La conversación sobre soberanía del dato lleva dos años subiendo de tono en Europa, y buena parte de ella se resuelve con un argumento que no resiste la primera pregunta: «mis datos están en una región europea». La ubicación física del disco es una condición necesaria y no decide casi nada por sí sola. Lo que decide es bajo qué ley se firma el contrato, quién responde de una orden judicial extranjera y cuánto cuesta deshacer la decisión dentro de tres años.
En corto: una nube pública europea se evalúa con cuatro preguntas —jurisdicción del contrato, certificaciones verificables con titular y alcance, dependencia técnica de las APIs del proveedor y coste real de salida— y las cuatro se responden leyendo documentos, no folletos. Lo que sigue es cómo se comprueba cada una, y dónde encaja AireCloud, la nube pública de Grupo Aire, el grupo al que pertenece Stackscale.
Qué significa «nube pública soberana», y qué no significa
El término se ha estirado hasta perder utilidad. Conviene acotarlo con tres criterios que sí se pueden verificar.
La jurisdicción del contrato. No es dónde están los servidores: es qué sociedad firma el contrato de servicio y a qué tribunales se somete. Una filial europea de un proveedor estadounidense firma bajo derecho europeo, pero su matriz sigue sujeta a la legislación de su país de origen, y ahí es donde aparece la fricción con el CLOUD Act.
El control operativo. Quién administra la plataforma, desde dónde se accede al plano de control y quién tiene credenciales con privilegios sobre la infraestructura. Un servicio operado desde fuera de la Unión Europea por personal de un tercer país es soberano sobre el papel y poco más.
La reversibilidad. Una dependencia de la que no se puede salir sin reescribir las aplicaciones es una forma de pérdida de control, aunque el contrato sea español y el disco esté en Madrid.
Esta distinción está desarrollada en nuestro artículo sobre soberanía cloud y bajo qué ley están los datos de tu empresa, que es el punto de partida recomendado si la pregunta es jurídica antes que técnica.
Las cuatro preguntas que de verdad deciden
1. ¿Quién firma el contrato y bajo qué ley?
Hay que mirar la razón social que aparece en las condiciones de contratación y el apartado de ley aplicable y fuero. Si la sociedad firmante está constituida fuera de la Unión Europea, o si es una filial cuya matriz está sujeta a legislación extraterritorial, el dato puede estar en Madrid y la petición de acceso puede llegar igualmente desde otra jurisdicción.
2. ¿Qué certificaciones tiene, a nombre de quién y con qué alcance?
Una certificación sin titular ni alcance no sirve para nada. Hay que exigir tres cosas: el nombre exacto de la sociedad certificada, el alcance declarado —qué servicios y qué centros cubre— y la entidad certificadora. Es información pública y el proveedor debería publicarla sin que haga falta pedirla.
Conviene además comprobar que la certificación corresponde a la sociedad que presta el servicio. En grupos empresariales con varias compañías es habitual que los certificados estén repartidos, y un certificado de una empresa hermana no cubre el servicio que se está contratando.
3. ¿De qué APIs depende la aplicación?
Es la pregunta que más se descuida y la que más cara sale. Una máquina virtual se mueve entre proveedores con relativa facilidad; una aplicación construida sobre servicios gestionados propietarios —colas, funciones, bases de datos con dialecto propio, identidad— se mueve reescribiéndola.
4. ¿Cuánto cuesta salir?
La factura de salida tiene dos componentes que no aparecen en las calculadoras: el tráfico de egreso y el tiempo de ingeniería. El primero es medible por anticipado y conviene pedirlo por escrito; el segundo depende por completo de la respuesta a la pregunta anterior.
Certificaciones: qué acredita cada una en realidad
Las certificaciones que se citan en el mercado español de nube no son intercambiables y cada una responde a una pregunta distinta.
| Certificación | Qué acredita | Para quién es determinante |
|---|---|---|
| ENS Alta | Cumplimiento del Esquema Nacional de Seguridad en su nivel más exigente, según el Real Decreto 311/2022 | Administraciones públicas españolas y sus proveedores. Sin ENS no hay contrato público |
| ISO/IEC 27001 | Sistema de gestión de la seguridad de la información auditado y en mejora continua | Cualquier organización con requisitos de seguridad contractuales |
| ISO/IEC 27017 | Controles de seguridad específicos de servicios en la nube, con reparto explícito de responsabilidades entre proveedor y cliente | Quien necesita saber qué parte de la seguridad le corresponde a él |
| ISO/IEC 27018 | Protección de datos personales tratados en la nube por el encargado del tratamiento | Responsables del tratamiento sujetos al RGPD |
| ISO 22301 | Sistema de gestión de la continuidad de negocio | Servicios críticos y planes de contingencia auditables |
| Gaia-X | Pertenencia a la iniciativa europea de nube federada y adopción de sus especificaciones | Señal de alineamiento europeo; no sustituye a una certificación de seguridad |
Dos matices que conviene tener presentes. ENS Alta es la que abre la puerta del sector público, y quien no la tenga queda fuera de la licitación con independencia de lo buena que sea su plataforma. Y Gaia-X no es una certificación de seguridad: acredita participación en un proyecto de federación europea, que es valioso como señal pero no equivale a una auditoría de controles.
En el caso de AireCloud, la sociedad titular de las certificaciones aplicables al servicio es Aire Networks del Mediterráneo S.L., y están publicadas con titular y alcance en la página de certificaciones del grupo: ISO 9001, ISO 14001, ISO 22301, ISO 27001, ISO 27017, ISO 27018 y ENS nivel Alto. Que estén publicadas con el nombre de la sociedad certificada es exactamente lo que hay que exigirle a cualquier proveedor, incluido este.
La dependencia técnica: OpenStack frente a las APIs propietarias
Aquí es donde se decide si la reversibilidad es real o es una cláusula.
AireCloud está construido sobre OpenStack, con una capa de gestión propia desarrollada por Aire. La consecuencia práctica importa más que la arquitectura: las APIs de cómputo, red, almacenamiento de bloque, imágenes e identidad son las de un proyecto de código abierto con más de quince años de recorrido y múltiples implantaciones, de modo que las herramientas de automatización que funcionan contra una nube OpenStack funcionan contra las demás. Terraform, Ansible y los clientes nativos no hay que reescribirlos al cambiar de proveedor.
Si el concepto no resulta familiar, lo explicamos con detalle en qué es OpenStack.
Esto no convierte una migración en trivial —siguen estando los datos, las integraciones y las pruebas— pero sí elimina la parte más cara, que es rehacer la capa de aprovisionamiento. La diferencia entre migrar una infraestructura descrita en Terraform contra APIs estándar y migrar una aplicación acoplada a servicios propietarios se mide en meses.
Sobre ese sustrato, AireCloud expone servicios gestionados que también se apoyan en proyectos del propio OpenStack: bases de datos (MySQL, PostgreSQL y MariaDB), balanceo de carga, almacenamiento compartido NFS, Kubernetes gestionado, almacenamiento de objetos compatible con la API S3 y servidores bare-metal aprovisionados como si fueran instancias.
El coste que no aparece en la calculadora
Las dos partidas que descuadran los presupuestos de nube pública son el tráfico de salida y las llamadas a la API de los servicios de almacenamiento. En los grandes proveedores internacionales ambas se facturan por consumo, y la segunda es especialmente difícil de estimar antes de tener la aplicación en producción.
Es el punto donde la propuesta de un operador con red propia se separa de la de un hiperescalar. AireCloud se apoya en la red de fibra de Grupo Aire, e incluye conectividad simétrica de 1 Gbps sin coste por el tráfico descargado ni por el tráfico entre zonas. Para cargas que sirven mucho contenido —medios, comercio electrónico, distribución de ficheros, copias de seguridad hacia un repositorio externo— esa única línea puede cambiar el resultado de la comparativa más que el precio por vCPU.
El almacenamiento de objetos sigue el mismo criterio: compatible con la API S3 y sin cargos por llamadas API ni por transferencia saliente, lo que hace predecible un coste que en otros proveedores solo se conoce a posteriori.
Qué es AireCloud y dónde encaja
AireCloud es la nube pública de Grupo Aire. Conviene describir lo que es con precisión, porque el término «nube pública» se usa para cosas muy distintas.
Modelo. Infraestructura como servicio sobre OpenStack, con un orquestador propio. El cliente trabaja sobre un espacio empresarial —un dominio— dentro del cual crea centros de datos virtuales, llamados proyectos, que pueden extenderse entre regiones.
Regiones. La plataforma opera en octubre de 2026 dos regiones en Madrid, en Equinix y en Albasanz, interconectadas por fibra propia del grupo, lo que permite desplegar en alta disponibilidad entre ambas con latencia baja y elegir desde el panel dónde vive cada carga. El grupo tiene previsto ampliar el mapa con nuevas regiones.
Red. Es el activo diferencial y conviene entender por qué. Grupo Aire opera una red NG-DWDM propia de unos 35.000 kilómetros, con presencia física en España, Portugal y Países Bajos y capacidad en Francia, Reino Unido, Bélgica, Alemania, Suiza, Italia y Estados Unidos, más de mil acuerdos de peering y un sistema autónomo situado en el centenar más relevante en IPv4. La comunicación entre centros de datos y la salida a internet van por esa fibra, no por tránsito de terceros.
Catálogo. Cómputo de propósito general, alta velocidad y dedicado sobre AMD EPYC e Intel Xeon; cómputo con GPU NVIDIA; bare-metal como servicio; varios niveles de almacenamiento de bloque por rendimiento, desde archivo hasta NVMe local; objetos compatibles con S3 sobre tecnología NetApp; copias de seguridad con Cinder o con Commvault; recuperación ante desastres como servicio; migración en caliente desde otras nubes e hipervisores; CDN con WAF, mitigación de bots y protección anti-DDoS; y conexión dedicada desde las sedes del cliente.
Operación. El panel permite desplegar arrastrando componentes sobre un lienzo, con métricas y previsión de consumo en tiempo real, y expone API para automatizar lo mismo que se hace a mano.
Soporte. En castellano y por equipo propio. Suena menor hasta la primera incidencia a las tres de la mañana con un proveedor que responde en inglés y en otra franja horaria.
Lo que AireCloud no es: un hiperescalar con catálogo de centenares de servicios gestionados, ni la opción más barata para una carga pequeña y esporádica. Quien busque un servicio de funciones sin servidor con treinta integraciones nativas no lo va a encontrar aquí.
Nube pública, cloud privado o infraestructura dedicada
Los dos modelos se presentan a menudo como rivales y funcionan mejor como complementos. En Stackscale llevamos años en la conversación contraria a la de este artículo —empresas que salen de nube pública hacia infraestructura dedicada— y la conclusión después de muchos proyectos es que la pregunta no se responde en abstracto, sino carga por carga.
| Situación | Encaja mejor |
|---|---|
| Carga variable, picos imprevisibles, entornos de prueba que nacen y mueren | Nube pública: se paga lo que se consume y se apaga lo que sobra |
| Carga estable y conocida funcionando veinticuatro horas al día durante años | Infraestructura dedicada o cloud privado: el coste por unidad de rendimiento es menor y predecible |
| Requisitos de aislamiento, cumplimiento o rendimiento de almacenamiento muy exigentes | Cloud privado sobre infraestructura dedicada |
| Necesidad de elasticidad para una parte del sistema y estabilidad para otra | Híbrido, con conexión dedicada entre ambos entornos |
| Recuperación ante desastres de un entorno que vive en otro sitio | Nube pública como destino, pagando solo la capacidad en reposo |
El último caso es el más desaprovechado. Mantener un centro de respaldo encendido todo el año para usarlo un día es caro; mantener la réplica en una nube pública que se factura por consumo y se levanta cuando hace falta cambia por completo la ecuación económica del plan de continuidad. Está desarrollado en nuestra página de Disaster Recovery y backups.
Para el contraste clásico entre los dos modelos sigue vigente nube pública frente a cloud privado.
Cómo comprobar lo que te cuenta un proveedor
Una lista corta, pensada para llevarla a la reunión:
- Pide la razón social del contrato y el fuero. Debe estar en las condiciones generales, no en una respuesta de comercial.
- Pide los certificados con titular, alcance y entidad certificadora, y comprueba que el titular es la sociedad que presta el servicio.
- Pregunta desde dónde se opera la plataforma y quién tiene acceso privilegiado.
- Pide por escrito el coste del tráfico de salida y el de las llamadas API del almacenamiento de objetos.
- Haz la prueba de la reversibilidad: pregunta qué habría que reescribir para mover la aplicación a otro proveedor, y pide que te lo respondan por componentes.
- Mira la fecha de las certificaciones. Una ISO caducada o en renovación es una conversación distinta.
- Comprueba si hay permanencia y cuánto dura el preaviso de baja.
Preguntas frecuentes
¿Qué es exactamente una nube pública soberana?
Una nube pública cuya operación, contrato y datos quedan bajo jurisdicción europea, de forma que ninguna autoridad de un tercer país pueda exigir acceso al proveedor por la vía de su legislación nacional. La ubicación de los centros de datos es solo uno de los requisitos: la sociedad firmante, el control operativo y la cadena de subcontratación cuentan igual.
¿Basta con que el centro de datos esté en Europa?
No. Una filial europea de un proveedor sujeto a legislación extraterritorial puede estar obligada a atender requerimientos de su país de origen aunque los datos residan físicamente en la Unión Europea. La pregunta correcta es quién firma el contrato y a qué ley se somete.
¿Qué garantiza el ENS Alta y a quién le importa?
Acredita el cumplimiento del Esquema Nacional de Seguridad en su nivel más exigente, regulado por el Real Decreto 311/2022. Es obligatorio para los sistemas de las administraciones públicas españolas y para los proveedores que les prestan servicio, así que determina si un proveedor puede concurrir a contratación pública. Fuera del sector público funciona como una auditoría de seguridad muy detallada y con control externo.
¿Qué diferencia hay entre ISO 27001, 27017 y 27018?
La 27001 certifica el sistema de gestión de seguridad de la información de la organización entera. La 27017 añade los controles propios de los servicios en la nube y, sobre todo, establece qué responsabilidad es del proveedor y cuál del cliente. La 27018 se centra en el tratamiento de datos personales en la nube. Tenerlas las tres cubre tres capas distintas; tener solo la primera deja sin acreditar la parte específicamente cloud.
¿Gaia-X certifica algo?
Gaia-X es una iniciativa europea de nube federada con sus propias especificaciones de transparencia e interoperabilidad. Pertenecer al proyecto indica alineamiento con ese marco, y no equivale a una certificación de seguridad auditada por un tercero. Conviene citarlo como lo que es.
¿Qué implica que una nube esté construida sobre OpenStack?
Que las APIs de infraestructura son las de un proyecto de código abierto usado por muchos proveedores, de modo que el trabajo de automatización es portable entre ellos. Reduce la dependencia del proveedor en la capa de aprovisionamiento, que es la más costosa de rehacer. No elimina el trabajo de migrar datos ni de validar la aplicación en destino.
¿Cuánto cuesta sacar los datos de una nube pública?
Depende del proveedor y hay que pedirlo por escrito antes de firmar. En los grandes proveedores internacionales el tráfico de salida se factura por gigabyte y suele ser la partida que convierte una migración en un proyecto presupuestado. Hay proveedores europeos, AireCloud entre ellos, que no cobran por el tráfico descargado, lo que elimina esa barrera.
¿Cuándo conviene nube pública y cuándo infraestructura dedicada?
La nube pública gana en cargas variables, entornos efímeros y destinos de recuperación ante desastres. La infraestructura dedicada gana en cargas estables y sostenidas, donde el coste por unidad de rendimiento es menor y además predecible. La mayoría de las empresas con cierto tamaño acaban combinando ambas, con una conexión dedicada entre los dos entornos.
Dónde encaja Stackscale
Stackscale forma parte de Grupo Aire, y tener los dos modelos dentro del mismo grupo permite plantear la conversación completa en lugar de defender una única respuesta. Cuando la carga es estable y exigente, desplegamos cloud privado y servidores bare-metal sobre infraestructura dedicada en nuestros data centers de Madrid y Ámsterdam, con red propia, almacenamiento en red y replicación síncrona. Cuando lo que hace falta es elasticidad, un destino de recuperación o una región pública adicional, la nube pública del grupo entra en la misma arquitectura y por la misma red, sin salir de jurisdicción europea ni cambiar de interlocutor.
Si estás evaluando a qué proveedor llevar una plataforma, o repasando qué dependencias has acumulado con el que ya tienes, hablamos de tu proyecto y lo dimensionamos con tus datos.
