En septiembre de 2019, Thomas Cook, una de las empresas turísticas más antiguas del mundo, se encontraba inmersa en una grave crisis financiera. La compañía, fundada en 1841, acumulaba problemas de endeudamiento y necesitaba financiación para continuar operando. Sin embargo, a medida que se agravaba su situación, algunos de los proveedores de servicios financieros de los que dependía comenzaron a adoptar medidas para protegerse. Entidades como American Express, UniCredit y Barclaycard restringieron determinados servicios o retuvieron fondos, agravando las dificultades de liquidez de la empresa. El 23 de septiembre de 2019, Thomas Cook cesó sus operaciones y entró en liquidación, dejando a cientos de miles de viajeros pendientes de regresar a sus países. La compañía no quebró exclusivamente por las decisiones de sus proveedores financieros: arrastraba problemas estructurales que explican buena parte de su deterioro. Pero el episodio demuestra cómo una empresa que ya atraviesa dificultades puede ver comprometida definitivamente su continuidad cuando terceros de los que depende restringen servicios indispensables para su funcionamiento. La documentación presentada ante los tribunales británicos, recogida por The Guardian, reflejó el papel que desempeñaron esas restricciones en el agravamiento de su crisis de liquidez. La dependencia estratégica no siempre se manifiesta cuando un proveedor sufre una avería; también puede hacerlo cuando ese proveedor, por razones legítimas de protección de sus propios intereses, adopta decisiones que dejan a su cliente sin capacidad suficiente para continuar operando. La enseñanza trasciende al sector turístico: una compañía puede conservar clientes, empleados, instalaciones y actividad comercial, pero si pierde el acceso a un recurso esencial controlado por terceros, su supervivencia puede quedar comprometida.
Europa lleva años proclamando la necesidad de alcanzar una verdadera soberanía digital, pero los acontecimientos siguen poniendo de manifiesto la distancia entre ese objetivo y la realidad de sus infraestructuras tecnológicas. La caída de Revolut, provocada por una avería en los sistemas de Google Cloud, ha demostrado cómo una incidencia en un proveedor estadounidense puede afectar directamente a servicios financieros utilizados por ciudadanos europeos. Por su parte, el acuerdo entre Telefónica y Google Cloud para ofrecer una denominada «nube soberana» en España evidencia otra contradicción: se refuerza el control local sobre los datos, pero se mantiene la dependencia de la infraestructura tecnológica de una compañía extracomunitaria. Ambos casos adquieren especial relevancia a la luz del informe presentado por Sauli Niinistö a la Comisión Europea en octubre de 2024, que ya advertía de la necesidad de reducir las dependencias estratégicas capaces de comprometer la continuidad de los servicios esenciales. La cuestión de fondo es que Europa no puede construir una soberanía tecnológica efectiva si continúa dependiendo de proveedores externos para sostener funciones críticas de su economía y sus servicios. No se trata de cuestionar la colaboración internacional ni de afirmar que las infraestructuras europeas estén libres de riesgos, sino de señalar una contradicción que los hechos permiten constatar: proteger los datos dentro de Europa no significa controlar la tecnología de la que depende su disponibilidad
LA SOBERANÍA DIGITAL EUROPEA, EN ENTREDICHO: REVOLUT, TELEFÓNICA Y GOOGLE CLOUD FRENTE A LAS ADVERTENCIAS DEL INFORME NIINISTÖ
La caída de Revolut ha demostrado las consecuencias de depender de infraestructuras tecnológicas externas. El acuerdo entre Telefónica y Google Cloud plantea una contradicción igualmente relevante: presentar como soberana una solución que mantiene al proveedor estadounidense como responsable de la infraestructura. Ambas noticias obligan a confrontar la realidad de la dependencia europea con las recomendaciones formuladas por Sauli Niinistö en 2024.
La soberanía digital europea, en entredicho: Revolut, Telefónica y el informe Niinistö
El 20 de octubre de 2026, una avería en la infraestructura de Google Cloud provocó una interrupción de los servicios de Revolut que impidió a numerosos clientes acceder con normalidad a sus cuentas y realizar determinadas operaciones bancarias. Apenas cinco meses antes, el 28 de mayo, Telefónica y Google Cloud habían anunciado una alianza para ofrecer servicios de «nube soberana» en España, utilizando la infraestructura del proveedor estadounidense y reservando a Telefónica determinadas funciones de control sobre los datos. Aunque se trata de acontecimientos de naturaleza distinta, ambos ponen de manifiesto una misma cuestión: la dependencia de infraestructuras tecnológicas controladas por proveedores extracomunitarios en actividades esenciales para la economía y los ciudadanos europeos. El primero permite comprobar las consecuencias prácticas de una interrupción; el segundo muestra cómo esa dependencia puede mantenerse incluso en soluciones comercializadas bajo el concepto de soberanía digital. Lo verdaderamente significativo es que esta vulnerabilidad no constituye un problema desconocido para las instituciones europeas. Ya había sido identificada expresamente en el informe Safer Together: Strengthening Europe's Civilian and Military Preparedness and Readiness, presentado por el expresidente finlandés Sauli Niinistö a la Comisión Europea el 30 de octubre de 2024. Dos años después de aquella advertencia, Europa continúa afrontando la distancia entre sus objetivos declarados de autonomía estratégica y la dependencia tecnológica sobre la que descansan numerosos servicios esenciales.
El informe Niinistö, elaborado por encargo de la Comisión Europea, parte de una idea fundamental: la seguridad de Europa no puede limitarse a la defensa militar, porque también depende de la capacidad para mantener operativas sus infraestructuras, sus servicios públicos, su sistema financiero y las tecnologías indispensables para el funcionamiento de la sociedad. En su análisis de las vulnerabilidades estratégicas, el documento recomienda reforzar la resiliencia europea, reducir las dependencias externas problemáticas y preservar la capacidad de acceder a tecnologías críticas, desarrollarlas, utilizarlas, controlarlas, producirlas y protegerlas. La referencia al control es especialmente importante. No basta con disponer de acceso comercial a una tecnología si la continuidad de una actividad esencial depende de recursos cuya gestión efectiva corresponde a un tercero. Niinistö identifica expresamente entre las funciones críticas la banca, las infraestructuras de los mercados financieros y las infraestructuras digitales, de manera que sus recomendaciones no se refieren a una preocupación tecnológica abstracta, sino a sectores de los que depende directamente la actividad económica. La advertencia central del informe es que una Unión Europea excesivamente dependiente de capacidades externas en ámbitos críticos ve limitada su resiliencia y su autonomía de actuación ante situaciones de crisis. Conviene precisar que Niinistö no propone suprimir toda colaboración con empresas extranjeras. Su planteamiento es más concreto: identificar y reducir las dependencias que puedan comprometer la seguridad, la continuidad de los servicios esenciales y la capacidad europea de respuesta.
La caída de Revolut constituye una demostración tangible de la importancia de esa advertencia. Según informó EL PAÍS el 20 de octubre de 2026, los clientes de la entidad experimentaron dificultades para acceder a sus cuentas, realizar pagos y efectuar transferencias como consecuencia de una interrupción relacionada con Google Cloud. El origen comunicado de la incidencia fue un problema eléctrico que afectó a una zona de disponibilidad de la infraestructura del proveedor tecnológico en Londres. La avería se produjo, por tanto, fuera de los sistemas directamente controlados por los clientes bancarios y tuvo consecuencias sobre servicios financieros utilizados en distintos países. No se trató de una pérdida acreditada de depósitos ni de un ataque informático: fue una interrupción de disponibilidad. Pero precisamente por eso resulta tan reveladora. Una incidencia técnica en la infraestructura de un proveedor externo bastó para dificultar el acceso de los usuarios a servicios bancarios que necesitaban utilizar en ese momento. Los fondos podían seguir contabilizados en sus cuentas, mientras que los canales tecnológicos necesarios para operar con ellos presentaban problemas. La caída de Revolut dejó al descubierto una realidad esencial: disponer de dinero en una entidad financiera no garantiza poder utilizarlo cuando falla la infraestructura digital de la que depende el servicio.
El alcance de este episodio va más allá de las molestias ocasionadas durante unas horas. La banca digital funciona mediante una cadena de dependencias tecnológicas que el usuario no ve, pero de cuya continuidad depende para efectuar operaciones cotidianas. Cuando un componente de esa cadena falla, las consecuencias pueden llegar hasta el cliente final, aunque la entidad financiera no haya sufrido una avería física en sus propias instalaciones. La interrupción de Revolut muestra, por tanto, que la externalización de servicios tecnológicos no elimina los riesgos operativos: modifica su localización y obliga a gestionarlos mediante mecanismos eficaces de continuidad, redundancia y recuperación. También revela que la seguridad de una entidad financiera no puede evaluarse exclusivamente por la protección de sus datos o la solvencia de su balance. La disponibilidad de los servicios forma parte de la seguridad efectiva que reciben los clientes. Esta es precisamente una de las cuestiones que el informe Niinistö sitúa en el centro de la preparación europea: la necesidad de mantener las funciones esenciales cuando se produce una perturbación. El problema no es que una infraestructura pueda sufrir una avería —ninguna está exenta de ese riesgo—, sino que una actividad crítica dependa de ella sin que existan alternativas capaces de evitar o limitar suficientemente la interrupción. La información pública sobre el incidente no permite determinar con precisión todas las medidas de contingencia utilizadas por Revolut, pero sí acredita que la avería del proveedor repercutió en los servicios prestados a sus clientes.
La dimensión extracomunitaria de esta dependencia requiere una precisión que refuerza, en lugar de debilitar, el argumento. Google Cloud pertenece a una compañía estadounidense y la infraestructura afectada se encontraba en Londres, fuera de la Unión Europea. Sin embargo, la nacionalidad del proveedor no fue la causa técnica de la avería, y el incidente no demuestra que las infraestructuras estadounidenses sean menos fiables que las europeas. Lo que demuestra es algo distinto y plenamente verificable: la continuidad de determinados servicios financieros europeos estaba vinculada al funcionamiento de recursos tecnológicos suministrados por una empresa extracomunitaria. Esa circunstancia adquiere relevancia estratégica porque introduce una dependencia que debe evaluarse en términos de control, capacidad de sustitución y recuperación del servicio. Niinistö no sostiene que todo proveedor extranjero constituya una amenaza, sino que las dependencias críticas pueden convertirse en vulnerabilidades. En Revolut, la vulnerabilidad operativa se materializó. La cuestión de fondo no es dónde se produjo la avería, sino hasta qué punto una actividad financiera esencial puede continuar funcionando cuando deja de estar disponible la infraestructura externa de la que depende.
El acuerdo entre Telefónica y Google Cloud, anunciado el 28 de mayo de 2026 y recogido por Cinco Días en su información sobre la nueva oferta de nube soberana en España, plantea el mismo problema desde una perspectiva diferente. La alianza combina la región de infraestructura de Google Cloud situada en Madrid con mecanismos de residencia de datos, control de acceso y protección criptográfica gestionados por Telefónica. Según las características anunciadas, la empresa española asumirá la generación, custodia y administración de determinadas claves de cifrado, mientras que Google Cloud continuará proporcionando la infraestructura y los servicios tecnológicos sobre los que funcionará la solución. Se trata de una distinción fundamental: el acuerdo incorpora controles locales sobre la información, pero no supone la sustitución de la plataforma estadounidense por una infraestructura íntegramente desarrollada y controlada por Telefónica. La soberanía anunciada se refiere a determinadas garantías sobre los datos; no acredita, por sí sola, una independencia tecnológica respecto del proveedor que suministra la infraestructura. Esta diferencia debe quedar clara porque el concepto de soberanía digital comprende varias dimensiones y no todas se alcanzan mediante la misma medida técnica.
También es necesario evitar una confusión frecuente: la región de Google Cloud utilizada en esta oferta se encuentra en Madrid, dentro de la Unión Europea. No sería correcto afirmar que el acuerdo implica necesariamente alojar los datos en servidores situados fuera del territorio comunitario. La dependencia extracomunitaria reside en la titularidad y el control de la plataforma tecnológica subyacente, no en la ubicación física anunciada para sus centros de datos. Una infraestructura puede estar instalada en España y seguir formando parte de los servicios de una empresa estadounidense. Del mismo modo, una organización puede mantener sus datos cifrados mediante claves administradas en territorio español y continuar necesitando los sistemas del proveedor externo para ejecutar sus aplicaciones. La residencia de datos, la protección criptográfica y la autonomía operativa son cuestiones relacionadas, pero distintas. Situar los servidores en España no convierte automáticamente en europea la tecnología de la que dependen los servicios, del mismo modo que custodiar localmente las claves de cifrado no equivale a controlar toda la infraestructura.
Esta distinción es la que permite establecer una comparación rigurosa con Revolut. La interrupción del 20 de octubre fue un problema de disponibilidad de servicios. Los controles de cifrado y residencia de datos anunciados por Telefónica y Google Cloud persiguen principalmente reforzar la protección y el control de la información. Ambas finalidades son importantes, pero no son equivalentes. La gestión local de las claves de cifrado no garantiza, por sí misma, que una aplicación continúe funcionando cuando se interrumpe la infraestructura que la ejecuta. Tampoco la presencia de un centro de datos en Madrid elimina automáticamente las dependencias respecto de los componentes tecnológicos, los servicios de plataforma o los mecanismos de recuperación proporcionados por Google Cloud. Esto no significa que la oferta conjunta carezca de medidas de continuidad ni que deba sufrir una interrupción semejante a la de Revolut; la documentación pública examinada no permite sostener ninguna de esas dos afirmaciones. Lo que sí permite afirmar es que el acuerdo conserva una dependencia tecnológica respecto del proveedor estadounidense y que los controles anunciados sobre los datos no bastan para demostrar su desaparición. La experiencia de Revolut evidencia el riesgo que debe examinarse; el acuerdo de Telefónica muestra por qué no puede darse por resuelto ese riesgo mediante una solución centrada en la residencia y el cifrado de la información.
La contradicción adquiere especial relevancia al confrontar estas decisiones empresariales con las recomendaciones de Niinistö. El informe no identifica la soberanía con el simple cumplimiento de requisitos territoriales o contractuales, sino con la capacidad de Europa para sostener sus funciones críticas y reducir las dependencias que puedan comprometerlas. Desde ese punto de vista, una oferta comercial puede mejorar la protección de los datos sin contribuir en la misma medida a la autonomía tecnológica. Esa diferencia no es secundaria: afecta al significado de la palabra «soberana». Si se utiliza para describir una solución que incorpora controles específicos sobre la información, es necesario explicar cuáles son esos controles y cuáles son sus límites. Si se interpreta como independencia respecto de proveedores extracomunitarios, las características anunciadas por Telefónica y Google Cloud no permiten sostener esa conclusión. La soberanía sobre determinados aspectos de los datos no debe confundirse con la soberanía sobre los sistemas tecnológicos indispensables para utilizarlos. El problema no consiste en negar la utilidad de la colaboración, sino en evitar que una mejora concreta de seguridad se presente como si resolviera una dependencia estructural que continúa existiendo.
La propia Comisión Europea ha incorporado esta distinción a sus actuaciones. En su comunicación del 17 de abril de 2026, «Commission advances cloud sovereignty through strategic procurement», la institución explicó la aplicación de criterios de soberanía a la contratación de servicios de computación en la nube. Entre ellos figura el nivel denominado SEAL-3, relacionado con la resiliencia digital y con la exigencia de evitar que determinadas dependencias de suministro respecto de terceros países puedan interrumpir los servicios, la tecnología o las operaciones. Este criterio resulta especialmente significativo porque demuestra que la Comisión no reduce la soberanía de la nube a la ubicación de los datos: también considera la capacidad de resistir interrupciones asociadas a dependencias externas. La Unión Europea ha reconocido en sus propios criterios de contratación que la soberanía tecnológica debe incluir garantías de continuidad frente a dependencias extracomunitarias. No puede atribuirse automáticamente un nivel SEAL determinado a la oferta de Telefónica y Google Cloud sin una evaluación específica, pero la comparación sí permite formular una pregunta objetiva: qué garantías ofrece esa solución respecto de la continuidad operativa y de la dependencia de los componentes tecnológicos suministrados por Google Cloud. La existencia de controles locales de cifrado no responde, por sí sola, a esa cuestión.
La preocupación europea por estas dependencias tampoco se limita a los documentos estratégicos. En el sector financiero, el Reglamento (UE) 2022/2554 sobre resiliencia operativa digital, conocido como DORA, aplicable desde el 17 de enero de 2025, establece obligaciones para reforzar la capacidad de las entidades financieras de prevenir, resistir, responder y recuperarse de incidentes tecnológicos. El reglamento presta atención expresa a los riesgos derivados de proveedores externos de servicios de tecnologías de la información y la comunicación. Su existencia confirma que la Unión considera estas dependencias una cuestión relevante para la estabilidad operativa del sistema financiero. La caída de Revolut no acredita por sí misma un incumplimiento de DORA, pero ilustra el tipo de riesgo cuya gestión exige el marco regulatorio. La externalización tecnológica no elimina la responsabilidad de las entidades financieras de gestionar los riesgos que afectan a la continuidad de sus servicios. Y, desde una perspectiva más amplia, la regulación de esos riesgos no equivale a disponer de autonomía tecnológica europea: una norma puede imponer obligaciones de resiliencia sin modificar necesariamente la procedencia o el control de la infraestructura utilizada. Europa ha avanzado en el reconocimiento y la regulación de sus dependencias digitales, pero regular una dependencia no significa haberla superado.
Esta es la cuestión política y estratégica que enlaza los dos acontecimientos de 2026 con el informe Niinistö. La transformación digital ha permitido que bancos, empresas y administraciones accedan a infraestructuras tecnológicas de gran capacidad, pero también ha concentrado funciones esenciales en plataformas proporcionadas por un número limitado de grandes operadores. Cuando esos operadores son extracomunitarios, la dependencia incorpora una dimensión adicional de autonomía estratégica, aunque ello no convierta automáticamente cada contrato en un riesgo inaceptable. La evaluación debe centrarse en la criticidad del servicio, el grado de dependencia, las alternativas disponibles y la capacidad efectiva de mantener la actividad ante una interrupción. Lo que Niinistö reclama no es aislamiento tecnológico, sino una Europa menos vulnerable y con mayor capacidad de actuación sobre las tecnologías de las que depende. Desde esa perspectiva, el incidente de Revolut constituye una advertencia práctica y el acuerdo de Telefónica una oportunidad para exigir mayor precisión sobre lo que se entiende por soberanía digital. No basta con incorporar controles europeos a una plataforma extranjera para concluir que se ha reducido de manera suficiente la dependencia estratégica que esa misma plataforma representa.
La crítica, por tanto, no necesita atribuir a Google Cloud responsabilidades que no hayan sido acreditadas ni cuestionar la legalidad del acuerdo entre Telefónica y el proveedor estadounidense. Tampoco exige sostener que una infraestructura europea estaría libre de averías. Su fundamento es más sólido: la soberanía tecnológica se refiere a la capacidad efectiva de controlar y mantener las funciones críticas, mientras que la residencia de datos y la custodia de claves resuelven solo determinadas dimensiones de ese objetivo. Revolut ha demostrado que una interrupción del proveedor puede trasladarse directamente a los usuarios de un servicio financiero. Telefónica y Google Cloud han anunciado una solución que mejora ciertos mecanismos de control local, pero mantiene al proveedor estadounidense como suministrador de la infraestructura. Y el informe Niinistö, publicado casi dos años antes, ya había situado la reducción de dependencias críticas entre las prioridades de la seguridad europea. La comparación no demuestra que todas las iniciativas empresariales deban rechazarse, pero sí evidencia la necesidad de juzgarlas por su capacidad real para reducir vulnerabilidades y no únicamente por la denominación comercial que reciben.
La conclusión es clara: Europa no puede confundir la protección de sus datos con el control de su infraestructura tecnológica, ni presentar como autonomía estratégica una dependencia que continúa siendo esencial para el funcionamiento del servicio. La caída de Revolut ha mostrado las consecuencias de esa dependencia cuando se produce una interrupción. El acuerdo entre Telefónica y Google Cloud pone de manifiesto que el concepto de «nube soberana» puede aplicarse a soluciones que mantienen componentes fundamentales bajo el control de un proveedor extracomunitario. Y el informe Niinistö proporciona el criterio para valorar ambos hechos: la resiliencia europea exige reducir las dependencias críticas y preservar la capacidad de mantener las funciones esenciales en situaciones adversas. La soberanía digital no se acredita por el lugar donde se almacenan los datos ni por la nacionalidad de quien custodia sus claves, sino por el grado de control efectivo, autonomía y continuidad que Europa puede garantizar sobre los sistemas de los que depende. Mientras esa diferencia no se refleje con claridad en las decisiones tecnológicas y en la forma de presentar sus resultados, seguirá existiendo una distancia entre la soberanía digital que proclaman las instituciones europeas y la dependencia operativa que revelan los hechos.
LA SOBERANÍA DE PAPEL: CUANDO LA DEPENDENCIA SE CONVIERTE EN UNA DECISIÓN ESTRATÉGICA
La historia de Thomas Cook, con la que comienza este artículo, encierra una advertencia que ninguna gran empresa debería permitirse ignorar. Una compañía con 178 años de existencia terminó desapareciendo después de una prolongada crisis financiera en la que las restricciones impuestas por algunos de los proveedores de servicios de los que dependía agravaron sus dificultades para seguir operando. Thomas Cook no quebró exclusivamente por aquellas decisiones externas, pero su caso dejó una enseñanza que trasciende al sector turístico: cuando una empresa entrega a terceros el control de recursos indispensables para su funcionamiento, también acepta que decisiones y circunstancias ajenas puedan comprometer su propia supervivencia. La dependencia puede parecer una ventaja mientras todo funciona. El problema aparece cuando deja de funcionar y la compañía descubre que no dispone de capacidad suficiente para resolver por sí misma aquello que resulta esencial para su negocio.
El 20 de octubre de 2026, Revolut ofreció una demostración mucho más próxima al mundo digital. Una avería eléctrica en la infraestructura londinense de Google Cloud terminó afectando al acceso a cuentas y a determinadas operaciones bancarias de sus clientes. No desapareció el dinero, no se acreditó un ataque informático y no existe fundamento para presentar aquel incidente como una quiebra de la entidad. Pero ocurrió algo que ninguna empresa financiera puede considerar secundario: sus clientes comprobaron que la disponibilidad de un servicio en el que habían depositado su confianza dependía del funcionamiento de una infraestructura que la entidad no controlaba directamente. La incidencia fue temporal, pero puso a prueba uno de los activos más delicados de cualquier marca financiera: la confianza en que sus servicios estarán disponibles cuando el cliente los necesite. No disponemos de una medición que permita cuantificar el daño reputacional sufrido por Revolut, pero el riesgo para su imagen resulta evidente. Una empresa puede recuperarse técnicamente de una avería mucho antes de recuperar por completo la confianza de quienes la han padecido.
Y es precisamente aquí donde la posición de Telefónica merece una crítica especialmente severa. Bajo la presidencia de Marc Murtra, la compañía ha presentado, junto con Google Cloud, una oferta de «nube soberana» en España. El acuerdo incorpora mecanismos de residencia de datos y control criptográfico que pueden resultar valiosos, pero mantiene al proveedor estadounidense como suministrador de la infraestructura tecnológica subyacente. Eso no equivale a independencia tecnológica europea. Equivale a incorporar determinadas garantías europeas a una plataforma que continúa dependiendo de un operador extracomunitario. La distinción no es un tecnicismo ni una disputa semántica. Es la diferencia entre controlar determinados aspectos de la información y disponer de autonomía efectiva sobre los sistemas que permiten utilizarla.
Murtra no puede ser considerado responsable de la avería sufrida por Google Cloud ni de las consecuencias que tuvo para Revolut. Tampoco sería riguroso afirmar que la solución anunciada por Telefónica vaya a sufrir necesariamente una interrupción semejante: utiliza una región de infraestructura situada en Madrid y no conocemos todos sus mecanismos de continuidad. Pero precisamente por eso la responsabilidad de la dirección de Telefónica es explicar qué autonomía garantiza realmente su oferta, qué dependencias mantiene y qué ocurriría si determinados servicios esenciales del proveedor dejaran de estar disponibles. Cuando se utiliza una expresión tan cargada de significado estratégico como «nube soberana», no basta con enumerar controles sobre los datos. Es necesario demostrar hasta dónde llega esa soberanía y, sobre todo, dónde termina.
Lo grave no es que Telefónica colabore con una empresa estadounidense. La colaboración internacional puede ser legítima, rentable y técnicamente conveniente. Lo difícilmente justificable es utilizar la soberanía europea como argumento comercial sin ofrecer, con la misma claridad, una explicación de los límites de la dependencia tecnológica que permanece. Después de lo ocurrido con Revolut, la cuestión adquiere una urgencia todavía mayor. El incidente no demuestra que la oferta de Telefónica sea insegura, pero sí convierte en ineludible una pregunta: ¿qué capacidad real tendría una organización que contratase esa nube para mantener sus funciones críticas si fallaran los componentes de Google Cloud de los que depende? La respuesta no puede deducirse de la ubicación de los servidores ni de la nacionalidad de quien custodia las claves de cifrado.
Y frente a esa pregunta, lo que falta es una explicación pública suficientemente concreta. No cabe convertir esa ausencia de información detallada en la afirmación de que Murtra o Telefónica no hayan realizado ninguna evaluación interna, porque no tenemos pruebas para sostenerlo. Pero tampoco corresponde al ciudadano, al cliente o al observador aceptar por fe una promesa de soberanía cuya dimensión operativa no ha quedado demostrada. El silencio sobre los límites de una dependencia no elimina la dependencia: únicamente impide conocer con precisión sus consecuencias. Una empresa que aspira a desempeñar un papel central en la autonomía digital europea debería ser la primera interesada en explicar qué controla, qué no controla y qué alternativas ofrece cuando su proveedor tecnológico deja de responder.
El contraste con el informe Niinistö resulta incómodo. En 2024, la Comisión Europea recibió una advertencia sobre la necesidad de reducir las dependencias críticas y preservar la capacidad de Europa para controlar las tecnologías esenciales. Dos años después, una avería de Google Cloud ha vuelto a mostrar que la continuidad de determinados servicios europeos puede verse alterada por incidencias en infraestructuras externas. Y, entretanto, Telefónica presenta una oferta de soberanía digital que sigue descansando sobre tecnología suministrada por ese mismo proveedor. No se trata de equiparar dos arquitecturas diferentes ni de atribuirles idénticos riesgos, sino de señalar una contradicción estratégica que exige respuestas: Europa proclama la necesidad de reducir dependencias mientras algunas de sus principales compañías siguen comercializando como soberanas soluciones que las conservan.
La responsabilidad de Marc Murtra no consiste en prometer que nunca habrá una avería. Nadie puede garantizarlo. Consiste en no confundir a los clientes ni a la opinión pública sobre el alcance de la autonomía que Telefónica está en condiciones de ofrecer. Si la soberanía anunciada se limita a determinados controles sobre los datos, debe decirse con todas sus letras. Si existen garantías adicionales de independencia operativa, mecanismos de sustitución o planes de continuidad frente a la indisponibilidad del proveedor, deberían explicarse con suficiente precisión para que puedan ser evaluados. Lo que no resulta aceptable desde una perspectiva de transparencia estratégica es que la palabra «soberanía» transmita una impresión de autonomía que las características públicas del acuerdo, por sí solas, no permiten acreditar.
Thomas Cook recordó que una dependencia esencial puede agravar una crisis hasta contribuir al final de una empresa. Revolut ha demostrado que una dependencia tecnológica puede trasladar una avería ajena directamente a los clientes y poner a prueba la confianza depositada en una marca. Telefónica debería extraer de ambos casos una conclusión elemental: el control de una actividad crítica no se demuestra con declaraciones de intenciones, sino con capacidad efectiva para sostenerla cuando falla aquello de lo que depende.
Señor Murtra: la soberanía digital europea no puede reducirse a una etiqueta comercial colocada sobre una infraestructura estadounidense. Si Telefónica quiere presentarse como garante de esa soberanía, debe explicar qué independencia ofrece realmente y qué dependencias sigue trasladando a sus clientes. Porque una soberanía que necesita que otro mantenga encendida la infraestructura para poder ejercerse es, como mínimo, una soberanía incompleta.
Y una soberanía incompleta, presentada sin explicar sus límites, corre el riesgo de convertirse en algo mucho más preocupante: soberanía de papel.
Ya lo dijo Séneca: «Quien depende de otro no es libre».
No hay comentarios:
Publicar un comentario