El modo soberano es un interruptor de función, no un distintivo de certificación

Altovar está aclarando una distinción que se difumina constantemente en los debates sobre soberanía: el modo soberano, una configuración disponible en Auris, es una postura del producto, no una certificación. Activarlo cambia lo que el producto hace por defecto. No significa que el despliegue haya obtenido la certificación ACN de Italia, la BSI C5 de Alemania, la SecNumCloud de Francia ni ninguna pretensión de inmunidad frente a la CLOUD Act estadounidense.

Qué cambia realmente el interruptor

Según la propia documentación del producto de Altovar, el modo soberano desactiva por defecto ciertos proveedores de identidad social con sede en Estados Unidos y la entrega de SMS enrutada a través de un proveedor estadounidense, junto con un pequeño conjunto de interruptores de postura relacionados. La lista exacta de lo que se ve afectado en un despliegue concreto figura en la referencia de configuración del producto, no en el material de marketing, porque el interruptor es una configuración y su alcance debe comprobarse con la documentación vigente en lugar de asumirse a partir de una descripción de una sola línea.

Por qué un interruptor no es una certificación

ACN, BSI C5 y SecNumCloud son esquemas formales gestionados por autoridades nacionales, y cada uno exige una auditoría independiente frente a un conjunto publicado de controles. La Agenzia per la Cybersicurezza Nazionale de Italia certifica los servicios en la nube vendidos al sector público. La BSI de Alemania gestiona el Catálogo de Criterios de Cumplimiento de Computación en la Nube, conocido como C5. La ANSSI de Francia gestiona SecNumCloud, considerada ampliamente la más estricta de las tres porque exige que un proveedor esté tanto domiciliado legalmente como operativamente independiente de influencias ajenas a la UE. Nada de esto es algo que un proveedor de software pueda otorgarse a sí mismo enviando una bandera de configuración: cada una requiere un auditor designado, un alcance de evaluación y un certificado con fecha de caducidad.

Por qué esto importa para los compradores

Los equipos de compras que evalúan requisitos de soberanía de datos a veces interpretan la configuración predeterminada de un proveedor como equivalente a una garantía certificada. No son la misma afirmación. Un comprador que necesite SecNumCloud, C5 o ACN para una licitación concreta debe pedir al proveedor el certificado y su alcance, no una lista de interruptores. La propia postura de Altovar es mantener estos hechos separados: el modo soberano describe lo que hace el producto; la certificación describe lo que un auditor independiente ha verificado.

Fuentes: SecNumCloud (Wikipedia), OVHcloud sobre los estándares de seguridad de la UE.