Infraestructura email para organismos del sector público que necesitan responder "no" a la pregunta de ley de tercer país

Respuesta honesta: estamos alineados con los controles pero no certificados blanket en los tres. ENS Medio es nuestra alineación de línea base para engagements del sector público español; ENS Alto es alcanzable con controles contractuales adicionales y típicamente añadidos al contrato. SecNumCloud 3.2 es un proceso de cualificación nacional francés ligado a ofertas específicas; lo cursamos por engagement cuando el organismo contratante lo requiere, con timeline típico de preparación de 4-6 meses. C5 es más cercano a un marco de auditoría de áreas de control; mantenemos documentación alineada y podemos ofrecer auditoría C5 a solicitud del organismo, típicamente completando en 3 meses.

El patrón que recomendamos a los equipos de procurement: incluir la certificación como condición-de-contrato en lugar de pre-requisito-de-licitación. Esto permite seleccionar el mejor proveedor en bases técnicas y de soberanía, y luego condicionar la adjudicación a completar la certificación en plazo definido.

Honesto: cada proveedor cloud operando en Europa hoy depende de CPUs de origen USA o Asia-Oriente en la capa de silicio. Intel Xeon y AMD EPYC para compute de servidor; los controladores de red y almacenamiento similarmente se originan fuera de la UE. El European Chips Act adoptado en 2023 está en horizonte de 5-10 años para establecer capacidad indígena europea de manufactura de silicio a escala; hasta que ese horizonte llegue, todos compartimos esta dependencia.

Lo que significa para alineación con el marco de soberanía: Objetivo 5 (soberanía de cadena de suministro) es el único objetivo donde ningún proveedor cloud UE actual puede reclamar compliance pleno. El Marco reconoce esto implícitamente tratando la soberanía de cadena de suministro como objetivo graduado en lugar de prueba de línea roja. Nuestra postura con equipos de procurement es divulgar la dependencia claramente, documentar las mitigaciones (gestión ciclo-vida hardware, diversificación de cadena de suministro, secure boot y verificación firmware), y tratar la pregunta CPU como preocupación arquitectónica sectorial.

Schrems II y Recomendaciones EDPB 01/2020 requieren que cualquier exportador de datos usando CCT a un proveedor de tercer país ejecute un TIA y añada medidas suplementarias si es necesario. Para nuestra base de clientes esta pregunta típicamente se invierte: nuestros clientes son responsables UE, nosotros somos encargados UE, no ocurre transferencia a tercer país en operación normal, así que la pregunta TIA no se dispara.

Incluimos una plantilla TIA pre-completada en nuestro paquete DPA documentando la línea base UE-only, los flujos de datos operacionales, el análisis jurisdiccional de subprocesadores, y las medidas técnicas y contractuales en vigor. Para el caso raro de cualquier procesamiento transfronterizo, el TIA se actualiza con las medidas suplementarias adicionales — pseudonimización, cifrado con claves del cliente, división de datos — para satisfacer la prueba de proporcionalidad que el EDPB requiere.

90-120 días end-to-end para una migración típica de escala ministerio-nacional. El desglose: 30 días para readiness de procurement y ejecución de contrato; 30 días para onboarding técnico incluyendo preparación DNS, generación claves DKIM, progresión DMARC a p=quarantine, warmup IP; 30 días para validación de parallel-run donde una porción de tráfico fluye por ambos proveedores; 30 días para corte completo, desmantelamiento del proveedor legado, y progresión DMARC final a p=reject.

Para despliegues mayores cross-ministerio (multi-agencia, multi-dominio) el timeline se extiende a 6-9 meses. El lado procurement típicamente toma más tiempo que el técnico: contratos del sector público UE sobre el umbral requieren procedimientos formales de licitación con periodos de standstill obligatorios.

NIS2 (Directiva UE 2022/2555) requiere a entidades "esenciales" e "importantes" reportar incidentes significativos a su autoridad competente nacional dentro de 24 horas (aviso temprano), 72 horas (notificación de incidente), y un mes (reporte final). Como proveedor cloud sirviendo clientes del sector público, estamos en scope como entidad importante en la mayoría de transposiciones nacionales.

El modelo de interacción: cuando ocurre un incidente en nuestra infraestructura que pueda afectar tus operaciones, notificamos a tu contacto operacional nombrado dentro de una hora durante horas laborables UE (2-3 horas fuera de horario), con el paquete de evidencia técnica estructurado para que tu equipo interno de clasificación determine si el incidente cumple tu umbral NIS2.

Para la mayoría de workloads del sector público — email cara a ciudadanos, notificaciones de Hacienda (AEAT, SAT, IMSS, BACEN), comunicaciones sanitarias, notificaciones judiciales, comunicaciones educativas — nuestra infraestructura estándar con el paquete procurement-ready es suficiente. Para workloads clasificados o formalmente de manejo restringido (UE RESTRICTED, UE CONFIDENTIAL, equivalentes nacionales como Difusión Limitada España), los requisitos escalan substancialmente y el modelo apropiado es despliegue dedicado con certificaciones miembro-estado-específicas.

Prácticamente: para UE RESTRICTED y abajo, nuestra infraestructura puede configurarse con controles adicionales para soportar el caso de uso. Para UE CONFIDENTIAL y arriba, la respuesta estándar es dirigir al organismo contratante a la nube nacional miembro-estado relevante (Bundescloud Alemania, Cloud Souverain Francia) en lugar de intentar encajar una nube comercial alineada con soberanía en un nivel de clasificación para el que no fue diseñada.

El procurement del sector público LATAM crecientemente refleja el marco UE de soberanía pero con anclajes jurisdiccionales diferentes. MAAGTICSI de México establece requisitos de seguridad ICT para agencias federales; SAT (autoridad tributaria) e IMSS tienen expectativas explícitas de residencia de datos y soberanía del proveedor. LGPD de Brasil más el Marco Civil da Internet establece principios de soberanía de datos ciudadanos; la ANPD ha emitido guía específica sobre procesamiento transfronterizo de datos del sector público. Colombia bajo Ley 1581 más el Plan TIC 2026 enfatiza soberanía operacional colombiana, supervisada por la SIC.

El modelo de procurement que funciona para compradores públicos LATAM que se engagen con nosotros: el ruteo de datos permanece en nuestra infraestructura UE (que satisface la mayoría de requisitos de procesamiento transfronterizo LATAM con salvaguardas contractuales apropiadas), la cadena contractual incluye una entidad legal local LATAM para compliance VAT/IVA y procurement, y el marco de soberanía está documentado en el equivalente de los 8 objetivos UE traducidos al contexto jurisdiccional LATAM. Tenemos engagements con compradores públicos en México, Colombia y Brasil estructurados así.