El 10 de noviembre de 2026 heise online informó de que Delos, a la que describe como una filial de SAP, afirma que su nube para la administración federal, de los estados federados y local alemana arrancará a principios de 2027. Microsoft será quien suministre el software y las actualizaciones, la revisión que hace el BSI de sus requisitos para la nube sigue en marcha y los críticos continúan tachando el modelo de «sovereignty washing».

Esa etiqueta no se puede dirimir desde fuera, y importa menos que la pregunta de fondo, que vale para cualquier oferta soberana que puedas comprar: ¿qué pasa con tu carga de trabajo cuando el proveedor original deja de enviar actualizaciones? Eso es la dependencia de actualizaciones de la nube, y puedes comprobarla antes de firmar.

Esto es lo que cuentan Delos y la prensa. Delos Cloud GmbH, fundada en 2022, afirma que asumió por completo la operación en octubre de 2026, con Arvato Systems como partner operativo, y que los datacenters son propiedad de Delos. Cuenta con la ISO/IEC 27001 de TÜV Nord Cert para su ISMS (sistema de gestión de seguridad de la información) y su Direct Connection; los atestados C5 y una ISO 27001 basada en IT-Grundschutz están aún por llegar.

La Gesellschaft für Informatik sostuvo en octubre de 2024 que una nube construida sobre tecnología de Microsoft depende de un suministro continuo de actualizaciones de Microsoft. Delos rechaza la acusación. No vamos a pronunciarnos al respecto: vamos a darte una prueba que sirve para cualquier proveedor, nosotros incluidos.

Cinco preguntas para evaluar una nube soberana

1. ¿Quién envía las actualizaciones y quién decide qué se ejecuta?

Separa tres papeles: quién escribe el código, quién compila y firma la versión que realmente ejecutas y quién decide cuándo pasa a producción. Después haz la pregunta que más información te da: ¿puede el operador mostrarte qué ha cambiado en una versión y publicar por sí mismo una corrección de seguridad según su propio calendario?

Pide al proveedor que nombre a la parte responsable de cada paso y qué hace el operador si el proveedor original tarda o no da señales de vida.

2. ¿Quién es el propietario del operador y qué hay por encima?

Obtén la cadena de propiedad del registro mercantil, no de las descripciones de la prensa. heise y los medios especializados llaman a Delos filial de SAP, mientras que otras informaciones la vinculan con Bertelsmann y Arvato; esa discrepancia es la razón por la que debes pedir la tabla de capitalización.

Después plantea una segunda pregunta sobre la jurisdicción. Delos afirma que el operador está sujeto a la jurisdicción alemana, que es el sentido de la estructura. El Bundesverband für digitale Souveränität responde que Microsoft sigue sujeta a la ley estadounidense, incluida la CLOUD Act, por lo que no puede excluirse del todo una salida de datos. La jurisdicción sobre el operador y la jurisdicción sobre quien te suministra las actualizaciones son dos exposiciones distintas, y una licitación debería valorar ambas.

Ser propietario del edificio te dice dónde están los datos. Ser propietario de la vía de actualización te dice quién puede mantenerlos parcheados.

3. ¿Qué acceso tiene el proveedor original y quién puede demostrarlo?

Aquí las informaciones se contradicen. Un portavoz de Delos afirma que Microsoft no tiene «ningún acceso independiente»; otro medio informa de que Microsoft puede acceder a la plataforma solo de forma controlada y registrada. La declaración de Delos es autodeclarada y no está auditada.

Recoge el modelo de acceso en el contrato: quién aprueba una sesión, qué se registra y si los logs llegan hasta ti. Nunca debe permitirse que «sin acceso» y «acceso registrado» se confundan en una presentación comercial.

4. ¿Qué sigue funcionando si se detienen las actualizaciones del proveedor original?

Börsen-Zeitung escribió que Delos podría seguir funcionando un tiempo sin actualizaciones, quizá unos meses. Ni esa información ni los resúmenes de las propias afirmaciones de Delos ofrecen una base técnica, así que trátalo como una afirmación, no como una propiedad de la plataforma.

Pide una cifra fechada y por escrito, y pruebas de que alguien la ha puesto a prueba, por ejemplo cortando el flujo de actualizaciones del proveedor original en un entorno de preproducción. Pregunta qué componentes se degradan primero y si los parches de seguridad se detienen desde el primer día aunque las cargas de trabajo sigan funcionando.

Pide después el plan de salida que lo acompaña. Exportar tus datos es la mitad fácil; también necesitas un destino y un tiempo de migración ensayado.

5. ¿Qué cubre realmente cada certificado?

Lee la declaración de alcance, no el logotipo. La ISO/IEC 27001 de Delos cubre el ISMS y la operación de Direct Connection, no los servicios de la plataforma. En cuanto a los atestados C5, lee el alcance declarado de cada uno y el periodo que abarca, y comprueba de qué tipo es antes de comparar a dos proveedores.

La vía de aprobación está escalonada en consecuencia. Los estados federados y los municipios pueden usar la plataforma una vez completado el C5 Tipo 1 y con la ISO 27001 en vigor. Los organismos federales necesitan primero el C5 Tipo 2 e IT-Grundschutz, y después una recomendación de uso del Ministerio Federal de Digitalización y Modernización del Estado.

Requisitos del BSI para la nube: no confundas los documentos

En este debate se confunden dos textos del BSI. Los requisitos del BSI para plataformas cloud son los que se están revisando ahora; heise los describe como requisitos para las plataformas que usa la administración federal, y uno que citan Delos y Arvato es que todos los datos de la administración alemana se traten dentro de Alemania. No hemos encontrado un texto público, así que no describiremos su contenido más allá de eso.

El Mindeststandard para el uso de servicios en la nube externos es un estándar distinto y publicado que usa los criterios básicos de C5 como requisitos de seguridad para los proveedores cloud. Si compras para un organismo público alemán, comprueba a cuál de los dos hace referencia realmente tu contratación.

Aplica el mismo criterio a las fechas. En septiembre de 2024 el objetivo de la nube de la administración alemana era estar disponible a partir de 2025; ahora es principios de 2027, y eso es un objetivo, no una aprobación.

Cómo respondemos nosotros a las mismas preguntas

Propiedad: somos una empresa de propiedad privada, en manos de los fundadores y la dirección; nadie ajeno a la compañía tiene participación y no hay ninguna matriz ni sociedad holding por encima de nosotros a la que pueda notificarse una orden de un tercer país. Operación: operamos cuatro datacenters, MAD1 en Madrid, AMS1 en Ámsterdam, MUN1 en Múnich y HEL1 en Helsinki, todos en la UE; los operadores de las instalaciones aportan espacio, energía y refrigeración, y la red y el tránsito son nuestros. No revendemos la nube de nadie más, y nuestras instancias cloud funcionan sobre KVM.

Acceso: solo el personal autorizado de DIVERSITY ubicado en la UE puede acceder a la infraestructura, y el acceso administrativo queda registrado y exige autenticación multifactor. Salida: las instancias cloud se exportan como imagen de disco en bruto más configuración en JSON, las bases de datos gestionadas como volcado completo, Object Storage mediante su API compatible con S3 y los servidores bare metal como imagen de disco completa, sin costes de cambio ni de salida de datos. Un plan de ahorro sigue vigente hasta el final de su plazo, así que lee también la parte comercial.

Las preguntas 1, 4 y 5 no las respondemos aquí: en esta entrada no indicamos nuestra vía de actualización ni un plan alternativo sin actualizaciones, y te daremos ambos por escrito si nos los pides. Nada de esto elimina las dependencias del proveedor original, que existen en todo stack, así que mídenos con el mismo rasero que a cualquier otro proveedor.

Este es el trabajo que hace nuestro equipo de Consultoría IT en las revisiones de arquitectura y en las salidas de hiperescalares o de VMware: relacionar cada capa de tu stack con quien la entrega y con quien es propietario del operador.

Qué incluir en tu licitación: seis puntos

  • La cadena de propiedad del operador y de cada entidad que haya por encima.
  • La parte responsable de cada paso, desde el código fuente hasta producción.
  • El modelo de acceso del proveedor original, con los logs entregados a ti.
  • Una cifra fechada y probada de funcionamiento sin actualizaciones del proveedor original.
  • Un plan de salida con un destino nombrado y un tiempo de migración ensayado.
  • Alcances y periodos de los certificados, con los pendientes marcados como pendientes.

Un proveedor que responda por escrito a los seis puntos de la licitación se ha ganado que se le mire en serio, llámenlo como lo llamen las informaciones.

Fuentes