Suvereniteetti alkaa virtakytkimestä

Digitaalinen suvereniteetti ei ole lippu datakeskuksen vieressä. Se on testattu kyky tarkastaa, pysäyttää, muuttaa, siirtää ja korvata järjestelmä, kun...

Suvereniteetti alkaa virtakytkimestä

Dian painike ei ole virtakatkaisin

Huhtikuussa 2026 Euroopan komissio myönsi 180 miljoonan euron arvoisen sopimuksen suvereenista pilvestä neljälle palveluntarjoajalle, jotka palvelevat unionin toimielimiä, elimiä, toimistoja ja virastoja. Tarjouskilpailu järjestettiin Cloud III -dynaamisen hankintajärjestelmän puitteissa. Kun komissio selitti tuloksen, se selitti myös sen taustalla olevan välineen: pilvisuvereniteettikehyksen, johon kuuluu suvereniteetin tehokkuuden varmistustaso ja kokonaispistemäärä, joka muodostuu 48 kriteeristä kahdeksassa luokassa, mukaan lukien strateginen, oikeudellinen ja lainkäytöllinen, data ja tekoäly, operatiivinen, toimitusketju, teknologinen, turvallisuus ja vaatimustenmukaisuus sekä ympäristön kestävyys.

Tämä on kiinnostavampi tapahtuma kuin mitä adjektiivi suvereeni yleensä antaa ymmärtää. Tarjouskilpailun on muutettava poliittinen sana kysymyksiksi, joihin hankinta-asiakirja voi vastata. Kuka voi käsitellä dataa? Kuka voi käyttää alustaa? Mitä tapahtuu, kun toimittajan omistajuus muuttuu, kun laki muuttuu, kun palvelu poistetaan käytöstä tai kun toimielin päättää, että järjestely ei enää sovi? Komission kehys ei ratkaise näitä kysymyksiä jokaisen ostajan puolesta. Se tekee jotakin hyödyllisempää: se myöntää, että ne kuuluvat samaan yhteyteen.

Kiusaus on kohdella suvereniteettia paikkana. Aseta palvelimet Eurooppaan, tee sopimus eurooppalaisen tytäryhtiön kanssa, aseta sopimus Euroopan lain alaiseksi, ja ongelma näyttää ratkaistulta. Jokainen näistä vaiheista voi olla merkityksellinen. Mikään niistä ei ole koko ominaisuus. Järjestelmä voi olla fyysisesti lähellä ihmisiä, joita se palvelee, samalla kun sen ratkaisevat avaimet, tekniset riippuvuudet, käyttövaltuudet ja oikeudellinen altistuminen sijaitsevat muualla. Eurooppalainen osoite voi olla totta ja silti olla epätäydellinen vastaus.

On olemassa testi, joka tekee eron näkyväksi. Kysy, mitä tapahtuu, kun organisaation on pysähdyttävä. Ei siksi, että pysähtyminen olisi toivottavaa, eikä siksi, että dramaattista epäonnistumista odotettaisiin, vaan siksi, että vakavien toimielinten on voitava muuttaa suuntaa. Voiko valtuutettu henkilö keskeyttää palvelun? Voiko organisaatio tarkastaa tilan, joka pysäytetään? Voiko se säilyttää todisteet? Voiko se siirtää työmäärän? Voiko toinen tiimi ottaa tehtävän hoitaakseen ilman, että ensimmäisen palveluntarjoajan on pysyttävä korvaamattomana? Jos vastaus on epämääräinen, suvereniteettiväite on edelleen vain esite.

Tästä syystä suvereniteetti alkaa virtakatkaisimesta. Katkaisin ei ole teatraalinen punainen painike. Se on auktoriteetin, pääsyn, tiedon, laitteiden, sopimusten ja vaihtoehtojen ketju. Sen on toimittava tavallisena tiistaina, ennen kuin kukaan on valmistellut lehdistötiedotetta. Tämän artikkelin loppuosa seuraa tätä ketjua pilvi-infrastruktuurin, eurooppalaisen politiikan ja poistumisen epäkiitollisen tekniikan läpi.

Viisi sanaa, jotka usein esiintyvät toistensa sijaisina

Omistajuus on ensimmäinen teeskentelijä. Se kertoo, kuka omistaa osakkeet, nimittää hallituksen ja saa taloudellisen hyödyn. Omistajuus voi olla tärkeää suvereniteetille, erityisesti silloin, kun omistaja hallitsee immateriaalioikeuksia, investointipäätöksiä tai yrityksen pitkän aikavälin suuntaa. Se ei ole sama asia kuin operatiivinen hallinta. Paikallisesti omistettu organisaatio voi olla riippuvainen ulkomaisesta käyttöalustasta. Julkisesti omistetulla palvelulla voi olla käytännössä mahdotonta muuttaa ohjelmistoa, jolla se toimii. Tytäryhtiö voi olla rekisteröity yhdessä maassa, kun sen ratkaisevat hyväksynnät tehdään jossakin muualla.

Sijainti on toinen. Datan sijainti vastaa maantieteelliseen kysymykseen: missä tietyt tiedot, järjestelmät tai tilat tallennetaan tai käsitellään järjestelyn puitteissa? Tämä vastaus voi tukea lainsäädännön noudattamista, häiriönsietosuunnittelua tai järkevää viivebudjettia. Se ei vastaa siihen, kuka voi hallinnoida ympäristöä, mikä laki voi velvoittaa palveluntarjoajaa, mitkä alihankkijat voivat liittyä ketjuun tai mitä tapahtuu, kun sijainnin ulkopuolinen käyttäjä omistaa etuoikeutetut tunnistetiedot.

Toimivalta on kolmas. Se koskee oikeusjärjestystä, joka voi ulottua organisaatioon, sen infrastruktuuriin tai sen tietoihin. Sopimuksella voidaan valita sovellettava laki, mutta sillä ei voida poistaa muita oikeudellisia toimivaltuuksia. Palvelu voidaan toimittaa eurooppalaisesta toimipisteestä, ja silti siihen voi liittyä toimittaja, jolla on velvoitteita muualla. Tarkoitus ei ole julistaa jokaista rajat ylittävää palvelua laittomaksi. Tarkoitus on lopettaa karttamerkin kohteleminen oikeudellisena analyysina.

Käyttövalta on neljäs. Se on käytännön kykyä saada järjestelmä tekemään jotakin tai lopettamaan sen tekemisen: hyväksyä julkaisu, vaihtaa avain, eristää verkko, palauttaa varmuuskopio, muuttaa käytäntöä, poistaa ylläpitäjä tai siirtää vastuu toiselle tiimille. Käyttövalta voidaan delegoida. Kun se delegoidaan, delegoinnin on oltava näkyvää, rajattua ja peruutettavissa. Muuten sopimus antaa asiakkaalle nimellisen hallinnan, mutta toimittajalla säilyvät ainoat henkilöt ja rajapinnat, jotka voivat käyttää sitä.

Poistuminen on viides. Se on kyky päättää yksi järjestely ja jatkaa tarvittavaa toimintoa muualla tai infrastruktuurissa, jota organisaatio hallitsee. Poistuminen ei ole pelkkää tietokannan lataamista. Siihen voi liittyä konfiguraatioita, identiteettejä, salausavaimia, malleja, säilöjä, auditointilokeja, jonot, integraatioita, lisenssejä, toimintaohjeita ja tietämystä toimivan palvelun uudelleenrakentamiseen. Lupaus siitä, että tiedot voidaan viedä, ei ole lupaus siitä, että palvelu voidaan käynnistää uudelleen.

Nämä sanat kuuluvat yhteen, mutta niitä ei pidä yhdistää. Omistajuus ilman käyttövaltaa on kauppakirja ilman avainta. Sijainti ilman toimivaltaa on katuosoite ilman karttaa oikeudellisesta ulottuvuudesta. Käyttövalta ilman poistumista on kaukosäädin, joka on kiinnitetty koneeseen, jota kukaan muu ei voi korjata. Suvereniteetti on kaikkien viiden välinen suhde, jota testataan sillä hetkellä, kun mukavuus ei enää ratkaise.

Katkaisukytkimen testi

Hyödyllinen katkaisukytkimen testi alkaa tarkoituksella jännittämättömällä ohjeella: pysäytä tämä järjestelmä määritellyllä rajalla, määritellyllä tavalla, tunnistetun toimivallan alaisuudessa. "Tämä järjestelmä" on oltava yksilöity. Onko se yksi palvelu, vuokralainen, käsittelytehtävä, tietovirta, ylläpitäjätili, mallipäätepiste vai koko toiminnallinen kyvykkyys? Toimittaja voi pystyä poistamaan päätepisteen käytöstä, kun taas tiedot, kopiot ja etuoikeutetut polut jatkavat toimintaansa muualla. Asiakas voi pystyä peruuttamaan sopimuksen ja huomaamaan, että ainoa saatavilla oleva vienti on kokoelma tietueita ilman käyttökelpoista konfiguraatiota.

Kysy ensin, kenellä on lupa määrätä pysäytys. Vastauksen tulisi olla rooli, ei henkilön muisti. Rooli voidaan määrittää, tarkistaa ja muuttaa. Sillä tulisi olla selkeä laukaisin, eskalaatioreitti ja päätöksen kirjaus. Julkisessa laitoksessa toimivalta voidaan jakaa palvelun omistajuuden, tietoturvan, oikeudellisen vastuun ja päivystävän virkailijan kesken. Jakaminen ei ole vika. Siitä tulee vika, kun kaikki olettavat, että joku muu voi toimia.

Kysy sitten, mikä tunniste tai mekanismi todella suorittaa pysäytyksen. Dokumentoitu menettely, joka päättyy "ota yhteyttä tukeen", on eskalaatiopolku, ei katkaisukytkin. Tuki voi olla asianmukaista hallitussa siirrossa, mutta kriittinen palvelu tarvitsee myös paikallisen tai itsenäisesti hallitun tavan saattaa järjestelmä turvalliseen tilaan. Tämä ei tarkoita, että jokaisella asiakkaalla tulisi olla fyysinen virtapainike. Se tarkoittaa, että organisaation on tunnettava oman toimivaltansa raja, toimittajan toimivallan raja ja se kohta, jossa ulkopuolista vastausta tarvitaan.

Seuraavaksi kysy, mitä jää jäljelle pysäytyksen jälkeen. Turvallinen pysäytys voi säilyttää lokit, säilyttää todisteet määrätyn ajan, sulkea istunnot, peruuttaa valtuudet, estää uudet kirjoitukset ja pitää vain luku -kopion saatavilla tutkintaa varten. Se voi myös luoda vaarallisen tilan, jos riippuvainen prosessi jatkaa tiedon lähettämistä palveluun, jota ei enää valvota. Yhden komponentin pysäyttäminen ei ole sama asia kuin toiminnon pysäyttäminen. Riippuvuuskartta merkitsee enemmän kuin painikkeen väri.

Lopuksi kysy, voiko organisaatio jatkaa toimintoa palaamatta oletuksena samaan riippuvuuteen. Palvelu voidaan pysäyttää lyhyttä rajaamistoimea varten ja käynnistää sitten uudelleen. Se on hyödyllistä. Suvereniteetti edellyttää myös toista polkua: valmisteltua reittiä toiselle palveluntarjoajalle, paikallista ympäristöä, tunnettua manuaalista prosessia tai tarkoituksellisesti supistettua palvelua. Vaihtoehto voi olla hitaampi tai vähemmän tyylikäs. Se ei voi olla olemassa vain lauseena riskirekisterissä.

Pysäytyskytkimen testissä on siis viisi osaa: valtuus, mekanismi, todisteet, riippuvuus ja vaihtoehto. Se on institutionaalinen testi, ei tuoteominaisuus. Toimittaja voi tarjota erinomaisia työkaluja ja silti epäonnistua testissä, jos asiakas ei voi käyttää niitä. Asiakas voi omistaa sopimuksen ja silti epäonnistua, jos kukaan ei ole harjoitellut menettelyä. Organisaatio, joka on harjoitellut testiä, voi havaita heikkoudet varhain, kun ne ovat vielä hankinta- ja suunnitteluongelmia eivätkä julkisia kriisejä.

Havainnollistava kartta, ei pisteytys: vie hiiri kerrosten päälle nähdäksesi, mitä kukin voi ja ei voi todistaa hallinnasta.

Hallinta on pino, ei tarra

Kuvittele järjestelmä huoneiden pinoina. Alimpana on fyysinen kerros: rakennukset, sähkö, jäähdytys, verkko-osoitteet ja laitteisto. Sen yläpuolella ovat tekniset kerrokset: laiteohjelmisto, käyttöjärjestelmät, virtualisointi, tallennus, tietokannat, identiteetti ja sovelluskoodi. Niiden yläpuolella ovat toiminnalliset kerrokset: ihmiset, menettelyt, valvonta, häiriöiden hallinta ja julkaisunhallinta. Niiden rinnalla kulkee oikeudellinen ja taloudellinen kerros: omistajuus, sopimukset, lisenssit, lainkäyttöalue, rahoitus ja kyky hankkia vaihtoehto.

Pinometafora ei ole väite, että kaikissa järjestelmissä on viisi siistiä kerrosta. Se on tapa esittää tarkempi kysymys kuin "onko tämä suvereeni?" Hallinta voi olla vahvaa yhdessä huoneessa ja heikkoa toisessa. Laitoksella voi olla oikeus tarkastaa sovellus, mutta ei näkyvyyttä fyysiseen hallinnointipolkuun. Se voi hallita salausavaimia, mutta ei pystyä korvaamaan laitteistoa, joka pitää avainpalvelun toiminnassa. Sillä voi olla sopimukseen perustuva irtautumislauseke, mutta toiminnallinen riippuvuus tiimistä, jonka vain palveluntarjoaja työllistää.

Ei ole hyveellistä teeskennellä, että jokaisen kerroksen on oltava eurooppalainen samalla tavalla. Euroopan digitaalitalous on riippuvainen kansainvälisistä toimitusketjuista, tutkimuksesta, standardeista ja markkinoista. Strateginen autonomia ei ole fantasia täydellisestä omavaraisuudesta. Euroopan komission oma politiikkamääritelmä puhuu kyvystä toimia itsenäisesti samalla kun vähennetään riippuvuutta EU:n ulkopuolisista palveluntarjoajista. Itsenäinen toiminta voi tarkoittaa uskottavaa vaihtoehtoa, ei jokaisen komponentin valmistamista kansallisen aidan takana.

Käytännön ero on siinä, onko riippuvuus näkyvää ja rajattua vai erehdytäänkö se luulemaan hallinnaksi. Ostaja voi päättää, että tietty suoritin, ohjelmistokomponentti tai ulkoinen palvelu on hyväksyttävä. Päätökseen tulisi sisältyä peruste, kompensoivat toimenpiteet, korvaava reitti ja toimivalta palata päätökseen. Kirjattu riippuvuus voidaan hallita. Eurooppalaisen merkin taakse piilotettu riippuvuus huomataan vasta, kun merkki lakkaa avaamasta ovia.

Pino selittää myös, miksi suvereniteettipisteet tarvitsevat muutakin kuin omistajuuden. Komission vuoden 2026 kehys asettaa strategiset, oikeudelliset ja lainkäyttöön liittyvät, data- ja tekoälyyn liittyvät, toiminnalliset, toimitusketjuun liittyvät, teknologiset, turvallisuus- ja vaatimustenmukaisuuteen liittyvät sekä ympäristön kestävyyden kriteerit rinnakkain. Tällainen luettelo ei itsestään tuota suvereenia palvelua. Se kuitenkin tunnustaa, että hallinta on jakautunutta. Se on jo parempi lähtökohta kuin yksittäinen merkki.

Insinööreille pino kutsuu riippuvuusinventaarioon. Hankintatiimeille se herättää kysymyksiä alihankkijoista, avaimista, formaateista, rajapinnoista, tuesta ja siirtymisestä. Lakimiehille se kutsuu oikeudellisen ulottuvuuden karttaan, joka seuraa palveluntarjoajaa ja infrastruktuuria markkinointinimen sijaan. Johtajille se tekee hiljaisen huomautuksen: kallein riippuvuus on usein se, jonka kaikki luulivat jo hoidetuksi.

Sijainti on hyödyllinen, mutta riittämätön

Datakeskus on todellinen paikka. Sen seinät vaikuttavat fyysiseen turvallisuuteen, energiankäyttöön, verkon viiveeseen, työjärjestelyihin ja palvelun sietokykyyn. Sijoittautumisvaatimus voi estää joitakin siirtoja ja tehdä auditoinnista konkreettisempaa. Se voi myös olla järkevä ilmaus julkisen toimielimen oikeudellisesta ja poliittisesta vastuusta. Maantiedettä ei tarvitse halveksua hallintakohdan esittämiseksi.

Virhe on pyytää maantiedettä vastaamaan kaikkiin muihin kysymyksiin. Palvelin Rotterdamissa ei itsessään kerro ostajalle, kenellä on hallinnollinen pääsy. Tallennustila Milanossa ei kerro, mitä telemetriaa kopioidaan tukijärjestelmään. Eurooppalainen tytäryhtiö ei paljasta sen konsernin lainkäyttöaluetta, joka toimittaa sen hallintatason. Rakennuksen sijainti ja organisaation ulottuvuus ovat toisiinsa liittyviä tosiasioita, eivät vaihtokelpoisia tosiasioita.

Data-asetus tekee osan tästä erosta nimenomaiseksi. Sen 28 artikla edellyttää, että datankäsittelypalvelujen tarjoajat asettavat saataville lainkäyttöalueen, jolle palvelussa käytetty infrastruktuuri on alisteinen, sekä yleisen kuvauksen toimenpiteistä, jotka koskevat kansainvälistä viranomaisten pääsyä tai henkilötietojen ulkopuolisen datan siirtoa silloin, kun se voisi olla ristiriidassa unionin tai jäsenvaltion lainsäädännön kanssa. Vaatimus on arvokas, koska se muuttaa epämääräisen vakuutuksen tiedoksi, jonka asiakas voi tallentaa tiedostoon. Se ei ole takuu siitä, ettei mikään viranomainen koskaan pyydä pääsyä, eikä se korvaa asiakkaan omaa oikeudellista ja teknistä arviointia.

Sijainti muuttuu myös ajan myötä. Palveluntarjoaja voi siirtää työkuorman, lisätä alihankkijan, ottaa käyttöön tukipolun, muuttaa hallintatason suunnittelua tai muuttaa omistajuuttaan. Sijoittautumisilmoitus, joka oli tarkka allekirjoituspäivänä, voi vanhentua. Suvereniteetti tarvitsee siksi muutossignaalin: kenelle ilmoitetaan, mikä muutos laukaisee tarkistuksen ja kuka voi keskeyttää palvelun tarkistuksen ajaksi? Ilman tätä signaalia sijaintiväite on tilannekuva, joka tekeytyy ominaisuudeksi.

Ajatellaanpa kuvitteellista eurooppalaista tutkimusorganisaatiota, joka edellyttää ensisijaisen tietoaineistonsa pysyvän unionin alueella. Vaatimus voi täyttyä samalla, kun tukityönkulku lähettää diagnostiikka-aineistoa kolmanteen maahan, toimittajan hallinnoima identiteettipalvelu hallinnoi klusteria tai omisteinen formaatti tekee korvaamisen mahdottomaksi. Mitään näistä mahdollisuuksista ei väitetä tosiasiaksi mistään nimetyistä organisaatiosta. Ne ovat syy sille, miksi sijainnin hallintaan tulisi liittää pääsykartta, lainkäyttöaluekartta ja poistumisharjoitus.

Rehellisempi toteamus on yksinkertainen: sijainti voi vähentää tiettyä riskiluokkaa. Se ei voi kantaa koko suvereniteettiväitettä. Rakennus on kerros. Hallinta on pino.

Lainkäyttöalue ei ole alaviite

Lainkäyttöalue tulee keskusteluun aina, kun lupaus kohtaa vallan. Sopimuksessa voidaan määrätä, missä riidat käsitellään ja minkä lain mukaan suhdetta hallinnoidaan. Tämä on tärkeää ennakoitavuuden ja täytäntöönpanon kannalta. Se ei tarkoita, että toimittaja, sen emoyhtiö, sen henkilöstö tai sen infrastruktuuri olisivat näkymättömiä kaikille muille oikeusjärjestelmille. Ostajan kysymys ei ole se, voidaanko yksi lainkäyttöalue nimetä. Kysymys on se, mitkä oikeudelliset reitit voivat tavoittaa asianosaiset henkilöt, järjestelmät ja tiedot, ja mitä toimittajan olisi tehtävä, jos näitä reittejä käytettäisiin.

Tämä ei ole väite siitä, että jokaista ulkomaista yhteyttä tulisi pitää kiellettynä. Se on väite siitä, että kansalaisuuteen perustuva lyhennelmä tulisi korvata dokumentoidulla analyysillä. Toimittajalla voi olla eurooppalainen yhtiö, eurooppalaiset toiminnot ja toimitusketju, joka ylittää useita rajoja. Ostaja voi hyväksyä järjestelyn, koska palvelu on häiriönsietoinen, pääsynhallinta on vahva, asiaankuuluva tieto on rajattua ja vaihtoehto on valmiina. Päätös on puolustettavissa, kun riippuvuus ja jäännösriski ovat näkyvissä.

Sana hallinta vaatii myös huolellisuutta tässä yhteydessä. Toimittaja voi sanoa, että asiakas hallitsee tietojaan, koska asiakas valitsee käyttöoikeudet. Tämä voi pitää paikkansa palvelun sisällä. Se ei automaattisesti tarkoita, että asiakas hallitsee toimittajaa, alustan ylläpitopolkua tai oikeudellista vastausta ulkopuoliseen määräykseen. Sana tulisi määritellä tarkemmin: pääsyn hallinta, avainten hallinta, konfiguraation hallinta, toimintojen hallinta tai liiketoimintapäätöksen hallinta. Täsmällisyys on vähemmän dramaattista kuin suvereniteettilogo, mutta se kestää paremmin auditoinnin.

Komission kehys asettaa oikeudelliset ja lainkäyttöalueeseen liittyvät kysymykset toiminnallisten ja toimitusketjukysymysten rinnalle. Tällä järjestelyllä on merkitystä. Oikeudellista altistumista ei voi tiivistää sopimuksen kappaleeseen, eikä teknistä hallintaa voi tiivistää kaavioon. Jos järjestelmän on tarkoitus tukea julkista tehtävää, toimielin tarvitsee riittävästi näyttöä selittääkseen sekä sen, miten järjestelmä toimii, että sen, mitkä viranomaiset voivat vaikuttaa siihen. Näyttö voi olla puutteellista. Sen ei tulisi olla kuvitteellista.

Käytännöllisen lainkäyttöaluetiedoston tulisi yksilöidä palveluketjun oikeudelliset yhteisöt, asiaankuuluvan infrastruktuurin sijainti ja rooli, toimittajan henkilöstön ja alihankkijoiden käytettävissä olevat pääsytiet, toimittajan ilmoittamat sovellettavat ja hallinnoivat lait sekä ilmoitus- ja vastemenettely viranomaisten pyyntöihin. Sen tulisi myös kertoa, mitä asiakas tekee, jos vastaukset muuttuvat. Viimeinen virke on se kohta, jossa suvereniteetti alkaa muuttua toiminnalliseksi kuvailevan sijaan.

Komission hankintakokeilu

Komission suvereenin pilven hankinta on hyödyllinen, koska se tekee sanasta havaittavan. Julkisessa selvityksessä kerrotaan, että neljä toimittajaa valittiin 180 miljoonan euron sopimukseen, joka palvelee unionin yhteisöjä. Siinä kuvataan kaksi toisiaan täydentävää toimenpidettä: suvereniteetin tehokkuuden varmistustaso, jossa on kynnysarvot tietosuvereniteetille, teknologiselle autonomialle ja täydelle suvereniteetille, sekä kokonaispistemäärä, joka perustuu 48 määriteltyyn kriteeriin kahdeksassa luokassa.

There is a small but important discipline in that wording. The framework is an evaluation instrument. It does not turn a provider into a sovereign object by declaration. A score can make trade-offs visible, help a buyer compare offers and create a record of why an award was made. It can also be gamed or become stale if nobody checks the evidence behind it. The sensible question is not whether the framework is the final answer. It is whether the criteria survive contact with operations.

Take the category called operational sovereignty. It should prompt questions such as who can change a network route, who can rotate a key, who can read an incident log, how quickly a customer can take over a function and which actions require provider participation. Those are not abstract qualities. They can be demonstrated in a controlled exercise. If the exercise is impossible because the provider cannot expose the relevant state or because the customer has no authority to initiate it, the weakness is part of the score, not an inconvenient detail to be left in an appendix.

The same is true of supply-chain and technological categories. A buyer does not need to demand an impossible purity test. It does need to know which dependencies are essential, which can be substituted, which have contractual or technical lock-in, and what an interruption would look like. “We have a European support team” and “we can continue this function when a critical upstream component is unavailable” are different claims. The first is about people. The second is about resilience and choice.

Public procurement is particularly well suited to this work because a tender can demand evidence before a service becomes the default. A tender can ask for a portable format, a current dependency register, a change-notification procedure, an exit rehearsal and an authority matrix. It can score answers and reject a service that cannot show them. It can also pay for the capacity to maintain the alternative, because an exit that exists only in a dormant document will decay.

The Commission’s publication presents its framework as a benchmark for public and private organisations. That is an invitation, not an endorsement that every organisation should copy every weight. A small service and a continent-wide platform will have different risks. The method worth carrying across is the habit of decomposing sovereignty into criteria, evidence and thresholds. Procurement can say no. That is one of the few powers that becomes weaker after deployment.

Exit is an engineering property

Cloud contracts often describe exit as if it were a polite final paragraph. The Data Act treats it as a process. Article 23 requires providers of data processing services to remove obstacles that inhibit a customer from terminating a contract, concluding a new contract, porting exportable data and digital assets, achieving functional equivalence where applicable, or unbundling services where technically feasible. Articles 25 to 30 then spell out contract, information, cooperation, charges and technical obligations.

The details are unusually practical. In the ordinary case, a contract must provide for a maximum notice period of two months and a mandatory transitional period of no more than 30 calendar days, during which the provider continues the service and supports continuity. If the provider claims that the 30-day period is technically unfeasible, it has to notify the customer within 14 working days, justify the claim and indicate an alternative transitional period of no more than seven months. The customer is given a retrieval period of at least 30 calendar days after the transitional period, and the contract has to address erasure after a successful switch.

29 artikla linjaa myös vaihtomaksujen suunnan. 12. tammikuuta 2027 alkaen palveluntarjoajat eivät saa periä vaihtomaksuja vaihtoprosessista. Siirtymäaikana alennettuja maksuja saa periä vain asetuksen asettamissa rajoissa, ja tuleville asiakkaille on kerrottava, mitä maksuja ja seuraamuksia voi aiheutua. 30 artikla käsittelee avoimia rajapintoja, yhteentoimivuusmäärityksiä ja koneellisesti luettavaa vientiä. Nämä eivät ole koristeellisia yksityiskohtia. Ne ovat osia, joista korvaava palvelu on koottava.

Lakisääteinen oikeus ei ole sama asia kuin harjoiteltu polku. Asiakas voi saada vaatimustenmukaisen viennin ja silti vailla ihmisiä, työkaluja tai aikaa palvelun palauttamiseen. Tiedot voivat olla siirrettävissä, vaikka tunnisteen merkitys ei olisi. Malli voidaan kopioida, vaikka sen arviointiaineisto, kehoteperiaatteet, käyttösäännöt ja seurantahistoria jäisivät jälkeen. Säiliö voidaan siirtää, vaikka identiteettiin ja avaintenhallintaan liittyvät oletukset estäisivät sen käynnistymisen. Laki parantaa pohjaa. Tekniikka ratkaisee, voiko kukaan kulkea sen yli.

Siksi poistumista tulisi testata kerroksittain. Aloita otoksella vietävistä tiedoista ja rekonstruoi ne erillisessä ympäristössä. Palauta sitten identiteetit ja käyttöoikeudet vähimmän oikeuden periaatteella. Rakenna palvelu uudelleen dokumentoidusta konfiguraatiosta, ei insinöörin muistista. Toista edustavia työkuormia ja vertaile tuloksia, myös tapauksia, joiden pitäisi epäonnistua. Varmista, että auditointilokit säilyttävät merkityksensä. Toista harjoitus olennaisen muutoksen jälkeen. Jos harjoitus edellyttää palveluntarjoajan salaista puuttumista, kirjaa tämä riippuvuus sen sijaan, että kutsut harjoitusta riippumattomaksi.

Ilmaus toiminnallinen vastaavuus ansaitsee myös pidättyväisyyttä. Data-asetus määrittelee sen olennaisesti vertailukelpoisena lopputuloksena jaetuille ominaisuuksille samassa palvelutyypissä. Se ei lupaa, että kahdella palveluntarjoajalla olisi identtiset arkkitehtuurit, hinnat, suorituskyky tai tuki. Ostajan tulee määritellä, minkä on pysyttävä vastaavana, mikä voi heikentyä tilapäisesti ja mikä saa muuttua. Poistumisreitti, joka säilyttää kaikki mukavuudet, voi olla mahdoton. Poistumisreitti, joka säilyttää julkisen toiminnon, voi riittää, edellyttäen että instituutio on tehnyt tämän valinnan etukäteen.

Käsitteellinen vaihtosarja, joka on linjassa Data-asetuksen poistumisvelvoitteiden kanssa. Se on harjoituskartta, ei oikeudellinen vaatimustenmukaisuustakuu.

Sammutuskytkin kuuluu instituutiolle

Sammutuskytkimen sijoittaminen tuotedemoon on houkuttelevaa. Paina ohjainta, katso vihreän ilmaisimen muuttuvan harmaaksi ja kutsu järjestelmää hallittavaksi. Todellinen toimivalta on hankalampaa. Se sijaitsee instituutiossa, jossa on työnkuvia, valtuutuksia, lomia, kilpailevia prioriteetteja ja ihmisiä, jotka eivät ehkä tiedä olevansa henkilöitä, joiden odotetaan toimivan.

Tämä ei tarkoita, että jokaisen työntekijän pitäisi voida pysäyttää jokainen järjestelmä. Se tarkoittaa, että toimivallan tulisi olla suunniteltua. Palvelun omistaja päättää, mihin toiminto on tarkoitettu. Tietoturva voi tunnistaa eristämisen laukaisimen. Lakitiimi ja tietosuojatiimi voivat tunnistaa todisteisiin ja pääsyyn liittyvät rajoitteet. Operaatiot voivat toteuttaa menettelyn. Johto voi ratkaista jatkuvuuden ja vetäytymisen välisen ristiriidan. Roolit voidaan yhdistää pienessä organisaatiossa, mutta päätösten on silti oltava nimenomaisia.

Ajatellaanpa hypoteettista alueellista julkista palvelua, joka käyttää pilvipohjaista alustaa hakemusten käsittelyyn. Hallintokysymyksen näkemiseen ei tarvitse keksiä epäonnistumistarinaa. Jos toimittaja muuttaa kriittistä käyttöpolkua, kuka sen tarkistaa? Jos seuranta paljastaa selittämättömän toiminnan, kuka voi keskeyttää uusien hakemusten vastaanoton? Jos sopimus irtisanotaan, kuka omistaa viennin, kuka varmistaa, että se on täydellinen, ja kuka päättää, onko manuaalinen prosessi riittävän turvallinen käytettäväksi korvaavan järjestelmän rakentamisen aikana? Käytäntö, joka nimeää roolit ennen paineen syntymistä, on hyödyllisempi kuin jälkikäteen annettu lupaus koordinaation parantamisesta.

Sama kurinalaisuus koskee automatisoituja järjestelmiä. Tekoälykomponentti voidaan pysäyttää, kun ympäröivä työnkulku jatkaa päätösten tuottamista välimuistista, varasääntöjen tai henkilöstön oletusten perusteella. Organisaation on siis määriteltävä toimivallan yksikkö. Koskeeko katkaisija mallia, päätöspalvelua, jonokäsittelyä, julkaisuvaihetta vai koko prosessia? Kapea katkaisija voi olla turvallisempi kuin täydellinen sammutus, mutta vain jos sen rajat tunnetaan ja sen vaikutus on havaittavissa.

Dokumentaatio on osa institutionaalista katkaisijaa. Pysäytystoimesta on jäätävä merkintä siitä, kuka toimi, minkä toimivallan nojalla, mihin aikaan, missä havaitussa tilassa ja mikä oli seuraava vaihe. Merkintä ei ole byrokraattista koristelua. Se auttaa organisaatiota erottamaan tarkoituksellisen rajaamistoimen hiljaisesta heikkenemisestä ja auttaa uutta tiimiä ymmärtämään, mitä se on perinyt. Tästä samasta syystä datasäädös edellyttää, että palveluntarjoajat antavat tietoja formaateista, menettelyistä ja rajoituksista. Järjestelmä, joka ei pysty kuvaamaan tilaansa, ei ole vastuullisesti siirrettävissä.

Kysymys on myös ihmisarvosta. Kun organisaatiot sanovat, että palveluntarjoaja on korvaamaton, ne tarkoittavat usein sitä, että pieni joukko ihmisiä ymmärtää järjestelyn. Kyse on tietoriippuvuudesta, ei luonnonlaista. Dokumentaatio, koulutus, rinnakkain toimivat käytännöt ja säännölliset harjoitukset voivat tehdä toimivallasta vähemmän henkilökohtaista ja kestävämpää. Lopputulos voi näyttää vähemmän taianomaiselta. Se on yleensä kestävämpi.

Suvereniteettitiedosto, joka kestää kokouksen

Suvereniteettitiedoston pitäisi olla sellainen, että hankinta-asiantuntija, insinööri, juristi ja vastuuhenkilö voivat kaikki lukea sitä ilman, että asiakirjaa käännetään neljään eri yksityiskieleen. Sen ei pitäisi olla sadan sivun vakuutuspaketti, joka vastaa kaikkiin muihin kysymyksiin paitsi siihen, jonka päättäjä on juuri aikeissa esittää. Tiivis tiedosto voi viitata syvällisempään näyttöön ja samalla tehdä hallinnan rajat näkyviksi.

Aloita palvelun määrittelystä. Nimeä toiminto, tiedot, käyttäjät, tuetut päätökset tai toimet, hyväksyttävä keskeytys ja turvallisen jatkamisen epäonnistumisen seuraukset. Merkitse, mikä on kriittistä ja mikä vain mukavuutta. Näin organisaatio ei neuvottele suvereniteetista kojelaudalle samalla kun se unohtaa tunnistuspalvelun, joka päästää kuka tahansa sinne.

Kirjaa sitten hallintakartta. Määritä kunkin olennaisen komponentin osalta, kuka omistaa sen, kuka käyttää sitä, kuka voi tarkastaa sen, kuka voi muuttaa sitä, kuka voi pysäyttää sen ja kuka voi korvata sen. Käytä sopimuksen ja toimintamallin mukaisia todellisia yhteisö- ja roolinimiä. Jos kentässä lukee "palveluntarjoaja" tai "asiakas" ilman nimettyä vastuuta, se on kutsu esittää lisäkysymys.

Kirjaa seuraavaksi oikeudellinen ja lainkäyttöaluekartta. Sisällytä siihen sopimusosapuolet, asiaankuuluvat palveluntarjoajan yhteisöt, järjestelyn puitteissa ilmoitetut infrastruktuurin lainkäyttöalueet, sovellettavat alihankkijat, käyttöreitit ja ilmoitusmenettelyt. Ilmoita, missä tiedot ovat ajantasaisia ja milloin ne on tarkistettava. Kartta, jossa on päivämäärä, on rehellisempi kuin ikuisesti voimassa oleva vakuutuslause.

Lopetuskohdan tulee sisältää inventaario, ei vain aikomus. Luettele vietävissä oleva data, digitaaliset resurssit, konfiguraatio, identiteetit, avaimet, lokit, mallit, arviointimateriaali, lisenssit ja riippuvuudet, joita ei voi siirtää. Nimeä kunkin kohdan kohdalla sen muoto, omistaja, hakumenetelmä, validointitesti sekä säilytys- tai poistosääntö. Jos kohde ei ole vietävissä, kerro miksi ja kuvaile korvaava menettely. Tarkoitus ei ole rangaista palveluntarjoajaa suojatuista liikesalaisuuksista. Tarkoitus on estää asiakkaan työkyvyn sekoittuminen palveluntarjoajan sisäiseen koneistoon.

Liitä lopuksi mukaan harjoituspöytäkirja. Siinä tulee näkyä päivämäärä, laajuus, osallistujat, oletukset, havaitut puutteet, korjaavat toimenpiteet ja seuraava tarkistuksen laukaiseva tekijä. Pieni otosharjoitus voi olla informatiivisempi kuin laaja teoreettinen suunnitelma. Harjoitus voi paljastaa, että muoto on teknisesti saatavilla mutta hidas tulkita, että avain on siirrettävissä mutta ei käytettävissä vaihtoehtoisessa ympäristössä tai että toimivaltainen taho on olemassa paperilla mutta ei tavoita häntä työajan ulkopuolella. Nämä ovat ratkaistavissa olevia havaintoja. Ne ovat paljon armollisempia kuin yllätykset.

Tiedoston tulee sisältää myös kieltäytymisehto. Mikä näyttö saisi organisaation kieltäytymään palvelusta, viivästyttämään käyttöönottoa tai rajoittamaan lähettämäänsä dataa? Tässä kohtaa suvereniteetista tulee hankintapäätös eikä toive. Ostajan ei tarvitse hylätä jokaista riippuvuutta. Sen on tiedettävä, mikä riippuvuus tekisi palvelusta hyväksymättömän ja kenellä on toimivalta sanoa niin.

Mitä suvereniteetti maksaa ja mitä riippuvuus maksaa

Suvereniteetti ei ole ilmaista. Hallitut avaimet vaativat henkilöstöä ja menettelyjä. Siirrettävät muodot voivat rajoittaa omistetun ominaisuuden mukavuutta. Varakapasiteetti maksaa rahaa ennen kuin sitä tarvitaan. Vaihtoehtoinen palveluntarjoaja voi olla vähemmän hiottu. Paikallinen toimintapolku voi olla hitaampi. Julkinen toimija, joka vaatii näyttöä, voi saada vähemmän tarjouksia ja käyttää enemmän aikaa päätöksentekoon. Nämä ovat todellisia kustannuksia, ja niiden piilottaminen lipun taakse ei ole sen rehellisempää kuin riippuvuuden piilottaminen alennuksen taakse.

Olennainen vertailu ei ole suvereniteetti kitkatonta maailmaa vastaan. Se on tietoinen kustannus hinnoittelematonta riippuvuutta vastaan. Palvelu, joka on halpa ottaa käyttöön, voi olla kallis tarkastaa, kallis siirtää tai mahdoton keskeyttää ilman julkisia seurauksia. Teknisesti erinomainen palveluntarjoaja voi silti luoda keskittymäriskin, jos asiakas ei voi muuttaa kriittistä rajapintaa. Paikallisesti hallittu polku voi maksaa enemmän tänään ja säilyttää mahdollisuuden valita huomenna. Kumpikaan valinta ei ole automaattisesti oikea. Toimijan tulee pystyä selittämään, minkä kustannuksen se hyväksyi.

ENISAn pilviriskinarviointi on tarpeeksi vanha ollakseen elänyt useiden muodikkaiden arkkitehtuurien ohi. Se on osa sen hyödyllisyyttä. Sen viitekehys käsittelee pilvilaskentaa liiketoiminta- ja teknologi mallina, jolla on hyötyjä ja riskejä, mukaan lukien lukkiutuminen ja oikeudellinen altistuminen, ja suosittelee näiden riskien arviointia sen sijaan, että oletettaisiin pilven olevan joko vapautus tai vaara. Samaa asennetta tarvitaan suvereniteettiin. Kysymys ei ole siitä, onko järjestely puhdas. Se on siitä, ovatko sen riippuvuudet tunnettuja, rajattuja ja riittävän korvattavissa kyseessä olevan toiminnon kannalta.

Redundanssi ymmärretään usein väärin kahden identtisen kopion omistamisena. Joskus parempi vaihtoehto on erilainen toteutus, manuaalinen varajärjestelmä tai supistettu palvelu, joka säilyttää tärkeimmän julkisen toiminnon. Valinta riippuu keskeytyksen seurauksista. Tutkimustyökuorma voi sietää viivästynyttä suoritusta. Julkinen tiedotuspalvelu voi tarvita staattisen julkaisupolun. Turvallisuuteen liittyvä työnkulku voi tarvita ihmisen vahvistuksen ja testatun menettelyn toisen identtisen päätepisteen sijaan. Suvereniteetti on kyky valita varajärjestelmä ennen kuin ensisijainen järjestelmä valitsee sen puolestasi.

Sosiaalisellakin hinnalla on merkitystä. Jos vain harvat osaavat käyttää järjestelmää, organisaatio on ostanut riippuvuuden heidän muististaan. Jos julkinen hankinta kohtelee jokaista poikkeamaa nykyisestä toimittajasta vastuuttomana, se opettaa markkinoille, että poistuminen on teatteria. Jos instituutiot rahoittavat vaihtoehtoja vain ensimmäisen tarjouskilpailun loppuun asti, ne luovat demonstraation kapasiteetin sijaan. Käyttöosaamisen, yhteentoimivuuden ja ylläpidon maksaminen on vähemmän jännittävää kuin alustan julkistaminen. Se on myös tapa, jolla valinnat selviävät toisesta budjettikierroksesta.

Pieni alaviitteemme

Dwevellä julkinen raporttimme The Sovereignty Illusion esittää samankaltaisen argumentin viiden käytännöllisen oven kautta: omistajuus, teknologia, pääoma, infrastruktuuri ja oikeudellinen altistuminen. Raportti on oma analyysimme, ei oikeudellinen standardi eikä korvike komission hankintakehykselle tai datasäädökselle. Sen arvo on tässä yksinkertaisesti siinä tavassa, jota se kannustaa: kun joku sanoo järjestelmän olevan suvereeni, kysy, mikä ovi kantaa hallinnan ja mikä ovi jää avoimeksi. Sillä mittakaavalla haluamme keskustella omasta työstämme, näytön jälkeen ja ennen myyntipuhetta.

Testi tapahtuu ennen hätätilannetta

Suvereeniuden paljastavin hetki on harvoin julkaisu. Julkaisut ovat täynnä valmisteltuja kaavioita, nimettyjä tiimejä ja suotuisaa säätä. Paljastavin hetki on kurssinmuutos: sopimus on päätettävä, toimittajaa on haastettava, oikeudellista ulottuvuutta on tarkasteltava, riippuvuus on korvattava tai käyttäjän on pysäytettävä toiminto ennen kuin kaikki tosiasiat ovat mukavia.

Siksi katkaisija on parempi lähtökohta kuin lippu. Se kysyy auktoriteettia tunnelman sijaan. Se kysyy, mitä organisaatio voi tarkastaa, ei sitä, mitä toimittaja voi luvata. Se kysyy, voivatko data ja digitaaliset varat liikkua, voiko toiminto jatkua ja säilyykö näyttö siirron jälkeen. Se muuttaa suvereeniuden joukoksi harjoiteltavia toimia.

Euroopan komission vuoden 2026 kehys osoittaa, että julkinen hankinta voi tehdä näistä toimista luettavia. Datasäädös osoittaa, että vaihtamista ja lainkäyttöä koskevat tiedot voivat olla velvollisuuksia eivätkä palveluksia. ENISAn riskityö muistuttaa, että lukkiutuminen ja oikeudellinen altistuminen eivät ole uusia yllätyksiä, vaikka arkkitehtuuri vaihtaisi nimeään. Yksikään näistä lähteistä ei sano, että Eurooppa voi toimia ilman riippuvuuksia. Ne tarjoavat jotakin vakavampaa: tavan päättää, mitkä riippuvuudet ovat hyväksyttäviä ja mitä tapahtuu, kun ne eivät ole.

Eurooppalaisen instituution ei tarvitse omistaa jokaista sirua, kirjoittaa jokaista käyttöjärjestelmää tai rakentaa jokaista palvelua toimiakseen suvereenisti. Sen on säilytettävä uskottava kyky ymmärtää järjestely, asettaa rajoja, muuttaa ehtoja, pysäyttää vaarallinen polku ja jatkaa keskeistä toimintoa. Joskus se tarkoittaa eurooppalaisen toimittajan valitsemista. Joskus se tarkoittaa avointa rajapintaa, erillistä avaimen haltijaa, toista käyttäjää, manuaalista reittiä tai pienempää palvelua. Vastaus kuuluu riskille ja julkiselle vastuulle, ei iskulauseelle.

Ennen seuraavaa suvereenin pilven julkistusta kysy viisi yksinkertaista kysymystä. Kuka voi pysäyttää tämän? Kuka voi nähdä, mitä tapahtui? Kuka voi muuttaa sitä? Minne se voi siirtyä? Mikä voi korvata sen? Jos vastaukset ovat kirjattuja, testattuja ja omistettuja, sana suvereeni voi tehdä hyödyllistä työtä. Jos vastaukset päättyvät logoon ja osoitteeseen, järjestelmä ei ole vielä löytänyt katkaisijaansa.

Lähteet