Article 4 Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO por el que se…: Objetivos operativos de las iniciativas de liderazgo en la nube y la IA

COMISIÓN EUROPEA

Bruselas, 3.6.2026

COM(2026) 502 final

2026/0138(COD)

Propuesta de

REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO

por el que se establece un marco de medidas para reforzar el ecosistema europeo de computación en la nube e inteligencia artificial (Ley de desarrollo de la computación en la nube e inteligencia artificial)

(Texto pertinente a efectos del EEE)

{SEC(2026) 502 final} - {SWD(2026) 502 final} - {SWD(2026) 503 final}

CNECTEXPOSICIÓN DE MOTIVOS

1.CONTEXTO DE LA PROPUESTA

•Razones y objetivos de la propuesta

En los últimos años, las tecnologías, servicios y aplicaciones de la nube y la IA han evolucionado de nuevos conceptos a pilares indispensables que sustentan el funcionamiento de nuestra economía y nuestra sociedad. La IA desbloquea oportunidades sin precedentes desde la automatización y la toma de decisiones basada en datos hasta los servicios personalizados, mientras que la computación en nube proporciona los recursos computacionales, los elementos de software y las interfaces necesarios para un desarrollo y un despliegue eficientes de la IA. La rápida proliferación de la IA ha dado lugar a una demanda sin precedentes y creciente de capacidades informáticas. Por consiguiente, las infraestructuras informáticas ya no son meros activos técnicos, sino que se han convertido en recursos estratégicos esenciales para la seguridad económica, la soberanía, la resiliencia y la competitividad de la Unión.

Como afirma el informe de Mario Draghi titulado «The future of European competitiveness» (El futuro de la competitividad europea), la UE debe mantener su posición en ámbitos en los que se requiere soberanía tecnológica, como la seguridad y el cifrado (soluciones de «nube soberana») y, de este modo, reducir las dependencias externas críticas mediante el refuerzo de las capacidades e infraestructuras de la nube y la IA autóctonas. A tal fin, el informe Draghi pide a la Comisión Europea que adopte medidas específicas destinadas a recuperar y conservar el control sobre los datos y los servicios de computación en nube, ampliar la capacidad de computación nacional y crear un momento de inercia sostenido en las finanzas y la adquisición de talento que impulse la innovación.

Estos objetivos se consagraron posteriormente en el Plan de Acción «Continente de IA», que presentó una hoja de ruta estratégica para garantizar el liderazgo europeo en materia de IA. Para lograrlo es fundamental un nexo entre cinco ámbitos clave: infraestructuras informáticas, datos, competencias, desarrollo y adopción de algoritmos de IA y simplificación normativa. El despliegue en curso de factorías y gigafactorías de IA tiene por objeto proporcionar un amplio acceso a recursos computacionales de alta capacidad y de próxima generación a las empresas e investigadores europeos que necesiten capacidades de IA. Para complementarlo, la UE debe ampliar su capacidad en la nube y en los centros de datos para apoyar un despliegue y una difusión más amplios de la IA.

La limitada capacidad de los centros de datos de la UE amenaza significativamente su capacidad para beneficiarse de la transformación digital y adoptar soluciones impulsadas por la IA, en particular las que requieren una capacidad de computación de baja latencia. En particular, varios obstáculos dificultan el rápido despliegue de centros de datos en la UE. A medida que las demandas de almacenamiento y tratamiento de datos siguen aumentando, en particular debido al aumento de las cargas de trabajo de IA, la falta de capacidad de los centros de datos en la UE obliga a las empresas europeas a encaminar cargas de trabajo críticas a través de infraestructuras de hiperescaladores extranjeros. Esto hace que la UE sea un destino menos atractivo para la inversión tecnológica que las regiones con recursos computacionales más abundantes y de menor coste.

El panorama actual de la nube y la IA se caracteriza por una fuerte dependencia de un conjunto limitado de proveedores de terceros países. Si bien el mercado de servicios de computación en nube de la UE está creciendo significativamente, la cuota de mercado de los proveedores de la UE disminuyó del 29 % en 2017 al 15 % en 2022 y se ha mantenido estancada desde entonces.

En la actualidad, tres hiperescaladores no pertenecientes a la UE controlan más del 70 % del mercado europeo de la nube. Los grandes operadores tradicionales del mercado están sujetos a jurisdicciones de terceros países en las que se aplican leyes con efecto extraterritorial, incluidas leyes que exigen el acceso y la transferencia de datos que pueden entrar en conflicto con los derechos fundamentales y los marcos de protección de datos de la UE. Esta dependencia también expone a los usuarios europeos a riesgos relacionados con la discontinuidad operativa, en particular en situaciones en las que las decisiones unilaterales de agentes de terceros países podrían perturbar la prestación de servicios.

En este contexto, Europa cuenta con capacidades de investigación y desarrollo de categoría mundial, comunidades dinámicas de código abierto y una sólida base industrial de la nube y la IA, que, sin embargo, siguen en gran medida sin aprovecharse.

En este contexto, la Comisión ha elaborado la propuesta de Ley de desarrollo de la computación en la nube y la inteligencia artificial («la propuesta»), cuyo objetivo es abordar la disponibilidad limitada y concentrada geográficamente de capacidad de computación en la UE y los riesgos asociados a la dependencia de la nube y la IA suministradas por proveedores no europeos. Los objetivos de la propuesta son:

1)aumentar la capacidad de computación y de IA desarrollada y desplegada en la UE a través de tecnologías de la nube y la IA innovadoras y sostenibles.

2)garantizar unas condiciones atractivas para el despliegue de una capacidad de computación sostenible e innovadora en toda la Unión;

3)abordar las preocupaciones relativas a la soberanía de los datos y la continuidad operativa de la nube y la IA;

4)ayudar a proteger el orden público haciendo que la prestación de servicios de computación en nube sea más resiliente, en particular en el sector público.

La propuesta responde a la necesidad de un «enfoque ecosistémico» coordinado para que la UE sea más competitiva y resiliente en el ámbito de la nube y la IA. Combina medidas del lado de la oferta para impulsar las capacidades nacionales, medidas del lado de la demanda para impulsar la adopción y facilitadores para fomentar la innovación y la inversión en la nube y la IA. Hace especial hincapié en el código abierto como palanca para impulsar la soberanía tecnológica, en consonancia con la Estrategia de código abierto de la UE, cuyo objetivo es promover alternativas europeas abiertas en toda la pila tecnológica europea.

En primer lugar, la propuesta apoya proyectos que son el resultado de la iniciativa de investigación e innovación puesta en marcha en este marco y ejecutada conjuntamente con los Estados miembros. Esta iniciativa integrará las redes, la nube, la IA y el software en ecosistemas coherentes para abordar lo siguiente:

1)los retos futuros para la infraestructura informática eficiente desde el punto de vista energético;

2)la autonomía en toda la pila de la nube;

3)las capacidades avanzadas de la UE en tecnologías avanzadas de IA, como la IA de vanguardia, la IA física y la IA industrial;

4)la adopción de la nube y la IA en los sectores público y privado.

La propuesta hace especial hincapié en las iniciativas intersectoriales a gran escala que abordan los retos tecnológicos e industriales más estratégicos (los «grandes retos»). Demostrará la viabilidad de este esfuerzo y allanará el camino para iniciativas similares en el futuro, creando las condiciones para la inversión en infraestructuras y tecnologías de próxima generación.

En segundo lugar, la propuesta responde a la creciente brecha en la capacidad de los centros de datos con un marco que simplifica y armoniza el despliegue de los centros de datos en toda la UE, garantizando al mismo tiempo su sostenibilidad. Su objetivo es triplicar la capacidad de la UE en los próximos cinco a siete años y alcanzar la capacidad necesaria de aquí a 2035, garantizando al mismo tiempo un despliegue geográfico equilibrado en todos los Estados miembros. Para apoyar esto, la propuesta presenta un mecanismo para identificar y apoyar proyectos estratégicos de centros de datos con una innovación y sostenibilidad integradas significativas o que contribuyan a una distribución equilibrada de la capacidad de computación.

En tercer lugar, la propuesta tiene por objeto mitigar los riesgos derivados de la dependencia de la UE de terceros países para los servicios de computación en nube a través de un marco único de soberanía a escala de la UE. Proporciona un conjunto armonizado y auditable de criterios a diferentes niveles de soberanía de los servicios de computación en nube. También proporciona un marco para la evaluación y el reconocimiento formal de los servicios en un determinado nivel de soberanía. Por último, obliga a los Estados miembros a llevar a cabo evaluaciones de riesgos para la soberanía a fin de determinar qué subsectores y casos de uso deben ser atendidos por servicios acordes con los respectivos niveles de soberanía para garantizar una protección adecuada en términos de confidencialidad de los datos, garantizar la autonomía operativa y evitar daños que puedan socavar el orden público.

Como complemento de la revisión del Reglamento sobre la Ciberseguridad (CSA2), que aborda los riesgos de la cadena de suministro, la propuesta garantiza que los poderes adjudicadores puedan utilizar servicios soberanos de computación en nube. En conjunto, la propuesta y el Reglamento sobre la Ciberseguridad 2 colman lagunas que existen desde hace tiempo en materia de soberanía y riesgos no técnicos. Al mismo tiempo, los servicios de computación en nube en Europa deben cumplir normas estrictas en materia de ciberseguridad, lo que requiere un marco de ciberseguridad sólido que proporcione una respuesta global a los retos geopolíticos actuales en materia de seguridad. En este contexto legislativo, se reanudará el trabajo en el esquema europeo de certificación de la ciberseguridad para los servicios en la nube.

Por último, la propuesta proporciona un marco para que los poderes adjudicadores tomen decisiones de compra con conocimiento de causa y aprovechen su poder de negociación para reducir las dependencias existentes, en particular mediante el uso de criterios de adjudicación sectoriales con valor añadido de la UE y contratación común para impulsar la innovación y el crecimiento, centrándose en la creación de oportunidades concretas para los proveedores más pequeños establecidos en la UE.

En conjunto, las medidas establecidas en la propuesta sientan las bases para un ecosistema de la UE en la nube y la IA resiliente y de alto rendimiento. Posicionan a Europa no solo como un consumidor de tecnologías digitales avanzadas, sino como un centro mundial de infraestructuras digitales fiables, soberanas y escalables capaces de configurar las normas, las capacidades y los mercados de la próxima ola tecnológica.

•Coherencia con las disposiciones existentes en la misma política sectorial

Sin embargo, el Reglamento de Datos no contiene elementos para configurar una oferta más competitiva de servicios de computación en nube europeos o fomentar la entrada en el mercado de un conjunto más diverso de proveedores de servicios de computación en nube.

El Reglamento de Datos abre el camino hacia una posible reducción de las dependencias de proveedores no pertenecientes a la UE, pero no establece una ruta para un sector de la computación en nube de la UE más soberano y fiable. Sin embargo, sus disposiciones en materia de cambio de nube e interoperabilidad permiten a los usuarios adoptar con mayor firmeza los servicios europeos de computación en nube. Por lo tanto, el Reglamento de Datos es un factor facilitador de la propuesta.

La propuesta también es coherente con el Reglamento de Mercados Digitales. El Reglamento de Mercados Digitales abarca los servicios de computación en nube como servicio básico de plataforma, lo que significa que los proveedores de servicios de computación en nube designados como guardianes de acceso tendrían que cumplir una serie de obligaciones para aumentar la equidad y la disputabilidad del mercado. Hasta la fecha, ningún proveedor de servicios de computación en nube ha sido designado como guardián de acceso para sus servicios. Sin embargo, el 18 de noviembre de 2025, la Comisión inició tres investigaciones de mercado sobre servicios de computación en nube en el marco del Reglamento de Mercados Digitales. Dos de estas investigaciones de mercado evaluarán si dos proveedores deben ser designados guardianes de acceso con respecto a sus servicios de computación en nube (es decir, si actúan como pasarelas importantes entre los usuarios profesionales y los usuarios finales). La tercera investigación de mercado evaluará si la Ley de Mercados Digitales puede abordar eficazmente prácticas que puedan limitar la competitividad y la equidad en el sector de la computación en nube en la UE.

Si bien algunos proveedores de servicios de computación en nube podrían regularse tanto en virtud de la presente propuesta como del Reglamento de Mercados Digitales, este último tiene objetivos diferentes y no contiene medidas que promuevan activamente la adopción de servicios soberanos de computación en nube. El Reglamento de Mercados Digitales solo tiene por objeto mantener y promover un mercado de la nube equitativo y disputable en la Unión, regular comportamientos específicos de las empresas designadas como guardianes de acceso e intervenir, por tanto, a un nivel diferente al de la propuesta, que se centra en la adopción y el uso de los servicios prestados.

La propuesta también refuerza los objetivos clave del Reglamento de Inteligencia Artificial. El Reglamento de Inteligencia Artificial armoniza las normas para que los sistemas de IA y los modelos de IA de uso general se introduzcan en el mercado de la UE, mejorando el funcionamiento del mercado interior y promoviendo la adopción de una IA centrada en el ser humano y fiable a lo largo de la cadena de valor. El Reglamento de Inteligencia Artificial garantiza un elevado nivel de protección de la salud, la seguridad y los derechos fundamentales. No cubre aspectos de soberanía.

La propuesta complementa además el marco más amplio de la política digital de la UE, incluida la Estrategia de código abierto de la UE, el Programa Estratégico de la Década Digital y la Estrategia para la Aplicación de la IA.

La Estrategia de código abierto de la UE propone fomentar el código abierto para la soberanía, la competitividad y la seguridad a través de una serie de medidas específicas, algunas de las cuales se proponen en la Ley de desarrollo de la computación en la nube y la inteligencia artificial.

El Programa Estratégico de la Década Digital se centra en cuatro puntos cardinales, en los que se inscriben sus objetivos, a saber: i) una población con competencias digitales, además de profesionales altamente cualificados en el ámbito digital; ii) infraestructuras digitales seguras y sostenibles; iii) transformación digital de las empresas; y iv) la digitalización de los servicios públicos. Más concretamente, el Programa Estratégico de la Década Digital establece una meta para el seguimiento del despliegue de nodos de proximidad, pero no incluye una meta para medir los avances en el despliegue de capacidad de computación o centros de datos en la UE ni medidas de apoyo concretas para su despliegue. La presente propuesta complementa el Programa Estratégico de la Década Digital aprovechando el ejercicio de seguimiento anual existente, creando así sinergias con el marco existente. También contribuye a impulsar los cuatro puntos cardinales del Programa Estratégico de la Década Digital, en particular mediante el establecimiento de medidas concretas centradas en el desarrollo de tecnologías innovadoras facilitadoras de la IA, el despliegue de una capacidad de computación ampliada y la creación de un marco de confianza para mejorar el uso de la nube y la IA.

Además, la Estrategia para la Aplicación de la IA establece acciones concretas para aprovechar el potencial transformador de la IA, centrándose en impulsar su adopción en sectores industriales clave y en el sector público. También introduce medidas de apoyo para reforzar la soberanía tecnológica de la UE abordando los retos transversales en el desarrollo y el despliegue de la IA. La propuesta sustenta estos objetivos y contribuye a su aplicación mediante la introducción de medidas específicas destinadas a apoyar el desarrollo y el despliegue de la nube y la IA, aumentar el acceso a la capacidad de computación y generar confianza en los servicios de computación en nube.

La propuesta es plenamente compatible con la Comunicación de la UE sobre una Estrategia Digital Internacional, de junio de 2025. Crea un plan rector transparente y no discriminatorio para la autonomía digital que permite a la UE construir infraestructuras tecnológicas resilientes y soberanas en su territorio, proporcionando al mismo tiempo un modelo fiable y jurídicamente sólido para las asociaciones internacionales y la gobernanza multilateral en el extranjero. Es plenamente coherente con los compromisos y asociaciones internacionales de la Unión y garantizará el acceso al mercado interior a las entidades de los países socios que cumplan los niveles requeridos de garantía de la Unión.

•Coherencia con otras políticas de la Unión

La propuesta complementa el marco político más amplio de la UE en materia de ciberseguridad y resiliencia digital.

La presente propuesta debe leerse en relación con la propuesta de revisión del Reglamento de Chips, que incluye medidas para promover las inversiones en semiconductores avanzados, aumentar la resiliencia de la cadena de suministro y la creación de demanda mediante una mayor cooperación entre la cadena de suministro de semiconductores y los mercados finales.

La Directiva relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión (Directiva sobre Ciber seguridad o SRI 2) mejora la gestión de riesgos de ciberseguridad de los proveedores de servicios de computación en nube y los centros de datos en la UE, lo que da lugar a una mayor confianza. Sin embargo, no contiene medidas para impulsar la adopción y el uso de dichos servicios y se centra plenamente en la ciberseguridad técnica en lugar de en consideraciones de soberanía más amplias.

Como se ha detallado anteriormente, la propuesta complementa la atención prestada por el Reglamento sobre la Ciberseguridad a la ciberseguridad en la nube con consideraciones de soberanía. La certificación en virtud del Reglamento sobre la Ciberseguridad puede abordar criterios técnicos de ciberseguridad, pero no es adecuada para abordar preocupaciones de soberanía que vayan más allá de estos elementos técnicos. Mientras tanto, la Agencia de la Unión Europea para la Ciberseguridad (ENISA) ha estado trabajando en el desarrollo de un esquema europeo de certificación de la ciberseguridad para los servicios en la nube, que aún no se ha adoptado. Una vez finalizado, podría aprovecharse en el marco de los servicios soberanos de computación en nube como forma de garantizar que un servicio auditado cumpla las normas más estrictas en materia de ciberseguridad. Además, la revisión propuesta del Reglamento sobre la Ciberseguridad refuerza la fiabilidad de la cadena de suministro de las TIC de hardware y software.

La propuesta también apoya los objetivos del Reglamento sobre Resiliencia Operativa Digital (DORA) para el sector financiero. El Reglamento sobre Resiliencia Operativa Digital contribuye a dar forma a las obligaciones de cumplimiento de los proveedores de servicios de computación en nube. Abarca indirectamente a los proveedores de servicios de computación en nube si prestan servicios a entidades financieras específicas o si su papel es suficientemente significativo en términos de resiliencia operativa. Tiene un alcance sectorial y es específico del sector financiero. En virtud del Reglamento sobre Resiliencia Operativa Digital, los proveedores de servicios de computación en nube deben aplicar la gestión del riesgo relacionado con las TIC y llevar a cabo pruebas periódicas de respuesta a incidentes para cumplir los requisitos aplicables a los proveedores de servicios terceros esenciales. Las entidades financieras afectadas, que podrían ser de carácter público, deben llevar a cabo la diligencia debida con respecto a los proveedores de servicios de computación en nube con los que trabajan.

La propuesta también apoya los objetivos de la Estrategia de Preparación de la Unión, que determina que la dependencia de infraestructuras digitales críticas es un riesgo sistémico y pide un enfoque de la Administración en su conjunto para garantizar la continuidad de los servicios esenciales en escenarios de crisis. El marco de soberanía establecido por el presente Reglamento, y en particular el mecanismo de evaluación de riesgos del artículo 29, contribuye directamente a la dimensión de preparación digital de dicha Estrategia al garantizar que los servicios de nube y de IA que sustentan las operaciones de gestión de emergencias, coordinación de la protección civil y respuesta a catástrofes se presten al nivel de garantía adecuado de la Unión. Por lo tanto, la propuesta es coherente con los objetivos más amplios de la política de resiliencia y preparación de la Unión y los apoya.

La propuesta es coherente con las normas vigentes sobre el tratamiento de datos personales, incluido el Reglamento General de Protección de Datos (RGPD) y el Marco de Privacidad de Datos UE-EE. UU. Sin embargo, si bien el Marco de Privacidad de Datos UE-EE. UU. aborda las transferencias transatlánticas de datos, no elimina las preocupaciones de soberanía sobre la dependencia de proveedores de terceros países. Así pues, la propuesta complementa el Marco de Privacidad de Datos UE-EE. UU., ya que el concepto de soberanía va más allá de las transferencias de datos y también se refiere a la autonomía operativa.

La propuesta también complementa las Directivas sobre contratación pública. Las autoridades públicas de la UE dependen en gran medida de proveedores de servicios de computación en nube no pertenecientes a la UE y los factores problemáticos asociados requieren un enfoque sectorial matizado y específico, que no está cubierto por las Directivas vigentes sobre contratación pública y sería difícil de tener suficientemente en cuenta a través de un enfoque global. Por lo tanto, la propuesta ofrece un enfoque sectorial de la soberanía, cuyos numerosos niveles no pueden abordarse en el acervo horizontal que establece principios generales para el diseño de los procedimientos de contratación pública. La propuesta incluye criterios de adjudicación complementarios que también se adaptan a las especificidades de los servicios de computación en nube y a las dependencias críticas de terceros países en este sector.

La propuesta complementa la Ley de Redes Digitales, que apoya el desarrollo de redes digitales sólidas, rápidas, seguras y de vanguardia y, por tanto, es beneficiosa para el despliegue de centros de datos en la UE, para los que la alta velocidad de la conectividad, de un gigabit o más, es un requisito previo. La propuesta aprovecha los avances de la Ley de Redes Digitales en materia de conectividad y, por tanto, se centra en el despliegue de la capacidad de los centros de datos, no en el desarrollo previo o paralelo de la infraestructura de conectividad necesaria. La Ley de Redes Digitales también aborda la convergencia de la infraestructura de redes, incluidos los escenarios en los que un proveedor de servicios de computación en nube explota una red de comunicaciones electrónicas y hasta la fecha no ha estado sujeto a obligaciones en virtud del Código Europeo de las Comunicaciones Electrónicas, aunque entra en su ámbito de aplicación. Así pues, la Ley de Redes Digitales aclarará los procedimientos de conectividad entre los proveedores de diversas redes y otros participantes en el mercado en el marco de una cooperación ecosistémica más amplia.

La propuesta contribuye a los objetivos de la Directiva de eficiencia energética de orientar a la industria de los centros de datos hacia una mayor eficiencia energética. Sin embargo, más allá de las consideraciones de transparencia y reputación, no establece incentivos para que los operadores de centros de datos mejoren su rendimiento en materia de sostenibilidad ni contiene medidas para acelerar el despliegue de centros de datos sostenibles en toda la UE o aumentar la inversión conexa.

Del mismo modo, el código de conducta de la UE para la eficiencia energética de los centros de datos no se refiere a las medidas para desplegar un centro de datos, sino que se centra plenamente en las prácticas para gestionarlo. Así pues, la propuesta establece medidas para incentivar el despliegue de centros de datos eficientes desde el punto de vista energético, en consonancia con la hoja de ruta estratégica para la digitalización y la IA en el sector de la energía, cuyo objetivo es optimizar el consumo de energía en las tecnologías digitales, acelerando al mismo tiempo la doble transición ecológica y digital de la UE. Para determinar qué centros de datos son sostenibles, la propuesta hace referencia al sistema de evaluación desarrollado en virtud de la Directiva de eficiencia energética.

La propuesta también complementa el paquete de medidas sobre las redes eléctricas europeas, cuyo objetivo es garantizar que las redes estén instaladas y preparadas para absorber cargas futuras de manera horizontal. En este caso, la propuesta se centra en los centros de datos como clientes finales de la capacidad de la red y garantiza que la ubicación de los centros de datos tenga en cuenta la disponibilidad de la red y que la información se intercambie con suficiente antelación para contribuir a la planificación de la red y, por tanto, garantizar la conexión oportuna de los centros de datos.

El paquete de medidas sobre las redes eléctricas europeas establece formas en las que los Estados miembros pueden acelerar las conexiones a la red, incluida una estructura más eficiente de su cola de conexión a la red, por ejemplo, considerando la preparación de un proyecto y los usos respetuosos con la red en lugar de un enfoque puramente basado en el orden de llegada. La propuesta aprovecha estas consideraciones.

La propuesta también complementa la Directiva sobre fuentes de energía renovables y puede aprovecharla. Los centros de datos pueden beneficiarse de una mayor disponibilidad de energía renovable y almacenamiento aunque no estén cubiertos por la Directiva. La proximidad a zonas de aceleración para las energías renovables también podría ser un factor pertinente a la hora de designar emplazamientos para un despliegue más rápido de los centros de datos.

La Ley de Aceleración Industrial presenta medidas para acelerar la concesión de autorizaciones, incluido el establecimiento del principio de «un proyecto, un procedimiento» y el establecimiento de un procedimiento digital único para cubrir todo el proceso de concesión de autorizaciones. La Ley de Aceleración Industrial también exige a los Estados miembros que designen al menos una zona o agrupación industrial de aceleración de la fabricación en la que se apliquen nuevas medidas de facilitación que beneficien a las empresas, incluido el acceso prioritario a los materiales y el acceso a la financiación de la UE. Sin embargo, dado que las medidas de aceleración industrial propuestas solo tienen en cuenta las instalaciones de fabricación y no tienen en cuenta las necesidades específicas de los centros de datos ni sus beneficios, se han excluido del ámbito de aplicación de la Ley de Aceleración Industrial. Para abordar estas diferencias, la propuesta complementa las medidas generales de aceleración industrial con medidas adaptadas al despliegue acelerado de los centros de datos.

2.BASE JURÍDICA, SUBSIDIARIEDAD Y PROPORCIONALIDAD

•Base jurídica

La base jurídica de la presente propuesta es el artículo 114 del Tratado de Funcionamiento de la Unión Europea (TFUE), que faculta a la UE para adoptar medidas destinadas a mejorar el funcionamiento del mercado interior mediante la armonización de las disposiciones nacionales.

La fragmentación actual en el despliegue de los centros de datos está impulsada por enfoques nacionales divergentes con respecto a la expansión de la capacidad, los requisitos de sostenibilidad y los procedimientos de concesión de autorizaciones. Se corre el riesgo de crear disparidades normativas que podrían socavar el mercado interior.

Las variaciones en las prácticas de contratación pública de servicios de computación en nube, así como criterios de soberanía incoherentes, pueden obstaculizar la capacidad de los proveedores para operar sin fisuras en todos los Estados miembros, lo que da lugar a ineficiencias del mercado y a condiciones competitivas desiguales.

Habida cuenta de estos retos, la intervención a escala de la UE en forma de propuesta legislativa está justificada en virtud del artículo 114 del TFUE, ya que tiene por objeto eliminar los obstáculos al mercado interior y establecer unas condiciones de competencia equitativas para los proveedores de servicios de computación en nube.

Además, la propuesta se basa en el artículo 173, apartado 3, del TFUE, que proporciona la base jurídica para las medidas destinadas a mejorar la competitividad industrial y la capacidad de innovación de la UE. La actual escasez de capacidad de computación en la UE limita la capacidad de las industrias europeas para beneficiarse plenamente del uso de tecnologías de la nube y la IA, especialmente las que requieren una capacidad de computación de baja latencia y de alto rendimiento. Al aumentar la disponibilidad de capacidad de computación eficiente desde el punto de vista energético y el desarrollo y despliegue de tecnologías de vanguardia de la nube y la IA, esta iniciativa contribuye directamente a reforzar la competitividad industrial y el liderazgo tecnológico de Europa, en consonancia con los objetivos del artículo 173, apartado 3, del TFUE.

Dado el doble objetivo de la propuesta de subsanar las distorsiones del mercado interior y reforzar la competitividad industrial de la UE, se adoptará como un único instrumento legislativo con arreglo a la base jurídica acumulativa del artículo 114 y el artículo 173, apartado 3, del TFUE. Esta base jurídica conjunta proporciona una respuesta normativa unificada a los retos interrelacionados de la fragmentación del mercado y el desarrollo de capacidades industriales estratégicas dentro del ecosistema de la nube y la IA de la UE.

•Subsidiariedad (en el caso de competencia no exclusiva)

La actuación de la UE tiene un claro valor añadido a la hora de abordar el problema de la disponibilidad limitada y concentrada geográficamente de capacidad de computación. Al proporcionar un enfoque común para acelerar el despliegue de los centros de datos, permite una planificación y un despliegue coherentes de la capacidad de computación de manera geográficamente equilibrada, evitando al mismo tiempo una carrera a la baja y reduciendo la complejidad normativa para los inversores y los operadores de centros de datos.

La UE se encuentra en una posición única para garantizar que las políticas de inversión y aceleración reflejen las prioridades colectivas y eviten la fragmentación. La acción a escala de la UE garantizaría que todas las empresas y administraciones públicas puedan acceder a una capacidad de computación suficiente para satisfacer sus necesidades y es un requisito previo para que Europa se convierta en un continente de IA.

Al abordar la dependencia de los servicios de computación en nube prestados por proveedores no europeos, la acción de la UE aporta beneficios que exceden de lo que los Estados miembros podrían lograr individualmente, especialmente al abordar las deficiencias subyacentes del mercado debidas a información imperfecta. Esto mejorará el funcionamiento del mercado interior y permitirá a los proveedores de servicios de computación en nube crecer más allá de sus mercados nacionales.

•Proporcionalidad

La propuesta adopta un enfoque específico y proporcionado para abordar los cuellos de botella críticos en el mercado único, en particular el déficit de capacidad de computación y la dependencia excesiva de proveedores de terceros países. Las soluciones propuestas se limitan a medidas esenciales para alcanzar los objetivos fundamentales de la propuesta, en particular el refuerzo de la soberanía tecnológica de la UE, el fomento de un mercado competitivo de la nube y la IA en la UE y el apoyo a una mayor disponibilidad de recursos computacionales sostenibles en la UE.

Al centrarse en normas armonizadas para los servicios soberanos de computación en nube, un despliegue racionalizado de los centros de datos y mecanismos de cooperación a escala de la UE, la propuesta evita una regulación excesiva, al tiempo que aborda directamente los obstáculos estructurales que impiden los avances digitales en toda Europa. Las medidas elegidas representan el medio más adecuado y menos intrusivo para abordar las deficiencias del mercado y reglamentarias detectadas, ya que aprovechan los instrumentos existentes de la UE al tiempo que introducen únicamente las nuevas disposiciones necesarias para una aplicación coherente y eficiente.

La propuesta dará lugar a costes directos de cumplimiento, que incluyen tanto gastos administrativos como de ajuste. Estos deben ser asumidos principalmente por las autoridades públicas nacionales y locales y algunas empresas, como los operadores de centros de datos, los proveedores de servicios de computación en nube, así como sus subcontratistas y las entidades del sector privado que operen en los sectores enumerados en el anexo I de la Directiva SRI 2, de modo que cumplan las obligaciones establecidas en el presente Reglamento.

Con todo, la exploración de distintas opciones y de los costes y beneficios previstos ha dado lugar a un diseño equilibrado del instrumento. Los costes para las autoridades públicas se compensarán con el valor de la reducción del coste total de la propiedad de los sistemas informáticos y unos procesos de contratación pública más rápidos y fiables, mientras que los costes para las empresas se compensarán con el valor de una mayor previsibilidad de la dirección normativa y la reducción de la fragmentación de los enfoques nacionales, junto con la simplificación administrativa.

•Elección del instrumento

La Comisión propone un Reglamento como instrumento jurídico óptimo para la consecución de los objetivos de la propuesta, dada su capacidad para garantizar una aplicación uniforme y un efecto inmediato en todos los Estados miembros. Un Reglamento proporciona la seguridad jurídica y la coherencia necesarias para armonizar plenamente el marco regulador de los servicios de computación en nube. Este enfoque es esencial para eliminar las barreras del mercado único, en particular en ámbitos como la soberanía y las normas de sostenibilidad, en los que la divergencia de las normas nacionales podría socavar la soberanía tecnológica y la competitividad de la UE. Dada la urgencia geopolítica, incluida la necesidad de reducir las dependencias estratégicas de proveedores de terceros países, un Reglamento garantiza una respuesta rápida, coordinada y a escala de la UE, evitando retrasos o incoherencias que podrían derivarse de una actuación por separado de los Estados miembros.

3.RESULTADOS DE LAS EVALUACIONES EX POST, DE LAS CONSULTAS CON LAS PARTES INTERESADAS Y DE LAS EVALUACIONES DE IMPACTO

•Consultas con las partes interesadas

Entre octubre de 2024 y noviembre de 2025, se llevó a cabo una amplia consulta a las partes interesadas que incluyó las siguientes actividades de consulta.

Entre abril y julio de 2025, la Comisión organizó una consulta pública consistente en un cuestionario en línea y una convocatoria de datos para que las partes interesadas presentaran documentos de posición detallados en los que expusieran sus puntos de vista y recomendaciones sobre los objetivos y las acciones propuestas en la propuesta, al tiempo que aportaban pruebas directas para fundamentar el diseño de las opciones de actuación. Se recibió un total de 436 respuestas: 243 para la encuesta de consulta y 193 para la convocatoria de datos.

La consulta se completó con una serie de talleres, seminarios y mesas redondas. Cabe citar los siguientes: i) la Sexta Asamblea General y el Foro de la Alianza europea para los datos industriales y la computación periférica y en la nube; ii) mesas redondas, en particular sobre la inversión en computación en nube con inversores financieros, sobre medidas políticas para facilitar la integración de los centros de datos en la red de la Unión, con los directores generales de los proveedores europeos de servicios en nube sobre el desarrollo de ofertas soberanas en nube en la Unión y con la Cámara de Comercio Estadounidense; iii) seminarios con la industria, el mundo académico y las autoridades públicas sobre la dinámica económica de la pila de IA; y iv) presentaciones con la industria sobre la futura política de la UE en materia de nube e IA.

La Comisión también mantuvo un diálogo continuo con las autoridades pertinentes de los Estados miembros reunidas en el Grupo informal de cooperación en la nube de los Estados miembros en el marco de la Alianza europea para los datos industriales y la computación periférica y en la nube, complementado con reuniones bilaterales específicas.

Además, la Comisión entabló nuevas conversaciones bilaterales con terceros países, incluidos Japón, Suiza y el Reino Unido, para presentar y debatir las opciones de actuación consideradas, recabando al mismo tiempo información sobre las mejores prácticas y evaluando el efecto externo de las medidas consideradas.

Por último, la Comisión celebró más de cien reuniones bilaterales con una amplia gama de partes interesadas, incluidos representantes de la industria, instituciones académicas, grupos de reflexión y organizaciones de la sociedad civil, que apoyaron la formulación de las opciones políticas propuestas.

•Obtención y uso de asesoramiento especializado

La Comisión contrató a un consorcio dirigido por Technopolis Group para que llevara a cabo un estudio en apoyo de la fase de recogida y análisis de pruebas de la evaluación de impacto previa a la propuesta. El estudio incorporó múltiples actividades de participación de las partes interesadas, incluidas más de 60 entrevistas específicas, encuestas (más de 250 respuestas) y talleres (más de 100 participantes).

•Evaluación de impacto

La propuesta va acompañada de una evaluación de impacto exhaustiva, cuya versión final se presentó al Comité de Control Reglamentario el 30 de abril de 2026. El 8 de mayo de 2026, el Comité emitió un dictamen favorable acompañado de una solicitud de nuevas mejoras.

•Derechos fundamentales

La propuesta ha sido objeto de una evaluación exhaustiva de sus implicaciones para los derechos fundamentales, haciendo especial hincapié en la protección de los datos personales, tal como se garantiza en el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea. La propuesta introduce un marco para los servicios soberanos de computación en nube, que establece salvaguardias estrictas para garantizar que el tratamiento de datos personales de los ciudadanos de la UE cumpla las normas de protección de datos de la UE, incluido el Reglamento General de Protección de Datos. Al establecer estas normas, la propuesta minimiza los riesgos asociados al tratamiento de datos no conforme, reforzando al mismo tiempo la confianza en la infraestructura digital.

Uno de los objetivos fundamentales de la propuesta es reducir la dependencia de proveedores de terceros países, cuyas operaciones pueden estar sujetas a jurisdicciones no pertenecientes a la UE que pueden permitir el acceso a los datos y su transferencia. Por consiguiente, la propuesta refuerza la protección de los datos personales garantizando que dichos datos permanezcan bajo la supervisión efectiva de las autoridades de la UE, incluidas las agencias de protección de datos de los Estados miembros y el Comité Europeo de Protección de Datos. Este enfoque refuerza la seguridad jurídica y defiende el derecho a la privacidad consagrado en la Carta.

Además, la propuesta fomenta un mercado único competitivo para los servicios de computación en nube, en el que los proveedores estén plenamente vinculados por la legislación de la UE y sujetos a las obligaciones aplicables. Esto no solo mejora la disponibilidad y la continuidad de los datos, sino que también garantiza el cumplimiento coherente de las obligaciones jurídicas de la UE, como las relacionadas con los derechos de los interesados y la supervisión normativa. Al aumentar la presencia en el mercado de los proveedores establecidos en la UE, la propuesta integra aún más la protección de los derechos fundamentales en el ecosistema digital, ofreciendo garantías más sólidas contra el acceso no autorizado o el uso indebido de los datos personales. La proporcionalidad de estas medidas se ha considerado cuidadosamente para equilibrar la innovación con el imperativo de la protección de los derechos, en consonancia con los principios de la Carta.

4.REPERCUSIONES PRESUPUESTARIAS

Las repercusiones presupuestarias de la propuesta se describen detalladamente en la ficha financiera adjunta. Con el fin de aplicar eficazmente la iniciativa, se requieren 25 equivalentes a jornada completa (EJC), compuestos por 9 puestos de plantilla y 16 puestos de agentes contractuales. Esta configuración del personal se logrará mediante una combinación de redistribución y contratación adicional. En concreto, 15 miembros del personal existente serán redistribuidos desde la Comisión para apoyar la iniciativa, aprovechando sus conocimientos especializados y su experiencia en la gestión de acciones similares. El personal necesario se obtendrá de la DG CNECT y la DG DIGIT, donde actualmente están asignados a unidades pertinentes o se redistribuirán desde los servicios de la Comisión. Para complementar estos recursos existentes, la iniciativa requerirá 10 EJC adicionales: 6 EJC para la DG CNECT y 4 EJC para la DG DIGIT. Estos miembros adicionales del personal son necesarios para aumentar los niveles actuales de personal y garantizar el éxito de la ejecución de la iniciativa y la realización efectiva de nuevas actividades y tareas.

Los gastos administrativos adicionales asociados a las nuevas tareas descritas en la propuesta se financiarán principalmente a través de flujos de ingresos basados en tasas que se incluirán en los ingresos afectados internos, garantizando así un modelo de financiación sostenible y viable. En concreto, se utilizarán flujos basados en tasas para apoyar las tareas relacionadas con la contratación conjunta y la administración de la iniciativa EuroCloud, destinada a facilitar a los Estados miembros interesados la puesta en común de la capacidad no utilizada de la nube y los centros de datos.

5.OTROS ELEMENTOS

•Planes de ejecución y modalidades de seguimiento, evaluación e información

La Comisión debe supervisar la aplicación del presente Reglamento y evaluar su eficacia a lo largo del tiempo. Cinco años después de su entrada en vigor, la Comisión debe revisar el funcionamiento de la presente propuesta de Reglamento y presentar un informe al Parlamento Europeo y al Consejo. Estos informes, de carácter público, recogerán información detallada sobre la aplicación y el cumplimiento efectivos de la propuesta de Reglamento.

•Explicación detallada de las disposiciones específicas de la propuesta de Reglamento

El título I de la propuesta de Reglamento contiene las disposiciones generales, incluido el objeto (artículo 1) y las definiciones (artículo 2).

El título II contiene las disposiciones que establecen el marco para la ejecución de las actividades de desarrollo y despliegue en todo el ecosistema de la nube y la IA. El marco se organiza con las iniciativas de liderazgo en la nube y la IA y se refuerza con nuevas medidas de apoyo. En el capítulo I, el artículo 3 establece el objetivo general de las iniciativas de liderazgo en la nube y la IA destinadas a apoyar las actividades de investigación e innovación y lograr una capacidad a gran escala en todo el ecosistema de la nube y la IA de la Unión. El artículo 4 establece los objetivos operativos de las iniciativas de liderazgo en la nube y la IA El artículo 5 introduce una red de centros de experiencia y aceleración de la IA basada en los centros europeos de innovación digital y destinada a apoyar la consecución de los objetivos de las iniciativas de liderazgo en la nube y la IA. El artículo 6 establece los mecanismos de aplicación de las iniciativas de liderazgo en la nube y la IA El artículo 7 exige a los Estados miembros que adopten una estrategia nacional para la nube y la IA coherente con los objetivos del Reglamento en el plazo de un año a partir de su entrada en vigor. El artículo 8 establece criterios para que la Comisión reconozca los proyectos como proyectos prioritarios de IA de frontera. El artículo 9 apoya la asignación de recursos computacionales de IA a proyectos prioritarios de IA de frontera, apoyando al mismo tiempo proyectos de IA industrial y de IA física y el desarrollo y despliegue de modelos de IA para el sector público.

El título III establece la disposición sobre la capacidad de los centros de datos. En el capítulo I, el artículo 10 establece las obligaciones de los Estados miembros de designar zonas de aceleración de los centros de datos dentro de su territorio, cuando desplieguen capacidad de los centros de datos. El artículo 11 prescribe las condiciones en las zonas de aceleración de los centros de datos. El artículo 12 establece la obligación de que los Estados miembros designen puntos de información únicos o, cuando sea posible, mejoren los puntos de información únicos ya existentes, o se integren con estos, para los operadores de proyectos de centros de datos en zonas de aceleración de los centros de datos y otros principios que deben satisfacerse con respecto a las responsabilidades del punto de información. El artículo 13 aborda la facilitación de los procesos administrativos y de concesión de autorizaciones para los proyectos de centros de datos desplegados en las zonas de aceleración de los centros de datos. En el capítulo II, artículo 14, se establece el mecanismo de manifestación de interés y las condiciones y la designación por parte de la Comisión de proyectos estratégicos de centros de datos. En el capítulo III, el artículo 15 establece un mecanismo para que la Comisión supervise los avances de la Unión en el aumento de la capacidad de computación disponible, el volumen de la demanda de capacidad de centros de datos y la magnitud del déficit de capacidad.

El título IV contiene la disposición relativa a la autonomía y la adopción. En el capítulo I, sección 1, el artículo 16 establece un marco de soberanía de la Unión en materia de computación en nube que consta de cuatro niveles de garantía e introduce los requisitos establecidos en el anexo II del Reglamento para que se considere que los servicios de computación en nube ofrecen una garantía de la Unión de entre el nivel 1 y el nivel 4. El artículo 17 estableció un mecanismo para que los proveedores de servicios de computación en nube sean reconocidos como proveedores de un nivel 1, 2, 3 o 4 de garantía de la Unión, en el que deben presentar una solicitud de reconocimiento a la autoridad nacional competente de establecimiento. El artículo 18 establece las condiciones y un mecanismo para un posible reconocimiento de terceros países como proveedores de garantías suficientes para que los servicios de computación en nube controlados desde dicho tercer país puedan optar al nivel 3 de garantía de la Unión. En la sección 2, artículo 19, se establecen las condiciones para la autoevaluación de la conformidad que documenta la armonización con los requisitos del nivel 1 de garantía de la Unión. En la sección 3, artículo 20, se establece el marco de evaluación realizado por las entidades auditoras con respecto a los requisitos de los niveles 2-4 de garantía de la Unión. El artículo 21 establece los requisitos aplicables a la evidencia de auditoría que debe establecerse como parte de la evaluación por terceros de los requisitos con arreglo a los niveles 2-4 de garantía de la Unión. El artículo 22 establece la obligación de la Comisión de crear y mantener un repositorio central de servicios reconocidos que ofrezcan niveles 1-4 de garantía de la Unión. El artículo 23 establece obligaciones de transparencia para que los proveedores de servicios de computación en nube informen de cualquier cambio sustancial que pueda justificar un cambio resultante en su reconocimiento como proveedor de niveles 1-4 de garantía de la Unión. El artículo 24 establece el régimen de sanciones e indemnizaciones aplicable a las infracciones cometidas por los proveedores de servicios de computación en nube. En la sección 4, artículo 25, se establecen las obligaciones de los Estados miembros de designar una autoridad nacional competente. El artículo 26 establece las competencias de las autoridades nacionales competentes designadas por los Estados miembros. En la sección 5, artículo 27, se establecen los principios de asistencia mutua entre las autoridades nacionales competentes de los Estados miembros en el contexto del intercambio de información y la investigación a efectos del presente Reglamento. El artículo 28 establece los principios de cooperación transfronteriza entre las autoridades nacionales competentes de los Estados miembros en el contexto de las medidas de ejecución. En el capítulo II, sección 1, artículo 29, se establecen las obligaciones de los Estados miembros y las entidades de la Unión de llevar a cabo evaluaciones de riesgos para determinar el nivel de conformidad requerido con respecto a los niveles 2-4 de garantía de la Unión para las diferentes actividades del sector público. El artículo 30 establece la obligación de que los poderes adjudicadores que contraten servicios de computación en nube adquieran, como requisito mínimo, el nivel 1 de garantía de la Unión. Cuando una evaluación de riesgos determine que las actividades de dichos poderes adjudicadores son pertinentes para el orden público, solo deben contratar y utilizar servicios que hayan demostrado ofrecer los niveles 2, 3 o 4 de garantía de la Unión. La sección 2, artículo 31, permite a las entidades del sector privado en el sentido de la Directiva SRI 2 llevar a cabo evaluaciones de impacto con una finalidad similar a las realizadas por entidades de la Unión y organismos del sector público. La sección 3, artículo 32, establece la obligación de que los poderes adjudicadores de los Estados miembros apliquen criterios de valor añadido de la Unión en la contratación pública de servicios de computación en nube y sistemas de IA incluidos en el ámbito de aplicación del Reglamento. El artículo 33 establece la obligación de que los Estados miembros supervisen su contratación pública de servicios de innovación de computación en nube y sistemas de IA, introduce un marco de notificación simplificado y crea vínculos con las estrategias nacionales para la nube y la IA en las que los Estados miembros deben elaborar planes para la consecución de los objetivos del presente artículo. En el capítulo III, el artículo 34 establece la Federación en la nube del sector público europeo (en lo sucesivo, «Federación EuroCloud») y establece su ámbito de aplicación y su finalidad. El artículo 35 establece las condiciones aplicables al intercambio de servicios de centros de datos y servicios de computación en nube dentro de la Federación EuroCloud. El artículo 36 establece el modo en que la Comisión puede recuperar los costes incurridos en relación con la Federación EuroCloud, incluida la creación de la Federación EuroCloud y de la plataforma que facilita el intercambio de servicios entre sus miembros. El capítulo IV, artículo 37, establece las condiciones para que la Comisión lleve a cabo actividades de contratación pública para las entidades de la Unión, los poderes adjudicadores de los Estados miembros y las organizaciones asociadas seleccionadas por la Comisión, en particular estableciendo las excepciones necesarias al Reglamento Financiero. El artículo 38 establece las disposiciones necesarias para aplicar el marco de contratación común, incluido el mecanismo de gobernanza. El artículo 39 establece las normas de contratación pública aplicables. El artículo 40 establece el mecanismo de compensación de los costes en que incurra la Comisión por el funcionamiento del marco de contratación común mediante tasas cobradas a los poderes adjudicadores participantes. El capítulo VI, artículo 41, establece las obligaciones de las entidades de la Unión y los organismos del sector público de fomentar y facilitar el uso de soluciones de código abierto frente a las soluciones patentadas. El artículo 42 establece los requisitos sobre el intercambio y la reutilización de software desarrollado por o para entidades de la Unión y organismos del sector público. El artículo 43 establece la obligación de la Comisión de proporcionar y mantener un catálogo de soluciones de código abierto. El artículo 44 establece las normas para la creación de una red de oficinas de programas de código abierto de los Estados miembros.

El título V establece las disposiciones finales, incluidos los poderes de la Comisión para adoptar actos delegados (artículo 45) y actos de ejecución (artículo 46), la cláusula de revisión (artículo 47) y la especificación de la entrada en vigor y las fechas de aplicación del Reglamento (artículo 48).

2026/0138 (COD)

Propuesta de

REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO

(Texto pertinente a efectos del EEE)

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 114 y su artículo 173, apartado 3,

Vista la propuesta de la Comisión Europea,

Previa transmisión del proyecto de acto legislativo a los Parlamentos nacionales,

Visto el dictamen del Comité Económico y Social Europeo 1 ,

Visto el dictamen del Comité de las Regiones 2 ,

De conformidad con el procedimiento legislativo ordinario,

Considerando lo siguiente:

(1)La Unión está comprometida a llegar a ser un líder mundial en inteligencia artificial (IA). Al permitir una innovación más rápida, una mayor eficiencia y una toma de decisiones más inteligente, la IA contribuye a importantes beneficios económicos, medioambientales y sociales y es un motor fundamental de la competitividad. Con el fin de aprovechar plenamente los beneficios de la IA en todos los sectores clave de la economía, la Unión debe actuar con ambición y previsión, avanzando en sus capacidades de innovación y reforzando su competitividad y la seguridad del suministro, al tiempo que refuerza su soberanía tecnológica y su autonomía estratégica en tecnologías digitales de vanguardia.

(2)La Unión ya ha sentado unas bases sólidas para situar a Europa como un continente que lidera el desarrollo y la adopción de la IA, en particular a través de la Comunicación sobre el Plan de «Acción Continente de IA» 3 y la Estrategia para la Aplicación de la IA 4 . Con el Reglamento (UE) 2023/2854 del Parlamento Europeo y del Consejo sobre normas armonizadas para un acceso justo a los datos y su utilización 5 (en lo sucesivo, «Reglamento de Datos») y la Estrategia para una Unión de Datos 6 , la Unión también ha establecido el marco necesario para crear un mercado único de datos seguro e interoperable, que sustente el desarrollo de la IA.

(3)El Parlamento Europeo, el Consejo, la Comisión y los Estados miembros se han comprometido a cooperar para lograr la soberanía tecnológica de la Unión de manera abierta, en particular mediante infraestructuras digitales y de datos seguras y accesibles que permitan otros desarrollos tecnológicos, apoyando la competitividad y la sostenibilidad de la industria y la economía de la Unión, en particular de las pequeñas y medianas empresas (pymes) 7 y las pequeñas empresas de mediana capitalización 8 , y la resiliencia de las cadenas de valor de la Unión, así como fomentando el ecosistema de empresas emergentes, en particular mediante el buen funcionamiento de los antiguos centros europeos de innovación digital, que se han reorientado como centros de experiencia y aceleración de la IA.

(4)La Unión depende cada vez más de un número limitado de proveedores de servicios de computación en nube de terceros países. El refuerzo de la capacidad de la Unión para desarrollar y desplegar tecnologías en la nube y de IA en su territorio se ha convertido en una prioridad estratégica para la competitividad, la seguridad del suministro y la soberanía tecnológica de la Unión, como se destaca en el informe de Mario Draghi sobre el futuro de la competitividad europea 9 y en consonancia con la Comunicación «Fortalecer la seguridad económica de la UE» 10 . Estos retos para el ecosistema de la nube y la IA de la Unión exigen el desarrollo de capacidades tecnológicas a gran escala y apoyo en relación con las actividades de investigación e innovación, y requieren un esfuerzo colectivo por parte de los Estados miembros, además del apoyo de la Unión al desarrollo y el despliegue de tecnologías de la nube y la IA y de capacidad de computación en nube a gran escala.

(5)Estas dependencias no solo se traducen en cuotas de mercado limitadas para los proveedores europeos de servicios de computación en nube, sino también en riesgos significativos para la autonomía operativa, la resiliencia y la seguridad de la Unión. El Consejo ha pedido que la Ley de desarrollo de la computación en la nube y la inteligencia artificial incluya criterios comunes para los servicios soberanos de computación en nube, que permitan abordar los riesgos de transparencia del mercado y los riesgos asociados a las dependencias, incluidos los efectos extraterritoriales de la legislación adoptada por terceros países 11 .

(6)Debe establecerse un marco para aumentar la resiliencia y la seguridad de la Unión en el ámbito de las tecnologías de la nube y la IA, reforzando el ecosistema de la nube y la IA de la Unión mediante la reducción de las dependencias, la mejora de la soberanía tecnológica, el estímulo de la inversión y el refuerzo de las capacidades, la seguridad, la adaptabilidad y la resiliencia de la cadena de suministro de la Unión en los ámbitos de la nube y la IA.

(7)El marco persigue objetivos distintos, basándose en dos bases jurídicas distintas.

(8)En primer lugar, es necesario reforzar la competitividad, la capacidad y la resiliencia de la base tecnológica e industrial de la nube y la IA de la Unión, de conformidad con el artículo 173, apartado 3, del Tratado de Funcionamiento de la Unión Europea (TFUE). Dichas medidas no deben implicar la armonización de las disposiciones legales o reglamentarias nacionales. A tal fin, el presente Reglamento establece la Iniciativa de liderazgo en la nube y la Iniciativa de liderazgo en la IA (las «iniciativas de liderazgo en la nube y la IA») para fomentar el desarrollo de tecnologías e instalaciones de vanguardia de la nube y la IA y garantizar su despliegue generalizado, colmando la laguna entre las capacidades avanzadas de investigación e innovación de la Unión y su explotación sostenible.

(9)En segundo lugar, la capacidad de computación disponible y la resiliencia del ecosistema de la nube y la IA pueden abordarse mejor mediante medidas de armonización de la Unión sobre la base del artículo 114 del TFUE. A fin de garantizar el funcionamiento del mercado interior, es necesario un marco regulador único y coherente que armonice determinadas condiciones para los proveedores de servicios y los implementadores de servicios de computación en nube, incluido el desarrollo de capacidades y la prestación de servicios de computación en nube.

(10)La definición de «servicio de computación en nube» del presente Reglamento debe ser la misma que la del artículo 6, punto 30, de la Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo 12 , que define un «servicio de computación en nube» como un servicio digital que hace posible la administración bajo demanda y el acceso remoto amplio a un conjunto modulable y elástico de recursos computacionales que se pueden compartir, también cuando dichos recursos están distribuidos entre varias ubicaciones. Esta definición de «servicio de computación en nube» abarca el acceso bajo demanda a los sistemas de IA, tal como se definen en el artículo 3, punto 1, del Reglamento (UE) 2024/1689 («Reglamento de Inteligencia Artificial») 13 del Parlamento Europeo y del Consejo, alojados y gestionados a distancia. Solo la entrega y puesta a disposición de un sistema de IA forma parte del servicio. El propio sistema de IA y su modelo subyacente quedan excluidos del ámbito de aplicación de esta definición.

(11)Las iniciativas de liderazgo en la nube y la IA deben reforzar la competitividad y la resiliencia de la base tecnológica e industrial de la nube y la IA de la Unión, reforzando al mismo tiempo la capacidad de innovación de su ecosistema de la nube y la IA y logrando el despliegue de infraestructuras digitales a gran escala, en consonancia con los objetivos establecidos en el Plan de Acción «Continente de IA» y en la Estrategia para la Aplicación de la IA. En particular, las iniciativas de liderazgo en la nube y la IA deben aumentar la capacidad de nube y de centros de datos de la Unión, al tiempo que promueven tecnologías de vanguardia de la nube y la IA, junto con una amplia adopción de la nube y la IA en toda la economía de la Unión. También debe propiciar la investigación avanzada en el despliegue sectorial específico de la IA de frontera, física e industrial. La Estrategia para la Aplicación de la IA debe ampliar las ambiciones y los objetivos establecidos en el Plan de Acción «Continente de IA» y debe actualizarse cuando sea necesario para tener en cuenta los últimos avances tecnológicos y el progreso realizado en las iniciativas de liderazgo en la nube y la IA.

(12)Con el fin de alcanzar estos objetivos generales, las iniciativas de liderazgo en la nube y la IA deben apoyar objetivos operativos complementarios diseñados como iniciativas ejecutables que deben aplicarse a escala de la Unión.

(13)Para que los centros de datos puedan actuar como facilitadores clave de una transición digital sostenible, las iniciativas de liderazgo en la nube y la IA deben apoyar las capacidades de investigación e innovación para el desarrollo de tecnologías de centros de datos que incorporen principios de eficiencia energética y de recursos desde el diseño y en todas las operaciones, con vistas a lograr la sostenibilidad a gran escala. Esto incluye el avance de tecnologías informáticas eficientes en el uso de los recursos, como la optimización de la eficiencia energética e hídrica, el uso de tecnologías emergentes de computación cuántica, el desarrollo de tecnologías impulsadas por la IA para la eficiencia de los servidores, la integración de la infraestructura informática con las redes energéticas, la promoción de la adopción de energías limpias y la generación de energía in situ en los centros de datos. Las iniciativas de liderazgo en la nube y la IA también deben proporcionar acceso a líneas piloto para que las tecnologías de los centros de datos orienten y aceleren la adopción de la innovación en el mercado. Estos proyectos piloto deben funcionar como instalaciones de demostración para tecnologías de semiconductores de vanguardia y de centro de datos de vanguardia, prototipos de computación cuántica y herramientas de gestión de centros de datos impulsadas por IA.

(14)Las iniciativas de liderazgo en la nube y la IA también deben apoyar la investigación, las actividades de desarrollo y la adopción de tecnologías de pila de computación en nube con vistas a reducir el déficit de capacidad y reforzar la autonomía tecnológica de la Unión. En particular, las iniciativas de liderazgo en la nube y la IA deben fomentar el desarrollo de pilas de computación en nube alternativas para sectores estratégicos. También debe facilitar el desarrollo de servidores y software optimizados para la IA, incluidos los procesadores y aceleradores fabricados y diseñados en la Unión, como los desarrollados en virtud del Reglamento (UE) 2026/XXX del Parlamento Europeo y del Consejo 14 . Además, tanto las iniciativas de liderazgo en la nube y la IA en virtud del presente Reglamento como la iniciativa Chips para Europa 2.0 apoyada por dicho Reglamento deben fomentar el diseño conjunto y la optimización cruzada del desarrollo de hardware y software y la integración de las infraestructuras informáticas de IA. Además, las iniciativas de liderazgo en la nube y la IA deben apoyar el desarrollo y el despliegue complementarios de una plataforma inteligente y segura de soporte intermedio (middleware) en la nube para espacios comunes europeos de datos, de conformidad con la Estrategia para una Unión de Datos.

(15)Las iniciativas de liderazgo en la nube y la IA también deben promover el desarrollo de tecnologías basadas en normas abiertas, especificaciones abiertas y código abierto y fomentar el desarrollo de tecnologías innovadoras, competitivas y resilientes de la nube y la IA. Debe fomentar el trabajo sobre normas y especificaciones abiertas y la creación de fundaciones de software de código abierto que apoyen el diseño, el desarrollo y el mantenimiento de componentes de código abierto, en particular proporcionando mecanismos de gobernanza y coordinación y facilitando la puesta en común de recursos. Las iniciativas de liderazgo en la nube y la IA también deben crear un catálogo de herramientas de software, incluido el código abierto, a fin de permitir la federación con los catálogos existentes para los sectores público y privado y desarrollar una ventanilla única para los recursos de código abierto en la Unión.

(16)Las tecnologías de IA de frontera están avanzando rápidamente y se espera que tengan un profundo impacto en la economía y la sociedad de la Unión. Dado que estas tecnologías se han convertido en activos estratégicos críticos, reforzar la capacidad de la Unión para desarrollarlas y gobernarlas es esencial para garantizar que la transición de la IA se ajuste a los valores, las normas de seguridad y los intereses económicos a largo plazo de la Unión. Al apoyar proyectos pioneros, la Unión debe ampliar los avances esenciales para mantener una ventaja competitiva en la economía digital mundial. El fomento del desarrollo de tecnologías de IA de vanguardia como activos estratégicos también debe reducir las dependencias actuales de tecnologías de terceros países y reforzar el ecosistema de IA de la Unión.

(17)La aparición de la IA física, que se refiere a los sistemas y modelos de IA capaces de percibir el entorno físico y ejecutar acciones complejas dentro de dicho entorno, representa una frontera prometedora en la que la inteligencia digital avanzada se integra en sistemas tangibles, como la robótica, los drones autónomos y los vehículos autónomos. La IA física es esencial para mitigar las dependencias externas y fomentar la competitividad industrial y la autonomía estratégica. Requiere un enfoque específico de la infraestructura informática y de datos. Por lo tanto, es necesario facilitar la recogida y preparación de datos de alta calidad y el acceso a recursos computacionales. Además, es necesario un apoyo específico para la prueba y validación de modelos y sistemas de IA física en diversos entornos del mundo real a fin de garantizar su solidez y fiabilidad.

(18)La transformación digital de las industrias clave de la Unión es un pilar central de la Estrategia para la Aplicación de la IA. Acelerar la adopción de la IA en estos sectores estratégicos es esencial para mantener la competitividad mundial y aumentar los beneficios sociales. Las iniciativas de liderazgo en la nube y la IA deben acelerar el desarrollo y la adopción de la IA industrial en todos los sectores industriales y de servicios estratégicos de la Unión, fomentando al mismo tiempo el desarrollo tecnológico de modelos sectoriales de IA altamente capaces diseñados para cumplir los requisitos operativos de las industrias prioritarias en el marco de la Estrategia para la Aplicación de la IA, como la asistencia sanitaria, el transporte, incluido el sector aeroespacial, la automoción, la fabricación, la defensa y el espacio, el clima y el medio ambiente, y el sector agroalimentario. Las iniciativas de liderazgo en la nube y la IA también deben acelerar el desarrollo de los sectores de servicios prioritarios en la estrategia de uso de la IA y los descubrimientos científicos como prioridades en la Estrategia para la Aplicación de la IA en la ciencia, en consonancia con el documento COM(2025) 724 final.

(19)En el ámbito de la asistencia sanitaria, estos avances deben mejorar la precisión de las decisiones clínicas y transformar el sector farmacéutico. En el sector del automóvil, deben apoyar el desarrollo, la prueba y el despliegue de plataformas de software innovadoras que contribuyan al liderazgo industrial de la Unión en vehículos definidos por software y en la conducción autónoma. Las iniciativas de liderazgo en la nube y la IA también deben reducir los obstáculos para probar y desplegar modelos de IA, en particular en las ciudades y regiones que contribuyen al desarrollo del liderazgo de la Unión en vehículos definidos por software y en la conducción autónoma. Además, los Estados miembros deben facilitar el desarrollo, la prueba y el despliegue de sistemas de IA para la conducción autónoma, en particular mediante la cooperación con los centros de IA, la industria automovilística, los proveedores, las ciudades y las regiones, con vistas a permitir el despliegue seguro y fiable de soluciones de movilidad conectada y autónoma basadas en la IA en diversos entornos europeos. En cuanto a la fabricación, la Comisión debe facilitar la puesta en común de datos en todos los sectores industriales a través de terceros de confianza para entrenar modelos especializados de IA, garantizando un volumen suficiente de datos de entrenamiento y preservando estrictamente los derechos de propiedad intelectual. Deben explorarse enfoques de computación seguros y verificables para permitir el uso de la IA en contextos sensibles. En el sector de la defensa, en el que la IA se ha convertido en una tecnología disruptiva con un impacto significativo en la seguridad y la defensa, las iniciativas de liderazgo en la nube y la IA podrían apoyar el desarrollo de capacidades avanzadas en plena complementariedad con los instrumentos específicos de la Unión de apoyo a la industria de la defensa, incluidos el Fondo Europeo de Defensa (FED) y el Programa para la Industria de Defensa Europea (EDIP), y sin perjuicio de estos. En el sector espacial, los avances digitales deben transformar la forma en que se gestionan y utilizan los activos, los servicios y los flujos de datos espaciales, y en el ámbito del transporte, los avances digitales en la aviación deben transformar la forma en que se gestionan las operaciones, permitiendo que la IA aproveche décadas de datos operativos, de misión y de observación disponibles. En el ámbito del clima y el medio ambiente, debe desarrollarse la IA geoespacial, en particular aprovechando los datos de observación de la Tierra del programa Copernicus y las capacidades de los programas espaciales y de conectividad de la Unión en general 15 . En la agricultura, la IA puede convertir los datos de sensores, satélites y maquinaria agrícola en información práctica para los agricultores. Puede reforzar la competitividad y la resiliencia, por ejemplo, mejorando la previsión del rendimiento, permitiendo la detección temprana de plagas y enfermedades, optimizando el riego y el uso de fertilizantes y apoyando una producción de alimentos más sostenible. Dado que el despliegue de la IA en contextos industriales requiere una validación rigurosa en entornos reales, la Unión debe proporcionar a los agentes industriales herramientas y entornos de prueba de IA basados en la nube.

(20)La Unión también debe fomentar la disponibilidad de infraestructuras informáticas de alta seguridad para el entrenamiento, la prueba y el despliegue de modelos y sistemas de IA relacionados con la defensa.

(21)A medida que los agentes de IA se han vuelto cada vez más capaces y las aplicaciones de IA se han integrado más profundamente en escenarios empresariales reales, la industria está evolucionando rápidamente hacia un nuevo paradigma que dota a dichos sistemas de capacidades de ejecución autónomas. Esta transición a un nuevo paradigma requiere un marco técnico sólido para garantizar la seguridad, la exactitud y el cumplimiento de la legislación de dichos sistemas, habida cuenta de los estrictos requisitos de ingeniería relativos a las plataformas de IA. En consecuencia, las iniciativas de liderazgo en la nube y la IA deben tener por objeto establecer plataformas de IA soberanas y seguras dedicadas al despliegue y la organización a gran escala de agentes avanzados de IA. Estas plataformas deben contar con el apoyo de marcos de organización innovadores que garanticen la transparencia y la rendición de cuentas en las interacciones entre múltiples agentes. También es necesario facilitar el desarrollo de metodologías rigurosas de prueba y experimentación de agentes de IA y orquestación para minimizar el comportamiento autónomo involuntario.

(22)Las iniciativas de liderazgo en la nube y la IA deben aumentar el desarrollo y la adopción de modelos y sistemas de IA en todo el sector público de la Unión. En particular, los modelos y sistemas de IA deben utilizarse para apoyar una mejor toma de decisiones, simplificar los procedimientos administrativos y reducir las cargas innecesarias, en particular en ámbitos públicos críticos como la asistencia sanitaria, en los que debe facilitarse la reutilización de datos para modelos y herramientas de IA, garantizando al mismo tiempo la seguridad y la protección de datos. A tal fin, procede adoptar medidas para mejorar la calidad de los datos del sector público y promover el intercambio y la reutilización de datos de entrenamiento y modelos de IA en todo el sector público de la Unión, evitando así la fragmentación y permitiendo la expansión de soluciones de éxito y orientadas al usuario.

(23)Las iniciativas de liderazgo en la nube y la IA deben contribuir a acelerar la adopción de la IA y la computación en nube a gran escala, también a escala regional y local. Debe promoverse una amplia adopción de la IA en los sectores público y privado a través de la red de centros de IA. Aprovechando esta red, deben desarrollarse medidas de apoyo complementarias para contribuir a alcanzar el objetivo de transformación digital de las empresas establecido en la Decisión (UE) 2022/2481 del Parlamento Europeo y del Consejo 16 («Programa Estratégico de la Década Digital para 2030»). Además, debe elaborarse un plan de estudios específico sobre computación en nube y competencias en IA para dotar a los trabajadores tanto del sector público como del privado de competencias avanzadas con el fin de reducir la dependencia de proveedores no pertenecientes a la UE y desarrollar capacidades de próxima generación, en consonancia con las políticas de la Unión en el ámbito de la educación, la formación y las competencias, incluida la Comunicación sobre la Unión de las Competencias 17 Cuando proceda, el plan de estudios debe basarse en las iniciativas europeas pertinentes, como la Academia de Competencias en IA, los centros de IA y la Academia de la Europa Interoperable, e incluir la participación de las partes interesadas con los conocimientos especializados necesarios.

(24)Las iniciativas de liderazgo en la nube y la IA también deben garantizar la adopción de los servicios de computación en nube prestados por los proveedores europeos de servicios de computación en nube en todos los sectores públicos y privados, a fin de garantizar que la adopción de la nube sea coherente con el objetivo de reforzar la autonomía tecnológica de la Unión, en particular en sectores como la asistencia sanitaria y la educación, que implican el tratamiento de datos críticos. Este objetivo podría aprovechar los resultados de los Consorcios de Infraestructuras Digitales Europeas, incluidas las infraestructuras compartidas, las normas comunes y las mejores prácticas. Las iniciativas de liderazgo en la nube y la IA deben apoyar la creación de la federación en la nube del sector público europeo («la Federación EuroCloud») en virtud del presente Reglamento para facilitar el intercambio de servicios de centros de datos del sector público seguros y resilientes y de servicios de computación en nube. Además, las iniciativas de liderazgo en la nube y la IA deben apoyar las actividades de contratación llevadas a cabo por la Comisión para las instituciones, órganos y organismos de la Unión («entidades de la Unión»), pero también para los poderes adjudicadores nacionales de toda la Unión, ya que la contratación de servicios digitales no solo debe avanzar en la digitalización de los organismos del sector público, sino también permitirles utilizar su poder de compra y acelerar la adopción de soluciones digitales resilientes y seguras.

(25)Los Estados miembros deben establecer centros de experiencia y aceleración de la IA («centros de IA») con vistas a garantizar una cobertura adecuada de su territorio. Los centros de IA deben actuar como aceleradores regionales y locales para la adopción y el despliegue de la IA, la computación en nube y otras tecnologías avanzadas en toda la Unión, apoyando a las pymes, las pequeñas empresas de mediana capitalización y los organismos del sector público en su transformación digital. Con el fin de facilitar la integración de la IA en sectores industriales estratégicos, los centros de IA también deben establecer sinergias con las iniciativas puestas en marcha en el marco de la Estrategia para una Unión de Datos. Al proporcionar conocimientos especializados, pruebas, competencias y apoyo a la innovación, los centros de IA deben reforzar la competitividad y la resiliencia de la base industrial de la IA de la Unión, reforzando al mismo tiempo la capacidad de innovación y el despliegue generalizado de la IA y otras tecnologías avanzadas en toda la Unión. La red debe basarse en la red de centros europeos de innovación digital. La red colaborará estrechamente con otras iniciativas que apoyen la adopción de la IA y otras tecnologías avanzadas, como las instalaciones de prueba y experimentación y las factorías de IA. Debe basarse en iniciativas relacionadas con las competencias, como la asociación a gran escala en el ecosistema digital en el marco del Pacto por las Competencias y las academias de competencias, incluida la Academia de Competencias en IA.

(26)La aplicación de las iniciativas de liderazgo en la nube y la IA debe confiarse a la Comisión y a los Estados miembros. La aplicación de las iniciativas de liderazgo en la nube y la IA también debe confiarse, cuando proceda, a cualquier otra estructura con los conocimientos especializados y los recursos adecuados. En particular, sin perjuicio del próximo marco financiero plurianual (2028-2034), debe ser posible confiar la ejecución de las iniciativas de liderazgo en la nube y la IA a empresas comunes, como la Empresa Común para las Redes y los Servicios Inteligentes (en lo sucesivo, la «Empresa Común»), creada por el Reglamento (UE) 2021/2085 del Consejo 18 , o la Empresa Común de Informática de Alto Rendimiento Europea (en lo sucesivo, «Empresa Común EuroHPC»), creada por el Reglamento (UE) 2021/1173 del Consejo 19 , y, en su caso, a su sucesora.

(27)Los objetivos operativos de las iniciativas de liderazgo en la nube y la IA deben aplicarse, en particular, mediante el establecimiento de objetivos ambiciosos y con visión de futuro que tengan por objeto ir más allá del estado actual de la técnica en el desarrollo de infraestructuras, la computación en nube y la IA. Por consiguiente, las iniciativas de liderazgo en la nube y la IA deben apoyar grandes retos estratégicos centrados en el desarrollo y el despliegue de tecnologías e infraestructuras de vanguardia de la nube y la IA de importancia clave para la Unión. Estos grandes retos deben basarse en los establecidos en el Reglamento (UE) 2026/XXX [Reglamento de Chips 2.0], sobre un marco de medidas para reforzar el ecosistema europeo de semiconductores cuyo objetivo es permitir las tecnologías de semiconductores que sustentan la IA, la computación en nube, los centros de datos y las infraestructuras periféricas.

(28)Las iniciativas de liderazgo en la nube y la IA podrán recibir financiación de programas y otros instrumentos de la Unión, en particular de Horizonte Europa y del programa Europa Digital, así como del programa InvestEU, de conformidad con el Reglamento (UE) 2021/694 20 , el Reglamento (UE) 2021/695 21 y el Reglamento (UE) 2021/523 22 .En el marco financiero plurianual 2028-2034, las iniciativas de liderazgo en la nube y la IA podrían seguir recibiendo apoyo en el marco de sucesivos programas de la Unión, a reserva de su adopción y de conformidad con sus respectivas bases jurídicas.

(29)Además de recibir financiación en el marco de los programas de la Unión, las iniciativas de liderazgo en la nube y la IA podrán recibir el apoyo de los Estados miembros a través de medidas de investigación, desarrollo e innovación, en consonancia con las normas aplicables en materia de ayudas estatales, garantizando que las políticas nacionales y la política de la Unión sean coherentes entre sí, así como a través de inversiones del sector privado. En particular, debe animarse a las partes interesadas del sector privado a que tengan en cuenta las iniciativas de liderazgo en la nube y la IA a la hora de desarrollar sus estrategias de inversión para la computación en nube y la IA. De este modo, las inversiones privadas pueden ayudar a proporcionar una vía de inversión coherente y coordinada en consonancia con los objetivos políticos más amplios y los objetivos de aplicación a largo plazo establecidos por las iniciativas de liderazgo en la nube y la IA.

(30)La Comisión debe recibir asesoramiento de las partes interesadas con los conocimientos especializados adecuados sobre la aplicación de las iniciativas de liderazgo en la nube y la IA. En particular, la Comisión debe fomentar la cooperación con los foros de expertos y consultivos existentes, como la Alianza europea para los datos industriales y la computación periférica y en la nube, la Alianza para el uso de la IA y la Alianza industrial sobre tecnologías de procesadores y semiconductores. La Alianza europea para los datos industriales y la computación periférica y en la nube debe actuar como foro de intercambio para diversas partes interesadas en las tecnologías periféricas y en la nube de próxima generación, incluidas las empresas, los representantes de los Estados miembros y otros expertos pertinentes. Debe ayudar a la Comisión a diseñar hojas de ruta de inversiones estratégicas para permitir la próxima generación de tecnologías informáticas altamente seguras, distribuidas, interoperables y eficientes en el uso de los recursos. La Alianza para el uso de la IA debe actuar como foro de coordinación para que las partes interesadas en la IA y los responsables políticos avancen en el debate sobre el potencial de la IA en sectores estratégicos de la Unión. La Alianza para el uso de la IA debe seguir contribuyendo a la consecución de los objetivos de la Estrategia para la Aplicación de la IA, en particular mediante la organización de talleres industriales, la identificación y evaluación de nuevos casos de uso de la IA en sectores estratégicos y la convocatoria de acciones políticas de apoyo específicas. Junto con la Alianza para el uso de la IA, el Observatorio de la IA debe proporcionar indicadores sólidos para evaluar el impacto de la IA en sectores estratégicos, supervisar los avances y tendencias tecnológicos, así como los cambios que pueda aportar al mercado laboral.

(31)Las iniciativas de liderazgo en la nube y la IA deben mejorar las sinergias con las acciones actualmente apoyadas por la Unión y los Estados miembros, también en el marco de Horizonte Europa y el programa Europa Digital, así como el Reglamento (UE) 2021/1173 del Consejo y el Reglamento (UE) 2026/XXX [Reglamento de Chips 2.0], sobre un marco de medidas para reforzar el ecosistema europeo de semiconductores. La Comisión y los Estados miembros deben garantizar la coherencia, la complementariedad y las sinergias entre las iniciativas de liderazgo en la nube y la IA y las estrategias, programas y planes de inversión nacionales y regionales pertinentes, incluidos los ejecutados en el marco de los programas nacionales de reforma, las estrategias de especialización inteligente, los planes de recuperación y resiliencia y otros instrumentos de financiación nacionales o regionales que apoyen los objetivos de las iniciativas de liderazgo en la nube y la IA. Dicha coordinación debe tener por objeto maximizar el impacto de las inversiones públicas, evitar la duplicación de la financiación, promover la armonización de las prioridades en todos los niveles de gobernanza y facilitar la ampliación y el despliegue de los resultados en toda la Unión.

(32)A fin de garantizar que las políticas de la Unión y de los Estados miembros sean coherentes entre sí, los Estados miembros deben adoptar estrategias nacionales para contribuir a la consecución de los objetivos de la Unión en materia de desarrollo de la nube y la IA, en consonancia con el Plan de Acción «Continente de IA» y la Estrategia para la Aplicación de la IA. Las estrategias nacionales deben incluir, en particular, el principio de «priorizar la IA» definido en la Estrategia para la Aplicación de la IA, instando a las organizaciones a reflexionar sobre sus procesos empresariales, teniendo en cuenta las necesidades de la IA y las oportunidades que ofrece, al tiempo que se tienen en cuenta los riesgos potenciales. Las estrategias nacionales para la nube y la IA también deben estar en consonancia con las metas digitales asociadas establecidas en virtud de la Decisión (UE) 2022/2481 23 , en particular en lo que respecta a la adopción de servicios de computación en nube, macrodatos e IA por parte de al menos el 75 % de las empresas de la Unión para sus operaciones comerciales, y el despliegue de al menos 10 000 nodos de proximidad de alta seguridad y climáticamente neutros en la Unión, garantizando al mismo tiempo una baja latencia. Las medidas adoptadas en el marco de las estrategias nacionales podrían servir de base para las hojas de ruta estratégicas nacionales para la Década Digital.

(33)Cuando un Estado miembro ya haya adoptado una estrategia nacional que cubra adecuadamente los objetivos establecidos en el presente Reglamento, no debe estar obligado a adoptar otra estrategia. No obstante, si un Estado miembro detecta lagunas en su estrategia existente a la luz de dichos objetivos, debe actualizarla en consecuencia. El Consejo Europeo de Inteligencia Artificial creado por el Reglamento de Inteligencia Artificial («Consejo de IA») desempeña un papel central a la hora de garantizar la aplicación coherente y eficaz de la política de la Unión en materia de IA. Dado que la computación en nube sustenta y permite la IA, el Consejo de IA debe servir de plataforma para facilitar la cooperación y la coordinación de las actividades relacionadas con la adopción de la IA entre la Unión y los Estados miembros. Para llevar a cabo esta tarea, el Consejo de IA debe contar con los conocimientos especializados necesarios y la participación adecuada.

(34)Dada la magnitud sin precedentes de los recursos necesarios para el desarrollo de la IA de frontera, es necesario establecer criterios para la designación de un proyecto como proyecto prioritario de IA de frontera. Estos proyectos deben apoyar el desarrollo y la expansión de tecnologías de IA de vanguardia, en particular en el sector de la ciberseguridad. Habida cuenta de su complejidad técnica y de su carácter intensivo en capital, los proyectos requieren un enfoque colaborativo a escala de la Unión. Procede, por tanto, exigirles que involucren a un gran número de entidades de toda la Unión, en particular a través de los Consorcios de Infraestructuras Digitales Europeas establecidos en virtud de la Decisión (UE) 2022/2481 o de cualquier otra estructura jurídica capaz de representar una parte significativa del interés de la Unión.

(35)La asignación de suficientes recursos computacionales de IA a proyectos prioritarios de IA de frontera debe revestir una importancia estratégica para la Unión y los Estados miembros. La Unión debe igualar, de manera proporcional y dentro de los límites de la capacidad europea de informática de alto rendimiento («EuroHPC») disponible, los recursos computacionales de IA aportados o comprometidos por los Estados miembros a los proyectos prioritarios de IA fronterizos designados. La Unión y los Estados miembros deben también proporcionar suficiente tiempo de computación para proyectos de innovación de IA industrial, de IA física y de IA del sector público. Esto se entiende sin perjuicio de las normas y procedimientos establecidos en el Reglamento (UE) 2021/1173 del Consejo. La política de acceso de la Empresa Común EuroHPC debe adaptarse para reflejar la asignación de dichos recursos computacionales de manera eficiente, transparente y oportuna, sin perjuicio de la continuidad de las operaciones en curso y de los derechos de los proyectos que ya se benefician de los recursos computacionales de IA de EuroHPC asignados.

(36)Para alcanzar las ambiciones de la Unión en materia de IA, es necesario reforzar las infraestructuras digitales e invertir en ellas, incluida la formación, el ajuste, el despliegue y el funcionamiento en tiempo real de las capacidades en la nube y en el borde. El despliegue de centros de datos en toda la Unión se está quedando rezagado y sigue concentrándose en un número limitado de centros establecidos, lo que crea desequilibrios estructurales entre los Estados miembros e ineficiencias, como el aumento de los costes, el aumento de la latencia para las regiones periféricas, la desigualdad de oportunidades para las empresas y una transformación digital más lenta. El aumento y el equilibrio geográfico de las capacidades de los centros de datos en toda la Unión también son fundamentales para reducir las dependencias de infraestructuras externas, mitigando así los riesgos para la seguridad económica y apoyando la competitividad, la resiliencia y la soberanía de la Unión.

(37)Los centros de datos son infraestructuras críticas para la Unión, pueden crear un valor económico sustancial, incluidas inversiones y puestos de trabajo valiosos, y pueden apoyar los ecosistemas de innovación, especialmente si están alineados con las necesidades locales y siguen las mejores prácticas. Si se gestiona adecuadamente, la ampliación de la capacidad de centros de datos en la Unión puede aportar importantes beneficios económicos y estratégicos, ayudar a modernizar el sistema energético y apoyar el crecimiento de las energías limpias y el uso sostenible de la energía. Esto depende de la aplicación de un marco adecuado que evite cualquier impacto negativo, como las tensiones en el suministro de energía, los efectos adversos para el medio ambiente y las oportunidades perdidas. Las zonas de aceleración de los centros de datos («zonas de aceleración») deben contribuir a este objetivo permitiendo el despliegue de infraestructuras rápidamente y a escala dentro de un marco regulador claro y racionalizado.

(38)Cuando se despliegue capacidad en el territorio de los Estados miembros, deben designarse zonas de aceleración en las que pueda facilitarse el desarrollo, la expansión y la modernización de los centros de datos. La designación de dichas zonas debe contribuir a abordar el déficit de capacidad de la Unión y a aumentar la competitividad, la autonomía y la resiliencia tecnológica de la Unión, garantizando al mismo tiempo el cumplimiento del Derecho de la Unión aplicable, incluidos los requisitos relativos a la eficiencia energética y la protección del medio ambiente. Un suministro de energía suficiente y oportuno a las zonas de aceleración constituye una condición favorable fundamental para su despliegue eficaz y para el desarrollo de capacidad de centros de datos en toda la Unión. Por su parte, una información fiable y precisa sobre la demanda futura de energía contribuye a un desarrollo rentable de la red. Por consiguiente, los Estados miembros deben preparar un análisis para cada zona de aceleración, en el que se determinen sus necesidades energéticas actuales y futuras. Dicho análisis debe servir para proporcionar información para la planificación de la red nacional, contribuyendo así a inversiones anticipatorias específicas en la red y a unas conexiones energéticas más rápidas para la zona de aceleración. Al definir el ámbito de aplicación, los Estados miembros deben tener en cuenta la disponibilidad de la infraestructura de transporte y de red pertinente. Los resultados de estas evaluaciones deben reflejarse en los planes nacionales de desarrollo de la red, con el fin de reflejar debidamente los futuros puntos de demanda de energía en las siguientes planificaciones de la red. Para garantizar que las zonas de aceleración permitan las condiciones adecuadas para el despliegue de capacidad, los Estados miembros deben facilitar a los operadores de centros de datos procedimientos claros y eficientes para la conexión a la red y acuerdos de conexión flexible, y deben aclarar las condiciones para la conexión a la red de conformidad con la Directiva (UE) 2019/944. Una próxima propuesta legislativa para adaptar las facturas de electricidad a las necesidades futuras en la UE proporcionará incentivos para hacer un uso óptimo y rentable de la infraestructura de red e incentivar un consumo fácil de asimilar por el sistema. Los contratos de compra de electricidad son instrumentos importantes para los centros de datos, ya que proporcionan estabilidad de precios a largo plazo, al tiempo que permiten a los operadores de centros de datos adquirir electricidad limpia a gran escala, apoyando así operaciones fiables y la transición a un sistema de energía limpia. Por consiguiente, los Estados miembros deben promover la adopción de contratos de compra de electricidad, también en las zonas de aceleración, eliminando las barreras injustificadas y los procedimientos o cargas desproporcionados o discriminatorios, con vistas a proporcionar previsibilidad de los precios.

(39)Al establecer los requisitos de sostenibilidad para los centros de datos desplegados en las zonas de aceleración de los centros de datos, los Estados miembros deben garantizar que se utilicen los indicadores clave de rendimiento definidos en el Reglamento Delegado (UE) 2024/1364 de la Comisión 24 de conformidad con la Directiva (UE) 2023/1791 del Parlamento Europeo y del Consejo 25 . El objetivo es garantizar unas normas medioambientales coherentes, aumentar la eficiencia energética y apoyar los objetivos más amplios de la Unión en materia de clima, medio ambiente y sostenibilidad en las zonas de aceleración. Además, para evitar la reserva especulativa de recursos en las zonas de aceleración, garantizando un acceso justo, razonable y no discriminatorio que preserve la competencia efectiva y apoye el desarrollo oportuno y eficiente de las zonas de aceleración, los Estados miembros deben velar por que la asignación y la utilización de los recursos dentro de dichas zonas se lleven a cabo en condiciones justas, razonables y no discriminatorias y no den lugar a prácticas de reserva especulativa o exclusión capaces de obstaculizar la competencia efectiva o el desarrollo o la utilización efectivos de dichas zonas.

(40)Para facilitar y acelerar el despliegue de proyectos de centros de datos en las zonas de aceleración, los Estados miembros deben designar puntos de información únicos o, cuando sea posible, mejorar los designados o integrarse con estos, en virtud del Reglamento (UE) 2024/1309 del Parlamento Europeo y del Consejo 26 .

(41)El Reglamento (UE) 202X/XXX [sobre la agilización de las evaluaciones medioambientales] 27 establece un marco común de agilización de las evaluaciones medioambientales para impulsar la puesta en marcha de tecnologías clave en la Unión, reducir las dependencias y aumentar la competitividad. Los procedimientos vinculados a las evaluaciones ambientales deben agilizarse y racionalizarse para los planes, programas y proyectos en todos los sectores de la economía, manteniendo al mismo tiempo unos niveles elevados de protección de la salud humana y del medio ambiente. Sin embargo, algunos sectores pueden necesitar que las evaluaciones ambientales sean más rápidas. Para garantizar la coherencia del marco jurídico de las evaluaciones medioambientales, teniendo en cuenta al mismo tiempo la necesidad de acelerar el despliegue en determinados sectores estratégicos, el Reglamento (UE) 202X/XXX [sobre la agilización de las evaluaciones medioambientales] establece un conjunto de instrumentos específicos. Dado su papel a la hora de garantizar la consecución de los objetivos climáticos y medioambientales de la Unión mediante su contribución a la mejora de la eficiencia energética, permitiendo la integración de energías limpias y proporcionando la infraestructura necesaria para redes, sistemas de transporte y tecnologías hipocarbónicas más inteligentes, y su contribución a la resiliencia y la seguridad económica de la Unión garantizando infraestructuras fiables en la Unión para proteger los servicios críticos y reforzando la capacidad de la Unión para operar de forma independiente, los proyectos de centros de datos desplegados en zonas de aceleración deben considerarse proyectos estratégicos en el sentido del Reglamento (UE) 202X/XXX [sobre la agilización de las evaluaciones medioambientales] y, por tanto, beneficiarse del conjunto de instrumentos específicos establecido en virtud de dicho Reglamento. Los Estados miembros deben establecer una autorización de referencia agregada que refleje las características específicas de cada zona de aceleración determinada. Dicha autorización de referencia agregada expedida por las autoridades públicas debe abarcar las autorizaciones normalmente necesarias para tales actividades dentro de la zona, excluidas las autorizaciones de conexión a la red.

(42)La Comisión debe poder designar como proyectos estratégicos los proyectos de centros de datos que contribuyan significativamente a los sectores digital y energético de la Unión y que cumplan criterios claros. Teniendo en cuenta la importancia de los proyectos estratégicos de centros de datos, los Estados miembros podrán, sin perjuicio de lo dispuesto en los artículos 107 y 108 del TFUE, aplicar medidas de apoyo a dichos proyectos de manera proporcionada. Al planificar dichas medidas de apoyo, los Estados miembros deben hacer uso, cuando proceda, de los marcos pertinentes para la prestación de apoyo público. Los proyectos estratégicos deben abordar una deficiencia del mercado de manera proporcionada, sin duplicar ni desplazar la financiación privada, garantizando al mismo tiempo un claro valor añadido de la Unión.

(43)Los proyectos estratégicos de centros de datos deben recibir apoyo de los programas, fondos e instrumentos financieros de la Unión, de conformidad con los objetivos establecidos en el Reglamento por el que se establecen dichos fondos y programas y sin perjuicio del próximo marco financiero plurianual (2028-2034). En particular, debe concederse a dichos proyectos estratégicos el sello de competitividad cuando cumplan las condiciones establecidas en el Reglamento (UE) 2026/XXX [por el que se establece el Fondo Europeo de Competitividad] 28 , como proyectos de alta calidad que contribuyan al objetivo del Fondo Europeo de Competitividad.

(44)Para fomentar el despliegue estratégico de la capacidad de los centros de datos en toda la Unión, la Comisión debe realizar un seguimiento de la capacidad de computación disponible y el volumen de la demanda de capacidad de centros de datos y determinar la magnitud del déficit de capacidad en toda la Unión. La Comisión podrá utilizar este seguimiento para fundamentar sus posibles recomendaciones. Para orientar a los Estados miembros a la hora de acelerar el despliegue de la capacidad de centros de datos, la Comisión podrá recomendar, cuando proceda, medidas para abordar el déficit de capacidad detectado en la Unión. De conformidad con el Programa Estratégico de la Década Digital para 2030, la Comisión también debe revisar las metas de la Década Digital para reflejar la evolución técnica, económica o social y la evolución de las prioridades de la Unión a este respecto.

(45)El presente Reglamento debe aplicarse a las instituciones, órganos y organismos de la Unión (en lo sucesivo, «entidades de la Unión») cuando lleven a cabo procedimientos para la contratación pública de servicios de computación en nube y sistemas de IA que entren en el ámbito de aplicación del presente Reglamento.

(46)La Unión sigue dependiendo de manera crítica de un número limitado de proveedores de servicios de computación en nube sujetos al control de terceros países o de entidades jurídicas establecidas en terceros países. Esto expone a la Unión a dependencias estratégicas críticas y riesgos de concentración, incluidas las vulnerabilidades derivadas de la aplicación extraterritorial de la legislación de terceros países, las posibles perturbaciones que afectan a la continuidad, la calidad y la resiliencia de los servicios de computación en nube, la reducción del control y la supervisión de los datos personales y no personales y las infraestructuras, y el riesgo de que terceros países o entidades jurídicas establecidas en terceros países ejerzan una influencia económica o política indebida a través del control de los servicios de computación en nube. En este contexto, la capacidad de la Unión y de sus Estados miembros para mantener el control sobre las infraestructuras, los datos, los activos y los sistemas tecnológicos bajo jurisdicción nacional y de la Unión se ha convertido en un objetivo político imperativo.

(47)La legislación vigente de la Unión aborda los requisitos en materia de ciberseguridad, protección de datos, interoperabilidad y portabilidad de datos a los que están sujetos los servicios de computación en nube. Sin embargo, no existe un marco regulador transversal de la Unión que permita entender de forma armonizada de lo que constituye un servicio de confianza de computación en nube para mitigar dichos riesgos. Algunos Estados miembros han desarrollado o están desarrollando enfoques nacionales para determinar los servicios soberanos nacionales. Sin embargo, las medidas nacionales no abordan adecuadamente las cuestiones transfronterizas relacionadas con la falta de soberanía de la Unión en el ecosistema de la computación en nube y corren el riesgo de fragmentar el mercado interior de la Unión y socavar los objetivos comunes de autonomía y soberanía.

(48)Los proveedores de servicios de computación en nube han lanzado versiones adaptadas de sus ofertas de servicios en respuesta a la creciente preocupación de la Unión por la soberanía. Sin embargo, estas versiones no abordan las cuestiones fundamentales de soberanía que permiten el alcance extraterritorial de las leyes de terceros países y la posible degradación o perturbación del servicio. Por consiguiente, la Unión no se garantizaría así la autonomía ni el control sobre sus datos, activos e infraestructuras digitales. Por lo tanto, el marco actual debe complementarse con acciones específicas a escala de la Unión mediante la introducción de un mecanismo armonizado que pueda reforzar la estrategia a largo plazo de la Unión para la autonomía tecnológica, el control y la resiliencia en el ecosistema de la nube y la IA.

(49)En este contexto, el aumento significativo de las preocupaciones de orden público —incluidos, por ejemplo, los riesgos para la seguridad económica— requiere la aplicación efectiva y coherente de salvaguardias para las actividades apoyadas por el presupuesto de la Unión. En el contexto de las entidades de la Unión, el artículo 136 del Reglamento (UE, Euratom) 2024/2509 29 establece el ámbito de aplicación, las normas y los procedimientos para determinar y aplicar procedimientos de contratación pública sensibles.

(50)Por lo tanto, para proteger el orden público, es necesario especificar las condiciones que los poderes adjudicadores de la Unión y los Estados miembros deben utilizar en los procedimientos de contratación pública de servicios de computación en nube. La consideración de la posible exposición al riesgo es fundamental a la hora de seleccionar medidas de mitigación adecuadas para preservar el orden público de la Unión y de los Estados miembros. El hecho de que la Unión y los Estados miembros dependan de manera crítica de un número limitado de proveedores de servicios de computación en nube sujetos al control de un tercer país o de una entidad jurídica establecida en un tercer país puede dar lugar a riesgos como el uso indebido (es decir, manipulación, acceso y control remotos, sabotaje, militarización), el acceso a la información (es decir, acceso a información sensible, comunicación no autorizada, fuga de tecnología, manipulación o exfiltración de datos, espionaje) y vulnerabilidades de dependencia (es decir, coerción política o económica, por ejemplo, obligar a la cautividad de proveedores o de tecnología, embargos o sanciones, o precios monopolísticos perjudiciales para los intereses financieros de la Unión y de los Estados miembros).

(51)Para hacer frente a estos riesgos y prever las medidas de mitigación adecuadas, es necesario establecer un marco de soberanía de la Unión en materia de computación en nube que determine los criterios aplicables a los servicios de confianza de computación en nube. Para tener en cuenta en los matices y distintos niveles de la soberanía, el marco debe ofrecer cuatro niveles diferentes de confianza («niveles de garantía de la Unión»).

(52)Los niveles de garantía de la Unión deben ofrecer un marco proporcionado para garantizar el orden público mediante el mantenimiento del control y la agencia por parte de los organismos del sector público. La mayoría de los servicios públicos no requerirían los niveles de garantía más elevados. En algunos casos específicos, los niveles 3 o 4 de garantía de la Unión pueden considerarse necesarios y proporcionados para preservar el orden público. La evaluación de riesgos que deben realizar los Estados miembros y las entidades de la Unión garantiza el cumplimiento de los principios de proporcionalidad y subsidiariedad, evaluando los casos específicos en los que la protección del orden público requiere el máximo nivel de garantía.

(53)Es importante que las autoridades nacionales competentes de establecimiento del proveedor de servicios de computación en nube puedan evaluar si los proveedores de servicios de computación en nube que deseen prestar sus servicios de computación en nube a entidades de la Unión y organismos del sector público ofrecen el nivel de garantía adecuado. Se ha establecido un mecanismo para el reconocimiento de los servicios de computación en nube que, o bien cuentan con una declaración de conformidad de la UE con respecto al nivel 1 de garantía de la Unión, o bien han recibido un dictamen de auditoría y un informe de auditoría «favorables» por parte de una entidad auditora. Una vez concluido favorablemente el mecanismo de reconocimiento, se reconoce que el servicio de computación en nube ofrece el nivel de garantía adecuado en toda la Unión. En aras de la claridad, la simplicidad y la eficacia, las competencias para supervisar y hacer cumplir las obligaciones relativas al marco de soberanía de la computación en nube deben conferirse a las autoridades competentes del Estado miembro en el que esté situado el establecimiento principal del proveedor de servicios de computación en nube.

(54)A fin de demostrar el cumplimiento del nivel 1 de garantía de la Unión, los proveedores de servicios de computación en nube deben ser los únicos responsables de llevar a cabo las autoevaluaciones de la conformidad aplicando los criterios pertinentes para dicho nivel de garantía de la Unión. Dichas autoevaluaciones deben basarse en pruebas documentadas, procedimientos de control interno y un seguimiento continuo que sean suficientes para demostrar que se han cumplido los criterios aplicables.

(55)Las auditorías independientes son una herramienta importante para supervisar la conformidad de los servicios de computación en nube prestados por los proveedores de servicios de computación en nube. Dada la necesidad de garantizar que los criterios aplicables a los niveles 2, 3 o 4 de garantía de la Unión sean verificados por expertos independientes terceros, los proveedores de servicios de computación en nube deben rendir cuentas, mediante una auditoría independiente, de su cumplimiento de los criterios establecidos en el presente Reglamento. Los proveedores de servicios de computación en nube deben tener libertad para seleccionar la entidad auditora de su elección, siempre que la entidad auditora demuestre la independencia necesaria y el cumplimiento de los requisitos del presente Reglamento. Para garantizar que las auditorías se lleven a cabo de manera eficaz, eficiente y oportuna, los proveedores de servicios de computación en nube deben prestar la cooperación y la asistencia necesarias a las entidades que lleven a cabo las auditorías, en particular dando a las entidades auditoras acceso a todos los datos y locales pertinentes necesarios para llevar a cabo la auditoría adecuadamente y respondiendo a preguntas orales o escritas. Las entidades auditoras también deben poder utilizar otras fuentes de información objetiva. Los proveedores de servicios de computación en nube no deben socavar la realización de la auditoría. Las auditorías deben llevarse a cabo con arreglo a las mejores prácticas del sector y a una ética y objetividad profesionales elevadas, teniendo debidamente en cuenta las normas y los códigos de prácticas de auditoría. Los entidades auditoras deben garantizar la confidencialidad, seguridad e integridad de la información, como secretos comerciales, que obtengan en el desempeño de sus funciones. Esta garantía no debe servir para eludir la aplicabilidad de las obligaciones de auditoría del presente Reglamento. Las entidades auditoras deben tener los conocimientos especializados necesarios en materia de gestión de riesgos y competencia técnica para auditar los servicios de computación en nube. Deben cumplir los requisitos básicos de independencia para la prohibición de los servicios ajenos a la auditoría, la rotación de sociedades y los honorarios no contingentes. Si la independencia o competencia técnica de las entidades auditoras no están fuera de toda duda, deben abstenerse o renunciar al encargo de auditoría.

(56)El informe de auditoría debe estar fundamentado, de modo que ofrezca un relato coherente de las actividades realizadas y las conclusiones alcanzadas durante la auditoría. Debe contribuir a proporcionar información y, en su caso, sugerir mejoras a las medidas adoptadas por los proveedores de servicios de computación en nube para cumplir los criterios aplicables y sus obligaciones en virtud del presente Reglamento. El informe de auditoría debe incluir un dictamen de auditoría basado en las conclusiones extraídas a partir de la evidencia de auditoría obtenida. Debe emitirse un «dictamen favorable» cuando todas las pruebas demuestren que el proveedor cumple los criterios y obligaciones de auditoría establecidos en el presente Reglamento. Debe emitirse un «dictamen negativo» cuando las entidades auditoras consideren que el proveedor no cumple los criterios establecidos en el presente Reglamento. Cuando el dictamen de auditoría no pueda llegar a una conclusión sobre aspectos específicos que entren en el ámbito de la auditoría, deberá incluirse en el dictamen de auditoría una explicación de las razones por las que esto no fue posible. En su caso, el informe debe incluir una descripción de los puntos concretos que no pudieron auditarse, y una explicación de por qué no.

(57)La creación de un repositorio central de servicios reconocidos de computación en nube garantizados por la Unión es necesaria para facilitar el almacenamiento, el acceso y el intercambio seguros y eficientes de información pertinente entre los clientes del sector público de servicios que ofrezcan niveles de garantía de la Unión, las entidades auditoras, las autoridades competentes y la Comisión.

(58)Para garantizar la exactitud y fiabilidad continuas de la condición de los servicios de computación en nube como servicios que ofrecen niveles de garantía de la Unión con arreglo al marco de soberanía en la nube, debe exigirse a los proveedores que comuniquen sin demora cualquier información pertinente o cambios sustanciales en las circunstancias a la entidad auditora y a las autoridades competentes de establecimiento. Dicha información debe permitir a la entidad auditora reevaluar, modificar o retirar el informe y el dictamen de auditoría en caso necesario, enviándose posteriormente notificaciones a la autoridad competente pertinente del país de establecimiento para que revise su reconocimiento del servicio de computación en nube como servicio que ofrece un determinado nivel de garantía de la Unión. La información también debe permitir lo mismo a la autoridad competente pertinente en lo que respecta a su reconocimiento del servicio de computación en nube.

(59)Para garantizar una aplicación eficaz y coherente del marco de soberanía en la nube, los Estados miembros deben designar una o varias autoridades competentes responsables del reconocimiento del procedimiento y el marco de auditoría y de la supervisión de los proveedores de servicios de computación en nube reconocidos. Dichas autoridades deben disponer de las competencias, los recursos, los conocimientos especializados y los medios técnicos necesarios para desempeñar sus funciones de manera eficaz, imparcial e independiente. Los Estados miembros deben garantizar que las responsabilidades de dichas autoridades estén claramente establecidas y que cooperen estrechamente entre sí, con otras autoridades nacionales pertinentes, incluidas las autoridades de protección de datos y las autoridades de ciberseguridad, y con la Comisión, cuando proceda, para garantizar una supervisión coherente y facilitar el intercambio de información pertinente y mejores prácticas en toda la Unión. Los Estados miembros deben poder designar como autoridades competentes a una o varias autoridades existentes.

(60)La prestación de asistencia mutua entre las autoridades competentes es esencial para garantizar la supervisión y el cumplimiento efectivos del presente Reglamento a través de las fronteras de la Unión, en particular mediante el intercambio oportuno de información, la coordinación de las medidas de investigación y el apoyo en la ejecución de tareas dentro de la Unión. Además, una ejecución eficaz requiere una sólida cooperación transfronteriza entre las autoridades competentes para garantizar la aplicación coherente del presente Reglamento en todos los Estados miembros y el intercambio oportuno de información pertinente para hacer frente a los riesgos sistémicos dentro de la Unión.

(61)El objetivo de la Unión de reforzar su autonomía debe perseguirse de manera que siga siendo abierto, cooperativo y coherente con los compromisos y asociaciones internacionales de la Unión. Los objetivos políticos perseguidos a través de los niveles 1, 2 y 3 de garantía de la Unión deben entenderse, por tanto, como la capacidad de la Unión para actuar de manera autónoma cuando sea necesario, manteniendo al mismo tiempo su compromiso con sus socios internacionales y fomentando una cooperación mutuamente beneficiosa. En este contexto, la Comisión podrá decidir, para el nivel 3 de garantía de la Unión, que un servicio de computación en nube sujeto al control de un tercer país o de una entidad jurídica establecida en un tercer país pueda seguir siendo auditado con arreglo a los criterios de auditoría cuando el tercer país haya aplicado salvaguardias específicas que garanticen que no existe riesgo de acceso no autorizado a los datos de la Unión ni posible perturbación de la calidad o continuidad del servicio. La Comisión debe evaluar si el tercer país está cubierto por una decisión de adecuación adoptada de conformidad con el artículo 45 del Reglamento (UE) 2016/679. En particular, debe determinarse si la decisión de adecuación se aplica de manera general al tercer país en su conjunto o se limita a sectores específicos u organizaciones certificadas. Debe evaluarse además si el ámbito de aplicación de la decisión de adecuación se extiende a las actividades de tratamiento específicas que se llevan a cabo en el contexto de la prestación de servicios, o si las transferencias siguen estando sujetas a los requisitos de aplicación de las garantías adecuadas.

(62)Para garantizar un enfoque coherente y basado en el riesgo para la autonomía de la Unión, los Estados miembros y las entidades de la Unión deben llevar a cabo una o varias evaluaciones de riesgos para determinar las actividades del sector público que afectan al orden público. La evaluación de riesgos debe determinar qué nivel de garantía de la Unión es adecuado para las actividades debido a su importancia para preservar el orden público en los sectores que entran en el ámbito de aplicación de la Directiva (UE) 2022/2555 y en los ámbitos de la seguridad nacional, la seguridad interior, la gestión de las fronteras exteriores, la defensa, la justicia o la garantía del cumplimiento del Derecho, incluidas la prevención, la investigación, la detección y el enjuiciamiento de infracciones penales. Para garantizar la aplicación coherente del presente Reglamento y preservar la integridad del mercado único digital, la Comisión proporcionará orientaciones para ayudar a los Estados miembros a llevar a cabo sus evaluaciones de riesgos. Si bien la determinación del nivel de sensibilidad de la información que puede alojarse en un servicio de computación en nube que ofrezca un nivel de garantía de la Unión es competencia y discreción de los Estados miembros, a fin de proporcionar coherencia en toda la Unión, los niveles 3 y 4 de garantía de la Unión deben permitir el alojamiento seguro de información clasificada de la UE.

(63)En sus evaluaciones de riesgos, las entidades de la Unión y los Estados miembros evaluarán la sensibilidad, el carácter esencial y la magnitud de los datos personales y no personales tratados en el entorno en la nube. Dicho tratamiento podrá incluir información comercial ordinaria, información sensible a efectos comerciales, datos esenciales desde el punto de vista operativo, datos personales en el sentido del Reglamento (UE) 2016/679 y datos sujetos a obligaciones sectoriales específicas en virtud del Derecho de la Unión, en particular la Directiva (UE) 2022/2555 y el Reglamento (UE) 2022/2554. Las orientaciones de la Comisión permiten cierto grado de flexibilidad a las entidades de la Unión y a los Estados miembros a la hora de determinar los niveles de garantía de la Unión adecuados y las categorías de información y usuarios para las que dichos niveles son adecuados. Al mismo tiempo, los enfoques nacionales divergentes en materia de clasificación y cartografía de los requisitos de sensibilidad y garantía de los datos pueden socavar la aplicación coherente del marco de soberanía en toda la Unión. Para garantizar una aplicación armonizada en toda la Unión, la Comisión, en cooperación con las autoridades pertinentes, debe proporcionar orientaciones coordinadas de forma centralizada sobre la correspondencia entre los niveles de garantía de la Unión y las categorías de información, teniendo en cuenta la sensibilidad, el carácter esencial y la magnitud de los datos tratados por el entorno en la nube, la importancia sistémica de las actividades de los poderes adjudicadores y las obligaciones aplicables derivadas del Derecho de la Unión. Además, los criterios utilizados en los niveles de garantía de la Unión no deben afectar a las obligaciones de cooperación transfronteriza previstas en el Derecho de la Unión. Cuando se utilicen servicios de computación en nube para tratar datos personales, el Reglamento (UE) 2016/679 establece la obligación de acordar medidas organizativas y técnicas para cumplir lo dispuesto en dicho Reglamento. Cuando el proveedor de servicios de computación en nube recurra a subcontratistas para la prestación de los servicios, se aplicarán los mismos acuerdos a los subcontratistas. Cuando deban aplicarse medidas técnicas y organizativas específicas con arreglo al presente Reglamento para garantizar que los datos personales se traten de conformidad con el presente Reglamento, dichas medidas específicas podrían preverse en los acuerdos obligatorios con arreglo al Reglamento (UE) 2016/679 y se podría depender de ellas para demostrar que se cumplen los niveles de garantía de la Unión necesarios.

(64)La libre circulación de datos dentro de la Unión es una condición esencial para el correcto funcionamiento del mercado interior. Para promover la libre circulación de datos dentro de la Unión y apoyar el funcionamiento del mercado interior, conviene que los Estados miembros garanticen que los datos no se limiten al territorio de un único Estado miembro y puedan almacenarse y tratarse en toda la Unión sin restricciones injustificadas. La Unión mantiene un marco abierto y no discriminatorio para el acceso al mercado, de conformidad con el TFUE y sujeto a compromisos internacionales. Entre ellos se incluyen compromisos en el marco del Acuerdo sobre Contratación Pública de la Organización Mundial del Comercio, así como acuerdos comerciales bilaterales. No obstante, cuando sea necesario y en circunstancias debidamente justificadas, la Unión conserva el derecho, de conformidad con el artículo III, apartado 2, letra a), del Acuerdo sobre Contratación Pública de la Organización Mundial del Comercio, de adoptar o mantener las medidas necesarias para proteger la moral, el orden o la seguridad públicos, permitiendo restricciones necesarias y proporcionadas del acceso a los procedimientos de contratación pública. De hecho, detectar y abordar riesgos como las dependencias críticas, el acceso no autorizado a los datos de la Unión, las fugas tecnológicas, el sabotaje y el espionaje por parte de agentes de terceros países es fundamental para preservar el orden público de la Unión. Preservar la protección del orden público de la Unión y de sus Estados miembros requiere una respuesta política, jurídica y operativa prudente, pero firme, tanto para los procedimientos de adjudicación nacionales como para los de la Unión, respetando plenamente los compromisos internacionales. Para proteger y preservar el orden público de la Unión y de sus Estados miembros, los poderes adjudicadores cuyas actividades se hayan determinado sobre la base de la evaluación de riesgos del Estado miembro deben, por tanto, adquirir únicamente el servicio de computación en nube que proporcione el nivel adecuado de garantía entre los niveles 2 y 4. Es necesario un nivel mínimo de garantía, exigiendo en toda la Unión el nivel 1 de garantía de la Unión, a fin de establecer una base de referencia coherente de salvaguardias para el sector público, reduciendo así las vulnerabilidades del sector público al acceso de terceros países a los datos de la Unión y la perturbación de los servicios.

(65)Para aumentar la resiliencia y limitar la dependencia de un único proveedor de servicios de computación en nube, las entidades de la Unión y los Estados miembros deben considerar, como parte de sus procedimientos de contratación pública, si puede ser adecuada una estrategia multiproveedor o multinube. La decisión de adoptar y aplicar una arquitectura multinube debe basarse en una evaluación de riesgos específica del contexto. La evaluación debe determinar cualquier circunstancia operativa, reglamentaria o relacionada con la resiliencia pertinente que respalde la adopción de una estrategia multiproveedor o multinube.

(66)La contratación pública suele ser una señal principal de la dirección del mercado. Los requisitos impuestos por las autoridades públicas, o los impuestos a estas, para adoptar niveles de garantía específicos ofrecidos por los servicios de computación en nube tienden a verse reflejados por las entidades del sector privado que operan en sectores regulados, con los consiguientes efectos indirectos que contribuyen a un mayor reajuste del mercado a lo largo del tiempo. Esta evolución pone de relieve la importancia de que las entidades del sector privado que operan en los sectores del anexo I de la Directiva (UE) 2022/2555 puedan llevar a cabo las mismas evaluaciones que las realizadas por las entidades de la Unión y los Estados miembros.

(67)En los procedimientos de contratación pública para servicios de computación en nube y sistemas de IA, los poderes adjudicadores deben incluir un claro valor añadido europeo como parte de la evaluación de la calidad de la oferta. Dicho valor añadido debe consistir en ayudar a reforzar la cadena de suministro digital en la Unión; integrar las tecnologías de la Unión; llevar a cabo la innovación necesaria para prestar el servicio en la Unión; y prestar el servicio utilizando componentes de hardware diseñados o fabricados en la Unión. El criterio relativo al valor añadido europeo no debe ser decisivo para la adjudicación del contrato y debe aplicarse de manera que se preserve la primacía de los criterios técnicos y financieros directamente relacionados con los requisitos de rendimiento. A tal fin, los poderes adjudicadores podrían considerar una ponderación máxima al valor añadido europeo de 15 de los 120 puntos que se asignarán dentro de la metodología de evaluación global, garantizando que siga siendo proporcionada y subordinada a los criterios básicos de adjudicación del contrato.

(68)La contratación pública de soluciones innovadoras en materia de servicios de computación en nube y sistemas de IA es esencial para fomentar el desarrollo tecnológico, reforzar la resiliencia digital y la competitividad y permitir que las autoridades públicas se beneficien de soluciones digitales seguras, eficientes y fiables que mantengan el ritmo de la rápida evolución de las necesidades tecnológicas y sociales. Por consiguiente, los Estados miembros deben aspirar a adjudicar a las pymes al menos el 25 % de los procedimientos de innovación pertinentes en materia de contratación pública en la nube y la IA. A tal fin, los Estados miembros deben informar activamente a la Comisión sobre su adopción de servicios innovadores de computación en nube y sistemas de IA.

(69)En las declaración conjunta «Building the next-generation cloud for businesses and the public sector in the EU» (Construir la nube de próxima generación para las empresas y el sector público en la UE), de 15 de octubre de 2020 30 , y en la Declaración de Berlín sobre la sociedad digital y la administración digital basada en valores, de 8 de diciembre de 2020 31 , los Estados miembros expresaron su gran interés en determinar un enfoque común para federar las capacidades en la nube mediante la interconexión de las infraestructuras de computación en nube en toda la Unión y trabajando en pro del despliegue de una federación en la nube del sector público europeo segura e interoperable. En sus Conclusiones sobre el futuro de la política digital de la UE, de 21 de mayo de 2024 32 , el Consejo de la Unión Europea confirmó la pertinencia y la importancia de lograr este enfoque común invitando a la Comisión a seguir apoyando el desarrollo de servicios públicos digitales interoperables y la interconexión transfronteriza de las infraestructuras de las administraciones públicas, incluidas las infraestructuras de la nube y el borde, a fin de aumentar su resiliencia, eficiencia y sostenibilidad. Para lograr este enfoque común, es necesario establecer la federación en la nube del sector público europeo («la Federación EuroCloud»). La Federación EuroCloud debe reunir iniciativas nacionales y europeas en materia de nube que proporcionen capacidades en la nube del sector público altamente fiables y seguras y facilitar el intercambio de dichas capacidades entre las entidades de la Unión y los organismos del sector público. Al evaluar el presente Reglamento, la Comisión podrá valorar, en una fase posterior, la posibilidad de que los países adherentes, los países candidatos y los candidatos potenciales, así como las organizaciones internacionales cuya sede se encuentre en la Unión, participen en la Federación EuroCloud, de conformidad con el Derecho de la Unión.

(70)Los miembros de la Federación EuroCloud deben cumplir requisitos específicos para evitar cualquier falseamiento de la competencia en relación con los operadores económicos privados que pudiera colocar a un proveedor de servicios privado en una posición de ventaja sobre sus competidores.

(71)La participación en la Federación EuroCloud debe limitarse a las entidades públicas, sin participación directa de empresas privadas. A este respecto, debe excluirse la participación privada directa cuando la entidad que comparte, ya sea directa o indirectamente a través de una entidad jurídica intermediaria, sea propietaria del hardware o equipo informático, tal como se define en el artículo 3, punto 5, del Reglamento (UE) 2024/2847 del Parlamento Europeo y del Consejo 33 , que se utilice para poner a disposición el servicio, y preste dicho servicio. Debe considerarse que la entidad que comparte ejerce control sobre dicha entidad jurídica intermedia cuando se cumplan las siguientes condiciones acumulativas. En primer lugar, la entidad que comparte debe ejercer una influencia decisiva tanto sobre los objetivos estratégicos como sobre las decisiones significativas de la entidad jurídica intermedia propietaria del hardware y que presta los servicios. En segundo lugar, no debe haber ninguna participación directa de capital privado en dicha entidad jurídica intermedia. En tercer lugar, más del 80 % de las actividades de la entidad jurídica intermedia deben llevarse a cabo en el desempeño de las tareas que le confíe la entidad que comparte.

(72)Para garantizar una prestación de servicios eficaz, segura y resiliente, la entidad que comparte los datos debe adoptar las medidas técnicas, operativas y organizativas adecuadas. Esto debe incluir, en particular, políticas sobre análisis de riesgos y seguridad de los sistemas de información, incluidas políticas de control de acceso, políticas sobre gestión de incidentes y continuidad de las actividades y políticas de apoyo a la interoperabilidad y la conectividad.

(73)Por último, el intercambio de servicios de centros de datos y servicios de computación en nube dentro de la Federación EuroCloud debe basarse en una cooperación del sector público. Dicha cooperación debe regirse únicamente por consideraciones de interés público y no debe implicar ningún tipo de contraprestación a cambio de otra. En particular, el uso compartido de servicios dentro de la Federación EuroCloud debe ser gratuito, excepto cuando las tasas se limiten estrictamente a lo necesario y proporcionado para recuperar los costes soportados por la entidad que comparte con la entidad usuaria beneficiaria. Dichos costes deben limitarse a los costes adicionales en que se incurra al compartir capacidad, en particular para asignar y aislar recursos, gestionar el acceso, permitir la integración y la interoperabilidad de los recursos, garantizar el cumplimiento de los requisitos aplicables en virtud del Derecho de la Unión y gestionar la relación de reparto. Las tasas cobradas por la entidad que comparte para recuperar dichos costes no deben considerarse una contraprestación por la prestación de un servicio y no deben constituir un contrato a título oneroso o un contrato público en el sentido de la Directiva 2014/24/UE del Parlamento Europeo y del Consejo 34 y del Reglamento (UE, Euratom) 2024/2509. En estas condiciones, el intercambio de servicios de centros de datos del sector público y de servicios de computación en nube dentro de la Federación EuroCloud no debe entrar en el ámbito de aplicación de las normas de contratación pública de la Unión.

(74)Los poderes adjudicadores de los Estados miembros suelen encontrar dificultades significativas para adquirir soluciones digitales, como servicios de centros de datos, servicios de computación en nube, software y sistemas de IA. Unos recursos financieros limitados, un poder de compra reducido y unos conocimientos técnicos o en materia de contratación insuficientes impiden a los organismos del sector público acceder eficazmente a dichos servicios. Las actividades de contratación pública llevadas a cabo por la Comisión en concertación con los poderes adjudicadores de los Estados miembros pueden desempeñar un papel decisivo a la hora de aprovechar el poder de compra colectivo y garantizar el acceso a dichos servicios y suministros en condiciones favorables. La Comisión ya puede llevar a cabo procedimientos conjuntos de contratación pública con los poderes adjudicadores de los Estados miembros de conformidad con el artículo 168, apartado 2, del Reglamento (UE, Euratom) 2024/2509. La Comisión también puede actuar ya como mayorista comprando, almacenando y revendiendo o donando suministros y servicios a organizaciones asociadas seleccionadas por ella. A fin de que dichas entidades puedan aprovechar plenamente el potencial del mercado interior, en particular en lo que se refiere a las economías de escala y la participación en los beneficios, las posibilidades de que la Comisión actúe como central de compras deben ampliarse a los poderes adjudicadores de los Estados miembros y a las organizaciones asociadas seleccionadas por la Comisión, como forma de contratación adicional a las previstas en el artículo 168, apartado 3, del Reglamento (UE, Euratom) 2024/2509. La Comisión debe poder utilizar todos los procedimientos de contratación disponibles en beneficio de los poderes adjudicadores de los Estados miembros y de las organizaciones asociadas seleccionadas por la Comisión e incluir las actividades de compra llevadas a cabo por la Comisión para las instituciones, órganos y organismos de la Unión. Los poderes adjudicadores de los Estados miembros, las organizaciones asociadas y las instituciones, órganos y organismos de la Unión deben considerarse «entidades participantes» en dichos procedimientos de contratación pública.

(75)Con el fin de aumentar la flexibilidad y la eficiencia administrativa, procede prever, como excepción a lo dispuesto en el Reglamento (UE, Euratom) 2024/2509, la posibilidad de añadir entidades participantes durante la vida útil de un sistema dinámico de adquisición. En virtud de esta excepción, debe permitirse a las entidades participantes que se hayan adherido al acuerdo tras el establecimiento de un sistema dinámico de adquisición, previa aprobación de la Comisión, adherirse a dicho sistema en cualquier momento durante su período de validez, antes de que se convoque cualquier licitación futura. Esta posibilidad debe limitarse estrictamente a las entidades participantes de nueva adhesión y no debe afectar a los derechos y obligaciones de las entidades que ya participan en el sistema ni a la integridad de los procedimientos de contratación pública ya concluidos o en curso.

(76)La Comisión debe presentar a los Estados miembros un proyecto de acuerdo en el que se establezcan las disposiciones prácticas que rigen las actividades de contratación. Dado el número potencialmente elevado de entidades participantes implicadas, dicho proyecto de acuerdo debe negociarse y celebrarse inicialmente entre la Comisión y los Estados miembros que deseen participar. Debe establecer las condiciones y el procedimiento para que las entidades de la Unión, así como otros Estados miembros, los poderes adjudicadores de los Estados miembros y las organizaciones asociadas seleccionadas por la Comisión, puedan posteriormente adherirse a él y beneficiarse de él. El acuerdo entrará en vigor de conformidad con sus disposiciones, previa aprobación de al menos dos Estados miembros. Aunque la Comisión debe aspirar, en la medida de lo posible, a abordar las necesidades comunes de las entidades participantes, esto no debe interpretarse como una obligación de satisfacer necesidades específicas de un número limitado de ellas.

(77)Cuando las entidades participantes celebren un acuerdo para la prestación de actividades de compra centralizada, incluidas las actividades de compra auxiliares, no deben aplicar los procedimientos de contratación pública previstos en el Derecho de la Unión aplicable, de conformidad con la Directiva 2014/24/UE y el Reglamento (UE, Euratom) 2024/2509. Debe considerarse que todo poder adjudicador de los Estados miembros que celebre un acuerdo de este tipo con el fin de organizar actividades centrales de compra cumple sus obligaciones con arreglo a la legislación nacional de transposición de la Directiva 2014/24/UE si compra obras, suministros o servicios a un poder adjudicador responsable del procedimiento de contratación pública.

(78)El acuerdo establecerá un comité director compuesto por la Comisión y un representante de cada Estado miembro participante a nivel nacional. La comisión es responsable de la supervisión estratégica de las actividades de contratación pública, incluida la orientación estratégica de la agenda de actividades de contratación pública y de cada procedimiento de contratación. El comité director también debe supervisar la implicación de las entidades participantes. El comité director no debe ser responsable de las operaciones de las actividades de contratación pública, que deben seguir siendo responsabilidad de la Comisión, incluida la fijación de tasas. El comité director debe prever el método más adecuado para seleccionar a representantes adicionales de las entidades de la Unión, de los poderes adjudicadores de los Estados miembros y de las organizaciones asociadas seleccionadas por la Comisión.

(79)Deben aclararse en el acuerdo las normas que rigen la responsabilidad y el marco de contratación pública aplicable entre la Comisión, que actúa como central de compras, y las entidades participantes que contratan a través de ella. Cuando una entidad participante lleve a cabo determinadas partes del procedimiento de contratación de manera autónoma, debe seguir siendo la única responsable de esas fases de conducta autónoma. Un poder adjudicador que actúe como central de compras y haya adquirido servicios o suministros a través de la Comisión debe poder ofrecer dichos servicios a otros poderes adjudicadores sin aplicar los procedimientos de contratación pública previstos en el Derecho de la Unión aplicable. En tal caso, el poder adjudicador está obligado a cumplir las disposiciones contractuales iniciales en cualquier contrato posterior.

(80)Con el fin de garantizar la disponibilidad de los recursos necesarios, las entidades participantes contribuirán a los costes incurridos en los procedimientos de contratación pública y en cualquier actividad auxiliar. A tal fin, la Comisión debe estar facultada para cobrar tasas a las entidades participantes. Dichas tasas deben fijarse en un nivel suficiente, en principio, para cubrir todos los costes directos e indirectos soportados por la Comisión en relación con las actividades de contratación, incluidos los servicios auxiliares. Dichas tasas deben establecerse de conformidad con las prácticas de marcos de contratación comparables. Los costes iniciales de establecimiento podrán correr a cargo del presupuesto general de la Unión y ser reembolsados por las entidades participantes durante un período determinado. Los ingresos generados por las tasas deben constituir ingresos afectados internos en el sentido del artículo 21, apartado 3, letra a), del Reglamento (UE, Euratom) 2024/2509.

(81)El código abierto desempeña un papel importante a la hora de garantizar la transparencia, la seguridad y la eficiencia en el uso de las tecnologías digitales por parte del sector público. El acceso al código abierto permite la auditabilidad, fomenta la colaboración y la reutilización y reduce la dependencia de un único proveedor, limitando así el riesgo de cautividad. Por lo tanto, promover el uso del código abierto es esencial para apoyar la innovación, garantizar un mejor valor para el gasto público y reforzar la autonomía digital de la Unión. En este contexto, la elección de servicios o software de computación en nube tiene implicaciones significativas no solo para la rentabilidad, sino también para la seguridad, la interoperabilidad, la rendición de cuentas y la autonomía tecnológica.

(82)Para garantizar el uso eficiente, transparente e interoperable de las tecnologías digitales en todo el sector público de la Unión, es necesario que las administraciones públicas promuevan normas abiertas y componentes divulgados con una licencia de código abierto al construir su ecosistema o pila de nube e IA.

(83)Un número cada vez mayor de entidades de la Unión y organismos del sector público comparten software desarrollado por ellos o para ellos y los ponen a disposición para su reutilización con una licencia de código abierto. Esto puede considerarse de interés público y maximiza el valor del gasto público, reduce los costes de duplicación y fomenta la innovación en toda la Unión. Sin embargo, el software suele estar disponible y accesible en diferentes repositorios o catálogos, lo que dificulta la búsqueda, la descubribilidad y, en última instancia, la reutilización. Por consiguiente, es necesario pedir a las entidades de la Unión y a los organismos del sector público que decidan voluntariamente poner a disposición software para su reutilización que lo hagan en un catálogo o repositorio conectado al catálogo de soluciones de código abierto de la UE. El catálogo de soluciones de código abierto debe servir de catálogo centralizado para que cualquier administración pública pueda buscar y acceder al software puesto a disposición para su reutilización por las entidades de la Unión y los organismos del sector público. El alojamiento del catálogo de soluciones de código abierto de la UE en el portal de la Europa Interoperable a que se refiere el artículo 8 del Reglamento (UE) 2024/903 35 garantizará que las soluciones puedan vincularse fácilmente a más información y formación pertinentes.

(84)A fin de garantizar una aplicación eficaz y coherente en toda la Unión de las obligaciones de llevar a cabo una evaluación de código abierto y de poner a disposición software para su reutilización, es necesario crear una red de oficinas de programas de código abierto («red de OSPO») que reúna a las estructuras pertinentes de las entidades de la Unión y los Estados miembros. Esta red de OSPO debe promover la coordinación entre las oficinas de programas de código abierto establecidas a nivel local, regional o nacional y por entidades de la Unión. La red de OSPO debe facilitar el intercambio de información y mejores prácticas.

(85)A fin de tener en cuenta el desarrollo tecnológico y mantener un marco eficiente de medidas para reforzar el ecosistema de la nube y la IA a escala de la Unión, deben delegarse en la Comisión los poderes para adoptar actos con arreglo al artículo 290 del TFUE para: modificar el anexo I para reflejar los avances tecnológicos y del mercado pertinentes en relación con las iniciativas de liderazgo en la nube y en IA, y modificar el anexo II para actualizar los criterios para los niveles de garantía de la Unión; completar el presente Reglamento mediante el establecimiento de normas detalladas para la realización de auditorías; modificar el anexo III; especificar un nivel de garantía de la Unión para un poder adjudicador; y exigir una evaluación de impacto y medidas de mitigación de riesgos para las empresas privadas que operan en sectores de alta criticidad.

(86)Cuando adopte actos delegados en virtud del presente Reglamento, reviste especial importancia que la Comisión lleve a cabo las consultas oportunas durante la fase preparatoria, en particular con expertos, y que dichas consultas se realicen de conformidad con los principios establecidos en el Acuerdo interinstitucional sobre la mejora de la legislación, de 13 de abril de 2016 36 . En particular, a fin de garantizar una participación equitativa en la preparación de los actos delegados, el Parlamento Europeo y el Consejo deben recibir toda la documentación al mismo tiempo que los expertos de los Estados miembros, y sus expertos deben tener siempre acceso a las reuniones de los grupos de expertos de la Comisión que se ocupen de la preparación de actos delegados.

(87)A fin de garantizar condiciones uniformes de ejecución del presente Reglamento, deben conferirse a la Comisión competencias de ejecución. Dichas competencias deben ejercerse de conformidad con el Reglamento (UE) n.º 182/2011 del Parlamento Europeo y del Consejo 37 .

(88)Debido a la pertinencia del presente Reglamento en materia de protección de datos personales, debe consultarse al Supervisor Europeo de Protección de Datos, cuando sea necesario, de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725 38 .

(89)Si algunas de las medidas previstas en el presente Reglamento constituyesen una ayuda estatal, las disposiciones relativas a dichas medidas se entenderán sin perjuicio de la aplicación de los artículos 107 y 108 del TFUE.

(90)El presente Reglamento debe entenderse sin perjuicio de la aplicación de los artículos 101 y 102 del TFUE y de las facultades de ejecución de las autoridades de competencia.

(91)Dado que los objetivos del presente Reglamento no pueden ser alcanzados de manera suficiente por los Estados miembros, sino que, debido a las dimensiones o los efectos de la acción, pueden lograrse mejor a escala de la Unión, esta puede adoptar medidas, de acuerdo con el principio de subsidiariedad establecido en el artículo 5 del TUE. De conformidad con el principio de proporcionalidad establecido en el mismo artículo, el presente Reglamento no excede de lo necesario para alcanzar dichos objetivos.

HAN ADOPTADO EL PRESENTE REGLAMENTO:

TÍTULO I
DISPOSICIONES GENERALES

Capítulo I
Objeto y definiciones

Artículo 1
Objeto

1.El presente Reglamento establece un marco para reforzar el ecosistema de la nube y la IA a escala de la Unión, en particular mediante las siguientes medidas:

a)establecer la Iniciativa de liderazgo en la nube y la Iniciativa de liderazgo en la IA («las iniciativas de liderazgo en la nube y la IA»);

b)establecer el marco para el despliegue acelerado de centros de datos en toda la Unión;

c)facilitar la disponibilidad de una oferta soberana de nube e IA para salvaguardar el orden público de la Unión;

d)reducir las dependencias de tecnologías críticas;

e)fomentar la adopción de servicios de computación en nube en todo el sector público.

2.El primer objetivo general del presente Reglamento es garantizar las condiciones necesarias para la competitividad y la capacidad de innovación del ecosistema de la nube y la IA de la Unión.

3.El segundo objetivo general, que es independiente del primer objetivo general del apartado 2 y lo complementa, es mejorar el funcionamiento del mercado único estableciendo un marco jurídico uniforme de la Unión para aumentar la resiliencia y la autonomía estratégica de la Unión en las tecnologías de la nube y la IA.

Artículo 2
Definiciones

A los efectos del presente Reglamento, se entenderá por:

1)«servicio de computación en nube»: un servicio de computación en nube tal como se define en el artículo 6, punto 30, de la Directiva (UE) 2022/2555;

2)«proveedor de servicios de computación en nube»: una entidad jurídica que presta un servicio de computación en nube;

3)«sistema de IA»: un sistema de IA en nube tal como se define en el artículo 3, punto 1, del Reglamento (UE) 2024/1689;

4)«IA de frontera»: modelos de IA o sistemas de IA basados en dichos modelos que pueden llevar a cabo una amplia variedad de tareas y que se aproximan, alcanzan o superan el estado actual de la técnica;

5)«agente de IA»: un sistema de IA o un conjunto coordinado de sistemas de IA que pueden percibir su entorno y responder a él, con cierto grado de autonomía, utilizando las herramientas necesarias para alcanzar objetivos específicos y adaptarse a entradas y contextos cambiantes;

6)«organismo del sector público»: un organismo del sector público tal como se define en el artículo 2, punto 1, de la Directiva (UE) 2019/1024;

7)«entidades de la Unión»: las instituciones, los órganos y los organismos de la Unión creados o constituidos en virtud del Tratado de la Unión Europea, el Tratado de Funcionamiento de la Unión Europea (TFUE) o el Tratado constitutivo de la Comunidad Europea de la Energía Atómica;

8)«pequeñas y medianas empresas» o «pymes»: las pequeñas y medianas empresas tal como se definen en el artículo 2 del anexo I de la Recomendación 2003/361/CE de la Comisión;

9)«pequeña empresa de mediana capitalización»: una pequeña empresa de mediana capitalización según se define en el punto 2 del anexo de la Recomendación (UE) 2025/1099 de la Comisión;

10)«centro de datos»: un centro de datos tal como se define en el punto 2.6.3.1.16 del anexo A del Reglamento (CE) n.º 1099/2008 del Parlamento Europeo y del Consejo;

11)«operador del centro de datos»: un operador de un centro de datos tal como se define en el artículo 2, punto 7, del Reglamento Delegado (UE) 2024/1364;

12)«servicio de centro de datos»: un servicio de centro de datos tal como se define en el artículo 6, punto 31, de la Directiva (UE) 2022/2555;

13)«programa informático» o «software»: un programa informático tal como se define en el artículo 3, punto 4, del Reglamento (UE) 2024/2847;

14)«equipo informático» o «hardware»: un equipo informático tal como se define en el artículo 3, punto 5, del Reglamento (UE) 2024/2847;

15)«componente»: un componente tal como se define en el artículo 3, punto 6, del Reglamento (UE) 2024/2847;

16)«fabricante»: un fabricante tal como se define en el artículo 3, punto 13, del Reglamento (UE) 2024/2847;

17)«entidad auditora»: una entidad individual, un consorcio u otra agrupación de entidades, y, en su caso, sus subcontratistas, que el proveedor de servicios de computación en nube auditado haya contratado para realizar una auditoría independiente;

18)«servicio auditado»: servicio de computación en nube auditado con el fin de recibir un informe de auditoría y un dictamen de auditoría;

19)«criterios de auditoría»: los criterios con arreglo al anexo II del presente Reglamento con arreglo a los cuales la entidad auditora evalúa si el proveedor auditado y su servicio auditado cumplen cada uno de los criterios acumulativos necesarios para que se reconozca que ofrecen los niveles 2, 3 o 4 de garantía de la Unión;

20)«evidencia de auditoría»: toda aquella información empleada por una entidad auditora para sustentar sus observaciones y conclusiones de auditoría y emitir un dictamen de auditoría, incluidos los datos procedentes de documentos, bases de datos o sistemas informáticos, entrevistas o la realización de pruebas;

21)«control»: el control tal como se define en el artículo 2, punto 6, del Reglamento (UE) 2021/697;

22)«poderes adjudicadores»: poderes adjudicadores tal como se definen en el artículo 2, apartado 1, punto 1, de la Directiva 2014/24/UE;

25)«licencia de código abierto»: una licencia de código abierto tal como se define en el artículo 2, punto 12, del Reglamento (UE) 2024/903;

TÍTULO II
ACTIVIDADES DE INVESTIGACIÓN, DESARROLLO Y DESPLIEGUE PARA EL ECOSISTEMA DE LA NUBE Y LA IA

Capítulo I
Iniciativas de liderazgo en la nube y la IA

Artículo 3
Objetivo general de las iniciativas de liderazgo en la nube y la IA

1.Las iniciativas de liderazgo en la nube y la IA perseguirán el objetivo general de promover las actividades de investigación e innovación y lograr una capacidad a gran escala en todo el ecosistema de la nube y la IA de la Unión mediante:

a)su apoyo al desarrollo y al despliegue de tecnologías de vanguardia de la nube y la IA, incluidas tecnologías de centros de datos de próxima generación eficientes en el uso de los recursos, tecnologías abiertas de pilas de computación en nube, IA de frontera e IA física e industrial;

b)el refuerzo de la capacidad en centros de datos y nube de la Unión para satisfacer las crecientes demandas impulsadas por la IA, fomentar la innovación y garantizar la resiliencia de la infraestructura digital;

c)el estímulo de la demanda de la Unión y la promoción del despliegue y la adopción de tecnologías de la nube y la IA en todo el sector público y el sector privado, en consonancia con el objetivo digital de transformación digital de las empresas establecido por la Decisión (UE) 2022/2481.

2.Las iniciativas de liderazgo en la nube y la IA perseguirán los siguientes objetivos operativos:

a)apoyar el desarrollo y el despliegue de tecnologías avanzadas de centros de datos que incorporen los principios de eficiencia energética y eficiencia en el uso de los recursos desde el diseño y en todas las operaciones (objetivo operativo 1);

b)apoyar el desarrollo y el despliegue de pilas de computación en nube que apoyen la autonomía tecnológica de la Unión (objetivo operativo 2);

c)impulsar las capacidades de la Unión en IA de frontera (objetivo operativo 3);

d)promover las capacidades de la Unión en modelos y sistemas de IA física y fomentar su despliegue en todos los sectores estratégicos de la Unión (objetivo operativo 4);

e)acelerar el desarrollo y la adopción de la IA industrial en todos los sectores estratégicos de la Unión (objetivo operativo 5);

f)apoyar el desarrollo de plataformas avanzadas para el despliegue a gran escala de agentes de IA (objetivo operativo 6);

g)aumentar el desarrollo y la adopción de modelos y sistemas de IA en todos los sectores públicos de la Unión (objetivo operativo 7);

h)aumentar la adopción de tecnologías de IA a nivel regional y local y la adopción de los servicios de computación en nube prestados por los proveedores europeos de servicios de computación en nube (objetivo operativo 8).

Artículo 4
Objetivos operativos de las iniciativas de liderazgo en la nube y la IA

1.En el marco del objetivo operativo 1, las iniciativas de liderazgo en la nube y la IA:

a)potenciarán las tecnologías de eficiencia energética e hídrica para centros de datos, incluidos la refrigeración innovadora, los centros de datos de corriente continua de próxima generación, las soluciones de utilización del calor residual y los sistemas de almacenamiento de energía;

b)promoverán la integración de las tecnologías emergentes de computación cuántica para las operaciones de infraestructura informática en la nube y de IA;

c)desarrollarán tecnologías basadas en la IA para optimizar la eficiencia de los servidores, las tasas de utilización y las operaciones de infraestructura informática;

d)diseñarán y optimizarán las infraestructuras de IA en la nube y periféricas para garantizar una integración efectiva con las redes energéticas y aumentar su flexibilidad;

e)aprovecharán los centros de datos como clientes ancla para sistemas avanzados de gestión de la energía que aprovechen diversas fuentes de energía, incluidos los reactores modulares pequeños y el hidrógeno limpio, junto con soluciones eficientes de almacenamiento de energía;

f)desplegarán bancos de pruebas y líneas piloto para integrar y probar las tecnologías desarrolladas en virtud de las letras a) a e), que abarquen prototipos de semiconductores y computación cuántica eficientes desde el punto de vista energético.

2.En el marco del objetivo operativo 2, las iniciativas de liderazgo en la nube y la IA:

a)desarrollarán y pondrán a prueba pilas de computación en nube abiertas, seguras, resilientes y eficaces que incluyan las capas de la tecnología periférica en los dispositivos, la conectividad, los datos y las herramientas de IA, el backend (la etapa de empaquetado, ensamblado y prueba) y el servicio para sectores estratégicos;

b)desarrollarán servidores optimizados para la IA y software de referencia basados en procesadores, aceleradores y aceleradores cuánticos diseñados y fabricados en la Unión, junto con la próxima generación de almacenamiento de datos de densidad ultra alta y a largo plazo;

c)impulsarán la disponibilidad de datos para la IA a través de plataformas de soporte intermedio (middleware) de código abierto que sustenten los espacios comunes europeos de datos;

d)fomentarán la creación de fundaciones de software de código abierto que apoyen los componentes de código abierto;

e)establecerán un catálogo de soluciones europeas abiertas de computación en nube desarrolladas en virtud de las letras a) a d) del presente apartado.

3.En el marco del objetivo operativo 3, las iniciativas de liderazgo en la nube y la IA apoyarán proyectos pioneros en IA de frontera que desarrollen modelos y sistemas de IA de frontera como activos estratégicos, también en sectores clave como la ciberseguridad.

4.En el marco del objetivo operativo 4, las iniciativas de liderazgo en la nube y la IA:

a)acelerarán el desarrollo de una pila europea de IA física, apoyando el entrenamiento de modelos y el desarrollo y el despliegue de sistemas, en particular para la robótica y los vehículos autónomos y los drones;

b)facilitarán el acceso a conjuntos de datos específicos para la IA física, así como su recopilación y preparación;

c)apoyarán el desarrollo, la prueba y la validación en entornos reales de modelos y sistemas de IA física.

5.En el marco del objetivo operativo 5, las iniciativas de liderazgo en la nube y la IA:

a)aumentarán el desarrollo y la adopción de modelos y sistemas sectoriales de IA en todos los sectores industriales estratégicos de la Unión;

b)facilitarán el acceso a los recursos computacionales y las herramientas de IA necesarios para desarrollar y poner en práctica modelos y sistemas de IA adaptados a las necesidades del sector industrial;

c)permitirán la puesta en común segura de datos a gran escala para el entrenamiento colaborativo de la IA a través de tecnologías que mejoren la privacidad y preserven la confidencialidad.

6.En el marco del objetivo operativo 6, las iniciativas de liderazgo en la nube y la IA:

a)apoyarán el desarrollo de plataformas avanzadas, resilientes y seguras para el desarrollo, el despliegue y la organización de agentes avanzados de IA a gran escala;

b)facilitarán el desarrollo de metodologías específicas de prueba y experimentación de agentes avanzados de IA y su organización a lo largo de todo su ciclo de vida.

7.En el marco del objetivo operativo 7, las iniciativas de liderazgo en la nube y la IA:

a)acelerarán el desarrollo tecnológico y la adopción de modelos y sistemas de IA en ámbitos críticos del sector público;

b)desarrollarán modelos y sistemas de IA que aumenten la eficacia de la prestación de servicios públicos y la accesibilidad para el público en general, mejoren la toma de decisiones y simplifiquen los procedimientos administrativos;

c)promoverán el intercambio y la reutilización de datos de entrenamiento y modelos de IA en todos los servicios públicos de la Unión;

d)facilitarán la reutilización segura y respetuosa de la privacidad de los datos sanitarios para los modelos y herramientas de IA en la asistencia sanitaria;

e)facilitarán el desarrollo, la prueba y el despliegue de modelos y herramientas de IA en el sector del automóvil, también para la conducción autónoma.

8.En el marco del objetivo operativo 8, las iniciativas de liderazgo en la nube y la IA:

a)promoverán la adopción generalizada de la IA por parte de las organizaciones de los sectores público y privado, incluidas las pymes y las pequeñas empresas de mediana capitalización, a través de la red de centros de experiencia y aceleración de la IA («centros de IA»);

b)desarrollarán un plan de estudios común sobre la nube y la IA, basado en la red de centros de IA y otras iniciativas europeas pertinentes;

c)promoverán el intercambio de servicios de centros de datos del sector público y servicios de computación en nube apoyando una Federación en la nube del sector público europeo («Federación EuroCloud»);

d)apoyarán la contratación de servicios de centros de datos y servicios de computación en nube para las entidades de la Unión y los organismos del sector público.

Artículo 5
Centros de experiencia y aceleración de la IA

1.Cada Estado miembro creará centros de experiencia y aceleración de la IA («centros de IA»). Dichos centros de IA se basarán en los centros europeos de innovación digital establecidos en virtud del artículo 16 del Reglamento (UE) 2021/694 y, en su caso, en cualquier entidad sucesora establecida en virtud del Derecho de la Unión.

2.Los objetivos de los centros de IA serán:

a)apoyar la integración y la ampliación de los casos de uso de la IA en sectores industriales y públicos estratégicos;

b)acelerar la adopción generalizada de las tecnologías en la nube y de IA a escala regional y local, en particular para las pymes, las pequeñas empresas de mediana capitalización y los organismos del sector público, en consonancia con el principio de «priorizar la IA»;

c)aprovechar la infraestructura pertinente para acelerar el desarrollo y el ajuste de los modelos y sistemas de IA.

3.Los centros de IA se encargarán, en particular, de:

a)ayudar a las organizaciones a acelerar su transformación digital mediante el acceso a las tecnologías de IA y su uso, en particular conectando a las organizaciones con los proveedores europeos de tecnologías en la nube y de IA;

b)garantizar o facilitar el acceso a los programas pertinentes de mejora de las competencias y reciclaje profesional, en estrecha colaboración con la Academia de Competencias en IA;

c)facilitar la transferencia de conocimientos especializados entre regiones;

d)apoyar la expansión de las empresas derivadas y las empresas emergentes procedentes de universidades, viveros de empresas y otros aceleradores facilitando el acceso a clientes, empresas y organizaciones que busquen servicios especializados de IA.

4.La Comisión podrá adoptar actos de ejecución en los que se detallen el procedimiento para la creación de centros de IA y otras disposiciones relativas al perfil de la organización participante, los criterios de selección y los detalles sobre la ejecución de las tareas y funciones. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 46, apartado 2.

5.Los centros de IA gozarán de una autonomía general sustancial en lo que respecta a su organización, composición y métodos de trabajo, de conformidad con los objetivos establecidos en el presente Reglamento.

6.Se creará una red de centros de IA para apoyar la colaboración y el intercambio de mejores prácticas entre los centros de IA y prestar servicios especializados en todas las regiones en las que el personal no tenga las competencias necesarias o no se disponga localmente de suficiente capacidad de computación.

7.Los Estados miembros y la Comisión cooperarán con las redes existentes establecidas en el marco de otras iniciativas de la Unión, incluidas las iniciativas de la Unión en el ámbito de los semiconductores y los datos.

Artículo 6
Aplicación de las iniciativas de liderazgo en la nube y la IA

1.La aplicación de los objetivos operativos de las iniciativas de liderazgo en la nube y la IA se confiará a la Comisión y a los Estados miembros y, cuando proceda, a las empresas comunes o a cualquier otra estructura capaz de alcanzar dichos objetivos.

2.Los objetivos operativos de las iniciativas de liderazgo en la nube y la IA se aplicarán a través de iniciativas intersectoriales a gran escala que aborden los principales retos tecnológicos e industriales de importancia estratégica para la Unión («grandes retos»), tal como se indica en el anexo I.

3.Las iniciativas de liderazgo en la nube y la IA podrán recibir financiación de programas de la Unión, incluidos Horizonte Europa y el programa Europa Digital, de conformidad con el Reglamento (UE) 2021/694 y el Reglamento (UE) 2021/695.

4.A fin de reflejar la evolución tecnológica y del mercado, la Comisión estará facultada para adoptar actos delegados con arreglo al artículo 45 por los que se modifique el anexo I de manera coherente con los objetivos de las iniciativas de liderazgo en la nube y la IA establecidos en el artículo 4.

Artículo 7
Estrategias nacionales para la nube y la IA

1.A más tardar el [día de la entrada en vigor más un año], los Estados miembros establecerán estrategias nacionales para la nube y la IA («estrategias nacionales»).

2.Las estrategias nacionales deberán abordar, como mínimo, lo siguiente:

a)objetivos y prioridades clave para la adopción de la nube y la IA, en consonancia con el principio de «priorizar la IA», así como un marco de gobernanza y seguimiento para alcanzar dichos objetivos y prioridades;

b)medidas para acelerar el desarrollo y la adopción de la nube y la IA a escala nacional, regional y local, en particular entre los organismos del sector público, las pymes y las pequeñas empresas de mediana capitalización, también mediante el apoyo a los centros de IA a que se refiere el artículo 5 como puntos de entrada al ecosistema europeo de innovación en IA;

c)medidas para apoyar el amplio despliegue y la adopción de la IA en sectores industriales y públicos estratégicos, en particular en la asistencia sanitaria, la energía y la movilidad;

d)medidas para apoyar el despliegue de la capacidad de los centros de datos, prestando especial atención a los centros de datos de alto valor que aporten importantes beneficios económicos y sociales, respetando al mismo tiempo normas estrictas en materia de medio ambiente y eficiencia energética;

e)medidas para invertir en infraestructuras informáticas de alta intensidad, incluidas las factorías de IA, las gigafactorías de IA y los ordenadores cuánticos, como activos estratégicos nacionales y transfronterizos que apoyan la investigación, el desarrollo y el despliegue industrial de la IA en todos los sectores estratégicos;

f)medidas para apoyar el desarrollo de capacidades en la nube y de IA y promover la excelencia y la innovación, también a través de medidas de contratación pública, y la contratación pública de medidas de innovación establecidas en el artículo 33;

g)medidas para apoyar el desarrollo de tecnologías de pila de computación en nube basadas en hardware y software abiertos para reforzar la soberanía tecnológica y mejorar la competitividad de las industrias europeas estratégicas;

h)medidas para garantizar la accesibilidad de datos de alta calidad para el desarrollo de la IA, en particular evitando los cuellos de botella en materia de datos a los que se enfrentan las organizaciones.

3.Las estrategias nacionales serán coherentes con los objetivos del presente Reglamento.

4.Los Estados miembros velarán por que sus estrategias nacionales sean coherentes con las metas digitales asociadas establecidas en el artículo 4 de la Decisión (UE) 2022/2481 y contribuyan a ellas.

5.Los Estados miembros notificarán a la Comisión sus estrategias nacionales en un plazo de tres meses desde su adopción. Los Estados miembros evaluarán sus estrategias nacionales al menos cada tres años en función de unos indicadores de rendimiento clave, y las actualizarán cuando proceda. La Comisión supervisará la adopción y revisión de las estrategias nacionales.

6.El Consejo Europeo de Inteligencia Artificial establecido por el Reglamento (UE) 2024/1689 («Consejo de IA») asesorará y asistirá a los Estados miembros en lo que respecta a la coordinación de las estrategias nacionales. El Consejo de IA facilitará el intercambio de mejores prácticas entre los Estados miembros.

Artículo 8
Criterios para los proyectos prioritarios de IA de frontera

La Comisión podrá, mediante una decisión, reconocer como proyectos prioritarios de IA de frontera los proyectos seleccionados a través de convocatorias abiertas de manifestaciones de interés que apoyen el gran reto 3 establecido en el anexo I, siempre que se cumplan los siguientes criterios:

a)que se trate de un proyecto pionero centrado en el apoyo y la expansión de las tecnologías de IA de frontera;

b)que lo lleve a cabo un Consorcio de Infraestructuras Digitales Europeas creado en virtud de la Decisión (UE) 2022/2481 u otra entidad jurídica que pueda optar a financiación con arreglo al Derecho de la Unión e implique la participación de al menos tres Estados miembros;

c)que los Estados miembros participantes pongan en común el tiempo de computación y otros recursos pertinentes para apoyar la ejecución del proyecto designado.

Artículo 9
Apoyo de computación a proyectos de IA

1.La Unión y los Estados miembros velarán por que se asignen suficientes recursos computacionales de IA de su capacidad de computación para apoyar el desarrollo de proyectos prioritarios de IA de frontera que cumplan los criterios establecidos en el artículo 8, dentro de los límites de la capacidad disponible.

2.La Unión igualará al menos los recursos computacionales de IA aportados por los Estados miembros a los proyectos prioritarios de IA de frontera en la medida en que se disponga de suficiente capacidad de computación de IA dentro del porcentaje de tiempo de acceso de la Unión a la informática europea de alto rendimiento.

3.La Unión y los Estados miembros se esforzarán por proporcionar recursos computacionales suficientes para la innovación de IA industrial, la IA física y los proyectos de IA del sector público.

TÍTULO III
CAPACIDAD DE CENTROS DE DATOS

Capítulo I
Zonas de aceleración de los centros de datos

Artículo 10
Designación de zonas de aceleración de los centros de datos

1.Cuando la capacidad del centro de datos se despliegue en el territorio de un Estado miembro, dicho Estado miembro designará al menos una zona de aceleración de los centros de datos («zona de aceleración») dentro de su territorio a más tardar el [OP: insértese la fecha de entrada en vigor del presente Reglamento más 6 meses]. Los Estados miembros tendrán en cuenta los siguientes aspectos a la hora de designar zonas de aceleración:

a)la ubicación y dimensión del emplazamiento o zona, y el tamaño mínimo y máximo de las instalaciones que podrían construirse en dicho emplazamiento o zona;

b)la capacidad disponible y futura de la red eléctrica y la posibilidad y las condiciones para el almacenamiento in situ y la generación de energía limpia;

c)la capacidad de conectividad de la red disponible y futura;

d)la capacidad de la zona para apoyar la desconexión progresiva de las redes de cobre heredadas;

e)las instalaciones disponibles y futuras que puedan reutilizar el calor residual del centro de datos;

f)todas las medidas adoptadas para acelerar la concesión de las autorizaciones necesarias para la construcción y explotación de centros de datos en una zona determinada;

g)la preferencia por la reutilización de antiguas zonas industriales frente a la utilización de nuevas zonas industriales;

h)la idoneidad del emplazamiento o la zona para funcionar de manera sostenible, en particular en lo que se refiere a prevenir o minimizar los impactos medioambientales y apoyar la reducción de las emisiones de carbono y su resiliencia frente al cambio climático.

2.Los Estados miembros, cuando proceda para facilitar el desarrollo de zonas de aceleración:

a)llevarán a cabo, y revisarán al menos cada tres años, un análisis exhaustivo de las necesidades energéticas y sus respectivos efectos en las emisiones de gases de efecto invernadero de las zonas de aceleración actuales y futuras, y determinarán la capacidad de infraestructura energética necesaria para el correcto funcionamiento y desarrollo de los proyectos de centros de datos situados en las zonas de aceleración. Dicho análisis se llevará a cabo, como mínimo, al designar las zonas de aceleración con arreglo al apartado 1;

b)velarán por que los planes de desarrollo de la red elaborados por los gestores de redes de transporte con arreglo al artículo 51 de la Directiva (UE) 2019/944 del Parlamento Europeo y del Consejo y los gestores de redes de distribución con arreglo al artículo 32 de la Directiva (UE) 2019/944 tengan debidamente en cuenta el análisis elaborado con arreglo a la letra a) del presente apartado y valoren el potencial de las inversiones anticipatorias para satisfacer las futuras necesidades del sistema.

3.Las autoridades nacionales, regionales y locales responsables de preparar los planes de ordenación territorial y desarrollo considerarán la posibilidad de incluir, en dichos planes, disposiciones para el desarrollo de proyectos de centros de datos desplegados en zonas de aceleración, así como de la infraestructura necesaria. Los Estados miembros velarán por que todos los datos pertinentes sobre ordenación del territorio estén a disposición de los operadores de centros de datos. Cuando dichos planes estén sujetos a una evaluación en virtud tanto de la Directiva 2001/42/CE del Parlamento Europeo y del Consejo como del artículo 6 de la Directiva 92/43/CEE, se combinarán ambas evaluaciones. Cuando proceda, la evaluación combinada abordará también el impacto en las masas de agua potencialmente afectadas a que se refiere la Directiva 2000/60/CE del Parlamento Europeo y del Consejo.

4.Al designar zonas de aceleración, los Estados miembros garantizarán que participen, y se coordinen entre sí, todas las autoridades y entidades nacionales, regionales y locales pertinentes, incluidos los operadores, tal como se definen en el artículo 2, punto 29, de la Directiva (UE) 2018/1972 del Parlamento Europeo y del Consejo, los gestores de redes de transporte, tal como se definen en el artículo 2, punto 35, de la Directiva (UE) 2019/944, y los gestores de redes de distribución, tal como se definen en el artículo 2, punto 29, de la Directiva (UE) 2019/944.

Artículo 11
Condiciones dentro de las zonas de aceleración

1.Al establecer requisitos de sostenibilidad para los centros de datos desplegados en zonas de aceleración, los Estados miembros utilizarán los indicadores clave de rendimiento especificados en el Reglamento Delegado (UE) 2024/1364 con arreglo a la Directiva (UE) 2023/1791 en virtud del anexo II, letras a) a n).

2.Los Estados miembros velarán por que la asignación y la utilización de los recursos dentro de las zonas de aceleración se lleven a cabo en condiciones justas, razonables y no discriminatorias y no den lugar a prácticas de reserva especulativa o de exclusión capaces de obstaculizar la competencia efectiva o el desarrollo o la utilización efectivos de dichas zonas.

Artículo 12
Puntos de información únicos

1.El operador del centro de datos tendrá derecho, previa solicitud, a contar con la asistencia de un punto de información único a lo largo de todo el ciclo de vida del proyecto del centro de datos en una zona de aceleración con respecto a todas las autorizaciones necesarias para el despliegue del centro de datos. A tal fin, los Estados miembros designarán uno o varios puntos de información únicos para los operadores de proyectos de centros de datos en zonas de aceleración. Los Estados miembros podrán designar a tal efecto un punto de información único establecido en virtud del Reglamento (UE) 2024/1309. También se aplicarán las funciones, los procedimientos y los mecanismos aplicables a dichos puntos de información únicos en virtud del Reglamento (UE) 2024/1309, incluidos los relativos al acceso digital, la coordinación administrativa y la resolución de litigios.

2.Las funciones de un punto de información único podrán incluir, entre otras cosas, la coordinación, la facilitación, el seguimiento y el intercambio de información sobre el procedimiento en lo que respecta a:

a)la ordenación del territorio y las licencias de obras;

b)las evaluaciones medioambientales, de conformidad con el Reglamento (UE) 2026/XXXX [sobre la agilización de las evaluaciones ambientales];

c)las autorizaciones relativas a la extracción de agua, el vertido de aguas residuales y la utilización y recuperación del calor;

d)las obligaciones administrativas y de presentación de informes aplicables;

e)la información al público, con el fin de aumentar la aceptación pública del proyecto del centro de datos;

f)las solicitudes de conexión a las redes de electricidad, calor o comunicaciones, o a otras redes pertinentes.

3.El punto de información único ayudará a evaluar si un proyecto de centro de datos puede considerarse un proyecto estratégico con arreglo al artículo 14.

4.Al prestar el apoyo administrativo y la asistencia a que se refiere el presente artículo, el punto de información único prestará especial atención a las pequeñas y medianas empresas (pymes) y, cuando proceda, establecerá un canal específico de comunicación con las pymes para proporcionar orientación y responder a las consultas relacionadas con la aplicación del presente Reglamento.

Artículo 13
Facilitación de los procesos administrativos y de concesión de autorizaciones

1.Los proyectos de centros de datos desplegados en zonas de aceleración se considerarán proyectos estratégicos en el sentido del artículo 14 del Reglamento (UE) 2026/XXX [sobre la agilización de las evaluaciones ambientales] y se beneficiarán del conjunto de instrumentos establecido en el anexo de dicho Reglamento.

2.Para cada zona de aceleración designada, los Estados miembros prepararán y expedirán una autorización de referencia agregada que permita el despliegue de centros de datos en dicha zona de aceleración. Esta autorización de referencia agregada abarcará los permisos y las autorizaciones administrativas necesarios para los proyectos de centros de datos situados dentro de la zona de aceleración, excepto las autorizaciones específicas a cada instalación.

3.Antes de expedir la autorización de referencia agregada a que se refiere el apartado 2, los Estados miembros llevarán a cabo todos los procedimientos y las evaluaciones necesarios, en particular las evaluaciones ambientales pertinentes, los procedimientos de planificación y las evaluaciones aplicables a nivel de la zona de aceleración.

4.Los centros de datos desplegados en zonas de aceleración estarán obligados a obtener autorizaciones adicionales únicamente para las actividades que no entren dentro de la autorización de referencia agregada a que se refiere el apartado 2.

5.Los Estados miembros garantizarán que las solicitudes administrativas relativas a la planificación, construcción y explotación de los centros de datos desplegados en las zonas de aceleración se tramiten de manera eficiente, transparente y oportuna. El procedimiento de concesión de autorizaciones para los proyectos de centros de datos desplegados en zonas de aceleración de los centros de datos no excederá de doce meses a partir del momento en que se haya presentado una solicitud completa. El plazo fijado se entenderá sin perjuicio de cualquier plazo más breve establecido por los Estados miembros. Cuando esté contemplado en el Derecho nacional, se otorgará a los proyectos de centros de datos la condición de asunto de la máxima importancia posible a escala nacional y se los tratará como tales en los procesos de concesión de autorizaciones. El presente apartado únicamente será de aplicación cuando la citada condición ya exista en el Derecho nacional y no impondrá a los Estados miembros la obligación de crearla.

Capítulo II
Proyectos estratégicos

Sección 1
Designación de proyectos estratégicos de centros de datos

Artículo 14
Designación de proyectos estratégicos de centros de datos

1.La Comisión podrá, mediante una decisión, designar como proyectos estratégicos los proyectos de centros de datos seleccionados mediante convocatorias abiertas de manifestaciones de interés que cumplan al menos dos de los criterios siguientes:

a)que el proyecto establezca y explote infraestructuras que apoyen y mejoren directamente funciones esenciales del sector público, como la investigación y la educación, la asistencia sanitaria y la seguridad y la protección públicas;

b)que el proyecto incluya características altamente sostenibles o innovadoras, en particular las tecnologías y soluciones desarrolladas en virtud del título II;

c)que el proyecto contribuya a la seguridad, la protección y la estabilidad de la red eléctrica y a las necesidades del sistema eléctrico evaluadas por el gestor de red pertinente, en particular en el caso de los proyectos que impliquen la coubicación de grandes instalaciones de generación y almacenamiento de energía limpia;

d)que el proyecto apoye la integración de chips, procesadores y aceleradores, servidores u ordenadores cuánticos diseñados o fabricados en la Unión en sistemas de centros de datos o en la gestión de instalaciones de centros de datos, reforzando así las cadenas de suministro de semiconductores, tecnología cuántica y centros de datos de la Unión y contribuyendo a los objetivos del presente Reglamento y del Reglamento (UE) 2023/1781;

e)que el proyecto aborde una importante escasez de capacidad de computación en una zona identificada como zona con tal escasez con arreglo al artículo 15 y contribuya significativamente al crecimiento, el desarrollo y la promoción de la economía local.

2.En su propuesta, el solicitante facilitará toda la información necesaria y pertinente para demostrar que el proyecto cumple los criterios pertinentes.

3.La duración de la designación como proyecto estratégico se basará en la duración prevista del proyecto. El solicitante incluirá en la propuesta la información necesaria para justificar la vida útil prevista del proyecto, sobre cuya base se determinará la duración de la designación como proyecto estratégico.

4.Cuando la Comisión considere que un proyecto designado como proyecto estratégico ha dejado de cumplir los criterios pertinentes, o cuando su designación se haya basado en una solicitud que contuviese información incorrecta que afecte al cumplimiento de dichos criterios, podrá retirar la designación de dicho proyecto mediante una decisión. Los proyectos a los que se haya retirado la designación como proyecto estratégico perderán todos los derechos relacionados con dicha condición en virtud del presente Reglamento.

Capítulo III
Seguimiento

Artículo 15
Seguimiento del déficit de capacidad

1.A efectos del seguimiento de los avances en la consecución de los objetivos de la Decisión (UE) 2022/2481, la Comisión determinará y supervisará:

a)la capacidad de computación disponible en la Unión, incluida la capacidad de computación periférica;

b)el volumen de la demanda de capacidad de centros de datos;

c)la magnitud del déficit de capacidad y de las zonas insuficientemente atendidas que haya determinado la Comisión, en cooperación con los Estados miembros, y que posteriormente podrían utilizarse como zonas de aceleración para el despliegue de la capacidad de los centros de datos.

TÍTULO IV
AUTONOMÍA

Capítulo I
Marco de soberanía de la computación en nube

Sección 1
Niveles de garantía de la Unión

Artículo 16
Ámbito de aplicación

1.El presente capítulo establece un marco de soberanía de la computación en nube de la Unión que comprende cuatro niveles de garantía de la Unión, cuyos criterios se establecen en el anexo II, que los proveedores de servicios de computación en nube deberán cumplir para prestar sus servicios de computación en nube a entidades de la Unión y organismos del sector público.

2.La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 45 a fin de modificar los niveles de garantía de la Unión establecidos en el anexo II y las pruebas establecidas en el anexo III.

3.Para garantizar que los anexos II y III se mantengan actualizados en función de los nuevos avances jurídicos o técnicos, la Comisión los revisará al menos cada dieciocho meses.

Artículo 17
Reconocimiento de proveedores de servicios de computación en nube

1.Los proveedores de servicios de computación en nube que quieran que se les reconozca que ofrecen un determinado nivel de garantía de la Unión presentarán una solicitud de reconocimiento a la autoridad nacional competente de establecimiento. Al presentar una solicitud de reconocimiento, el proveedor de servicios de computación en nube incluirá todas las pruebas pertinentes exigidas en virtud de los apartados 3 o 4.

2.La autoridad competente de establecimiento será la autoridad nacional competente evaluadora. Una autoridad nacional competente evaluadora que haya recibido una solicitud de reconocimiento de un candidato podrá, en caso necesario, solicitar a una o varias autoridades competentes de los demás Estados miembros que colaboren en el procedimiento de reconocimiento de un candidato con arreglo al presente artículo. En el plazo de quince días a partir de la recepción de dicha solicitud, la autoridad nacional que haya recibido una solicitud de colaboración confirmará que acepta colaborar con la autoridad nacional competente evaluadora o denegará la solicitud.

3.Para el nivel 1 de garantía de la Unión, el candidato a proveedor de servicios de computación en nube presentará a la autoridad nacional competente evaluadora la declaración de conformidad de la UE a que se refiere el artículo 19, apartado 2, y todas las pruebas necesarias.

No obstante lo dispuesto en el párrafo primero, la declaración de conformidad de la UE emitida con arreglo al artículo 19, apartado 2, por los proveedores de servicios de computación en nube que sean pymes será reconocida directa y automáticamente en todos los Estados miembros sin necesidad de reconocimiento previo por parte de la autoridad nacional competente evaluadora.

4.Para los niveles 2, 3 y 4 de garantía de la Unión, el candidato a proveedor de servicios de computación en nube presentará a la autoridad nacional competente evaluadora el informe de auditoría, el dictamen de auditoría «favorable» a que se refiere el artículo 20 y todas las pruebas aportadas a la entidad auditora durante el procedimiento de auditoría.

5.En el plazo de sesenta días a partir de la aceptación de una solicitud con arreglo al apartado 1, la autoridad nacional competente evaluadora evaluará las pruebas presentadas con arreglo a los apartados 3 o 4 y:

a)preparará un proyecto de decisión de reconocimiento y notificará lo antes posible a las autoridades competentes de los demás Estados miembros un período de revisión de sesenta días para confirmar su intención de reconocer el servicio de computación en nube en toda la Unión como un servicio que ofrece el nivel de garantía de la Unión aplicable. La notificación a las autoridades competentes de los demás Estados miembros del período de revisión incluirá las pruebas a que se refieren los apartados 3 o 4; o

b)si las pruebas presentadas no permiten a la autoridad competente evaluadora reconocer el servicio de computación en nube, podrá pedir información adicional al solicitante y pedirle que presente dicha información en un plazo determinado. El plazo de sesenta días contemplado en el presente apartado se suspenderá desde la fecha de la petición hasta la fecha en que se reciba la información. La suspensión no podrá exceder de treinta días en total, salvo que lo justifiquen las características de la información solicitada o circunstancias excepcionales; o

c)denegará la solicitud de reconocimiento. Antes de denegar la solicitud de reconocimiento, la autoridad competente evaluadora dará al proveedor de servicios de computación en nube candidato al reconocimiento la oportunidad de presentar observaciones por escrito sobre las conclusiones de la evaluación en un plazo de treinta días. La autoridad competente evaluadora tendrá debidamente en cuenta dichas observaciones cuando ultime sus conclusiones.

6.Durante el período de revisión a que se refiere el apartado 5, letra a), la autoridad nacional competente de otro Estado miembro podrá presentar una objeción motivada o una solicitud de aclaración a la autoridad nacional competente evaluadora cuando considere que el proyecto de decisión de reconocimiento no cumple el nivel de garantía de la Unión aplicable establecido en el anexo II.

7.Si no se presenta ninguna objeción motivada o solicitud de aclaración en el plazo de revisión a que se refiere el apartado 5, letra a), las conclusiones de la autoridad nacional competente evaluadora se considerarán aceptadas por todos los Estados miembros, la autoridad nacional competente evaluadora adoptará la decisión de reconocimiento y el servicio auditado será reconocido en toda la Unión al nivel de garantía de la Unión adecuado.

8.Cuando se presente una solicitud de aclaración dentro del plazo de revisión a que se refiere el apartado 5, letra a), la autoridad nacional competente evaluadora tendrá debidamente en cuenta dicha solicitud y, en su caso, pedirá nueva información al solicitante con arreglo al apartado 5, letra b), o confirmará o modificará su proyecto de decisión original. Si la autoridad competente solicitante no está satisfecha, podrá presentar una objeción motivada.

9.Si se presenta una objeción motivada dentro del plazo de revisión mencionado en el apartado 5, letra a), o siguiendo el procedimiento mencionado en el apartado 8, la autoridad nacional competente evaluadora evaluará la objeción y mantendrá o revocará su proyecto de decisión original. La autoridad nacional competente evaluadora informará a las autoridades competentes de los demás Estados miembros en un plazo de quince días a partir del final del período de revisión a que se refiere el apartado 5, letra a), o en un plazo de quince días a partir de la recepción de la objeción motivada con arreglo al procedimiento a que se refiere el apartado 8, según proceda.

10.En caso de que la autoridad nacional competente evaluadora tenga la intención de mantener su proyecto de decisión, la autoridad nacional competente de que se trate podrá remitir el asunto a la Comisión. La Comisión evaluará la remisión y podrá solicitar información a las autoridades nacionales competentes afectadas. La Comisión adoptará una decisión vinculante que determine si la autoridad nacional competente evaluadora puede adoptar la decisión de reconocimiento.

11.La autoridad nacional competente evaluadora podrá revocar su reconocimiento cuando considere que un proveedor de servicios de computación en nube cuyo servicio haya sido reconocido en toda la Unión como proveedor de un nivel de garantía específico de la Unión ha suministrado información incorrecta o engañosa, de forma deliberada o por negligencia.

12.La Comisión podrá adoptar actos de ejecución relativos a las disposiciones prácticas de los procedimientos a que se refiere el presente artículo. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 46, apartado 2.

13.A fin de llevar a cabo las tareas que se le asignan en virtud del apartado 10, la Comisión podrá exigir que las autoridades nacionales competentes de establecimiento faciliten, lo antes posible y en un plazo razonable, toda la información pertinente relativa al proveedor de servicios de computación en nube de que se trate y a la solicitud de reconocimiento.

14.Al enviar una solicitud de información, la Comisión indicará el objeto de la solicitud, especificará qué información se requiere y fijará el plazo en el que debe facilitarse la información.

Artículo 18
Terceros países asociados

1.La Comisión podrá adoptar decisiones, mediante actos de ejecución, en las que se determinen los terceros países para los que los proveedores de servicios de computación en nube sujetos al control de dicho tercer país o una entidad jurídica establecida en dicho tercer país pueden ser auditados con arreglo a los criterios del nivel de garantía 3 de la Unión de conformidad con el anexo II, siempre que dicho tercer país cumpla los siguientes criterios acumulativos:

a)que esté sujeto a una decisión de adecuación pertinente adoptada en virtud del artículo 45 del Reglamento (UE) 2016/679;

b)que no haya adoptado medidas que le permitan ejercer un control sobre el proveedor de servicios de computación en nube de manera que entre en conflicto con los requisitos de acceso lícito a los datos no personales establecidos en el artículo 32, apartados 2 y 3, del Reglamento (UE) 2023/2854;

c)que no haya adoptado ni medidas para obligar al proveedor de servicios de computación en nube a degradar o perturbar la continuidad o la prestación del servicio, ni medidas para obligar al proveedor de servicios de computación en nube a aplicar, hacer cumplir, hacer efectivas o cumplir medidas restrictivas como regímenes de sanciones, embargos o cualquier otra medida jurídica o administrativa equivalente, a menos que estas medidas específicas sean legítimas con arreglo a la legislación nacional de los Estados miembros o al Derecho de la Unión;

d)que no haya adoptado medidas para impedir el suministro de tecnologías y servicios de vanguardia prestados por el proveedor de servicios de computación en nube;

e)que mantenga un mercado abierto a los servicios de computación en nube de la Unión;

f)que conceda niveles equivalentes de acceso a los procedimientos de contratación pública de servicios de computación en nube sujetos al control de un Estado miembro de la Unión o de una entidad o entidad jurídica establecida en la Unión.

Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 46, apartado 2.

2.Cuando la información disponible revele que el tercer país ha dejado de cumplir los requisitos establecidos en el apartado 1, la Comisión derogará, modificará o suspenderá la decisión a que se refiere el apartado 1.

3.La Comisión publicará en su sitio web una lista de terceros países que cumplan los requisitos establecidos en el apartado 1 y de aquellos que hayan dejado de cumplirlos.

Sección 2
Procedimientos de evaluación de la conformidad

Artículo 19
Autoevaluación de la conformidad

1.Los proveedores de servicios de computación en nube que soliciten, de conformidad con el artículo 17, el reconocimiento de que ofrecen el nivel 1 de garantía de la Unión llevarán a cabo una autoevaluación de la conformidad del cumplimiento de los criterios para el nivel 1 de garantía de la Unión establecidos en el anexo II.

2.Tras la autoevaluación a que se refiere el apartado 1, el proveedor de servicios de computación en nube emitirá una declaración de conformidad de la UE en la que declare que se ha demostrado el cumplimiento de los criterios para el nivel 1 de garantía de la Unión. Al emitir dicha declaración, el proveedor de servicios de computación en nube asumirá la responsabilidad de la conformidad del servicio de computación en nube con los criterios para el nivel 1 de garantía de la Unión establecidos en el anexo II.

3.El proveedor de servicios de computación en nube hará pública la declaración de conformidad de la UE.

Sección 3
Auditorías independientes realizadas por terceros

Artículo 20
Auditoría independiente

1.Los proveedores de servicios de computación en nube que soliciten el reconocimiento, de conformidad con el artículo 17, de que ofrezcan un nivel 2, 3 o 4 de garantía de la Unión se someterán, a sus expensas, a auditorías independientes realizadas por terceros para obtener un informe de auditoría y un dictamen de auditoría de una entidad auditora. Un proveedor auditado sometido a un procedimiento de auditoría con un nivel de garantía de la Unión más elevado deberá cumplir todos los criterios acumulativos aplicables con arreglo al anexo II a los niveles de garantía de la Unión inferiores. El incumplimiento de cualquier requisito de un nivel de garantía inferior impedirá la conformidad con los niveles de garantía de la Unión más elevados.

2.Los proveedores auditados cooperarán con las entidades auditoras y les prestarán la asistencia necesaria para que puedan llevar a cabo dichas auditorías de manera eficaz, eficiente y oportuna, en particular dándoles acceso a todos los datos y locales pertinentes y respondiendo a preguntas orales o escritas. Los proveedores auditados se abstendrán de obstaculizar, influir indebidamente o menoscabar la realización de la auditoría.

3.Las entidades auditoras garantizarán un nivel adecuado de confidencialidad y secreto profesional con respecto a la información obtenida de los proveedores auditados y de terceros en el marco de las auditorías, incluso después de que estas hayan finalizado. Este requisito no afectará negativamente a la realización de las auditorías ni a otras disposiciones del presente Reglamento. De conformidad con el artículo 23, la entidad auditora solo compartirá la información que sea necesaria a efectos de la presentación de informes y no contendrá ninguna información que pueda razonablemente considerarse confidencial.

4.Las auditorías a que se refiere el apartado 1 serán realizadas por entidades auditoras que:

a)sean independientes del proveedor de servicios de computación en nube de que se trate y de cualquier persona jurídica vinculada a él, y no tengan ningún conflicto de intereses con él, en particular:

i. que no hayan prestado servicios ajenos a la auditoría relacionados con las cuestiones auditadas al proveedor de servicios de computación en nube de que se trate o a cualquier persona jurídica vinculada a dicho proveedor en el período de doce meses anterior al inicio de la auditoría, y que se hayan comprometido a no prestarles tales servicios en el período de doce meses posterior a la finalización de la auditoría;

ii. que no hayan prestado servicios de auditoría con arreglo al presente artículo al proveedor de servicios de computación en nube de que se trate ni a ninguna persona jurídica vinculada a dicho proveedor en el período de diez años anterior al inicio de la auditoría;

iii. no realicen la auditoría a cambio de honorarios que dependan del resultado de la auditoría;

b)tener experiencia, competencia técnica y capacidades demostradas en la auditoría de servicios de computación en nube;

c)tengan objetividad y ética profesional acreditadas, basadas en particular en su adhesión a códigos de conducta o normas apropiadas.

5.Las entidades auditoras elaborarán un informe de auditoría para cada auditoría que realicen. Dicho informe se hará por escrito, estará fundamentado e incluirá al menos lo siguiente:

a)el nombre, la dirección y el punto de contacto del proveedor objeto de la auditoría, así como el período abarcado;

b)el nombre y dirección de las entidades auditoras que realicen la auditoría;

c)una declaración de intereses;

d)una descripción de los aspectos concretos auditados y de la metodología aplicada;

e)una descripción y un resumen de las principales conclusiones extraídas de la auditoría;

f)una lista de los terceros consultados en el marco de la auditoría;

g)un dictamen de auditoría «favorable» o «negativo» y cualquier información sobre si el servicio auditado del proveedor auditado cumple los criterios de auditoría aplicables a los niveles 2, 3 o 4 de garantía de la Unión con arreglo al anexo II;

h)cuando el dictamen de auditoría sea «negativo», recomendaciones operativas sobre medidas concretas para alcanzar el cumplimiento y el plazo recomendado para alcanzarlo;

i)cuando el dictamen de auditoría sea «favorable», el nivel de garantía de la Unión que debe reconocerse en virtud del artículo 17, emitido para el servicio auditado del proveedor auditado con arreglo a los criterios aplicables establecidos en el anexo II.

6.Cuando la entidad auditora no haya podido auditar determinados aspectos o emitir un dictamen de auditoría basado en sus investigaciones, el informe de auditoría incluirá una explicación de las circunstancias y las razones por las que estos aspectos no pudieron auditarse.

7.La entidad auditora podrá revocar su informe de auditoría y su dictamen de auditoría cuando el proveedor auditado, de forma deliberada o por negligencia, haya facilitado evidencia de auditoría incorrecta o engañosa.

8.El proveedor auditado presentará anualmente, para su revisión, el informe de auditoría y el correspondiente dictamen de auditoría «favorable» a la misma entidad auditora o a otra diferente, que evaluará si el servicio auditado sigue cumpliendo los criterios aplicables establecidos en el anexo II. Sobre la base de la revisión anual, la entidad auditora podrá confirmar, actualizar o revocar el informe de auditoría inicial y el dictamen de auditoría.

9.La Comisión estará facultada para adoptar actos delegados con arreglo al artículo 45 por los que se complete el presente Reglamento estableciendo normas sobre la realización de auditorías, las etapas del procedimiento, las normas aplicables a las entidades auditoras y sus competencias técnicas, las metodologías de auditoría y los modelos de los informes de auditoría.

Artículo 21
Contenido y calidad de la evidencia de auditoría

1.Para preparar el informe de auditoría y el dictamen de auditoría, la entidad auditora evaluará la conformidad del servicio auditado con los criterios establecidos en el anexo II sobre la base de la evidencia de auditoría detallada en el anexo III. La Comisión estará facultada para adoptar actos delegados con arreglo al artículo 45 por los que se modifique el anexo III estableciendo las pruebas necesarias para evaluar los criterios de auditoría con arreglo al anexo II.

2.La evidencia de auditoría será:

a)pertinente y suficiente para permitir a la entidad auditora preparar un informe de auditoría y emitir un dictamen de auditoría; y

b)fiable según el juicio y escepticismo profesionales de la entidad auditora.

Artículo 22
Repositorio central de servicios de computación en nube

1.La Comisión creará y mantendrá un repositorio específico de servicios de computación en nube que hayan sido reconocidos de conformidad con el artículo 17 («repositorio central»).

2.La autoridad nacional competente de establecimiento que haya reconocido un servicio de computación en nube con arreglo al artículo 17 registrará el servicio de computación en nube en el repositorio central.

3.La revocación de un informe de auditoría y de un dictamen de auditoría por una entidad auditora o la revocación de un reconocimiento por una autoridad competente se publicarán en el repositorio central y permanecerán disponibles en él durante cinco años.

4.El repositorio central estará a disposición del público y será actualizado periódicamente por la Comisión y las autoridades nacionales competentes de establecimiento en un sitio web específico y de fácil acceso.

Artículo 23
Obligaciones de transparencia

1.Cuando tenga conocimiento de cualquier información o de cualquier cambio sustancial en las circunstancias que pueda afectar al informe de auditoría y al dictamen «favorable» con arreglo al artículo 20 o al reconocimiento con arreglo al artículo 17, el proveedor de servicios de computación en nube reconocido lo notificará lo antes posible a la entidad auditora y a la autoridad nacional competente de establecimiento.

2.Sobre la base de la notificación a que se refiere el apartado 1, la entidad auditora evaluará si es necesario modificar o revocar el informe de auditoría o el dictamen de auditoría. En caso de que la entidad auditora modifique o revoque el informe de auditoría o el dictamen de auditoría, lo notificará lo antes posible a la autoridad nacional competente de establecimiento.

3.Sobre la base de la notificación a que se refieren los apartados 1 o 2, la autoridad nacional competente del país de establecimiento evaluará si es necesario modificar o revocar su reconocimiento. Cuando la autoridad nacional competente de establecimiento modifique o revoque el reconocimiento del servicio de computación en nube, lo notificará lo antes posible a las autoridades nacionales competentes de los demás Estados miembros y a la Comisión.

Artículo 24
Sanciones e indemnizaciones

1.Los Estados miembros establecerán el régimen de sanciones aplicable a las infracciones del presente capítulo cometidas por los proveedores de servicios de computación en nube que sean de su competencia y adoptarán todas las medidas necesarias para garantizar su aplicación. Tales sanciones serán efectivas, proporcionadas y disuasorias. Los Estados miembros comunicarán a la Comisión el régimen establecido y las medidas adoptadas, tan pronto como sea posible, y le notificarán toda modificación posterior.

2.Por lo que respecta a la imposición de sanciones por infracciones del presente Reglamento, los Estados miembros tendrán en cuenta los siguientes criterios no exhaustivos:

a)la naturaleza, gravedad, magnitud y duración de la infracción;

b)cualquier medida adoptada por la parte infractora para mitigar o reparar el perjuicio causado por la infracción;

c)las infracciones anteriores cometidas por la parte infractora;

d)los beneficios financieros obtenidos o las pérdidas evitadas por la parte infractora debido a la infracción, en la medida en que dichos beneficios o pérdidas puedan establecerse de forma fiable;

e)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso;

f)el volumen de negocio anual del infractor durante el ejercicio financiero anterior en la Unión.

3.Los destinatarios de los servicios de computación en nube tendrán derecho a solicitar, de conformidad con el Derecho de la Unión y nacional, una indemnización con cargo a los proveedores de servicios de computación en nube por cualquier daño o perjuicio sufridos debido a una infracción por parte de dichos proveedores de sus obligaciones en virtud del presente capítulo.

Sección 4
Autoridades nacionales competentes

Artículo 25
Autoridades nacionales competentes

1.A más tardar el [OP: insértese la fecha de entrada en vigor más 1 año], los Estados miembros designarán una o varias autoridades nacionales competentes responsables de hacer cumplir el presente capítulo. A tal efecto, los Estados miembros podrán designar una o varias autoridades existentes (en lo sucesivo, «autoridades competentes»).

2.Los Estados miembros notificarán a la Comisión los nombres de las autoridades competentes y sus funciones y competencias. La Comisión mantendrá un registro público de dichas autoridades.

3.Los Estados miembros velarán por que sus autoridades competentes desempeñen sus funciones en virtud del presente Reglamento de manera imparcial, transparente y en tiempo oportuno. Los Estados miembros se asegurarán de que sus autoridades competentes posean todos los recursos necesarios para desempeñar sus funciones, entre otros, recursos técnicos, financieros y humanos suficientes para supervisar adecuadamente a todos los proveedores de servicios de computación en nube que estén bajo su competencia.

4.El Estado miembro en el que el proveedor de servicios de computación en nube tenga su establecimiento principal, es decir, en el que el proveedor de servicios de computación en nube tenga su administración central o domicilio social desde el que se ejerzan las principales funciones financieras y el control operativo, tendrá competencia exclusiva para hacer cumplir el presente capítulo.

Artículo 26
Competencias de las autoridades nacionales competentes

1.Cuando sea necesario para el desempeño de sus funciones con arreglo al artículo 17, las autoridades competentes de establecimiento dispondrán de las siguientes competencias de investigación:

a)la competencia para exigir a cualquier proveedor de servicios de computación en nube, así como a cualquier otra persona que actúe con fines relacionados con su actividad comercial, negocio, oficio o profesión, de la que quepa esperar razonablemente que tenga conocimiento de información relativa a una presunta infracción del presente Reglamento, incluidas las entidades auditoras, que facilite dicha información lo antes posible;

b)la competencia para inspeccionar, o solicitar a una autoridad judicial de su Estado miembro que ordene inspeccionar, cualquier instalación que dichos proveedores o dichas personas utilicen con fines relacionados con su actividad comercial, negocio, oficio o profesión, o solicitar a otras autoridades públicas que lo hagan, a fin de examinar, tomar u obtener o incautarse de información relativa a una presunta infracción en cualquier forma, sea cual sea el medio de almacenamiento;

c)la competencia para solicitar a cualquier miembro del personal o representante de dichos proveedores o dichas personas que actúen con fines relacionados con su actividad comercial, negocio, oficio o profesión que den explicaciones sobre cualquier información relativa a una presunta infracción y, con el consentimiento de estos, registrar sus respuestas por cualquier medio técnico.

2.Cuando sea necesario para el desempeño de sus funciones con arreglo al artículo 17, las autoridades nacionales competentes de establecimiento dispondrán de las siguientes competencias de ejecución:

a)la competencia para ordenar, o solicitar a una autoridad judicial de su Estado miembro que lo haga, que cesen las infracciones y, en su caso, imponer medidas correctoras proporcionadas en relación con la infracción y necesarias para poner fin a la infracción de manera efectiva;

b)la competencia para imponer multas, o solicitar a una autoridad judicial de su Estado miembro que lo haga, por incumplimiento del presente Reglamento, incluida cualquiera de las órdenes de investigación dictadas de conformidad con el apartado 1;

c)la competencia para imponer una multa coercitiva, o solicitar a una autoridad judicial de su Estado miembro que lo haga, de conformidad con el artículo 24 para asegurarse de que se ponga fin a una infracción en cumplimiento de una orden dictada de conformidad con la letra a) o por el incumplimiento de cualquiera de las órdenes de investigación dictadas con arreglo al apartado 1.

3.Las medidas adoptadas por las autoridades nacionales competentes de establecimiento en el ejercicio de las competencias enumeradas en los apartados 1 y 2 serán eficaces, disuasorias y proporcionadas, teniendo en cuenta, en particular, la naturaleza, gravedad, recurrencia y duración de la infracción o presunta infracción a que se refieran dichas medidas y, en su caso, la capacidad económica, técnica y operativa del proveedor de servicios de que se trate.

4.Los Estados miembros establecerán normas y procedimientos específicos para el ejercicio de las competencias en virtud de los apartados 1 y 2 y velarán por que todo ejercicio de dichas competencias esté sujeto a garantías adecuadas en virtud del Derecho nacional aplicable de conformidad con los principios generales del Derecho de la Unión. Dichas medidas solo se adoptarán de conformidad con el derecho al respeto de la vida privada y los derechos de defensa, incluidos los derechos a ser oído y a tener acceso al expediente, y estarán sujetas al derecho de todas las partes afectadas a la tutela judicial efectiva.

Sección 5
Asistencia mutua y cooperación

Artículo 27
Asistencia mutua

1.Las autoridades competentes y la Comisión cooperarán estrechamente y se prestarán asistencia mutua para aplicar el presente capítulo de manera coherente y eficiente. La asistencia mutua incluirá el intercambio de información.

2.Una autoridad competente podrá solicitar a otras autoridades competentes que faciliten información específica que obre en su poder en relación con un proveedor específico de servicios de computación en nube para ejercer sus competencias de investigación en virtud del artículo 26 en relación con información específica ubicada en su Estado miembro. Cuando proceda, la autoridad competente que reciba la solicitud podrá implicar a otras autoridades competentes u otras autoridades públicas del Estado miembro de que se trate.

3.La autoridad competente que reciba la solicitud con arreglo al apartado 2 dará curso a dicha solicitud e informará a la autoridad competente de establecimiento de las medidas adoptadas lo antes posible y, a más tardar, dos meses después de la recepción de la solicitud, a menos que esté debidamente justificado.

Artículo 28
Cooperación transfronteriza

1.Cuando una autoridad competente del país de destino tenga motivos para sospechar que un proveedor de servicios de computación en nube ha dejado de cumplir el requisito establecido en el anexo II del presente Reglamento, podrá solicitar a la autoridad competente de establecimiento que evalúe el asunto y adopte las medidas de investigación y ejecución necesarias para garantizar el cumplimiento.

2.La Comisión también podrá solicitar a la autoridad competente a que se refiere el artículo 25 que evalúe el asunto y adopte las medidas de investigación y ejecución necesarias para garantizar el cumplimiento.

3.Las solicitudes con arreglo a los apartados 1 o 2 estarán debidamente motivadas y serán tenidas debidamente en cuenta por la autoridad competente del país de establecimiento. Cuando la autoridad competente de establecimiento considere que la información facilitada es insuficiente, podrá solicitar información adicional. El plazo establecido en el apartado 4 quedará en suspenso hasta que se aporte la información adicional.

4.La autoridad competente de establecimiento comunicará, lo antes posible y, en cualquier caso, a más tardar dos meses después de la recepción de la solicitud con arreglo a los apartados 1 o 2, a la autoridad competente que haya enviado la solicitud y a la Comisión su evaluación de la presunta infracción y una explicación de las medidas de investigación o ejecución que haya adoptado o previsto en relación con el asunto para garantizar el cumplimiento del presente Reglamento.

Capítulo II
Medidas relativas a la demanda

Sección 1
Contratación pública

Artículo 29
Evaluaciones de riesgos

1.A más tardar el [fecha de entrada en vigor más 1 año], y posteriormente cada dos años, o siempre que sea necesario, los Estados miembros y las entidades de la Unión llevarán a cabo evaluaciones de riesgos que:

a)determinen las actividades del sector público que utilizan o utilizarán servicios de computación en nube que contribuyen a la preservación del orden público en los sectores que entran en el ámbito de aplicación de los anexos I o II de la Directiva (UE) 2022/2555 y en los ámbitos de la seguridad nacional, la seguridad interior, la gestión de las fronteras exteriores, la defensa, la justicia o la garantía del cumplimiento del Derecho, incluidas la prevención, la investigación, la detección y el enjuiciamiento de infracciones penales;

b)determinen qué nivel (2, 3 o 4) de garantía de la Unión establecido en el anexo II del presente Reglamento es adecuado para las actividades del sector público identificadas.

Cuando las entidades de la Unión y los Estados miembros compartan responsabilidades en relación con las actividades del sector público, considerarán, cuando proceda, la posibilidad de llevar a cabo conjuntamente la evaluación o evaluaciones de riesgos pertinentes.

2.Al llevar a cabo sus evaluaciones de riesgos, los Estados miembros y las entidades de la Unión tendrán en cuenta al menos los siguientes aspectos:

a)la sensibilidad, la criticidad y la magnitud de los datos no personales tratados, incluidas las posibles repercusiones en el orden público y la naturaleza, el alcance, el contexto y la finalidad del tratamiento de datos personales, así como el riesgo de distintos grados de probabilidad y gravedad para los derechos y libertades de los interesados;

b)el riesgo y las consiguientes repercusiones en el orden público de un acceso ilícito con arreglo al Derecho de la Unión a dichos datos por parte de un tercer país o una entidad jurídica establecida en un tercer país;

c)el riesgo y el consiguiente impacto en el orden público de una posible perturbación del servicio.

3.La Comisión especificará, mediante actos de ejecución de conformidad con el artículo 46, apartado 2, la metodología que debe aplicarse, los modelos que deben utilizarse y los elementos que deben tener en cuenta los Estados miembros y las entidades de la Unión para llevar a cabo las evaluaciones de riesgos a que se refiere el apartado 1. La metodología especificará cómo utilizan los Estados miembros el máximo nivel de garantía para las actividades más críticas del sector público, incluida, entre otras, la defensa.

4.En un plazo de tres meses a partir de la realización de las evaluaciones de riesgos a que se refiere el apartado 1, los Estados miembros facilitarán a la Comisión los resultados de dichas evaluaciones de riesgos, indicando si se desvían de los actos de ejecución a que se refiere el apartado 3.

5.Si, tras revisar los resultados de la evaluación o evaluaciones de riesgos de un Estado miembro, la Comisión llega a la conclusión de que el nivel de garantía de la Unión determinado para la actividad del sector público en una evaluación de riesgos no es adecuado o no aborda adecuadamente las preocupaciones de orden público, podrá adoptar actos de ejecución de conformidad con el artículo 46, apartado 2, en los que se especifiquen los niveles de garantía de la Unión necesarios para la actividad del sector público.

6.Cuando la evaluación de riesgos requiera la migración a otro servicio de computación en nube, el Estado miembro o la entidad de la Unión migrará en un período de transición razonable que no excederá de doce meses, teniendo en cuenta los requisitos de viabilidad técnica, continuidad del servicio y portabilidad de datos aplicables a dicha migración.

7.Los Estados miembros cooperarán entre sí y con la Comisión a través de mecanismos de coherencia establecidos y promoverán la cooperación y el intercambio efectivo de información y mejores prácticas.

8.A efectos del apartado 3, la Comisión estará facultada para solicitar a los proveedores de servicios de computación en nube que faciliten toda la información necesaria.

9.En sus evaluaciones de riesgos, los Estados miembros y las entidades de la Unión considerarán si una estrategia multiproveedor o multinube es adecuada como parte de su contratación de servicios de computación en nube.

Artículo 30
Contratación pública

1.El presente artículo se aplicará a los poderes adjudicadores que adquieran servicios de computación en nube para su uso exclusivo. Sin perjuicio de lo dispuesto en el artículo 136 del Reglamento (UE, Euratom) 2024/2509, el presente artículo también se aplicará a las entidades de la Unión que contraten servicios de computación en nube para su uso exclusivo.

2.Las entidades de la Unión y los organismos del sector público cuyas actividades del sector público no se haya determinado que contribuyen a la preservación del orden público en el marco de la evaluación de riesgos a que se refiere el artículo 29, apartado 1, utilizarán servicios de computación en nube para los que se haya reconocido el nivel 1 de garantía de la Unión con arreglo al artículo 17.

3.Los poderes adjudicadores, incluidas las entidades que actúen en su nombre, cuyas actividades se haya determinado que contribuyen a la preservación del orden público con arreglo al artículo 29, apartado 1, en sectores incluidos en los anexos I o II de la Directiva (UE) 2022/2555 y en los ámbitos de la seguridad nacional, la seguridad interior, la gestión de las fronteras exteriores, la defensa, la justicia o la garantía del cumplimiento del Derecho, incluidas la prevención, la investigación, la detección y el enjuiciamiento de infracciones penales, solo contratarán servicios de computación en nube que tengan reconocido el nivel 2, 3 o 4 de garantía de la Unión.

4.No obstante lo dispuesto en los apartados 2 o 3, con carácter excepcional y cuando esté debidamente justificado, los poderes adjudicadores podrán decidir no contratar servicios de computación en nube que tengan reconocido el nivel 1, 2, 3 o 4 de garantía de la Unión cuando se den una o varias de las circunstancias siguientes:

a)que el objeto de la licitación no pueda ser suministrado por servicios de computación en nube reconocidos disponibles en el repositorio central a que se refiere el artículo 22, y no exista ningún servicio de computación en nube alternativo o comparable adecuado o razonable, y dicha ausencia no sea el resultado de una restricción artificial de los parámetros del procedimiento de contratación pública;

b)que el poder adjudicador haya puesto en marcha un proceso de contratación similar en el año anterior, pero no haya recibido ninguna oferta adecuada ni participantes adecuados;

c)que la aplicación de los requisitos del presente Reglamento exigiese que el poder adjudicador contratara servicios a un coste desproporcionado.

Sección 2
Entidades del sector privado

Artículo 31
Evaluaciones de impacto

1.Las entidades a que se refiere el anexo I de la Directiva (UE) 2022/2555 que no sean organismos del sector público podrán llevar a cabo evaluaciones similares a las establecidas en el artículo 29.

2.La Comisión podrá publicar orientaciones sobre la metodología para llevar a cabo las evaluaciones de impacto con arreglo al presente artículo y las posibles medidas de mitigación que deban adoptar las entidades del sector privado que operen en sectores de alta criticidad.

3.Cuando, debido a circunstancias específicas, cuando esté debidamente justificado y en consulta con los Estados miembros, la Comisión concluya que las entidades que no son organismos del sector público que operan en sectores de alta criticidad requieren una evaluación de impacto, la Comisión podrá adoptar actos delegados para completar el presente Reglamento de conformidad con el artículo 45 en los que se especifique la necesidad de dicha evaluación de impacto y las medidas de reducción del riesgo que deberán adoptar dichas entidades que no sean organismos del sector público.

Sección 3
Otras medidas relacionadas con la contratación pública

Artículo 32
Valor añadido de la Unión

1.En los procedimientos de contratación pública para servicios innovadores de computación en nube y sistemas de IA, los poderes adjudicadores incluirán, como parte de la evaluación de la calidad de la oferta, criterios de adjudicación no relacionados con el precio que les permitan evaluar la contribución del licitador al desarrollo de un ecosistema europeo de la nube y la IA.

2.Al aplicar criterios de adjudicación no relacionados con el precio con arreglo al apartado 1, los poderes adjudicadores velarán por que los criterios de adjudicación no relacionados con el precio:

a)estén vinculados al objeto del contrato;

b)no confieran al poder adjudicador una libertad de elección ilimitada;

c)figuren expresamente en los pliegos de la contratación o en el anuncio de licitación;

d)sean accesorios y no determinantes en la adjudicación del contrato.

3.Sin que ello afecte a la facultad discrecional de los poderes adjudicadores de aplicar criterios adicionales, los criterios de adjudicación no relacionados con el precio contemplados en el apartado 1 permitirán a los poderes adjudicadores evaluar en qué medida:

a)el licitador contribuye a reforzar la cadena de suministro de tecnología digital en la Unión, incluido el uso de software o hardware diseñados o fabricados en la Unión;

b)el licitador ha integrado tecnologías desarrolladas en la Unión, incluidos los resultados de la investigación y el desarrollo derivados de programas de investigación y desarrollo financiados por la Unión, y utiliza herramientas como normas, especificaciones, software, modelos u otras tecnologías desarrolladas en la Unión;

c)la innovación necesaria para prestar el servicio contribuye a reforzar la seguridad del suministro y el desarrollo de un ecosistema europeo de la nube y la IA;

d)el servicio se presta, en la mayor medida posible en lo que respecta a la disponibilidad en el mercado y los requisitos técnicos, a través de componentes críticos de hardware de computación, almacenamiento y creación de redes diseñados o fabricados en la Unión o, cuando esto no sea viable, a través de componentes de hardware de un tercer país que contribuyan a reforzar la seguridad del suministro y el desarrollo de un ecosistema europeo de la nube y la IA.

Artículo 33
Seguimiento de la contratación de innovación en la nube y la IA

1.Los Estados miembros supervisarán e informarán sobre su uso de la contratación de innovación en servicios de computación en nube y sistemas de IA.

2.Los Estados miembros adoptarán las medidas adecuadas para garantizar que la supervisión y la presentación de información a que se refiere el apartado 1 se utilicen activamente para detectar los obstáculos a la participación de las pymes en los procedimientos de contratación pública, mejorar el acceso de las pymes a los mercados de contratación pública, apoyar el diseño de estrategias de contratación simplificadas, proporcionadas y favorables a las pymes, incluida la división en lotes, cuando proceda, promover la participación de las pymes en el procedimiento de innovación previsto en la Directiva 2014/24/UE y la contratación precomercial de servicios de computación en nube y sistemas de IA.

3.Sobre la base del seguimiento a que se refiere el apartado 1, los Estados miembros informarán anualmente a la Comisión de lo siguiente:

a)el tamaño de los operadores económicos que participan en dicha contratación;

b)las tendencias de participación de las pymes, incluido el número de contratos adjudicados a las pymes, su porcentaje del valor total de los contratos y, en su caso, el porcentaje de participación transfronteriza de las pymes;

c)las medidas adoptadas para mejorar el acceso de las pymes a los procedimientos de contratación pública.

4.Los Estados miembros perseguirán como objetivo que al menos el 25 % de su contratación para servicios de computación en nube y sistemas de IA se adjudique a pymes innovadoras. Los Estados miembros incluirán, en sus estrategias nacionales a que se refiere el artículo 7, planes sobre la manera en que se proponen alcanzar este objetivo.

5.Las entidades de la Unión y los poderes adjudicadores promoverán:

a)la realización de consultas preliminares del mercado;

b)el establecimiento de contactos entre compradores públicos y pymes y empresas emergentes europeas que ofrezcan soluciones innovadoras;

c)la inclusión de cláusulas favorables a las pymes innovadoras en los contratos públicos.

Capítulo III
Federación en la nube del sector público europeo

Artículo 34
Establecimiento de la Federación en la nube del sector público europeo

1.Se crea la Federación en la nube del sector público europeo («Federación EuroCloud»). La Federación EuroCloud estará abierta a la participación de entidades de la Unión y organismos del sector público con carácter voluntario. Las entidades de la Unión y los organismos del sector público podrán solicitar a la Comisión adherirse a la Federación EuroCloud.

2.La Federación EuroCloud facilitará el intercambio de servicios de centros de datos del sector público y servicios de computación en nube entre entidades de la Unión y organismos del sector público en las condiciones establecidas en los artículos 35 y 36.

3.La Comisión creará una plataforma para la Federación EuroCloud que proporcionará, como mínimo:

a)un catálogo que facilite información sobre los servicios de centros de datos y de computación en nube del sector público disponibles;

b)una plataforma de servicios para el intercambio y la organización de recursos y servicios de computación, de almacenamiento y de red.

4.La Comisión estará facultada para adoptar actos de ejecución a fin de especificar el procedimiento de participación en la Federación EuroCloud y el modelo relativo al contenido y otros detalles de la solicitud de participación. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 46, apartado 2.

Artículo 35
Intercambio en el sector público de servicios de centros de datos y servicios de computación en nube

1.Un miembro de la Federación EuroCloud (la «entidad que comparte») puede compartir servicios de centros de datos y servicios de computación en nube con otro miembro de la Federación EuroCloud (la «entidad usuaria») cuando la entidad que comparte los datos sea propietaria, directa o indirectamente a través de una entidad jurídica intermediaria, del hardware a través del cual se pone a disposición el servicio y sea también la que presta el servicio que se pone a disposición de la entidad usuaria. Cuando la entidad que comparta los datos posea indirectamente el hardware y preste los servicios a través de una entidad jurídica intermedia, la entidad que comparta los datos ejercerá control sobre dicha entidad jurídica intermedia.

2.La entidad que comparta los datos adoptará las medidas técnicas, operativas y organizativas adecuadas para garantizar una prestación de servicios eficaz, segura y resiliente.

3.Antes de compartir servicios de centros de datos y servicios de computación en nube dentro de la Federación EuroCloud, la entidad que comparta los datos demostrará a la Comisión que cumple las condiciones establecidas en los apartados 1 y 2.

4.La Comisión evaluará la información facilitada por la entidad que comparta los datos y permitirá a dicha entidad compartir servicios de centros de datos y servicios de computación en nube dentro de la Federación EuroCloud cuando se cumplan las condiciones establecidas en los apartados 1 y 2.

5.La entidad que comparta los datos podrá cobrar una tasa a la entidad usuaria. El importe de la tasa se limitará a los costes en que incurra la entidad que comparta el servicio en relación con el reparto del servicio y no constituirá un contrato a título oneroso en el sentido del artículo 2 de la Directiva 2014/24/UE y del Reglamento (UE, Euratom) 2024/2509.

6.La Comisión estará facultada para adoptar actos de ejecución a fin de especificar las medidas técnicas, operativas y organizativas a que se refiere el apartado 2. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 46, apartado 2.

Artículo 36
Tasas por la administración de la Federación EuroCloud

1.Los costes derivados de las actividades llevadas a cabo por la Comisión con arreglo al presente capítulo serán financiados conjuntamente por los miembros de la Federación EuroCloud mediante tasas cobradas por la Comisión.

2.Si los costes corren inicialmente a cargo del presupuesto general de la Unión, serán reembolsados por los miembros de EuroCloud durante un período no superior a tres años a partir de la fecha en que los costes hayan sido sufragados por la Unión.

3.Los ingresos generados por las tasas constituirán ingresos afectados internos en el sentido del artículo 21, apartado 3, letra a), del Reglamento (UE, Euratom) 2024/2509. Dichos ingresos se destinarán a cubrir los costes de las actividades llevadas a cabo por la Comisión con arreglo al presente capítulo, incluida la evaluación de la solicitud de adhesión a la Federación EuroCloud y el establecimiento de la plataforma a que se refiere el artículo 34, apartado 3. Los ingresos restantes después de la cobertura de estos costes se consignarán en el presupuesto general de la Unión.

4.La Comisión adoptará actos de ejecución por los que se establezcan normas detalladas para determinar los costes estimados, el importe individual de las tasas y las modalidades y condiciones de pago de las tasas. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 46, apartado 2.

Capítulo IV
Contratación de servicios de centros de datos, servicios de computación en nube, software y sistemas de IA por parte de la Comisión

Artículo 37
Actividades de contratación pública de la Comisión

1.La Comisión podrá llevar a cabo actividades de contratación pública para la contratación de servicios de centros de datos, servicios de computación en nube, software y sistemas de IA para sí misma y para las entidades de la Unión y los poderes adjudicadores de los Estados miembros, de conformidad con el Reglamento (UE, Euratom) 2024/2509, sin perjuicio de las excepciones establecidas en el presente capítulo. No obstante lo dispuesto en el artículo 168 del Reglamento (UE, Euratom) 2024/2509, las organizaciones asociadas a que se refiere el artículo 168, apartado 3, de dicho Reglamento seleccionadas por la Comisión también podrán participar en las actividades de contratación pública establecidas en el presente capítulo. Los poderes adjudicadores de los Estados miembros, las entidades de la Unión y las organizaciones asociadas seleccionadas por la Comisión se considerarán «entidades participantes» con arreglo al presente capítulo.

2.Los poderes adjudicadores podrán participar en los procedimientos de contratación en su propio nombre o como centrales de compras en el sentido del artículo 2, apartado 1, punto 16, de la Directiva 2014/24/UE cuando cumplan las condiciones para ello. Podrán imponerse normas y obligaciones específicas que regulen su participación cuando participen como centrales de compras en el acuerdo a que se refiere el artículo 38.

3.Además de las actividades de contratación pública previstas en el artículo 168 del Reglamento (UE, Euratom) 2024/2509, la Comisión podrá actuar como central de compras para los poderes adjudicadores de los Estados miembros y las organizaciones asociadas seleccionadas por la Comisión mediante:

a)la contratación de servicios de centros de datos, servicios de computación en nube, software y sistemas de IA por cuenta o en nombre de uno o varios poderes adjudicadores de los Estados miembros y organizaciones asociadas seleccionadas por la Comisión, mediante la celebración de contratos marco o la explotación de sistemas dinámicos de adquisición de servicios destinados a las entidades participantes;

b)su actuación como mayorista adquiriendo dichos servicios y suministros y revendiéndolos o, en circunstancias excepcionales, donándolos a uno o varios poderes adjudicadores de los Estados miembros.

4.Al llevar a cabo actividades de contratación pública, la Comisión podrá prestar apoyo auxiliar a las entidades participantes, en particular:

a)infraestructura técnica que permita a las entidades participantes utilizar los contratos adjudicados o adjudicar contratos, incluidos los contratos específicos en virtud de acuerdos marco celebrados, para los servicios de centros de datos, los servicios de computación en nube, el software y los sistemas de IA;

b)asesoramiento y apoyo en la preparación y aplicación de los procedimientos de contratación pública;

c)preparación y realización de procedimientos de contratación pública por cuenta o en nombre de las entidades de que se trate;

d)facturación y otros servicios administrativos relacionados con los contratos adjudicados.

5.Este apoyo auxiliar podrá ser prestado directamente por la Comisión, a través de un subcontratista, o por delegación en órganos u organismos de la Unión. La adhesión de las entidades participantes al acuerdo a que se refiere el artículo 38 podrá estar supeditada a la aceptación de uno o varios servicios de apoyo auxiliares.

6.La Comisión podrá establecer y gestionar una plataforma de contratación común que incluya servicios que puedan utilizarse para facilitar las actividades de contratación pública en virtud del presente capítulo.

Artículo 38
Disposiciones relativas a las actividades de contratación pública por parte de la Comisión

1.Antes de llevar a cabo cualquier actividad de contratación con arreglo al artículo 37, la Comisión y al menos dos Estados miembros celebrarán un acuerdo en el que se establezcan las disposiciones prácticas para las actividades de contratación llevadas a cabo por la Comisión en virtud del presente capítulo. El acuerdo abarcará los procedimientos de contratación pública que deban llevarse a cabo durante su período de validez y se considerará que cumple los requisitos del acuerdo de contratación pública conjunta y del mandato a que se refieren el artículo 168, apartados 2 y 3, del Reglamento (UE, Euratom) 2024/2509.

2.El acuerdo constituirá un mandato para que la Comisión contrate por cuenta de las entidades participantes en el sentido del artículo 168, apartado 3, letra e), del Reglamento (UE, Euratom) 2024/2509.

3.El acuerdo incluirá las disposiciones prácticas para la participación de las entidades, el proceso de toma de decisiones para la elección del procedimiento y las condiciones aplicables, la evaluación de las solicitudes de participación y las ofertas, la adjudicación de contratos y la legislación aplicable y la jurisdicción competente. La Comisión seguirá siendo responsable del funcionamiento y la gestión de las actividades de contratación pública, incluida la decisión sobre la puesta en marcha de un procedimiento de contratación pública, el tipo de procedimiento y de contrato, y la adjudicación de contratos.

4.El acuerdo establecerá un Comité Director compuesto por la Comisión y un representante de cada Estado miembro participante a nivel nacional. Los Estados miembros podrán adherirse al acuerdo en una fase posterior y entonces estarán representados en el Comité Director. El Comité Director podrá nombrar representantes adicionales de otras entidades de la Unión, de los poderes adjudicadores de los Estados miembros y de las organizaciones asociadas seleccionadas por la Comisión.

5.El Comité Director será responsable de la supervisión estratégica de las actividades de contratación pública, en particular de proponer la dirección estratégica de la agenda de contratación pública para un período determinado, y de aprobar la dirección estratégica de cada procedimiento de contratación pública antes de su puesta en marcha por la Comisión, a fin de garantizar su conformidad con el marco establecido por el presente Reglamento.

6.Una vez que el acuerdo haya entrado en vigor, los poderes adjudicadores de los Estados miembros participantes, las entidades de la Unión y las organizaciones asociadas seleccionadas por la Comisión podrán adherirse al mismo y beneficiarse de él, y se considerarán entidades participantes en los procedimientos en los que decidan participar. El Comité Director podrá determinar que el acuerdo adopte la forma de un contrato de adhesión.

7.La participación de un poder adjudicador de un Estado miembro no estará supeditada a la participación de dicho Estado miembro.

8.El Comité Director establecerá condiciones transparentes y no discriminatorias para que los poderes adjudicadores de los Estados miembros se adhieran al acuerdo, en particular en lo que se refiere al tamaño, los importes mínimos y otros criterios objetivos. El Comité Director también establecerá las normas y procedimientos por los que se regirá la finalización de la participación en el acuerdo de un poder adjudicador de un Estado miembro que haya incumplido sus obligaciones en virtud del acuerdo.

9.No obstante lo dispuesto en el artículo 168, apartado 2, del Reglamento (UE, Euratom) 2014/2509, el Comité Director podrá aprobar la participación de los poderes adjudicadores de los Estados de la AELC y de los países candidatos a la adhesión a la Unión sin necesidad de un tratado bilateral o multilateral previsto para tal posibilidad.

10.El Comité Director podrá supeditar la adhesión al acuerdo a que las entidades participantes acepten uno o varios servicios auxiliares de apoyo, tal como se establece en el artículo 37.

11.El Comité Director adoptará su reglamento interno a propuesta de la Comisión.

Artículo 39
Marco de contratación pública aplicable

1.Se considerará que una entidad participante ha cumplido sus obligaciones en virtud de la legislación aplicable de la Unión en materia de contratación pública cuando adquiera suministros o servicios mediante contratos adjudicados por la Comisión con arreglo al presente capítulo, incluso mediante contratos marco celebrados por la Comisión o sistemas dinámicos de adquisición gestionados por esta en calidad de central de compras, o cualquier servicio de apoyo auxiliar contemplado en el artículo 37.

2.Las disposiciones de procedimiento aplicables a las instituciones de la Unión se aplicarán a los procedimientos de adjudicación de contratos específicos en el marco de contratos marco o de sistemas dinámicos de adquisición.

3.Un poder adjudicador que haya adquirido servicios de centros de datos, servicios de computación en nube, software y sistemas de IA de la Comisión como central de compras garantizará, en sus acuerdos con los poderes adjudicadores a los que preste servicios, el cumplimiento de los requisitos contractuales que le sean aplicables.

4.La Comisión podrá decidir iniciar un procedimiento de contratación pública abierto a las entidades participantes sin una solicitud específica previa de estas.

5.No obstante lo dispuesto en el artículo 168 del Reglamento (UE, Euratom) 2024/2509, las entidades participantes podrán solicitar a la Comisión, durante todo el período de validez de un sistema dinámico de adquisición, la posibilidad de participar en el sistema. La Comisión aprobará dicha solicitud siempre que las solicitudes acumuladas no superen el 50 % de las cantidades estimadas iniciales de las compras previstas. La participación se aprobará en un plazo de diez días hábiles a partir de la recepción de la solicitud y permitirá la inclusión de las entidades participantes en cualquier licitación futura.

6.La posibilidad a que se refiere el apartado 5 solo estará disponible para las entidades participantes que se adhieran al acuerdo a que se refiere el artículo 38 una vez que se haya puesto en marcha el sistema dinámico de adquisición.

Artículo 40
Tasas por actividades de contratación pública

1.Los costes derivados de las actividades de contratación pública realizadas con arreglo al presente capítulo serán financiados conjuntamente por las entidades participantes mediante tasas cobradas por la Comisión.

2.Los costes en que se incurra al establecer las actividades de contratación común a que se refiere el artículo 37, incluido el desarrollo de la plataforma de contratación común, podrán sufragarse inicialmente con cargo al presupuesto general de la Unión. En tal caso, serán reembolsados por las entidades participantes durante un período no superior a tres años a partir de la fecha en que hayan sido sufragados por la Unión. La Comisión podrá adoptar actos de ejecución por los que se establezcan las disposiciones prácticas y operativas para el reembolso por parte de las entidades participantes. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 46, apartado 2.

3.Los ingresos generados por las tasas constituirán ingresos afectados internos en el sentido del artículo 21, apartado 3, letra a), del Reglamento (UE, Euratom) 2024/2509. Dichos ingresos se destinarán a cubrir los costes de las actividades de contratación llevadas a cabo de conformidad con el artículo 37. Los ingresos restantes después de la cobertura de estos costes se consignarán en el presupuesto general de la Unión.

4.Las tasas se fijarán por adelantado, serán proporcionales a los costes estimados de las actividades por las que sean exigibles las tasas, determinados de manera eficiente en términos de costes, reflejando las prácticas de marcos de contratación comparables, y serán suficientes para cubrir dichos costes.

5.5.La Comisión adoptará actos de ejecución por los que se establezcan normas detalladas para determinar las tasas, especificando lo siguiente:

a)los costes estimados atribuibles a las actividades de contratación por las que se cobran tasas;

b)los importes individuales de las tasas imponibles;

c)las modalidades y condiciones de pago de las tasas;

d)las condiciones de pago de las tasas;

Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 46, apartado 2.

Capítulo V
Código abierto

Artículo 41
Promover soluciones de código abierto y priorizar el código abierto

La Unión y los Estados miembros adoptarán las medidas necesarias para animar a las entidades de la Unión y a los organismos del sector público a que utilicen y faciliten la reutilización de normas y componentes divulgados con una licencia de código abierto al construir su pila o ecosistema de la nube y la IA, teniendo en cuenta las funcionalidades, incluida la seguridad, el coste total y otros criterios objetivos pertinentes y debidamente justificados.

Artículo 42
Compartir y reutilizar software

Cuando la entidad de la Unión o el organismo del sector público facilite software sobre el que posea derechos de propiedad intelectual con una licencia de código abierto para que sea reutilizado, utilizará un catálogo o repositorio que esté conectado al catálogo de soluciones de código abierto de la UE a que se refiere el artículo 43 y que sea accesible a través de él.

Artículo 43
Catálogo de soluciones de código abierto de la UE

1.La Comisión proporcionará y mantendrá un catálogo de soluciones de código abierto de la UE como catálogo centralizado para acceder al software facilitado para su reutilización por las entidades de la Unión y los organismos del sector público.

2.El catálogo de soluciones de código abierto de la UE estará alojado en el portal de la Europa Interoperable a que se refiere el artículo 8 del Reglamento (UE) 2024/903 y será accesible electrónicamente de forma gratuita.

3.La Comisión, sobre la base de criterios objetivos y pertinentes, tomará una decisión sobre la solicitud de cualquier entidad de la Unión u organismo del sector público que posea o mantenga un catálogo o repositorio de que dicho catálogo o repositorio esté conectado al catálogo de soluciones de código abierto y sea accesible a través de él.

Artículo 44
Red de oficinas de programas de código abierto

1.La Comisión creará una red de oficinas de programas de código abierto («red de OSPO») para facilitar la cooperación en el cumplimiento de las obligaciones derivadas del presente capítulo.

2.Las oficinas de programas de código abierto establecidas por organismos del sector público a nivel local, regional o nacional en un Estado miembro, y las establecidas por entidades de la Unión, podrán solicitar a la Comisión su adhesión a la red de OSPO.

3.La red de OSPO desempeñará las siguientes tareas:

a)facilitar el intercambio de información, experiencia y mejores prácticas entre los Estados miembros y la Comisión, en particular debatiendo los retos técnicos, jurídicos y organizativos comunes, incluidos los relacionados con la concesión de licencias, la seguridad, el mantenimiento y la contratación de software de código abierto;

b)promover el intercambio y la reutilización de software de código abierto por parte de los organismos del sector público;

c)contribuir, de forma voluntaria y no vinculante, a la elaboración de orientaciones, plantillas o recomendaciones sobre el intercambio y la reutilización de software de código abierto;

d)colaborar e intercambiar proyectos de código abierto de interés común para las entidades de la Unión y los organismos del sector público.

4.La Comisión apoyará y coordinará la red de OSPO.

5.La Comisión convocará y presidirá una reunión de los miembros de la red de OSPO al menos dos veces al año. Las reuniones de la red de OSPO podrán organizarse en línea.

TÍTULO V
DISPOSICIONES FINALES

Artículo 44
Ejercicio de la delegación

1.Se otorgan a la Comisión los poderes para adoptar actos delegados en las condiciones establecidas en el presente artículo.

2.Los poderes para adoptar actos delegados mencionados en el artículo 6, apartado 4, el artículo 16, apartado 2, el artículo 20, apartado 9, el artículo 21, apartado 1, y el artículo 31, apartado 3, se otorgan a la Comisión por un período de tiempo indefinido a partir del [fecha de entrada en vigor].

3.La delegación de poderes mencionada en el artículo 6, apartado 4, el artículo 16, apartado 2, el artículo 20, apartado 9, el artículo 21, apartado 1, y el artículo 31, apartado 3, podrá ser revocada en cualquier momento por el Parlamento Europeo o por el Consejo. La Decisión de revocación pondrá término a la delegación de los poderes que en ella se especifiquen. La Decisión surtirá efecto el día siguiente al de su publicación en el Diario Oficial de la Unión Europea o en una fecha posterior indicada en ella. No afectará a la validez de los actos delegados que ya estén en vigor.

4.Antes de la adopción de un acto delegado, la Comisión consultará a los expertos designados por cada Estado miembro de conformidad con los principios establecidos en el Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación.

5.Tan pronto como la Comisión adopte un acto delegado lo notificará simultáneamente al Parlamento Europeo y al Consejo.

6.Los actos delegados adoptados en virtud del artículo 6, apartado 4, el artículo 16, apartado 2, el artículo 20, apartado 9, el artículo 21, apartado 1, y el artículo 31, apartado 3, entrarán en vigor únicamente si, en un plazo de dos meses a partir de su notificación al Parlamento Europeo y al Consejo, ninguna de estas instituciones formula objeciones o si, antes del vencimiento de dicho plazo, ambas informan a la Comisión de que no las formularán. El plazo se prorrogará tres meses a iniciativa del Parlamento Europeo o del Consejo.

Artículo 46
Procedimiento de comité

1.La Comisión estará asistida por un comité. Dicho comité será un comité en el sentido del Reglamento (UE) n.º 182/2011.

2.En los casos en que se haga referencia al presente apartado, se aplicará el artículo 5 del Reglamento (UE) n.º 182/2011.

Artículo 47
Revisión

1.A más tardar el [fecha de entrada en vigor más 4 años], y posteriormente cada cinco años, la Comisión evaluará el presente Reglamento e informará al respecto al Parlamento Europeo, al Consejo y al Comité Económico y Social Europeo.

2.Si procede, el informe contemplado en el apartado 1 irá acompañado de una propuesta de enmienda al presente Reglamento.

3.Para realizar la evaluación a que se refiere el apartado 1, la Comisión tendrá en cuenta las posiciones y conclusiones del Parlamento Europeo, del Consejo y de otros órganos o fuentes pertinentes, y prestará atención específica a las pequeñas y medianas empresas y a la posición de los nuevos competidores.

Artículo 48
Entrada en vigor y aplicación

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

Será aplicable a partir del [mismo día y mes que la fecha de entrada en vigor más un año].

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.

Hecho en Bruselas, el

Por el Parlamento Europeo Por el Consejo

La Presidenta / El Presidente La Presidenta / El Presidente

FICHA LEGISLATIVA DE FINANCIACIÓN Y DIGITAL

1.MARCO DE LA PROPUESTA/INICIATIVA3

1.1.Denominación de la propuesta/iniciativa3

1.2.Ámbito(s) afectado(s)3

1.3.Objetivo(s)3

1.3.1.Objetivo(s) general(es)3

1.3.2.Objetivo(s) específico(s)3

1.3.3.Resultado(s) e incidencia esperados3

1.3.4.Indicadores de rendimiento3

1.4.La propuesta/iniciativa se refiere a:4

1.5.Justificación de la propuesta/iniciativa4

1.5.1.Necesidad(es) que debe(n) satisfacerse a corto o largo plazo, incluido un calendario detallado de la ejecución de la iniciativa4

1.5.2.Valor añadido de la intervención de la UE (puede derivarse de distintos factores, como una mejor coordinación, seguridad jurídica, una mayor eficacia o complementariedades). A efectos de la presente sección, se entenderá por «valor añadido de la intervención de la UE» el valor resultante de una intervención de la UE que viene a sumarse al valor que se habría generado de haber actuado los Estados miembros de forma aislada.4

1.5.3.Principales conclusiones extraídas de experiencias similares anteriores4

1.5.4.Compatibilidad con el marco financiero plurianual y posibles sinergias con otros instrumentos adecuados5

1.5.5.Evaluación de las diferentes opciones de financiación disponibles, incluidas las posibilidades de redistribución5

1.6.Duración de la propuesta/iniciativa y de su incidencia financiera6

1.7.Método(s) de ejecución presupuestaria previsto(s)6

2.MEDIDAS DE GESTIÓN8

2.1.Disposiciones en materia de seguimiento e informes8

2.2.Sistema(s) de gestión y de control8

2.2.1.Justificación del / de los método(s) de ejecución presupuestaria, del / de los mecanismo(s) de aplicación de la financiación, de las modalidades de pago y de la estrategia de control propuestos8

2.2.2.Información relativa a los riesgos detectados y al / a los sistema(s) de control interno establecidos para atenuarlos8

2.2.3.Estimación y justificación de la eficiencia en términos de costes de los controles (ratio entre los gastos de control y el valor de los correspondientes fondos gestionados), y evaluación del nivel esperado de riesgo de error (al pago y al cierre)8

2.3.Medidas de prevención del fraude y de las irregularidades9

3.INCIDENCIA FINANCIERA ESTIMADA DE LA PROPUESTA/INICIATIVA10

3.1.Rúbrica(s) del marco financiero plurianual y línea(s) presupuestaria(s) de gastos afectada(s)10

3.2.Incidencia financiera estimada de la propuesta en los créditos12

3.2.1.Resumen de la incidencia estimada en los créditos operativos12

3.2.1.1.Créditos procedentes del presupuesto aprobado12

3.2.1.2.Créditos procedentes de ingresos afectados externos17

3.2.2.Resultados estimados financiados con créditos operativos22

3.2.3.Resumen de la incidencia estimada en los créditos administrativos24

3.2.3.1. Créditos procedentes del presupuesto aprobado24

3.2.3.2.Créditos procedentes de ingresos afectados externos24

3.2.3.3.Total de los créditos24

3.2.4.Necesidades estimadas de recursos humanos25

3.2.4.1.Financiadas con el presupuesto aprobado25

3.2.4.2.Financiadas con ingresos afectados externos26

3.2.4.3.Necesidades totales de recursos humanos26

3.2.5.Descripción de la incidencia estimada en las inversiones relacionadas con la tecnología digital28

3.2.6.Compatibilidad con el marco financiero plurianual vigente28

3.2.7.Contribución de terceros28

3.3.Incidencia estimada en los ingresos29

4.Dimensiones digitales29

4.1.Obligaciones con repercusión digital30

4.2.Datos30

4.3.Soluciones digitales31

4.4.Evaluación de la interoperabilidad31

4.5.Medidas de apoyo a la digitalización32

1.MARCO DE LA PROPUESTA/INICIATIVA

1.1.Denominación de la propuesta/iniciativa

Propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se establece un marco de medidas para reforzar el ecosistema europeo de computación en la nube e inteligencia artificial (Ley de desarrollo de la computación en la nube e inteligencia artificial).

Título abreviado: La Ley de desarrollo de la computación en la nube y la inteligencia artificial

(Texto pertinente a efectos del EEE)

1.2.Ámbito(s) afectado(s)

La propuesta se refiere a ámbitos políticos vinculados con el desarrollo de servicios de computación en nube, centrándose en garantizar una transición fluida y oportuna hacia ecosistemas digitales de alto valor, resilientes y orientados al futuro. Su objetivo es establecer las condiciones reglamentarias para un mercado único de servicios de computación en nube, incentivando la inversión en infraestructura en la nube, investigación y desarrollo de IA y apoyando los requisitos emergentes derivados de las tecnologías innovadoras. Al modernizar los marcos existentes, la iniciativa tiene por objeto facilitar la inversión eficiente, promover la competencia sostenible y reducir las dependencias tecnológicas, apoyando así la competitividad y la resiliencia a largo plazo de la UE en el panorama global de la nube y la IA. La propuesta también tiene por objeto eliminar los obstáculos persistentes a la prestación transfronteriza de servicios de computación en nube y mejorar la coherencia y previsibilidad normativas en todos los Estados miembros.

1.3.Objetivo(s)

1.3.1.Objetivo(s) general(es)

El objetivo general de esta iniciativa es garantizar el funcionamiento del mercado interior de los servicios de computación en nube y asegurar las condiciones necesarias para la competitividad y la autonomía estratégica de la Unión.

1.3.2.Objetivo(s) específico(s)

Objetivo específico n.º 1: Aumentar la capacidad de computación desplegada en la UE a través de tecnologías innovadoras y sostenibles. De aquí a 2030, la UE debe, como mínimo, triplicar su capacidad actual de centros de datos, dando prioridad a las tecnologías eficientes desde el punto de vista energético en las nuevas instalaciones. A medida que la demanda sigue creciendo, esto debe considerarse un objetivo intermedio para que, de aquí a 2035, la capacidad de computación de la UE satisfaga sus necesidades.

Objetivo específico n.º 2: Garantizar unas condiciones atractivas para el despliegue de una capacidad de computación sostenible e innovadora. Si bien el primer objetivo es el despliegue de capacidad, este se centra en las condiciones para dicha inversión y despliegue. De aquí a 2030, los operadores deben poder obtener todas las autorizaciones para construir y gestionar un centro de datos en menos de dieciocho meses en toda la Unión, incluido el acceso al terreno, las autorizaciones de acceso a la energía y la conectividad, que constituyen un importante punto de atención para los inversores.

Objetivo específico n.º 3: Reducir la dependencia general de servicios de computación en nube no europeos. De aquí a 2035, esta intervención debería aumentar la cuota de mercado de los proveedores europeos de servicios de computación en nube en el mercado europeo. Reforzar la autonomía estratégica de la Unión requiere reducir las dependencias y garantizar que los usuarios europeos dispongan de alternativas europeas creíbles a los operadores tradicionales no europeos. Una base de suministro europea más sólida mejora la capacidad de la Unión para actuar de manera autónoma y mejora la resiliencia, la competitividad y la seguridad del suministro a largo plazo.

Objetivo específico n.º 4: Contribuir a la protección del orden público mejorando la resiliencia de la prestación de servicios de computación en nube, en particular en el sector público. De aquí a 2035, los casos de uso muy críticos en el sector público deben gestionarse utilizando servicios soberanos de computación en nube para garantizar la confidencialidad de los datos y la autonomía operativa y evitar daños que puedan socavar el orden público. Los casos de uso muy críticos son aquellos de especial importancia sistémica que sustentan funciones esenciales o implican el tratamiento de datos sensibles. Garantizar la protección de los datos y la continuidad del servicio es un elemento clave para alcanzar la autonomía estratégica. Esta es la razón por la que estos casos de uso son una prioridad para la transición hacia servicios cuya prestación quede fuera del alcance de las políticas de terceros países que podrían dar lugar al acceso a los datos o a interrupciones de la continuidad del servicio, es decir, que sean servicios soberanos.

1.3.3.Resultado(s) e incidencia esperados

Especificar los efectos que la propuesta/iniciativa debería tener sobre los beneficiarios/grupos destinatarios.

Ley de desarrollo de la computación en la nube y la IA tenga un impacto importante en varios beneficiarios, incluidos el sector público, el ecosistema europeo de la nube y la IA y los ciudadanos. La iniciativa tiene por objeto reforzar el ecosistema de la nube y la IA a escala de la Unión, liderando la eficiencia energética y de los recursos de los centros de datos, desarrollar pilas europeas abiertas en la nube y de IA y promover la adopción de servicios de computación en nube. Se espera que esto conduzca al desarrollo de tecnologías avanzadas de IA e IA de vanguardia, a la aceleración de los modelos y sistemas industriales de IA en sectores estratégicos y al apoyo de iniciativas intersectoriales que aborden los principales retos tecnológicos e industriales. Además, la propuesta tiene por objeto acelerar el despliegue de los centros de datos en toda la Unión, triplicando la capacidad de los centros de datos de la UE en los próximos cinco a siete años y garantizando el despliegue de centros de datos eficientes en el uso de los recursos. La Ley también tiene por objeto promover la autonomía, reducir la dependencia de tecnologías críticas y aumentar la adopción de servicios de computación en nube en todo el sector público, permitiendo a los sectores críticos utilizar servicios soberanos de computación en nube. Además, la propuesta dará lugar a la creación de una Federación en la nube del sector público europeo, a actividades de contratación común y a la promoción de soluciones de código abierto. En general, la propuesta pretende empoderar a estos beneficiarios, fomentando un ecosistema europeo de la nube y la IA competitivo, innovador y autónomo que impulse la prosperidad económica, el bienestar social y la autonomía estratégica. Se prevé que la propuesta tenga efectos positivos en la competitividad mundial del sector europeo de la IA y la nube, así como en el atractivo de la UE para las empresas y los investigadores de terceros países.

1.3.4.Indicadores de rendimiento

Especificar los indicadores para hacer un seguimiento de los avances y logros.

Objetivo 1: Aumentar la capacidad de computación en la UE a través de tecnologías innovadoras y sostenibles.

a) Capacidad de computación instalada (MW de carga informática) por Estado miembro

b)Total de computación para uso general y optimizada para IA, medida también en flops

c)Cuota de la UE sobre la capacidad de computación instalada mundial

d)Tasa de utilización de la capacidad de computación de la UE; medidas sobre PUE, WUE, emisiones basadas en la ubicación e impacto ambiental conexo de los centros de datos

e)Despliegue de tecnologías innovadoras y eficientes desde el punto de vista energético (puesta en marcha de proyectos piloto y adopción de nuevas soluciones)

f)Porcentaje de energía limpia en los centros de datos y de reutilización del calor residual

g)Inversión pública y privada anual total en centros de datos con sede en la UE

h)Porcentaje de nueva capacidad de centros de datos desplegada fuera de los centros existentes y en regiones insuficientemente atendidas

Objetivo 2: Garantizar unas condiciones atractivas para el despliegue de una capacidad de computación sostenible e innovadora.

a)Tiempo medio de concesión de autorizaciones para nuevos proyectos de centros de datos

b)Carga administrativa total para los operadores

c)Porcentaje de proyectos retrasados o cancelados debido a obstáculos reglamentarios o de infraestructura

d)Número de Estados miembros con marcos de concesión de autorizaciones simplificados

e)Índice de competitividad de costes

Objetivo 3: Reducir la dependencia de servicios de computación en nube no europeos.

a)Porcentaje de los ingresos totales de los servicios de computación en nube de la UE captado por los proveedores de servicios europeos

b)Número de autoridades del sector público atendidas por proveedores soberanos por Estado miembro

c)Porcentaje de capacidad instalada de centros de datos de la UE propiedad de proveedores europeos

d)Porcentaje de capacidad no utilizada en todos los Estados miembros

Objetivo 4: Contribuir a la protección del orden público mejorando la resiliencia de la prestación de servicios de computación en nube, en particular en el sector público.

a)Número de servicios en la nube auditados en los niveles 2, 3 o 4

b)Porcentaje de cumplimiento del régimen de soberanía por parte de los poderes adjudicadores (%)

c)Valor anual de la contratación pública de la UE de servicios soberanos de computación en nube

d)Número de soluciones del sector público publicadas como código abierto en el repositorio y número de descargas por terceros.

1.4.La propuesta/iniciativa se refiere a:

 una acción nueva

 una acción nueva a raíz de un proyecto piloto / una acción preparatoria 39

 la prolongación de una acción existente

 una fusión o reorientación de una o más acciones hacia otra / una nueva acción

1.5.Justificación de la propuesta/iniciativa

1.5.1.Necesidad(es) que debe(n) satisfacerse a corto o largo plazo, incluido un calendario detallado de la ejecución de la iniciativa

Se espera que la Ley de desarrollo de la computación en la nube y la IA entre en vigor en un plazo de veinte días a partir de su publicación en el Diario Oficial. La aplicación debe producirse en un plazo de un año de su publicación, con excepciones notables para las normas que requieren un período transitorio adicional.

El desarrollo de la capacidad de computación en la UE se lleva a cabo actualmente a escala nacional. Cada Estado miembro opera en un marco distinto, con diferentes procesos y requisitos para el despliegue de centros de datos, que reflejan las condiciones y necesidades locales. Sin embargo, las políticas nacionales para la aceleración de los centros de datos corren el riesgo de una mayor fragmentación y una carrera a la baja con respecto a la sostenibilidad. Además, un número cada vez mayor de aplicaciones de baja latencia requieren una capacidad de computación cercana. En términos más generales, la UE se enfrenta a una escasez de capacidad de computación, un problema que corre el riesgo de afectar negativamente a su competitividad y requiere una acción a escala de la UE para mantener un entorno normativo y de inversión fácil de manejar para los operadores de centros de datos y los inversores, también los transfronterizos.

Eliminar este déficit de capacidad y permitir que las empresas y las administraciones públicas europeas aprovechen la capacidad de computación, garantizando al mismo tiempo la sostenibilidad, requiere medidas a escala de la UE. La dependencia de los servicios de computación en nube prestados por proveedores no europeos tiene las mismas causas profundas en toda la UE y afecta a las empresas y las administraciones públicas de todos los Estados miembros. Los proveedores de servicios europeos se enfrentan a dificultades para expandirse en toda la UE, por ejemplo debido a las diferentes normas nacionales de fiabilidad, en particular en la contratación pública. Las prácticas nacionales divergentes en materia de contratación pública complican el mercado para los proveedores europeos y la situación subyacente de información imperfecta es una deficiencia del mercado que requiere una respuesta a escala de la UE. En la consulta pública también se hicieron llamamientos a la acción de la Unión para abordar estos retos.

Se espera que la actuación de la UE tenga un claro valor añadido a la hora de abordar el problema de la disponibilidad limitada y concentrada geográficamente de capacidad de computación. Al proporcionar un enfoque común para el despliegue de los centros de datos, permitiría una planificación y un despliegue coherentes de la capacidad de computación de manera geográficamente equilibrada, evitando al mismo tiempo una carrera a la baja y reduciendo la complejidad normativa para los inversores y los operadores de centros de datos. La UE se encuentra en una posición única para garantizar que las políticas de inversión y aceleración reflejen las prioridades colectivas y eviten la fragmentación. La acción a escala de la UE garantizaría que todas las empresas y administraciones públicas puedan acceder a una capacidad de computación suficiente para satisfacer sus necesidades y es un requisito previo para que Europa se convierta en un continente de IA.

Al abordar la dependencia de los servicios de computación en nube prestados por proveedores no europeos, se espera que la acción de la UE aporte beneficios que exceden de lo que los Estados miembros podrían lograr individualmente, especialmente al abordar las deficiencias subyacentes del mercado debidas a información imperfecta. Esto mejoraría el funcionamiento del mercado interior y permitirá a los proveedores de servicios de computación en nube crecer más allá de sus mercados nacionales.

1.5.3.Principales conclusiones extraídas de experiencias similares anteriores

La propuesta se basa en la experiencia práctica en la aplicación de la normativa vigente en este ámbito. La experiencia pasada ha demostrado que las garantías jurídicas son necesarias, pero no suficientes para cambiar la dependencia de proveedores no pertenecientes a la UE. La aplicación del Reglamento General de Protección de Datos y la actuación del Supervisor Europeo de Protección de Datos empujó a los organismos públicos y a los proveedores hacia unos controles contractuales más estrictos y unas normas más estrictas sobre las transferencias internacionales. Sin embargo, estas medidas generaron soluciones de cumplimiento en lugar de cambios concretos. Del mismo modo, se ha demostrado que la necesidad de localización de los datos solo resuelve parcialmente algunos de los requisitos de soberanía necesarios para casos de uso específicos, especialmente en el sector público. El trabajo preparatorio de la certificación en la nube del esquema europeo de certificación de la ciberseguridad para los servicios en la nube también demostró que la ciberseguridad debe distinguirse de los requisitos de soberanía. El Reglamento también se basa en el Reglamento de Ciberseguridad de 2.0 y lo complementa, así como en las disposiciones del Reglamento de Datos, que se centra en los costes de cambio, la interoperabilidad, la portabilidad y las cláusulas contractuales abusivas. Por último, la propuesta se basó en una amplia estrategia de consulta a las partes interesadas.

1.5.4.Compatibilidad con el marco financiero plurianual y posibles sinergias con otros instrumentos adecuados

La propuesta es compatible con el marco financiero plurianual, ya que proporcionaría principalmente un nuevo marco jurídico al tiempo que se basaría en instrumentos de financiación de la UE existentes o previstos. Sus principales sinergias de financiación deben ser con el Décimo Programa Marco y el Fondo Europeo de Competitividad, especialmente en el marco de la ventana de liderazgo digital. El Décimo Programa Marco debe apoyar la dimensión ascendente de la investigación y la innovación en el marco del pilar 1, mientras que el Fondo Europeo de Competitividad debe servir como principal instrumento de despliegue, contribuyendo así a traducir los resultados de la investigación del Décimo Programa Marco en capacidades operativas. Otros instrumentos podrían reforzar aún más estos esfuerzos. Los proyectos importantes de interés común europeo seguirían apoyando proyectos transfronterizos a gran escala en los que la infraestructura para la nube, la computación periférica, los chips, la ciberseguridad o la IA requieran coordinación entre los Estados miembros e inversiones privadas. Los Consorcios de Infraestructuras Digitales Europeas podrían proporcionar vehículos de gobernanza útiles para los grupos de Estados miembros que deseen explotar conjuntamente una infraestructura digital común. Los instrumentos de la política de cohesión, como el FEDER y el Fondo de Cohesión, contribuyen y pueden apoyar la competitividad regional y abordar las disparidades territoriales mediante la cofinanciación de infraestructuras digitales en las regiones menos desarrolladas. También se esperan sinergias con InvestEU mejorando el entorno de inversión, apoyando proyectos financiables y complementando los instrumentos financieros para movilizar la inversión privada y pública. Cuando proceda, la propuesta también se basaría en las reformas e inversiones establecidas en los planes nacionales de recuperación y resiliencia, incluidos los programas nacionales de reformas y las recomendaciones específicas por país. Por último, otros ejes de actuación del Fondo Europeo de Competitividad podrían apoyar aplicaciones sectoriales específicas.

1.5.5.Evaluación de las diferentes opciones de financiación disponibles, incluidas las posibilidades de redistribución

La evaluación de las opciones de financiación disponibles ha tenido en cuenta tanto la redistribución dentro de los recursos existentes de la Comisión como la necesidad de financiación adicional. Se estima que la ejecución de la iniciativa requerirá un total de 25 EJC. De estos, se considera que 8 EJC de la DG DIGIT y 7 EJC de la DG CNECT entran en el ámbito de la redistribución, es decir, suponen tareas que pueden cubrirse mediante la priorización de las actividades existentes y el uso de los conocimientos especializados existentes en materia de políticas. Esto significa que 15 de los 25 EJC estimados podrían cubrirse mediante redistribución. Estos puestos redistribuidos apoyarían principalmente actividades cercanas a los mandatos existentes, como la coordinación de políticas, el análisis jurídico, la participación de las partes interesadas, el seguimiento del mercado interior, la gestión de programas, el apoyo administrativo y la cooperación con los Estados miembros. Para las tareas restantes, se han examinado opciones de financiación alternativas. Entre ellas figuran el refuerzo específico de las líneas presupuestarias pertinentes y el uso de las dotaciones de programas existentes. Sin embargo, dado que varias tareas pueden implicar costes operativos significativos, las tasas también se introducen como un importante mecanismo de financiación y para limitar el impacto en el presupuesto de la UE. En particular, dichas tasas se habían previsto para cubrir actividades relacionadas con las actividades de contratación común y la administración de la Federación EuroCloud para compartir la capacidad no utilizada entre los Estados miembros interesados.

Los 10 EJC restantes requerirían financiación adicional, ya que implican responsabilidades nuevas o sustancialmente ampliadas que van más allá de las hipótesis sobre la carga de trabajo actual.

En general, el enfoque propuesto combina la redistribución, la financiación basada en tasas y unos recursos adicionales limitados. La redistribución garantizaría la disciplina presupuestaria y el uso de los conocimientos especializados existentes de la Comisión. Se espera que las tasas reduzcan la presión sobre el presupuesto de la UE y apoyen la neutralidad presupuestaria para las peticiones que más recursos consumen. Así pues, se reservan los créditos adicionales para nuevas funciones que no puedan financiarse mediante tasas o redistribución interna.

1.6.Duración de la propuesta/iniciativa y de su incidencia financiera

 Duración limitada

– en vigor desde [el DD.MM.]AAAA hasta [el DD.MM.]AAAA

– incidencia financiera desde AAAA hasta AAAA para los créditos de compromiso y desde AAAA hasta AAAA para los créditos de pago.

duración ilimitada

–Ejecución: fase de puesta en marcha desde 2028 hasta 2030,

–y pleno funcionamiento a partir de la última fecha.

1.7.Método(s) de ejecución presupuestaria previsto(s)

 Gestión directa por la Comisión

– por sus servicios, incluido su personal en las Delegaciones de la Unión;

– por las agencias ejecutivas.

 Gestión compartida con los Estados miembros

 Gestión indirecta mediante delegación de competencias de ejecución del presupuesto en:

– terceros países o los organismos que estos hayan designado;

– organizaciones internacionales y sus agencias (especificar);

– el Banco Europeo de Inversiones y el Fondo Europeo de Inversiones;

– los organismos a que se refieren los artículos 70 y 71 del Reglamento Financiero;

– organismos de Derecho público;

– organismos de Derecho privado investidos de una misión de servicio público, en la medida en que estén dotados de garantías financieras suficientes;

– organismos de Derecho privado de un Estado miembro a los que se haya encomendado la ejecución de una colaboración público-privada y que presenten garantías financieras suficientes;

– organismos o personas a los cuales se haya encomendado la ejecución de acciones específicas en el marco de la política exterior y de seguridad común, de conformidad con el título V del Tratado de la Unión Europea, y que estén identificados en el acto de base pertinente;

– organismos establecidos en un Estado miembro, que se rijan por el Derecho privado de un Estado miembro o el Derecho de la Unión y reúnan las condiciones para que se les encomiende, de conformidad con las normas sectoriales específicas, la ejecución de fondos de la Unión o garantías presupuestarias, en la medida en que estén controlados por organismos de Derecho público o por organismos de Derecho privado investidos de una misión de servicio público y estén dotados de unas garantías financieras suficientes, en forma de responsabilidad solidaria de los organismos controladores o garantías financieras equivalentes, que podrán limitarse, para cada acción, al importe máximo de la ayuda de la Unión.

2.MEDIDAS DE GESTIÓN

2.1.Disposiciones en materia de seguimiento e informes

El Reglamento debe revisarse a los cinco años de su entrada en vigor. La Comisión dará cuenta de las conclusiones de la evaluación al Parlamento Europeo y al Consejo. Para apoyar la aplicación y el seguimiento coherentes del presente Reglamento, los Estados miembros también deben garantizar que la Comisión disponga oportunamente de la información pertinente relativa a sus actividades.

2.2.Sistema(s) de gestión y de control

El Reglamento establece un nuevo marco político para la armonización de las normas que rigen la contratación pública de servicios de computación en nube en el mercado interior y el despliegue de centros de datos en toda la UE, apoyando al mismo tiempo los objetivos políticos de la Unión en materia de confianza de los consumidores, competitividad industrial, seguridad y resiliencia y sostenibilidad. La Ley de desarrollo de la computación en la nube y la inteligencia artificial tiene por objeto simplificar y mejorar la coordinación del marco regulador para el desarrollo de centros de datos y la contratación pública de servicios de computación en nube. Estos objetivos requieren una coordinación y una capacidad operativa reforzadas a escala de la UE, lo que a su vez requiere recursos presupuestarios específicos y proporcionados. La propuesta introduce cambios proporcionados, estableciendo un sistema de gobernanza con nuevas tareas a escala de la UE con una dimensión de mercado único, garantizando al mismo tiempo que la toma de decisiones se mantenga en el nivel más eficiente. El modelo de gobernanza elegido busca basarse en las estructuras y mandatos existentes, limitando así la necesidad de nuevas entidades y permitiendo que el presupuesto se ejecute a través de disposiciones administrativas y financieras establecidas, garantizando la rentabilidad y la previsibilidad de los gastos.

Para llevar a cabo estas nuevas tareas se necesitan recursos humanos adicionales. Se estima que la aplicación y la ejecución del Reglamento requerirán 6 EJC adicionales para la DG CNECT y 4 EJC para la DG DIGIT. Los niveles de personal propuestos son proporcionales al volumen y la complejidad de las nuevas responsabilidades y reflejan la opción más rentable, evitando la duplicación a nivel nacional.

Los pagos seguirán los procedimientos presupuestarios normales de la UE, incluidos los compromisos y los pagos efectuados anualmente, de conformidad con el Reglamento Financiero y dentro de los límites máximos del marco financiero plurianual aplicable. A esto se añadirán las contribuciones anuales por las tasas que cubran los costes de las tareas adicionales y los costes a largo plazo. Los gastos estarán sujetos al marco de control interno de la Comisión, lo que incluye los controles ex ante, las auditorías ex post, el seguimiento del rendimiento y la presentación de informes. Esto se llevará a cabo con el objetivo de garantizar una buena gestión financiera, la legalidad y regularidad del gasto y el uso eficaz de los fondos de la Unión, garantizando al mismo tiempo la aplicación oportuna del Reglamento.

2.2.2.Información relativa a los riesgos detectados y al / a los sistema(s) de control interno establecidos para atenuarlos

Las actividades propuestas en la Ley implican a diferentes entidades de la Unión y algunos riesgos de ejecución que requieren un esfuerzo de seguimiento, supervisión, coordinación y orientación para su mitigación. La Comisión dedicará personal, entre otras actividades, a elaborar documentos de orientación, actos delegados, evaluaciones de dependencia, secretaría de comitología y supervisión de la aplicación de la iniciativa, incluido el seguimiento de sus avances con respecto a los indicadores clave de rendimiento y los hitos establecidos. Esto permitiría detectar rápidamente posibles problemas y riesgos en la ejecución de las actividades.

En particular, para las actividades de contratación común, se creará un Comité Director, compuesto por la Comisión y representantes de los Estados miembros, que será responsable de la supervisión estratégica de las actividades de contratación pública, incluidas las orientaciones estratégicas del programa de actividades de contratación pública y la orientación estratégica de cada procedimiento de contratación, garantizando el cumplimiento del presente Reglamento y unas condiciones transparentes y no discriminatorias para la adhesión de los poderes adjudicadores. En el caso de la federación en la nube del sector público europeo, es importante garantizar una amplia participación de las entidades de la Unión, garantizando al mismo tiempo el máximo nivel de seguridad en la prestación de servicios, de conformidad con el Derecho de la Unión, a fin de garantizar la viabilidad, la eficacia y la continuidad. Por consiguiente, debe estar abierta a la participación de instituciones, órganos y organismos voluntarios de la Unión, así como a organismos del sector público de los Estados miembros dispuestos a interconectar sus infraestructuras de computación en nube y desplegar servicios interoperables de computación en nube en toda la Unión. La Comisión establecería una plataforma para facilitar el intercambio de capacidades de centros de datos y computación en nube accesibles a sus miembros. Debido a la probable criticidad y sensibilidad de los datos y aplicaciones alojados en esa capacidad compartida, la plataforma incluiría servicios y mecanismos para el acceso seguro y la gestión de incidentes, incluida la gestión compartida de identidades, herramientas de autenticación mutua y herramientas de notificación de incidentes, y capacidades de apoyo al funcionamiento de los servicios prestados, incluido el seguimiento de la prestación de servicios, la asignación de recursos, la activación de servicios y el rendimiento.

El coste de los controles para esta iniciativa se ha estimado a nivel de la Comisión. La fuente de esta información es el sistema interno de gestión y control de la Comisión. Los costes se estimaron sobre la base del personal y los recursos dedicados a las actividades previstas en el marco de esta iniciativa. Los costes totales previstos de estos controles pueden ser relativamente elevados debido a la complejidad de las actividades propuestas y a la necesidad de recursos específicos para mitigar los riesgos de ejecución. La intensidad del control se adaptará a la naturaleza del gasto, al tipo de beneficiarios o contratistas previstos, al importe de los recursos financieros de que se trate y al nivel de riesgo. Las acciones específicas como la contratación común, la Federación EuroCloud, la gestión de la financiación y el repositorio de servicios soberanos requerirán recursos y controles específicos, incluida la supervisión estratégica, el seguimiento y la gestión de incidentes. El coste de estos controles se ha estimado para garantizar que siga siendo proporcional al valor de los fondos gestionados, a la complejidad de cada actividad y a los riesgos detectados.

En cuanto a la tasa de error esperada, el objetivo es mantenerla por debajo del umbral del 2 %. Esto se logrará mediante los controles estándar ex ante y ex post mencionados anteriormente, incluida, por ejemplo, la verificación de la subvencionabilidad y la legalidad de los gastos, los controles de la gestión de la contratación pública y de los contratos, el seguimiento de los entregables, los controles basados en el riesgo, las auditorías y los procedimientos de recuperación cuando sea necesario. Cualquier desviación de esto requeriría un enfoque coordinado y se debatiría caso por caso.

2.3.Medidas de prevención del fraude y de las irregularidades

Las medidas existentes de prevención del fraude aplicables a la Comisión cubrirán los créditos adicionales necesarios para el presente Reglamento.

3.INCIDENCIA FINANCIERA ESTIMADA DE LA PROPUESTA/INICIATIVA

3.1.Rúbrica(s) del marco financiero plurianual y línea(s) presupuestaria(s) de gastos afectada(s)

·Líneas presupuestarias existentes

En el orden de las rúbricas del marco financiero plurianual y las líneas presupuestarias.

Rúbrica del marco financiero plurianual	Línea presupuestaria	Tipo de gasto	Contribución
	Número	CD/CND 40 .	de países de la AELC 41	de países candidatos y candidatos potenciales 42	de otros terceros países	otros ingresos afectados
	rúbricas del MFP y líneas presupuestarias por determinar 43	CD/CND	SÍ	NO	NO	NO
	Ingresos por tasas (la Comisión recaudará la tasa)	CD/CND	SÍ	NO	NO	SÍ

·Nuevas líneas presupuestarias solicitadas

En el orden de las rúbricas del marco financiero plurianual y las líneas presupuestarias.

Rúbrica del marco financiero plurianual	Línea presupuestaria	Tipo de gasto	Contribución
	Número	CD/CND	de países de la AELC	de países candidatos y candidatos potenciales	de otros terceros países	otros ingresos afectados
	[XX.YY.YY.YY]	CD/CND	SÍ/NO	SÍ/NO	SÍ/NO	SÍ/NO
	[XX.YY.YY.YY]	CD/CND	SÍ/NO	SÍ/NO	SÍ/NO	SÍ/NO
	[XX.YY.YY.YY]	CD/CND	SÍ/NO	SÍ/NO	SÍ/NO	SÍ/NO

3.2.Incidencia financiera estimada de la propuesta en los créditos

3.2.1.Resumen de la incidencia estimada en los créditos operativos

– La propuesta/iniciativa no exige la utilización de créditos operativos.

– La propuesta/iniciativa exige la utilización de créditos operativos, tal como se explica a continuación

Los importes que se indican a continuación son provisionales y siguen estando sujetos al resultado final de las negociaciones sobre el MFP 2028-2034. Esta iniciativa se financiará mediante una redistribución dentro de los programas operativos del próximo MFP, y parcialmente a través de gastos operativos de personal. En esta fase, no es posible indicar la contribución de cada rúbrica y programa del MFP, s bien se prevé que una contribución significativa proceda de los programas de la rúbrica 2 del MFP 2028-2034 (por ejemplo, el Fondo Europeo de Competitividad, especialmente en el marco del eje de Liderazgo Digital). Estas estimaciones se han elaborado sobre la base de la información actualmente disponible y tienen por objeto proporcionar estimaciones presupuestarias precisas.

3.2.1.1.Créditos procedentes del presupuesto aprobado

En millones EUR (al tercer decimal)

Rúbrica del marco financiero plurianual

Número

DG CNECT			Año	Año	Año	Año	Año	Año	Año	TOTAL MFP 2028-2034	DESPUÉS DE 2034	TOTAL GENERAL
			2028	2029	2030	2031	2032	2033	2034
Créditos operativos
Línea presupuestaria	Compromisos	(1a)	2,386	0,727	2,118	0,427	0,427	0,427	0,427	6,941		6,941
	Pagos	(2a)	1,193	1,557	1,422	1,272	0,427	0,427	0,427	6,727	0,214	6,941

TOTAL de los créditos para la DG CNECT	Compromisos	=1a	2,386	0,727	2,118	0,427	0,427	0,427	0,427	6,941	0,000	6,941
	Pagos	=2a	1,193	1,557	1,422	1,272	0,427	0,427	0,427	6,727	0,214	6,941

DG DIGIT			Año	Año	Año	Año	Año	Año	Año	TOTAL MFP 2028-2034	DESPUÉS DE 2034	TOTAL GENERAL
			2028	2029	2030	2031	2032	2033	2034
Créditos operativos
Línea presupuestaria	Compromisos	(1a)	2,382							2,382		2,382
	Pagos	(2a)	1,191	1,191						2,382		2,382

TOTAL de los créditos para la DG DIGIT	Compromisos	=1a	2,382	0,000	0,000	0,000	0,000	0,000	0,000	2,382	0,000	2,382
	Pagos	=2a	1,191	1,191	0,000	0,000	0,000	0,000	0,000	2,382	0,000	2,382

A partir de 2029, la solicitud VOBU es el importe neto por el que se han deducido las tasas previstas procedentes de la federación en la nube y la contratación conjunta.

Total (DIGIT + CNECT)			Año	Año	Año	Año	Año	Año	Año	TOTAL MFP 2028-2034	DESPUÉS DE 2034	TOTAL GENERAL
			2028	2029	2030	2031	2032	2033	2034
TOTAL de los créditos operativos	Compromisos	(4)	4,768	0,727	2,118	0,427	0,427	0,427	0,427	9,323	0,000	9,323
	Pagos	(5)	2,384	2,748	1,422	1,272	0,427	0,427	0,427	9,109	0,214	9,323
TOTAL de los créditos de carácter administrativo financiados mediante la dotación de programas específicos		(6)	0	0	0	0	0	0	0	0	0	0
TOTAL de los créditos de la RÚBRICA 2	Compromisos	= 4 + 6	4,768	0,727	2,118	0,427	0,427	0,427	0,427	9,323	0,000	9,323
del marco financiero plurianual	Pagos	= 5 + 6	2,384	2,748	1,422	1,272	0,427	0,427	0,427	9,109	0,214	9,323

Rúbrica del marco financiero plurianual

«Gastos administrativos»

En millones EUR (al tercer decimal)

DG CNECT				Año		Año	Año	Año	Año		Año	Año		TOTAL MFP 2028-2034
				2028		2029	2030	2031	2032		2033	2034
 Recursos humanos				1,810		1,810	1,810	1,810	1,810		1,810	1,810		12,670
 Otros gastos administrativos				0,000		0,000	0,000	0,000	0,000		0,000	0,000		0,000
TOTAL DG CNECT		Créditos		1,810		1,810	1,810	1,810	1,810		1,810	1,810		12,670

DG: DIGIT				Año		Año	Año	Año	Año		Año	Año		TOTAL MFP 2028-2034
				2028		2029	2030	2031	2032		2033	2034
 Recursos humanos				1,794		1,794	1,794	1,794	1,794		1,794	1,794		12,558
 Otros gastos administrativos				0,000		0,000	0,000	0,000	0,000		0,000	0,000		0,000
TOTAL DG DIGIT	Créditos			1,794		1,794	1,794	1,794	1,794		1,794	1,794		12,558

TOTAL de los créditos de la RÚBRICA 4 del marco financiero plurianual			(Total de compromisos = Total de pagos)		3,604	3,604	3,604	3,604		3,604	3,604	3,604	25,228

En millones EUR (al tercer decimal)

		Año	Año	Año	Año	Año	Año	Año	TOTAL MFP 2028-2034	DESPUÉS DE 2034	TOTAL GENERAL
		2028	2029	2030	2031	2032	2033	2034
TOTAL de los créditos de las RÚBRICAS 1 a 4 del marco financiero plurianual	Compromisos	8,372	4,331	5,722	4,031	4,031	4,031	4,031	34,551	0,000	34,551
	Pagos	5,988	6,352	5,026	4,876	4,031	4,031	4,031	34,337	0,214	34,551

3.2.1.2.Créditos cubiertos mediante tasas (EuroCloud y contratación conjunta en la nube)

En millones EUR (al tercer decimal)

Rúbrica del marco financiero plurianual					Número
DG CNECT			Año	Año		Año	Año	Año	Año	Año	TOTAL MFP 2028-2034	DESPUÉS DE 2034	TOTAL GENERAL
			2028	2029		2030	2031	2032	2033	2034
Créditos operativos financiados mediante tasas
Línea presupuestaria	Compromisos	(1a)	0,000	2,940		4,410	5,880	2,570	2,570	2,570	20,939		20,939
	Pagos	(2a)	0,000	2,940		4,410	5,880	2,570	2,570	2,570	20,939		20,939
Créditos de carácter administrativo financiados mediante tasas
Línea presupuestaria		(3)
TOTAL de los créditos	Compromisos	= 1a + 3	0,000	2,940		4,410	5,880	2,570	2,570	2,570	20,939	0,000	20,939
para la DG CNECT	Pagos	= 2a + 3	0,000	2,940		4,410	5,880	2,570	2,570	2,570	20,939		20,939

DG DIGIT					Año		Año		Año		Año		Año		Año	Año	TOTAL MFP 2028-2034	DESPUÉS DE 2034	TOTAL GENERAL
					2028		2029		2030		2031		2032		2033	2034
Créditos operativos financiados mediante tasas
Línea presupuestaria	Compromisos	(1a)			0,000		3,027		4,317		6,037		6,342		6,663	7,001	33,387		33,387
	Pagos	(2a)			0,000		3,027		4,317		6,037		6,342		6,663	7,001	33,387		33,387
Créditos de carácter administrativo financiados mediante tasas
Línea presupuestaria		(3)															0		0
TOTAL de los créditos	Compromisos	= 1a + 3			0,000		3,027		4,317		6,037		6,342		6,663	7,001	33,387	0,000	33,387
para la DG DIGIT	Pagos	= 2a + 3			0,000		3,027		4,317		6,037		6,342		6,663	7,001	33,387		33,387
			Año			Año		Año		Año		Año		Año		Año	TOTAL MFP 2028-2034	DESPUÉS DE 2034	TOTAL GENERAL
			2028			2029		2030		2031		2032		2033		2034
TOTAL de los créditos operativos	Compromisos	(4)	0,000			5,967		8,727		11,917		8,912		9,233		9,570	54,326	0,000	54,326
	Pagos	(5)	0,000			5,967		8,727		11,917		8,912		9,233		9,570	54,326		54,326
TOTAL de los créditos de carácter administrativo financiados mediante la dotación de programas específicos		(6)
TOTAL de los créditos de la RÚBRICA 2	Compromisos	= 4 + 6	0,000			5,967		8,727		11,917		8,912		9,233		9,570	54,326	0,000	54,326
del marco financiero plurianual	Pagos	= 5 + 6		0,000		5,967		8,727		11,917		8,912		9,233		9,570	54,326	0,000	54,326

3.2.2.Resultados estimados financiados con créditos operativos

Créditos de compromiso en millones EUR (al tercer decimal)

Indicar los objetivos y los resultados



Año
2024

Año
2025

Año
2026

Año
2027

Insertar tantos años como sea necesario para reflejar la duración de la incidencia (véase la sección 1.6)

TOTAL

RESULTADOS

Tipo 44

Coste medio

N.º

Coste

N.º

Coste

N.º

Coste

N.º

Coste

N.º

Coste

N.º

Coste

N.º

Coste

Número total

Coste total

OBJETIVO ESPECÍFICO N.º 1 45 …

— Resultado

Subtotal del objetivo específico n.º 1

OBJETIVO ESPECÍFICO N.º 2 …

— Resultado

Subtotal del objetivo específico n.º 2

TOTALES

3.2.3.Resumen de la incidencia estimada en los créditos administrativos

– La propuesta/iniciativa no exige la utilización de créditos de carácter administrativo

– La propuesta/iniciativa exige la utilización de créditos de carácter administrativo, tal como se explica a continuación

3.2.3.1. Créditos procedentes del presupuesto aprobado

CRÉDITOS APROBADOS	Año	Año	Año	Año	Año	Año	Año	TOTAL 2028-2034
	2028	2029	2030	2031	2032	2033	2034
RÚBRICA 4
Recursos humanos	3,604	3,604	3,604	3,604	3,604	3,604	3,604	25.22Ff8
Otros gastos administrativos	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
Subtotal de la RÚBRICA 4	3,604	3,604	3,604	3,604	3,604	3,604	3,604	25,228
Al margen de la RÚBRICA 4
Recursos humanos	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
Otros gastos de carácter administrativo	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
Subtotal al margen de la RÚBRICA 4

TOTAL	3,604	3,604	3,604	3,604	3,604	3,604	3,604	25,228

La incidencia estimada en los gastos y la dotación de personal para 2028 y los años posteriores se incluye únicamente con fines ilustrativos y no prejuzga el próximo marco financiero plurianual. La fuente de financiación y el alcance del compromiso financiero de la Unión en el período posterior a 2027 siguen estando sujetos al resultado de las negociaciones interinstitucionales sobre el MFP 2028-2034 y, posteriormente, se determinarán mediante el procedimiento presupuestario anual. Todos los créditos y asignaciones de personal a partir de 2028 son indicativos.

3.2.3.2.Créditos procedentes de ingresos afectados externos

No procede.

3.2.3.3.Total de los créditos

Véase el cuadro superior.

3.2.4.Necesidades estimadas de recursos humanos

– La propuesta/iniciativa no exige la utilización de recursos humanos

– La propuesta/iniciativa exige la utilización de recursos humanos, tal como se explica a continuación

3.2.4.1.Financiadas con el presupuesto aprobado

Estimación que debe expresarse en equivalentes a jornada completa (EJC)

CRÉDITOS APROBADOS		Año	Año	Año	Año	Año	Año	Año
		2028	2029	2030	2031	2032	2033	2034
 Empleos de plantilla (funcionarios y personal temporal)
20 01 02 01 (Sede y oficinas de representación de la Comisión)		11	11	11	11	11	11	11
20 01 02 03 (Delegaciones de la Unión)		0	0	0	0	0	0	0
01 01 01 01 (Investigación indirecta)		0	0	0	0	0	0	0
01 01 01 11 (Investigación directa)		0	0	0	0	0	0	0
Otras líneas presupuestarias (especificar)		0	0	0	0	0	0	0
• Personal externo (en EJC)
20 02 01 (AC, ENCS de la «dotación global»)		14	14	14	14	14	14	14
20 02 03 (AC, AL, ENCS y JPD en las Delegaciones de la Unión)		0	0	0	0	0	0	0
Línea de apoyo administrativo [XX.01.YY.YY]	— en la sede	0	0	0	0	0	0	0
	— en las Delegaciones de la Unión	0	0	0	0	0	0	0
01 01 01 02 (AC, ENCS: Investigación indirecta)		0	0	0	0	0	0	0
01 01 01 12 (AC, ENCS: Investigación directa)		0	0	0	0	0	0	0
Otras líneas presupuestarias (especificar) de la rúbrica 7		0	0	0	0	0	0	0
Otras líneas presupuestarias (especificar) al margen de la rúbrica 7		0	0	0	0	0	0	0
TOTAL		25	25	25	25	25	25	25

3.2.4.2.Financiadas con ingresos afectados externos

No procede.

3.2.4.3.Necesidades totales de recursos humanos

Personal necesario para dar efecto a la propuesta (en EJC):

	Procedente del personal actual disponible en los servicios de la Comisión	Personal adicional excepcional*
		Financiado con cargo a la Rúbrica 7 o a Investigación	Financiado con cargo a la línea BA	Financiado con tasas
Empleos de plantilla	5	6	No procede
Personal externo (AC, ENCS, INT)	10	4

* La incidencia estimada en los gastos y la dotación de personal para 2028 y los años posteriores es indicativa y no prejuzga el próximo marco financiero plurianual. La fuente de financiación y el alcance del compromiso financiero de la Unión en el período posterior a 2027 siguen estando sujetos al resultado de las negociaciones interinstitucionales sobre el MFP 2028-2034, así como al procedimiento presupuestario anual y al mecanismo de dirección.

En total, ya hay disponibles 15 EJC solicitados para la iniciativa, que se redistribuirán con la siguiente repatriación:

–DG CNECT: 2 EJC en puestos de la plantilla de personal y 5 EJC en personal externo

–DG DIGIT: 3 EJC en puestos de la plantilla de personal y 5 EJC en personal externo

Además de estos recursos existentes, la iniciativa requiere 10 EJC de personal adicional excepcional. Están compuestos por 6 funcionarios y 4 agentes contractuales y tienen la siguiente división entre la DG CNECT y la DG DIGIT:

–DG CNECT: 3 EJC en puestos de la plantilla de personal y 3 EJC en personal externo

–DG DIGIT: 3 EJC en puestos de la plantilla de personal y 1 EJC en personal externo

Estos se solicitan además de los niveles actuales de dotación de personal para garantizar la aplicación plena y efectiva de la iniciativa. Las nuevas tareas introducidas por la propuesta no pueden ser absorbidas por los recursos humanos existentes de las DG. Los recursos humanos adicionales que se requieren en el caso de esta propuesta no pueden ser cubiertos por redistribuciones dentro del mismo servicio o Dirección General o por redistribuciones a partir de la limitada reserva de personal para reasignaciones de la Comisión.

Descripción de las nuevas tareas que llevarán a cabo la DG CNECT y la DG DIGIT:

Funcionarios y personal temporal

Los funcionarios y el personal temporal se encargarán de:

1.Determinar y gestionar los programas de trabajo en el marco del pilar 1 de la iniciativa, incluido el desarrollo de planes de proyectos detallados, presupuestos, asignación de recursos, indicadores clave de rendimiento y mecanismos de seguimiento.

2.Elaborar documentos de orientación, actos delegados, evaluaciones de dependencia, secretaría de comitología y supervisar la aplicación de la iniciativa, en particular:

a.Elaboración de directrices, recomendaciones, plantillas y herramientas exhaustivas para apoyar a los Estados miembros en sus esfuerzos de aplicación de los pilares 2 y 3 de la iniciativa

b.Elaboración de actos de ejecución, cuando sea necesario, por ejemplo, sobre los requisitos aplicables a los miembros de la Federación EuroCloud y el procedimiento para evaluar su aplicación

c.Elaboración de informes de seguimiento del mercado para determinar los servicios de computación en nube en los que la Unión tiene un alto nivel de dependencia de un número único o limitado de entidades jurídicas de terceros países para dichos servicios

d.Prestación de servicios de secretaría, incluida la elaboración de documentos e informes y la coordinación con las partes interesadas

e.Seguimiento de los avances de la iniciativa con respecto a los indicadores clave de rendimiento e hitos establecidos, determinación de posibles problemas y riesgos y prestación de asistencia técnica y apoyo a los Estados miembros en caso necesario

f.Establecimiento de un sistema de gestión del conocimiento para recoger y compartir las mejores prácticas, las lecciones aprendidas y los conocimientos especializados en toda la iniciativa

3.Redactar el pliego de condiciones para que un proveedor externo cree, desarrolle y mantenga el repositorio de servicios soberanos, y evalúe y determine los procedimientos de gobernanza posteriores. Una vez establecido, auditará o evaluará periódicamente una muestra de servicios certificados que formen parte del repositorio, incluido el desarrollo de protocolos de auditoría y metodologías de evaluación o procedimientos de control de calidad para garantizar la fiabilidad de la información facilitada.

4.Adquirir la plataforma de la Federación EuroCloud y apoyar la creación de la federación. Gestionar los mecanismos de gobernanza de la federación, por ejemplo, la certificación de los requisitos para la adhesión a la federación, la evaluación de las solicitudes de adhesión de los Estados miembros y otros organismos del sector público, el desarrollo y la aplicación de normas y políticas comunes para la participación en la federación.

5.Establecer sistemas no disponibles actualmente, como parte del marco de contratación conjunta, incluida la gestión de la complejidad de la contratación pública de IA, las relaciones con los Estados miembros y los poderes adjudicadores y la garantía de que el marco sea eficaz y eficiente. Esto incluirá tareas como la creación y gestión de los procesos de contratación pública para la nube, el software y los sistemas de IA, la coordinación con las organizaciones participantes y los proveedores de servicios, la gestión de los contratos y acuerdos con los proveedores de servicios y la garantía del cumplimiento de la normativa y las políticas de la UE.

6.Desarrollar y mantener relaciones con las partes interesadas, incluidos los Estados miembros, los representantes de la industria y otras partes pertinentes, para garantizar que la iniciativa esté bien coordinada y sea eficaz y responda a las necesidades de sus partes interesadas, incluida la organización de reuniones, talleres y conferencias periódicos para facilitar la comunicación y la colaboración. Esto también incluiría una estrecha cooperación con las autoridades competentes en materia de medidas de investigación y ejecución para garantizar el cumplimiento del título IV de la Ley.

Personal externo

El personal externo se encargará de:

1.Gestionar periódicamente los proyectos adjudicados en el marco de los programas de trabajo del pilar 1, incluido el seguimiento de sus avances, la coordinación con los beneficiarios y la verificación de las prestaciones e hitos del proyecto para garantizar que se cumplan a tiempo, dentro del presupuesto y con las normas de calidad requeridas. La iniciativa se ejecutará en el próximo MFP y se basará en los resultados de los proyectos existentes ya aprobados en el marco de Horizonte Europa y el programa Europa Digital, por ejemplo, Simpl y la Empresa Común para las Redes y los Servicios Inteligentes, también en coordinación con otras unidades.

2.Establecer y gestionar mecanismos de apoyo para proporcionar orientación a los Estados miembros para el despliegue de zonas de aceleración de los centros de datos, en particular durante los dos primeros años de la iniciativa. Esto implicará la prestación de apoyo ad hoc a los Estados miembros a medida que desarrollen y apliquen sus estrategias y planes nacionales. Tras el período inicial, se pasará a una función de coordinación más ad hoc, centrada en prestar apoyo específico a los Estados miembros en caso necesario y en garantizar que la iniciativa siga ajustándose a las necesidades y prioridades de sus partes interesadas.

3.Crear y gestionar cada año un estudio para supervisar la capacidad de computación en toda Europa, que incluya el establecimiento del alcance y la metodología del estudio, la verificación de los datos recogidos y la revisión de los entregables.

4.Gestionar las actividades de contratación conjunta, en particular en relación con el abastecimiento estratégico y la configuración del mercado, es decir, la oficina de gestión de proveedores y la elaboración de especificaciones y requisitos técnicos para los servicios en la nube, de IA y de software.

5.Gestionar anualmente el repositorio de servicios soberanos, en particular supervisando las actividades del contratista relacionadas con las operaciones del repositorio, incluida la gestión técnica del proyecto, es decir, garantizando que el contratista entregue el repositorio de conformidad con las especificaciones técnicas, los plazos y el presupuesto acordados, supervisando al mismo tiempo los procesos del contratista para garantizar que el repositorio cumpla las normas requeridas.

6.Gestionar el contratista externo que cubre cada año las actividades administrativas, técnicas y operativas de la plataforma de la Federación EuroCloud, así como los aspectos técnicos de la plataforma de la Federación EuroCloud, incluida la supervisión de la arquitectura técnica y la infraestructura.

3.2.5.Descripción de la incidencia estimada en las inversiones relacionadas con la tecnología digital

Obligatorio: en el cuadro que figura a continuación debe anotarse la mejor estimación de las inversiones relacionadas con la tecnología digital que conlleva la propuesta/iniciativa.

Con carácter excepcional, cuando sea necesario para la ejecución de la propuesta/iniciativa, deben presentarse los créditos de la rúbrica 7 en la línea correspondiente.

Los créditos de las rúbricas 1 a 6 deben reflejarse como «Gasto informático en programas operativos». Este gasto se refiere al presupuesto operativo que se empleará para reutilizar, adquirir o desarrollar plataformas o herramientas informáticas directamente relacionadas con la ejecución de la iniciativa y las inversiones conexas (por ejemplo, licencias, estudios, almacenamiento de datos, etc.). La información proporcionada en este cuadro debe ser congruente con los datos consignados en la sección 4, «Dimensiones digitales».

TOTAL Créditos para fines digitales e informáticos	Año	Año	Año	Año	Año	Año	Año	TOTAL MFP 2028-2034
	2028	2029	2030	2031	2032	2033	2034
RÚBRICA 4
Gasto informático (institucional)	0	0	0	0	0	0	0	0
Subtotal de la RÚBRICA 4	0	0	0	0	0	0	0	0
Al margen de la RÚBRICA 4
Gasto informático en programas operativos	0	0	0	0	0	0	0	0
Subtotal al margen de la RÚBRICA 4	0	0	0	0	0	0	0	0

TOTAL	0	0	0	0	0	0	0	0

3.2.6.Compatibilidad con el marco financiero plurianual vigente

La propuesta/iniciativa:

– puede ser financiada en su totalidad mediante una redistribución dentro de la rúbrica correspondiente del marco financiero plurianual (MFP).

Sin perjuicio de las negociaciones sobre el próximo MFP, los créditos asignados a las actividades relacionadas con la Ley de desarrollo de la computación en la nube y la inteligencia artificial a partir de 2028 se cubrirán mediante redistribuciones del Fondo Europeo de Competitividad en el marco del MFP 2028-2034 y, en parte, mediante tasas.

– requiere el uso de los márgenes no asignados con cargo a la rúbrica correspondiente del MFP o el uso de instrumentos especiales tal como se definen en el Reglamento del MFP.

– requiere una revisión del MFP.

3.2.7.Contribución de terceros

La propuesta/iniciativa:

– no prevé la cofinanciación por terceros

– prevé la cofinanciación por terceros que se estima a continuación:

Créditos en millones EUR (al tercer decimal)

	Año 2028	Año 2029	Año 2030	Año 2031	Año 2032	Año 2033	Año 2034	Total
Especificar el organismo de cofinanciación
TOTAL de los créditos cofinanciados

3.3. Incidencia estimada en los ingresos

– La propuesta/iniciativa no tiene incidencia financiera en los ingresos.

– La propuesta/iniciativa tiene la incidencia financiera que se indica a continuación:

– en los recursos propios

– en otros ingresos

– indicar si los ingresos se asignan a líneas de gasto

En millones EUR (al tercer decimal)

Línea presupuestaria de ingresos:	Créditos disponibles para el ejercicio presupuestario en curso	Incidencia de la propuesta/iniciativa 46
		Año 2028	Año 2029	Año 2030	Año 2031	Año 2032	Año 2033	Año 2034
Tasa por servicios de contratación conjunta relativa a la nube (DG DIGIT)		0,000	3,027	4,317	6,037	6,342	6,663	7,001
La tasa de la Federación EuroCloud (DG CNECT)		0,000	2,940	4,410	5,880	2,570	2,570	2,570

En el caso de los ingresos afectados, especificar la línea o líneas presupuestarias de gasto en la(s) que repercutan.

Tasa por servicios de contratación conjunta relativa a la nube:

Los ingresos afectados se utilizarán para cubrir los gastos presupuestarios vinculados con el sistema de corretaje establecido para el sistema de contratación conjunta. Los ingresos se asignarán para sufragar los costes operativos del sistema, incluidos los costes de personal externo, herramientas y sistemas.

El desglose de los ingresos afectados será, por término medio, el siguiente: alrededor del 50 % se asignará a cubrir los costes operativos y administrativos, por ejemplo, estudios e investigación para fundamentar las decisiones de contratación pública, herramientas y sistemas de gestión de la comunidad para apoyar la comunicación y la colaboración entre las organizaciones participantes, facilitadores técnicos e integración de plataformas; alrededor del 30 % se asignará a cubrir los costes de desarrollo y mantenimiento de las herramientas y los sistemas necesarios, como las plataformas y los mercados de contratación pública, los sistemas de gestión del ciclo de vida de los contratos y las herramientas de gestión de la cartera y la demanda; alrededor del 20 % se asignará a cubrir los costes de personal externo especializado adicional, por ejemplo, para la contratación de software, las actividades de protección de datos, los servicios administrativos, FinOps y ContractOps para gestionar los aspectos contractuales y la gestión de la cartera y la demanda.

Esta asignación tiene por objeto garantizar que los ingresos afectados se utilicen para cubrir únicamente los costes operativos del sistema y los gastos presupuestarios vinculados al sistema de corretaje. Estos costes se asignarán en función de las necesidades efectivas de la demanda, garantizando que los recursos se utilicen de manera eficiente para apoyar al sistema de contratación conjunta.

Tasa de la Federación EuroCloud:

Los ingresos afectados se utilizarán para cubrir los gastos presupuestarios vinculados con los servicios y la plataforma establecidos para la Federación EuroCloud. Los ingresos se asignarán para sufragar los costes operativos del sistema, incluidos los costes de personal externo, herramientas y sistemas.

Los gastos necesarios para financiar la federación consisten en costes operativos y de desarrollo. Una parte significativa está relacionada con el desarrollo y el mantenimiento de la plataforma. Se espera que los costes de desarrollo sean más elevados durante los primeros años, lo que refleja la fase inicial de despliegue. A partir del cuarto año, los costes cubrirían las operaciones en curso, el apoyo técnico y las actualizaciones periódicas. El contrato de mantenimiento incluiría la garantía de calidad y la evaluación del rendimiento llevadas a cabo por un contratista externo, estimadas en alrededor del 10 % del valor total de la contratación, sobre la base de contratos públicos similares. Los costes operativos incluyen el coste de expertos técnicos externos (10 perfiles) además de los EJC internos que serían responsables de la coordinación y la gestión del proyecto (véase más arriba la descripción de las nuevas tareas que debe llevar a cabo la DG CNECT). Su participación aumentaría progresivamente, con aproximadamente el 40 % de la capacidad en el primer año, el 80 % en el segundo año, y alcanzaría la plena capacidad a partir del tercer año, en consonancia con las crecientes necesidades operativas de la federación. Otros gastos incluyen los costes de infraestructura informática, como los servicios de alojamiento de datos y las herramientas relacionadas con la seguridad, que son necesarios para garantizar la fiabilidad, la escalabilidad y la protección de la plataforma.

Esta asignación tiene por objeto garantizar que los ingresos afectados se utilicen para cubrir los costes operativos del sistema y los gastos presupuestarios vinculados a los servicios prestados. Estos costes se asignarán en función de las necesidades efectivas de la demanda, garantizando que los recursos se utilicen de manera eficiente para apoyar a la Federación EuroCloud. Los costes iniciales de establecimiento podrán correr a cargo del presupuesto general de la Unión y ser reembolsados por los poderes participantes durante un período determinado mediante las tasas.

Otras observaciones (por ejemplo, método o fórmula utilizada para calcular la incidencia en los ingresos o cualquier otra información).

Tasa por servicios de contratación conjunta relativa a la nube:

La tasa tiene por objeto cubrir los costes operativos de las actividades de contratación pública (contratación interinstitucional, contratación conjunta y actividades de compra centralizada) y las posibles actividades de contratación auxiliares.

Los pagadores de la tasa serían los poderes adjudicadores participantes. La tasa aumentaría el precio para los poderes adjudicadores. Sin embargo, se establecerá de manera que cubra únicamente los costes necesarios para administrar las actividades de contratación, ya que el objetivo de esta contratación común sería poder negociar mejores condiciones, precios más bajos para todos los poderes adjudicadores y facilitar la adopción a gran escala de tecnologías que evolucionan constantemente.

Las tasas se calculan proporcionalmente por transacción o a través de una tasa fija por cada contrato adjudicado posteriormente, tal como se especifique en el pliego de contratación. Los honorarios se calcularán sobre la base de una previsión anual del consumo de los beneficiarios y se percibirán anualmente antes de la ejecución de los contratos. Los honorarios cobrados a los poderes adjudicadores participantes no superarán los costes verificables en que haya incurrido la Comisión. Se recalculará cada año, proporcionalmente al volumen de trabajo previsto y a los costes incurridos. La fecha de inicio de la recaudación de la tasa sería 2029, a fin de permitir un proceso inicial de configuración. La tasa se recaudará a través de los servicios en línea existentes para la facturación y la recaudación de pagos de los poderes adjudicadores participantes.

Los ingresos anuales previstos dependen tanto del número de poderes adjudicadores participantes (beneficiarios) como de sus compras medias previstas. Los ingresos procedentes de las tasas deberán alcanzar aproximadamente 6 000 000 EUR al año para cubrir los costes medios anuales previstos. Sobre la base de estimaciones sobre la participación, debe ser accesible con un tipo medio anual de tasas del 2 % aplicado al gasto por poder adjudicador. Si el gasto total supera este nivel, por ejemplo, porque participan más poderes adjudicadores, el gasto medio por poder es más elevado, o ambos, el tipo de las tasas disminuiría proporcionalmente. Los ingresos procedentes de la tasa se utilizarán para financiar la totalidad de los costes operativos del mecanismo de contratación, explicados anteriormente.

La Comisión informará al Parlamento Europeo y al Consejo sobre el importe global de los costes generados por las actividades de contratación y el importe total de las tasas cobradas.

Tasa de la Federación EuroCloud:

La tasa tiene por objeto cubrir los costes operativos de creación y gestión de la federación EuroCloud, incluida la evaluación de las solicitudes de adhesión y la facilitación del intercambio de servicios de centros de datos y servicios de computación en nube mediante el desarrollo de la plataforma de la Federación EuroCloud.

Los pagadores de la tasa serían los miembros de la Federación. La tasa aumentaría ligeramente los costes globales para los participantes. No obstante, se calibrará estrictamente para cubrir los costes administrativos y operativos esenciales del funcionamiento de la federación. Se espera que esto genere eficiencias y ahorros de costes. Al permitir a los miembros intercambiar capacidad y utilizar recursos no utilizados, los participantes pueden acceder a servicios a precios más favorables que los disponibles en el mercado abierto. Este modelo de intercambio puede reducir la necesidad de contratación externa y mejorar la utilización global de los recursos, especialmente a corto y medio plazo. Si bien la tasa introduce un coste marginal, se compensa con los beneficios económicos derivados de la colaboración, la mejora del uso de la capacidad y una fijación de precios más competitiva dentro de la federación.

La Comisión adoptará actos de ejecución por los que se establezcan normas detalladas relativas a la determinación de las tasas que deberá percibir la Comisión, especificando los costes estimados atribuibles a las actividades por las que se cobran tasas y los importes de las tasas individuales imputables, así como la manera y condiciones en las que deben abonarse las tasas.

La tasa por participar en la federación se estructuraría como un mecanismo de recuperación de costes, proporcional al número de entidades participantes en la federación. El objetivo es cubrir los costes al tiempo que se reduce progresivamente la carga financiera para cada miembro a medida que aumenta la participación.

Se prevé que la adopción aumente con el tiempo, con aproximadamente el 20 % de las posibles entidades adhiriéndose el primer año, el 40 % en el segundo año, el 60 % en el tercer año y alrededor del 80 % en el cuarto año, antes de lograr la plena participación en el quinto año. El primer año se dedicará a la creación de la federación, por lo que no se aplicaría la tasa completa. Sobre la base de las estimaciones realizadas, a partir del año 2, la tasa por participar en la Federación podría fijarse en torno a 75 000 EUR por miembro, lo que reflejaría el número relativamente bajo de participantes. A medida que se incorporen más entidades y la base de costes se comparta entre un grupo más amplio, la tasa podría disminuir gradualmente y alcanzar alrededor de 30 000 EUR por miembro una vez que se alcance la plena capacidad. Se espera que el sistema alcance un punto de equilibrio en torno al cuarto año. En esa fase, la estructura de tasas se estabilizaría en un nivel suficiente para mantener las operaciones sin generar un superávit considerable, en consonancia con el principio de recuperación de costes.

La fecha de inicio de la recaudación de la tasa sería 2029, a fin de permitir un proceso inicial de configuración. La tasa se recaudará a través de los servicios en línea para la facturación y la recaudación de pagos de los poderes adjudicadores participantes.

Los ingresos anuales estimados dependerían del número de miembros participantes y de la tasa aplicable. Sobre la base de una tasa media de unos 75 000 EUR por miembro, los ingresos anuales ascenderían a unos 4,4 millones EUR anuales para cubrir los costes medios anuales de funcionamiento previstos de la federación, incluidos los costes fijos iniciales. A medida que aumente la participación, los costes de administración de la federación se repartirán entre un mayor número de miembros. Por consiguiente, la cuota por miembro disminuiría proporcionalmente, y los ingresos anuales se estabilizarían en un nivel más bajo, por ejemplo, en torno a 2,6 millones EUR al año.

La Comisión informará al Parlamento Europeo y al Consejo sobre el importe global de los costes generados por las actividades de la federación y el importe total de las tasas cobradas. El período de presentación de informes está aún por determinar.

El uso de ingresos afectados para la contratación conjunta y la federación EuroCloud ofrece una oportunidad de política presupuestaria para garantizar un flujo de financiación específico y estable para estas iniciativas. Al destinar los ingresos procedentes de la tasa a fines específicos, la Comisión puede garantizar que los fondos se utilicen de manera eficiente y eficaz para apoyar el desarrollo de un ecosistema europeo de la nube. Este enfoque se justifica por la necesidad de proporcionar un marco financiero claro y previsible para ambas iniciativas en el marco de la Ley de desarrollo de la computación en la nube y la inteligencia artificial, lo que permitirá planificarlas y ejecutarlas de manera estratégica y a largo plazo.

En términos de cumplimiento de los principios presupuestarios de universalidad y unidad, el uso de los ingresos afectados se justifica por el hecho de que estas iniciativas están diseñadas para apoyar objetivos políticos específicos y claramente definidos, es decir, el desarrollo de un ecosistema europeo de la nube para compartir entre los Estados miembros la capacidad no utilizada y la contratación conjunta de servicios en la nube para lograr eficiencias y economías de escala. Los ingresos procedentes de las tasas se utilizarán para financiar partidas específicas de gastos directamente relacionadas con la consecución de estos objetivos, tal como se especifica anteriormente en las respectivas secciones que abarcan ambas actividades. Al utilizar los ingresos afectados, la Comisión puede garantizar que los fondos se utilicen de manera específica y eficiente, sin afectar al equilibrio global del presupuesto de la Unión. Además, el uso de los ingresos afectados es coherente con el principio de unidad, ya que permitirá a la Comisión aplicar estas iniciativas de manera coherente y coordinada, evitando la duplicación de esfuerzos y garantizando que los fondos se utilicen para apoyar un objetivo europeo común. La Comisión también velará por que el uso de los ingresos afectados sea transparente y se haga de manera responsable, con informes y evaluaciones periódicos de los avances y el impacto de la iniciativa.

Además, la Comisión tendrá en cuenta la necesidad de evitar posibles distorsiones o desigualdades en el trato de los diferentes proveedores de servicios en la nube, y velará por que el uso de los ingresos afectados sea justo, proporcionado y no discriminatorio. La Comisión también consultará a las partes interesadas pertinentes para garantizar que la iniciativa se diseñe y aplique de manera que responda a sus necesidades y preocupaciones.

Es importante señalar que solo los costes operativos de las dos iniciativas, como se ha señalado anteriormente, se podrán deducir de los ingresos afectados generados por las tasas. Por otra parte, los gastos administrativos no estarán cubiertos por los ingresos afectados.

En caso de que las tasas no se materialicen en el importe y el calendario previstos, la Comisión ha adoptado un enfoque prudente para mitigar los riesgos. En el caso de la contratación conjunta, si las tasas no se materializaran, no se establecería ningún sistema y la iniciativa no incurriría en costes significativos. Por otra parte, la Federación EuroCloud se basa en estudios preexistentes y en pruebas actuales del interés de los Estados miembros por esta iniciativa. Además, los principales costes asociados a la iniciativa ya están cubiertos por el actual marco financiero plurianual con cargo al presupuesto ya asignado a la Comisión, lo que en conjunto reduce este riesgo financiero. En general, este enfoque permitirá a la Comisión ajustar sus planes, sin incurrir en riesgos financieros significativos, y será más flexible para adaptar su asignación de recursos en caso necesario, a fin de garantizar el éxito de estas iniciativas.

4.Dimensiones digitales

4.1.Obligaciones con repercusión digital

Descripción general de las obligaciones con repercusión digital y de las categorías correspondientes (datos, digitalización y automatización de los procesos, soluciones digitales o servicios públicos digitales).

Referencia a la obligación	Descripción de la obligación	Agentes afectados por la obligación	Procesos generales	Categorías
TÍTULO II. ACTIVIDADES DE INVESTIGACIÓN, DESARROLLO Y DESPLIEGUE PARA EL ECOSISTEMA DE LA NUBE Y LA IA Artículo 7. Estrategias nacionales para la nube y la IA	Los Estados miembros notificarán a la Comisión sus estrategias nacionales.	Comisión Europea Autoridades nacionales competentes	Notificación	Datos
TÍTULO III CAPACIDAD DE CENTROS DE DATOS Artículo 14. Designación de proyectos estratégicos de centros de datos	Las solicitudes de designación de proyectos estratégicos de centros de datos proporcionarán toda la información necesaria y pertinente para demostrar que el proyecto cumple los criterios pertinentes.	Operadores del proyecto Comisión Europea	Seguimiento de la información sobre las solicitudes	Datos
TÍTULO III CAPACIDAD DE CENTROS DE DATOS Artículo 15. Seguimiento del déficit de capacidad	La Comisión supervisará la capacidad de computación disponible en la Unión, incluida la capacidad de computación periférica; el volumen de la demanda de capacidad de centros de datos; la magnitud del déficit de capacidad.	Comisión Europea Autoridades nacionales competentes	Recogida de datos	Datos
TÍTULO IV AUTONOMÍA Artículo 17. Reconocimiento de proveedores de servicios de computación en nube	Los proveedores de servicios de computación en nube que quieran que se les reconozca que ofrecen un determinado nivel de garantía de la Unión presentarán una solicitud de reconocimiento a la autoridad nacional competente de establecimiento.	Proveedores de servicios de computación en nube Autoridades nacionales competentes	Mecanismo de supervisión	Datos
TÍTULO IV AUTONOMÍA Artículo 19. Autoevaluación de la conformidad	El proveedor de servicios de computación en nube podrá emitir una autoevaluación de la conformidad para demostrar el cumplimiento del nivel 1 de garantía de la Unión. Debe publicarse esta autoevaluación.	Proveedores de servicios de computación en nube Autoridades nacionales competentes Comisión Europea	Mecanismo de supervisión	Datos
TÍTULO IV AUTONOMÍA Artículo 20. Auditoría independiente	Establece la posibilidad de auditorías independientes para los niveles 2, 3 y 4 de garantía de la Unión. Disposiciones relativas a los aspectos de los datos en el contexto de dichas auditorías.	Proveedores de servicios de computación en nube Entidades auditoras Comisión Europea	Mecanismo de supervisión	Datos
TÍTULO IV AUTONOMÍA Artículo 21. Contenido y calidad de la evidencia de auditoría	Las auditorías se basarán en los anexos II (Criterios para los niveles de garantía de la Unión) y III (Evidencia de auditoría para el procedimiento de auditoría). Deben ser suficientemente completas y fiables.	Proveedores de servicios de computación en nube Entidades auditoras Comisión Europea	Calidad de los datos	Datos
TÍTULO IV AUTONOMÍA Artículo 22 - Repositorio central de servicios de computación en nube	La Comisión creará y mantendrá un repositorio específico de servicios de computación en nube que hayan recibido un reconocimiento de un nivel de garantía de la Unión. La autoridad nacional competente verificadora del país de establecimiento registrará los servicios auditados en el repositorio central. Toda revocación de un reconocimiento se publicará y permanecerá publicada en el registro central durante cinco años. La Comisión pondrá a disposición del público el repositorio central y este será actualizado periódicamente por la Comisión y las autoridades nacionales competentes de establecimiento en un sitio web específico y de fácil acceso.	Comisión Europea Autoridades nacionales competentes	Repositorio	Solución digital Datos Servicio público digital
TÍTULO IV AUTONOMÍA Artículo 23. Obligaciones de transparencia	Cuando tenga conocimiento de información o de cambios sustanciales en las circunstancias relativas a los servicios de computación en nube que puedan afectar al informe o al dictamen de auditoría, el proveedor de servicios lo notificará sin demora indebida a la entidad auditora y a la autoridad nacional competente de establecimiento. Si los resultados del informe de auditoría y del dictamen deben modificarse o anularse, la entidad auditora lo notificará sin demora indebida a la autoridad nacional competente y a la Comisión. Si los resultados del reconocimiento deben modificarse o anularse, la autoridad nacional competente de establecimiento lo notificará sin demora indebida a las autoridades nacionales competentes de los demás Estados miembros y a la Comisión.	Proveedores de servicios de computación en nube Entidades auditoras Autoridades nacionales competentes Comisión Europea	Notificación	Datos
TÍTULO IV AUTONOMÍA Artículo 24 Sanciones e indemnizaciones	Los Estados miembros notificarán lo antes posible a la Comisión el régimen de sanciones e indemnizaciones y cualquier modificación posterior que les afecte.	Autoridades nacionales competentes Comisión Europea	Notificación	Datos
TÍTULO IV AUTONOMÍA Artículo 25. Autoridades nacionales competentes	Cada Estado miembro designará a una o varias autoridades nacionales competentes. Los Estados miembros notificarán la lista de autoridades a la Comisión. La Comisión mantendrá un registro público de dichas autoridades.	Comisión Europea Autoridades nacionales competentes	Designación de las autoridades competentes	Datos
TÍTULO IV AUTONOMÍA Artículo 27 Asistencia mutua	Flujos de datos en el contexto de la cooperación entre las autoridades nacionales competentes.	Autoridades nacionales competentes Comisión Europea	Intercambio de datos	Datos
TÍTULO IV AUTONOMÍA Artículo 89. Cooperación transfronteriza	Flujos de datos en el contexto de la cooperación transfronteriza.	Autoridades nacionales competentes Comisión Europea	Intercambio de datos	Datos
TÍTULO IV AUTONOMÍA Artículo 29 Evaluación de riesgos	Los Estados miembros deben llevar a cabo una o varias evaluaciones de riesgos, teniendo en cuenta en la mayor medida posible las orientaciones emitidas por la Comisión. Los Estados miembros comunicarán a la Comisión los resultados de la evaluación de riesgos. A efectos de las orientaciones, la Comisión tiene derecho a solicitar información a los proveedores de servicios en la nube.	Estados miembros Comisión Europea Proveedores de servicios en nube	Evaluación de riesgos	Datos
TÍTULO IV AUTONOMÍA Artículo 33. Seguimiento de la contratación de innovación en la nube y la IA	Los Estados miembros comunicarán anualmente a la Comisión determinada información relativa al seguimiento de la contratación de servicios innovadores de computación en nube y sistemas de IA.	Estados miembros Comisión Europea	Elaboración de informes	Datos
TÍTULO IV AUTONOMÍA Artículo 34. Establecimiento de la Federación en la nube del sector público europeo	La Comisión creará una plataforma para la Federación EuroCloud.	Comisión Europea Entidades de la Unión Organismos del sector público	Requisitos para una solución digital	Servicio público digital Solución digital
TÍTULO IV: AUTONOMÍA Artículo 37. Actividades de contratación pública de la Comisión	La Comisión podrá establecer y gestionar una plataforma de contratación común que incluya servicios que puedan utilizarse para facilitar las actividades de contratación pública en virtud del presente capítulo.	Comisión Europea	Requisitos para una solución digital	Solución digital
TÍTULO IV AUTONOMÍA Artículo 42. Compartir y reutilizar software	Cuando se ponga a disposición para su reutilización, al amparo de una licencia de código abierto, software sobre el que posean derechos de propiedad intelectual, una entidad de la Unión o un organismo del sector público lo pondrá a disposición para su reutilización en un catálogo o repositorio conectado al catálogo de soluciones de código abierto de la UE.	Entidades de la Unión Organismos del sector público Comisión Europea	Catálogo	Solución digital
TÍTULO IV AUTONOMÍA Artículo 43. Catálogo de soluciones de código abierto de la UE	La Comisión proporcionará y mantendrá un catálogo de soluciones de código abierto de la UE como catálogo centralizado para acceder al software puesto a disposición para su reutilización por las entidades de la Unión y los organismos del sector público. El catálogo de soluciones de código abierto de la UE se alojará en el portal de la Europa Interoperable. La Comisión decidirá sobre la solicitud de cualquier entidad de la Unión u organismo del sector público que posea o mantenga un catálogo o repositorio de conectarse al catálogo de soluciones de código abierto y ser accesible a través de él.	Comisión Europea	Catálogo	Solución digital

4.2.Datos

Descripción general de los datos incluidos en el ámbito de aplicación

Tipo de datos	Referencia a las obligaciones	Norma o especificación (si procede)
Estrategias nacionales de los Estados miembros	TÍTULO II. ACTIVIDADES DE INVESTIGACIÓN, DESARROLLO Y DESPLIEGUE PARA EL ECOSISTEMA DE LA NUBE Y LA IA Artículo 7. Estrategias nacionales para la nube y la IA	Requisitos mínimos de contenido para las estrategias nacionales.
Datos relativos a las solicitudes de reconocimiento como proyecto estratégico	TÍTULO III CAPACIDAD DE CENTROS DE DATOS Artículo 14. Designación de proyectos estratégicos de centros de datos	Facilitar toda la información necesaria y pertinente para demostrar que el proyecto cumple los criterios pertinentes.
Estadísticas y datos necesarios para el seguimiento del déficit de capacidad	TÍTULO III CAPACIDAD DE CENTROS DE DATOS Artículo 15. Seguimiento del déficit de capacidad	No procede
Datos en el contexto de la presentación de solicitudes por parte de proveedores de servicios cuyo objetivo es que se reconozca que ofrecen un nivel de garantía de la Unión	TÍTULO IV: AUTONOMÍA Artículo 17. Reconocimiento de proveedores de servicios de computación en nube	No procede
Declaración de conformidad de la UE	TÍTULO IV: AUTONOMÍA Artículo 19. Autoevaluación de la conformidad	No procede
Informe de auditoría presentado para su reconocimiento e intercambios relacionados	TÍTULO IV: AUTONOMÍA Artículo 20. Auditoría independiente Artículo 21. Contenido y calidad de la evidencia de auditoría	Calidad de los datos: deben ser suficientemente completos y fiables; contenido mínimo de las auditorías.
Datos sobre los servicios que reciben un reconocimiento	TÍTULO IV: AUTONOMÍA Artículo 22 - Repositorio central de servicios de computación en nube	El repositorio central contendrá información sobre los servicios de computación en nube que hayan sido reconocidos con arreglo a niveles de garantía específicos de la Unión.
Notificación de que se tiene conocimiento de información o de un cambio sustancial en las circunstancias relativas a los servicios de computación en nube que puedan afectar al informe/dictamen/reconocimiento de auditoría y a los flujos de datos conexos	TÍTULO IV: AUTONOMÍA Artículo 23. Obligaciones de transparencia	No procede
Notificación de las normas y medidas relativas a las sanciones	TÍTULO IV: AUTONOMÍA Artículo 24. Sanciones e indemnizaciones	No procede
Datos sobre las autoridades nacionales competentes designadas	TÍTULO IV: AUTONOMÍA Artículo 25. Autoridades nacionales competentes	No procede
Datos en el contexto de la cooperación entre las autoridades nacionales competentes	TÍTULO IV: AUTONOMÍA Artículo 27 Asistencia mutua	No procede
Datos utilizados en el contexto de la cooperación transfronteriza	TÍTULO IV AUTONOMÍA Artículo 28. Cooperación transfronteriza	No procede
Evaluaciones de riesgos realizadas por los Estados miembros	TÍTULO IV AUTONOMÍA Artículo 29 Evaluación de riesgos	No procede
Información facilitada a la Comisión por los proveedores a título orientativo	TÍTULO IV AUTONOMÍA Artículo 29 Evaluación de riesgos	No procede
Datos relativos al seguimiento de la contratación de servicios en la nube y sistemas de IA innovadores	TÍTULO IV AUTONOMÍA Artículo 33. Seguimiento de la contratación de innovación en la nube y la IA	No procede

Armonización con la Estrategia Europea de Datos

Explíquese cómo se armonizan las obligaciones con la Estrategia Europea de Datos

La propuesta es coherente con las normas sobre el cambio entre servicios de tratamiento de datos introducidas por el Reglamento de Datos. Al permitir el cambio de proveedor y eliminar las fuentes clave de cautividad de proveedor, el Reglamento de Datos pretende garantizar que los proveedores de servicios de computación en nube de la UE compitan en calidad, innovación y precio. Su objetivo es permitir a los usuarios de la nube elegir libremente el proveedor que mejor satisfaga sus necesidades y combinar ofertas de diferentes proveedores en un enfoque multinube. Sin embargo, el Reglamento de Datos no contiene elementos para configurar una oferta más competitiva de servicios en la nube de la UE o fomentar la entrada en el mercado de un conjunto más diverso de proveedores de servicios en la nube. El Reglamento de Datos abre el camino hacia una posible reducción de las dependencias de proveedores no pertenecientes a la UE, pero no establece una ruta para un sector de la computación en nube de la UE más soberano y fiable. Sin embargo, las disposiciones en materia de cambio de nube e interoperabilidad permiten a los usuarios adoptar con mayor firmeza los servicios europeos de computación en nube. Por lo tanto, el Reglamento de Datos es un factor facilitador de la propuesta.

Armonización con el principio de «solo una vez»

Explíquese cómo se ha tomado en consideración el principio de «solo una vez» y cómo se ha estudiado la posibilidad de reutilizar los datos existentes

El principio de «solo una vez» se ha tenido debidamente en cuenta y se aplicará sistemáticamente siempre que sea pertinente. Este es el caso, en particular, de:

a)Las estadísticas y los datos necesarios para el seguimiento del déficit de capacidad

b)Los datos sobre los servicios que reciben un reconocimiento

c)La información facilitada a la Comisión para el análisis del mercado

Explíquese en qué medida los datos de nueva creación son localizables, accesibles, interoperables y reutilizables, y cumplen normas de alta calidad

Se proporcionarán soluciones digitales para garantizar la facilidad de localización, la accesibilidad, la interoperabilidad y la reutilización de los datos de nueva creación. Los requisitos mínimos de contenido promoverán normas de alta calidad para los datos.

Flujos de datos

Tipo de datos	Referencia a las obligaciones	Agentes que proporcionan los datos	Agentes que reciben los datos	Desencadenante del intercambio de datos	Frecuencia (si procede)
Estrategias nacionales de los Estados miembros	TÍTULO II. ACTIVIDADES DE INVESTIGACIÓN, DESARROLLO Y DESPLIEGUE PARA EL ECOSISTEMA DE LA NUBE Y LA IA Artículo 7. Estrategias nacionales para la nube y la IA	Estados miembros	Comisión Europea	En un plazo de tres meses a partir de la adopción de una estrategia nacional	Por adopción/revisión
Datos relativos a las solicitudes de reconocimiento como proyecto estratégico	TÍTULO III CAPACIDAD DE CENTROS DE DATOS Artículo 14. Designación de proyectos estratégicos de centros de datos	Solicitante de la designación de un proyecto estratégico	Comisión Europea	Presentación de candidaturas durante las convocatorias abiertas de manifestaciones de interés	//
Datos en el contexto de la presentación de solicitudes por parte de proveedores de servicios de computación en nube que deseen prestar servicios a entidades de la Unión y organismos del sector público	TÍTULO IV AUTONOMÍA Artículo 17. Reconocimiento de proveedores de servicios de computación en nube	Proveedor de servicios de computación en nube que presenta la solicitud	Autoridad nacional competente de su establecimiento	Solicitud de prestación de servicios a entidades de la Unión y organismos del sector público	//
Datos en el contexto de la presentación de solicitudes por parte de proveedores de servicios de computación en nube que deseen prestar servicios a entidades de la Unión y organismos del sector público: Resultado de la solicitud (denegación, solicitud de pruebas adicionales, reconocimiento del servicio del proveedor)	TÍTULO IV AUTONOMÍA Artículo 17. Reconocimiento de proveedores de servicios de computación en nube	Autoridad nacional competente	Proveedor de servicios de computación en nube que presenta la solicitud	Conclusión sobre el reconocimiento inicial	//
Datos en el contexto de la presentación de solicitudes por parte de proveedores de servicios de computación en nube que deseen prestar servicios a entidades de la Unión y organismos del sector público: Distribución de las conclusiones para su revisión	TÍTULO IV AUTONOMÍA Artículo 17. Reconocimiento de proveedores de servicios de computación en nube	Autoridad nacional competente	Todas las autoridades nacionales competentes	Proveedor de servicios de computación en nube al que se ha notificado un reconocimiento	//
Datos en el contexto de la presentación de solicitudes por parte de proveedores de servicios de computación en nube que deseen prestar servicios a entidades de la Unión y organismos del sector público: Objeciones	TÍTULO IV AUTONOMÍA Artículo 17. Reconocimiento de proveedores de servicios de computación en nube	Todas las autoridades nacionales competentes	Autoridad nacional competente	La autoridad nacional competente tiene objeciones a una conclusión formulada por una autoridad nacional competente de establecimiento	//
Datos en el contexto de la presentación de solicitudes por parte de proveedores de servicios de computación en nube que deseen prestar servicios a entidades de la Unión y organismos del sector público: Casos remitidos a la Comisión	TÍTULO IV AUTONOMÍA Artículo 17. Reconocimiento de proveedores de servicios de computación en nube	Autoridades nacionales competentes	Comisión Europea	Las autoridades nacionales competentes no pueden llegar a un acuerdo	//
Datos en el contexto de la presentación de solicitudes por parte de proveedores de servicios de computación en nube que deseen prestar servicios a entidades de la Unión y organismos del sector público: Decisión de la Comisión sobre un caso remitido	TÍTULO IV AUTONOMÍA Artículo 17. Reconocimiento de proveedores de servicios de computación en nube	Comisión Europea	Autoridades nacionales competentes	La Comisión toma una decisión sobre un caso en el que las autoridades nacionales competentes se pusieron de acuerdo	//
Datos en el contexto de la presentación de solicitudes por parte de proveedores de servicios de computación en nube que deseen prestar servicios a entidades de la Unión y organismos del sector público: Petición de información	TÍTULO IV AUTONOMÍA Artículo 17. Reconocimiento de proveedores de servicios de computación en nube	Autoridades nacionales competentes	Comisión Europea	Las autoridades nacionales competentes deciden hacer uso de su derecho a una solicitud de información	//
Datos en el contexto de la presentación de solicitudes por parte de proveedores de servicios de computación en nube que deseen prestar servicios a entidades de la Unión y organismos del sector público: Respuesta a una solicitud de información	TÍTULO IV AUTONOMÍA Artículo 17. Reconocimiento de proveedores de servicios de computación en nube	Comisión Europea	Autoridades nacionales competentes	Se ha recibido una solicitud de información de las autoridades nacionales competentes	//
Declaración de conformidad de la UE	TÍTULO IV AUTONOMÍA Artículo 19. Autoevaluación de la conformidad	Proveedores de servicios de computación en nube	Público	Se ha utilizado una autoevaluación	//
Informe de auditoría presentado para su validación e intercambios relacionados: información exigida para la auditoría	TÍTULO IV AUTONOMÍA Artículo 20. Auditoría independiente Artículo 21. Contenido y calidad de la evidencia de auditoría	Proveedores de servicios de computación en nube	Entidad auditora	Auditoría que se está llevando a cabo	//
Informe de auditoría presentado para su validación e intercambios relacionados: informes de auditoría;	TÍTULO IV AUTONOMÍA Artículo 20. Auditoría independiente Artículo 21. Contenido y calidad de la evidencia de auditoría	Proveedores de servicios de computación en nube	Entidad auditora y autoridades nacionales competentes	Auditoría finalizada	//
Datos sobre los servicios que reciben un reconocimiento: Repositorio central de servicios de computación en nube	TÍTULO IV AUTONOMÍA Artículo 22 - Repositorio central de servicios de computación en nube	Autoridad nacional competente verificadora	Repositorio central de servicios de computación en nube (Comisión Europea)	Reconocimiento concedido	//
Datos sobre los servicios que reciben un reconocimiento: Sitio web de acceso público facilitado por la Comisión Europea	TÍTULO IV AUTONOMÍA Artículo 22 - Repositorio central de servicios de computación en nube	Comisión Europea Autoridad nacional competente de establecimiento	Público	Reconocimiento concedido	//
Notificación de que se tiene conocimiento de información o de un cambio sustancial en las circunstancias relativas a los servicios de computación en nube que puedan afectar al informe/dictamen de auditoría y a los flujos de datos conexos La notificación inicial	TÍTULO IV AUTONOMÍA Artículo 23. Obligaciones de transparencia	Proveedores de servicios de computación en nube	Entidad auditora y autoridad nacional competente Comisión Europea	Cambio sustancial de las condiciones por parte del proveedor	//
Notificación de que se tiene conocimiento de información o de un cambio sustancial en las circunstancias relativas a los servicios de computación en nube que puedan afectar al informe/dictamen de auditoría y a los flujos de datos conexos Notificación de cambios en el resultado de la auditoría	TÍTULO IV AUTONOMÍA Artículo 23. Obligaciones de transparencia	Entidad auditora	Autoridades nacionales competentes (de establecimiento y de otros Estados miembros) Comisión Europea	Cambio del resultado de la auditoría	//
Notificación de las normas y medidas relativas a las sanciones	TÍTULO IV AUTONOMÍA Artículo 24. Sanciones e indemnizaciones	Estados miembros	Comisión Europea	Los Estados miembros establecen o modifican el marco para la imposición de sanciones	//
Datos sobre las autoridades nacionales competentes designadas: Notificación por los Estados miembros	TÍTULO IV AUTONOMÍA Artículo 25. Autoridades nacionales competentes	Estados miembros	Comisión Europea	Autoridades nacionales competentes designadas (en el plazo de un año a partir de la fecha de entrada en vigor)	//
Datos sobre las autoridades nacionales competentes designadas: Datos del registro público de autoridades	TÍTULO IV AUTONOMÍA Artículo 25. Autoridades nacionales competentes	Comisión Europea	Público	Autoridades nacionales competentes designadas y notificadas a la Comisión	//
Datos en el contexto de la cooperación entre las autoridades nacionales competentes: Intercambio de información	TÍTULO IV AUTONOMÍA Artículo 27 Asistencia mutua	Autoridades nacionales competentes	Autoridades nacionales competentes	Necesidad de cooperación (intercambio de información) entre las autoridades nacionales competentes	//
Datos en el contexto de la cooperación entre las autoridades nacionales competentes: Solicitudes de asistencia (y respuestas a dichas solicitudes)	TÍTULO IV AUTONOMÍA Artículo 27 Asistencia mutua	Autoridades nacionales competentes	Autoridades nacionales competentes	Asistencia considerada necesaria	//
Datos utilizados en el contexto de la cooperación transfronteriza: Solicitud de evaluación por sospecha de incumplimiento	TÍTULO IV AUTONOMÍA Artículo 28. Cooperación transfronteriza	Autoridades nacionales competentes en el país de destino de un servicio	Autoridades nacionales competentes en el país de origen de un servicio	Sospechas de incumplimiento que dan lugar a una solicitud de asistencia	//
Datos utilizados en el contexto de la cooperación transfronteriza: La Comisión ha sido informada de sospechas de incumplimiento	TÍTULO IV AUTONOMÍA Artículo 28. Cooperación transfronteriza	Autoridades nacionales competentes en el país de destino de un servicio	Comisión Europea	Una autoridad competente decide solicitar información a la autoridad competente de establecimiento para evaluar las sospechas de incumplimiento	//
Datos utilizados en el contexto de la cooperación transfronteriza: Solicitud de evaluación por sospecha de incumplimiento (Comisión)	TÍTULO IV AUTONOMÍA Artículo 28. Cooperación transfronteriza	Autoridades nacionales competentes en el país de origen de un servicio	Comisión Europea Autoridades nacionales competentes	Sospecha de incumplimiento por otras autoridades competentes o por la Comisión	//
Datos utilizados en el contexto de la cooperación transfronteriza: Resultado de la solicitud de evaluación por sospecha de incumplimiento	TÍTULO IV AUTONOMÍA Artículo 28. Cooperación transfronteriza	Autoridades competentes del país de origen	Solicitantes Comisión Europea	En un plazo de dos meses a partir de la presentación de la solicitud	//
Evaluaciones de riesgos realizadas por los Estados miembros	TÍTULO IV AUTONOMÍA Artículo 29 Evaluación de riesgos	Estados miembros	Comisión Europea	Evaluación del riesgo en el plazo de un año a partir de la entrada en vigor	Bienal
Información facilitada a la Comisión a título orientativo	TÍTULO IV AUTONOMÍA Artículo 29 Evaluación de riesgos	Proveedores de servicios en nube	Comisión Europea	//	//
Datos relativos al seguimiento de la contratación de servicios en la nube y sistemas de IA innovadores	TÍTULO IV AUTONOMÍA Artículo 33. Seguimiento de la contratación de innovación en la nube y la IA	Estados miembros	Comisión Europea	//	Anualmente

4.3.Soluciones digitales

Repositorio de servicios de computación en nube reconocidos

Política digital o sectorial (cuando proceda)	Explicación de cómo se armoniza con ella
Reglamento de Inteligencia Artificial	No procede
Marco de ciberseguridad de la UE	El repositorio seguirá las mejores prácticas de ciberseguridad de la Comisión
Reglamento eIDAS	El repositorio reutilizará, en la medida en que sea pertinente, el marco eIDAS
Pasarela digital única e IMI	No procede
Otros (por ejemplo, Reglamento sobre la Europa Interoperable)	La necesidad de otra evaluación de la interoperabilidad en virtud del Reglamento sobre la Europa Interoperable [Reglamento (UE) 2024/903] se evaluará una vez que se disponga de los detalles operativos del repositorio de servicios de computación en nube reconocidos.

Plataforma EuroCloud

Política digital o sectorial (cuando proceda)	Explicación de cómo se armoniza con ella
Reglamento de Inteligencia Artificial	No procede
Marco de ciberseguridad de la UE	La plataforma debe incluir mecanismos para el acceso seguro y la gestión de incidentes, como la gestión compartida de identidades, herramientas de autenticación mutua y herramientas de notificación de incidentes. La plataforma seguirá las mejores prácticas de ciberseguridad de la Comisión.
Reglamento eIDAS	La Comisión lo especificará en una fase posterior.
Pasarela digital única e IMI	No procede
Otros (por ejemplo, Reglamento sobre la Europa Interoperable)	La necesidad de otra evaluación de la interoperabilidad en virtud del Reglamento sobre la Europa Interoperable [Reglamento (UE) 2024/903] se evaluará una vez que se disponga de los detalles operativos de la plataforma EuroCloud.

Plataforma de contratación común

Política digital o sectorial (cuando proceda)	Explicación de cómo se armoniza con ella
Reglamento de Inteligencia Artificial	No procede
Marco de ciberseguridad de la UE	La plataforma seguirá las mejores prácticas de ciberseguridad de la Comisión.
Reglamento eIDAS	La Comisión lo especificará en una fase posterior.
Pasarela digital única e IMI	No procede
Otros (por ejemplo, Reglamento sobre la Europa Interoperable)	No procede

Catálogo o repositorio de software reutilizable conectado al catálogo de soluciones de código abierto de la UE

Política digital o sectorial (cuando proceda)	Explicación de cómo se armoniza con ella
Reglamento de Inteligencia Artificial	No procede
Marco de ciberseguridad de la UE	La plataforma seguirá las mejores prácticas de ciberseguridad de la Comisión.
Reglamento eIDAS	El repositorio reutilizará, en la medida en que sea pertinente, el marco eIDAS
Pasarela digital única e IMI	No procede
Otros (por ejemplo, Reglamento sobre la Europa Interoperable)	No procede

Catálogo de soluciones de código abierto de la UE

Política digital o sectorial (cuando proceda)	Explicación de cómo se armoniza con ella
Reglamento de Inteligencia Artificial	No procede
Marco de ciberseguridad de la UE	La plataforma seguirá las mejores prácticas de ciberseguridad de la Comisión.
Reglamento eIDAS	El catálogo reutilizará, en la medida en que sea pertinente, el marco eIDAS
Pasarela digital única e IMI	No procede
Otros (por ejemplo, Reglamento sobre la Europa Interoperable)	El artículo 4 del Reglamento sobre la Europa Interoperable [Reglamento (UE) 2024/903] exige la puesta en común y la reutilización de soluciones de interoperabilidad entre las entidades de la Unión y los organismos del sector público. El catálogo de soluciones de código abierto de la UE cumple este requisito.

4.4.Evaluación de la interoperabilidad

Servicio público digital o categoría de servicios públicos digitales

Descripción

Referencias a las obligaciones

Soluciones de la Europa Interoperable

Otras soluciones de interoperabilidad

Repositorio de la Unión de servicios soberanos reconocidos

Un repositorio específico de la Unión de servicios de computación en nube que hayan sido reconocidos. Será establecido y mantenido por la Comisión. Las autoridades nacionales competentes registrarán los servicios pertinentes en este repositorio.

TÍTULO IV
AUTONOMÍA

Artículo 22 - Repositorio central de servicios de computación en nube

No procede

Federación EuroCloud

El artículo 34 establece la Federación en la nube del sector público europeo (Federación EuroCloud). La Federación EuroCloud debe reunir iniciativas nacionales en materia de nube que proporcionen capacidades en la nube del sector público altamente fiables y seguras y facilitar el intercambio de dichas capacidades entre las entidades de la Unión y los organismos del sector público. Esto debe hacerse a través de una plataforma accesible a todos los miembros de la Federación: la Plataforma EuroCloud.

TÍTULO IV
AUTONOMÍA

Artículo 34. Establecimiento de la Federación en la nube del sector público europeo

No procede

Repercusión de las obligaciones sobre la interoperabilidad transfronteriza por cada servicio público digital

Repositorio de la Unión de servicios soberanos reconocidos

Evaluación	Medidas	Posibles obstáculos restantes (si procede)
Armonización con las políticas digitales y sectoriales existentes Enumérense las políticas digitales y sectoriales aplicables que se hayan establecido	La aplicación del repositorio de la Unión de servicios soberanos reconocidos tendrá en cuenta en la mayor medida posible las políticas existentes y los elementos que se derivan de ellas.
Medidas organizativas para la prestación sencilla de servicios públicos digitales transfronterizos Enumérense las medidas de gobernanza previstas	La Comisión Europea se encarga de crear y mantener el repositorio. La autoridad nacional verificadora es responsable de cargar los datos pertinentes en el repositorio.	La Comisión deberá detallar las medidas organizativas en una fase posterior.
Medidas adoptadas para garantizar el consenso en cuanto a los datos Enumérense dichas medidas	La Comisión especificará las medidas semánticas en una fase posterior.
Uso de especificaciones y normas técnicas abiertas acordadas en común Enumérense dichas medidas	La Comisión especificará las medidas técnicas en una fase posterior.

Federación EuroCloud

Evaluación	Medidas	Posibles obstáculos restantes (si procede)
Armonización con las políticas digitales y sectoriales existentes Enumérense las políticas digitales y sectoriales aplicables que se hayan establecido	La aplicación de la federación EuroCloud tendrá en cuenta en la mayor medida posible las políticas existentes y los elementos que se derivan de ellas. En particular: SRI2 para ciberseguridad, Simpl, espacios de datos.	No procede
Medidas organizativas para la prestación sencilla de servicios públicos digitales transfronterizos Enumérense las medidas de gobernanza previstas	La gobernanza detallada de la plataforma EuroCloud se tratará a través del Derecho derivado.	No procede
Medidas adoptadas para garantizar el consenso en cuanto a los datos Enumérense dichas medidas	La Comisión especificará las medidas semánticas en una fase posterior.	No procede
Uso de especificaciones y normas técnicas abiertas acordadas en común Enumérense dichas medidas	La Comisión especificará las medidas técnicas en una fase posterior.	No procede

4.5.Medidas de apoyo a la digitalización

Descripción de la medida

Referencias a las obligaciones

Función de la Comisión

Agentes que deben participar

Calendario previsto

La Comisión estará facultada para adoptar actos de ejecución que especifiquen i) las medidas técnicas, operativas y organizativas y ii) el procedimiento para participar en la Federación EuroCloud a que se refiere el artículo 40, apartado 2.

Artículos 40 y 41

Redacción de uno o varios actos de ejecución

Comisión Europea

Estados miembros participantes

Por determinar

(1) DO C, , p. .

(2) DO C, , p. .

(3) Comunicación de la Comisión al Parlamento Europeo, al Consejo, al Comité Económico y Social Europeo y al Comité de las Regiones titulada «Plan de Acción “Continente de IA”» [ COM(2025) 165 final, de 9.4.2025 ].

(4) Comunicación de la Comisión al Parlamento Europeo y al Consejo, «Estrategia de uso de la inteligencia artificial» [ COM(2025) 723 final , de 8.10.2025].

(5) Reglamento (UE) 2023/2854 del Parlamento Europeo y del Consejo, de 13 de diciembre de 2023, sobre normas armonizadas para un acceso justo a los datos y su utilización, y por el que se modifican el Reglamento (UE) 2017/2394 y la Directiva (UE) 2020/1828 (Reglamento de Datos) (DO L, 2023/2854, 22.12.2023, ELI: http://data.europa.eu/eli/reg/2023/2854/oj ).

(6) Comunicación de la Comisión al Parlamento Europeo y al Consejo, «Estrategia para una Unión de Datos» [ COM(2025) 835 final , de 19.11.2025].

(7) Tal como se definen en el título I, artículo 2, del anexo de la Recomendación 2003/361/CE de la Comisión, de 6 de mayo de 2003, sobre la definición de microempresas, pequeñas y medianas empresas (DO L 124 de 20.5.2003, p. 36, ELI: http://data.europa.eu/eli/reco/2003/361/oj ).

(8) Tal como se definen en el punto 2 del anexo de la Recomendación (UE) 2025/1099 de la Comisión, de 21 de mayo de 2025, relativa a la definición de «pequeña empresa de mediana capitalización» (DO L, 2025/1099, 28.5.2025, ELI: http://data.europa.eu/eli/reco/2025/1099/oj ).

(9) The future of European competitiveness. Part A, A competitiveness strategy for Europe [El futuro de la competitividad europea. Parte A: una estrategia de competitividad para Europa («el informe Draghi»)], septiembre de 2024, https://data.europa.eu/doi/10.2872/9356120 .

(10) Comunicación Conjunta de la Comisión al Parlamento Europeo y al Consejo titulada «Fortalecer la seguridad económica de la UE» [ JOIN(2025) 977 final ].

(11) Conclusiones del Consejo sobre la competitividad europea en la Década Digital, 5.12.2025, https://data.consilium.europa.eu/doc/document/ST-16430-2025-INIT/en/pdf .

(12) Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión, por la que se modifican el Reglamento (UE) n.º 910/2014 y la Directiva (UE) 2018/1972 y por la que se deroga la Directiva (UE) 2016/1148 (Directiva SRI 2) (DO L 333 de 27.12.2022, p. 80, ELI: http://data.europa.eu/eli/dir/2022/2555/oj ).

(13) Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial y por el que se modifican los Reglamentos (CE) n.º 300/2008, (UE) n.º 167/2013, (UE) n.º 168/2013, (UE) 2018/858, (UE) 2018/1139 y (UE) 2019/2144 y las Directivas 2014/90/UE, (UE) 2016/797 y (UE) 2020/1828 (Reglamento de Inteligencia Artificial) ( DO L, 2024/1689, 12.7.2024 , ELI: http://data.europa.eu/eli/reg/2024/1689/oj ).

(14) Las referencias al Reglamento de Chips 2.0 se añadirán una vez adoptada. Véase la propuesta de la Comisión [añádase la referencia una vez publicada].

(15) Reglamento (UE) 2021/696 del Parlamento Europeo y del Consejo, de 28 de abril de 2021, por el que se crean el Programa Espacial de la Unión y la Agencia de la Unión Europea para el Programa Espacial y por el que se derogan los Reglamentos (UE) n.º 912/2010, (UE) n.º 1285/2013 y (UE) n.º 377/2014 y la Decisión n.º 541/2014/UE (DO L 170 de 12.5.2021, p. 69, ELI: http://data.europa.eu/eli/reg/2021/696/oj ).

(16) Decisión (UE) 2022/2481 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, por la que se establece el Programa Estratégico de la Década Digital para 2030 (DO L 323 de 19.12.2022, p. 4, ELI: http://data.europa.eu/eli/dec/2022/2481/oj ).

(17) Comunicación de la Comisión al Parlamento Europeo, al Consejo al Comité Económico y Social Europeo y al Comité de las Regiones, «La Unión de las Competencias» [ COM(2025) 90 final , de 5.3.2025].

(18) Reglamento (UE) 2021/2085 del Consejo, de 19 de noviembre de 2021, por el que se establecen las empresas comunes en el marco de Horizonte Europa y se derogan los Reglamentos (CE) n.º 219/2007, (UE) n.º 557/2014, (UE) n.º 558/2014, (UE) n.º 559/2014, (UE) n.º 560/2014, (UE) n.º 561/2014 y (UE) n.º 642/2014 (DO L 427 de 30.11.2021, p. 17, ELI: http://data.europa.eu/eli/reg/2021/2085/oj ).

(19) Reglamento (UE) 2021/1173 del Consejo, de 13 de julio de 2021, por el que se crea la Empresa Común de Informática de Alto Rendimiento Europea y por el que se deroga el Reglamento (UE) 2018/1488 (DO L 256 de 19.7.2021, p. 3, ELI: http://data.europa.eu/eli/reg/2021/1173/oj ).

(20) Reglamento (UE) 2021/694 del Parlamento Europeo y del Consejo, de 29 de abril de 2021, por el que se establece el Programa Europa Digital y por el que se deroga la Decisión (UE) 2015/2240 (DO L 166 de 11.5.2021, p. 1, ELI: http://data.europa.eu/eli/reg/2021/694/oj ).

(21) Reglamento (UE) 2021/695 del Parlamento Europeo y del Consejo, de 28 de abril de 2021, por el que se crea el Programa Marco de Investigación e Innovación «Horizonte Europa», se establecen sus normas de participación y difusión, y se derogan los Reglamentos (UE) n.º 1290/2013 y (UE) n.º 1291/2013 (DO L 170 de 12.5.2021, p. 1, ELI: http://data.europa.eu/eli/reg/2021/695/oj ).

(22) Reglamento (UE) 2021/523 del Parlamento Europeo y del Consejo, de 24 de marzo de 2021, por el que se establece el Programa InvestEU y se modifica el Reglamento (UE) 2015/1017 (DO L 107 de 26.3.2021, p. 30, ELI: http://data.europa.eu/eli/reg/2021/523/oj ).

(23) Decisión (UE) 2022/2481 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, por la que se establece el Programa Estratégico de la Década Digital para 2030 (DO L 323 de 19.12.2022, p. 4, ELI: http://data.europa.eu/eli/dec/2022/2481/oj ).

(24) Reglamento Delegado (UE) 2024/1364 de la Comisión, de 14 de marzo de 2024, relativo a la primera fase del establecimiento de un régimen de evaluación común de la Unión para centros de datos (DO L, 2024/1364, 17.5.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1364/oj ).

(25) Directiva (UE) 2023/1791 del Parlamento Europeo y del Consejo, de 13 de septiembre de 2023, relativa a la eficiencia energética y por la que se modifica el Reglamento (UE) 2023/955 (versión refundida) (DO L 231 de 20.9.2023, p. 1, ELI: http://data.europa.eu/eli/dir/2023/1791/oj ).

(26) Reglamento (UE) 2024/1309 del Parlamento Europeo y del Consejo, de 29 de abril de 2024, por el que se establecen medidas para reducir el coste del despliegue de las redes de comunicaciones electrónicas de gigabit, se modifica el Reglamento (UE) 2015/2120 y se deroga la Directiva 2014/61/UE (Reglamento de la Infraestructura de Gigabit) (DO L, 2024/1309, 8.5.2024, ELI: http://data.europa.eu/eli/reg/2024/1309/oj ).

(27) Añádase una referencia al Reglamento sobre la agilización de las evaluaciones medioambientales una vez adoptado. Véase la propuesta de la Comisión COM(2025) 984 final, https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=celex:52025PC0984 .

(28) Añádase una referencia al Reglamento por el que se establece el Fondo Europeo de Competitividad una vez adoptado. Véase la propuesta de la Comisión COM(2025) 555 final/2, https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=celex:52025PC0555R%2801%29 .

(29) Reglamento (UE, Euratom) 2024/2509 del Parlamento Europeo y del Consejo, de 23 de septiembre de 2024, sobre las normas financieras aplicables al presupuesto general de la Unión (DO L, 2024/2509, 26.9.2024, ELI: http://data.europa.eu/eli/reg/2024/2509/oj ).

(30) Declaración conjunta «Building the next generation cloud for businesses and the public sector in the EU» (Construir la nube de próxima generación para las empresas y el sector público en la UE), 15.10.2020, https://digital-strategy.ec.europa.eu/en/news/towards-next-generation-cloud-europe .

(31) Declaración de Berlín sobre la sociedad digital y la administración digital basada en valores, 8.12.2020, https://digital-strategy.ec.europa.eu/en/news/berlin-declaration-digital-society-and-value-based-digital-government .

(32) Conclusiones del Consejo sobre el futuro de la política digital de la UE, 21.5.2024, https://data.consilium.europa.eu/doc/document/ST-9957-2024-INIT/es/pdf .

(33) Reglamento (UE) 2024/2847 del Parlamento Europeo y del Consejo, de 23 de octubre de 2024, relativo a los requisitos horizontales de ciberseguridad para los productos con elementos digitales y por el que se modifica el Reglamento (UE) n.º 168/2013 y el Reglamento (UE) 2019/1020 y la Directiva (UE) 2020/1828 (Reglamento de Ciberresiliencia) (DO L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj ).

(34) Directiva 2014/24/UE del Parlamento Europeo y del Consejo, de 26 de febrero de 2014, sobre contratación pública y por la que se deroga la Directiva 2004/18/CE (DO L 94 de 28.3.2014, p. 65, ELI: http://data.europa.eu/eli/dir/2014/24/oj ).

(35) Reglamento (UE) 2024/903 del Parlamento Europeo y del Consejo, de 13 de marzo de 2024, por el que se establecen medidas a fin de garantizar un alto nivel de interoperabilidad del sector público en toda la Unión (Reglamento sobre la Europa Interoperable) (DO L, 2024/903, 22.3.2024, ELI: http://data.europa.eu/eli/reg/2024/903/oj ).

(36) Acuerdo interinstitucional entre el Parlamento Europeo, el Consejo de la Unión Europea y la Comisión Europea sobre la mejora de la legislación (DO L 123 de 12.5.2016, p. 1, ELI: http://data.europa.eu/eli/agree_interinstit/2016/512/oj ).

(37) Reglamento (UE) n.º 182/2011 del Parlamento Europeo y del Consejo, de 16 de febrero de 2011, por el que se establecen las normas y los principios generales relativos a las modalidades de control por parte de los Estados miembros del ejercicio de las competencias de ejecución por la Comisión (DO L 55 de 28.2.2011, p. 13, ELI: http://data.europa.eu/eli/reg/2011/182/oj ).

(38) Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.º 45/2001 y la Decisión n.º 1247/2002/CE (DO L 295 de 21.11.2018, p. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj ).

(39) Tal como se contempla en el artículo 58, apartado 2, letras a) o b), del Reglamento Financiero.

(40) CD = créditos disociados / CND = créditos no disociados.

(41) AELC: Asociación Europea de Libre Comercio.

(42) Países candidatos y, en su caso, candidatos potenciales de los Balcanes Occidentales.

(43) Aún no se conocen las líneas presupuestarias del nuevo MFP.

(44) Los resultados son los productos y servicios que van a suministrarse (por ejemplo, número de intercambios de estudiantes financiados, kilómetros de carreteras construidos, etc.).

(45) Tal como se describe en la sección 1.3.2. «Objetivo(s) específico(s)».

(46) Por lo que se refiere a los recursos propios tradicionales (derechos de aduana, cotizaciones sobre el azúcar), los importes indicados deben ser importes netos, es decir, importes brutos menos la deducción del 20 % de los gastos de recaudación.

COMISIÓN EUROPEA

Bruselas, 3.6.2026

COM(2026) 502 final

ANEXOS

de la Propuesta de

REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO

{SEC(2026) 502 final} - {SWD(2026) 502 final} - {SWD(2026) 503 final}

ANEXO I

Grandes retos

1. Gran reto 1: Sostenibilidad medioambiental, rendimiento y seguridad de los centros de datos de la Unión  

Probar y desplegar tecnologías que permitan a los centros de datos de toda la Unión exceder el estado de la técnica en materia de eficiencia energética y eficiencia en el uso de los recursos.

Esto incluye lograr una mejor eficacia de uso de la energía (PUE) y permitir unos índices de utilización de los servidores significativamente más elevados. Como ejemplos pueden citarse:

1)Mejorar el índice medio de eficacia de uso de la energía (PUE): mejorar la sostenibilidad medioambiental y el rendimiento de los centros de datos en la nube y en el borde de la Unión hasta un índice medio de eficacia de uso de la energía (PUE) de 1,15 en toda la Unión. Los principales ámbitos de interés incluyen permitir el desarrollo de:

a)tecnologías avanzadas de eficiencia energética de los centros de datos, como la refrigeración y la recuperación del calor residual;

b)tecnologías de computación cuántica para operaciones de infraestructura computacional y en la nube;

c)integración en la red y sistemas avanzados de gestión de la energía;

d)líneas piloto para la validación de tecnologías eficientes desde el punto de vista energético de próxima generación a escala operativa.

2)Aumentar el índice medio de utilización de los servidores de los centros de datos: aumentar los índices medios de utilización de los servidores en todos los centros de datos de la Unión hasta el 50 %, integrando, por ejemplo, tecnologías basadas en la IA para la gestión dinámica de la utilización de los servidores, la gestión y programación de la carga de trabajo durante la ejecución o para equilibrar su utilización, el coste energético, las limitaciones térmicas y los requisitos de latencia. 

3)Mejorar la seguridad y la resiliencia de los centros de datos: mejorar la seguridad y la resiliencia de la cadena de valor y el suministro de los centros de datos mediante la integración de tecnologías de semiconductores y tecnologías cuánticas diseñadas y fabricadas en la Unión, y mejorando su resistencia a las amenazas físicas y de ciberseguridad, incluidos los ataques selectivos.

2. Gran reto 2: Pilas en la nube 

Construir pilas de hardware y software en la nube de extremo a extremo, incluidas herramientas, infraestructuras, servicios y niveles de gestión de IA, para colmar los déficit de capacidad críticos de la Unión.

Esto incluye la construcción de servidores de IA impulsados por semiconductores y tecnologías cuánticas diseñados y fabricados en la Unión para la computación distribuida y descentralizada en la nube y en el borde para la IA.

Los programas piloto podrían ayudar a demostrar las capacidades de las pilas abiertas europeas en la nube en sectores de importancia estratégica.  

 3. Gran reto 3: IA de frontera

Desarrollar la próxima generación de modelos y sistemas multimodales de IA de frontera y capacidades novedosas pioneras.

La atención se centrará en el diseño arquitectónico y el desarrollo de modelos y sistemas multimodales de próxima generación que trasladen los límites de las capacidades algorítmicas actuales para lograr un rendimiento superior en razonamiento avanzado, comprensión intermodal y capacidades de agentes, así como en investigar enfoques novedosos para la eficiencia de los modelos, la modelización cognitiva y las estructuras computacionales alternativas, etc.

Las posibles aplicaciones podrían incluir la ciencia fundacional, como los descubrimientos científicos y la interpretación compleja de datos, y el desarrollo de modelos mundiales para mejorar el razonamiento, la simulación de la gestión automatizada y la planificación.

4. Gran reto 4: IA física 

Desarrollar modelos y sistemas avanzados de IA física que funcionen de manera autónoma y segura para ofrecer una manipulación y navegación sólidas en entornos no estructurados.

La atención se centrará en el diseño conjunto de software y sus arquitecturas de hardware subyacentes y en la combinación de técnicas de IA de frontera con modelos mundiales que apoyen el razonamiento físico para ofrecer capacidades sólidas de manipulación, navegación e interacción con una supervisión humana mínima.

Las posibles aplicaciones podrían incluir robots autónomos, sistemas industriales y drones que operen en entornos dinámicos del mundo real.

5. Gran reto 5: IA industrial

Acelerar el desarrollo y el despliegue de la IA industrial europea en todos los sectores estratégicos de la Unión.

La atención se centrará en el desarrollo de modelos y sistemas industriales europeos de IA capaces de dar servicio a aplicaciones industriales de alto valor. Estos modelos y sistemas deben ser adaptables a los casos de uso específicos del sector y permitir un despliegue seguro.

Las iniciativas puestas en marcha en el marco de este gran reto deben basarse en recursos de computación especializados y en las instalaciones de prueba necesarios para validar los sistemas de IA en entornos reales antes de apoyar su despliegue y adopción a gran escala, también a escala regional y local.

En el sector del automóvil, estas iniciativas pueden facilitar el desarrollo y el despliegue de plataformas de software y modelos de IA innovadores para la conducción autónoma, mientras que en la fabricación pueden permitir la creación de modelos especializados que optimicen los procesos de producción. Otros sectores estratégicos que podrían beneficiarse de la IA industrial pueden ser la asistencia sanitaria, la energía, el sector agroalimentario y la defensa.

6. Gran reto 6: Modelos industriales europeos cooperativos

Desarrollar modelos y sistemas industriales cooperativos europeos de IA para sectores estratégicos permitiendo la colaboración a escala industrial europea sin exponer datos sensibles a efectos comerciales entre los participantes.

La atención se centrará en tecnologías avanzadas que preserven la confidencialidad. Estos mecanismos incluyen enfoques de entrenamientos federados y distribuidos en los que se cargan los algoritmos en los servidores en que se encuentran los datos en lugar de transferirse los datos de forma centralizada; también incluyen entornos de ejecución seguros, tratamiento basado en cifrado, técnicas de anonimización y seudonimización, compartimentación del acceso y protecciones contra la extracción de información sensible a efectos comerciales a partir de modelos entrenados.

Entre los sectores estratégicos que podrían beneficiarse de los modelos y sistemas industriales cooperativos europeos de IA se encuentran el aeroespacial, el farmacéutico, la ciberseguridad, la movilidad, los vehículos autónomos y los drones, la energía y la defensa.

7. Gran reto 7: Plataforma de Agentes de IA

Desarrollar un marco europeo de orquestación de agentes de IA que proporcione el soporte intermedio esencial para el despliegue resiliente y seguro de agentes autónomos a gran escala.

La atención se centrará en i) explorar paradigmas tecnológicos innovadores que permitan a múltiples agentes de IA colaborar eficazmente, superando las capacidades de los sistemas independientes y manteniendo al mismo tiempo normas de seguridad rigurosas; y ii) la creación de plataformas abiertas resilientes y basadas en la nube dedicadas a la gestión a gran escala de los agentes de IA.

Las posibles aplicaciones podrían incluir la asistencia sanitaria (como el apoyo a la toma de decisiones clínicas y la coordinación de la investigación), la ciberseguridad (como la detección de amenazas y la respuesta a ellas), así como la ciencia fundacional.

8. Gran reto 8: IA del sector público

Desarrollar modelos y sistemas de IA basados en datos de alta calidad del sector público dirigidos a ámbitos críticos (como la asistencia sanitaria, la administración pública, el Derecho y la gestión de crisis, así como los servicios públicos)

La atención se centrará en las soluciones de servicio público que se espera que tengan un gran impacto positivo en los servicios públicos más críticos y que se compartan entre los distintos niveles de las organizaciones del sector público.

Uno de los objetivos será permitir el intercambio de datos y el desarrollo de modelos fronterizos en todos los servicios públicos nacionales para aumentar el impacto en el sector público general de la Unión, también en los ámbitos que tratan datos sensibles. También contribuirán a alcanzar este objetivo los marcos de protección de la privacidad (como el aprendizaje federado y la generación de datos sintéticos de alta fidelidad), que permiten entrenar modelos sin comprometer la confidencialidad de los conjuntos de datos subyacentes, y las medidas para acelerar la adopción generalizada de dichos modelos, también a nivel regional y local.

ANEXO II

Criterios aplicables a los niveles de garantía de la Unión

El presente anexo establece los criterios que deben cumplir los proveedores de servicios de computación en nube y sus servicios de computación en nube para que se reconozca que ofrecen servicios con los niveles 1, 2, 3 y 4 de garantía de la Unión. A efectos de los criterios de los niveles 1, 2, 3 y 4 de garantía de la Unión, los «programas informáticos» o el «software» en el sentido del artículo 3, punto 4, del Reglamento (UE) 2024/2847 entran en el ámbito de aplicación del presente anexo y del anexo III del presente Reglamento. Los «equipos informáticos» o el «hardware» o en el sentido del artículo 3, punto 5, del Reglamento (UE) 2024/2847 quedan fuera del ámbito de aplicación.

1.Nivel 1 de garantía de la Unión

1.1.Para el nivel de garantía 1 de la Unión, los proveedores de servicios de computación en nube deberán cumplir los siguientes criterios acumulativos:

a)que el proveedor de servicios de computación en nube esté establecido en la Unión;

b)que la infraestructura y los activos del proveedor de servicios de computación en nube, incluidos los de sus subcontratistas que intervengan en la prestación del servicio, estén situados en la Unión, a menos que el organismo del sector público exija explícitamente otra cosa;

c)que los datos de los clientes, incluidos los metadatos y los datos de telemetría, que sean tratados, almacenados y transferidos por el proveedor de servicios de computación en nube y por los subcontratistas que intervengan en la prestación del servicio permanezcan exclusivamente en la Unión, a menos que el organismo del sector público exija explícitamente otra cosa y en cualquier momento, incluso antes, durante o después de la configuración o el uso del servicio;

d)que, cuando el proveedor de servicios de computación en nube externalice el apoyo o la asistencia técnicos y operativos, incluidos los acuerdos posteriores de subexternalización, a proveedores terceros de servicios fuera de la Unión, se apliquen las medidas jurídicas, técnicas y organizativas necesarias para garantizar la trazabilidad, la seguridad y la gobernanza de dichas operaciones y estas no comprometan en modo alguno la autonomía operativa del proveedor de servicios de computación en nube;

e)que el proveedor de servicios de computación en nube demuestre que el servicio cumple las normas de ciberseguridad más avanzadas;

f)que el proveedor de servicios de computación en nube ofrezca plena transparencia en torno al uso de subcontratistas y que el proveedor de servicios de computación en nube someta a los subcontratistas a la diligencia debida, las obligaciones contractuales y la supervisión continua para cumplir las obligaciones legales de la Unión;

g)que, cuando el proveedor de servicios de computación en nube esté sujeto al control de un tercer país o de una entidad jurídica establecida en un tercer país, dicho proveedor garantice que no existen leyes y prácticas en vigor en ese tercer país, y lo demuestre con fuentes independientes, que exijan al proveedor de servicios de computación en nube comunicar información sobre las vulnerabilidades del software a las autoridades de dicho tercer país antes de que se sepa que dichas vulnerabilidades han sido aprovechadas.

1.2.Para el nivel 1 de garantía de la Unión, los subcontratistas a que se refiere el párrafo primero deberán ser terceros que tengan una relación contractual directa con el proveedor de servicios de computación en nube y que contribuyan a la prestación del servicio de computación en nube.

2.Nivel 2 de garantía de la Unión

2.1.Para el nivel de garantía 2 de la Unión, los proveedores de servicios de computación en nube deberán cumplir los siguientes criterios acumulativos:

a)que el proveedor auditado y los subcontratistas que intervengan en la prestación del servicio auditado estén establecidos en la Unión;

b)que la infraestructura, los activos y el personal del proveedor auditado, incluidos los de sus subcontratistas que intervengan en la prestación del servicio, estén situados en la Unión;

c)que los datos de los clientes, incluidos los metadatos y los datos de telemetría, que sean tratados, almacenados y transferidos por el proveedor auditado y los subcontratistas que intervengan en la prestación del servicio permanezcan exclusivamente en la Unión, a menos que el organismo del sector público exija explícitamente otra cosa y en cualquier momento, incluso antes, durante o después de la configuración o el uso del servicio;

d)que si el organismo del sector público determina que es necesario imponer requisitos adicionales de control del personal y de ciudadanía de la Unión, el proveedor auditado debe garantizar la disponibilidad de personal que cumpla dichos requisitos;

e)que el servicio auditado obtenga un certificado europeo de ciberseguridad de al menos un nivel de garantía «sustancial» en el marco de un esquema europeo de certificación de la ciberseguridad que cubra los servicios de computación en nube que se establecerá en virtud del Reglamento (UE) 2019/881, siempre que dicho esquema se haya establecido en virtud de dicho Reglamento y esté a disposición de los proveedores de servicios de computación en nube. Hasta el establecimiento de dicho esquema, se aplicarán los esquemas nacionales de certificación de la ciberseguridad, cuando existan. Cuando no existan esquemas de certificación de la ciberseguridad de la Unión o nacionales, el proveedor auditado debe demostrar que el servicio cumple las normas de ciberseguridad más estrictas con arreglo al Derecho de la Unión aplicable;

f)que los datos generados por el uso del servicio auditado no se utilicen para entrenar o ajustar ningún sistema de IA gestionado por un tercer país o una entidad jurídica establecida en un tercer país, y no se transfieran fuera de la Unión en ningún caso;

g)que, si el proveedor auditado y los subcontratistas que intervengan en la prestación del servicio auditado están sujetos al control de un tercer país o de una entidad jurídica establecida en un tercer país, demuestren que se han aplicado las medidas jurídicas, técnicas y organizativas necesarias para garantizar que:

i. el control del tercer país o de la entidad jurídica establecida en un tercer país sobre el proveedor auditado no se ejerce de manera que limite o restrinja la capacidad del proveedor para prestar el servicio, imponga limitaciones a la infraestructura, los activos y el personal necesarios para la prestación del servicio, o socave las capacidades y normas necesarias para prestar el servicio auditado;

ii. se impide el acceso de un tercer país o de una entidad jurídica establecida en un tercer país a los datos de los clientes;

iii. se previene la posibilidad de perturbación de la continuidad del servicio o la degradación de la calidad del servicio por parte de un tercer país o una entidad jurídica establecida en un tercer país;

iv. el control del tercer país o de la entidad jurídica establecida en un tercer país sobre el proveedor auditado no se ejerce de manera que obligue al proveedor auditado a aplicar, hacer cumplir, hacer efectivas o cumplir medidas restrictivas tales como regímenes de sanciones, embargos o cualesquiera medidas legales o administrativas equivalentes adoptadas por un tercer país, a menos que tales medidas sean legítimas con arreglo al Derecho nacional de los Estados miembros o al Derecho de la Unión;

h)que el apoyo o la asistencia técnicos y operativos relacionados con el servicio auditado, incluidos los posteriores acuerdos de subexternalización, se inicien y ejecuten exclusivamente dentro de la Unión;

i)que el proveedor auditado demuestre que se aplican las siguientes medidas de la cadena de suministro de software:

i. que se documente y se ponga a disposición de la entidad auditora una nomenclatura de materiales de los programas informáticos completa y actualizada, tal como se define en el artículo 3, punto 39, del Reglamento (UE) 2024/2847, y una lista de las dependencias determinadas pertinentes para la prestación del servicio;

ii. que, cuando se suministren componentes de programas informáticos, tal como se definen en el artículo 3, punto 6, del Reglamento (UE) 2024/2847, o productos que sean propiedad de una entidad jurídica establecida en un tercer país y estén autorizados por ella, se apliquen y documenten controles para bloquear cualquier característica remota que pueda manipular o perturbar sustancialmente un dispositivo, sistema o software (también durante las actualizaciones) y para garantizar que los componentes pertinentes para la seguridad de los fabricantes de software de terceros países, tal como se definen en el artículo 3, punto 13, del Reglamento (UE) 2024/2847, están sujetos a auditorías del código fuente y disponen de un plan de migración documentado en caso de que el proveedor no pueda prestar el servicio o un tercer país imponga restricciones;

iii. que, cuando el proveedor de servicios de computación en nube esté sujeto al control de un tercer país o de una entidad jurídica establecida en un tercer país, dicho proveedor garantice que no existen leyes y prácticas en vigor en ese tercer país, y lo demuestre con fuentes independientes, que exijan al proveedor de servicios de computación en nube comunicar información sobre las vulnerabilidades del software a las autoridades de dicho tercer país antes de que se sepa que dichas vulnerabilidades han sido aprovechadas;

j)que, cuando el software divulgado con una licencia de código abierto se utilicen para la prestación del servicio, el proveedor auditado demuestre que ha aplicado y documentado los controles adecuados para evitar el uso de características o mecanismos remotos que puedan utilizarse para manipular o perturbar sustancialmente un dispositivo, sistema o software;

k)que, en la medida en que el proveedor auditado presta sus servicios a escala mundial y mantiene una filial en un tercer país, el proveedor auditado ha aplicado las medidas necesarias para garantizar y hacer cumplir la separación jurídica, técnica y organizativa efectiva entre la sociedad matriz de la Unión y cualquier filial de un tercer país.

2.2.Para el nivel 2 de garantía de la Unión, los subcontratistas a que se refiere el párrafo primero deberán ser terceros que tengan una relación contractual directa con el proveedor de servicios de computación en nube y que contribuyan a la prestación del servicio de computación en nube.

3.Nivel 3 de garantía de la Unión

3.1.Para el nivel de garantía 3 de la Unión, los proveedores de servicios de computación en nube deberán cumplir los siguientes criterios acumulativos:

a)que el proveedor auditado y los subcontratistas que intervengan en la prestación del servicio auditado estén establecidos en la Unión;

b)que la infraestructura, los activos y el personal del proveedor auditado, incluidos los de los subcontratistas que intervengan en la prestación del servicio, estén situados en la Unión;

d)que el personal, incluido el personal de los subcontratistas que intervengan en la prestación del servicio auditado, sean ciudadanos de la Unión y, cuando proceda, que el personal también esté en posesión de la habilitación nacional de seguridad necesaria expedida por un Estado miembro cuando trate información clasificada, tal como se define en el artículo 2, punto 21, del Reglamento (UE) 2021/697;

g)que el proveedor auditado y los subcontratistas que intervengan en la prestación del servicio auditado no estén sujetos al control de un tercer país o de una entidad jurídica establecida en un tercer país. No obstante lo dispuesto en este criterio, un proveedor de servicios de computación en nube y sus subcontratistas que intervengan en la prestación del servicio auditado y estén sujetos al control de un tercer país o de una entidad jurídica establecida en un tercer país podrán ser auditados con respecto al nivel 3de garantía de la Unión cuando la Comisión haya adoptado un acto de ejecución con arreglo al artículo 19. Cuando la Comisión haya adoptado un acto de ejecución con arreglo al artículo 19, el proveedor auditado y los subcontratistas que intervengan en la prestación del servicio auditado también deberán demostrar que se han aplicado las medidas jurídicas, técnicas y organizativas necesarias para garantizar que:

ii. se impide el acceso de un tercer país o de una entidad jurídica establecida en un tercer país a los datos de los clientes;

h) que el apoyo o la asistencia técnicos y operativos relacionados con el servicio auditado, incluidos los acuerdos de subexternalización posteriores, se inicien y ejecuten exclusivamente dentro de la Unión, por personal residente en la Unión y por terceros que no estén sujetos al control de un tercer país o de una entidad jurídica establecida en un tercer país;

i)que el proveedor auditado demuestre que se aplican las siguientes medidas de la cadena de suministro de software:

i. que se documente y se ponga a disposición de la entidad auditora una nomenclatura de materiales de los programas informáticos completa y actualizada y una lista de las dependencias determinadas pertinentes para la prestación del servicio;

ii. que, cuando se suministren componentes de software o productos que sean propiedad de una entidad jurídica establecida en un tercer país y estén autorizados por ella, se apliquen y documenten controles para bloquear cualquier característica remota que pueda manipular o perturbar sustancialmente un dispositivo, sistema o software (también durante las actualizaciones) y para garantizar que los componentes pertinentes para la seguridad de los fabricantes de terceros países están sujetos a auditorías del código fuente y disponen de un plan de migración documentado en caso de que el proveedor no pueda prestar el servicio o un tercer país imponga restricciones;

3.2.Para el nivel 3 de garantía de la Unión, los subcontratistas a que se refiere el párrafo primero deberán ser terceros que tengan una relación contractual directa con el proveedor de servicios de computación en nube y que contribuyan a la prestación del servicio de computación en nube, y que puedan requerir acceso a información clasificada o sensible, tal como se define en el artículo 2, punto 22, del Reglamento (UE) 2021/697.

4.Nivel 4 de garantía de la Unión

4.1.Para el nivel de garantía 4 de la Unión, los proveedores de servicios de computación en nube deberán cumplir los siguientes criterios acumulativos:

a)que el proveedor auditado y los subcontratistas que intervengan en la prestación del servicio auditado estén establecidos en la Unión;

b)que la infraestructura, los activos y el personal del proveedor auditado, incluidos los de los subcontratistas que intervengan en la prestación del servicio, estén situados en la Unión;

c)que los datos de los clientes, incluidos los metadatos y los datos de telemetría, que, tras una evaluación de riesgos, se clasifiquen como sensibles, y que sean tratados, almacenados y transferidos por el proveedor auditado y los subcontratistas que intervengan en la prestación del servicio, permanezcan exclusivamente dentro de la Unión y en cualquier momento, incluso antes, durante o después de la configuración o el uso del servicio;

e)que el servicio auditado obtenga un certificado europeo de ciberseguridad de al menos un nivel de garantía «elevado» en el marco de un esquema europeo de certificación de la ciberseguridad que cubra los servicios de computación en nube que se establecerá en virtud del Reglamento (UE) 2019/881, siempre que dicho esquema se haya establecido en virtud de dicho Reglamento y esté a disposición de los proveedores de servicios de computación en nube. Hasta el establecimiento de dicho esquema, se aplicarán los esquemas nacionales de certificación de la ciberseguridad, cuando existan. Cuando no existan esquemas de certificación de la ciberseguridad de la Unión o nacionales, el proveedor auditado debe demostrar que el servicio cumple las normas de ciberseguridad más estrictas con arreglo al Derecho de la Unión aplicable;

h)que el apoyo o la asistencia técnicos y operativos relacionados con el servicio auditado, incluidos los acuerdos de subexternalización posteriores, se inicien y ejecuten exclusivamente dentro de la Unión, por personal residente en la Unión y por terceros que no estén sujetos al control de un tercer país o de una entidad jurídica establecida en un tercer país;

i)que el proveedor auditado demuestre que se aplican las siguientes medidas de la cadena de suministro de software:

ii. que haya medidas en vigor para mantener el control efectivo sobre los componentes o productos de software que demuestren que un tercer país o una entidad jurídica establecida en un tercer país no tiene ni ejerce un control efectivo sobre el diseño, el desarrollo, el mantenimiento y la evolución de dichos componentes o productos. El control efectivo incluye la capacidad de influir sustancialmente en la evolución técnica, las prioridades de mantenimiento, las soluciones de seguridad y la continuidad a largo plazo del componente;

j)que, cuando se utilice software divulgado con una licencia de código abierto el proveedor auditado demuestre que ha aplicado y documentado los controles adecuados para evitar el uso de características o mecanismos remotos que puedan utilizarse para manipular o perturbar sustancialmente un dispositivo, sistema o software;

4.2.Para el nivel 4 de garantía de la Unión, los subcontratistas a que se refiere el párrafo primero deberán ser terceros que tengan una relación contractual directa con el proveedor de servicios de computación en nube, que contribuyan a la prestación del servicio de computación en nube, y que puedan requerir acceso a información clasificada o sensible para prestar el servicio.

ANEXO III

Evidencia de auditoría para el procedimiento de auditoría

Las entidades auditoras deben solicitar al proveedor auditado las pruebas de auditoría enumeradas en el presente anexo al evaluar la conformidad del servicio auditado con los criterios de auditoría aplicables con arreglo al anexo II.

El presente anexo es indicativo y no limita las pruebas que pueden solicitar o tener en cuenta las entidades auditoras. Los auditores podrán recabar cualquier información adicional necesaria para garantizar una evaluación exhaustiva y precisa del cumplimiento para llevar a cabo las auditorías. Aunque las pruebas solicitadas pueden ser las mismas, los aspectos que deben analizarse diferirán en función de los criterios del nivel de garantía y de su rigor.

1.Criterio de auditoría A: establecimiento en la Unión

La entidad auditora debe evaluar los criterios de auditoría enumerados en los niveles 2, 3 y 4 de garantía de la Unión, letra a), del anexo II sobre la base de lo siguiente:

1)Cualquier prueba que demuestre que el proveedor auditado está constituido con arreglo al Derecho de un Estado miembro en la Unión o de otro modo con arreglo al Derecho de sociedades de un Estado miembro en la Unión.

2)Cualquier prueba de que el domicilio social, la administración central y el establecimiento principal del proveedor auditado están establecidos en la Unión.

3)La entidad auditora debe verificar el marco jurídico de la Unión aplicable al proveedor auditado y comprobar si su establecimiento es real y estable o si, por el contrario, el proveedor auditado solo puede considerarse un proveedor de fuera de la UE que ofrece servicios en la Unión.

4)La entidad auditora debe verificar si el proveedor está legalmente constituido en un Estado miembro de la Unión. Las pruebas de ello podrían incluir, entre otras cosas, los extractos de empresas nacionales, la documentación de residencia fiscal, las licencias empresariales, el registro a efectos del IVA, la verificación de si el proveedor está registrado en el sistema interconectado de registros empresariales (BRIS) y el sistema de intercambio de información sobre el IVA (VIES).

5)La entidad auditora debe verificar la presencia estable y efectiva en la Unión del proveedor auditado. Por consiguiente, la entidad auditora debe comprobar que:

a)existan oficinas físicas o locales operativos de la UE (por ejemplo, a través de contratos de arrendamiento, facturas de servicios o documentos de propiedad);

b)el personal permanente esté situado en la Unión y que las operaciones de apoyo al cliente se lleven a cabo en la Unión (por ejemplo, mediante contratos de trabajo, registros de nóminas, fichas horarias del personal);

c)las operaciones contractuales se gestionen en la Unión (por ejemplo, a través de registros de gestión de actividades o registros de notificación de incidentes);

d)las funciones bancarias y contables se ejerzan exclusivamente en la Unión (por ejemplo, a través de los estados financieros y los informes de auditoría legal).

6)La entidad auditora debe verificar la presencia de unidades o sucursales establecidas en un Estado miembro de la UE (por ejemplo, mediante contratos de arrendamiento, facturas de servicios, documentos de propiedad, contratos de trabajo, fichas horarias, registros de nóminas u órdenes de compra).

2.Criterio de auditoría B: ubicación de la infraestructura, los activos y el personal

La entidad auditora debe evaluar los criterios de auditoría enumerados en los niveles 2, 3 y 4 de garantía de la Unión, letra b), del anexo II sobre la base de las siguientes pruebas:

1)Ubicación de la infraestructura

a)Una lista con los detalles pertinentes de la ubicación de la infraestructura y los lugares de almacenamiento de datos utilizados en la prestación del servicio auditado. Dicha lista debe incluir la ubicación exacta (número, calle, ciudad, código postal y país) de la infraestructura que demuestre que todos los elementos permanecen dentro de la Unión para la prestación del servicio auditado. Esto incluye la ubicación del almacenamiento primario, de reserva, de recuperación en caso de catástrofe y del almacenamiento de los ficheros de registro.

b)Cualquier otra prueba de que la infraestructura informática está situada en la Unión, como contratos de arrendamiento, escrituras de propiedad, contratos de mantenimiento, contratos de servicio o registros de acceso a las instalaciones.

c)Diagramas de red y documentos de arquitectura que ilustren el uso exclusivo de la infraestructura basada en la Unión para el almacenamiento y el tratamiento de datos, incluidas las copias de seguridad y los datos replicados.

2)Ubicación de los activos

a)Una lista y los datos pertinentes de los activos utilizados en la prestación del servicio auditado, como un registro de activos.

b)Pruebas de que los servidores, equipos y activos operativos están situados en la Unión, como registros que identifiquen el servidor y su ubicación, facturas de compra, albaranes, acuerdos de licencia, contratos de suscripción, o facturas de compras o suscripciones de software, facturas con pruebas de entrega de hardware.

c)Pruebas de que las capacidades de prestación de servicios están basadas en la Unión, como los registros de despliegue, los registros de instalación, los informes de situación del servicio, los informes de configuración, los resultados del seguimiento y los registros administrativos que muestren el uso del servicio.

3)Ubicación del personal

a)Una lista y los datos pertinentes del personal que participa en la prestación del servicio auditado.

b)Pruebas de que el personal que participa en la prestación del servicio auditado está ubicado en la Unión, incluidos los contratos de trabajo, los registros de nóminas, los registros de horas trabajadas, los registros de actividades y los organigramas en los que figure el personal con responsabilidades operativas radicado en la Unión.

4)Consideraciones relativas a la infraestructura, los activos y el personal

a)La entidad auditora también debe evaluar si dicha infraestructura, activos o personal:

i. almacenan, transmiten, tratan o manipulan de cualquier otro modo los datos de los clientes o acceden a ellos;

ii. proporcionan, habilitan o permiten el acceso administrativo, el control, la configuración o la visibilidad de los datos de los clientes;

iii. en caso de verse comprometidos, estar configurados incorrectamente, no estar disponibles o ser perturbados, podrían dar lugar razonablemente a la perturbación o indisponibilidad del servicio auditado.

Nota: «Infraestructura»: infraestructura física, incluidas, entre otras, la infraestructura del centro de datos o la infraestructura de coubicación, la red, la refrigeración y los sistemas informáticos que permiten la gestión del centro de datos.

«Activos»: hardware y software, incluidos, entre otros, las bibliotecas, la red interna necesaria para que los componentes de software se comuniquen y los materiales criptográficos que permiten la prestación del servicio de computación en nube.

«Personal»: incluido el personal gestionado por subcontratistas, las personas que apoyan la prestación, la administración, la seguridad, la disponibilidad o el funcionamiento del servicio auditado.

3.Criterio de auditoría C: localización de los datos en la Unión

La entidad auditora debe evaluar los criterios de auditoría enumerados en los niveles 2, 3 y 4 de garantía de la Unión, letra c), del anexo II sobre la base de las siguientes pruebas:

1)Pruebas que demuestren que los datos de los clientes se almacenan y tratan exclusivamente en la Unión y que los terceros o subcontratistas que no cumplan las condiciones establecidas en el presente anexo no pueden en ningún caso, desde el punto de vista técnico u operativo, acceder a los datos de los clientes, obtenerlos, ponerlos a disposición, destruirlos o, de manera más general, tratarlos sin autorización previa. Algunos ejemplos son los registros de acceso, las políticas de acceso de apoyo, los registros de acceso privilegiado, la política de conservación de copias de seguridad y el diagrama de flujos de datos que demuestra dónde se almacenan, tratan, reproducen y respaldan los datos de los clientes. Al tratar datos personales, contratos con los subcontratistas que demuestren el cumplimiento del Reglamento (UE) 2016/679.

2)Pruebas de los registros y registros de seguimiento que demuestren que todos los datos se almacenan y tratan exclusivamente en la Unión. Algunos ejemplos son los acuerdos marco de servicios, los acuerdos de tratamiento de datos, los acuerdos contractuales de residencia de datos o cualquier límite de datos de la UE.

3)Pruebas (como acuerdos contractuales, registros y procedimientos ofrecidos a los organismos del sector público) que demuestren que el proveedor auditado y los subcontratistas que intervengan en la prestación del servicio auditado han adoptado las medidas necesarias para garantizar:

a)que no se transfieran fuera de la Unión datos de clientes, incluidos datos cifrados, sin la aprobación de un organismo del sector público;

b)que no se transfieran datos a terceros distintos de los subcontratistas que intervengan en la prestación del servicio o de los destinatarios expresamente autorizados por el organismo del sector público.

4)Un diagrama de flujo de datos que muestre los flujos de datos entre el proveedor de servicios de computación en nube y los datos de los clientes, así como con los servicios de terceros y los subcontratistas. El diagrama debe identificar claramente el origen y el destino de los datos y demostrar que los datos no salen de la Unión.

Nota: A efectos del presente anexo, se entenderá por «cliente» un organismo del sector público que haya celebrado un acuerdo contractual u otro acuerdo jurídicamente vinculante con el proveedor de servicios de computación en nube con el fin de acceder al servicio de computación en nube o utilizarlo.

«Datos del cliente»: cualquier dato bajo el control del cliente del servicio de computación en nube, ya sea por medios legales, contractuales o de otro tipo, que sean:

a)introducidos en el servicio de computación en nube por el cliente o en su nombre, incluidas las credenciales de autenticación;

b)producidos mediante el uso del servicio de computación en nube por parte del cliente.

Los datos de los clientes también pueden incluir datos bajo el control de los proveedores auditados que se obtengan como resultado de la interacción con el servicio auditado por parte del cliente del servicio en la nube. Esto incluye los datos de los clientes y cualquier dato resultante del uso de los servicios de computación en nube (es decir, telemetría, metadatos).

Los «datos derivados del servicio de recopilación de datos en la nube» incluyen la parte de los datos de registro que contiene información de quién utilizó el servicio, en qué momentos, qué funciones, los tipos de datos implicados, etc. También puede incluir información sobre el número de usuarios autorizados y su identidad, y cualquier dato de configuración o personalización, cuando el servicio de computación en nube tenga tales funcionalidades de configuración y personalización.

4.Criterio de auditoría D: ciudadanía de la Unión

La entidad auditora debe evaluar los criterios de auditoría enumerados en los niveles 2, 3 y 4 de garantía de la Unión, letra d), del anexo II sobre la base de las siguientes pruebas:

1)El proveedor auditado debe facilitar a la entidad auditora pruebas de que ha aplicado las medidas necesarias para garantizar que, en caso de que un organismo del sector público exija como requisito la ciudadanía de la Unión, el personal que participe en la prestación del servicio auditado tenga la ciudadanía de la Unión. Esto puede demostrarse mediante documentos oficiales válidos expedidos por el Gobierno (por ejemplo, pasaporte y documento nacional de identidad válidos).

2)El proveedor auditado debe proporcionar organigramas y descripciones de puestos de trabajo que confirmen que puede garantizar, cuando así se le solicite, que solo el personal con ciudadanía de la Unión tenga acceso al funcionamiento, la gestión, el mantenimiento y el apoyo del servicio auditado.

3)El proveedor auditado debe presentar documentos que demuestren las políticas de control de acceso y pistas de auditoría que demuestren que solo el personal autorizado que sea ciudadano de la Unión puede acceder a los sistemas y datos del servicio.

4)El proveedor auditado debe demostrar que ha establecido procedimientos que describen cómo se verifica la ciudadanía antes de la asignación y cómo se mantiene el cumplimiento de este criterio de auditoría durante todo el empleo.

Nota: El personal que participa en la prestación del servicio auditado podría incluir al personal que tiene acceso lógico o físico a la infraestructura y los activos utilizados para explotar el servicio de computación en nube, así como a los responsables del apoyo al cliente y a todo el personal que tiene el control de la gestión del proveedor de servicios de computación en nube.

5.Criterios de auditoría E: esquema europeo de certificación de la ciberseguridad adoptado en virtud del Reglamento (UE) 2019/881

La entidad auditora debe evaluar los criterios de auditoría enumerados en los niveles 2, 3 y 4 de garantía de la Unión, letra e), del anexo II sobre la base de las siguientes pruebas:

1)un certificado europeo de ciberseguridad válido, expedido por un organismo de evaluación de la conformidad competente, que demuestre que el servicio auditado ha sido evaluado y considerado conforme con los requisitos correspondientes a los niveles de garantía «básico», «sustancial» o «elevado» en el marco de un esquema europeo de certificación de la ciberseguridad adoptado en virtud del Reglamento (UE) 2019/881, siempre que se haya establecido;

2)un informe de certificación que incluya una descripción de los principales componentes utilizados para el desarrollo y la explotación del servicio de computación en nube cubierto por el certificado de auditoría;

3)hasta que se establezca el régimen europeo de certificación de la ciberseguridad que cubre los servicios de computación en nube, el proveedor auditado puede demostrar la conformidad mediante certificaciones de ciberseguridad válidas. Esto puede incluir, entre otras cosas, lo siguiente:

a)un certificado válido expedido por un organismo de evaluación de la conformidad competente (en consonancia con CEN/CLC/TS 18072:2025) que demuestre que el servicio de computación en nube ha sido evaluado y considerado conforme con los requisitos correspondientes a los niveles de garantía «básico», «sustancial» o «elevado» definidos en CEN/TS 18026:2024;

b)un certificado válido expedido por la autoridad nacional competente pertinente que demuestre que el servicio de computación en nube ha sido evaluado y considerado conforme con los requisitos del régimen nacional de ciberseguridad actualmente en vigor en el Estado miembro;

c) a falta de un régimen nacional, pruebas que demuestren el cumplimiento de las normas de ciberseguridad más estrictas disponibles en el mercado.

6.Criterio de auditoría F: sistemas de IA gestionados por un tercer país o una entidad jurídica de un tercer país

La entidad auditora debe evaluar los criterios de auditoría enumerados en los niveles 2, 3 y 4 de garantía de la Unión, letra f), del anexo II sobre la base de las siguientes pruebas:

1)cláusulas contractuales que establezcan que los datos tratados o generados mediante el uso del servicio auditado, incluidos los datos derivados del cliente, los registros y la telemetría, no se utilizarán para entrenar o ajustar ningún modelo o sistema de IA gestionado por un tercer país o una entidad jurídica de un tercer país, y que no se transferirán fuera de la Unión en ningún caso;

2)cláusulas contractuales que especifiquen que los datos se tratan únicamente para la prestación del servicio auditado y no para mejoras del servicio, mejoras de modelos o sistemas o cualquier otro fin secundario;

3)diagramas de flujo de datos que documenten el flujo de datos de extremo a extremo, y que abarquen la ingesta, el almacenamiento, el tratamiento y el borrado de datos. Los diagramas también deben mostrar dónde se conectan los flujos de trabajo de IA o las operaciones de aprendizaje automático (MLOps) con los datos de los clientes;

4)MLOps o registros de despliegue que demuestren que las ubicaciones para la construcción, las pruebas y la publicación se encuentran en la UE;

5)modelos o tarjetas de sistema que abarquen el nombre, la versión, las fuentes de entrenamiento y validación del modelo o sistema, incluidas declaraciones de que los datos generados por el uso del servicio auditado no salen de la Unión;

6)políticas de linaje de datos y documentación de aplicación conexa que demuestren que el proveedor utiliza herramientas de linaje y procedencia de datos y que puede demostrar (para cada registro) para qué se han utilizado los datos;

7)una lista de los subcontratistas (indicando su país de establecimiento) que acceden a los datos generados por el uso del servicio auditado.

7.Criterio de auditoría G: ausencia de control de un tercer país o de control de una entidad de un tercer país

La entidad auditora debe evaluar los criterios de auditoría enumerados en los niveles 2, 3 y 4 de garantía de la Unión, letra g), del anexo II sobre la base de las siguientes pruebas:

1)La entidad auditora debe determinar y analizar:

a)todos los accionistas directos e indirectos, hasta los propietarios finales;

b)el cuadro de capitalización que documente la estructura de propiedad de la empresa;

c)el órgano u órganos habilitados para tomar decisiones estratégicas (asamblea general de accionistas, consejo de supervisión, consejo de administración, etc.);

d)las normas para el nombramiento, la elección o la destitución de los órganos de gobierno y la composición real de los órganos de gobierno (por ejemplo, para determinar si algún accionista tiene derecho a nombrar a un representante en el consejo o tiene puestos mayoritarios en el consejo);

e)el quórum y la mayoría necesarios para adoptar decisiones estratégicas, con el fin de determinar si cualquier accionista puede tomar una decisión estratégica (ya sea porque cuenta con la mayoría necesaria para aprobar dicha decisión o porque puede bloquear dicha decisión mediante un veto u otros derechos específicos, aunque no pueda imponer tal decisión por sí solo, etc.);

f)la posible influencia en las decisiones estratégicas a través de vínculos comerciales, financieros u otros medios, etc.

2)El proveedor auditado debe solicitar toda la información anterior a sus subcontratistas y ponerla a disposición de la entidad auditora.

7.1.Evaluación de la propiedad y el control:

1)El proveedor auditado debe facilitar a la entidad auditora las siguientes pruebas relacionadas con la sede:

a)la ubicación y la dirección completa de la sede global o de la sede central;

b)la ubicación de las estructuras de dirección ejecutiva.

2)El proveedor auditado debe facilitar a la entidad auditora las siguientes pruebas relacionadas con la estructura de propiedad y los derechos específicos:

a)una lista detallada en la que se describan los propietarios que:

i.posean, directa o indirectamente, al menos el 5 % del capital o al menos el 5 % de los derechos de voto, en particular a través de cualquier contenido, entendimiento, relación o intermediario. Esto incluye los acuerdos de voto entre accionistas que, en conjunto, tendrían más del 5 % de los derechos de voto o el 5 % del capital;

ii.tengan uno o varios de los siguientes derechos específicos en relación con su propiedad: a) derecho a vetar una transferencia de acciones; b) derechos de preferencia; c) derecho a adquirir acciones adicionales o inversiones sujeto a condiciones.

b)la entidad auditora deberá solicitar los siguientes documentos justificativos para evaluar los elementos mencionados en el apartado 2, letra a):

i.extractos del registro mercantil y libros de accionistas de la organización y cualquier otro documento pertinente que indique claramente los accionistas y sus derechos de voto o porcentaje de interés;

ii.acuerdo de accionistas, memorando de entendimiento entre accionistas, estatutos, u otros documentos pertinentes relativos a los procedimientos de toma de decisiones dentro de la entidad jurídica, acuerdos de inversión entre los accionistas, etc.;

iii.en el caso de los accionistas que sean personas jurídicas que posean al menos el 5 % del capital o al menos el 5 % de los derechos de voto:

1)un gráfico que describa los diferentes niveles de propiedad o la cadena de control hasta los propietarios finales;

2)estatutos, ordenanzas o documentos constitucionales equivalentes;

3)un registro de directores, responsables y signatarios.

3)El proveedor auditado debe facilitar a la entidad auditora las siguientes pruebas relacionadas con la gobernanza corporativa:

a)El proveedor auditado debe facilitar a la entidad auditora una descripción de:

i.los órganos decisorios, su composición y su nacionalidad o lugar de establecimiento (en su caso);

ii.las normas relativas a la elección, el nombramiento, la designación o el mandato de los miembros de los órganos decisorios u otros puestos directivos;

iii.los procedimientos de toma de decisiones, incluida la información sobre la mayoría requerida o el quórum necesario para la toma de decisiones;

iv.políticas de gobernanza interna que describan cómo se registran y aprueban las decisiones de propiedad y control;

decisiones del consejo de administración y de la dirección que reflejen la estructura de control declarada;

actas del consejo y resoluciones de cambios de control.

b)El proveedor auditado debe facilitar a la entidad auditora documentos justificativos en los que se expongan o describan: los órganos decisorios y las normas sobre su elección, nombramiento, designación o mandato, los procedimientos de toma de decisiones, los derechos de voto, los derechos de veto, los derechos de nombramiento, los derechos de aprobación dentro de la entidad jurídica (por ejemplo, estatutos, informes sobre gobernanza empresarial, etc.). Los documentos justificativos y la información deben facilitarse para cada entidad jurídica intermedia que posea directa o indirectamente el 5 % o más del capital o de los derechos de voto, hasta los propietarios finales de todos los niveles implicados.

4)El proveedor auditado debe facilitar a la entidad auditora las siguientes pruebas relacionadas con el control:

a)El proveedor auditado debe facilitar a la entidad auditora pruebas de los vínculos comerciales que confieren control. Esto incluye, entre otras cosas, una lista de personas físicas o jurídicas con las que los proveedores auditados (o los propietarios del proveedor auditado, incluidos los niveles intermedios hasta los propietarios finales) mantienen una relación comercial que a) conduce a un nivel de control sobre la gestión y los recursos similar al de la propiedad de acciones o activos; y b) es de muy larga duración (por ejemplo, acuerdos de suministro a largo plazo muy importantes o créditos proporcionados por fabricantes o clientes de software, junto con vínculos estructurales).

b)Los documentos justificativos deben incluir acuerdos de cooperación con el organismo del sector público o los desarrolladores del software, etc.

5)El proveedor auditado debe facilitar a la entidad auditora las siguientes pruebas relacionadas con los vínculos financieros que confieran el control:

a)El proveedor auditado debe enumerar las personas físicas o jurídicas (incluidos los accionistas o propietarios mayoritarios) de las que depende financieramente el proveedor auditado (o los propietarios), de manera que puedan obtener concesiones en áreas de negocio estratégicas.

b)Los documentos justificativos deben incluir los documentos de préstamo, los estatutos y los documentos que muestren el vínculo financiero, etc.

6)El proveedor auditado debe facilitar a la entidad auditora las siguientes pruebas relacionadas con otras fuentes de control:

a)Los proveedores auditados deben indicar a la entidad auditora si existen otros medios, procesos o vínculos que, en última instancia, confieran el control a otro tercer país o a una entidad jurídica establecida en un tercer país (nivel de control de la gestión y los recursos similar al de la propiedad de acciones o activos de larga duración).

b)Los documentos justificativos deben aportar pruebas de dicho control o una declaración de que no existe tal control (esta declaración puede proceder del consejo de administración del proveedor de servicios).

Nota: Los elementos que deben tenerse en cuenta a la hora de evaluar el control son las estructuras de propiedad y los derechos específicos, la gobernanza empresarial, los vínculos comerciales que confieren control, los vínculos financieros que confieren control y cualquier otra fuente de control.

7.2.Pasos adicionales basados en la conclusión de la prueba de propiedad y control

Si la entidad auditora determina que el proveedor auditado está sujeto al control de un tercer país o de una entidad jurídica de un tercer país, deberá solicitar las siguientes pruebas adicionales:

c)todas las pruebas que demuestren la Comisión ha adoptado una decisión de conformidad con el artículo 19 en relación con el tercer país respecto del cual está sujeto a control el proveedor de servicios de computación en nube;

d)todas las pruebas que demuestren que el proveedor auditado y cualquier subcontratista que intervenga en la prestación del servicio auditado han aplicado las medidas necesarias para hacer cumplir la separación jurídica, técnica y organizativa efectiva entre el proveedor de servicios de computación en nube y cualquier tercer país o entidad jurídica establecida en un tercer país, garantizando que el proveedor de servicios de computación en nube no pueda satisfacer, desde el punto de vista jurídico, técnico y operativo, ninguna solicitud de acceso a los datos de los clientes, incluidos los datos cifrados, ni perturbar la continuidad del servicio o degradar la calidad del servicio;

e)todas las pruebas que demuestren que se informará al organismo del sector público de cualquier solicitud de este tipo y una confirmación de que la solicitud ha sido denegada;

f)todas las pruebas que demuestren el mantenimiento de un registro actualizado de cualquier solicitud de acceso a los datos de los clientes, de perturbación de la continuidad del servicio o de degradación de la calidad del servicio procedente de un tercer país o de una entidad jurídica establecida en un tercer país, que contengan al menos la solicitud y la respuesta a la solicitud.

8.Criterio de auditoría H: falta de apoyo técnico y operativo fuera de la Unión

La entidad auditora debe evaluar los criterios de auditoría enumerados en los niveles 2, 3 y 4 de garantía de la Unión, letra h), del anexo II sobre la base de las siguientes pruebas:

1)pruebas de que el proveedor auditado ha aplicado cláusulas contractuales vinculantes que establecen que todas las actividades de apoyo, administración, mantenimiento, seguimiento, respuesta a incidentes y operativas deben iniciarse y llevarse a cabo exclusivamente en la Unión. Esto podría incluir cláusulas contractuales que exijan la divulgación anticipada de todos los subcontratistas y ubicaciones de apoyo, la aprobación previa por escrito antes de contratar a nuevos subcontratistas y el derecho a rechazar a cualquier subcontratista situado fuera de la Unión;

2)pruebas de que el proveedor auditado mantiene un registro actualizado de subcontratistas;

3)pruebas de que el proveedor auditado no subcontrata ni transfiere dichas actividades fuera de la Unión;

4)pruebas de que el proveedor auditado ha aplicado las medidas jurídicas, técnicas y organizativas necesarias para garantizar que el servicio auditado no pueda tener acceso remoto al apoyo técnico y operativo desde fuera de la Unión;

5)pruebas de que los servicios de asistencia/apoyo del proveedor auditado, la administración de infraestructuras, las operaciones de su centro de operaciones de seguridad o de su centro de operaciones de red, el acceso privilegiado, la gestión de copias de seguridad y las operaciones de recuperación en caso de catástrofe del servicio auditado se prestan exclusivamente desde la Unión, incluida la ruta de acceso para explotar el servicio;

6)pruebas de que el proveedor auditado garantiza que el personal, en el momento de abandonar la empresa, ya no tiene acceso al servicio auditado y de que se revocan todas las políticas de acceso;

7)pruebas de que el proveedor auditado ha aplicado las medidas técnicas y organizativas necesarias para garantizar que el acceso administrativo a los sistemas utilizados para explotar el servicio auditado se proporcione a través de rutas de acceso situadas dentro de la Unión. Esto puede demostrarse mediante la aplicación de controles de red geográficamente restringidos, infraestructuras administrativas basadas en la Unión, controles de gestión de acceso privilegiado y mecanismos de seguimiento;

8)pruebas de que el proveedor auditado dispone de procedimientos para demostrar que no existe un control efectivo de un tercer país o de una entidad jurídica establecida en un tercer país, incluso para la subexternalización posterior.

9.Criterio de auditoría I: garantía de transparencia de la cadena de suministro de software

La entidad auditora debe evaluar los criterios de auditoría enumerados en los niveles 2, 3 y 4 de garantía de la Unión, letra i), del anexo II sobre la base de las siguientes pruebas:

1)El proveedor auditado debe poner a disposición de la entidad auditora una nomenclatura de materiales de los programas informáticos completa y actualizada para todos los componentes del software, incluido el software de código abierto.

2)El proveedor auditado debe poner a disposición de la entidad auditora una lista de dependencias. Esto debe incluir:

a)todos los módulos de software, bibliotecas o interfaces de programación de aplicaciones (API) utilizados, así como las herramientas de desarrollo;

b)origen del software: dónde (país de origen) se diseña, desarrolla y mantiene el software, y quién lleva a cabo estas tareas, además de la ubicación y la jurisdicción que rigen la distribución del software, y las actualizaciones;

c)grado de dependencia de proveedores, instalaciones o tecnologías patentadas de fuera de la UE; para el nivel 3, pruebas de que, en caso de que la pila de software sea facilitada por una entidad establecida en un tercer país, no se aplican restricciones de licencia indebidamente injustificadas;

d)grado de dependencia de software de código abierto;

e)visibilidad en toda la cadena de fabricantes y subfabricantes de software, incluidos los derechos de auditoría.

Nota: Los requisitos anteriores implican que las empresas conjuntas constituidas, por ejemplo, por una entidad de la Unión con una entidad jurídica establecida en un tercer país pueden optar a este nivel.

3)El proveedor auditado debe facilitar:

a)pruebas de un proceso basado en el riesgo para detectar y mitigar las dependencias de fabricantes externos de software pertinente para el funcionamiento del servicio de computación en nube;

b)pruebas de que ha encontrado una o varias soluciones de software alternativas, incluido el software de código abierto. Si no se puede encontrar un software equivalente, debe encontrarse una solución que garantice una funcionalidad mínima viable. Deben realizarse pruebas y un plan de conversión que permita la migración a estas soluciones alternativas;

c)pruebas de que puede migrar a una solución alternativa en caso de defecto o fallo del proveedor o de restricciones de un tercer país o de una entidad jurídica establecida en un tercer país;

d)una lista de las normas abiertas que se siguen como parte de las políticas de los proveedores auditados en relación con el servicio auditado.

4)El proveedor auditado debe garantizar la transparencia mediante el acceso remoto y la auditabilidad del código fuente mediante:

a)la puesta a disposición de la entidad auditora de una lista de pruebas que demuestren que no se utiliza ninguna característica o mecanismo remoto que pueda utilizarse para manipular o perturbar materialmente un producto, sistema o software. Esto debe incluir:

i. pruebas relacionadas con las pruebas del componente de software para evitar el uso de funciones o mecanismos remotos que puedan utilizarse para manipular o perturbar materialmente un dispositivo, sistema o software (procedimiento de la prueba, informes de la prueba, plan de la prueba, etc.);

ii.pruebas de que los procedimientos de gestión de cambios de la organización abarcan cualquier cambio en el firmware, las BIOS y las actualizaciones del software, así como la integración de nuevos componentes para evitar el uso de cualquier característica o mecanismo remoto;

iii.pruebas de que el procedimiento de mantenimiento se actualiza para incluir la prevención de cualquier característica o mecanismo remoto que pueda utilizarse para manipular o perturbar materialmente un dispositivo, sistema o software;

b)la garantía por parte del proveedor auditado de que el auditor independiente tercero tiene derecho a acceder al código fuente de dicho software y a auditarlo. El proveedor auditado también debe asegurarse de que toda la documentación, el material técnico y la información necesaria para evaluar y auditar el código fuente se pongan a disposición de la entidad auditora en un formato completo, preciso y accesible.

10.Criterio de auditoría J: software de código abierto

La entidad auditora debe evaluar los criterios de auditoría enumerados en los niveles 2, 3 y 4 de garantía de la Unión, letra j), del anexo II sobre la base de las siguientes pruebas:

1)El proveedor auditado debe garantizar la transparencia mediante el acceso remoto y la auditabilidad del código fuente mediante:

ii. pruebas de que los procedimientos de gestión de cambios de la organización abarcan cualquier cambio en el firmware, las BIOS y las actualizaciones del software, así como la integración de nuevos componentes para evitar el uso de cualquier característica o mecanismo remoto;

iii. pruebas de que el procedimiento de mantenimiento se actualiza para incluir la prevención de cualquier característica o mecanismo remoto que pueda utilizarse para manipular o perturbar materialmente un dispositivo, sistema o software.

2)El proveedor auditado debe facilitar:

a)pruebas de un proceso basado en el riesgo para detectar y mitigar: i) un ecosistema débil y un escaso apoyo de la comunidad a las soluciones de código abierto; ii) una falta de seguimiento continuo de las actualizaciones publicadas; iii) los casos en que las soluciones de código abierto queden obsoletas o dejen de mantenerse.

b)pruebas de que el proveedor auditado ha actualizado la solución de código abierto sin demora indebida;

c)pruebas de que el proveedor auditado ha determinado una o varias soluciones de código abierto alternativas. Si el proveedor auditado no puede encontrar un software equivalente, deberá encontrar una solución que garantice una funcionalidad mínima viable. El proveedor auditado debe aplicar pruebas y un plan de conversión que permita la migración a las soluciones alternativas.

3)Cuando el proveedor auditado utilice software divulgado con una licencia de código abierto, el proveedor auditado debe implantar mecanismos para detectar y notificar oportunamente al organismo del sector público si el software es adquirido por un tercer país o una entidad jurídica o fundación establecida en un tercer país o bajo su control.

11.Criterio de auditoría K: servicios globales y filiales en terceros países

La entidad auditora debe evaluar los criterios de auditoría enumerados en los niveles 2, 3 y 4 de garantía de la Unión, letra k), del anexo II sobre la base de las siguientes pruebas:

1)La entidad auditora debe verificar que la filial es jurídica y operativamente independiente del proveedor auditado.

2)El proveedor auditado debe demostrar que la filial no tiene acceso a los sistemas de tratamiento o almacenamiento de los datos de los clientes.

3)El proveedor auditado debe demostrar que la filial no tiene cuentas privilegiadas en los entornos de producción de la Unión, incluidos los privilegios de administración en la nube, gestión de identidades y accesos (IAM), gestión de accesos privilegiados (PAM), supervisión o administración de bases de datos.

4)La entidad auditora debe verificar que el personal de la filial no pueda obtener acceso a los datos de los clientes de la Unión.

5)La entidad auditora debe verificar que la filial no tiene autoridad para ordenar al personal operativo de la Unión que divulgue los datos de los clientes o eluda los procedimientos de seguridad.

6)La entidad auditora debe verificar que todas las solicitudes de gobiernos extranjeros recibidas por la filial se redirijan formalmente a la entidad competente de la Unión para su evaluación jurídica con arreglo al Derecho de la Unión y del Estado miembro.

Eureka está añadiendo enlaces y definiciones…