Para conseguir la soberanía operativa, no basta con elegir una casilla «Región: Europa» en el panel de configuración de un sistema en la nube. La verdadera soberanía digital implica soberanía operativa real consiste en la capacidad de operar y gestionar los sistemas de tratamiento de forma autónoma. Eso entiende la inexistencia de dependencias críticas de infraestructuras situadas fuera del Espacio Económico Europeo. De esta manera, no pueden verse afectadas por incidencias técnicas o decisiones legales en terceros países.
Soberanía operativa, recomendaciones
En este sentido, las organizaciones que utilizan servicios en la nube deberían:
- Revisar las evaluaciones de impacto: Analizar las dependencias transfronterizas en la disponibilidad del servicio.
- Exigir transparencia en la arquitectura: Solicitar a los proveedores información clara sobre los servicios «globales» y «regionales».
- Diseño para la desconexión: Implementar arquitecturas aisladas, manteniendo las funciones críticas activas localmente en el caso del fallo del plano de control central.
- Diversificación: Valorar estrategias híbridas o multi-cloud para evitar puntos únicos de fallo sistémicos.
Proveedores de infraestructura
En el ecosistema digital actual, ciertos proveedores de infraestructura son estándares de facto. Tienen una alta barrera de salida o son difícilmente sustituibles. El objetivo de este análisis no es señalar como inherentemente incumplidoras a las entidades que, de forma legítima, utilizan dichos servicios.
Por el contrario, el foco situaremos en el principio de responsabilidad proactiva. Este principio exige el RGPD al responsable del tratamiento. Ante una dependencia crítica de un proveedor no sustituible, el responsable debe poder demostrar la diligencia debida en la gestión de dicho riesgo. Eso tiene que hacerlo antes de que se materialice. Esto incluye haberlo identificado y analizado en su evaluación de impacto, haber exigido al proveedor la máxima transparencia sobre su propia resiliencia. Y, por otro lado, haber diseñado e implementado medidas de mitigación realistas dentro de un plan de contingencia.
Medidas como base de soberanía operativa
Estas medidas, como arquitecturas que permitan operar en modo aislado, deben permitir mantener, incluso en caso de fallo del proveedor, al menos aquellas operaciones esenciales en tratamientos que pueden tener un gran impacto para los derechos fundamentales.
Más información en el siguiente enlace de la AEPD.
