Suverenitāte sākas pie izslēgšanas pogas
A button on a slide is not an off switch
In April 2026, the European Commission awarded an EUR 180 million contract for sovereign cloud to four providers serving the Union’s institutions, bodies, offices and agencies. The tender was run under the Cloud III Dynamic Purchasing System. When the Commission explained the result, it also explained the instrument behind it: a Cloud Sovereignty Framework with a Sovereignty Effectiveness Assurance Level and an overall score built from 48 criteria in eight categories, including strategic, legal and jurisdictional, data and AI, operational, supply chain, technological, security and compliance, and environmental sustainability.
That is a more interesting event than the adjective sovereign normally suggests. A tender has to turn a political word into questions that can be answered by a procurement file. Who can reach the data? Who can operate the platform? What happens when a supplier changes ownership, when a law changes, when a service is withdrawn, or when an institution decides that the arrangement no longer fits? The Commission’s framework does not settle those questions for every buyer. It does something more useful: it admits that they belong in the same room.
The temptation is to treat sovereignty as a place. Put the servers in Europe, sign with a European subsidiary, place the contract under European law, and the problem appears to have been dealt with. Each of those steps can matter. None of them is the whole property. A system can be physically near the people it serves while its decisive keys, technical dependencies, operating authority and legal exposure sit elsewhere. A European address can be true and still be an incomplete answer.
There is a test that makes the gap visible. Ask what happens when the organisation needs to stop. Not because stopping is desirable, and not because a dramatic failure is expected, but because serious institutions have to be able to change course. Can an authorised person suspend the service? Can the organisation inspect the state that will be stopped? Can it preserve evidence? Can it move the workload? Can another team take over without asking the first provider to remain indispensable? If the answer is vague, the sovereignty claim is still a brochure.
This is why sovereignty begins at the off switch. The switch is not a theatrical red button. It is a chain of authority, access, knowledge, equipment, contracts and alternatives. It has to work on a quiet Tuesday, before anybody has prepared a press statement. The rest of this article follows that chain through cloud infrastructure, European policy and the unglamorous engineering of exit.
Five words that are often made to impersonate one another
Ownership is the first impostor. It tells us who holds the shares, appoints the board and receives the economic benefit. Ownership can be important to sovereignty, especially where the owner controls intellectual property, investment decisions or the company’s long-term direction. It is not the same as operational control. A locally owned organisation can depend on a foreign operating platform. A publicly owned service can have no practical ability to change the software that runs it. A subsidiary can be incorporated in one country while its decisive approvals are made somewhere else.
Location is the second. Data residency answers a geographical question: where are particular data, systems or facilities stored or processed under the arrangement? That answer can support legal compliance, resilience planning or a sensible latency budget. It does not answer who can administer the environment, which law can compel a provider, which subcontractors can enter the chain, or what happens when an operator outside the location holds the privileged credentials.
Jurisdikcija ir trešais. Tā attiecas uz tiesisko kārtību, kas var sasniegt organizāciju, tās infrastruktūru vai datus. Līgums var izvēlēties piemērojamos tiesību aktus, bet tas nevar likt izzust citām juridiskajām pilnvarām. Pakalpojums var tikt sniegts no Eiropas infrastruktūras un joprojām ietvert pakalpojumu sniedzēju, kuram ir saistības citur. Mērķis nav pasludināt katru pārrobežu pakalpojumu par nelikumīgu. Mērķis ir pārtraukt kartes atzīmes uzskatīšanu par juridisku analīzi.
Darbības pilnvaras ir ceturtais. Tās ir praktiska spēja likt sistēmai kaut ko darīt vai pārtraukt to darīt: apstiprināt laidienu, mainīt atslēgu, izolēt tīklu, atjaunot dublējumu, mainīt politiku, noņemt administratoru vai nodot atbildību citai komandai. Darbības pilnvaras var deleģēt. Kad tās ir deleģētas, deleģējumam jābūt redzamam, ierobežotam un atsaucamam. Pretējā gadījumā līgums klientam piešķir nominālu kontroli, kamēr pakalpojumu sniedzējs patur vienīgos cilvēkus un saskarnes, kas šo kontroli var īstenot.
Iziešana ir piektais. Tā ir spēja izbeigt vienu vienošanos un turpināt nepieciešamo funkciju citur vai uz infrastruktūras, ko organizācija kontrolē. Iziešana nav tikai datubāzes lejupielāde. Tā var ietvert konfigurāciju, identitātes, šifrēšanas atslēgas, modeļus, konteinerus, audita ierakstus, rindas, integrācijas, licences, darbības procedūras un zināšanas, lai atjaunotu strādājošu pakalpojumu. Solījums, ka datus var eksportēt, nav solījums, ka pakalpojumu var atsākt.
Šie vārdi pieder kopā, bet tos nevajadzētu sapludināt. Īpašumtiesības bez darbības pilnvarām ir īpašuma dokuments bez atslēgas. Atrašanās vieta bez jurisdikcijas ir ielas adrese bez juridiskās sasniedzamības kartes. Darbības pilnvaras bez iziešanas ir tālvadības pults, kas pievienota mašīnai, kuru neviens cits nevar salabot. Suverenitāte ir attiecības starp visiem pieciem, pārbaudītas brīdī, kad ērtības vairs neizšķir.
Izslēgšanas slēdža tests
Noderīgs izslēgšanas slēdža tests sākas ar apzināti neaizraujošu norādījumu: apturiet šo sistēmu pie noteiktas robežas, noteiktā veidā, ar identificētu pilnvaru. “Šai sistēmai” jābūt konkrētai. Vai tas ir viens pakalpojums, nomnieks, apstrādes darbs, datu plūsma, administratora konts, modeļa galapunkts vai visa darbības spēja? Pakalpojumu sniedzējs var atspējot galapunktu, kamēr dati, kopijas un privileģētie ceļi turpinās citur. Klients var atcelt līgumu, atklājot, ka vienīgais pieejamais eksports ir ierakstu kopums bez izmantojamas konfigurācijas.
Vispirms jautājiet, kam ir atļauts dot apturēšanas rīkojumu. Atbildei jābūt lomai, nevis cilvēka atmiņai. Lomu var piešķirt, pārbaudīt un mainīt. Tai jābūt skaidram trigerim, eskalācijas ceļam un lēmuma ierakstam. Publiskā iestādē pilnvaras var būt sadalītas starp pakalpojuma īpašumtiesībām, drošību, juridisko atbildību un dežurantu. Sadalījums nav defekts. Tas kļūst par defektu, kad visi pieņem, ka kāds cits var rīkoties.
Tad jautājiet, kuri akreditācijas dati vai mehānisms faktiski veic apturēšanu. Dokumentēta procedūra, kas beidzas ar “sazinieties ar atbalstu”, ir eskalācijas ceļš, nevis izslēgšanas slēdzis. Atbalsts var būt piemērots kontrolētai migrācijai, bet kritiskam pakalpojumam ir nepieciešams arī lokāls vai neatkarīgi kontrolēts veids, kā sistēmu nogādāt drošā stāvoklī. Tas nenozīmē, ka katram klientam jābūt fiziskai barošanas pogai. Tas nozīmē, ka organizācijai jāzina savas pilnvaras robeža, pakalpojumu sniedzēja pilnvaras robeža un punkts, kurā nepieciešama ārēja reakcija.
Pēc tam jautā, kas paliek pēc apturēšanas. Droša apturēšana var saglabāt žurnālus, paturēt pierādījumus noteiktu laiku, slēgt sesijas, atsaukt akreditācijas datus, novērst jaunus ierakstus un atstāt tikai lasāmu kopiju izmeklēšanai. Tā var arī radīt bīstamu stāvokli, ja atkarīgs process turpina sūtīt datus pakalpojumā, kuru vairs neviens neuzrauga. Vienas sastāvdaļas apturēšana nav tas pats, kas spējas apturēšana. Atkarību karte ir svarīgāka par pogas krāsu.
Visbeidzot jautā, vai organizācija var atsākt funkciju, neatgriežoties pie tās pašas atkarības pēc noklusējuma. Pakalpojumu var apturēt īsai ierobežošanas darbībai un pēc tam restartēt. Tas ir noderīgi. Suverenitāte prasa arī otru ceļu: sagatavotu maršrutu uz citu pakalpojumu sniedzēju, lokālu vidi, zināmu manuālu procesu vai apzināti samazinātu pakalpojumu. Alternatīva var būt lēnāka vai mazāk eleganta. Tā nevar pastāvēt tikai kā teikums riska reģistrā.
Tādējādi izslēgšanas testam ir piecas daļas: pilnvaras, mehānisms, pierādījumi, atkarība un alternatīva. Tas ir institucionāls tests, nevis produkta funkcija. Piegādātājs var nodrošināt izcilus rīkus un tomēr neizturēt testu, ja klients tos nevar izmantot. Klients var piederēt līgumam un tomēr neizturēt, ja neviens nav praktizējis procedūru. Organizācija, kas ir izmēģinājusi testu, var atklāt vājās vietas agri, kamēr tās vēl ir iepirkuma un inženierijas problēmas, nevis publiskas ārkārtas situācijas.
Kontrole ir slāņu kopums, nevis uzlīme
Iedomājieties sistēmu kā telpu kaudzi. Apakšā ir fiziskais slānis: ēkas, enerģija, dzesēšana, tīkla ceļi un aparatūra. Virs tā atrodas tehniskie slāņi: programmaparatūra, operētājsistēmas, virtualizācija, krātuve, datubāzes, identitāte un lietojumkods. Virs tiem ir darbības slāņi: cilvēki, procedūras, uzraudzība, incidentu reaģēšana un laidienu pārvaldība. Līdzās tiem darbojas juridiskais un ekonomiskais slānis: īpašumtiesības, līgumi, licences, jurisdikcija, finansējums un iespēja iegādāties alternatīvu.
Slāņu metafora nav apgalvojums, ka visām sistēmām ir pieci kārtīgi stāvi. Tas ir veids, kā uzdot precīzāku jautājumu nekā “vai tas ir suverēns?”. Kontrole var būt spēcīga vienā telpā un vāja citā. Iestādei var būt tiesības pārbaudīt lietojumprogrammu, bet nav redzama fiziskās administrācijas ceļa. Tai var būt šifrēšanas atslēgas, bet trūkt iespējas nomainīt aparatūru, kas uztur atslēgu pakalpojumu dzīvu. Tai var būt līgumiska iziešanas klauzula, bet darbības atkarība no komandas, kuru nodarbina tikai pakalpojumu sniedzējs.
Nav nekāda tikuma izlikties, ka katram slānim jābūt Eiropas vienādā veidā. Eiropas digitālā ekonomika ir atkarīga no starptautiskām piegādes ķēdēm, pētniecības, standartiem un tirgiem. Stratēģiskā autonomija nav pilnīgas pašpietiekamības fantāzija. Eiropas Komisijas pašas politikas definīcija runā par spēju rīkoties neatkarīgi, vienlaikus samazinot atkarību no pakalpojumu sniedzējiem ārpus ES. Rīkoties neatkarīgi var nozīmēt ticamas izvēles esamību, nevis katras sastāvdaļas ražošanu aiz nacionālā žoga.
The practical distinction is between dependence that is visible and bounded, and dependence that is mistaken for control. A buyer can decide that a particular processor, software component or external service is acceptable. The decision should include the reason, the compensating measures, the replacement route and the authority to revisit it. A dependency that is recorded can be governed. A dependency hidden behind a European label will be discovered only when the label stops opening doors.
The stack also explains why a sovereignty score needs more than ownership. The Commission’s 2026 framework places strategic, legal and jurisdictional, data and AI, operational, supply chain, technological, security and compliance, and environmental sustainability criteria beside one another. A list like this does not magically produce a sovereign service. It does acknowledge that control is distributed. That is already a better starting point than a single badge.
For engineers, the stack invites a dependency inventory. For procurement teams, it invites questions about subcontractors, keys, formats, interfaces, support and migration. For lawyers, it invites a map of legal reach that follows the provider and the infrastructure rather than the marketing name. For leaders, it makes a quiet point: the most expensive dependency is often the one that everyone thought had already been dealt with.
Location is useful, and insufficient
A data centre is a real place. Its walls affect physical security, energy use, network latency, labour arrangements and the resilience of a service. A residency requirement can prevent some transfers and can make an audit more concrete. It can also be a sensible expression of a public body’s legal and political responsibility. There is no need to sneer at geography to make the control point.
The mistake is asking geography to answer all the other questions. A server in Rotterdam does not, by itself, tell a buyer who has administrative access. A storage bucket in Milan does not say which telemetry is copied to a support system. A European subsidiary does not disclose the jurisdiction of the group that supplies its control plane. The location of a building and the reach of an organisation are related facts, not interchangeable facts.
The Data Act makes part of this distinction explicit. Article 28 requires providers of data processing services to make available the jurisdiction to which the infrastructure used for a service is subject, together with a general description of measures concerning international governmental access to or transfer of non-personal data where that could conflict with Union or Member State law. The requirement is valuable because it turns a vague assurance into information a customer can put in a file. It is not a guarantee that no authority will ever ask for access, and it is not a replacement for a customer’s own legal and technical assessment.
Location also changes over time. A provider can move a workload, add a subcontractor, introduce a support path, change a control-plane design or alter its ownership. A residency statement that was accurate on the day of signature can become stale. Sovereignty therefore needs a change signal: who is notified, which change triggers review, and who can pause the service while the review happens? Without that signal, a location claim is a snapshot masquerading as a property.
Iedomāsimies hipotētisku Eiropas pētniecības organizāciju, kurai pamatdatu kopa jāsaglabā Savienības teritorijā. Šo prasību var izpildīt arī tad, ja atbalsta darbplūsma nosūta diagnostikas materiālus uz trešo valsti, ja pārdevēja kontrolēts identitātes pakalpojums pārvalda klasteri vai ja patentēts formāts padara nomaiņu neiespējamu. Neviena no šīm iespējām netiek apgalvota kā fakts par kādu nosauktu organizāciju. Tās ir iemesls, kāpēc atrašanās vietas kontrole būtu jāsavieno ar piekļuves karti, jurisdikcijas karti un iziešanas mēģinājumu.
Godīgāks apgalvojums ir vienkāršs: atrašanās vieta var samazināt noteiktu risku klasi. Tā nevar uzņemties visu suverenitātes argumentu. Ēka ir slānis. Kontrole ir steka.
Jurisdikcija nav zemsvītras piezīme
Jurisdikcija nonāk sarunā ikreiz, kad solījums sastopas ar varu. Līgumā var noteikt, kur tiks izskatīti strīdi un kuri tiesību akti regulē attiecības. Tas ir svarīgi paredzamībai un izpildei. Tas nenozīmē, ka pakalpojumu sniedzējs, tā mātesuzņēmums, tā darbinieki vai tā infrastruktūra ir neredzami visām pārējām tiesību sistēmām. Pircējam jautājums nav par to, vai var nosaukt vienu jurisdikciju. Jautājums ir par to, kuri tiesiskie ceļi var sasniegt iesaistītos cilvēkus, sistēmas un datus, un kas pakalpojumu sniedzējam būtu jādara, ja šie ceļi tiktu izmantoti.
Tas nav arguments par to, lai katrs ārvalstu savienojums tiktu uzskatīts par aizliegtu. Tas ir arguments par to, lai valstspiederības saīsinājumu aizstātu ar dokumentētu analīzi. Pakalpojumu sniedzējam var būt Eiropas uzņēmums, Eiropas darbība un piegādes ķēde, kas šķērso vairākas robežas. Pircējs var pieņemt šādu izkārtojumu, ja pakalpojums ir noturīgs, piekļuves kontrole ir stingra, attiecīgie dati ir ierobežoti un alternatīva ir gatava. Lēmums ir aizstāvams, ja atkarība un atlikušais risks ir redzami.
Vārds kontrole šeit arī prasa rūpību. Pakalpojumu sniedzējs var teikt, ka klients kontrolē savus datus, jo klients izvēlas atļaujas. Tas var būt patiesi pakalpojuma ietvaros. Tas automātiski nenozīmē, ka klients kontrolē pakalpojumu sniedzēju, platformas uzturēšanas ceļu vai juridisko reakciju uz ārēju rīkojumu. Vārds būtu jāprecizē: piekļuves kontrole, atslēgu kontrole, konfigurācijas kontrole, darbības kontrole vai biznesa lēmuma kontrole. Precizitāte ir mazāk iespaidīga nekā suverenitātes logotips, bet tā labāk iztur revīziju.
Komisijas sistēma juridiskos un jurisdikcijas jautājumus novieto blakus darbības un piegādes ķēdes jautājumiem. Šim izkārtojumam ir nozīme. Juridisko ekspozīciju nevar reducēt līdz rindkopai līgumā, un tehnisko kontroli nevar reducēt līdz diagrammai. Ja sistēmai ir jāatbalsta publiska funkcija, iestādei ir nepieciešami pietiekami pierādījumi, lai izskaidrotu gan to, kā tā darbojas, gan to, kuras iestādes var to ietekmēt. Pierādījumi var būt nepilnīgi. Tiem nevajadzētu būt izdomātiem.
Praktiskā jurisdikcijas datnē būtu jānorāda pakalpojumu ķēdes juridiskās personas, attiecīgās infrastruktūras atrašanās vieta un loma, pakalpojumu sniedzēja darbiniekiem un apakšuzņēmējiem pieejamie piekļuves ceļi, pakalpojumu sniedzēja atklātie piemērojamie un attiecīgie tiesību akti, kā arī paziņošanas un reaģēšanas procedūra valdības pieprasījumiem. Tajā būtu arī jānorāda, ko klients darīs, ja atbildes mainīsies. Šis pēdējais teikums ir vieta, kur suverenitāte sāk kļūt operacionāla, nevis aprakstoša.
Komisijas iepirkuma eksperiments
Komisijas suverēnā mākoņa iepirkums ir noderīgs, jo tas padara vārdu novērojamu. Publiskajā skaidrojumā teikts, ka četri pakalpojumu sniedzēji tika izvēlēti EUR 180 miljonu līgumam, kas apkalpo Savienības struktūras. Tajā aprakstīti divi papildinoši pasākumi: Suverenitātes efektivitātes nodrošinājuma līmenis ar sliekšņiem datu suverenitātei, tehnoloģiskajai autonomijai un pilnīgai suverenitātei, kā arī kopējais vērtējums, kas balstīts uz 48 noteiktiem kritērijiem, kas sagrupēti astoņās kategorijās.
Šajā formulējumā ir neliels, bet svarīgs smalkums. Sistēma ir vērtēšanas instruments. Tā nepadara pakalpojumu sniedzēju par suverēnu objektu ar deklarācijas palīdzību. Rezultāts var padarīt redzamus kompromisus, palīdzēt pircējam salīdzināt piedāvājumus un radīt pierādījumu tam, kāpēc līgums piešķirts. To var arī apiet vai tas var kļūt novecojis, ja neviens nepārbauda tā pamatā esošos pierādījumus. Saprātīgs jautājums nav par to, vai sistēma ir galīgā atbilde. Tas ir par to, vai kritēriji iztur saskari ar reālo darbību.
Ņemsim kategoriju, ko sauc par operacionālo suverenitāti. Tai būtu jārosina jautājumi, piemēram, kurš var mainīt tīkla maršrutu, kurš var rotēt atslēgu, kurš var lasīt incidentu žurnālu, cik ātri klients var pārņemt funkciju un kurām darbībām nepieciešama pakalpojumu sniedzēja līdzdalība. Tās nav abstraktas īpašības. Tās var demonstrēt kontrolētā vingrinājumā. Ja vingrinājums nav iespējams, jo pakalpojumu sniedzējs nevar atklāt attiecīgo stāvokli vai klients nav pilnvarots to uzsākt, vājums ir daļa no rezultāta, nevis neērta detaļa, ko atstāt pielikumā.
Tas pats attiecas uz piegādes ķēdes un tehnoloģiju kategorijām. Pircējam nav jāpieprasa neiespējams tīrības tests. Tam ir jāzina, kuras atkarības ir būtiskas, kuras var aizstāt, kurām ir līgumiska vai tehniska piesaiste un kā izskatītos pārtraukums. “Mums ir Eiropas atbalsta komanda” un “mēs varam turpināt šo funkciju, ja kritiska augšupstraumes sastāvdaļa nav pieejama” ir dažādi apgalvojumi. Pirmais attiecas uz cilvēkiem. Otrais attiecas uz noturību un izvēli.
Publiskais iepirkums ir īpaši piemērots šim darbam, jo iepirkums var pieprasīt pierādījumus, pirms pakalpojums kļūst par noklusējuma risinājumu. Iepirkums var pieprasīt pārnesamu formātu, aktuālu atkarību reģistru, izmaiņu paziņošanas procedūru, iziešanas mēģinājumu un pilnvaru matricu. Tas var novērtēt atbildes un noraidīt pakalpojumu, kas tās nevar uzrādīt. Tas var arī apmaksāt spēju uzturēt alternatīvu, jo iziešana, kas pastāv tikai neizmantotā dokumentā, pamazām zaudēs spēku.
Komisijas publikācija piedāvā šo sistēmu kā etalonu publiskām un privātām organizācijām. Tas ir aicinājums, nevis apstiprinājums, ka katrai organizācijai būtu jākopē katrs svērums. Nelielam pakalpojumam un visas kontinenta platformai būs atšķirīgi riski. Metode, ko vērts pārņemt, ir ieradums sadalīt suverenitāti kritērijos, pierādījumos un sliekšņos. Iepirkums var pateikt nē. Tā ir viena no retajām pilnvarām, kas pēc ieviešanas kļūst vājāka.
Iziešana ir inženiertehniska īpašība
Mākoņdatošanas līgumos iziešana bieži tiek aprakstīta tā, it kā tā būtu pieklājīga pēdējā rindkopa. Datu akts to aplūko kā procesu. 25. pants pieprasa datu apstrādes pakalpojumu sniedzējiem novērst šķēršļus, kas kavē klientu izbeigt līgumu, noslēgt jaunu līgumu, pārnest eksportējamos datus un digitālos aktīvus, panākt funkcionālo līdzvērtību, ja tas piemērojams, vai atdalīt pakalpojumus, ja tas tehniski iespējams. Pēc tam 25. līdz 30. pants detalizēti nosaka līguma, informācijas, sadarbības, maksas un tehniskās saistības.
Detaļas ir neparasti praktiskas. Parastā gadījumā līgumā ir jānosaka maksimālais uzteikuma termiņš divi mēneši un obligāts pārejas periods, kas nepārsniedz 30 kalendārās dienas, kura laikā pakalpojumu sniedzējs turpina pakalpojumu un nodrošina nepārtrauktību. Ja pakalpojumu sniedzējs apgalvo, ka 30 dienu periods tehniski nav iespējams, tam ir jāpaziņo klientam 14 darba dienu laikā, jāpamato apgalvojums un jānorāda alternatīvs pārejas periods, kas nepārsniedz septiņus mēnešus. Klientam tiek nodrošināts izguves periods, kas ir vismaz 30 kalendārās dienas pēc pārejas perioda, un līgumā ir jārisina datu dzēšana pēc veiksmīgas pārejas.
29. pants nosaka arī pārejas maksu virzienu. No 2027. gada 12. janvāra pakalpojumu sniedzēji nedrīkst noteikt pārejas maksu par pārejas procesu. Pārejas periodā samazinātas maksas var tikt noteiktas tikai regulā noteiktajās robežās, un potenciālajiem klientiem ir jāpaziņo, kādas maksas un sankcijas var tikt piemērotas. 30. pants attiecas uz atvērtajām saskarnēm, sadarbspējas specifikācijām un mašīnlasāmu eksportu. Tie nav dekoratīvi sīkumi. Tie ir elementi, no kuriem ir jāsaliek aizvietojošs pakalpojums.
Tiesību norma nav tas pats, kas izmēģināts ceļš. Klients var saņemt atbilstošu eksportu un joprojām trūkt cilvēku, rīku vai laika, lai atjaunotu pakalpojumu. Dati var būt pārnesami, kamēr identifikatora nozīme nav. Modeli var kopēt, kamēr tā novērtēšanas kopa, uzvednes politika, piekļuves noteikumi un uzraudzības vēsture paliek aiz muguras. Konteineru var pārvietot, kamēr identitātes un atslēgu pārvaldības pieņēmumi neļauj to palaist. Likums uzlabo pamatu. Inženierija nosaka, vai kāds pa to var pāriet.
Tāpēc izeja ir jātestē slāņos. Sāciet ar eksportējamo datu paraugu un rekonstruējiet to atsevišķā vidē. Pēc tam atjaunojiet identitātes un atļaujas ar vismazāko privilēģiju principu. Atjaunojiet pakalpojumu no dokumentētas konfigurācijas, nevis no inženiera atmiņas. Atkārtojiet reprezentatīvas darba slodzes un salīdziniet rezultātus, tostarp gadījumus, kuriem vajadzētu neizdoties. Pārbaudiet, vai audita ieraksti saglabā savu nozīmi. Veiciet vingrinājumu vēlreiz pēc būtiskām izmaiņām. Ja vingrinājumam nepieciešama neizpausta pakalpojumu sniedzēja iejaukšanās, dokumentējiet šo atkarību, nevis sauciet vingrinājumu par neatkarīgu.
Frāze funkcionālā līdzvērtība arī prasa atturību. Datu akts to definē kā būtiski salīdzināmu iznākumu kopīgām funkcijām viena veida pakalpojumā. Tas nesola, ka diviem pakalpojumu sniedzējiem būs identiskas arhitektūras, cenas, veiktspēja vai atbalsts. Pircējam ir jānosaka, kam jāpaliek līdzvērtīgam, kas var īslaicīgi pasliktināties un kam ir atļauts mainīties. Izejas ceļš, kas saglabā visas ērtības, var būt neiespējams. Izejas ceļš, kas saglabā publisko funkciju, var būt pietiekams, ja iestāde šo kompromisu ir izvēlējusies iepriekš.
Izslēgšanas slēdzis pieder iestādei
Ir vilinoši novietot izslēgšanas slēdzi produkta demonstrācijā. Nospiediet vadības pogu, vērojiet, kā zaļais indikators kļūst pelēks, un sauciet sistēmu par pārvaldāmu. Īsta vara ir neveiklāka. Tā atrodas iestādē ar amatu aprakstiem, deleģējumiem, brīvdienām, konkurējošām prioritātēm un cilvēkiem, kuri var nezināt, ka tieši viņi ir gaidītā rīcībspējīgā persona.
Tas nenozīmē, ka katram darbiniekam vajadzētu spēt apturēt katru sistēmu. Tas nozīmē, ka varai ir jābūt izstrādātai. Pakalpojuma īpašnieks nosaka, kam funkcija ir paredzēta. Drošība var identificēt ierobežošanas trigeri. Juridiskā un privātuma komanda var noteikt ierobežojumus attiecībā uz pierādījumiem un piekļuvi. Operācijas var izpildīt procedūru. Vadība var atrisināt konfliktu starp nepārtrauktību un izstāšanos. Lomas var apvienot mazā organizācijā, bet lēmumiem joprojām ir jābūt skaidriem.
Iedomāsimies hipotētisku reģionālu sabiedrisko pakalpojumu, kas apstrādā pieteikumus, izmantojot nomātu platformu. Nevienam nav jāizdomā neveiksmes stāsts, lai saskatītu pārvaldības jautājumu. Ja piegādātājs maina kritisku piekļuves ceļu, kurš to izvērtē? Ja uzraudzība atklāj neizskaidrojamu rīcību, kam ir tiesības apturēt jaunu pieteikumu iesniegšanu? Ja līgums tiek lauzts, kam pieder eksportētie dati, kurš pārbauda, ka tie ir pilnīgi, un kurš lemj, vai manuāls process ir pietiekami drošs, lai to turpinātu, kamēr tiek izveidots aizstājējs? Politika, kas nosaka lomas pirms spiediena rodas, ir noderīgāka nekā pēc incidenta dots solījums uzlabot koordināciju.
Tā pati disciplīna attiecas uz automatizētām sistēmām. AI komponentu var apturēt, kamēr apkārtējais darba process turpina pieņemt lēmumus, balstoties uz kešotiem rezultātiem, rezerves noteikumiem vai cilvēku pieņēmumiem. Tāpēc organizācijai ir jādefinē atbildības vienība. Vai izslēgšanas slēdzis attiecas uz modeli, lēmumu pieņemšanas pakalpojumu, rindu, publicēšanas posmu vai visu procesu? Šaurs slēdzis var būt drošāks par pilnīgu izslēgšanu, bet tikai tad, ja tā robeža ir zināma un tā ietekme ir novērojama.
Pierādījumi ir daļa no institucionālā slēdža. Apturēšanas darbībai ir jāatstāj ieraksts par to, kurš rīkojās, uz kāda pamata, kurā laikā, ar kādu novēroto stāvokli un kādu nākamo soli. Šis ieraksts nav birokrātiska dekorācija. Tas ļauj organizācijai atšķirt apzinātu ierobežošanas darbību no klusas degradācijas un ļauj jaunajai komandai saprast, ko tā ir mantojusi. Tas ir tas pats iemesls, kāpēc Datu akts pieprasa, lai pakalpojumu sniedzēji sniegtu informāciju par formātiem, procedūrām un ierobežojumiem. Sistēma, kas nevar aprakstīt savu stāvokli, nevar tikt atbildīgi nodota.
Šeit ir arī cilvēka cieņas aspekts. Kad organizācijas saka, ka pakalpojumu sniedzējs ir neaizstājams, tās bieži domā, ka neliels skaits cilvēku saprot šo vienošanos. Tā ir zināšanu atkarība, nevis dabas likums. Dokumentācija, apmācība, pāru darbs un regulāri vingrinājumi var padarīt atbildību mazāk personisku un ilgtspējīgāku. Rezultāts var šķist mazāk maģisks. Parasti tas ir noturīgāks.
Suverenitātes fails, kas pārdzīvo sapulci
Suverenitātes failam ir jābūt tādam, ko iepirkumu speciālists, inženieris, jurists un atbildīgais vadītājs var izlasīt bez nepieciešamības tulkot dokumentu četrās dažādās privātās valodās. Tam nevajadzētu būt 100 lappušu garantiju paketei, kas atbild uz visiem jautājumiem, izņemot to, kuru lēmumu pieņēmējs gatavojas uzdot. Kompakts fails var norādīt uz dziļākiem pierādījumiem, vienlaikus padarot kontroles robežu redzamu.
Sāciet ar pakalpojuma definīciju. Nosauciet funkciju, datus, lietotājus, atbalstītos lēmumus vai darbības, pieļaujamo pārtraukumu un nedrošas turpināšanas sekas. Atzīmējiet, kas ir kritiski svarīgs un kas ir tikai ērtība. Tas neļauj organizācijai vienoties par suverenitāti attiecībā uz informācijas paneli, vienlaikus nepamanot identitātes pakalpojumu, kas ļauj ikvienam tam piekļūt.
Pēc tam fiksējiet kontroles karti. Katram būtiskam komponentam nosakiet, kam tas pieder, kurš to pārvalda, kurš var to pārbaudīt, kurš var to mainīt, kurš var to apturēt un kurš var to aizstāt. Izmantojiet faktiskos subjektu un lomu nosaukumus no līguma un darbības modeļa. Ja laukā ir rakstīts “piegādātājs” vai “klients” bez noteiktas atbildības, tas ir aicinājums uzdot vēl vienu jautājumu.
Tālāk fiksējiet juridisko un jurisdikcijas karti. Iekļaujiet līgumslēdzējas puses, attiecīgos pakalpojumu sniedzēja subjektus, infrastruktūras jurisdikcijas, kas atklātas saskaņā ar vienošanos, piemērojamos apakšuzņēmējus, piekļuves ceļus un paziņošanas procedūras. Norādiet, kur pierādījumi ir aktuāli un kad tie ir jāpārskata. Karte ar datumu ir godīgāka nekā mūžīgs apliecinājuma teikums.
Izejas sadaļā jābūt inventāram, ne tikai nodomam. Uzskaitiet eksportējamos datus, digitālos aktīvus, konfigurāciju, identitātes, atslēgas, žurnālus, modeļus, izvērtēšanas materiālus, licences un atkarības, kuras nevar pārvietot. Katram vienumam norādiet tā formātu, īpašnieku, izguves metodi, validācijas testu un saglabāšanas vai dzēšanas noteikumu. Ja vienums nav eksportējams, paskaidrojiet, kāpēc, un aprakstiet aizstājēju. Mērķis nav sodīt pakalpojumu sniedzēju par aizsargātu komercnoslēpumu esību. Mērķis ir nepieļaut, ka klienta darba spēja tiek sajaukta ar pakalpojumu sniedzēja iekšējo mehānismu.
Visbeidzot pievienojiet mācību vingrinājuma ierakstu. Tajā jābūt norādītam datumam, darbības jomai, dalībniekiem, pieņēmumiem, novērotajām nepilnībām, korektīvajām darbībām un nākamajam pārskatīšanas ierosinātājam. Neliels izmēģinājuma iziešanas gadījums var būt daudz informatīvāks nekā liels teorētisks plāns. Vingrinājums var atklāt, ka formāts tehniski ir pieejams, bet to ir lēni interpretēt, ka atslēga ir pārnesama, bet alternatīvā vide to nevar izmantot, vai ka pilnvara pastāv uz papīra, bet ārpus darba laika tā nav sasniedzama. Tie ir atrisināmi atklājumi. Tie ir daudz saudzīgāki nekā pārsteigumi.
Failā jābūt arī atteikuma nosacījumam. Kādi pierādījumi liktu organizācijai atteikties no pakalpojuma, atlikt ieviešanu vai ierobežot nosūtāmos datus? Šeit suverenitāte kļūst par iepirkuma izvēli, nevis vēlmi. Pircējam nav jānoraida katra atkarība. Tam jāzina, kura atkarība padarītu pakalpojumu nepieņemamu un kam ir pilnvaras to pateikt.
Ko maksā suverenitāte un ko maksā atkarība
Suverenitāte nav bezmaksas. Kontrolētas atslēgas prasa cilvēkus un procedūras. Pārnesami formāti var ierobežot patentētas funkcijas ērtību. Lieka jauda maksā naudu, pirms tā ir vajadzīga. Alternatīvs pakalpojumu sniedzējs var būt mazāk noslīpēts. Vietējais darbības ceļš var būt lēnāks. Publiska iestāde, kas uzstāj uz pierādījumiem, var saņemt mazāk piedāvājumu un lēmuma pieņemšanai veltīt vairāk laika. Tās ir reālas izmaksas, un to slēpšana aiz karoga nav godīgāka par atkarības slēpšanu aiz atlaides.
Būtiskais salīdzinājums nav starp suverenitāti un pasauli bez berzes. Tas ir apzinātas izmaksas salīdzinājums ar nenovērtētu atkarību. Pakalpojums, kuru ir lēti ieviest, var būt dārgs, lai to pārbaudītu, dārgs, lai no tā migrētu, vai neiespējams apturēt bez sekām sabiedrībai. Pakalpojumu sniedzējs, kas tehniski ir izcils, joprojām var radīt koncentrācijas risku, ja klients nevar mainīt kritisku saskarni. Vietēji kontrolēts ceļš šodien var maksāt vairāk, bet saglabāt iespēju izvēlēties rīt. Neviena izvēle automātiski nav pareiza. Iestādei jāspēj paskaidrot, kuru izmaksu tā ir pieņēmusi.
ENISA mākoņdatošanas riska novērtējums ir pietiekami vecs, lai būtu pārdzīvojis vairākas modernas arhitektūras. Daļa no tā lietderības ir tieši tajā. Tā ietvars aplūko mākoņdatošanu kā biznesa un tehnoloģiju modeli ar ieguvumiem un riskiem, tostarp piesaisti un juridisko ekspozīciju, un iesaka šos riskus izvērtēt, nevis pieņemt, ka mākonis ir vai nu atbrīvošanās, vai briesmas. Tāds pats noskaņojums nepieciešams arī suverenitātei. Jautājums nav par to, vai kāda kārtība ir tīra. Jautājums ir par to, vai tās atkarības ir zināmas, ierobežotas un pietiekami aizvietojamas attiecīgajai funkcijai.
Dublēšana bieži tiek pārprasta kā divu identisku kopiju īpašumtiesības. Dažkārt labāka alternatīva ir cita ieviešana, manuāla rezerves iespēja vai samazināts pakalpojums, kas saglabā svarīgāko sabiedrisko funkciju. Izvēle ir atkarīga no pārtraukuma sekām. Pētniecības darba slodze var paciest aizkavētu palaišanu. Sabiedrības informācijas pakalpojumam var būt nepieciešams statisks publicēšanas ceļš. Ar drošību saistītai darba plūsmai var būt nepieciešami cilvēka kontroles punkti un pārbaudīta procedūra, nevis otrs identisks galapunkts. Suverenitāte ir spēja izvēlēties rezerves risinājumu, pirms primārā sistēma to izvēlas jūsu vietā.
Sociālās izmaksas ir arī citas. Ja sistēmu spēj apkalpot tikai daži cilvēki, organizācija ir kļuvusi atkarīga no viņu atmiņas. Ja publiskais iepirkums jebkādu atkāpšanos no esošā risinājuma uzskata par bezatbildīgu, tirgum tiek mācīts, ka aiziešana ir tikai teātris. Ja institūcijas finansē alternatīvas vien līdz pirmā konkursa noslēgumam, tās rada demonstrāciju, nevis kapacitāti. Maksāt par ekspluatācijas zināšanām, sadarbspēju un uzturēšanu nav tik aizraujoši kā paziņot par jaunu platformu. Taču tieši tā izvēles izdzīvo līdz otrajam budžeta ciklam.
Mūsu mazā zemsvītras piezīme
Uzņēmumā Dweve mūsu publiskais ziņojums The Sovereignty Illusion izklāsta līdzīgu argumentu caur piecām praktiskām durvīm: īpašumtiesības, tehnoloģija, kapitāls, infrastruktūra un tiesiskā ekspozīcija. Ziņojums ir mūsu pašu analīze, nevis juridisks standarts un nevis Komisijas iepirkuma regulējuma vai Datu akta aizstājējs. Tā vērtība šeit ir vienkārši ieradums, ko tas veicina: kad kāds saka, ka sistēma ir suverēna, jautājiet, kuras durvis nes kontroli un kuras durvis paliek atvērtas. Tieši šādā mērogā mēs vēlamies apspriest savu darbu: pēc pierādījumiem un pirms reklāmas.
Pārbaude notiek pirms ārkārtas situācijas
Suverenitātei visatklājošākais brīdis reti ir sistēmas palaišana. Palaišanas pasākumi ir pilni sagatavotu diagrammu, nosauktu komandu un labvēlīgu apstākļu. Atklājošais brīdis ir kursa maiņa: līgumam ir jābeidzas, pakalpojumu sniedzējam ir jāizvirza iebildumi, tiesiskā tvēruma darbība ir jāpārskata, atkarība ir jāaizstāj vai operatoram ir jāpārtrauc funkcija, pirms visi fakti ir ērti.
Tāpēc izslēgšanas slēdzis ir labāks sākumpunkts nekā karogs. Tas prasa autoritāti, nevis atmosfēru. Tas jautā, ko organizācija var pārbaudīt, nevis ko pakalpojumu sniedzējs var solīt. Tas jautā, vai dati un digitālie aktīvi var pārvietoties, vai funkcija var turpināties un vai pierādījumi izdzīvos pārcelšanu. Tas pārvērš suverenitāti kopumā atkārtojamu darbību.
Eiropas Komisijas 2026. gada regulējums parāda, ka publiskais iepirkums var padarīt šīs darbības salasāmas. Datu akts parāda, ka pāreja un jurisdikcijas informācija var būt pienākumi, nevis labvēlība. ENISA riska darbs atgādina, ka piesaiste un tiesiskā ekspozīcija nav jauni pārsteigumi, pat ja arhitektūra maina nosaukumu. Neviens no šiem avotiem neapgalvo, ka Eiropa var darboties bez atkarībām. Tie piedāvā ko nopietnāku: veidu, kā izlemt, kuras atkarības ir pieņemamas un kas notiek, ja tās vairs nav.
Eiropas institūcijai nav jāpieder katram mikroshēmas ražotājam, nav jāraksta katra operētājsistēma vai jāveido katrs pakalpojums, lai rīkotos ar suverenitāti. Tai ir jāsaglabā ticama spēja izprast vienošanos, noteikt robežas, mainīt nosacījumus, apturēt nedrošo ceļu un turpināt būtisko funkciju. Dažreiz tas nozīmē izvēlēties Eiropas pakalpojumu sniedzēju. Dažreiz tas nozīmē atvērtu saskarni, atsevišķu atslēgu glabātāju, otru operatoru, manuālu ceļu vai mazāku pakalpojumu. Atbilde pieder riskam un sabiedriskajai atbildībai, nevis sauklim.
Pirms nākamā suverēnā mākoņa paziņojuma uzdodiet piecus vienkāršus jautājumus. Kurš to var apturēt? Kurš var redzēt, kas notika? Kurš to var mainīt? Kur tas var pārvietoties? Kas to var aizstāt? Ja atbildes ir rakstītas, pārbaudītas un pieder kādam, vārds suverenitāte var darīt noderīgu darbu. Ja atbildes beidzas ar logotipu un adresi, sistēma vēl nav atradusi savu izslēgšanas slēdzi.
Avoti
- Sovereign Cloud Framework skaidrots, Eiropas Komisija, Digitālo pakalpojumu ģenerāldirektorāts.
- Stiprinot Eiropas tehnoloģisko suverenitāti, Eiropas Komisija, Eiropas digitālās nākotnes veidošana.
- Regula (ES) 2023/2854 (Datu akts), EUR-Lex, īpaši VI nodaļa par pāreju starp datu apstrādes pakalpojumiem.
- Mākoņskaitļošanas riska novērtējums, Eiropas Savienības Kiberdrošības aģentūra.
- The Sovereignty Illusion, Dweve.