No preguntamos solo si existe un control. Preguntamos cómo se demuestra.
Transformamos fuentes oficiales, contratos y problemas empresariales en preguntas, evidencias, riesgos y recomendaciones. Una afirmación verbal y una capacidad probada no tienen el mismo valor.
La metodología conserva la relación entre lo que preguntamos, por qué lo preguntamos y qué prueba sostiene la conclusión.
Fuente → requisito → pregunta → evidencia → riesgo → recomendación.
No acumulamos normativa ni marcos técnicos por prestigio. Los convertimos en decisiones que una empresa pueda entender y utilizar.
Seis dimensiones para entender dónde se concentra la dependencia.
Utilizamos como referencia la estructura de los seis primeros objetivos de soberanía del Cloud Sovereignty Framework europeo y de C3A. La adaptación al diagnóstico empresarial y su puntuación forman parte de nuestra metodología propia.
Control estratégico
Quién controla al proveedor, qué decisiones pueden afectar al servicio y qué alternativas conserva la organización.
Jurisdicción
Qué entidades y marcos jurídicos afectan al servicio, a los contratos, a los datos y a los accesos.
Datos e IA
Dónde se almacenan y procesan los datos, quién accede y qué autonomía existe sobre capacidades de IA.
Operación
Capacidad real de operar, mantener, recuperar y migrar sin una dependencia insustituible.
Cadena de suministro
Proveedores, subproveedores, componentes y servicios de segundo nivel que sostienen la solución.
Tecnología
APIs, estándares, licencias, documentación, interoperabilidad y elementos que crean o reducen lock-in.
Seguridad no compensa dependencia. Sostenibilidad tampoco.
El Cloud Sovereignty Framework incluye además SOV-7 —seguridad y cumplimiento— y SOV-8 —sostenibilidad ambiental—. En nuestra metodología se muestran como capas separadas para evitar que una buena puntuación en seguridad o sostenibilidad oculte una autonomía tecnológica débil.
Seguridad y resiliencia
Certificaciones, operaciones de seguridad, respuesta, monitorización, parcheado, auditoría y controles relacionados.
Sostenibilidad
Energía, eficiencia, circularidad y otros factores ambientales cuando sean materiales para el alcance analizado.
Lo que una empresa dice tener no vale lo mismo que lo que puede probar.
Trabajamos con dos escalas separadas: madurez de la capacidad y fuerza de la evidencia. La valoración verificada nunca puede superar la evidencia disponible.
Derecho contractual, capacidad técnica y prueba real son tres cosas distintas.
«Podemos exportar»
El contrato o la documentación reconoce una función de exportación.
«Sabemos cómo exportar»
La empresa conoce el procedimiento, formatos, límites y recursos necesarios.
«Lo hemos probado»
Existe una exportación real y sabemos si los datos pueden utilizarse fuera del proveedor.
La metodología se construye desde fuentes oficiales, no desde etiquetas comerciales.
Entre las referencias actuales están el Cloud Sovereignty Framework de la Comisión Europea, BSI C3A, el Data Act y la propuesta CADA. Cada una tiene naturaleza y efectos distintos.
No presentamos nuestra puntuación como una certificación oficial.
Nuestros pesos, umbrales y forma de agregar hallazgos son herramientas metodológicas propias y se revisan de forma continua. No equivalen a una puntuación oficial de la Comisión, a un nivel SEAL, a una evaluación C3A ni a una futura certificación CADA.
