ENS, SecNumCloud, C5 y HDS, proveedor por proveedor
Francia, Alemania y España tienen cada una su propio esquema de seguridad para servicios en la nube, y los compradores públicos de esos países suelen exigir uno. Para dos de ellos la autoridad publica un registro, y lo leemos. Para los otros dos no hay ningún registro que podamos leer, así que solo podemos recoger lo que afirma el propio proveedor. Los dos tipos de prueba nunca se mezclan a continuación.
| Proveedor | ENS (España) | SecNumCloud (Francia) | C5 (Alemania) | HDS (Francia, salud) |
|---|---|---|---|---|
| 3DS Outscale | — | En el registro 1 servicio; primer vencimiento 2026-11-30 | — | Declarado |
| AWS European Sovereign Cloud | — | — | Declarado | — |
| Adobe | En el registro 1 certificado, ALTA; primer vencimiento 2027-11-21 | — | Declarado | — |
| Amazon Web Services | En el registro 1 certificado, ALTA; primer vencimiento 2027-03-23 | — | — | Declarado |
| Atlassian | — | — | Declarado informe bajo petición | — |
| Bleu | — | — | — | Declarado |
| Box | — | — | Declarado informe bajo petición | Declarado certificado publicado |
| Cisco Webex | En el registro 1 certificado, ALTA; primer vencimiento 2027-12-23 | — | — | — |
| Cloudflare | En el registro 1 certificado, ALTA; primer vencimiento 2026-12-23 | — | Declarado | — |
| CrowdStrike | Declarado, no está en el registro | — | Declarado | — |
| Databricks | — | — | Declarado | — |
| DeepL | — | — | Declarado informe bajo petición | — |
| ElevenLabs | — | — | — | Declarado |
| Figma | — | — | Declarado | — |
| Google Cloud | En el registro 1 certificado, ALTA; primer vencimiento 2027-10-16 | — | — | — |
| Google Workspace | En el registro 1 certificado, ALTA; primer vencimiento 2027-10-16 | — | Declarado | — |
| IONOS Cloud | — | — | Declarado informe bajo petición | — |
| Microsoft | En el registro 3 certificados, ALTA; primer vencimiento 2028-04-24 | — | Declarado | Declarado |
| MongoDB | En el registro 1 certificado, ALTA; primer vencimiento 2027-07-07 | — | — | Declarado |
| Notion | — | — | Declarado informe bajo petición | — |
| OVHcloud | En el registro 1 certificado, ALTA; primer vencimiento 2027-11-03 | En el registro 3 servicios; primer vencimiento 2026-12-29 | Declarado | Declarado |
| Okta | En el registro 1 certificado, ALTA; primer vencimiento 2028-02-10 | — | Declarado | — |
| OneTrust | Declarado, no está en el registro certificado publicado | — | — | — |
| Oracle Cloud | En el registro 3 certificados, ALTA; primer vencimiento 2027-12-12 | — | Declarado | Declarado |
| S3NS | — | En el registro 1 servicio; primer vencimiento 2028-12-17 | — | Declarado |
| SAP | En el registro 4 certificados, ALTA; primer vencimiento 2027-04-07 | — | — | — |
| STACKIT | — | — | Declarado informe bajo petición | — |
| Salesforce | En el registro 9 certificados, ALTA; primer vencimiento 2026-12-19 | — | — | Declarado |
| Scaleway | — | — | — | Declarado |
| Slack | En el registro 1 certificado, ALTA; primer vencimiento 2027-11-18 | — | Declarado informe bajo petición | — |
| Snowflake | — | — | — | Declarado informe bajo petición |
| T Cloud Public | En el registro 1 certificado, ALTA; primer vencimiento 2027-10-17 | — | Declarado | — |
| Zendesk | — | — | — | Declarado |
| Zoho | En el registro 1 certificado, MEDIA; primer vencimiento 2027-05-15 | — | — | Declarado informe bajo petición |
| Zoom | En el registro 1 certificado, ALTA; primer vencimiento 2028-04-17 | — | Declarado | Declarado |
| Zscaler | En el registro 1 certificado, ALTA; primer vencimiento 2028-07-31 | — | — | — |
«—» significa que las páginas del proveedor que leímos no mencionan ese esquema y, para SecNumCloud y el ENS, que el registro no tiene ninguna inscripción con los nombres buscados (la marca del proveedor y sus entidades jurídicas registradas; cada ficha de proveedor los indica). Los proveedores sin ninguna mención no aparecen en la tabla.
ENS (España)
El Esquema Nacional de Seguridad (Real Decreto 311/2022) se aplica al sector público español y a los proveedores cuyos sistemas le prestan servicio. Una entidad de certificación acreditada certifica cada sistema en una de tres categorías, BÁSICA, MEDIA o ALTA, y el CCN (Centro Criptológico Nacional) publica cada certificado de conformidad en su registro. Un certificado cubre los sistemas de información que nombra, no toda la empresa, así que cada fila es un certificado y su alcance, tal como se publica.
- En el registro, pero sin mención en las páginas del proveedor que leímos: Cisco Webex, Google Cloud, Google Workspace, SAP, Salesforce y T Cloud Public. Nuestra lectura de sus páginas de cumplimiento no recogió ninguna mención del ENS; el certificado está en el registro de todos modos.
- Declarado, pero sin certificado con los nombres buscados: CrowdStrike y OneTrust. Un certificado puede estar a nombre de otra empresa del grupo; la ficha del proveedor indica los nombres buscados.
- El certificado de Slack está a nombre de su matriz, Salesforce, Inc., y nombra los servicios de Slack.
SecNumCloud (Francia)
SecNumCloud es la cualificación que la ANSSI, la agencia nacional de ciberseguridad de Francia, otorga a los servicios en la nube. Su versión actual, la 3.2, añade requisitos para sustraer el servicio a la legislación de fuera de la UE, entre ellos límites a la parte del proveedor que pueden poseer entidades no europeas. La ANSSI publica los servicios cualificados en su catálogo, con el número de decisión y las fechas.
| Proveedor | Servicio cualificado, según la lista | Cualificado el | Hasta |
|---|---|---|---|
| 3DS Outscale | Outscale IaaS Cloud on Demand | 2023-11-30 | 2026-11-30 |
| OVHcloud | OVH Hosted Private Cloud powered by VMware | 2023-12-28 | 2026-12-29 |
| OVHcloud | OVH Bare Metal Pod | 2025-03-24 | 2028-03-24 |
| OVHcloud | OVH SNC Cloud Platform | 2026-07-31 | 2029-07-31 |
| S3NS | Thales Cloud Sécurisé Cloud de confiance S3NS | 2025-12-17 | 2028-12-17 |
S3NS es una filial de Thales que opera tecnología de Google Cloud; su cualificación cubre su propio servicio, no Google Cloud.
C5 (Alemania)
C5 es el catálogo de criterios de cumplimiento para la nube del BSI, la oficina federal alemana de seguridad de la información. Un auditor independiente evalúa al proveedor conforme al catálogo y emite un informe de atestación, no un certificado. El BSI no supervisa estas auditorías e indica en sus preguntas frecuentes que no mantiene ninguna lista de atestaciones. Para C5, la única prueba es la palabra del proveedor y el propio informe, que al proveedor le suele interesar compartir con sus clientes. 20 proveedores del registro declaran tenerla: AWS European Sovereign Cloud, Adobe, Atlassian, Box, Cloudflare, CrowdStrike, Databricks, DeepL, Figma, Google Workspace, IONOS Cloud, Microsoft, Notion, OVHcloud, Okta, Oracle Cloud, STACKIT, Slack, T Cloud Public y Zoom.
Cada declaración, con el tipo de informe y la versión que indica el proveedor y la página donde la leímos, está en la página sobre BSI C5 (en inglés).
HDS (Francia, datos de salud)
En Francia, un proveedor que aloja datos personales de salud por cuenta de terceros, como hospitales o profesionales sanitarios, necesita la certificación HDS (Hébergeur de Données de Santé). La agencia francesa de salud digital publica la lista de proveedores certificados, pero su sitio responde a la lectura automatizada con un CAPTCHA, y no los resolvemos, así que no podemos comprobarla. 16 proveedores declaran HDS en sus propias páginas: 3DS Outscale, Amazon Web Services, Bleu, Box, ElevenLabs, Microsoft, MongoDB, OVHcloud, Oracle Cloud, S3NS, Salesforce, Scaleway, Snowflake, Zendesk, Zoho y Zoom. Compruebe la lista oficial antes de confiar en cualquiera de ellos.
Vencen en los próximos cuatro meses
Cada inscripción tiene fecha de fin; la renovación corresponde al proveedor. Estas vencen antes:
| Proveedor | Esquema | Alcance | Hasta |
|---|---|---|---|
| 3DS Outscale | SecNumCloud | Outscale IaaS Cloud on Demand | 2026-11-30 |
| Salesforce | ENS | Los sistemas de Información que soportan los servicios de Corporate Services ubicados en Centros de Datos externalizados en Reino Unido… | 2026-12-19 |
| Salesforce | ENS | Los sistemas de Información que soportan el servicio de Marketing Cloud Advertising on Hyperforce ubicado en Centros de Datos… | 2026-12-19 |
| Salesforce | ENS | Los sistemas de Información que soportan el servicio de Marketing Cloud Engagement ubicado en Centros de Datos externalizados en Alemania… | 2026-12-19 |
| Salesforce | ENS | Los sistemas de Información que soportan los servicios de Mulesoft enumerados en las páginas del Anexo del presente Certificado y ubicados… | 2026-12-19 |
| Salesforce | ENS | Los sistemas de Información que soportan los servicios de Salesforce Services enumerados en las páginas del Anexo del presente Certificado… | 2026-12-19 |
| Salesforce | ENS | Los sistemas de Información que soportan los servicios de Salesforce Services on Hyperforce enumerados en las páginas del Anexo del… | 2026-12-19 |
| Cloudflare | ENS | Los Sistemas de Información que soportan los servicios de Cloudflare, Inc. enumerados en la página del Anexo del Certificado y ubicados en… | 2026-12-23 |
| OVHcloud | SecNumCloud | OVH Hosted Private Cloud powered by VMware | 2026-12-29 |
Cómo se ha leído
El catálogo de la ANSSI y el registro del CCN se leen tal como los publican sus autores, sin ningún modelo de IA de por medio, y se releen cada semana. La asignación de una inscripción a un proveedor se hace por su marca, sus entidades jurídicas registradas y su sitio web, y una persona la revisa antes de publicarla; el certificado de una empresa del grupo para otro servicio no se atribuye al proveedor. Las declaraciones proceden de las páginas de confianza y cumplimiento del propio proveedor, como en cada ficha. Última lectura: 2026-11-09. El método completo está en la página de metodología (en inglés).