Przez lata dyskusja o chmurze obliczeniowej koncentrowa\u0142a si\u0119 niemal wy\u0142\u0105cznie na warstwie technicznej i ekonomicznej. Suwerenno\u015b\u0107 danych \u2013 czyli kwestia prawnej i operacyjnej kontroli nad zasobami \u2013 nie tyle by\u0142a problemem niejednoznacznym, co po prostu drugoplanowym. Dop\u00f3ki systemy dzia\u0142a\u0142y sprawnie, a centra danych znajdowa\u0142y si\u0119 fizycznie w Europie, rzadko wnikano w to, jakiej jurysdykcji podlega dostawca us\u0142ugi.<\/p>\n\n\n\n
Ten okres „milcz\u0105cej zgody” dobiega jednak ko\u0144ca. Komisja Europejska, publikuj\u0105c Cloud Sovereignty Framework, ko\u0144czy etap, w kt\u00f3rym suwerenno\u015b\u0107 by\u0142a kwesti\u0105 jedynie deklaratywn\u0105. Dokument ten, stworzony na potrzeby unijnych przetarg\u00f3w (Cloud III DPS), wymusza powr\u00f3t do pyta\u0144, kt\u00f3re przez lata spychano na margines. Od 2025 roku nowe poj\u0119cia \u2013 SOV (cele suwerenno\u015bci) i SEAL (poziomy pewno\u015bci) \u2013 stan\u0105 si\u0119 twardym wymogiem w kontraktach publicznych, a wkr\u00f3tce prawdopodobnie rynkowym standardem weryfikacji dostawc\u00f3w.<\/p>\n\n\n\n
Poni\u017cej analizujemy, jak ten mechanizm dzia\u0142a w praktyce i dlaczego wp\u0142ynie on na spos\u00f3b kontraktowania us\u0142ug IT nie tylko w administracji.<\/p>\n\n\n\n\n\n\n\n
Przez wiele lat chmura by\u0142a przede wszystkim narz\u0119dziem optymalizacji. Migracje nap\u0119dza\u0142y potrzeby automatyzacji i skalowalno\u015bci. Dzi\u015b ta perspektywa zmienia si\u0119 fundamentalnie pod wp\u0142ywem trzech czynnik\u00f3w:<\/p>\n\n\n\n
Czym w praktyce jest ten Framework? Cloud Sovereignty Framework to sformalizowany system oceny us\u0142ug chmurowych, stworzony na potrzeby unijnego systemu zakupowego Cloud III Dynamic Purchasing System (DPS)<\/strong>. Jego zadaniem jest ujednolicenie sposobu, w jaki instytucje UE definiuj\u0105 swoje wymagania bezpiecze\u0144stwa w przetargach. Zamiast og\u00f3lnych hase\u0142 o „lokalizacji danych”, CSF wprowadza mierzalne parametry. Dokument ten definiuje konkretne cele suwerenno\u015bci (Sovereignty Objectives \u2013 SOV) oraz poziomy pewno\u015bci (SEAL), kt\u00f3re musz\u0105 zosta\u0107 spe\u0142nione przez dostawc\u00f3w startuj\u0105cych w post\u0119powaniach.<\/p>\n\n\n\n Cho\u0107 Framework zosta\u0142 stworzony z my\u015bl\u0105 o instytucjach unijnych, jego wprowadzenie w 2025 roku ma szersze implikacje. Wp\u0142ywa on bezpo\u015brednio na konstrukcj\u0119 kontrakt\u00f3w IT: wymusza na zamawiaj\u0105cych precyzyjne okre\u015blenie poziomu kontroli nad danymi, a na dostawcach \u2013 transparentne udokumentowanie \u0142a\u0144cucha dostaw i podleg\u0142o\u015bci prawnej. W efekcie, standard ten zaczyna pe\u0142ni\u0107 rol\u0119 rynkowego punktu odniesienia (benchmarku) r\u00f3wnie\u017c dla sektora regulowanego i prywatnego, porz\u0105dkuj\u0105c relacje na linii klient\u2013dostawca chmury.<\/p>\n\n\n\n Cloud Sovereignty Framework zmienia podej\u015bcie do weryfikacji dostawc\u00f3w. Zamiast binarnej oceny (spe\u0142nia\/nie spe\u0142nia), wprowadza on system stopniowania suwerenno\u015bci oparty na dw\u00f3ch filarach – SOV i SEAL.<\/p>\n\n\n\n To kompleksowy zestaw kryteri\u00f3w, kt\u00f3ry pozwala oceni\u0107 chmur\u0119 nie tylko jako us\u0142ug\u0119 technologiczn\u0105, ale jako element strategicznej infrastruktury cyfrowej Europy. Dokument wyr\u00f3\u017cnia osiem obszar\u00f3w (SOV), w kt\u00f3rych us\u0142uga chmurowa poddawana jest analizie. Ramy te obejmuj\u0105 kwestie:<\/p>\n\n\n\n Ka\u017cdy z powy\u017cszych cel\u00f3w oceniany jest w skali SEAL od 0 do 4<\/strong>. To kluczowy mechanizm przetargowy:<\/p>\n\n\n\n W praktyce przetargowej okre\u015blony poziom SEAL (np. minimum SEAL 3 dla danych osobowych) dzia\u0142a jak filtr wst\u0119pny. Dostawca, kt\u00f3ry nie spe\u0142nia tego wymogu w konkretnym obszarze SOV, nie mo\u017ce ubiega\u0107 si\u0119 o kontrakt, niezale\u017cnie od atrakcyjno\u015bci cenowej oferty.<\/p>\n\n\n\n Uzupe\u0142nieniem modelu jest Sovereignty Score \u2013 mechanizm punktacji, kt\u00f3ry agreguje oceny z poszczeg\u00f3lnych obszar\u00f3w SOV. Umo\u017cliwia to zamawiaj\u0105cym por\u00f3wnywanie ofert w ustandaryzowany spos\u00f3b.<\/p>\n\n\n\n Wprowadzenie punktacji zmienia charakter negocjacji. Zapewnienia o bezpiecze\u0144stwie przestaj\u0105 by\u0107 kwesti\u0105 deklaratywn\u0105, a staj\u0105 si\u0119 mierzalnym parametrem, kt\u00f3ry mo\u017cna zestawi\u0107 z cen\u0105 czy poziomem SLA.<\/p>\n\n\n\n Znaczenie suwerenno\u015bci chmurowej zacz\u0119\u0142o rosn\u0105\u0107 wraz ze \u015bwiadomo\u015bci\u0105, \u017ce sama lokalizacja zasob\u00f3w w europejskich centrach danych nie zawsze przes\u0105dza o pe\u0142nej kontroli nad nimi. W coraz bardziej z\u0142o\u017conym otoczeniu geopolitycznym i prawnym kluczowa staje si\u0119 nie tylko kwestia tego, gdzie dane s\u0105 przechowywane, ale tak\u017ce kto i na jakich zasadach mo\u017ce mie\u0107 do nich dost\u0119p.<\/p>\n\n\n\n R\u00f3wnolegle globalni hiperskalerzy skupiaj\u0105 w swoich r\u0119kach ponad 80% rynku us\u0142ug IaaS i PaaS, co sk\u0142ania wiele organizacji do refleksji nad d\u0142ugoterminowymi skutkami takiej koncentracji – od ryzyka uzale\u017cnienia technologicznego po ograniczon\u0105 elastyczno\u015b\u0107 wyboru dostawc\u00f3w.<\/p>\n\n\n\n Istotn\u0105 rol\u0119 odgrywaj\u0105 r\u00f3wnie\u017c regulacje, takie jak NIS2, DORA, AI Act czy Data Act. Przesuwaj\u0105 punkt ci\u0119\u017cko\u015bci z deklarowanej zgodno\u015bci na rzeczywist\u0105, mo\u017cliw\u0105 do zweryfikowania kontrol\u0119 operacyjn\u0105 nad danymi, infrastruktur\u0105 i procesami.<\/p>\n\n\n\n Rozw\u00f3j sztucznej inteligencji dodatkowo wzmacnia t\u0119 zmian\u0119. Dane i modele staj\u0105 si\u0119 zasobami strategicznymi, co przesuwa europejsk\u0105 debat\u0119 z pytania \u201eczy chmura jest bezpieczna?\u201d na znacznie bardziej konkretne: \u201ekto i na jakich zasadach sprawuje nad ni\u0105 faktyczn\u0105 kontrol\u0119?\u201d.<\/p>\n\n\n\n Implementacja Cloud Sovereignty Framework w sektorze publicznym prawdopodobnie wp\u0142ynie na standardy obowi\u0105zuj\u0105ce na ca\u0142ym rynku IT. Nale\u017cy spodziewa\u0107 si\u0119 nast\u0119puj\u0105cych zmian:<\/p>\n\n\n\n Cloud Sovereignty Framework to przej\u015bcie od teoretycznych dyskusji o cyfrowej niezale\u017cno\u015bci do etapu wdro\u017ceniowego. Dla os\u00f3b odpowiedzialnych za zakupy technologii i strategi\u0119 IT oznacza to konieczno\u015b\u0107 aktualizacji wiedzy i proces\u00f3w. Suwerenno\u015b\u0107 danych staje si\u0119 parametrem technicznym, kt\u00f3ry nale\u017cy uwzgl\u0119dnia\u0107 w specyfikacjach i umowach na r\u00f3wni z wydajno\u015bci\u0105 czy dost\u0119pno\u015bci\u0105 us\u0142ug.<\/p>\n\n\n\n Co dalej?<\/strong> W kolejnych materia\u0142ach przyjrzymy si\u0119 szczeg\u00f3\u0142owo ka\u017cdemu z 8 obszar\u00f3w SOV, analizuj\u0105c, w jaki spos\u00f3b organizacje mog\u0105 przygotowa\u0107 si\u0119 do nowych wymog\u00f3w i jak skutecznie weryfikowa\u0107 deklaracje dostawc\u00f3w.<\/p>\n\n\n\nKogo dotyczy Cloud Sovereignty Framework?<\/strong><\/h2>\n\n\n\n
Jak dzia\u0142a mechanizm oceny: SOV i SEAL<\/h2>\n\n\n\n
SOV: Cele Suwerenno\u015bci (Sovereignty Objectives)<\/h3>\n\n\n\n
\n
SEAL: Poziomy Pewno\u015bci (Sovereignty Effectiveness Assurance Levels)<\/h3>\n\n\n\n
\n
Sovereignty Score: Kwantyfikacja zaufania<\/h3>\n\n\n\n
Sk\u0105d potrzeba tak szczeg\u00f3\u0142owych standard\u00f3w?<\/strong><\/h2>\n\n\n\n
Konsekwencje dla rynku technologicznego<\/h2>\n\n\n\n
\n
Podsumowanie<\/h2>\n\n\n\n
FAQ<\/h2>\n\n\n\n
\n
Cloud Sovereignty Framework to opracowany przez Komisj\u0119 Europejsk\u0105 zestaw zasad i kryteri\u00f3w s\u0142u\u017c\u0105cych do oceny poziomu suwerenno\u015bci us\u0142ug chmurowych. Dokument zosta\u0142 przygotowany na potrzeby unijnego systemu zakupowego Cloud III DPS i definiuje, w jaki spos\u00f3b instytucje publiczne powinny weryfikowa\u0107 kontrol\u0119 nad danymi, operacjami i technologi\u0105 wykorzystywan\u0105 w chmurze.
<\/li>\n\n\n\n
<\/strong>Suwerenno\u015b\u0107 chmurowa oznacza realn\u0105, a nie deklaratywn\u0105 kontrol\u0119 nad danymi, infrastruktur\u0105 i procesami operacyjnymi. Obejmuje\u00a0m.in<\/a>. jurysdykcj\u0119 prawn\u0105 dostawcy, struktur\u0119 w\u0142a\u015bcicielsk\u0105, mo\u017cliwo\u015b\u0107 ingerencji pa\u0144stw trzecich oraz to, kto faktycznie zarz\u0105dza systemami i ma dost\u0119p do danych.
<\/li>\n\n\n\n
<\/strong>SOV, czyli Cele Suwerenno\u015bci, to osiem obszar\u00f3w oceny us\u0142ug chmurowych zdefiniowanych w Cloud Sovereignty Framework. Obejmuj\u0105\u00a0m.in<\/a>. kwestie prawne, w\u0142asno\u015bciowe, operacyjne, technologiczne, \u0142a\u0144cuch dostaw, bezpiecze\u0144stwo oraz odporno\u015b\u0107 infrastruktury. Ka\u017cdy obszar analizuje inny aspekt kontroli i niezale\u017cno\u015bci chmury.
<\/li>\n\n\n\n
<\/strong>SEAL to skala, kt\u00f3ra okre\u015bla stopie\u0144 spe\u0142nienia wymaga\u0144 suwerenno\u015bci dla danego celu SOV. Skala obejmuje poziomy od 0 do 4, gdzie wy\u017cszy poziom oznacza wi\u0119ksz\u0105 kontrol\u0119 europejsk\u0105 nad danymi, operacjami i technologi\u0105. SEAL jest kluczowym mechanizmem kwalifikuj\u0105cym dostawc\u00f3w w przetargach.
<\/li>\n\n\n\n
<\/strong>SEAL 0 oznacza rozwi\u0105zania w pe\u0142ni zale\u017cne od podmiot\u00f3w spoza Europejskiego Obszaru Gospodarczego, bez gwarancji suwerenno\u015bci. SEAL 3 i SEAL 4 oznaczaj\u0105 wysoki lub pe\u0142ny poziom kontroli europejskiej \u2013 cz\u0119sto wymagany dla danych osobowych, informacji wra\u017cliwych lub system\u00f3w krytycznych w sektorze publicznym i regulowanym.
<\/li>\n\n\n\n
<\/strong>Nie. Cloud Sovereignty Framework jasno wskazuje, \u017ce sama lokalizacja centr\u00f3w danych w Unii Europejskiej nie przes\u0105dza o suwerenno\u015bci. Kluczowe znaczenie ma to, jakiej jurysdykcji podlega dostawca, kto zarz\u0105dza infrastruktur\u0105 oraz czy istnieje ryzyko dost\u0119pu do danych przez podmioty spoza UE.
<\/li>\n\n\n\n
<\/strong>Formalnie Cloud Sovereignty Framework dotyczy instytucji unijnych korzystaj\u0105cych z Cloud III DPS. W praktyce jednak jego wdro\u017cenie wp\u0142ywa na ca\u0142y rynek IT, w szczeg\u00f3lno\u015bci na sektor publiczny, sektor regulowany (finanse, energetyka, telekomunikacja) oraz organizacje przetwarzaj\u0105ce dane wra\u017cliwe.<\/li>\n\n\n\n
<\/strong>Cloud Sovereignty Framework\u00a0zmienia spos\u00f3b formu\u0142owania wymaga\u0144 przetargowych. Zamiast og\u00f3lnych zapis\u00f3w o lokalizacji danych, zamawiaj\u0105cy okre\u015blaj\u0105 minimalne poziomy SEAL dla konkretnych obszar\u00f3w SOV. Dostawcy, kt\u00f3rzy nie spe\u0142ni\u0105 tych wymog\u00f3w, s\u0105 wykluczani niezale\u017cnie od ceny czy parametr\u00f3w technicznych.
<\/li>\n\n\n\n
<\/strong>Sovereignty Score to mechanizm punktowy, kt\u00f3ry agreguje oceny z poszczeg\u00f3lnych obszar\u00f3w SOV. Umo\u017cliwia on por\u00f3wnywanie ofert chmurowych w spos\u00f3b ustandaryzowany, podobnie jak por\u00f3wnuje si\u0119 cen\u0119, SLA czy parametry wydajno\u015bciowe.
<\/li>\n\n\n\n
<\/strong>Framework uzupe\u0142nia istniej\u0105ce regulacje, koncentruj\u0105c si\u0119 na praktycznej weryfikacji kontroli nad danymi i infrastruktur\u0105. Podczas gdy NIS2, DORA czy AI Act definiuj\u0105 obowi\u0105zki regulacyjne, CSF dostarcza narz\u0119dzi do ich egzekwowania na poziomie kontrakt\u00f3w chmurowych.
<\/li>\n\n\n\n
<\/strong>Po\u015brednio tak. Wiele organizacji prywatnych przyjmuje standardy sektora publicznego jako punkt odniesienia, zw\u0142aszcza w obszarach compliance, bezpiecze\u0144stwa i zarz\u0105dzania ryzykiem. CSF staje si\u0119 wi\u0119c rynkowym benchmarkiem tak\u017ce poza administracj\u0105.
<\/li>\n\n\n\n
<\/strong>Pierwszym krokiem jest audyt obecnych us\u0142ug chmurowych pod k\u0105tem jurysdykcji, struktury w\u0142a\u015bcicielskiej dostawcy, \u0142a\u0144cucha dostaw i modelu operacyjnego. Nast\u0119pnie warto zdefiniowa\u0107 minimalne poziomy SEAL wymagane dla poszczeg\u00f3lnych typ\u00f3w danych i system\u00f3w.<\/li>\n<\/ol>\n\n\n