec.europa.eu, página actualizada a 03/06/2026, consultada el 18/07/2026.
Esta sección le ofrece referencias claras, no un dictamen jurídico. Para una situación concreta (contrato en curso, transferencia de datos específica), solicite la validación de su servicio jurídico o de un abogado.
Cinco preguntas que se hacen los directivos de pymes, cada una respondida en 2 minutos con su fuente oficial
Estas respuestas resumen páginas oficiales consultadas en julio de 2026 (Comisión Europea, CNIL, ANSSI, Gaia-X). No constituyen un dictamen jurídico y no sustituyen un análisis específico para su situación.
Póngase en contacto con nosotros para recibir un presupuesto adaptado a su alcance.