El gasto global en infraestructura cloud alcanzó los 129.000 millones de dólares solo en el primer trimestre de 2026, un crecimiento del 35% interanual, impulsado en gran parte por la demanda de computación para inteligencia artificial generativa. Detrás de esa cifra hay un cambio de fondo que afecta directamente a la banca: la nube ha dejado de ser una decisión puramente técnica de eficiencia y costes para convertirse en una pieza que los reguladores europeos vigilan de cerca, con obligaciones legales concretas sobre dónde están tus datos y qué pasa si el proveedor falla.
Este es el matiz que el enfoque tradicional sobre «la nube en la banca» —centrado en escalabilidad, ahorro de costes e innovación— ya no puede ignorar en 2026.
Quién domina realmente el mercado cloud que usa tu banco
Antes de entrar en la parte regulatoria, conviene tener claro el mapa real de proveedores. En España, Microsoft Azure mantiene el liderazgo con una penetración superior al 80% del tejido empresarial, mientras que AWS —líder mundial con aproximadamente un 32% de cuota de mercado global y centros de datos en 115 zonas de disponibilidad repartidas en 37 regiones— obtiene las mejores valoraciones de satisfacción, con más del 94% de sus clientes valorando positivamente la experiencia. Google Cloud, por su parte, refuerza su posición gracias a sus capacidades específicas en inteligencia artificial y analítica avanzada.
Esta concentración en tres o cuatro proveedores globales no es un detalle menor: es precisamente lo que ha puesto en alerta a los reguladores financieros europeos.
El motivo por el que DORA cambia la conversación sobre la nube en banca
Ya hemos explicado en otro artículo qué es el Reglamento DORA y cómo protege tu dinero a nivel general. Lo que interesa aquí es su aplicación específica a la nube: DORA obliga a cualquier entidad supervisada por el Banco de España o el BCE a poder explicar, con precisión y evidencias documentadas, qué servicios esenciales dependen de la nube, qué proveedores concretos intervienen, cómo se mitigan los riesgos de interrupción, concentración o jurisdicción, y qué plan de salida existe si ese proveedor deja de estar disponible.
Como resume un responsable de banca de T-Systems Iberia, el enfoque regulatorio ha cambiado de «confiamos en el proveedor» a «podemos demostrar que controlamos el riesgo». Esto es un giro conceptual importante: antes de DORA, la elección de proveedor cloud era sobre todo una decisión de rendimiento y coste; ahora forma parte del perfil regulatorio de la entidad, al mismo nivel que su gestión de riesgo crediticio o su solvencia.
La respuesta del sector: la nube soberana europea
Esta presión regulatoria está impulsando en 2026 el crecimiento de lo que se conoce como «cloud soberano»: infraestructuras ubicadas y operadas físicamente en Europa, bajo derecho europeo, diseñadas específicamente para facilitar la auditoría y el gobierno del dato que exige DORA. No se trata de sustituir a los grandes proveedores globales —AWS, Azure y Google Cloud siguen dominando el mercado y seguirán haciéndolo—, sino de que la banca europea empiece a exigir garantías adicionales sobre dónde residen físicamente los datos y bajo qué jurisdicción legal operan, algo que hace apenas unos años apenas se cuestionaba.
Un riesgo que no es solo teórico: la concentración en pocos proveedores
El propio marco normativo europeo —DORA junto con NIS2, la directiva de ciberseguridad— obliga a las entidades a auditar toda su cadena de suministro tecnológico, no solo sus sistemas propios. La Agencia de la Unión Europea para la Ciberseguridad (ENISA) ha alertado en sus informes recientes sobre el aumento de ciberataques dirigidos precisamente a proveedores y socios tecnológicos, en los que la organización objetivo termina comprometida a través de un tercero en el que confiaba. Cuando un porcentaje muy alto del sector financiero de un país depende de dos o tres proveedores cloud globales, un incidente grave en uno de ellos podría tener un efecto en cadena sobre múltiples bancos a la vez — precisamente el tipo de riesgo sistémico que DORA busca anticipar y mitigar.
Cómo se traduce esto en la práctica bancaria
Los modelos híbridos y multicloud —que ya mencionaba la versión anterior de este artículo como una simple opción técnica— se han convertido en 2026 en una estrategia de mitigación de riesgo regulatorio, no solo en una elección de arquitectura: combinar varios proveedores permite a un banco reducir su dependencia de uno solo y cumplir mejor con las exigencias de DORA sobre concentración de riesgo. La mayoría de organizaciones que operan en sectores regulados en España continúa aumentando su inversión en cloud mientras apuesta, cada vez con más frecuencia, por estas arquitecturas híbridas que combinan flexibilidad con resiliencia.
Open Banking: la nube como infraestructura de un ecosistema, no de una sola entidad
El vínculo entre la nube y el Open Banking que planteaba el artículo original sigue siendo válido y, si acaso, más relevante ahora: para que un usuario pueda compartir de forma segura su información financiera entre distintas entidades y plataformas autorizadas, se necesita una infraestructura capaz de conectar sistemas de múltiples empresas en tiempo real a través de APIs. Bajo DORA, esta interconexión también debe ser auditable: cada conexión entre sistemas es, potencialmente, un nuevo punto de riesgo de terceros que las entidades deben documentar y justificar.
Lo que este cambio significa para el futuro del sector
A mi juicio, lo más interesante del panorama de 2026 no es que la nube siga creciendo —eso era previsible—, sino que su crecimiento ya no se mide solo en eficiencia y ahorro de costes, sino en la capacidad de una entidad financiera para demostrar control sobre su propia infraestructura crítica. Esto cambia el criterio de selección de proveedor: ya no gana automáticamente quien ofrece mejor precio o mayor capacidad de cómputo, sino quien además facilita a la entidad financiera cumplir con un marco regulatorio cada vez más exigente. Es probable que esta tendencia —hacia una nube más auditable, más soberana en ciertos aspectos, y más diversificada entre proveedores— se acelere durante los próximos años, no porque la tecnología lo exija, sino porque la regulación europea lo está forzando activamente.
Hacia dónde va todo esto
La computación en la nube seguirá siendo la infraestructura invisible sobre la que se construye buena parte de la banca digital, pero el marco en el que opera ha cambiado de forma sustancial: de una herramienta de eficiencia técnica a un elemento de riesgo sistémico regulado al detalle por marcos como DORA y NIS2. Para el usuario final, esto se traduce en algo positivo, aunque poco visible: cada vez que tu banco puede explicar con precisión dónde están tus datos y qué pasaría si un proveedor fallara, es —al menos en parte— gracias a esta nueva exigencia regulatoria que ha entrado en vigor en los últimos dos años.
Fuentes: Computing.es, ACKstorm, Bankinter (Blog Empresas), Estrategias de Inversión (T-Systems Iberia), TechConsulting, El Ecosistema Startup.