Este artículo es mi lectura de la noticia, no un resumen: qué se ha acreditado, qué no, y qué decisiones abre para quien trabaja con información clasificada en el sector público y la defensa.
1. Qué se ha acreditado
El 15 de octubre de 2026 el CCN y la Oficina Nacional de Seguridad (ONS), ambos organismos del CNI, anunciaron que, junto con Amazon Web Services y Microsoft, han acreditado sus infraestructuras en España y aprobado los servicios de seguridad incluidos en el CPSTIC para tratar información NATO RESTRICTED (NR) y DIFUSIÓN LIMITADA (DL) (nota del CCN-CERT). Según el CCN, España es el primer país en alcanzar ambos hitos y la primera nación de la Alianza con centros de datos capaces de ejecutar cargas DL y NR en nube pública.
Los puntos de la nota que más importan para entender el alcance:
- El proceso no fue un trámite. Incluyó auditorías de seguridad, la evaluación de los servicios de seguridad por el equipo del CPSTIC y la revisión de los centros de datos en España por equipos de inspección combinados del CCN y la ONS. Se prolongó durante varios años.
- Parte de una base previa: la certificación de los proveedores en el Esquema Nacional de Seguridad (ENS) en categoría ALTA y la evaluación de numerosos servicios de seguridad con la metodología CICLON, para su inclusión en el CPSTIC.
- Destinatarios: organismos públicos y de defensa, que podrán desplegar «con mayores garantías» sistemas que manejen información clasificada. El CCN subraya además que ofrece una base de seguridad común para procesos equivalentes en otros países de la OTAN.
Los comunicados de los propios proveedores añaden matices de alcance. Microsoft habla de la región Spain Central y de servicios de seguridad como identidades, accesos privilegiados, clasificación y protección de la información, prevención de pérdida de datos, cifrado y gestión de claves, y monitorización y respuesta (Microsoft Source EMEA, 9 de octubre). En el caso de AWS, la información publicada el 23 de septiembre cita 28 servicios y funcionalidades de seguridad aprobados (26 de seguridad y dos de infraestructura básica: Amazon EC2 y Amazon S3) y precisa que cada organización cliente debe acreditar sus propios sistemas (tenants) conforme a CCN-STIC-004 y a los requisitos de la ONS (Digital Security Magazine).
2. Tres capas, y solo dos están hechas
La noticia puede leerse mal como «ya puedo poner información clasificada en la nube». El modelo real tiene tres capas:
| Capa | Qué se acredita | Estado | Responsable |
|---|---|---|---|
| 1. Infraestructura | Región cloud y centros de datos en España | Acreditada (DL y NR) | Proveedor, con CCN y ONS |
| 2. Servicios de seguridad | Identidad, claves, cifrado, monitorización… | Aprobados los incluidos en el catálogo acreditado | Proveedor, con CCN y ONS |
| 3. Sistema del cliente | Tu tenant, tu arquitectura, tus procedimientos | Pendiente en cada organización | Tú |
La acreditación de las dos primeras capas quita un obstáculo enorme, pero no sustituye a la tercera. Es el mismo patrón que ya vimos con el ENS, que de hecho es la base sobre la que se construye este paso: la certificación de la plataforma es condición necesaria, no suficiente (lo desarrollé en Nube soberana en España: ENS Categoría Alta en Azure).
3. Lo que me parece más relevante
3.1 El catálogo acotado es la letra pequeña
Lo acreditado es la región y una lista concreta de servicios. En el caso de AWS, según lo publicado, solo dos servicios de infraestructura básica (cómputo y almacenamiento) figuran junto a los de seguridad. Mi lectura, a validar contra el CPSTIC: los servicios gestionados de datos, analítica o IA que no aparezcan en el catálogo acreditado no deben darse por válidos para información clasificada. Antes de diseñar, hay que cruzar la arquitectura objetivo con la lista aprobada, servicio a servicio.
3.2 Las claves siguen decidiendo quién manda
Entre los servicios aprobados están el cifrado y la gestión de claves. Para información clasificada, la pregunta de arquitectura es quién custodia las claves, dónde y con qué procedimiento de recuperación y destrucción. Esa decisión determina en la práctica la tercera capa y es donde más conviene invertir diseño.
3.3 Soberanía operativa no es soberanía jurisdiccional
Que ambas infraestructuras estén en España y acreditadas por autoridades españolas y de la OTAN es un avance claro en control operativo. Pero ambos proveedores son compañías estadounidenses, y el debate sobre jurisdicción (la CLOUD Act) sigue siendo una decisión de riesgo que cada organización debe documentar, no una cuestión que la acreditación cierre. Es una opinión personal: la acreditación reduce la incertidumbre técnica; el riesgo jurisdiccional se gestiona aparte, con controles propios y con plan de salida.
3.4 Dos proveedores acreditados abren la puerta al plan de salida
Tener dos opciones acreditadas cambia la conversación sobre dependencia: por primera vez es razonable diseñar un plan de salida entre proveedores para cargas clasificadas. Ahora bien, la portabilidad real exige no depender de servicios propietarios fuera del núcleo común y probar la salida, no solo documentarla.
3.5 El método puede exportarse
El propio CCN presenta el resultado como una base de seguridad común para facilitar procesos equivalentes en otros países de la OTAN. Si otros aliados adoptan la metodología, España pasa de aplicar un marco a proponer uno, algo poco habitual en regulación cloud.
4. A quién afecta de verdad
DL y NR son grados propios de la administración, la defensa y su cadena de proveedores. No es, en general, un asunto de banca o seguros, salvo para quien presta servicios a organismos públicos o a defensa. Para esos proveedores, la acreditación de la región puede ser la diferencia entre poder licitar con arquitectura cloud o tener que justificar una excepción.
5. Qué hacer el lunes
- Inventaría qué información es realmente DL o NR y qué sistemas la tratan hoy. Mucha información se trata como clasificada «por si acaso» y no lo es.
- Cruza tu arquitectura objetivo con el catálogo de servicios aprobados de cada región. Lo que no esté, o se rediseña o se justifica.
- Decide el modelo de claves y de identidad privilegiada antes de desplegar nada.
- Planifica la acreditación de tu propio sistema bajo CCN-STIC-004 y los requisitos de la ONS, con plazos realistas y un responsable nombrado. El calendario no depende del proveedor.
- Documenta el riesgo jurisdiccional y el plan de salida, y prueba la salida, no solo la describas.
Las opiniones expresadas en este artículo son personales.
Fuentes
Consultadas el 16 de octubre de 2026. El alcance exacto de servicios aprobados puede cambiar: conviene revalidarlo en el CPSTIC y en la documentación oficial.
- CCN-CERT. El CCN y la ONS acreditan dos infraestructuras en la nube pública para el tratamiento de información clasificada (15 de octubre de 2026)
- Microsoft Source EMEA. El CCN y la ONS acreditan la región cloud de Microsoft en España (9 de octubre de 2026)
- Digital Security Magazine. La nube de AWS en España obtiene las máximas aprobaciones para cargas clasificadas NATO Restricted y DL (23 de septiembre de 2026)