Últimas noticias cloud & cyber.

Reino Unido pone a AWS, Microsoft, Google Cloud y Oracle bajo supervisión financiera directa: arranca el régimen de Critical Third Parties

Desde hoy, 13 de julio, el Banco de Inglaterra, la PRA y la FCA supervisan conjuntamente a los cuatro hyperscalers designados por el Tesoro británico como Critical Third Parties del sistema financiero. Los reguladores podrán evaluar su resiliencia operativa, exigir información y establecer requisitos sobre los servicios críticos que prestan a bancos, aseguradoras e infraestructuras de mercado. El régimen se limita a los servicios considerados críticos, no al conjunto del negocio de los proveedores, y contempla remediación obligatoria y medidas de enforcement si no demuestran capacidad de resistir disrupciones severas pero plausibles.

Mi lectura técnica

El BCE exige a los 113 grandes bancos de la zona euro un plan contra los ciberriesgos de la IA antes del 31 de octubre

Claudia Buch, presidenta del Consejo de Supervisión del BCE, ha remitido una carta a los CEO de las 113 entidades significativas — Santander y BBVA incluidas — exigiendo un plan de acción frente a los riesgos de ciberseguridad amplificados por la IA generativa. El supervisor advierte de que los nuevos modelos identifican vulnerabilidades de software a una velocidad que comprime el tiempo entre descubrimiento y explotación masiva, y lo califica de "cambio estructural en el panorama de amenazas". Pide seguridad por diseño, parcheo en días en lugar de meses y capacidad de aislamiento y recuperación rápida. Para liberar recursos, aplaza a febrero de 2027 el cuestionario anual de riesgo tecnológico.

Mi lectura técnica

La Generalitat licita una nube pública soberana de 481 M€: datos sanitarios y fiscales bajo jurisdicción europea en 2027

La Generalitat de Catalunya ha anunciado la licitación de una nube pública soberana con una inversión de 481 millones de euros, enmarcada en su estrategia de autonomía tecnológica (ESTRATEC). La adjudicación está prevista para finales de 2026 y la infraestructura, operativa en el tercer trimestre de 2027, alojará los datos más sensibles — historiales clínicos de La Meva Salut, información fiscal, autorizaciones ambientales — con el sello SEAL 3, que acredita operación sin dependencia de terceros países. El plan reequilibra el ecosistema digital catalán: la nube soberana absorberá el 40% de los servicios, frente al 30% de nube privada y el 30% de nube pública convencional.

Mi lectura técnica

NIS2 sigue sin transponerse en España: segundo requerimiento de Bruselas y la ley aún en el Congreso

La Comisión Europea envió en mayo un segundo requerimiento formal exigiendo a España transponer la directiva NIS2 "con urgencia", y a estas alturas la Ley de Coordinación y Gobernanza de la Ciberseguridad sigue en tramitación parlamentaria. Mientras tanto, España registró más de 122.000 incidentes de ciberseguridad en 2025, un 26% más que el año anterior. Las entidades esenciales se exponen a multas de hasta 10 M€ o el 2% de la facturación global, con responsabilidad personal del órgano de dirección.

Esperar a la ley española es un error que ya vimos con DORA: la directiva define las obligaciones desde 2024 y el supervisor no va a aceptar "estábamos esperando al BOE" como plan de cumplimiento. Gestión de riesgos de terceros, notificación de incidentes en 24/72 horas y formación del consejo se pueden — y deben — construir ya.

El Consejo aprueba definitivamente el Digital Omnibus: el alto riesgo del AI Act se aplaza al 2 de diciembre de 2027

Tras la ratificación del Parlamento el 16 de junio, el Consejo de la UE dio el 29 de junio su visto bueno definitivo al paquete de simplificación del AI Act. Las obligaciones de los sistemas de alto riesgo del Anexo III — scoring crediticio, tarificación de seguros de vida y salud — se aplazan al 2 de diciembre de 2027. Las obligaciones de transparencia del artículo 50 mantienen su fecha: 2 de agosto de 2026.

"El AI Act se retrasa" es el titular más peligroso del verano: lo que entra en vigor en agosto afecta a cualquier chatbot de banca o seguros, y el expediente de alto riesgo no se monta en dos trimestres. Publiqué el análisis completo con el calendario antes/después y el plan de trabajo por fases.

La integración vertical de IA redefine la batalla entre hyperscalers — y el multicloud alcanza el 89% de adopción enterprise

AWS lanza la familia Connect de aplicaciones de negocio y Amazon Quick, Google consolida los anuncios de Cloud Next y Microsoft presenta en Build novedades como Azure HorizonDB (PostgreSQL gestionado para aplicaciones de IA, en public preview). Los tres compiten ya por el stack completo de IA — del silicio a la aplicación — mientras la adopción multicloud entre grandes empresas sube del 76% (2024) al 89%.

La consecuencia práctica para el arquitecto enterprise: la elección ya no es "qué cloud" sino "qué capa de cada cloud". Y eso convierte la gobernanza multicloud — identidad, FinOps, seguridad transversal — en la competencia más cotizada del mercado.

La UE publica el Cloud and AI Development Act (CADA): triplicar la capacidad computacional europea antes de 2035

La Comisión Europea ha publicado la propuesta del Reglamento CADA con el objetivo de triplicar la capacidad computacional de la UE antes de 2035 y reducir la dependencia de proveedores de terceros países. El reglamento se integra con el AI Act, RGPD, Data Act y Chips Act 2.0, y añade nuevas exigencias en cuatro pilares: infraestructura soberana, continuidad operativa, portabilidad y acceso a datos bajo jurisdicción europea.

El CADA cambia las reglas del juego para los equipos que diseñan arquitecturas cloud en sectores regulados europeos — y lo hace antes de que el Parlamento lo apruebe. Las organizaciones que esperaron al RGPD, al AI Act o al DORA para empezar a adaptarse pagaron el precio en negociación contractual y deuda técnica. Las implicaciones concretas son cuatro: el multicloud deja de ser opcional en sectores críticos, las Landing Zones necesitan una capa de cumplimiento CADA, la elección de región cloud se convierte en decisión regulatoria, y los contratos Enterprise con hyperscalers americanos necesitan revisión. Publiqué un análisis técnico completo con la hoja de ruta de cumplimiento en cuatro fases.

EE.UU. veta la distribución global de Claude Fable 5 y Mythos 5 por control de exportaciones: Anthropic retira los modelos fuera de sus fronteras

El Gobierno de Estados Unidos ha ordenado a Anthropic retirar Claude Fable 5 y Mythos 5 del mercado internacional por una directiva de control de exportaciones. El detonante declarado fue la detección por parte de Amazon de un posible jailbreak "no universal" en Fable 5, sin que se haya publicado evidencia técnica detallada. Fable 5 estuvo disponible públicamente durante días antes de la retirada; Mythos 5, su variante más restringida, nunca llegó a distribuirse fuera de partners aprobados. El resto de la familia Claude —Sonnet, Opus en versiones anteriores— no se ha visto afectada.

Fable 5 estuvo disponible el tiempo suficiente para compararlo con generaciones anteriores en casos reales —auditorías de arquitectura, revisión de contenido técnico, análisis de configuraciones cloud— y la diferencia en profundidad de razonamiento y consistencia en tareas largas era perceptible incluso en sesiones cortas. Lo relevante no es el incidente en sí, sino su causa: la retirada no fue una decisión técnica de Anthropic, sino una directiva de control de exportaciones del Gobierno de EE.UU. Para equipos que dependen de IA en flujos críticos, este episodio es un argumento concreto a favor de estrategias multi-modelo y multi-proveedor. El riesgo regulatorio en el país de origen del modelo es tan real como el riesgo de disponibilidad técnica —y hasta ahora pocas organizaciones lo tienen en su matriz de riesgos.

El gusano Miasma compromete 73 repositorios de Microsoft en GitHub y fuerza su desactivación en bloque

El gusano Miasma ha protagonizado el ataque de supply chain más significativo del año contra Microsoft: 73 repositorios de GitHub bajo las organizaciones Azure, Azure-Samples, Microsoft y MicrosoftDocs quedaron comprometidos. El punto de entrada fue un commit malicioso inyectado en el repo Azure/durabletask mediante una cuenta con acceso legítimo. GitHub deshabilitó los repositorios afectados de forma preventiva mientras Microsoft investiga el alcance del incidente.

El gusano Miasma es un recordatorio de que la cadena de suministro de software (SSCS) es el nuevo perímetro en entornos cloud. En los proyectos de Zero Trust hemos reforzado el control de integridad de repositorios, el firmado de commits y las políticas de acceso condicional a pipelines CI/CD. GitHub Actions ya no puede tratarse como un entorno de confianza implícita: es superficie de ataque crítica. El firmado de artefactos con Sigstore y la validación de procedencia de dependencias son controles que cada vez más clientes del sector financiero nos exigen desde el diseño.

AWS expande su alianza con OpenAI: GPT-5.5, Codex y Managed Agents llegan a Amazon Bedrock

En el evento "What's Next with AWS 2026", Amazon Web Services anunció la expansión de su acuerdo con OpenAI para llevar GPT-5.5, Codex y Managed Agents a Amazon Bedrock en preview limitada. La plataforma también presentó Amazon Quick —asistente de IA empresarial con aplicación de escritorio e integraciones nativas— y cuatro nuevas soluciones de IA agéntica para cadena de suministro, contratación, experiencia de cliente y atención sanitaria. AWS cerró el primer trimestre de 2026 con un crecimiento del 28% en ingresos, alcanzando los 37.590 millones de dólares.

La integración de GPT-5.5 y Managed Agents en Bedrock refuerza la tesis del multi-model en cloud: las organizaciones ya no eligen entre un proveedor de IA y un proveedor de infraestructura, sino que gestionan una cartera de modelos desde una plataforma unificada con SLA. Vemos cómo los equipos de arquitectura demandan cada vez más frameworks que permitan cambiar o combinar modelos sin reescribir la lógica de negocio. Bedrock Managed Agents y Azure AI Foundry apuntan exactamente a esa abstracción. El crecimiento del 28% de AWS confirma que la apuesta por IA enterprise no es un ciclo de hype —es ya P&L medible en todos los hiperescalares.

Google Cloud Next 2026: Gemini 3.1 Pro en Vertex AI y la infraestructura de IA que se auto-repara

Google Cloud Next 2026 ha centrado su narrativa en la era de la IA agéntica: Gemini 3.1 Pro ya está disponible en preview en Vertex AI y Google Gemini Enterprise, describiendo una generación notablemente más capaz para razonamiento complejo. El anuncio más llamativo es la infraestructura de IA "auto-reparable" que detecta automáticamente nodos defectuosos, los sustituye y reanuda el entrenamiento sin intervención humana, eliminando costes operativos de infraestructura. También se anunció la integración de Datastream con Knowledge Catalog para una gestión unificada de activos de datos.

El concepto de infraestructura auto-reparable para cargas de IA es exactamente el tipo de resiliencia operativa que el sector financiero y asegurador necesita para poner IA agéntica en producción real. Llevar ese nivel de operabilidad autónoma a Vertex AI eleva el listón para todos los hiperescalares y confirma que el diferencial competitivo de GCP en 2026 está en la capa de plataforma gestionada, no en el modelo base. Para los CIOs que evalúan estrategias multicloud, la madurez de Vertex AI como plataforma MLOps end-to-end ya es un argumento sólido junto a Azure ML y SageMaker.

Microsoft Build 2026: Azure AI Foundry como protagonista de la keynote del 2 de junio

La conferencia Microsoft Build 2026, que arranca el 2 de junio, tendrá a Azure AI Foundry como hilo conductor de todo el catálogo de sesiones. La plataforma ya admite modelos de OpenAI, Anthropic, Mistral y DeepSeek, y se consolida como el hub principal para el desarrollo de agentes de IA enterprise. El evento marcará el ritmo de la estrategia de Microsoft en IA para el segundo semestre del año.

Azure AI Foundry es ya la plataforma de referencia para orquestar agentes y flujos de trabajo de inteligencia artificial. La capacidad de seleccionar entre múltiples modelos fundacionales —OpenAI, Anthropic, Mistral, DeepSeek— desde una única plataforma gestionada reduce enormemente la complejidad operativa y el time-to-market. El Build 2026 será clave para conocer el roadmap de capacidades agénticas y el modelo de precios para el próximo año.

Microsoft Defender aísla automáticamente dispositivos hackeados para frenar ataques: respuesta a incidentes sin intervención humana

Microsoft está probando en Defender for Endpoint una función que aísla automáticamente los dispositivos comprometidos para contener ataques y limitar el movimiento lateral dentro de la red corporativa. La capacidad opera sin intervención humana en el momento inicial del incidente, lo que supone un salto significativo en las capacidades de respuesta automatizada integradas nativamente en el stack de seguridad de Microsoft 365.

La automatización de la respuesta a incidentes es una de las piezas más críticas en cualquier estrategia de ciberseguridad cloud. Defender for Endpoint ya es la base del EDR en clientes enterprise. La capacidad de aislar dispositivos automáticamente reduce drásticamente el tiempo de contención —que hoy sigue siendo de horas o días en muchas organizaciones— y refuerza la postura de seguridad sin depender de la disponibilidad del equipo SOC en tiempo real.

Gestionas servidores on-premise, VMs en Azure y algún clúster Kubernetes en AWS. Tres consolas. Tres modelos de gobernanza.

Azure Arc como plano de control único para infraestructura híbrida y multicloud: cómo consolidar visibilidad, políticas y seguridad en un único punto sin mover las cargas. Artículo técnico sobre el caso real en una aseguradora. #Azure #AzureArc #Seguros

En el evento "What's Next with AWS 2026", Amazon anunció la integración de GPT-5.5, Codex y Managed Agents de OpenAI a Amazon Bedrock

El multi-model cloud ya es realidad enterprise. Las implicaciones para arquitecturas de IA en sectores regulados: seleccionar entre modelos fundacionales desde una plataforma gestionada reduce time-to-market y complejidad operativa. #AWS #Bedrock #GenAI

La UE lanza un plan de soberanía tecnológica para vetar a empresas de EEUU y China el acceso a datos europeos

Una iniciativa que reencuadra el debate sobre Cloud Act, residencia de datos y soberanía operativa. Para los CIOs de sectores regulados en Europa, la certificación ENS es condición necesaria — pero no suficiente. #CloudSoberana #SoberaníaDigital #ENS

Problema real de producción: una aseguradora multinacional con 12 sistemas legacy heterogéneos

Cómo una plataforma Agentic AI con Model Context Protocol (MCP) resuelve la integración de sistemas heredados en seguros sin reescribir el core. El caso del proyecto 011 explicado en detalle. #Azure #IA #CloudComputing

Un auditor del BCE delante preguntando por el modelo de recuperación de datos en menos de cuatro horas

Cómo una Enterprise Landing Zone bien diseñada no solo cumple DORA y ENS — te saca del apuro cuando el auditor llega sin avisar. #Azure #LandingZone #Banca #CloudSecurity

AWS Partner Summit 2026 — Stand lleno con el mensaje de Modernize Your Legacy

Un día de esos que recuerdas cuando vuelves a casa con las pilas cargadas. El mensaje que más resuena en banca y seguros este año. #AWSPartnerSummit #MainframeModernization #LegacyModernization

En el AWS Partner Summit me crucé con el responsable de operaciones de una aseguradora española

De 22 días a 4,2 de tramitación de siniestros con AgentCore. La conversación que acaba en artículo técnico. #AgentCore #Seguros #AmazonBedrock #InsurTech

La factura cloud llegó un 60% por encima del presupuesto. El CFO quería explicaciones.

Nadie sabía cuánto gastaba cada equipo. Lo que funcionó: tagging obligatorio primero, reservas después. FinOps no es una herramienta, es un orden de operaciones. #FinOps #CloudCost #Multicloud

Mesa Redonda de CTOs en el AWS Partner Summit 2026 — Madrid, 3 de junio

Ponente en la mesa redonda de CTOs del AWS Partner Summit 2026. Modernización de legacy, IA agéntica y cloud transformation en sectores regulados. #AWSPartnerSummit