Países Bajos frena una compra digital

Cada vez que un ciudadano neerlandés presenta la declaración de la renta por internet, consulta una ayuda pública o accede a un servicio administrativo, pasa por DigiD, el sistema nacional de identificación digital de Países Bajos. Casi nadie se detiene a pensar qué infraestructura sostiene ese acceso cotidiano al Estado. Conviene hacerlo.

La plataforma sobre la que funciona DigiD la opera una empresa privada, Solvinity (AG Connect). Cuando Kyndryl, una compañía tecnológica con sede en Estados Unidos, intentó comprarla, el Gobierno neerlandés vetó la operación por motivos de seguridad nacional. En junio, Solvinity recurrió la decisión ante un tribunal de Róterdam. Parte de la vista se celebró a puerta cerrada (Tweakers). El caso convierte una expresión muy cómoda para los políticos, «soberanía digital», en una disputa jurídica concreta sobre quién puede ser propietario de las empresas que mantienen en marcha la administración en línea.

La sala de control de la red

Los servicios públicos digitales se parecen más a una red eléctrica de lo que parece. El Estado fija las reglas y pone su nombre en la interfaz, pero a menudo es un contratista privado quien conserva las llaves de la sala de control: los manuales de mantenimiento, las claves de cifrado y el conocimiento operativo necesario para que el sistema resista cuando hay presión (policyreview.info). Solvinity ocupaba ese lugar en una parte del Estado digital neerlandés.

El 26 de mayo de 2026, la secretaria de Estado Willemijn Aerdts bloqueó formalmente la adquisición (Logius). La evaluación detallada de riesgos no se ha hecho pública en su totalidad. El Parlamento recibió información confidencial, y la vista judicial incluyó una sesión reservada en la que las partes trataron material sensible sin presencia de periodistas (Tweede Kamer).

Lo que sí se conoce es que varios diputados expresaron su temor a que una propiedad estadounidense permitiera a Washington reclamar datos o, en el peor escenario, perturbar el acceso a servicios de los que dependen a diario los ciudadanos (NOS). La ley estadounidense CLOUD Act ocupó un lugar central en ese debate.

La CLOUD Act existe, pero la conversación pública corre el riesgo de sobredimensionarla. La legislación estadounidense obliga a un proveedor sometido a la jurisdicción de Estados Unidos a entregar datos bajo su «posesión, custodia o control» cuando recibe una orden legal, aunque esos datos estén almacenados en Europa (Cornell LII). Esa exposición jurídica es real. Lo que la ley no concede a Washington es un interruptor remoto para explorar sistemas o cerrar un servicio a voluntad. El temor más amplio a un «botón de apagado» pertenece a otra categoría: dependencia del proveedor, disputas contractuales, pérdida de acceso administrativo o la enorme dificultad de sustituir a un suministrador en plena crisis. Son riesgos serios, pero no son lo mismo que la CLOUD Act. Mezclarlos debilita el argumento, porque lo desplaza hacia la sospecha en lugar de mantenerlo en el terreno estructural.

El punto estructural tiene fuerza suficiente por sí solo. Cuando la garantía consiste en decir que «los datos se quedan en Europa», se responde a una pregunta incompleta. La ubicación de los datos es una capa. La capa más profunda es el control: quién puede administrar los sistemas, instalar actualizaciones y mantener vivo el servicio si la relación comercial se rompe.

Tres países, tres enfoques

Francia ha intentado convertir la soberanía en algo rutinario y exigible. Si un proveedor de nube quiere encargarse de trabajos sensibles para el Estado, debe obtener una certificación llamada SecNumCloud, que exige demostrar que las leyes extranjeras no pueden alcanzar fácilmente el servicio (Alliancy). Un eslogan político se transforma así en un filtro de contratación pública: o se cumple el requisito o no se concursa.

Suecia ha elegido otro camino. En lugar de examinar proveedor por proveedor, busca que el Estado controle la raíz de la identidad. El Ministerio de Justicia ha propuesto una nueva tarjeta de identidad estatal con biometría e identificación electrónica integrada (Dagens.se), y Suecia ha liderado los trabajos sobre el sistema de certificación de la futura cartera europea de identidad digital (Digg). Las empresas privadas pueden encargarse de la fontanería, pero la llave maestra permanece en manos del Estado.

Países Bajos, en cambio, aparece en este caso con una respuesta más reactiva. Los documentos parlamentarios neerlandeses muestran una reflexión más amplia sobre servicios de nube soberana (1848.nl), pero el caso Solvinity consiste en una operación concreta bloqueada tras una evaluación confidencial de riesgos, que ahora debe defenderse ante un tribunal.

Qué decidirá realmente el tribunal

La UE no intenta construir un internet separado. Está levantando herramientas para que los gobiernos puedan examinar adquisiciones, exigir garantías de ciberseguridad y facilitar la sustitución de proveedores de nube. El control de inversiones extranjeras permite a los Estados miembros revisar compras en sectores sensibles (Paul Weiss). La directiva NIS2 añade obligaciones de seguridad y cadena de suministro para operadores de infraestructuras críticas (European Commission). El Reglamento de Datos aborda el cambio entre proveedores de nube y las protecciones frente a solicitudes extranjeras ilícitas de datos (EUR-Lex). Ninguna de estas piezas resuelve por sí sola el problema. Juntas, desplazan la pregunta desde «dónde está el servidor» hacia «quién gobierna la dependencia».

El caso de Róterdam afinará esa pregunta. Si el Gobierno gana, se reforzará el principio de que los cambios de propiedad en infraestructuras digitales públicas pueden bloquearse aunque el análisis completo de riesgos siga clasificado. Si gana Solvinity, el Estado podría verse obligado a demostrar que estudió opciones menos drásticas: controles contractuales, separación de las operaciones sensibles respecto a la matriz extranjera o planes obligatorios de salida. El tribunal decidirá cuánta prueba debe mostrar un Estado cuando veta una adquisición para proteger un servicio del que los ciudadanos no pueden prescindir en la práctica. Para los millones de personas que entran en DigiD sin pensarlo dos veces, esa es la cuestión de fondo.