Las scaleups españolas mejor posicionadas para capitalizar el cloud soberano, el EU Data Act y la demanda enterprise de control de datos en 2026
La soberanía digital ha dejado de ser un concepto de política pública para convertirse en un criterio de compra. Directorios de IT en banca, sanidad, defensa y sector público español exigen hoy saber dónde están sus datos, quién puede acceder a ellos y bajo qué jurisdicción. Este contexto ha creado una oportunidad real para las startups y scaleups españolas con producto en infraestructura cloud, gestión de datos y observabilidad.
- Qué mide este ranking: capacidad de resolver soberanía de datos, cloud distribuido e integración en entornos enterprise regulados.
- Quiénes compiten: 10 startups y scaleups españolas con trayectoria verificada en B2B y presencia internacional.
- Cifra clave: el mercado europeo de cloud soberano alcanzará 106.000 millones de euros en 2028, según estimaciones de Capgemini Research Institute.
- Por qué ahora: la entrada en vigor del EU Data Act, el AI Act y el impulso del Reglamento DORA obligan a empresas financieras y sanitarias a rediseñar su arquitectura de datos antes de 2026.
- Estado del ecosistema: España cuenta con al menos ocho empresas con producto propio en este espacio —no solo integradoras— que facturan o tienen contratos enterprise activos.
¿Por qué este ranking importa?
El cloud soberano no es una moda: es una respuesta a regulación concreta. El EU Data Act, vigente desde septiembre de 2025, y el AI Act establecen requisitos explícitos sobre localización, acceso y portabilidad de datos. El Reglamento DORA (Digital Operational Resilience Act), de aplicación obligatoria para entidades financieras desde enero de 2025, obliga a documentar cada proveedor de servicios TIC con acceso a datos críticos.
En este contexto, las empresas que ofrecen infraestructura de datos con despliegue europeo, auditoría y control granular han pasado de ser «opción alternativa» a «requisito de cumplimiento». Según el informe Cloud Trends 2026 de Wavestone, el 67% de las grandes empresas europeas tiene ya un proyecto activo de «cloud repatriation» o de despliegue en nubes regionales certificadas.
España acumula un ecosistema de empresas que, sin haber nacido bajo el paraguas del cloud soberano como concepto de marketing, llevan años resolviendo exactamente esos problemas: integración de datos distribuidos, observabilidad en tiempo real, virtualización semántica y gestión de datos no estructurados. Este ranking identifica cuáles están mejor posicionadas para capitalizar la oleada regulatoria de 2026.
Metodología
Las diez empresas de este ranking se ordenan según cinco criterios ponderados, todos con base en información pública:
- Base de clientes enterprise y sectores regulados (peso 30%): presencia verificada en banca, seguros, sanidad, defensa o sector público, donde la soberanía de datos es un requisito contractual.
- Capacidad de despliegue europeo o on-premise (peso 25%): producto desplegable en infraestructura propia del cliente o en regiones cloud certificadas europeas, sin dependencia exclusiva de hiperescalares estadounidenses.
- Financiación y respaldo inversor (peso 20%): capital captado hasta diciembre de 2025 como señal de tracción y capacidad de escalar.
- Adopción de estándares y posicionamiento regulatorio (peso 15%): alineamiento con GAIA-X, ISO 27001, ENS (Esquema Nacional de Seguridad) u otros marcos de referencia europeos.
- Presencia internacional y crecimiento de equipo (peso 10%): oficinas fuera de España, clientes en más de cinco países, señal de producto exportable.
Disclaimer: este ranking refleja la situación documentada hasta julio de 2026. El ecosistema evoluciona rápidamente; posiciones pueden cambiar en función de rondas, adquisiciones o lanzamientos de producto no anunciados en el momento de publicación.
El Top 10: startups y scaleups españolas en soberanía digital y cloud
1. Denodo
Denodo es la empresa española con producto más directamente alineado con soberanía de datos. Su plataforma de virtualización de datos permite a las organizaciones acceder y gobernar datos distribuidos —en cloud, on-premise o entornos híbridos— sin necesidad de moverlos físicamente. Fundada en 1999 en Madrid, tiene oficinas en San Mateo (California), Londres, Tokio y Singapur.
Clientes en banca, aseguradoras y administraciones públicas de Europa y América la utilizan precisamente porque permite mantener datos en su jurisdicción original mientras se construye una capa lógica unificada. En 2022 captó 336 millones de dólares en una ronda de crecimiento liderada por Vista Equity Partners. Su facturación anual recurrente supera los 100 millones de dólares según datos públicos de la compañía. Es la única española en el cuadrante de líderes de Gartner para Data Integration Tools (2024).
USP clave: desmaterialización del dato —el dato no se mueve, se accede— lo que resuelve de raíz el problema de residencia de datos exigido por el EU Data Act.
2. Devo
Devo opera en el espacio de observabilidad y análisis de seguridad (SIEM, Security Information and Event Management) con una arquitectura cloud-native diseñada para ingerir y analizar volúmenes masivos de logs en tiempo real. Fundada en Madrid en 2011 —bajo el nombre Logtrust, rebautizada en 2018—, tiene su sede operativa en Cambridge, Massachusetts, pero mantiene presencia e ingeniería en España.
Su diferencial en el contexto de soberanía digital es técnico: la plataforma permite despliegues en nubes regionales europeas y mantiene separación estricta entre datos de distintos clientes (multi-tenant aislado). Clientes en defensa, banca y telecomunicaciones europeas la eligen por la capacidad de cumplir con marcos como NIS2 y DORA sin comprometer el rendimiento analítico. Captó 250 millones de dólares en Serie D en 2021 con participación de Georgian y Bessemer Venture Partners.
USP clave: análisis de seguridad a escala con aislamiento de datos por cliente, crítico para entidades financieras bajo DORA.
🌐 devo.com
3. Stratio
Stratio construye plataformas de datos e inteligencia artificial para empresas enterprise con despliegue en infraestructura propia o cloud privado. Fundada en Madrid en 2012, se posiciona como alternativa a los grandes stacks de datos de hiperescalares con un modelo donde el cliente conserva el control total del entorno.
Su producto GenAI Enterprise permite desplegar modelos de lenguaje grandes (LLM) dentro del perímetro del cliente, sin que datos confidenciales salgan a APIs externas. Este enfoque es especialmente relevante para banca y sanidad, donde compartir datos con proveedores externos tiene restricciones legales. Trabaja con clientes como Banco Santander y varias aseguradoras europeas. El equipo supera las 400 personas, con operaciones en Europa y Latinoamérica.
USP clave: GenAI soberana —el modelo de IA se ejecuta dentro del firewall del cliente, con datos que nunca salen del perímetro corporativo.
4. Carto
Carto es la plataforma de análisis geoespacial cloud-native de referencia en el ecosistema español. Fundada en Madrid en 2012, permite a empresas analizar datos de localización a escala sin necesidad de exportarlos a sistemas externos. Su arquitectura está construida sobre los propios almacenes de datos del cliente (BigQuery, Snowflake, Databricks), lo que significa que los datos nunca abandonan el entorno controlado del cliente.
Este modelo —denominado «cloud-native analytics»— es intrínsecamente compatible con los requisitos de residencia de datos de GDPR y el EU Data Act. Clientes en retail, logística, banca y administraciones públicas europeas lo utilizan para inteligencia de localización con cumplimiento garantizado. Captó 61 millones de dólares en Serie C en 2021. Tiene oficinas en Madrid, Nueva York y Londres, con más de 250 empleados.
USP clave: análisis geoespacial ejecutado donde viven los datos del cliente, sin movimiento ni copia de información sensible.
5. Quibim
Quibim es una empresa valenciana de inteligencia artificial aplicada a imagen médica (radiología, oncología, neurología). Su plataforma QP-Insights extrae biomarcadores cuantitativos de pruebas de imagen —TAC, MRI, PET— para apoyar decisiones clínicas y ensayos clínicos.
La relevancia en soberanía digital es doble: trabaja con datos de pacientes, sometidos a las restricciones más estrictas de GDPR y la normativa sanitaria española y europea; y ofrece despliegue en infraestructura hospitalaria propia o en nubes europeas certificadas. Colabora con hospitales de Reino Unido, Alemania, Italia y España, así como con farmacéuticas en ensayos clínicos globales. Fue seleccionada por la Comisión Europea para varios proyectos del programa Horizonte Europa relacionados con datos de salud. Superó los 50 empleados en 2024.
USP clave: IA médica con despliegue soberano en entorno hospitalario, cumpliendo MDR (Medical Device Regulation) europeo y GDPR de datos sanitarios.
6. Red Points
Red Points protege marcas e intellectual property (IP) en el entorno digital: detecta y elimina contenido falsificado, piratería y uso no autorizado de marca en marketplaces, redes sociales y tiendas online. Fundada en Barcelona en 2011, opera en más de 100 países con clientes enterprise como New Balance, Segway o Harley-Davidson.
Su conexión con soberanía digital es la gestión de datos de monitorización: la plataforma procesa volúmenes masivos de información sobre infractores, listados y transacciones, y permite a las empresas configurar dónde se almacena y procesa esa información según su política interna o normativa sectorial. Captó 38 millones de dólares en Serie C en 2021. Supera los 300 empleados con oficinas en Barcelona, Nueva York, Beijing y Salt Lake City.
USP clave: protección de marca con control de datos de inteligencia —las empresas deciden qué información retiene Red Points y bajo qué jurisdicción.
7. Factorial
Factorial es la plataforma de recursos humanos (HR) más financiada del ecosistema startup español. Fundada en Barcelona en 2016, gestiona datos de empleados —nóminas, contratos, ausencias, evaluaciones— de más de 3.000 empresas en Europa y Latinoamérica.
Los datos de RR.HH. están entre los más sensibles bajo GDPR: incluyen información laboral, salarial, de salud y situación personal. Factorial ofrece despliegue con residencia de datos en Europa (AWS eu-west) y cumplimiento con las normativas laborales locales de cada país en el que opera. En 2022 cerró una ronda de 120 millones de euros con Tiger Global, lo que la convirtió en la mayor ronda de una HR-tech española. Supera los 1.000 empleados.
USP clave: HR cloud con arquitectura de datos europea y cumplimiento multijurisdiccional, relevante para empresas con plantillas distribuidas en la UE.
8. Onna
Onna resuelve uno de los problemas más complejos de la soberanía de datos corporativos: la integración y búsqueda de datos no estructurados dispersos en múltiples aplicaciones SaaS (Slack, Google Workspace, Microsoft 365, Dropbox, Salesforce). Fundada en Barcelona en 2015, su plataforma conecta estas fuentes y permite búsqueda, auditoría y eDiscovery sin necesidad de mover datos a un repositorio centralizado.
Este enfoque —federado, sin copia— es relevante para cumplimiento legal, procesos de due diligence y auditorías regulatorias donde las empresas necesitan acceso a información histórica sin comprometer la arquitectura de datos existente. Clientes en firmas legales, servicios financieros y tecnología en EE.UU. y Europa. Captó 27 millones de dólares en Serie B en 2021 con participación de Slack Fund.
USP clave: acceso federado a datos SaaS corporativos para cumplimiento y eDiscovery, sin duplicar ni mover información sensible.
🌐 onna.com
9. Tappx
Tappx opera en el ecosistema de publicidad digital programática con un enfoque diferencial en privacidad y datos propios (first-party data). Fundada en Barcelona en 2012, su plataforma tecnológica permite a publishers y anunciantes ejecutar campañas sin depender de cookies de terceros ni de identificadores cross-site, en línea con los requisitos del Digital Markets Act (DMA) europeo.
En un mercado donde Google y Meta dominan el adtech con arquitecturas opacas, Tappx ofrece a sus clientes europeos un stack de publicidad con transparencia en el uso de datos y conformidad con GDPR. Trabaja con más de 15.000 publishers y tiene presencia en más de 20 países. Su facturación supera los 40 millones de euros anuales según datos públicos de la compañía.
USP clave: adtech europeo cookieless con control de datos propios, alternativa conforme a DMA y GDPR para anunciantes que necesitan transparencia.
10. Walls.io
Walls.io es una plataforma austriaco-española de agregación y visualización de contenido social para eventos, marketing y comunicación corporativa. Aunque su perfil es menos técnico que el resto del ranking, su inclusión responde a un criterio específico: gestión de datos de redes sociales con cumplimiento europeo.
Procesa contenido generado por usuarios de plataformas como X (Twitter), Instagram y LinkedIn, almacenando y tratando esos datos con servidores en Europa y documentación de cumplimiento GDPR. Para eventos corporativos y administraciones públicas que necesitan integrar contenido social sin exponerse a transferencias de datos fuera de la UE, representa una alternativa conforme. Supera los 10.000 clientes activos.
USP clave: agregación de contenido social con procesamiento en servidores europeos, relevante para organismos públicos y eventos con restricciones de datos.
🌐 walls.io
Tabla comparativa
| Posición | Empresa | Sector | Financiación acumulada | Año fundación | Despliegue soberano |
|---|---|---|---|---|---|
| 1 | Denodo | Virtualización de datos | 336 M$ (ronda 2022) | 1999 | On-premise, multi-cloud EU |
| 2 | Devo | Observabilidad / SIEM | ~400 M$ acumulados | 2011 | Cloud-native, regiones EU |
| 3 | Stratio | Datos e IA enterprise | No divulgada | 2012 | On-premise, cloud privado |
| 4 | Carto | Análisis geoespacial | 61 M$ (Serie C, 2021) | 2012 | Ejecución en data warehouse del cliente |
| 5 | Quibim | IA médica / imagen | No divulgada (Horizonte Europa) | 2015 | Hospitalario, cloud EU certificado |
| 6 | Red Points | Protección de marca / IP | 38 M$ (Serie C, 2021) | 2011 | Configurable por cliente |
| 7 | Factorial | HR SaaS | 120 M€ (ronda 2022) | 2016 | AWS eu-west, GDPR multijurisdiccional |
| 8 | Onna | Gestión datos SaaS / eDiscovery | 27 M$ (Serie B, 2021) | 2015 | Federado, sin copia de datos |
| 9 | Tappx | AdTech / publicidad digital | No divulgada | 2012 | Stack europeo, cookieless |
| 10 | Walls.io | Contenido social corporativo | No divulgada | 2013 | Servidores europeos, GDPR |
Tendencias que emergen del ranking
El dato no se mueve: se accede. Cuatro de las diez empresas —Denodo, Carto, Onna y Stratio— basan su propuesta de valor en evitar que el dato se copie o traslade. Esta arquitectura «federada» o «in-place» no es solo una opción técnica: es la respuesta más directa al EU Data Act, que prohíbe la retención indebida de datos y exige portabilidad sin dependencia de proveedor.
Los sectores regulados lideran la adopción. Banca, sanidad y defensa aparecen como clientes primarios en siete de las diez empresas. No es coincidencia: son los sectores con mayor carga regulatoria (DORA, MDR, NIS2) y los que más presupuesto destinan a cumplimiento tecnológico. Las startups que no tenían estos verticales en su ICP (perfil de cliente ideal) hace tres años los están priorizando ahora.
La IA soberana es el nuevo front. Stratio con su GenAI Enterprise y Quibim con modelos médicos locales apuntan a una tendencia clara: los clientes enterprise no quieren enviar datos a APIs externas de OpenAI o Google para usar IA. La demanda de modelos desplegados dentro del perímetro corporativo crecerá conforme el AI Act establezca categorías de riesgo para sistemas de IA con datos sensibles.
¿Qué viene después?
El segundo semestre de 2026 traerá tres catalizadores concretos para este espacio:
- Implementación plena del EU Data Act: las obligaciones de portabilidad entre proveedores cloud entran en fase de supervisión activa. Las empresas que no puedan exportar datos desde un proveedor a otro en formato interoperable enfrentarán presión de sus clientes enterprise para resolverlo. Las startups con arquitecturas abiertas salen beneficiadas.
- Primera oleada de auditorías DORA: el Banco Central Europeo y los supervisores nacionales comenzarán auditorías formales del cumplimiento de DORA en entidades financieras. Esto generará demanda urgente de herramientas de observabilidad, registro de proveedores TIC y documentación de resiliencia —espacio donde Devo y Denodo compiten directamente.
- Expansión de GAIA-X: la iniciativa europea de infraestructura de datos GAIA-X avanza hacia casos de uso industriales concretos en automoción, energía y salud. Las startups que consigan certificación o integración con nodos GAIA-X tendrán ventaja competitiva en licitaciones europeas.
El riesgo para estas empresas es también real: los hiperescalares —AWS, Microsoft Azure, Google Cloud— están lanzando regiones cloud «soberanas» europeas con certificaciones locales. La competencia no vendrá solo de otras startups, sino de incumbentes con recursos casi ilimitados que adoptan el lenguaje de la soberanía como estrategia de marketing. La diferenciación de las españolas deberá mantenerse en la especialización vertical, la flexibilidad de despliegue y el conocimiento regulatorio local.
Preguntas Frecuentes
¿Qué es la soberanía digital en el contexto cloud?
La soberanía digital cloud es la capacidad de una organización de controlar dónde se almacenan y procesan sus datos, quién puede acceder a ellos y bajo qué marco legal. Incluye residencia de datos en jurisdicción conocida, auditoría de accesos por el proveedor y portabilidad sin dependencia de vendor. Es un requisito creciente en sectores como banca, sanidad y administración pública en Europa.
¿Por qué el EU Data Act afecta a las startups de datos españolas?
El EU Data Act, en vigor desde septiembre de 2025, establece obligaciones de portabilidad entre proveedores cloud, prohíbe cláusulas contractuales que impidan el cambio de proveedor y exige interoperabilidad técnica. Las startups que ofrecen arquitecturas abiertas o federadas —sin retención de datos del cliente— se benefician porque sus modelos ya eran conformes antes de que la norma entrara en vigor.
¿Qué es DORA y qué startups del ranking ayudan a cumplirlo?
DORA (Digital Operational Resilience Act) es un reglamento europeo aplicable a entidades financieras desde enero de 2025. Exige documentar todos los proveedores TIC con acceso a sistemas críticos, demostrar resiliencia operativa y registrar incidentes de seguridad. Del ranking, Devo (observabilidad y SIEM) y Denodo (gobierno de datos) son las más directamente posicionadas para ayudar a cumplirlo.
¿Cuál es la diferencia entre cloud soberano y cloud privado?
El cloud privado es infraestructura dedicada exclusivamente a un cliente, sin compartir recursos. El cloud soberano añade una dimensión legal y geopolítica: garantiza que los datos permanecen bajo la jurisdicción de un Estado concreto, con acceso auditable y sin transferencias a terceros países sin consentimiento. Un cloud privado en servidores de AWS en Irlanda no es automáticamente soberano si AWS puede acceder a esos datos bajo ley estadounidense.
¿Hay financiación pública disponible en España para proyectos de soberanía digital?
Sí. El Plan de Digitalización de las Administraciones Públicas 2021-2025 y los fondos Next Generation EU contemplan partidas para infraestructura de datos soberana en el sector público. El Centro de Excelencia en Inteligencia Artificial del Gobierno de España también financia proyectos de IA con datos locales. Las startups pueden acceder a estas líneas mediante licitaciones públicas o mediante la figura de «compra pública innovadora».
¿Qué es GAIA-X y cómo afecta al ecosistema startup español?
GAIA-X es una iniciativa lanzada por Francia y Alemania en 2020 para crear un ecosistema de datos e infraestructura cloud con estándares europeos de interoperabilidad, transparencia y portabilidad. Para las startups españolas, adherirse o certificarse en GAIA-X abre puertas a licitaciones en sectores industriales europeos. España participa a través de asociaciones como Spain Chapter de GAIA-X y entidades como Red.es.
Fuentes
- Wavestone — Cloud Trends Report 2026, wavestone.com
- Capgemini Research Institute — Cloud in Europe: Sovereignty and Resilience 2025-2028, capgemini.com
- Deloitte — Tech Trends 2026: Distributed Cloud and Data Governance, deloitte.com
- SEIDOR — Informe Cloud y Soberanía Digital en España 2026, seidor.com
- Gartner — Magic Quadrant for Data Integration Tools 2024, gartner.com
- Comisión Europea — EU Data Act (Reglamento 2023/2854), eur-lex.europa.eu
- Comisión Europea — Digital Operational Resilience Act (DORA) (Reglamento 2022/2554), eur-lex.europa.eu
- Crunchbase — perfiles de financiación de Denodo, Devo, Carto, Red Points, Factorial, Onna (datos a julio 2026), crunchbase.com
- GAIA-X Association — Factsheet 2025, gaia-x.eu
- El Referente — Startups españolas con mayor financiación 2025, elreferente.es
Fuentes
Este artículo también está disponible en nuestras redes sociales:
El post de LinkedIn está disponible inmediatamente. X, Instagram y Facebook se publican poco después.
