Un plazo sustituye a una hoja de ruta

El 10 de febrero de 2026, tres ministros franceses, la ministra de Sanidad Stéphanie Rist, la ministra delegada de Inteligencia Artificial y Asuntos Digitales Anne Le Hénanff, y el ministro delegado de Función Pública y Reforma del Estado David Amiel, anunciaron que el Health Data Hub abandonaría su migración planificada en dos etapas para pasar directamente a una nube soberana calificada SecNumCloud. El objetivo es una copia completa de la base de datos principal SNDS, el sistema nacional francés de datos sanitarios, fuera de Microsoft Azure antes de que termine 2026. Una revisión técnica había confirmado que el traslado directo era viable, por lo que el Gobierno se saltó la etapa intermedia que había previsto originalmente.

La razón es jurisdiccional, no técnica. Un proveedor de nube de propiedad estadounidense puede, en principio, verse obligado por leyes no comunitarias a entregar datos con independencia de dónde estén físicamente sus servidores, y la SNDS es de los conjuntos de datos públicos más sensibles que existen: ha sustentado más de 233 proyectos de investigación y ha contribuido a 29 convocatorias. Los proveedores para el nuevo alojamiento se seleccionan a través del mercado Public Cloud, gestionado conjuntamente por DINUM, la agencia digital del Estado, y la central de compras públicas, con una adjudicación originalmente prevista para finales de marzo de 2026.

Un decreto convierte la recomendación en obligación

Un decreto de aplicación de la ley SREN, publicado en abril de 2026, amplió formalmente la obligación de SecNumCloud a tres operadores adicionales de salud digital. Sus nombres aún no figuran en una lista completa en el Diario Oficial, y el calendario de cumplimiento de cada uno sigue sin estar claro, pero la dirección no ofrece dudas: una certificación que antes funcionaba como elemento diferenciador competitivo está ahora, según un medio especializado francés que sigue el sector, más cerca de una condición de acceso al mercado sanitario público que de un distintivo de calidad.

Ese cambio afecta sobre todo a los proveedores más pequeños de salud digital que construyeron su infraestructura sobre proveedores de nube sin certificación SecNumCloud. Una empresa fuera de la lista calificada no necesita una nueva ley que la nombre individualmente para notar el efecto; basta con que un comprador público, o un decreto, empiece a tratar la calificación como el mínimo exigible. Los costes de migración son reales, y los comentarios del sector han señalado que conviene planificarlos con mucha antelación, aunque todavía no exista una cifra pública en euros.

Cinco empresas piden a París que no elija un solo ganador

El 30 de junio de 2026, cinco empresas centrales de la salud digital francesa, Alan, Doctolib, Implicity, Lifen y Resilience, escribieron al gabinete de Anne Le Hénanff y a la Direction générale des entreprises. Su mensaje no era un rechazo del objetivo de soberanía. Era una advertencia de que una única etiqueta aceptada, aplicada como vía exclusiva de cumplimiento, concentra el riesgo en lugar de eliminarlo: una caída de un proveedor, un cuello de botella en la certificación o una cola lenta de calificación afectaría a la vez a todas las empresas que dependen de esa única lista.

Su petición central era sustituir la lógica de etiqueta única por un enfoque basado en auditorías y puntuación de riesgo, que permita a una empresa demostrar una seguridad equivalente sin quedar atada a una sola vía de certificación. Es el mismo argumento que usan los reguladores contra la dependencia de un proveedor cuando el proveedor es estadounidense; estas cinco empresas lo aplican al riesgo de depender de una etiqueta nacional con una lista corta y de crecimiento lento. Para el lector español, el paralelismo es directo con el debate sobre el Esquema Nacional de Seguridad y el papel del CCN-CERT como referencia de facto para la nube soberana.

Soberanía concentrada en once proveedores

En abril de 2026, solo 11 ofertas de nube tenían la calificación SecNumCloud, entre ellas OVHcloud, Orange Business, Outscale, S3NS, Worldline, Cegedim, Cloud Temple, Oodrive y Whaller, con 18 solicitudes más en trámite. SecNumCloud nació para sacar los datos sanitarios franceses del alcance de las exigencias legales no comunitarias, que es la definición de manual de la soberanía digital. Pero una lista calificada tan corta crea su propio punto único de fallo: poder de fijación de precios, límites de capacidad y una cola de solicitantes que todavía no pueden pujar por contratos públicos que cada vez más asumen la etiqueta como base.

La distinción que las autoridades trazan entre recomendado y obligatorio es real sobre el papel, pero depende de qué documento se esté leyendo. Un decreto que añade en silencio tres operadores más obligados, y una plataforma sanitaria estatal que migra su propia base de datos insignia a la misma calificación, suman el mismo resultado práctico que un mandato, solo que construido mediante la mecánica ordinaria de contratación en lugar de una ley con titular. Si la alternativa basada en auditorías que pidieron las cinco empresas se adopta antes de que aparezcan los próximos nombres en el Diario Oficial es el detalle que merece la pena vigilar durante el resto de 2026.

Leer a continuación: EuroHPC abre cuatro máquinas cuánticas a pilotos gratuitos  |  La IA soberana de Europa ya funciona con dinero de EE. UU.