Suwerenność chmury przestała być przedmiotem debaty geopolitycznej, a stała się priorytetem operacyjnym dla europejskich przedsiębiorstw i rządów. Zależność od niewielkiej liczby globalnych dostawców, rozwój sztucznej inteligencji i wymogi regulacyjne sprawiły, że pojawiły się bardzo konkretne pytania: gdzie przetwarzane są dane, kto może uzyskać dostęp do systemów i w jakiej jurysdykcji działają. Samo wybranie regionu chmury już nie wystarcza; stawką jest skuteczna kontrola nad krytyczną infrastrukturą i usługami.
W Hiszpanii raport „Suwerenność cyfrowa: od ambicji politycznych do imperatywu wykonawczego ”, opracowany przez Capgemini Research Institute, odzwierciedla skalę wyzwania. 92% hiszpańskich organizacji jest w znacznym stopniu narażonych na suwerenność cyfrową, co stanowi wynik wyższy niż średnia światowa wynosząca 86%. Dla Sergio Torresa, dyrektora zarządzającego ds. usług infrastruktury chmurowej w Capgemini, celem nie jest eliminacja zależności, lecz rozsądne nią zarządzanie . Dodaje, że w hiperpołączonym ekosystemie suwerenność polega na budowaniu odpornej współzależności, a nie na izolowaniu się. Trzy na cztery hiszpańskie firmy podzielają to pragmatyczne podejście, a 58% postrzega suwerenność cyfrową przede wszystkim jako sposób na ograniczanie ryzyka i wzmacnianie ciągłości działania.
Zależność technologiczna pod lupą
Badanie stawia sztuczną inteligencję i chmurę w centrum tych nowych zależności. 75% hiszpańskich organizacji uważa sztuczną inteligencję za priorytet w swoich strategiach suwerenności cyfrowej, podczas gdy 65% wskazuje na przetwarzanie w chmurze. Jednocześnie 69% przyznaje się do polegania na międzynarodowych dostawcach usług chmurowych, a 61% na możliwościach sztucznej inteligencji. Torres ostrzega, że wyzwaniem jest nie tylko dostęp do tych technologii, ale także ich integracja w sposób zarządzalny: suwerenna chmura zapewnia transparentność, możliwość audytu i kontroli sztucznej inteligencji , ułatwiając przejście od projektów pilotażowych do wdrożeń o rzeczywistej wartości.
Możliwość reagowania na potencjalne zakłócenia ze strony strategicznego dostawcy zwiększa presję. W obszarach krytycznych, takich jak dane czy sztuczna inteligencja, 43% hiszpańskich organizacji potrzebowałoby ponad dwunastu miesięcy na zmianę głównego dostawcy. W przypadku sprzętu odsetek ten sięga 38%, a w cyberbezpieczeństwie – 36%. Dla Capgemini te dane pokazują, że odporność technologiczna nie może być traktowana jako prosty plan awaryjny, lecz musi być zaprojektowana od samego początku z uwzględnieniem przenośności i jasnych strategii wyjścia w ramach architektury.
Dane stają się najwrażliwszym zasobem. Ponad połowa hiszpańskich organizacji uważa, że zarządzanie danymi i ich przechowywanie stanowią największe zagrożenie dla ciągłości działania, wyprzedzając cyberbezpieczeństwo, łączność czy sprzęt. Co więcej, 55% dostrzega dużą koncentrację dostawców w tym obszarze. Problem pogłębia brak przejrzystości: tylko 14% firm posiada kompletne, bieżące mapowanie łańcucha dostaw technologii, 40% ma jedynie częściowy wgląd w swoich bezpośrednich dostawców, a co czwarta firma przyznaje się do braku formalnego zrozumienia ryzyka.
Obawy te przekładają się już na decyzje dotyczące ładu korporacyjnego. 59% hiszpańskich firm uważa suwerenność cyfrową za najwyższy priorytet swoich zarządów , co stanowi odsetek znacznie przekraczający średnią światową. Praktycznie wszystkie duże organizacje zajmują się tą kwestią w swoich organach zarządzających, a prawie połowa wdrożyła konkretną strategię. Coraz większą popularnością cieszy się idea minimalnej, realnej suwerenności cyfrowej : identyfikacji kluczowych zasobów, mapowania zależności i ochrony tego, co niezbędne, aby zagwarantować ciągłość. W rzeczywistości 76% firm uważa, że łączenie kluczowych technologii ze strategicznymi sojuszami jest bardziej praktyczne niż dążenie do uzyskania pełnej kontroli nad wszystkimi możliwościami.
Bruksela chce większych możliwości i własnych zasad.
Na poziomie europejskim Komisja Europejska dąży do co najmniej trzykrotnego zwiększenia mocy centrów danych w Unii w ciągu najbliższych pięciu do siedmiu lat poprzez proponowaną ustawę o rozwoju chmury obliczeniowej i sztucznej inteligencji (CADA). Plan ten zakłada zwiększenie mocy zainstalowanej z obecnych około 12 GW do ponad 27 GW, co według szacunków CryptoBriefing wymagałoby inwestycji rzędu prawie 200.000 miliardów euro , głównie ze strony sektora prywatnego. Europejskie centra danych zużyły 68 TWh energii elektrycznej w 2024 roku, a Komisja prognozuje, że do 2030 roku będzie to 114 TWh, co stanowi około 3,2% zapotrzebowania na energię elektryczną w UE. Deklarowanym celem nie jest izolowanie problemu, lecz ograniczenie podatności na zagrożenia, która wpływa na układy scalone, serwery i chmurę.
Obraz zależności jest uderzający. Według danych cytowanych przez Xatakę z raportów GEA i DECISION, tylko 6% wartości półprzewodników dla centrów danych pozostaje w rękach firm z UE; w produkcji i montażu serwerów odsetek ten wynosi 7%, a w infrastrukturze chmurowej ogranicza się do 8%. W usługach chmurowych udział europejskich dostawców spadł z 29% w 2017 r. do 15% w 2022 r. i pozostaje na tym samym poziomie. AWS, Microsoft Azure i Google Cloud koncentrują ponad 70% europejskiego rynku chmury , podczas gdy globalnie rynek infrastruktury chmurowej był wart 143.000 miliardy dolarów w drugim kwartale 2026 r., przy czym AWS posiadał 28%, Microsoft 20%, a Google Cloud 15%.
Europa utrzymuje jednak wyjątkową pozycję w łańcuchu wartości układów scalonych. ASML, z siedzibą w Veldhoven, jest jedynym na świecie producentem systemów litograficznych EUV, maszyn niezbędnych do produkcji najbardziej zaawansowanych półprzewodników. Firma odnotowała przychody w wysokości prawie 37.500 miliarda dolarów w roku obrotowym 2025, z marżą netto na poziomie 29,4%, a jej kapitalizacja rynkowa wynosi około 700.000 miliardów dolarów. Mimo to firma potwierdziła, że europejscy producenci układów scalonych nie złożyli żadnych zamówień na systemy litograficzne w 2026 roku, co świadczy o braku popytu krajowego, który Bruksela zamierza odwrócić dzięki ustawie Chips Act 2.0.
Propozycja CADA wprowadza również czterostopniową definicję suwerenności chmury . Pierwszy poziom wymaga przetwarzania i przechowywania danych w infrastrukturze zlokalizowanej w UE. Drugi wymaga niezależności od państw trzecich i przejrzystości w całym łańcuchu dostaw oprogramowania. Trzeci poziom idzie dalej, wymagając, aby dostawca był własnością i był kontrolowany z UE. Czwarty wymaga pełnej przejrzystości w całym łańcuchu dostaw oprogramowania i braku ingerencji ze strony państw trzecich. Sebastián Muriel, dyrektor ds. cyfrowych w Telefónica, podsumował debatę stwierdzeniem, które stało się standardem: „Nie ma znaczenia, czy serwer znajduje się w Madrycie, Frankfurcie czy Dublinie, jeśli spółka macierzysta znajduje się w Redmond lub Mountain View”. Mówił nawet o „ wynajętej suwerenności”, aby opisać obecną sytuację.
Coraz bardziej rygorystyczna jest również kontrola transakcji korporacyjnych. Komisja Europejska przytoczyła przypadek firmy Kyndryl, która próbowała przejąć Solvinity, holenderskiego dostawcę infrastruktury dla rządu obsługującego 16,5 miliona obywateli, jako przykład transakcji wymagających kontroli. Rząd holenderski zablokował przejęcie w maju 2026 roku, powołując się na interes publiczny, autonomię cyfrową i ochronę infrastruktury krytycznej . Decyzja ta dowodzi, że suwerenność nie ogranicza się do lokalizacji serwerów, ale obejmuje również to, kto kontroluje firmy świadczące usługi kluczowe.
Wdrażanie kolejnych centrów danych wiąże się z pewnymi wyzwaniami. CryptoBriefing dokumentuje rosnące protesty w Irlandii, Holandii i Francji dotyczące zużycia energii elektrycznej, zużycia wody i negatywnego wpływu wizualnego tych obiektów. W Niemczech, Wielkiej Brytanii i Francji zapewnienie połączenia z siecią elektroenergetyczną może zająć lata. W Irlandii rozwój centrów danych już teraz budzi obawy o potencjalne przerwy w dostawie prądu w domach i firmach, podczas gdy centra te zapewniają ciągłość działalności międzynarodowych firm technologicznych. Komisja odpowiedziała 21 września 2026 r., wprowadzając automatyczny system etykietowania zrównoważonego rozwoju dla centrów danych o mocy przekraczającej 500 kW. Każdy obiekt otrzyma ocenę efektywności energetycznej (PUE z 1,15 do ponad 1,9) oraz ocenę efektywności zużycia wody (WUE z 0,1 do ponad 1,0), które będą corocznie aktualizowane od sierpnia 2027 r. Poprawa PUE z 1,6 do 1,2 zmniejsza zużycie energii elektrycznej o 25%, a odzysk połowy ciepła odpadowego z europejskich centrów mógłby pokryć zapotrzebowanie na ogrzewanie prawie czterech milionów domów.
Dla startupów i dostawców usług europejskie ramy zmieniają zasady zakupu, hostingu i skalowania infrastruktury. W kwietniu 2026 r. Komisja przyznała kontrakty o wartości do 180 mln euro na suwerenne usługi chmurowe dla instytucji UE. Klienci z sektora publicznego i sektory regulowane będą wymagać certyfikatów suwerenności i pochodzenia danych, a miejsce zamieszkania nie będzie już wystarczające: konieczna będzie ocena, kto kontroluje dostawcę i jego łańcuch dostaw oprogramowania. Wąskie gardło nie będzie miało wyłącznie charakteru technologicznego, ponieważ 60% firm w UE zgłasza trudności z rekrutacją specjalistów w dziedzinie sztucznej inteligencji, cyberbezpieczeństwa i czystych technologii. CADA i ustawa Chips Act 2.0 pozostają wnioskami legislacyjnymi, a nie przepisami, i muszą przejść przez proces europejski. Konsultacje publiczne w sprawie minimalnych zasad wydajności dla centrów danych kończą się 14 grudnia 2026 r., a ostateczny wniosek jest spodziewany w drugim kwartale 2027 r.
Certyfikaty i alternatywy dla administracji
Oprócz regulacji, rynek wprowadza nowe certyfikaty i partnerstwa. Atos uzyskał certyfikat SAP Sovereign Cloud Partner , który pozwala na modernizację i obsługę krytycznych środowisk SAP, przy jednoczesnym przestrzeganiu wymogów dotyczących kontroli danych, zarządzania nimi i zgodności z przepisami. Certyfikat ten rozszerza możliwości dostępne dla agencji rządowych i firm podlegających regulacjom, które muszą migrować obciążenia do chmury lub wdrażać sztuczną inteligencję bez całkowitej rezygnacji z kontroli operacyjnej, prawnej i technicznej nad swoimi systemami. Certyfikacja obejmuje początkowo Niemcy, Francję, Holandię i Wielką Brytanię , a Atos kontynuuje proces jej rozszerzania na inne lokalizacje.
Certyfikacja łączy zarządzane usługi Atos i europejską infrastrukturę ze strategią SAP, mającą na celu rozszerzenie suwerennej oferty. Propozycja jest skierowana w szczególności do sektora publicznego i usług finansowych, gdzie lokalizacja danych, dostęp do infrastruktury i obowiązująca jurysdykcja wpływają na decyzje modernizacyjne. SAP koncentruje swoje podejście wokół czterech wymiarów kontroli: danych, operacji, technologii i ram prawnych . Atos łączy infrastrukturę, hosting, cyberbezpieczeństwo i operacje aplikacji. Według firmy, model ten umożliwia wdrożenie chmury obliczeniowej i sztucznej inteligencji przy jednoczesnym zachowaniu zarządzania i kontroli operacyjnej.
Martin Merz, prezes SAP Sovereign Cloud, postrzega dołączenie firmy Atos jako element rozbudowy sieci dostawców: „Cyfrowa suwerenność budowana jest poprzez ekosystemy zaufania. Współpracując z firmą Atos jako sprawdzonym partnerem, rozszerzamy zasięg SAP Sovereign Cloud i pomagamy organizacjom modernizować krytyczne procesy biznesowe z wykorzystaniem chmury i sztucznej inteligencji, zachowując jednocześnie kontrolę, zarządzanie i odporność operacyjną”. Firma SAP ogłosiła również dodatkową inwestycję w wysokości ponad 20 miliardów euro w celu zwiększenia zasięgu geograficznego i funkcjonalnego SAP Sovereign Cloud. Atos posiada certyfikat SAP Operations Partner od 20.000 lat i otrzymał powiązany z nim Złoty Certyfikat, który potwierdza jego bogate doświadczenie w zarządzaniu środowiskami SAP.
W Niemczech, dążenie do suwerennych alternatyw otwiera się na kolejny front w postaci openDesk, pakietu narzędzi do współpracy i biura rządu federalnego. Wersja opracowana przez sektor publiczny istnieje od października 2024 roku, ale po dziewięciomiesięcznym opóźnieniu Centrum Suwerenności Cyfrowej (ZenDiS) udostępniło ją dostawcom chmury prywatnej i firmom systemowym . openDesk łączy pocztę e-mail, kalendarz, przechowywanie plików, przetwarzanie tekstu, czat i wideokonferencje w ramach pakietu europejskich komponentów open source, zaprojektowanego jako alternatywa dla Microsoft 365 dla administracji publicznej.
Program partnerski wyróżnia trzy role. Oficjalni resellerzy dostarczają subskrypcje openDesk dostawcom usług chmurowych i IT. Autoryzowani integratorzy systemów zajmują się wdrażaniem i eksploatacją w środowisku klienta i muszą wykazać się doświadczeniem z oprogramowaniem open source, Kubernetes i openDesk. Najbardziej wymagającą rolą jest rola Zatwierdzonego Suwerennego Dostawcy Usług , który obsługuje openDesk jako oprogramowanie jako usługę (SaaS) we własnej chmurze. Wymaga to akredytacji zgodnie z katalogiem BSI C5 i poziomem 3 Europejskiego Standardu Suwerenności Chmury (SEAL), w obu przypadkach z zewnętrznymi audytami. Podmioty nieposiadające tych akredytacji mogą odsprzedawać oprogramowanie za pośrednictwem oficjalnego resellera, ale nie mogą działać bezpośrednio.
ZenDiS zapowiedział program na koniec 2025 roku, ale w styczniu 2026 roku przełożył go na pierwszy kwartał 2026 roku. Oficjalne uruchomienie, 23 września, nastąpiło około sześć miesięcy po złożeniu drugiego zobowiązania. Prezes ZenDiS, Pamela Krosta-Hartl, uzasadniła uruchomienie, powołując się na ogromne zapotrzebowanie na pakiet usług suwerennych i potrzebę koordynacji działań interesariuszy. Jednocześnie ZenDiS rozszerza dostęp dla sektora publicznego, oferując usługę SaaS we współpracy z govdigital cooperative, z którą można się skontaktować za pośrednictwem Marktplatz Deutschland Digital i brokera chmury gd.Cloud. Pozwoli to prywatnym dostawcom konkurować z alternatywą generowaną przez sektor publiczny.
Krajobraz, jaki tworzą te inicjatywy, łączy w sobie presję regulacyjną, zależność technologiczną i konkretne reakcje. Hiszpania wykazuje znaczną ekspozycję na przetwarzanie w chmurze i sztuczną inteligencję, gdzie dane stanowią główny problem, a zaangażowanie zarządów rośnie. Bruksela przygotowuje się na większą pojemność centrów danych, wyższy poziom suwerenności i etykiety energetyczne, choć ramy prawne nie są jeszcze obowiązujące. Na rynku certyfikaty takie jak Atos dla SAP i projekty takie jak openDesk mają na celu oferowanie alternatyw dla administracji publicznej i sektorów regulowanych. Dyskusja nie koncentruje się już wyłącznie na lokalizacji serwera, ale na tym, kto kontroluje infrastrukturę, łańcuch oprogramowania i decyzje dotyczące kluczowych usług w środowisku coraz bardziej kształtowanym przez geopolitykę i sztuczną inteligencję.
