Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa weszła w życie na początku kwietnia tego roku. Z dnia na dzień hasło „chcemy mieć dane w Europie” przestało być deklaracją wartości, a stało się pozycją w analizie ryzyka, za którą — w przypadku podmiotów kluczowych i ważnych — osobiście odpowiada zarząd. W tym samym czasie rynek zalała fala ofert opisywanych jako „europejskie”, „suwerenne” i „prywatne”. Brzmią podobnie, ale kryją się za nimi bardzo różne rzeczy. I właśnie ta różnica zaczyna decydować o tym, kto wygra rozmowę z klientem.

Suwerenność ma poziomy

Suwerenność nie jest przełącznikiem w pozycji „włączone/wyłączone”. To gradient, bo najniższy poziom to po prostu dane przechowywane w regionie na terenie UE. A to w praktyce nadal może oznaczać sprzęt należący do zagranicznego dostawcy, w jego centrum danych, zarządzany przez jego personel i podlegający jego polityce korporacyjnej. Wyżej jest kontrola operacyjna: operacje i ludzie po stronie europejskiej, przejrzysty łańcuch dostaw oprogramowania, niezależność od podmiotów z państw trzecich. A na samym szczycie — pełna kontrola nad infrastrukturą, jej lokalizacją i tym, kto w świetle prawa może uzyskać do niej dostęp.

Większość „chmur europejskich” zatrzymuje się na najniższym szczeblu. Etykieta mówi „Europa”, ale fundament — serwery, na których wszystko działa — należy do kogoś innego i podlega cudzej jurysdykcji. Dopóki nic się nie dzieje, różnica jest niewidoczna. Staje się boleśnie widoczna w momencie kontroli, audytu ubezpieczyciela albo żądania wydania danych na podstawie przepisów eksterytorialnych, takich jak CLOUD Act.

Warstwa, która rozstrzyga: własny sprzęt

To dlatego najważniejsza linia podziału przebiega nie na poziomie marketingu, lecz na poziomie sprzętu. Kto jest jego właścicielem? Gdzie fizycznie stoi? Kto — i na podstawie czyjego prawa — może zostać zmuszony do udostępnienia tego, co się na nim znajduje?

Model, w którym suwerenna platforma IaaS uruchamiana jest na serwerach klasy enterprise będących własnością klienta, odpowiada na te pytania jednoznacznie. Klucze trzyma operator i jego klient, a nie pośrednik. Dane nie „mieszkają w Europie” — one „mieszkają” na sprzęcie, którego właściciel jest znany z imienia i nazwiska, w lokalizacji, którą sam wskazał. To różnica między suwerennością deklarowaną a suwerennością, którą można zweryfikować.