Cloud sobirà i cloud per a l'Administració Pública

Enunciat oficial. Cloud sobirà i cloud per a l'Administració Pública. Regulació, sobirania del dada i cloud de confiança europeu.

1. El problema: què vol dir sobirania

Un núvol sobirà és el servei al núvol que garanteix alhora que les dades, les persones que hi accedeixen i la tecnologia que el sustenta queden sota una jurisdicció i un control determinats —a Europa, els de la UE—, de manera que ni una llei de fora en pugui forçar l'accés ni el proveïdor en pugui impedir la sortida. No el defineix on són els servidors: el defineixen les tres condicions que venen tot seguit, i n'hi ha prou que en falli una perquè la sobirania sigui nominal.

Sobirania de les dades (data sovereignty): les dades estan subjectes a les lleis del país on es troben o on opera qui les tracta. Emmagatzemar dades europees en un servei operat per una empresa nord-americana les fa potencialment accessibles sota la legislació dels Estats Units, encara que els servidors siguin a Europa.

Tres nivells que no s'han de confondre:

Residència de dades ≠ sobirania de dades. Que el CPD (Centre de Processament de Dades) sigui a Irlanda no impedeix una ordre judicial estrangera al proveïdor.

El conflicte concret: la CLOUD (Clarifying Lawful Overseas Use of Data) Act dels EUA (Estats Units d'Amèrica) (2018) permet a les autoritats nord-americanes requerir dades a proveïdors sotmesos a la seva jurisdicció allà on estiguin emmagatzemades. Això entra en tensió directa amb el RGPD i és el nucli del debat europeu.

2. Marc jurídic

2.1 Protecció de dades i transferències

• RGPD, capítol V (arts. 44–49): les transferències a tercers països requereixen decisió d'adequació (RGPD, art. 45), garanties adequades (RGPD, art. 46: clàusules contractuals tipus, normes corporatives vinculants) o alguna de les excepcions taxades (RGPD, art. 49).
• Schrems II (TJUE (Tribunal de Justícia de la Unió Europea), 2020): anul·la l'Escut de privadesa UE-EUA i exigeix, a més de les clàusules contractuals, una TIA (Transfer Impact Assessment, l'avaluació de l'impacte de la transferència) i, si escau, mesures suplementàries (xifratge amb claus en poder del client, pseudonimització, control d'accés).
• EU (European Union) -US (United States) Data Privacy Framework (decisió d'adequació de juliol de 2023): marc vigent que permet les transferències a entitats nord-americanes certificades. És, com els anteriors, objecte d'impugnació.
• Rol de l'Administració: és responsable del tractament; el proveïdor de núvol, encarregat. Cal el contracte de l'RGPD, art. 28, control dels subencarregats, i el DPD (Delegat de Protecció de Dades) ha d'intervenir.

2.2 Seguretat

• ENS (RD (Reial Decret) 311/2022): d'aplicació obligatòria. Els serveis contractats han de ser conformes amb l'ENS, amb la corresponent declaració o certificació de conformitat segons la categoria, i la norma hi dedica una família pròpia de mesures, op.nub (serveis al núvol) → tema 66. El CCN (Centro Criptológico Nacional) publica les guies CCN-STIC (Seguridad de las Tecnologías de la Información y las Comunicaciones) de la sèrie 800 —la CCN-STIC-823 és la de referència sobre utilització de serveis al núvol— i els perfils de compliment específics i el catàleg que es veuen a §4.1.
• NIS2 (Network, Information i Systems, directiva 2) i RDL 12/2018 (RDL (Reial Decret Llei)): seguretat de les xarxes i sistemes d'informació; les administracions i els proveïdors de serveis digitals hi estan subjectes, amb obligacions de gestió de riscos i notificació d'incidents.
• Llei 8/2011: infraestructures crítiques.

2.3 Dades i mercat

• DGA (Data Governance Act, Reglament (UE) 2022/868): reutilització de dades protegides en poder del sector públic, serveis d'intermediació de dades i altruisme de dades.
• Data Act (Data Act, Reglament (UE) 2023/2854, aplicable des del 12 de setembre de 2025): dades generades per productes connectats i, molt rellevant aquí, el capítol VI —arts. 23 a 31— d'obligacions de canvi de proveïdor de serveis de tractament de dades. És la resposta jurídica europea al bloqueig de proveïdor i ataca les tres barreres alhora: la contractual (preavís i terminis màxims de migració), la tècnica (interoperabilitat, assistència, equivalència funcional) i l'econòmica (l'art. 29 suprimeix del tot les tarifes de canvi (switching charges) a partir del 12 de gener de 2027; fins llavors només se'n poden cobrar de reduïdes, limitades al cost real).
• Directiva 2019/1024: dades obertes i reutilització → tema 33.
• RIA (Reglament d'Intel·ligència Artificial): regula la IA (Intel·ligència Artificial) → tema 29.

3. El núvol de confiança europeu

Iniciatives:

• Gaia-X: iniciativa europea per definir un marc de confiança i d'interoperabilitat per a serveis de dades i de núvol, amb etiquetes de compliment verificables (Gaia-X Trust Framework, Compliance Service) i espais de dades sectorials. No és un núvol públic europeu: és un marc de regles i de federació, no un proveïdor.
• EUCS (European Union Cybersecurity Certification Scheme per a serveis al núvol), de l'ENISA (European Network and Information Security Agency, avui Agència de la Unió Europea per a la Ciberseguretat), en tramitació: nivells d'assegurament bàsic, substancial i alt, amb el debat obert sobre si el nivell alt ha d'incloure requisits d'immunitat davant lleis extracomunitàries.
• IPCEI (Important Project of Common European Interest) -CIS (Cloud Infrastructure and Services) i Alliance for Industrial Data, Edge and Cloud.
• Espais europeus de dades sectorials (salut, mobilitat, administració pública).
• EuroHPC per a supercomputació.
• Ofertes «sobiranes» dels grans proveïdors: Microsoft EU Data Boundary, AWS (Amazon Web Services) European Sovereign Cloud, Google Cloud amb socis locals (S3NS a França), Oracle EU Sovereign Cloud. Són respostes comercials: cal analitzar-ne l'abast real —quines dades cobreixen, qui opera el servei i des d'on, i què passa amb el suport i la telemetria.
• Proveïdors europeus: OVHcloud, Scaleway, IONOS, Aruba, Stackit, T-Systems; a Espanya, ofertes de Telefónica i altres. I la via pública: núvols sobirans impulsats per les mateixes administracions, com el que a Catalunya preveu l'ESTRATEC (Estratègia d'Autonomia Tecnològica) del Govern —infraestructura situada al territori, operada dins del marc regulador europeu i integrada en un model híbrid amb el que ja hi ha.

Alternatives tecnològiques amb sobirania per disseny: OpenStack i Kubernetes com a bases de núvols privats i comunitaris; Ceph, Proxmox, OpenNebula; i el programari lliure com a garantia de portabilitat.

4. El núvol per a l'Administració espanyola

• Nube SARA (SARA: Sistema de Aplicaciones y Redes para las Administraciones) i els serveis compartits de la Secretaria General d'Administració Digital.
• Xarxa SARA com a interconnexió segura entre administracions.
• AOC (Administració Oberta de Catalunya) i els serveis comuns de Catalunya → tema 4.
• Plans de digitalització i fons PRTR (Pla de Recuperació, Transformació i Resiliència).
• Model habitual: híbrid — càrregues sensibles i sistemes de tramitació en CPD propis o en núvol privat, i càrregues elàstiques o de dades obertes al núvol públic.

Criteris de decisió per portar un servei al núvol públic:

1. Classificació de la informació i categoria del sistema segons l'ENS.
2. Base jurídica i transferències (RGPD).
3. Criticitat i continuïtat: què passa si el proveïdor cau o si es perd la connectivitat.
4. Reversibilitat i portabilitat: com se surt, en quant de temps i a quin cost. És la cara pràctica del bloqueig de proveïdor (vendor lock-in), que com a risc genèric del núvol es desenvolupa al tema 59 i, com a criteri de compra, al tema 3; el que hi afegeix la sobirania és que un servei del qual no es pot sortir tampoc no es pot sotmetre a una altra llei, per molt que el contracte digui el contrari.
5. Cost total i model pressupostari (capítol 2 vs capítol 6).
6. Competències internes per operar-lo amb seguretat.
7. Sobirania: qui hi pot accedir i sota quina llei.

La regla per defecte: pujar dades personals o corporatives (per exemple, un registre de queixes ciutadanes, amb dades de contacte i de l'assumpte) al núvol d'un proveïdor extern —per prestigiós que sigui el proveïdor— no és recomanable sense abans haver resolt els set criteris anteriors. El prestigi comercial no acredita ni la conformitat amb l'ENS ni la base jurídica de la transferència (RGPD): si el proveïdor no té una oferta certificada per al sector públic espanyol i sotmesa a una jurisdicció compatible, el risc per defecte és de seguretat i de conformitat legal, no un problema de rendiment ni de cost.

4.1 El catàleg de serveis al núvol del CCN

«Conforme amb l'ENS» no s'ha de creure: es comprova en una llista. La resposta espanyola a què puc contractar té dues peces, i no són el mateix.

El catàleg, el CPSTIC. El CPSTIC (Catàleg de Productes i Serveis de Seguretat de les Tecnologies de la Informació i la Comunicació) és la llista de referència de productes i serveis amb garanties de seguretat contrastades —per avaluació o certificació— i amb un PES (Procedimiento de Empleo Seguro) publicat. El desenvolupa la guia CCN-STIC-105, es consulta al portal del CCN i s'actualitza contínuament. Té tres apartats:

Els serveis al núvol hi entren com una família pròpia de la taxonomia (CCN-STIC-140, annex G), amb els seus requisits fonamentals de seguretat; el procediment d'inclusió és la CCN-STIC-106, i el servei ha d'arribar-hi ja amb la conformitat ENS vigent. La conseqüència pràctica per a un plec: l'ENS exigeix productes i serveis certificats o del catàleg als sistemes de categoria ALTA, els valora als de categoria mitjana i no els demana als de bàsica → tema 66.

Els perfils de compliment específics. Són guies que tradueixen les mesures de l'ENS a un servei concret, de manera que l'organisme no hagi de reinterpretar-les proveïdor a proveïdor. Sobre la base de la CCN-STIC-823, el CCN n'ha publicat per als núvols que més contracta l'Administració espanyola —Azure, Office 365, AWS i Google Cloud— i, molt important per a qui no vol sortir de casa, un per a núvols privats i comunitaris (CCN-STIC-886), que és el que empara la infraestructura pròpia d'un ajuntament o d'un consorci.

El que no resol el catàleg. Un servei qualificat acredita seguretat tècnica, no sobirania: la conformitat ENS no diu res sobre qui opera el servei, des d'on, ni sota quina llei. Els criteris 2 i 7 de la llista anterior segueixen sent del contractant.

5. Mesures pràctiques per protegir la sobirania

• Xifratge amb claus gestionades pel client (BYOK (Bring Your Own Key) / HYOK (Hold Your Own Key)), custodiades en HSM (Hardware Security Module) fora del proveïdor. Si el proveïdor no té les claus, la dada que li puguin requerir és inintel·ligible.
• Confidential computing: xifratge de les dades en ús, dins d'enclavaments segurs.
• Pseudonimització i minimització abans de portar dades al núvol.
• Arquitectura portable: contenidors i Kubernetes, evitar serveis propietaris no substituïbles, dades en formats oberts.
• Exigència contractual de: ubicació de les dades i del suport, llista de subencarregats amb dret d'oposició, notificació de requeriments d'autoritats estrangeres, auditoria, pla de reversibilitat amb terminis i format d'exportació, i conformitat ENS.
• Estratègia de sortida documentada i provada, no només escrita.
• Diversificació: evitar la concentració de tots els serveis crítics en un sol proveïdor.

6. La posició de Barcelona

La Mesura de digitalització oberta i els Barcelona Digital Standards fixen la posició municipal:

• Sobirania tecnològica i de les dades com a principi rector: l'Ajuntament ha de controlar les seves dades i la seva infraestructura.
• Les dades generades pels serveis públics són un bé comú, també les que generen els concessionaris —cosa que s'ha d'imposar per plec.
• Programari lliure i estàndards oberts per defecte; «public money, public code».
• Contractació ètica i responsable, amb reversibilitat i propietat del codi.
• Ètica de les dades i de la IA → temes 29 i 30.
• Projectes emblemàtics: Decidim, Sentilo, DECODE (DEcentralised Citizens Owned Data Ecosystems, sobirania de dades ciutadana) i la Cities Coalition for Digital Rights, impulsada per Barcelona amb Amsterdam i Nova York.

Claus d'examen

• «Un proveïdor prestigiós» no és un criteri de decisió. Una pregunta pràctica plantejava hostatjar dades de queixes ciutadanes (dades personals) al núvol d'un proveïdor prestigiós: la resposta correcta no és sobre velocitat ni sobre preu, és que no és recomanable pujar-hi dades personals o corporatives per problemes de seguretat —conformitat ENS i base jurídica de la transferència no resoltes— (TS-TIC 2021, pràctica s4 p. 29).

Per recordar

• Residència ≠ sobirania: el CPD a Europa no impedeix una ordre judicial estrangera al proveïdor (CLOUD Act).
• Tres nivells: sobirania de les dades (on i quina llei), operativa (qui hi accedeix) i tecnològica (portabilitat i codi obert).
• Schrems II exigeix avaluació de la transferència i mesures suplementàries; el marc vigent és el EU-US Data Privacy Framework (2023).
• L'ENS és obligatori: cal conformitat del servei, la família op.nub i el perfil de compliment específic del CCN sobre la base de la CCN-STIC-823.
• El CPSTIC (guia CCN-STIC-105) és el catàleg on es mira si un servei al núvol està qualificat per a l'ENS. Qualificat no vol dir sobirà: acredita seguretat tècnica, no jurisdicció.
• Gaia-X no és un núvol europeu: és un marc de confiança i federació.
• El Data Act obliga a facilitar el canvi de proveïdor i suprimeix progressivament les tarifes de canvi.
• Mesura tècnica decisiva: xifratge amb claus en poder del client (BYOK/HYOK).
• L'Administració és sempre responsable del tractament, encara que el núvol sigui d'un tercer.
• El model realista al sector públic és l'híbrid, amb criteris explícits de què pot sortir i què no.