La Comisión Europea avanza en la tramitación del Cloud and AI Development Act (CADA), la norma que por primera vez establece cuatro niveles de garantía para medir la soberanía de los servicios cloud que podrán contratar las administraciones públicas y, por extensión, marcar el criterio de referencia para el resto del tejido empresarial. La propuesta, presentada el 3 de junio de 2026 dentro del Paquete de Soberanía Tecnológica, sigue su recorrido parlamentario y vuelve a estar en el centro del debate tras conocerse los detalles de su régimen de contratación pública. Desde AZN Cloud creemos que es un movimiento que todo gestor de infraestructura digital en España debería tener en el radar.
¿Qué es el CADA y qué niveles de soberanía establece?
La Unión Europea empieza a trasladar el concepto de soberanía cloud desde el terreno político y comercial a un marco regulatorio común, con una propuesta que establece por primera vez cuatro niveles de garantía para determinar hasta qué punto un servicio en la nube puede considerarse soberano. En la práctica, en los niveles inferiores el foco recae principalmente sobre dónde se encuentran la infraestructura, los datos, el personal y las operaciones, mientras que a medida que aumenta el grado de garantía aparecen requisitos adicionales sobre propiedad, control empresarial y cadena de suministro. El nivel más exigente reserva sus condiciones a las cargas más sensibles: el marco escalonado reserva los niveles de garantía más altos para las cargas más sensibles: defensa, seguridad nacional, justicia y aplicación de la ley.
¿Por qué afecta esto a las empresas que operan en España?
Aunque el CADA nace pensado para la contratación pública, su influencia se extiende ya al mercado privado. El título IV de la CADA y sus anexos establecen un nuevo marco rígido que determina con precisión qué tipos de programas y servicios de computación en la nube pueden contratar los Estados miembros, alineando la demanda del sector público con los cuatro niveles de garantía. Sectores como banca, salud o administración local, que trabajan con proveedores privados, empiezan a trasladar esas mismas exigencias a sus contratos de hosting, VPS y backup, pidiendo trazabilidad sobre dónde residen físicamente los datos y quién puede acceder a ellos.
La localización, sin embargo, no lo es todo. La soberanía cloud tampoco equivale únicamente a mantener la información dentro de una frontera: el control efectivo depende también de quién administra la infraestructura, las claves de cifrado y los accesos, y qué legislación puede afectar al proveedor. Es un matiz importante para quien compara ofertas de VPS cloud: no basta con un datacenter en suelo español, hay que saber quién opera realmente la plataforma.
España, candidata a hub del sur de Europa
El contexto regulatorio coincide con un momento de expansión histórica del sector en nuestro país. Según la plataforma DatacenterDynamics, el mercado de data centers en España ha pasado de 293 MW de capacidad operativa a un horizonte de 500-600 MW en 2026, multiplicándose por cinco en una década. Esa capacidad adicional es precisamente la que necesitan las empresas que quieran migrar sus cargas de trabajo a infraestructura con residencia de datos verificable en territorio nacional, un requisito que gana peso cuanto más alto es el nivel de garantía exigido por el nuevo marco europeo.
¿Qué puede hacer una empresa para adelantarse al cambio?
La recomendación práctica, mientras el CADA completa su trámite ante el Parlamento Europeo y el Consejo, es revisar con qué proveedor cloud se trabaja y dónde se alojan realmente los datos críticos. Para quienes gestionan tiendas online, aplicaciones corporativas o sistemas internos, optar por un VPS cloud alojado en un datacenter en España, con operación y soporte también en territorio nacional, reduce de entrada buena parte de la incertidumbre jurídica que plantea la nueva norma. Añadir a eso una política de backup cloud independiente, con copias replicadas y cifradas, completa la fotografía de cumplimiento que cada vez más clientes institucionales van a exigir.
En AZN Cloud llevamos tiempo trabajando sobre esa premisa: infraestructura y datos bajo jurisdicción española. Quien quiera revisar sus opciones de migración puede consultar nuestros servicios de VPS Cloud alojados en nuestro propio datacenter en España.
Qué conviene vigilar en los próximos meses
- El calendario de tramitación del CADA en el Parlamento Europeo y el Consejo de la UE.
- Si el propio proveedor cloud puede acreditar en qué nivel de garantía se sitúa su servicio.
- Si los contratos actuales de hosting o VPS permiten auditar dónde residen los datos y quién tiene acceso a las claves.
- Si existe un plan de backup cloud independiente del proveedor principal, con copias en territorio español.
Ninguna empresa está obligada hoy a cambiar de proveedor de la noche a la mañana, pero sí conviene empezar a hacerse estas preguntas antes de que la norma entre en vigor y la revisión se convierta en una urgencia.
