Qué exigen realmente los compradores públicos italianos en la contratación de nube

Los compradores del sector público italiano hablan menos de «sovranità» de lo que sugiere el marketing que la rodea. Lo que aparece de verdad en los pliegos de nube de la administración central —incluido el acuerdo marco de Consip para servicios aplicativos en la nube, ID 2860, publicado en diciembre de 2025 para las Pubbliche Amministrazioni Centrali— es un conjunto de requisitos concretos y verificables, más que un lema.

El listón de cualificación que se repite

En los últimos acuerdos marco de nube de Consip, un requisito recurrente es que los servicios estén cualificados por la agencia nacional italiana de ciberseguridad, ACN, al menos en el nivel de cualificación 1, normalmente escrito como QC1 para los servicios en la nube que tratan datos ordinarios, o AI1 para el nivel de infraestructura equivalente. Los criterios publicados por la propia ACN para el nivel 1 exigen la conformidad autodeclarada con la gestión de calidad ISO 9001, junto con características de seguridad, rendimiento, escalabilidad, interoperabilidad y portabilidad previstas en el reglamento de los servicios en la nube para la administración pública. Se trata de una cualificación específica y auditable, no de un sinónimo de «conforme».

La ubicación de los datos y las condiciones de salida importan más que la etiqueta

Otras dos exigencias aparecen una y otra vez en este tipo de licitaciones: dónde residen físicamente los datos y las copias de seguridad —normalmente se pide dentro de la UE o del EEE— y cómo lo demuestra el proveedor, además de las condiciones contractuales para poner fin a la relación sin perder el acceso a los datos ni afrontar costes de salida prohibitivos. La afirmación comercial de un proveedor de ser una «nube soberana» no sustituye el cumplimiento directo de ninguna de ellas.

Qué comprobar antes de dar un lema por respuesta

Antes de que una respuesta a una licitación repita expresiones como «nube soberana» o cite una certificación como si fuera evidente por sí misma, las preguntas operativas son: ¿cubre realmente la cualificación el nivel de ACN que exige esa licitación concreta, están actualizadas las evidencias de ubicación de los datos y recuperación ante desastres, y qué dice el contrato sobre las condiciones y el calendario de salida? Verifique siempre la documentación vigente de la licitación en el sitio de Consip antes de fiarse de un resumen: los pliegos se modifican mediante rondas de aclaraciones, y una lectura anterior puede quedar desfasada para cuando vence el plazo de presentación.

Fuentes: Consip — ID 2860, ACN — requisitos de la cualificación QC1.