Europa habla cada vez más de soberanía digital, pero una parte muy visible de su infraestructura pública sigue dependiendo de proveedores estadounidenses. No se trata necesariamente de dónde está físicamente alojado un servidor, sino de un aspecto igualmente relevante para la seguridad, las compras y la resiliencia: qué proveedor aparece en la capa superior que sirve la web principal de una empresa.
Un análisis de CipherCue sobre 19.450 entidades empresariales en siete mercados europeos revela que los proveedores con sede en Estados Unidos gestionan una porción significativa de las páginas web corporativas principales. En Reino Unido y Países Bajos predominan; en Italia, España y Francia constituyen el grupo mayoritario; solo Alemania y Polonia muestran una presencia doméstica más fuerte. Cloudflare se posiciona como el proveedor de mayor visibilidad en todos los países evaluados, superando a cualquier otro proveedor local, regional o estadounidense alternativo.
Este dato no implica que las webs estén alojadas físicamente en EE.UU. CipherCue aclara que no realiza un estudio de geolocalización IP, sino de atribución del proveedor. Para cada dominio principal y su www, resuelve registros DNS A/AAAA y cruza esas IP con el sistema autónomo que las anuncia. En caso de un CDN o proxy como Cloudflare, esto indica quién está sirviendo la capa visible de Internet, no necesariamente dónde se encuentra el servidor de origen.
Cloudflare domina la capa visible principal
El dato más destacado del informe es la presencia de Cloudflare. En los siete países analizados, la empresa es el proveedor de infraestructura de Internet con mayor cuota. En Reino Unido, aparece en el 31,6 % de las webs estudiadas; en Países Bajos, en el 36,8 %; en Italia y Francia, en el 28,2 %; en España, en el 23,1 %; en Alemania, en el 17,9 %; y en Polonia, en el 15,2 %.
Esto tiene una explicación técnica. Cloudflare ofrece mitigación DDoS, CDN, proxy inverso, seguridad perimetral, DNS y presencia en el edge a escala difícil de igualar por muchos proveedores europeos. El propio análisis de CipherCue evita interpretaciones simplistas: no indica que las empresas europeas deban abandonar mañana a los proveedores estadounidenses ni que no existan razones técnicas para utilizarlos. La cuestión es otra: muchas conversaciones sobre soberanía digital empiezan demasiado tarde, cuando la dependencia ya está instaurada en la capa pública de exposición.
| País | Entidades analizadas | Proveedores con sede en EE.UU. | Cloudflare | Amazon | Otros EE.UU. | Otros/regionales |
|---|---|---|---|---|---|---|
| Reino Unido | 918 | 620 (67,5 %) | 290 | 115 | 215 | 298 |
| Países Bajos | 2.241 | 1.201 (53,6 %) | 825 | 150 | 226 | 1.040 |
| Italia | 2.350 | 1.138 (48,4 %) | 663 | 227 | 248 | 1.212 |
| España | 1.427 | 637 (44,6 %) | 329 | 128 | 180 | 790 |
| Francia | 2.504 | 1.107 (44,2 %) | 706 | 173 | 228 | 1.397 |
| Alemania | 5.679 | 1.763 (31,0 %) | 1.017 | 390 | 356 | 3.916 |
| Polonia | 4.331 | 813 (18,8 %) | 660 | 69 | 84 | 3.518 |
España ocupa una posición intermedia-alta. De las 1.427 entidades analizadas, 637 utilizan proveedores estadounidenses en la capa visible, lo que representa un 44,6 %. Cloudflare está presente en 329 casos, Amazon en 128 y otros proveedores USA en 180. Aunque no es una mayoría absoluta, la dependencia es lo suficientemente amplia como para considerarse en cualquier evaluación de riesgos tecnológicos relevantes.
Soberanía no se limita únicamente a la región cloud
Durante años, muchas organizaciones han reducido la soberanía digital a una única pregunta: “¿en qué región cloud están alojados mis datos?”. Aunque importante, esta respuesta resulta incompleta. La capa de exposición pública también tiene un peso crucial. DNS, CDN, WAF, proxy inverso, balanceo, protección DDoS, certificados, logs, paneles de control y planes de gestión pueden introducir dependencias de proveedores, jurisdicciones y modelos operativos que no siempre están reflejados en los mapas de infraestructura interna.
CipherCue lo expresa con precisión: la geografía del paquete físico es solo una parte del problema. Para decisiones de compras, regulación y continuidad operativa, también es esencial comprender qué proveedor está gestionando la web pública y qué relación contractual, técnica y operativa mantiene la organización con él.
La Unión Europea ha establecido la soberanía tecnológica como una prioridad política fundamental. En junio de 2026, presentó un paquete enfocado en semiconductores, inteligencia artificial, computación en la nube y código abierto, con medidas para fortalecer la autonomía digital y la resiliencia. Entre ellas, la futura Cloud and AI Development Act busca apoyar tecnologías en la nube y IA, facilitar el despliegue de centros de datos y crear un marco europeo para evaluar la soberanía en cloud y IA.
Este debate está alineado con otras normativas en curso. La regulación DORA en el sector financiero se centra en la resiliencia operativa digital, gestión de riesgos de tecnologías de la información y comunicación (TIC), proveedores críticos externos y riesgos de concentración derivados de la dependencia de unos pocos proveedores. Además, la ENISA recuerda que la directiva NIS2 amplía el foco hacia sectores esenciales e importantes, incluyendo infraestructura digital, servicios en la nube, centros de datos, puntos de intercambio de internet y redes de distribución de contenido.
Alemania y Polonia representan un camino alternativo
El informe destaca dos excepciones: Alemania y Polonia. Ambos mercados disponen de una industria local de hosting e infraestructura más visible en los datos. En Alemania, se observan nombres como Hetzner, IONOS, STRATO o Mittwald; en Polonia, Home.pl, NetArt, ATMAN o Beyond. Como resultado, la presencia de proveedores estadounidenses en estos países disminuye al 31,0 % en Alemania y al 18,8 % en Polonia.
Esto no implica que estos países no utilicen tecnología estadounidense en otras capas. El estudio no mide servicios como correo electrónico, gestión de identidad, EDR, SIEM, SaaS, endpoints ni herramientas internas. Sin embargo, sugiere que una base local sólida puede modificar la distribución en la web pública.
Para Europa, esta diferencia es significativa. La soberanía digital no se alcanza únicamente con regulación. También requiere una oferta competitiva, escala, soporte técnico, precios razonables, presencia geográfica, experiencia técnica y confianza de los usuarios. Si los proveedores locales no alcanzan determinados niveles en seguridad, rendimiento o facilidad de adopción, muchas empresas seguirán optando por los grandes actores estadounidenses, aunque políticamente prefieran otra opción.
El inventario como primer paso esencial
Los datos de CipherCue no deberían generar una reacción defensiva del tipo “conviene eliminar toda dependencia estadounidense”. Sería poco realista y, en muchos casos, contraproducente desde un punto de vista técnico. La conclusión práctica es simple: antes de hablar de soberanía, es fundamental saber exactamente qué se está utilizando.
Muchas organizaciones no disponen de un inventario completo de quién gestiona su web, qué DNS utilizan, qué CDN tienen delante, quién administra los certificados, qué WAF filtra el tráfico, dónde se almacenan los logs, qué proveedores pueden modificar la configuración y qué dependencias existen en caso de incidentes o conflictos contractuales.
Este inventario debe responder a preguntas concretas:
| Capa | Pregunta mínima |
|---|---|
| DNS | ¿Quién resuelve y administra los dominios críticos? |
| CDN/WAF | ¿Qué proveedor interviene antes de la web y qué tráfico tiene visión? |
| Origen | ¿Dónde está alojado realmente el servidor o la aplicación? |
| Control plane | ¿Desde qué país y con qué entidad se gestiona el servicio? |
| Logs | ¿Dónde se almacenan y quién puede acceder a ellos? |
| Soporte | ¿Qué pasa si el proveedor cambia condiciones o interrumpe el servicio? |
| Salida | ¿Existe un plan realista de migración o reversión? |
Esa última cuestión suele ser la más incómoda. La dependencia no solo se origina por el uso de un proveedor dominante. También surge cuando no hay alternativas preparadas, cambiar implica semanas de urgencia, el contrato se renueva sin margen suficiente, o el equipo técnico no ha probado una arquitectura de salida.
Europa no logrará recuperar soberanía digital solo moviendo servidores. Es necesario construir proveedores fuertes, comprar con criterio, exigir portabilidad, reforzar capacidades internas y medir las dependencias, desde la capa más visible hasta la más profunda. El análisis de CipherCue aporta valor porque transforma la discusión en algo verificable: quién actúa hoy en la capa superior de las webs de miles de empresas europeas.
Y, en muchos casos, la sede sigue estando en Estados Unidos.
Preguntas frecuentes
¿El estudio indica que las webs europeas están alojadas físicamente en Estados Unidos?
No. CipherCue mide atribución del proveedor a partir de DNS y sistemas autónomos, no geolocalización física ni ubicación del servidor de origen.
¿Por qué Cloudflare aparece tanto?
Porque muchas empresas lo utilizan como CDN, proxy, DNS, WAF o capa de protección DDoS, lo que pone a Cloudflare en una posición frente a la web, aunque el servidor de origen esté en otro proveedor.
¿Qué dato destaca en España?
De las 1.427 entidades españolas analizadas, 637 utilizan proveedores con sede en EE.UU. en la capa observable, lo que equivale a un 44,6 %. Cloudflare aparece en 329 casos.
¿Implica esto que las empresas deben dejar de usar proveedores estadounidenses?
No necesariamente. La clave está en entender la dependencia, evaluar los riesgos y contar con alternativas o planes de salida, especialmente en capas críticas.
¿Por qué es importante para la soberanía digital europea?
Porque la soberanía no depende solo de la región cloud. También importa la gestión DNS, CDN, WAF, control del plane, soporte, jurisdicciones, concentración y capacidades reales de migración.