Qué ha conseguido realmente Cloudflare, y cuándo
Cloudflare for Government obtuvo la certificación FedRAMP High el 8 de agosto de 2026, según el propio anuncio de la empresa, junto a una autorización GovRAMP Moderate mantenida por separado que satisface los requisitos de los gobiernos estatales y locales. FedRAMP High es el nivel superior del sistema de tres niveles del Programa Federal de Gestión de Riesgos y Autorizaciones de EE. UU., reservado específicamente para información cuya pérdida, alteración o acceso no autorizado tendría efectos graves o catastróficos sobre las operaciones, los activos o la misión de una agencia: el listón que se aplica a los datos de seguridad nacional, infraestructuras críticas y sistemas financieros, no a la información administrativa rutinaria.
La autorización permite a Cloudflare for Government operar dentro de fronteras autorizadas de EE. UU. en 15 áreas metropolitanas, y la empresa afirma que más de 100 agencias federales ya utilizan sus servicios, citando específicamente los departamentos de Comercio, Energía, Salud y Servicios Humanos, Seguridad Nacional, Interior, Justicia y Estado. Cloudflare también ha confirmado que a continuación buscará la autorización de Nivel de Impacto 4 del Departamento de Defensa, un listón aún más estrecho dirigido a cargas de trabajo específicas de defensa.
Una certificación que funciona también como infraestructura para otros proveedores
Un detalle en la propia divulgación de Cloudflare importa más que el titular: al menos otros cinco proveedores de software -Workday, New Relic, Armis Federal, Darktrace Federal y GitLab- ya venden al gobierno de EE. UU. construyendo sus propios productos sobre la plataforma de Cloudflare autorizada por FedRAMP, en lugar de obtener por su cuenta el proceso de autorización completo.
Ese arreglo convierte, en la práctica, la inversión de cumplimiento normativo de varios años de una sola empresa en un atajo para toda una capa de proveedores situados por encima, lo que constituye una dinámica de mercado bastante distinta a que una sola empresa supere un listón solo para sí misma: significa que el estatus FedRAMP High de Cloudflare es ahora una pieza de infraestructura de salida al mercado de la que dependen los ciclos de venta gubernamentales de otros proveedores, y no solo una insignia en el material de ventas propio de Cloudflare.
David Mihalchik sobre la estrategia, y por qué el momento no es casual
David Mihalchik, vicepresidente de Sector Público de EE. UU. en Cloudflare, presentó el impulso en tres partes -FedRAMP High, GovRAMP Moderate y la intención declarada de perseguir el Nivel de Impacto 4- como una forma de que Cloudflare 'lleve una plataforma a los equipos federales, estatales, locales y de defensa', mientras las agencias enfrentan la presión de modernizar su tecnología, avanzar más rápido y reducir costes sin dejar de proteger los datos sensibles.
Ese planteamiento surge sobre un telón de fondo concreto: el propio director de FedRAMP ha declarado públicamente que los proveedores lentos en corregir vulnerabilidades conocidas no deberían vender al gobierno en absoluto, una postura que altos cargos de agencias han vinculado explícitamente a una filtración reciente y muy sonada de otro proveedor. Leída frente a esa advertencia, la autorización de Cloudflare no es simplemente un hito de cumplimiento; es una señal pública, en un momento en que los compradores gubernamentales examinan la postura de seguridad de los proveedores con más atención de lo habitual, de que Cloudflare ha superado precisamente el listón que esos compradores vigilan ahora.
La brecha que esto revela para los compradores del sector público en la UE y el Reino Unido
FedRAMP funciona porque es una acreditación única que toda agencia federal de EE. UU. está obligada a aceptar una vez concedida, precisamente la característica de la que carecen la UE y el Reino Unido. Un proveedor -ya sea un hiperescalador estadounidense, un especialista europeo en nube soberana o una empresa de software más pequeña- que busque vender servicios en la nube de nivel gubernamental en toda la UE aún debe recorrer procesos de acreditación y contratación nacionales independientes en cada estado miembro, sin una única certificación que satisfaga automáticamente a los 27.
Para un comprador del sector público en la UE o el Reino Unido, la conclusión práctica no es que la autorización estadounidense de Cloudflare sea utilizable directamente en Europa -no lo es-, sino que la dinámica de mercado subyacente que Cloudflare acaba de demostrar, en la que una acreditación difícil de conseguir se convierte en palanca reutilizable para todo un ecosistema de proveedores construidos sobre ella, es exactamente la brecha de capacidad que GAIA-X y las diversas iniciativas de nube soberana de la UE todavía intentan resolver, y que hasta hoy no han resuelto con nada tan portátil como FedRAMP High.
Leer a continuación: Cloudflare ya escribe tus reglas de entrenamiento de IA | Una neocloud adelanta al propio plan de IA de Bruselas
