AWS es el primer proveedor de nube con aprobación de la OTAN para datos sensibles de la alianza – genera interrogantes sobre la dependencia digital europea

Amazon da un paso histórico hacia el mundo de la defensa

Nunca había ocurrido antes. Amazon Web Services (AWS) ha recibido, según Defense One, la aprobación general de un proveedor de servicios en nube por primera vez en el mundo de la OTAN para gestionar información clasificada como NATO RESTRICTED – un nivel de protección que, aunque no está clasificado como secreto, impone requisitos estrictos en medidas de seguridad y control de acceso.

La aprobación es el resultado de varios años de colaboración con el centro criptográfico nacional de España, el CCN, que probó metodicamente los servicios de AWS contra las directivas de seguridad de la OTAN y luego compartió sus conclusiones con todos los países miembros. Es un proceso que dice mucho sobre cómo funciona la OTAN en la práctica: un país asume el trabajo de prueba, y si se cumple, la confianza se propaga.

AWS superó en este caso a los competidores – incluyendo Microsoft y otros actores estadounidenses – en la competencia por la primera aprobación general de la alianza. No es un precedente menor.

Por qué esto sucede ahora

El trasfondo es concreto y motivado militarmente. Las fuerzas de defensa europeas integran cada vez más datos de radar, satélites y sensores acústicos para identificar amenazas más rápidamente – los drones rusos son uno de los ejemplos más citados. Esto requiere un intercambio de información rápido, confiable y aprobado entre miembros de la alianza. La infraestructura de nube ya no es una opción de conveniencia informática; es un requisito operativo.

AWS ya tenía un pie dentro de la puerta. La empresa ha gestionado durante varios años información militar y de inteligencia sensible para múltiples miembros de la OTAN. La aprobación general es, en ese sentido, no una sorpresa – es una formalización de una relación que ha crecido orgánicamente a lo largo de los años.

Como desarrollador de sistemas, es fácil entender el atractivo técnico. AWS ofrece un nivel de madurez, un alcance global y un ecosistema de herramientas de seguridad que ha tomado décadas construir. Crear una alternativa europea equivalente desde cero no es una tarea trivial – no se trata de escribir código, sino de construir confianza, procesos de certificación, infraestructura física y competencia en una escala que Europa aún no ha alcanzado completamente.

La incómoda cuestión de la autonomía digital

Pero es precisamente aquí donde duele. La UE adoptó en 2024 una ley de protección de datos que explícitamente obliga a los proveedores de servicios en nube a proteger los datos europeos del acceso de autoridades extranjeras – incluyendo sentencias judiciales estadounidenses. Es una legislación con las ambiciones correctas. El problema es que la ambición y la realidad aún no convergen.

Cuando la OTAN ahora formalmente coloca sus datos no clasificados más sensibles en la infraestructura de una empresa estadounidense, envía una señal clara: Europa aún no está lista para prescindir de la capacidad técnica estadounidense en este ámbito. No es una acusación – es un constatación.

La pregunta es qué sucede en una situación donde la geopolítica cambia aún más dramáticamente. ¿Qué pasa si la relación entre la UE y los Estados Unidos empeora? ¿Qué pasa si una sentencia judicial estadounidense colisiona con la ley europea de una manera que afecta precisamente este tipo de datos? Esas preguntas no son hipotéticas – son una parte natural del análisis de riesgos para cualquier analista de seguridad que haga su trabajo correctamente.

El camino hacia adelante para Europa

Hay iniciativas europeas en marcha – GAIA-X es la más conocida, pero el proyecto ha tenido dificultades para cumplir sus ambiciones en la práctica. Las iniciativas existen, la voluntad existe, pero aún faltan escalabilidad y velocidad.

Como desarrollador de sistemas, sin embargo, veo la posibilidad más que el punto muerto. El hecho de que AWS fue aprobado para NATO RESTRICTED – y no para información de clasificación superior – muestra que existe una línea de demarcación deliberada. Es una decisión pragmática, no ingenua. Y ese proceso, con el CCN como revisor técnico y los países de la OTAN como receptores comunes de las conclusiones, es de hecho un modelo razonablemente bueno para construir confianza de manera sistemática.

Pero es una razón para actuar, no un argumento para detenerse aquí.