Извън американския облак: Преглед на суверенните SaaS предложения + препоръки за действие

Необходимостта от дигитален суверенитет за европейските компании

Дигиталната трансформация напредва неуморно и облачните технологии, особено софтуерът като услуга (SaaS), се превърнаха в незаменим инструмент за бизнеси от всякакъв мащаб. Те позволяват гъвкавост, мащабируемост и достъп до иновативни технологии. В същото време това развитие доведе до значителна зависимост от няколко, предимно базирани в САЩ, доставчици на облачни услуги.

Свързано с това:

• Защо Законът за облачните технологии в САЩ е проблем и риск за Европа и останалата част от света: Закон с дългосрочни последици

Проблем: Нарастваща зависимост от американските доставчици на облачни услуги

Европейският пазар на облачни услуги е очевидно доминиран от основните американски хиперскалиращи компании: Amazon Web Services (AWS), Microsoft Azure и Google Cloud Platform (GCP). Тези доставчици контролират голям дял от световния пазар. Дори водещи европейски доставчици като SAP и Deutsche Telekom постигат само малки пазарни дялове в Европа в сравнение с тях. Тази концентрация носи присъщ риск: голяма част от глобалната и особено европейската облачна инфраструктура е потенциално обект на юрисдикцията на САЩ. Следователно, осъзнаването на рисковете, свързани с тази зависимост, нараства в европейските компании и все повече в публичните администрации. На преден план излизат опасенията относно защитата на данните, сигурността на данните и загубата на контрол върху критични данни и процеси. Въпросът за цифровия суверенитет се превръща в стратегически императив.

Значение на суверенитета на данните и съответствието с GDPR

В основата на европейските опасения е Общият регламент относно защитата на данните (ОРЗД). От 2018 г. насам той формира строгата правна рамка за защита на личните данни в Европейския съюз и регулира подробно тяхната обработка и трансфер, особено към страни извън ЕС. За европейските компании спазването на ОРЗД ​​е не само правно задължение, но и ключов фактор за поддържане на доверието на клиентите и бизнес партньорите. Успоредно с това, концепцията за дигитален суверенитет придобива все по-голямо значение. Тя описва амбицията на Европа да си възвърне или запази контрола върху собствените си данни, технологии и цифрови инфраструктури. Това не е само въпрос на защита на данните, но и цел на индустриалната политика, насочена към укрепване на европейската икономика и конкурентоспособност в глобализирания дигитален свят. За компаниите това означава необходимостта от преосмисляне на облачните стратегии и проактивно търсене на решения, които са едновременно съвместими със закона и надеждни, гарантиращи тяхната оперативна способност.

Свързано с това:

• Интеграция на независима и междуизточникова платформа с изкуствен интелект за всички бизнес нужди

Цели и структура на доклада

Този доклад е насочен към европейските бизнес и ИТ ръководители, изправени пред предизвикателството да разработят устойчива на промени и осъзнаваща рисковете стратегия за облачни услуги. Целта му е да осигури солидна основа за вземане на решения чрез:

• Анализира специфичните рискове, които възникват за европейските компании от използването на SaaS услуги, базирани в САЩ, особено по отношение на конфликта между GDPR и американските закони, като например CLOUD Act и FISA 702.
• Дефинира какво се разбира под „суверенни SaaS предложения“ в европейски контекст и на какви критерии трябва да отговарят.
• Това е пазарен преглед на европейските SaaS доставчици, които се позиционират като суверенни алтернативи, категоризирани по области на приложение.
• Сравнява важни алтернативи в ключови категории по отношение на характеристики, цени и, най-важното, прилагането на суверенитета на данните и съответствието с GDPR.
• Бяха подчертани специализирани решения за чувствителни сектори като публичната администрация, здравеопазването и финансите.
• Представя съответните инициативи на ЕС (като Gaia-X) и сертификати (като EUCS, BSI C5), които насърчават суверенитета на облачните технологии.
• Прави се заключение и се извеждат препоръки за стратегическата насока на развитие на компаниите.

Анализ на риска: облачните услуги в САЩ и предизвикателствата пред европейските компании

Използването на облачни услуги, по-специално SaaS предложения, от доставчици, базирани в Съединените щати, представлява значителни правни и оперативни предизвикателства за европейските компании. Те произтичат предимно от фундаменталния конфликт между строгите европейски разпоредби за защита на данните и широкообхватните закони на САЩ за наблюдение и достъп до данни.

Основният конфликт: GDPR срещу законите за наблюдение в САЩ

Общият регламент относно защитата на данните (ОРЗД) формира основата на европейската защита на данните. Той установява високи стандарти за обработката на лични данни на гражданите на ЕС. Член 44 и следващите от ОРЗД, които регулират прехвърлянето на такива данни към трети държави (държави извън ЕС/ЕИП), са особено важни за използването на облачни услуги. Такова прехвърляне е допустимо само ако третата държава осигурява „адекватно ниво на защита“ (определено с решение за адекватност на Европейската комисия) или ако са налице „подходящи гаранции“ (като стандартни договорни клаузи или обвързващи корпоративни правила) и субектите на данни разполагат с приложими права и ефективни правни средства за защита. Освен това, член 48 от ОРЗД ​​изрично забранява прехвърлянето на данни на органи на трета държава въз основа на техни решения или преценки, освен ако не съществува международно споразумение, като например договор за взаимна правна помощ. Няколко закона на САЩ, които предоставят на властите на САЩ широки права за достъп до данни, дори ако те се съхраняват извън САЩ, противоречат на този европейски стандарт за защита

• Законът CLOUD на САЩ (Закон за изясняване на законното използване на данни в чужбина): Този закон, приет през 2018 г., дава правомощия на американските правоприлагащи органи и разузнавателни служби да изискват от американските комуникационни и технологични компании да предават данни под техен контрол – независимо къде по света се съхраняват тези данни. Това изрично включва данни, разположени в центрове за данни в рамките на Европейския съюз. По този начин Законът CLOUD подкопава принципа на териториалност за защита на данните и пряко противоречи на изискванията на GDPR, по-специално на член 48. Той е приет, отчасти, в отговор на продължителен правен спор между Microsoft и правителството на САЩ относно достъпа до имейли, съхранявани на сървъри в Ирландия, и модернизира по-стари разпоредби за достъп от ерата след 11 септември 2001 г., като например Закона Patriot. Въпреки че Законът CLOUD предоставя механизми за доставчик да оспори заповед за разкриване, ако тя нарушава закона на друга държава (като GDPR), практическата ефективност на тези механизми, особено по отношение на заповедите за национална сигурност, е силно спорна и не предлага надеждна гаранция за европейските компании. По този начин доставчиците са поставени пред дилема: ако спазват разпореждане на Закона CLOUD без правно основание на ЕС, рискуват огромни глоби по GDPR; ако откажат да разкрият информация, позовавайки се на GDPR, са изправени пред санкции съгласно законодателството на САЩ.
• Раздел 702 от FISA (Закон за наблюдение на външното разузнаване): Тази разпоредба, част от Закона за изменения на FISA от 2008 г., позволява на американските разузнавателни агенции, като например NSA, да извършват целенасочено наблюдение на електронните комуникации на лица, които не са граждани на САЩ и се намират извън САЩ. Наблюдението се извършва с цел получаване на „чуждестранна разузнавателна информация“. FISA 702 задължава американските доставчици на електронни комуникационни услуги (ECSP), които включват много големи доставчици на облачни услуги и SaaS, да сътрудничат с властите. Обхватът на потенциално събираните данни е много широк и може да включва не само метаданни, но и съдържанието на комуникациите, дори тези на неангажирани трети страни, които само споменават целево лице. Програмите за наблюдение по FISA 702 (като PRISM и Upstream) бяха централен пункт на критика в решението на Съда на Европейския съюз по делото Schrems II (вижте по-долу). Критиките са насочени и към липсата на ефективни правни средства за защита за засегнатите граждани на ЕС и потенциала за масово наблюдение, въпреки че американските власти отричат ​​това.
• Изпълнителна заповед 12333 и други: В допълнение към Закона CLOUD и FISA 702 съществуват и други правни основания, като например Изпълнителна заповед 12333, която предоставя на американските разузнавателни агенции широки правомощия за извършване на наблюдение в чужбина, често без съдебен надзор или специфични законови ограничения за лица, които не са граждани на САЩ.

Този фундаментален правен конфликт създава ситуация, в която използването на облачни услуги от американски доставчици представлява присъщи рискове за европейските компании.

Специфични рискове за европейските компании

Описаният правен конфликт представлява осезаеми рискове за европейските компании, които използват базирани в САЩ SaaS услуги:

• Нарушения на сигурността на данните и глоби: Разкриването на лични данни на властите на САЩ съгласно Закона CLOUD или FISA 702, без валидно правно основание съгласно законодателството на ЕС (напр. договор за взаимна правна помощ), представлява явно нарушение на GDPR, по-специално на член 48. Това може да доведе до значителни глоби до 4% от годишния глобален оборот, както и до граждански искове за обезщетение от субектите на данни. Самото използване на американска облачна услуга може да се счита за потенциално несъответстващо на GDPR, ако доставчикът не може да гарантира, че няма да разкрие данни в нарушение на GDPR.
• Загуба на суверенитет и контрол върху данните: Договорните гаранции от американски доставчици, че данните се съхраняват само в центрове за данни от ЕС, не предлагат ефективна защита срещу достъп от САЩ съгласно Закона CLOUD или FISA. Законите на САЩ могат да отменят тези гаранции и дори техническите предпазни мерки. Дори криптирането на данни не е панацея, ако американският доставчик контролира ключовете за криптиране, тъй като той може да бъде принуден да ги разкрие. По подобен начин механизмите за контрол на достъпа могат да бъдат заобиколени и регистрационните файлове за одит могат да бъдат преглеждани без знанието на собственика на данните, нарушавайки изискванията за прозрачност на GDPR. По този начин европейските компании ефективно губят контрол върху това кой има достъп до техните данни и при какви обстоятелства.
• Индустриален шпионаж и загуба на търговски тайни: Потенциалният изтичане на чувствителни фирмени данни представлява особено сериозен риск. Това включва интелектуална собственост, данни за научноизследователска и развойна дейност, прототипи, стратегически планове, финансови данни и поверителни данни и комуникации на клиенти. Опасението, че властите на САЩ биха могли да използват правата си за достъп за икономически цели (индустриален шпионаж), е основен стимул за европейските компании да търсят алтернативи или да прилагат допълнителни защитни мерки. Загубата на такава информация може да доведе до значителни финансови загуби, щети върху репутацията и загуба на конкурентни предимства.
• Правна несигурност и загуба на доверие: Нерешеният конфликт между европейското законодателство за защита на данните и правата за достъп на САЩ създава значителна правна несигурност за компаниите, използващи услуги на САЩ. Тази несигурност усложнява дългосрочното планиране и усилията за съответствие. Освен това, продължаващото използване на услуги, при които не може да бъде гарантирана защита на данните, може сериозно да подкопае доверието на клиенти, служители и бизнес партньори.
• Геополитически рискове: Закони като Закона CLOUD се разглеждат в контекста на глобалните тенденции към засилено държавно наблюдение и потенциална фрагментация на интернет („Splinternet“). Правят се сравнения с подобни закони в други страни, като например Закона за националното разузнаване на Китай. Освен това, прекомерната зависимост от доставчици на технологии от един-единствен неевропейски регион представлява стратегически рискове за цифровата автономност и устойчивост на Европа.

Рисковете от използването на облачни услуги в САЩ далеч надхвърлят потенциалните санкции по GDPR. Те включват загуба на критични бизнес данни, увреждане на репутацията и заплаха за конкурентоспособността поради потенциална злоупотреба с права за достъп за индустриален шпионаж. Тези често трудни за количествено определяне, но потенциално екзистенциални „странични“ рискове лесно се подценяват, когато се фокусираме единствено върху спазването на GDPR.

Решението по делото Schrems II и Рамката за защита на данните (DPF)

Правната несигурност около трансатлантическия трансфер на данни беше значително изострена от решението на Съда на ЕС по делото Schrems II през юли 2020 г. Съдът на ЕС обяви тогава приложимото споразумение за Щит за личните данни между ЕС и САЩ за невалидно. Мотивацията: Законите за наблюдение в САЩ, по-специално FISA 702 и свързаните с него програми, позволяват нарушения на основните права на гражданите на ЕС (защита на данните, поверителност), които не са ограничени до строго необходимото и не предлагат еквивалентна защита на тази, предоставяна в ЕС. Освен това липсват ефективни правни средства за защита за засегнатите лица в САЩ срещу подобни мерки за наблюдение. Въпреки че решението потвърди общата валидност на Стандартните договорни клаузи (СДК) като алтернативен инструмент за трансфер на данни, Съдът на ЕС поясни, че износителите на данни не могат да разчитат сляпо на СДК. Като част от оценката за всеки отделен случай (Оценка на въздействието на трансфера – TIA), трябва да се провери дали законът и практиките в страната на местоназначение (тук САЩ) гарантират ниво на защита, което е „по същество еквивалентно“ на това в ЕС. Ако това не е така поради законите за наблюдение – както предложи Съдът на ЕС за САЩ – трябва да се предприемат допълнителни мерки (допълнителни мерки) (напр. силно криптиране, при което получателят няма достъп до ключовете), за да се гарантира защитата. Ако дори това не е възможно, преносът на данни трябва да бъде спрян. Законът CLOUD беше разглеждан в този контекст като фактор, който допълнително подкопава аргумента за еквивалентно ниво на защита. В отговор на правната несигурност, създадена от Schrems II, и за да се поставят потоците от данни между ЕС и САЩ на по-солидна основа, Европейската комисия и правителството на САЩ се споразумяха за Рамката за поверителност на данните (DPF) между ЕС и САЩ. Тя влезе в сила през юли 2023 г. чрез ново решение за адекватност на Европейската комисия. Рамката за защита на данните (DPF) има за цел да отговори на опасенията, повдигнати от Съда на Европейския съюз (ЕС) в решението по делото Schrems II, като предостави допълнителни гаранции от страна на САЩ: достъпът на американските разузнавателни агенции до данните на гражданите на ЕС трябва да бъде ограничен до необходимото и пропорционално, а за гражданите на ЕС е създаден нов, двустепенен механизъм за правна защита (включително Съда за преглед на защитата на данните – DPRC). Компаниите в САЩ могат да получат DPF сертификат и прехвърлянето на данни от ЕС към тези сертифицирани компании след това се счита за допустимо, без да са необходими допълнителни инструменти, като например стандартни договорни клаузи (SCCs) или други мерки. Въпреки това остават значителни съмнения и рискове относно стабилността и ефективността на DPF

• Основните закони на САЩ остават в сила: Законът CLOUD и FISA 702 не бяха изменени от DPF. Основните правомощия на властите в САЩ за достъп до данни продължават да съществуват.
• Съмнения относно контрола на Европейския съд (ЕС): Много експерти и активисти по защита на данните се съмняват, че гаранциите, предвидени във Фонда за защита на данните (ФЗД) и новия механизъм за правна защита, биха издържали на подновен контрол от страна на ЕС. По-специално, независимостта и правомощията за прилагане на Регулаторната комисия за защита на данните (РЗД) се поставят под въпрос.
• Необходимо е непрекъснато наблюдение: Съгласно член 45(4) от GDPR, Европейската комисия е задължена непрекъснато да наблюдава развитието в САЩ и редовно да преразглежда тяхната адекватност. Първият преглед се проведе през лятото на 2024 г. Последните развития, като например разширяването и потенциалното разширяване на FISA 702, биха могли отново да застрашат основата на DPF.
• Риск за компаниите: Компаниите, които разчитат единствено на DPF, поемат значителен риск. Ако Европейският съд също обяви DPF за невалиден в бъдеще (сценарий „Schrems III“), прехвърлянето на данни въз основа на него отново ще стане незаконно за една нощ. Компаниите, които след това нямат „План Б“ (напр. преминаване към доставчик от ЕС или прилагане на ефективни допълнителни мерки), не могат да очакват снизхождение.

Основният конфликт между законодателството на САЩ относно широкия достъп до данни и основното право на ЕС за защита на данните следователно остава дори при Закона за защита на данните (DPF). Законите на САЩ, които причиняват проблема, остават в сила. DPF представлява по-скоро политическо и потенциално временно решение, отколкото окончателно правно решение. Основният проблем с потенциално нарушаващия GDPR достъп на американските власти до данните на европейски граждани и компании не е решен.

Определение и критерии: Какво означава „суверен SaaS“?

Предвид описаните рискове, европейските компании все по-често търсят алтернативи, които им предлагат по-голям контрол, сигурност и спазване на законовите изисквания. В този контекст често се използват термините „суверенен облак“ или „суверенен SaaS“. Но какво точно означават тези термини и на какви критерии трябва да отговаря дадено предложение, за да се счита за суверенно в европейски контекст?

Ключови елементи на суверенитета в контекста на облачните технологии

Дигиталният суверенитет в облачната среда е многостранна концепция, която надхвърля простото техническо предоставяне на услуги. Тя може да бъде разбрана чрез няколко основни елемента:

• Суверенитет на данните: Това е централният принцип. Той гласи, че данните са предмет на законите и разпоредбите на юрисдикцията, в която се намират или са събрани. За Европа това означава предимно пълното прилагане на законодателството на ЕС за защита на данните (особено GDPR) и защита срещу достъп от органи на трети държави въз основа на екстериториални закони, като например Закона CLOUD на САЩ. Клиентът запазва пълен контрол върху това кой може да има достъп до неговите данни и при какви условия.
• Местоположение на данните и локализация на данните:
  • Местоживеенето на данните означава, че данните на клиентите (включително метаданни и резервни копия) са гарантирано съхранявани и обработвани в определен географски регион, обикновено ЕС или ЕИП. Това е необходимо условие за суверенитет на данните в контекста на ЕС, но само по себе си не е достатъчно, ако доставчикът е подчинен на неевропейски закони.
  • Локализацията на данни е по-строго изискване, което постановява, че данните не могат да напускат границите на определена държава. Такива закони са рядкост в ЕС, но могат да бъдат от значение за специфични национални разпоредби или сектори.
• Оперативен суверенитет: Този елемент се отнася до контрола върху работата на облачната инфраструктура и услугите, работещи в нея. Ключови аспекти включват:
  • Работа от персонал на ЕС и юридически лица от ЕС: Трябва да се гарантира, че персоналът с физически или логически достъп до облачната среда и клиентските данни е базиран в ЕС и е предмет на законодателството на ЕС. Достъпът извън ЕС трябва да бъде предотвратен или строго контролиран чрез технически и организационни мерки.
  • Корпоративно седалище и структура в ЕС: Самият доставчик на облачни услуги или поне юридическото лице, отговорно за операциите в ЕС, следва да има седалище в държава членка на ЕС/ЕИП и по този начин да бъде предимно подчинен на европейското законодателство. Също така е изключително важно да няма зависимости от компании майки или дъщерни дружества в трети държави (особено САЩ), които биха могли да наложат спазване на техните закони (като например Закона CLOUD или FISA).
  • Прозрачност и одитируемост: Клиентите се нуждаят от прозрачност по отношение на оперативните процеси, подизпълнителите и внедрените мерки за сигурност. Възможността за независим преглед и одит на достъпа и процесите е ключова характеристика на оперативния суверенитет.
• Технологичен суверенитет: Това се отнася до способността за разбиране, контролиране, валидиране и в идеалния случай (допълнително) развитие на основните ключови технологии. Аспекти на това включват:
  • Използване на отворени стандарти и софтуер с отворен код: Отворените стандарти и софтуерът с отворен код насърчават оперативната съвместимост между различните доставчици и решения, увеличават прозрачността (тъй като кодът е одитиран), намаляват риска от обвързване с определен доставчик и улесняват одитите за сигурност. Те често формират основата за европейски технологични стекове, като например Sovereign Cloud Stack (SCS).
  • Оперативна съвместимост и преносимост: Възможността за лесно мигриране на данни и приложения между различни доставчици на облачни услуги или обратно към собствената инфраструктура (локална) е знак за независимост и гъвкавост.
  • Контрол върху технологичния стек: В дългосрочен план технологичният суверенитет има за цел да намали зависимостта от патентовани хардуерни и софтуерни компоненти от неевропейски източници и да натрупа европейски експертен опит.

Свързано с това:

• Независимите платформи с изкуствен интелект като стратегическа алтернатива за европейските компании

Разграничаване и недоразумения

Терминът „суверенен облак“ не е правно защитен и често се използва от различни доставчици като маркетингов инструмент, като основните концепции и мерки варират значително. Следователно е изключително важно компаниите внимателно да проучат какво разбира доставчикът под суверенитет и какви конкретни гаранции предлага. Често срещано погрешно схващане е, че съхраняването на данни в център за данни в ЕС е достатъчно, за да се гарантира суверенитет. Това не е така. Както е обяснено в Раздел II, Законът за облачните технологии на САЩ позволява достъп до данни, принадлежащи на американски компании, независимо къде се съхраняват. Следователно местожителството на данните в ЕС не защитава от достъп на САЩ, ако самият доставчик или неговата компания майка е базирана в САЩ или по друг начин е обект на юрисдикцията на САЩ. Друго погрешно схващане е, че предложенията за суверенен облак неизбежно водят до функционални ограничения или по-бавен темп на иновации в сравнение с глобалните хиперскалери. Макар че това може да е вярно в някои случаи, тъй като местните доставчици често нямат същите икономии от мащаба и бюджети за изследвания, основната цел на суверенните решения не е ограничаване, а по-скоро комбиниране на предимствата на облачните изчисления (гъвкавост, мащабируемост) с изискванията за контрол, сигурност и съответствие. Много европейски доставчици разчитат на отворени технологии, за да позволят иновации и адаптивност.

Критерии за доставчици на суверенни SaaS услуги от гледна точка на ЕС

Въз основа на основните елементи на суверенитета могат да се изведат конкретни критерии, чрез които европейските компании могат да оценяват доставчиците на SaaS:

• Защита на данните и съответствие: Доставчикът трябва демонстративно да спазва изискванията на GDPR. Това следва да бъде документирано чрез споразумение за обработка на данни (DPA) в съответствие с член 28 от GDPR и подходящи технически и организационни мерки (TOMs). Трябва да се осигури и съответствие с други съответни разпоредби на ЕС и национални разпоредби (напр. за специфични сектори).
• Местоположение и обработка на данни: Трябва да бъде договорно гарантирано, че всички клиентски данни, включително метаданни, конфигурационни данни и резервни копия, се съхраняват и обработват изключително в рамките на ЕС или ЕИП.
• Управление и контрол на достъпа: Управлението на услугите и достъпът до клиентските данни трябва да се осъществяват от персонал, базиран в ЕС и принадлежащ към юридическо лице от ЕС. Трябва да се прилагат строги технически и организационни мерки за предотвратяване на неоторизиран достъп, особено от страни извън ЕС.
• Корпоративна структура и юрисдикция: Доставчикът трябва да има седалище и основен правен контрол в рамките на ЕС/ЕИП. Не трябва да има корпоративни филиали или клонове в трети държави (особено САЩ), които биха поставили доставчика под тяхна юрисдикция и потенциално биха го принудили да разкрие данни (напр. чрез Закона CLOUD или FISA).
• Прозрачност: Доставчикът трябва да бъде прозрачен относно своите оперативни процеси, използването на подизпълнители, местата за обработка на данни и внедрените мерки за сигурност. Трябва да се осигури възможност за одит от клиента или независими трети страни.
• Технология и оперативна съвместимост: Предпочитаното използване на отворени стандарти (напр. API) и/или софтуер с отворен код улеснява интеграцията, тестването и потенциалното преминаване към други доставчици (избягвайки обвързване с конкретен доставчик).
• Сертификати и атестации: Признатите сертификати и атестации могат да служат като доказателство за съответствие със стандартите за сигурност и съответствие и да изградят доверие. Особено важни са ISO 27001, BSI C5 (в Германия) и в бъдеще EUCS.

Става ясно, че дигиталният суверенитет в контекста на SaaS е многоизмерна концепция. Не става въпрос само за това къде се съхраняват данните, но и за това кой и как ги обработва, на кои закони е подчинен доставчикът и какви технологични основи се използват. Следователно компаниите трябва да обмислят кои измерения на суверенитета са най-важни за тях, когато избират доставчик, и доколко доставчикът отговаря на тези специфични изисквания. Самото пребиваване на данните в ЕС често е недостатъчно за ефективно смекчаване на рисковете, особено тези, породени от законите на САЩ. В същото време компаниите често са изправени пред дилема: желанието за максимален суверенитет и контрол трябва да бъде балансирано с потенциалните недостатъци по отношение на функционалност, скорост на иновациите или разходи, които могат да възникнат при някои европейски или строго суверенни доставчици в сравнение с глобалните хиперскалери. Много европейски доставчици разглеждат използването на софтуер с отворен код като стратегически подход за осигуряване на прозрачност, доверие и адаптивност, дори ако може да не са начело на всяко ново технологично развитие.

Възползвайте се от обширния, петкратен опит на Xpert.Digital в цялостен пакет от услуги | R&D, XR, PR и оптимизация на дигиталната видимост - Изображение: Xpert.Digital

Xpert.Digital притежава задълбочени познания в различни индустрии. Това ни позволява да разработваме персонализирани стратегии, прецизно съобразени с изискванията и предизвикателствата на вашия специфичен пазарен сегмент. Чрез непрекъснат анализ на пазарните тенденции и наблюдение на развитието в индустрията, ние можем да действаме проактивно и да предлагаме иновативни решения. Комбинацията от опит и експертиза генерира добавена стойност и осигурява на нашите клиенти решаващо конкурентно предимство.

Повече информация тук:

• Възползвайте се от 5-те области на експертиза на Xpert.Digital в един пакет – от само 500 евро/месец

Преглед на пазара: Алтернативи на суверенни SaaS от ЕС

Европейският пазар на софтуер като услуга (SaaS) предлага нарастващ брой доставчици, позициониращи се като алтернативи на доминиращите американски играчи. Много от тях поставят специален акцент върху защитата на данните, спазването на GDPR и цифровия суверенитет, за да отговорят на специфичните нужди на европейските бизнеси и организации.

Критерии за избор на доставчици

Следният преглед се фокусира върху SaaS доставчици, които отговарят на следните критерии:

• Произход: Централата на компанията се намира в държава членка на Европейския съюз (ЕС), Европейското икономическо пространство (ЕИП) или Швейцария (CH), тъй като Швейцария има решение за адекватност от Европейската комисия и често е тясно интегрирана в Европейското икономическо пространство.
• Позициониране: Доставчикът изрично се позиционира като суверенна или отговаряща на изискванията за защита на данните алтернатива или показва основни характеристики на цифровия суверенитет (напр. ексклузивен хостинг в ЕС/ЕИП, демонстрируемо съответствие с GDPR, липса на подчинение на законите на САЩ, като например CLOUD Act/FISA, използване на отворен код).
• Релевантност: Доставчикът е споменат в основните изследователски източници или е известен като релевантна алтернатива в своята категория.

За по-добра яснота, доставчиците са групирани според общите SaaS категории.

Категоризиран преглед на европейските SaaS доставчици

Следната таблица предоставя общ преглед на избрани европейски SaaS доставчици, организирани по функционални области. Тя служи като отправна точка за по-подробна оценка.

Преглед на европейските SaaS доставчици по категории

Преглед на европейските SaaS доставчици по категории – Изображение: Xpert.Digital

(Забележка: Тази таблица е примерна и не е изчерпателна. Информацията се основава на налични източници и подлежи на промяна. Независима проверка от компанията е от съществено значение.)

Прегледът на европейските SaaS доставчици показва широка гама от решения, категоризирани по тип. В сектора за сътрудничество и офис услуги, доставчици като Nextcloud Hub от Германия предлагат платформа с отворен код за файлове, комуникация, групов софтуер и офис приложения. Тази платформа може да бъде самостоятелно хоствана или хоствана от доставчик и дава приоритет на суверенитета на данните. Open-Xchange App Suite, също от Германия, предоставя цялостно решение за имейл, групов софтуер, дисково пространство и документи, особено за доставчици и бизнеси, и отговаря на стандартите ISO 27001. ONLYOFFICE от Латвия предлага офис пакет с функции за сътрудничество и работно пространство (включително CRM и имейл). Той е съвместим както с облака, така и с локално приложение и е съвместим с GDPR. Collabora Online, базиран на LibreOffice, често се интегрира с платформи като Nextcloud. TeamDrive, също от Германия, се фокусира върху високосигурно облачно съхранение с криптиране от край до край и принцип на нулево знание. Conceptboard, също от Германия, предлага онлайн бяла дъска за визуално сътрудничество, използвайки сървъри от ЕС и без участието на САЩ. CryptPad от Франция комбинира сътрудничество с отворен код и криптирано от край до край. Stackfield от Германия предоставя платформа, съвместима с GDPR, за чат, задачи и видео.

В сектора на CRM и продажбите, Zeeg от Германия се откроява със своето съвместимо с GDPR планиране на срещи, докато CentralStationCRM предлага опростено CRM решение за малки и средни предприятия. SAP CRM, като част от пакета SAP, е насочен към предприятията. За решения за облачно съхранение, доставчици като pCloud от Швейцария предлагат опционално криптиране от край до край и доживотни планове. Tresorit съчетава висока сигурност, достъп с нулево знание и съответствие за Европа. Proton Drive, също от Швейцария, предлага хостинг на криптирани файлове. Немски доставчици като IONOS HiDrive и международни опции като Infomaniak kDrive допълват гамата от предложения.

За видеоконферентна връзка, OpenTalk от Германия, със специален фокус върху сигурността и съответствието с GDPR, и решението с отворен код Jitsi Meet си заслужава да се отбележат. eyeson от Австрия предлага видео срещи, базирани в облак, докато Univid от Швеция се концентрира върху уебинари. В уеб анализите Matomo предлага опция с отворен код с пълен контрол на данните, Plausible Analytics набляга на лекотата на използване и поверителността на данните, etracker от Германия избягва „бисквитките“, а Piwik PRO е насочен към бизнеса.

Маркетинговата автоматизация се покрива от доставчици като Brevo (бивш Sendinblue) със сървъри в Германия/ЕС и Evalanche, която се фокусира върху B2B и е сертифицирана по ISO. Personio е лидер в HR софтуера, предлагащ цялостна платформа за малки и средни предприятия, допълнена от решения като HRworks и Rexx Systems, които предлагат както облачни, така и локални модели. OpenProject е немско решение за управление на проекти с отворен код, докато Zenkit се откроява със своите гъвкави работни пространства. Доставчици на сигурна електронна поща като Tutanota и Proton Mail дават приоритет на защитата на данните и криптирането от край до край. Единичният вход се осигурява от Bare.ID, базиран в Германия, със сигурност, съвместима с GDPR. За инструменти за анкети, LamaPoll и LimeSurvey впечатляват със своята персонализация и немски сървърни стандарти. QuestionPro, в своята версия за ЕС, допълва списъка с обширни функции и съответствие с GDPR.

Този преглед подчертава забележителното разнообразие и специализация на европейския пазар на SaaS. Особено в области, където защитата и сигурността на данните традиционно играят основна роля – като сътрудничество, сигурна комуникация, съхранение в облак и уеб анализи – съществува широк набор от алтернативи. Много от тези доставчици са малки или средни предприятия (МСП) или специализирани нишови играчи от различни европейски страни. Те често поставят силен акцент върху спазването на GDPR и специфичните нужди на европейския пазар, което се отразява в функции като хостинг в ЕС, поддръжка на немски език или специфични сертификати за съответствие.

Стратегическото значение на софтуера с отворен код за много европейски доставчици също е поразително. Особено в областите на сътрудничеството (Nextcloud, CryptPad), офис приложенията (ONLYOFFICE, Collabora), управлението на проекти (OpenProject), уеб анализите (Matomo) и видеоконферентната връзка (Jitsi, OpenTalk), технологиите с отворен код често формират основата. Това е повече от просто технически детайл; това е съзнателно решение, което насърчава прозрачността (чрез достъпен код), адаптивността, одитираемостта и избягването на обвързване с конкретен доставчик. Тези аспекти са ключови градивни елементи за цифровия суверенитет и позволяват на европейските доставчици да предлагат надеждни и гъвкави решения, без непременно да имат достъп до огромните бюджети за разработка на глобалните хиперскалери. Това дава на клиентите по-голям контрол и представа за технологиите, които използват.

Сравнение на избрани алтернативи на ЕС

След общия преглед на пазара, следва по-подробно сравнение на избрани, представителни европейски SaaS алтернативи в ключови категории. Фокусът е върху основните функции, ценовите модели, уникалните предимства на продажбите и по-специално прилагането на суверенитета на данните и съответствието с GDPR.

Методология на сравнението

Изборът на доставчици за подробното сравнение се основава на тяхната релевантност и честота на споменаване в съответните източници, както и на позиционирането им като директни европейски алтернативи на добре познати американски услуги. Сравнението се основава на информация от специфичните данни за доставчиците и други релевантни данни от общите данни. Критериите включват:

• Основни функции: Какво прави софтуерът в основата си?
• Модел на ценообразуване: Каква е ценовата структура (абонамент, freemium, пожизнен абонамент, локално ползване)?
• Местоположение/хостинг на данни: Къде се хостват данните (гарантирано от ЕС/Германия)? Има ли опции за самостоятелно хостване?
• Криптиране: Кои методи за криптиране се използват (особено от край до край, с нулево знание)?
• Сертификати/Съответствие: Какви съответни сертификати (ISO 27001, BSI C5 и др.) и ангажименти за съответствие (GDPR) съществуват?
• Силни/слаби страни по отношение на суверенитета: Особености или ограничения по отношение на контрола на данните, прозрачността и независимостта.

Подробно сравнение по категории

Подробно сравнение на важни SaaS алтернативи в ЕС

Подробно сравнение на важни SaaS алтернативи в ЕС – Изображение: Xpert.Digital

Подробно сравнение на ключови SaaS алтернативи в ЕС разкрива, че Nextcloud Hub, като модулна платформа, предлага функции като синхронизиране и споделяне на файлове, видеоконферентна връзка, групов софтуер и офис интеграция, докато Open-Xchange App Suite, като интегриран пакет, се фокусира върху имейл, календар, контакти и съхранение. Nextcloud Hub позволява пълен контрол чрез самостоятелно хостване и предлага опционално криптиране от край до край, но има по-високи ИТ изисквания за самостоятелно хостване. Open-Xchange се откроява със своята ISO сертификация и съвместима с ЕС защита на данните, но е облачно зависим от доставчика. В CRM сектора, Zeeg печели точки с ясното си съответствие с GDPR и хостинг в Германия, докато CentralStationCRM впечатлява със своята простота и фокус върху малките и средни предприятия. И двата доставчика предлагат freemium модели и гарантират съвместими с GDPR местоположения на данни. В сектора на облачното съхранение pCloud предлага предимства по отношение на гъвкавостта с доживотни планове и опции за съхранение в ЕС; криптирането от край до край обаче е опционално и се заплаща. Tresorit, от друга страна, печели точки с постоянно криптиране с нулево знание и високо съответствие, но е по-скъп. ONLYOFFICE и Collabora Online предлагат цялостни офис алтернативи със силен фокус върху ЕС и опции с отворен код, като ONLYOFFICE се отличава със своята съвместимост с Microsoft и функции за сътрудничество. Collabora Online е тясно интегриран с платформи като Nextcloud и следователно е по-малко фокусиран върху самостоятелната функционалност. В областта на видеоконферентната връзка, OpenTalk се откроява с функции като уебинари, анкети и ясен фокус върху GDPR, докато Jitsi Meet, като безплатно решение с отворен код, предлага максимален самоконтрол и простота. И двете решения предлагат локални опции и силни функции за защита на данните, като OpenTalk се отличава със своя печат за сигурност BSI IT.

Подробно сравнение подчертава, че рядко има една-единствена „най-добра“ европейска алтернатива. Изборът зависи до голяма степен от специфичните изисквания и приоритети на компанията. Появяват се ясни компромиси, например, между максимална сигурност и цена (pCloud срещу Tresorit) или между цялостен контрол чрез самостоятелно хостване и удобството на управлявано SaaS решение (Nextcloud срещу OX App Suite Cloud). Компаниите трябва да преценят кой аспект – набор от функции, лекота на използване, цена или степен на суверенитет и сигурност – е най-важен за тях.

Ключова характеристика на много европейски доставчици е гъвкавостта на техните оперативни модели. Решения като Nextcloud, ONLYOFFICE, OpenTalk и Jitsi предлагат както облачни (SaaS), така и локални или самостоятелно хоствани опции. Това дава възможност на компаниите да определят собственото си ниво на контрол и суверенитет. Те могат да изберат удобството на SaaS решение от надежден европейски доставчик или да изберат максимален контрол върху данните и инфраструктурата, като ги управляват в собствен център за данни. Този избор директно отговаря на основната нужда от контрол, която е в основата на дебата за суверенитета.

Интеграция на независима и междуизточникова AI платформа за всички бизнес нужди - Изображение: Xpert.Digital

AI Game Changer: Най-гъвкавата AI платформа - Специализирани решения, които намаляват разходите, подобряват вашите решения и повишават ефективността

Независима платформа с изкуствен интелект: Интегрира всички съответни източници на фирмени данни

• Тази платформа с изкуствен интелект взаимодейства с всички специфични източници на данни
  • От SAP, Microsoft, Jira, Confluence, Salesforce, Zoom, Dropbox и много други системи за управление на данни
• Бърза интеграция на ИИ: Специализирани ИИ решения за бизнеса за часове или дни, вместо за месеци
• Гъвкава инфраструктура: облачна или хостинг във вашия собствен център за данни (Германия, Европа, свободен избор на местоположение)

• Максимална сигурност на данните: използването му в адвокатските кантори е неопровержимо доказателство
• Разгръщане в широк спектър от корпоративни източници на данни
• Избор на собствени или различни модели на изкуствен интелект (Германия, ЕС, САЩ, Китай)

Предизвикателства, които нашата AI платформа решава

• Липса на съответствие с конвенционалните решения с изкуствен интелект
• Защита на данните и сигурно управление на чувствителни данни
• Високи разходи и сложност на индивидуалното разработване на ИИ
• Недостиг на квалифицирани специалисти по изкуствен интелект
• Интегриране на изкуствен интелект в съществуващи ИТ системи

Повече информация тук:

• Интеграция на независима и междуизточникова платформа с изкуствен интелект за всички бизнес нужди

Специализирани решения: Суверенен SaaS за чувствителни сектори

Въпреки че SaaS решенията, обсъждани досега, често са приложими в различни индустрии, има сектори с особено високи изисквания към сигурността, съответствието и цифровия суверенитет. Те включват, по-специално, публичната администрация, здравеопазването и финансовия сектор. В тези области се развиват специализирани предложения и регулаторни рамки, които насърчават или дори налагат използването на суверенни облачни решения.

Публична администрация

Публичният сектор в Германия и Европа има присъщ интерес към дигиталния суверенитет, за да гарантира контрол върху данните на гражданите и критичните правителствени процеси. Изискванията често надхвърлят стандартното съответствие с GDPR и включват специфични стандарти за сигурност, като например BSI IT Baseline Protection или каталога с критерии BSI C5. Важни аспекти са и оперативната съвместимост между различните органи и нива на управление, както и предпочитанието за софтуер с отворен код, за да се избегнат зависимости.

Няколко инициативи целят създаването на суверенна облачна инфраструктура за администрация:

• Германска стратегия за административен облак (DVS): Тази стратегия, ръководена от Съвета за ИТ планиране и FITKO, има за цел да създаде федерална, сигурна, оперативно съвместима и суверенна облачна екосистема за федералното правителство, провинциите и общините. Тя разчита на отворени стандарти, многооблачен подход и интеграция на доставчици на публични ИТ услуги (като Dataport, AKDB и IT.NRW), които играят централна роля и се радват на високо ниво на доверие. В бъдеще ще могат да бъдат интегрирани и външни доставчици, съвместими с DVC. Ключов елемент е Порталът за облачни услуги (CSP) като пазар за стандартизирани и сертифицирани облачни услуги.
• Федерална облачна / федерална платформа за ИТ операции: ITZBund вече управлява облачни платформи (SaaS, PaaS) за федералните власти, които ще бъдат консолидирани през 2025 г. и ще отговарят на високи изисквания за сигурност и защита на данните.
• Център за дигитален суверенитет (ZenDiS): Тази институция специално насърчава използването на софтуер с отворен код в публичната администрация и подкрепя проекти като OpenDesk, алтернатива с отворен код на Microsoft 365, която е специално разработена за публичния сектор.
• Gaia-X и Sovereign Cloud Stack (SCS): Тези европейски инициативи предоставят важни технически основи и стандарти за изграждане на суверенни облачни инфраструктури, които DVS също възнамерява да използва. SCS, стек с отворен код, базиран на OpenStack и Kubernetes, вече се използва от няколко немски доставчици (напр. plusserver).

Конкретни, суверенни SaaS предложения за публичната администрация идват както от доставчици на публични ИТ услуги (напр. Conceptboard от IT.NRW, dDataBox от Dataport), така и от специализирани търговски доставчици, които често притежават BSI C5 сертификати и са достъпни чрез пазари като govdigital (напр. plusserver, STACKIT, IONOS, OVHcloud). Решения с отворен код като Nextcloud или OpenDesk също играят важна роля.

Свързано с това:

• Зависимост от американския облак? Битката на Германия за облака: Как планират да се конкурират с AWS (Amazon) и Azure (Microsoft)

здравеопазване

Секторът на здравеопазването обработва изключително чувствителни лични данни (здравни данни, както са определени в член 9 от GDPR), които са предмет на специална защита. В допълнение към GDPR и медицинската тайна се прилагат специфични национални закони, като например Закона за защита на данните на пациентите (PDSG) и, по-скоро, Закона за цифровото здравеопазване (DigiG). Сигурността, достъпността и поверителността са от първостепенно значение в този контекст.

Ключов двигател за използването на суверенни облачни решения в германската здравна система е Законът за цифровите технологии (DigiG), който влезе в сила през март 2024 г. Въпреки че новият раздел 393 от Германския социален кодекс, книга V (SGB V) изрично разрешава обработката на социални и здравни данни чрез облачни изчисления, той поставя много строги условия за това:

• Обработка на данни само в ЕС/ЕИП/Швейцария или държавата, приела решение за адекватно ниво на защита: Обработката на данни може да се извършва само на национално ниво, в държава от ЕС/ЕИП, Швейцария или трета държава с решение за адекватно ниво на защита от Европейската комисия.
• Сертификацията BSI C5 става задължителна: От 1 юли 2024 г. доставчиците на облачни услуги, които обработват социални или здравни данни от името на доставчици на здравни услуги (лекари, болници, здравноосигурителни фондове и др.), трябва да могат да представят валидна сертификация BSI C5. До 30 юни 2025 г. е достатъчна сертификация от тип 1 (адекватност на контрола); от 1 юли 2025 г. е задължителна сертификация от тип 2 (доказателство за ефективност за определен период от време).
• Това важи и за доставчиците на SaaS: Това задължение се отнася не само за доставчиците на инфраструктура (IaaS) или платформи (PaaS), но също така изрично за доставчиците на софтуер като услуга (SaaS), чиито приложения се използват в облака (напр. болнични информационни системи (HIS), системи за управление на практики (PMS), системи за резервиране на часове, DiGA).
• Внедряване на контроли за клиентите: Институцията, използваща услугите (клиника, практика и др.), трябва от своя страна да внедри контролите за крайните потребители, посочени в одитния доклад на доставчика на облачни услуги.

Този регламент значително затяга изискванията за облачните услуги в сектора на здравеопазването, като на практика прави сертификацията BSI C5 предпоставка за доставчиците на този пазар. Доставчици на облачни услуги като Open Telekom Cloud, AWS (регион Франкфурт), Azure, GCP и немски доставчици като plusserver, STACKIT и IONOS вече притежават C5 сертификати за своите инфраструктури. Сега SaaS решенията за здравеопазване, изградени върху тези инфраструктури (HIS, системи за управление на практики, компоненти за електронни досиета на пациенти и др.), също трябва да предоставят тази сертификация. Примери за компании, активни в облачната среда за здравеопазване и/или търсещи съответните сертификати, включват Gini, Doctolib и Kite Consult. Според Gematik, самото електронно досие на пациента се хоства на сървъри в Германия и ЕС в съответствие с GDPR.

Финанси

Финансовият сектор (банки, застрахователни компании, доставчици на финансови услуги) също е силно регулиран и обработва изключително чувствителни данни. Тук се прилагат строги регулаторни изисквания, наложени от Германския федерален орган за финансов надзор (BaFin) (напр. BAIT, KAIT, VAIT, ZAIT), както и все по-хармонизирани европейски разпоредби. Високите стандарти за ИТ сигурност, управление на риска, устойчивост и одитируемост са стандартна практика.

Ключови регулаторни фактори за внедряването на сигурни и суверенни облачни решения включват:

• Директива NIS2: Банките и инфраструктурите на финансовите пазари обикновено попадат в категориите „съществени“ или „важни“ субекти съгласно NIS2. Следователно те трябва да отговарят на по-строги изисквания по отношение на управлението на риска, сигурността на веригата за доставки (включително доставчиците на облачни услуги), докладването на инциденти и управленската отчетност.
• DORA (Закон за цифрова оперативна устойчивост): Този регламент на ЕС има за цел специално да засили цифровата оперативна устойчивост във финансовия сектор. Той определя подробни изисквания за управление на ИКТ рисковете, докладване на сериозни инциденти, свързани с ИКТ, тестване на цифровата устойчивост и по-специално управление на рисковете от трети страни доставчици на ИКТ услуги, включително доставчици на облачни услуги. DORA изисква, наред с други неща, ясни договорни споразумения с доставчиците на облачни услуги и права за одит.

Доставчиците на облачни услуги, които искат да обслужват финансови институции, трябва да демонстрират способността си да отговарят на тези регулаторни изисквания. Това често се постига чрез сертификати като BSI C5 или ISO 27001, специфични договорни гаранции и прозрачно оповестяване на тяхната архитектура и процеси за сигурност. Доставчици като plusserver, T-Systems, Microsoft с нейната EU Data Boundary и AWS с нейния European Sovereign Cloud се позиционират специално за този регулиран пазар.

Освен това има специализирани SaaS доставчици, предлагащи решения за съответствие за финансовия сектор, като например за борба с прането на пари (AML), „Познай своя клиент“ (KYC), проверка на списъци със санкции, откриване на измами и наблюдение на пазарните злоупотреби. Примери за доставчици с европейско присъствие включват ACTICO (Германия), Pelican AI (Великобритания?), Sopra Financial Technology (Германия/Франция), Otris (Германия) и ViClarity (Ирландия/САЩ?).

В тези силно чувствителни сектори става ясно, че решението за използване на суверенни облачни решения вече не е единствено въпрос на минимизиране на риска, а все повече се обуславя от законови изисквания и строги задължения за съответствие. Необходимостта от демонстриране на сертификати като BSI C5 измества основата за вземане на решения от доброволна оценка на риска към задължително условие за участие на пазара.

Това поставя SaaS доставчиците пред нови предизвикателства. Докато преди доставчикът на инфраструктура (IaaS/PaaS) често е притежавал съответните сертификати, разпоредби като раздел 393 от Германския социален кодекс, книга V (SGB V) сега изрично изискват SaaS доставчиците да предоставят и съответната документация, като например сертификата BSI C5. Разходите и усилията, свързани с получаването и поддържането на такива сертификати, са значителни и биха могли да представляват сериозна пречка, особено за по-малките, иновативни SaaS компании, което потенциално би довело до консолидация на пазара в тези регулирани сектори.

Свързано с това:

• Подкрепя ли политиката на САЩ технологичните компании от ЕС? Суверенитет на данните срещу доминация на САЩ: Бъдещето на облачните технологии в Европа

Насърчаване на суверенитета: инициативи и сертификати на ЕС

За да се укрепи цифровият суверенитет на Европа и да се създаде надеждна рамка за облачни изчисления, на европейско и национално ниво бяха стартирани различни инициативи и стандарти за сертифициране. Те имат за цел да насърчат оперативната съвместимост, да хармонизират стандартите за сигурност и да увеличат доверието в облачните услуги.

Gaia-X: Визия за федерална европейска инфраструктура за данни

Gaia-X е една от най-известните европейски инициативи за укрепване на цифровия суверенитет. Стартирана през 2019 г. от Германия и Франция, тя вече включва множество партньори от бизнеса, науката и политиката в много европейски страни.

• Цели: Основната цел на Gaia-X е да създаде сигурна, федеративна и оперативно съвместима инфраструктура за данни, базирана на европейски ценности като защита на данните (GDPR), прозрачност, доверие и самоопределение. Целта е да се увеличи цифровата независимост на Европа от неевропейски доставчици, да се даде възможност за иновации чрез сигурен обмен на данни и да се засили конкурентоспособността на европейските компании.
• Архитектура и подход: Важно е да се разбере, че самият Gaia-X не е доставчик на облачни услуги, нито изгражда свой собствен „европейски супер-облак“. Вместо това, Gaia-X определя набор от правила, общи стандарти и архитектурни елементи за децентрализирана екосистема от мрежови, оперативно съвместими пространства за данни и услуги за облачна инфраструктура. Тя се основава на принципи като откритост, прозрачност, модулност и използване на отворени стандарти и софтуер с отворен код. Асоциацията Gaia-X за данни и облак (AISBL) разработва спецификации, правила, политики и рамка за проверка на съответствието (Gaia-X Compliance), която ще бъде внедрена чрез така наречените Gaia-X Digital Clearing Houses (GXDCH).
• Компоненти и проекти: В рамките на Gaia-X се появяват конкретни градивни елементи и проекти. Sovereign Cloud Stack (SCS) е важен пример: стандартизиран, базиран на отворен код технологичен стек (базиран на OpenStack, Kubernetes и др.) за изграждане на съвместими с Gaia-X, суверенни облачни инфраструктури (IaaS/PaaS). Той е предназначен да служи като техническа основа за оперативно съвместими и суверенни облачни предложения, включително Немския административен облак.
• Примери за употреба: За да се демонстрират предимствата на Gaia-X, се разработват конкретни пространства за данни и приложения в различни области. Примери могат да бъдат намерени в Индустрия 4.0 (напр. Catena-X за автомобилната индустрия), мобилността, енергетиката, финансите, публичната администрация и особено в здравеопазването. Проекти като TEAM-X, Health-X dataLOFT и GAIA-Med целят да осигурят сигурен и суверенен обмен на здравни данни за подобрени грижи и изследвания.
• Предизвикателства: Въпреки амбициозните си цели, Gaia-X също се сблъсква с предизвикателства и критики. Те включват сложността на проекта, бавния напредък в практическото внедряване, понякога неясните дефиниции и страха, че инициативата може да бъде доминирана от утвърдени глобални хиперскалери. Критикувано е също, че фокусът е бил твърде силен върху инфраструктурния слой (IaaS/PaaS) твърде дълго, пренебрегвайки приложния слой (SaaS).

EUCS: Европейска схема за сертифициране на киберсигурността за облачни услуги

Европейската схема за сертифициране на киберсигурността за облачни услуги (EUCS) е рамка за сертифициране, разработена от Европейската агенция за киберсигурност (ENISA) съгласно Закона на ЕС за киберсигурност (CSA).

• Цел: Основната цел е хармонизиране на изискванията за киберсигурност и сертифицирането за облачни услуги (IaaS, PaaS, SaaS) в целия ЕС. Целта е да се създаде унифициран стандарт за преодоляване на фрагментацията, причинена от различните национални схеми за сертифициране (като SecNumCloud във Франция или C5 в Германия) и да се укрепи единният цифров пазар. За потребителите на облачни услуги, EUCS е предназначен да създаде по-голяма прозрачност и доверие, като демонстрира, че сертифицираните услуги отговарят на специфични стандарти за сигурност.
• Нива на сигурност: Схемата определя три (или в по-ранни варианти четири) нива на сигурност („Основно“, „Съществено“, „Високо“ и евентуално „Високо+“), които отразяват различни нива на риск и възможности на нападателя. С повишаването на нивата се увеличават и изискванията за внедрени мерки за сигурност (напр. мрежова, хранилищна, криптирана сигурност, тестове за проникване) и строгостта на оценката от акредитирани органи за оценка на съответствието (ООС).
• Доброволно срещу задължително: Сертифицирането по EUCS по принцип е доброволно. Законът за киберсигурност и Директивата NIS2 обаче позволяват на държавите членки на ЕС да задължат използването на сертифицирани ИКТ услуги за определени сектори, по-специално за критична инфраструктура (KRITIS). Следователно е вероятно EUCS да се превърне в де факто задължително изискване или ключов критерий при търговете, поне в регулираните сектори.
• Дебат за суверенитета: Централен и противоречив момент в разработването на EUCS беше въпросът за специфичните изисквания за суверенитет, особено за най-високото ниво на сигурност („Високо“ или „Високо+“). По-ранни проекти предвиждаха, че локализацията на данни в рамките на ЕС е задължителна за това ниво и че доставчикът трябва да има седалище и глобален център в държава членка на ЕС, за да гарантира защита срещу неевропейски закони (като например Закона CLOUD). Тези изисквания обаче очевидно бяха премахнати или отслабени в по-късни проекти (към 2024 г.). Това предизвика остри критики от европейските доставчици на облачни услуги (особено МСП), индустриалните асоциации и защитниците на защитата на данните, които се опасяват, че това отслабва цифровия суверенитет на Европа, затвърждава зависимостта от неевропейски хиперскалери и излага данните на европейските граждани и предприятия на повишен риск. Дебатът относно окончателния дизайн на тези изисквания продължава.

BSI C5: Немски стандарт за облачна сигурност

Каталогът с критерии за съответствие с облачните изчисления (C5) на Германската федерална служба за информационна сигурност (BSI) е установен каталог с критерии, който определя специфични минимални изисквания за информационната сигурност на облачните услуги.

• Цел и съдържание: C5 е предназначен да насочва клиентите на облачни услуги при избора на доставчици на сигурни услуги и да създава основа за управление на риска. Той се основава на международно признати стандарти като ISO/IEC 27001, но ги допълва със специфични за облака изисквания и поставя особен акцент върху прозрачността чрез така наречените параметри на околната среда. Тези параметри предоставят информация за аспекти като местоположение на данните, юрисдикция, сертификати и задължения за разкриване на информация пред държавни агенции, което би трябвало да помогне на клиентите да оценят по-добре рисковете (напр. от индустриален шпионаж или нарушения на данните). Каталогът обхваща 17 предметни области, включително организация на информационната сигурност, сигурност на персонала, управление на активи, криптография, управление на самоличността и достъпа, управление на инциденти и физическа сигурност.
• Одитен сертификат (Тип 1 и Тип 2): Съответствието с критериите C5 се демонстрира чрез одитен сертификат, издаден от независим, квалифициран одитор. Има два вида одитни сертификати: Тип 1 удостоверява адекватността на проектирането и внедряването на контролите за сигурност към определена дата. Тип 2 допълнително потвърждава оперативната ефективност на тези контроли за определен период на одит (обикновено от 6 до 12 месеца). Одитен сертификат от тип 2 се счита за по-изчерпателен и ще се изисква за последващи одити и в сектора на здравеопазването от юли 2025 г.
• Значение: C5 се превърна в де факто стандарт за сигурни облачни изчисления в Германия, особено за публичната администрация и силно регулираните сектори като здравеопазването и финансите. Както бе споменато по-рано, сертифицирането по C5 ще стане законово задължително за облачните услуги в здравеопазването чрез Закона за цифровата инфраструктура (DigiG), считано от юли 2024/2025 г. Много германски и европейски, както и международни доставчици на облачни услуги (за своите региони в ЕС) имат сертификати по C5 за своите услуги.

Други съответни стандарти

В допълнение към гореспоменатите инициативи и сертификати, установените международни стандарти също играят важна роля:

• ISO/IEC 27001: Световно признатият стандарт за системи за управление на информационната сигурност (ISMS). Той определя систематичен подход към управлението на чувствителна бизнес информация, за да се гарантира нейната поверителност, цялостност и наличност. Сертификацията по ISO 27001 често е предпоставка за доставчиците на облачни услуги и служи като основа за по-специфични стандарти като C5.
• ISO/IEC 27017: Този стандарт предоставя кодекс за добри практики със специфични мерки за контрол на информационната сигурност в облачни среди, допълвайки ISO/IEC 27002.
• ISO/IEC 27018: Фокусира се върху защитата на лична информация (PII) в публични облаци, действащи като обработващи данни. Той съдържа насоки, тясно свързани с европейските принципи за защита на данните, и може да служи като допълнение към C5, който не обхваща предимно защитата на данните.

Тези различни инициативи и стандарти не трябва непременно да се разглеждат като конкуренти, а по-скоро като допълващи се. Gaia-X предоставя визията и правилата за суверенна екосистема, EUCS има за цел да хармонизира сертифицирането в целия ЕС, а национални стандарти като BSI C5 вече предлагат конкретни, установени изисквания и механизми за тестване. Предизвикателството ще бъде смислено да се интегрират тези подходи и да се създаде съгласувана рамка, която отговаря на стремежите на Европа за суверенитет, като същевременно е практична за доставчиците и потребителите. Настоящият дебат около изискванията за суверенитет в EUCS обаче показва, че все още е необходима допълнителна политическа и техническа работа.

Важно е компаниите да разберат, че сертификати като BSI C5 или ISO 27001 са ценни опори на доверие, създавайки прозрачност и улеснявайки демонстрирането на усилия за сигурност. Те обаче не са панацея и не заместват собствената оценка на риска и due diligence от страна на клиента. Например, сертификат C5 за доставчик от САЩ не променя неговото подчинение на CLOUD Act. Споделената отговорност за сигурността на използването на облака остава между доставчика и клиента и компаниите винаги трябва да проверяват дали мерките на доставчика са достатъчни за техните специфични изисквания и рискове.

Свързано с това:

• Системи за управление на данни в преход: Стратегии за бизнес успех в ерата на изкуствения интелект

Стратегически предимства на преминаването към SaaS доставчици от ЕС

Анализът на рисковете, свързани с използването на облачни услуги, базирани в САЩ, и изследването на нарастващия пазар за суверенни европейски SaaS алтернативи позволяват ясно заключение: За европейските компании разглеждането на тяхната облачна стратегия от гледна точка на цифровия суверенитет е не само препоръчително, но и все по-стратегическа необходимост.

Обобщение на резултатите

Основните констатации на този доклад могат да бъдат обобщени, както следва:

• Постоянни рискове с доставчици от САЩ: Използването на SaaS услуги от компании, подчинени на юрисдикцията на САЩ, представлява значителни и постоянни рискове за европейските компании. Фундаменталният конфликт между GDPR на ЕС и законите на САЩ, като например CLOUD Act и FISA 702, води до потенциални нарушения на данните, високи глоби, загуба на контрол върху данните и риск от индустриален шпионаж. Дори настоящата Рамка за поверителност на данните (DPF) между ЕС и САЩ не разрешава този фундаментален конфликт и дългосрочната ѝ стабилност е несигурна (вижте Раздел II).
• Суверенитетът като многоизмерна концепция: „Суверен SaaS“ в европейски контекст означава повече от просто съхранение на данни в центрове за данни на ЕС. Той включва спазване на европейското законодателство (особено GDPR), защита срещу достъп извън Европа, експлоатация от организации и персонал на ЕС и в идеалния случай технологична откритост и оперативна съвместимост, за да се избегнат зависимости (вижте Раздел III).
• Разрастващ се пазар за алтернативи от ЕС: Съществува разнообразен и разрастващ се пазар от доставчици на SaaS, със седалище и дейност в ЕС/ЕИП/Швейцария. Тези доставчици предлагат решения в множество категории, често със силен фокус върху защитата на данните, сигурността и местните нужди. Много от тях стратегически разчитат на отворен код, за да увеличат максимално прозрачността и контрола (вижте раздели IV и V).
• Регулаторен натиск в чувствителни сектори: В области като публичната администрация, здравеопазването и финансовия сектор, използването на доказано сигурни и суверенни облачни решения (често със сертификат BSI C5 или сравними доказателства) става все по-задължително чрез законодателство (напр. DigiG, DORA, NIS2) и стратегически изисквания (напр. DVS) (вижте Раздел VI).
• Рамкови условия чрез инициативи и стандарти: Европейски инициативи като Gaia-X и сертификати, като например планирания EUCS, както и установени национални стандарти като BSI C5, създават важни рамкови условия, насърчават оперативната съвместимост и са предназначени да укрепят доверието в предлагането на суверенни облачни услуги (вижте раздел VII).

Стратегически предимства на SaaS алтернативите в ЕС

Преминаването към или предимно изборът на европейски SaaS доставчици, които отговарят на критериите за суверенитет, предлага на компаниите стратегически предимства, отвъд простото минимизиране на риска:

• Подобрено съответствие и правна сигурност: Използването на доставчици, които са изключително обект на законодателството на ЕС и гарантират, че данните се обработват в рамките на ЕС, значително намалява риска от нарушения на GDPR и конфликти с неевропейски закони. Това създава по-стабилна и предвидима правна основа за обработка на данни.
• Повишен контрол и сигурност на данните: Европейските доставчици, фокусирани върху суверенитета, често предлагат по-високо ниво на контрол върху вашите собствени данни. Това може да се постигне чрез опции за самостоятелно хостване, последователно криптиране от край до край (нулево знание), прозрачни оперативни процеси и изключване на достъп от страна на властите на трети държави.
• Засилен дигитален суверенитет: Изборът на европейски доставчици намалява стратегическата зависимост от неевропейски технологични компании. Това подкрепя развитието на устойчива цифрова екосистема в Европа и укрепва местната цифрова икономика.
• Местна поддръжка и културна близост: Европейските доставчици често могат да предложат по-достъпно и разбираемо обслужване на клиентите на местния език и часова зона. Те често имат по-задълбочено разбиране на специфичните изисквания и обичаи на европейския пазар, което може да улесни сътрудничеството и преговорите по договори.
• Изграждане на доверие: Използването на решения, които са доказуемо съвместими със защитата на данните и са суверенни, сигнализира за силен ангажимент към защитата и сигурността на данните пред клиенти, партньори и служители. Това може да се превърне в значително предимство по отношение на доверието и конкурентоспособността.

Препоръки за европейски компании

За да се възползват от предимствата на суверенните SaaS решения и да управляват рисковете от внедряването на облачни технологии, европейските компании трябва да обмислят следните стъпки:

• Извършете индивидуален анализ на риска: Направете критична оценка на SaaS услугите, които използвате в момента (особено тези, базирани в САЩ). Анализирайте вида на обработваните данни (чувствителност, лични данни), приложимите регулаторни изисквания (GDPR, специфични за индустрията разпоредби) и потенциалното въздействие на неоторизиран достъп до данни или прекъсвания на услугите върху вашия бизнес.
• Дефинирайте изискванията за суверенитет: Определете нивото на суверенитет на данните, оперативен контрол и технологична независимост, което е необходимо и желателно за вашата организация. Не всяко приложение изисква едно и също ниво на суверенитет. Приоритизирайте въз основа на риска и стратегическото значение.
• Систематично оценявайте пазара за алтернативи в ЕС: Използвайте пазарни обзори (като този в този доклад) и собствено проучване, за да идентифицирате потенциални европейски SaaS доставчици, които отговарят на вашите функционални и свързани със суверенитета изисквания. Вземете предвид размера на доставчика, специализацията, препоръките и бъдещата жизнеспособност.
• Цялостната проверка е от съществено значение при избора на доставчик: Не разчитайте на маркетингови твърдения. Критично разгледайте информацията на доставчика относно местоположенията на данните (включително резервни копия и метаданни), оперативния персонал, структурата на компанията (собственост, регистриран офис), използваните подизпълнители, технологиите за криптиране (особено криптиране от край до край/с нулево знание) и мерките за сигурност. Изискайте споразумения за обработка на данни (DPA), технически и организационни мерки (TOMs) и съответните сертификати или атестации (напр. ISO 27001, BSI C5) и ги прегледайте внимателно.
• Разработете стратегия за миграция и план за излизане: Внимателно планирайте всяка потенциална миграция. Вземете предвид разходите, техническите усилия, необходими за миграция на данни, необходимите корекции на интерфейса и управлението на промените за вашите служители. Осигурете оперативна съвместимост и дефинирайте ясна стратегия за излизане, за да улесните бъдеща смяна на доставчик или обратимост на данните.
• Разгледайте отворения код като опция: Оценете дали SaaS решенията, базирани на отворен код, независимо дали като управлявана услуга от доставчик от ЕС или самостоятелно хоствани, представляват подходяща алтернатива за постигане на максимална прозрачност, адаптивност и контрол.
• Следете регулаторната среда: Бъдете информирани за новостите в трансатлантическия трафик на данни (DPF проверка), европейските стандарти за сертифициране (EUCS) и съответните закони (NIS2, DORA, специфични за индустрията разпоредби), тъй като те могат значително да повлияят на вашата облачна стратегия.

Решението за или против използването на специфични облачни услуги, особено по отношение на американските доставчици спрямо европейските алтернативи, е много повече от технически или чисто свързан със съответствието въпрос. Това е стратегическо решение с дългосрочни последици за правната сигурност, сигурността на данните, контрола върху критични бизнес процеси и в крайна сметка, устойчивостта и конкурентоспособността на компанията на световната дигитална сцена. Анализираните рискове от зависимост от неевропейски доставчици са значителни и се изострят, а не смекчават от настоящата геополитическа и правна ситуация.

В същото време, преминаването към европейски алтернативи не е даденост. Компаниите трябва внимателно да преценят дали предимствата по отношение на съответствието и контрола надвишават потенциалните недостатъци по отношение на функционалността, скоростта на иновациите или усилията за миграция. Задълбоченият анализ на собствените нужди, реалистичната оценка на наличните алтернативи и внимателното планиране на прехода са от решаващо значение за успеха. Европейският пазар обаче все повече предлага жизнеспособни и надеждни опции, които позволяват на компаниите да се възползват от предимствата на облака, без да компрометират своя дигитален суверенитет.

☑️ Подкрепа за МСП в стратегията, консултирането, планирането и внедряването

☑️ Създаване или пренасочване на стратегията за ИИ

☑️ Pioneer Business Development

Konrad Wolfenstein

С удоволствие бих служел като ваш личен съветник.

Можете да се свържете с мен, като попълните формата за контакт по-долу или просто ми се обадите на +49 89 89 674 804 (Мюнхен) .

Очаквам с нетърпение нашия съвместен проект.

Xpert.Digital е индустриален център, фокусиран върху дигитализацията, машиностроенето, логистиката/интралогистиката и фотоволтаиката.

С нашето 360° решение за бизнес развитие, ние подкрепяме известни компании от нов бизнес до следпродажбено обслужване.

Пазарно разузнаване, маркетинг, маркетингова автоматизация, разработване на съдържание, PR, имейл кампании, персонализирани социални медии и подхранване на лийдове са част от нашите дигитални инструменти.

Можете да намерите повече информация на: www.xpert.digital - www.xpert.solar - www.xpert.plus