Mimo amerického cloudu: Přehled nabídek suverénního SaaS + doporučení k akci

Potřeba digitální suverenity pro evropské společnosti

Digitální transformace neúprosně postupuje a cloud computing, zejména software jako služba (SaaS), se stal nepostradatelným nástrojem pro firmy všech velikostí. Umožňuje flexibilitu, škálovatelnost a přístup k inovativním technologiím. Zároveň tento vývoj vedl k významné závislosti na několika málo, většinou amerických, poskytovatelích cloudových služeb.

Souvisí s tím:

• Proč je americký zákon CLOUD problémem a rizikem pro Evropu a zbytek světa: Zákon s dalekosáhlými důsledky

Prohlášení o problému: Rostoucí závislost na amerických poskytovatelích cloudových služeb

Evropskému cloudovému trhu jednoznačně dominují hlavní američtí hyperscaleři: Amazon Web Services (AWS), Microsoft Azure a Google Cloud Platform (GCP). Tito poskytovatelé ovládají velký podíl na globálním trhu. Dokonce i přední evropští poskytovatelé, jako jsou SAP a Deutsche Telekom, dosahují v Evropě ve srovnání s nimi pouze malých tržních podílů. Tato koncentrace s sebou nese inherentní riziko: velká část globální, a zejména evropské, cloudové infrastruktury potenciálně podléhá jurisdikci USA. V důsledku toho roste povědomí o rizicích spojených s touto závislostí v evropských společnostech a stále častěji i ve veřejné správě. Do popředí se dostávají obavy ohledně ochrany a zabezpečení dat a ztráty kontroly nad kritickými daty a procesy. Otázka digitální suverenity se stává strategickým imperativem.

Relevantnost datové suverenity a dodržování GDPR

V centru evropských obav leží obecné nařízení o ochraně osobních údajů (GDPR). Od roku 2018 tvoří přísný právní rámec pro ochranu osobních údajů v Evropské unii a podrobně upravuje jejich zpracování a přenos, zejména do zemí mimo EU. Pro evropské společnosti není dodržování GDPR jen právní povinností, ale také klíčovým faktorem pro udržení důvěry zákazníků a obchodních partnerů. Souběžně s tím nabývá na významu koncept digitální suverenity. Popisuje ambice Evropy znovu získat nebo udržet kontrolu nad vlastními daty, technologiemi a digitální infrastrukturou. Nejde jen o ochranu údajů, ale také o cíl průmyslové politiky zaměřený na posílení evropské ekonomiky a konkurenceschopnosti v globalizovaném digitálním světě. Pro společnosti to znamená potřebu přehodnotit cloudové strategie a proaktivně hledat řešení, která jsou jak právně v souladu, tak důvěryhodná a zajišťují jejich provozní způsobilost.

Souvisí s tím:

• Integrace nezávislé platformy umělé inteligence s využitím různých dat pro všechny obchodní potřeby

Cíle a struktura zprávy

Tato zpráva je určena evropským obchodním a IT manažerům, kteří čelí výzvě vývoje cloudové strategie, která bude odolná vůči budoucím změnám a bude zohledňovat rizika. Jejím cílem je poskytnout solidní základ pro rozhodování prostřednictvím:

• Analyzuje specifická rizika, která pro evropské společnosti vyplývají z používání SaaS služeb se sídlem v USA, zejména s ohledem na konflikt mezi GDPR a americkými zákony, jako je CLOUD Act a FISA 702.
• Definuje, co se v evropském kontextu rozumí pod pojmem „suverénní SaaS nabídky“ a jaká kritéria musí splňovat.
• Toto je přehled trhu evropských poskytovatelů SaaS, kteří se prezentují jako suverénní alternativy, rozdělený do kategorií podle oblastí použití.
• Porovnává důležité alternativy v klíčových kategoriích s ohledem na funkce, ceny a především implementaci datové suverenity a dodržování GDPR.
• Zdůrazněna byla specializovaná řešení pro citlivá odvětví, jako je veřejná správa, zdravotnictví a finance.
• Prezentuje relevantní iniciativy EU (jako například Gaia-X) a certifikace (jako například EUCS, BSI C5), které podporují cloudovou suverenitu.
• Vyvozuje závěry a odvozuje doporučení pro strategické směřování firem.

Analýza rizik: Cloudové služby v USA a výzvy pro evropské společnosti

Využívání cloudových služeb, zejména SaaS nabídek, od poskytovatelů se sídlem ve Spojených státech představuje pro evropské společnosti značné právní a provozní problémy. Ty vyplývají především ze zásadního konfliktu mezi přísnými evropskými předpisy o ochraně osobních údajů a rozsáhlými americkými zákony o dohledu a přístupu k datům.

Hlavní konflikt: GDPR vs. americké zákony o sledování

Obecné nařízení o ochraně osobních údajů (GDPR) tvoří základ evropské ochrany údajů. Stanovuje vysoké standardy pro zpracování osobních údajů občanů EU. Články 44 a násl. GDPR, které upravují předávání těchto údajů do třetích zemí (zemí mimo EU/EHP), jsou obzvláště relevantní pro používání cloudu. Takový předávání je přípustné pouze tehdy, pokud třetí země poskytuje „odpovídající úroveň ochrany“ (stanovenou rozhodnutím Evropské komise o odpovídající úrovni ochrany) nebo pokud jsou zavedeny „vhodné záruky“ (jako jsou standardní smluvní doložky nebo závazná podniková pravidla) a subjekty údajů mají k dispozici vymahatelná práva a účinné právní prostředky nápravy. Článek 48 GDPR dále výslovně zakazuje předávání údajů orgánům třetí země na základě jejich rozhodnutí nebo rozsudků, pokud neexistuje mezinárodní dohoda, například smlouva o vzájemné právní pomoci. Několik zákonů USA, které orgánům USA poskytují rozsáhlá přístupová práva k údajům, i když jsou uloženy mimo USA, je v rozporu s tímto evropským standardem ochrany

• Americký zákon CLOUD Act (Clarifying Lawful Overseas Use of Data Act): Tento zákon, přijatý v roce 2018, zmocňuje americké donucovací orgány a zpravodajské služby k tomu, aby požadovaly, aby americké komunikační a technologické společnosti předaly data, která mají pod kontrolou – bez ohledu na to, kde na světě jsou tato data uložena. To výslovně zahrnuje i data umístěná v datových centrech v Evropské unii. Zákon CLOUD Act tak podkopává princip teritoriality ochrany údajů a přímo odporuje požadavkům GDPR, zejména článku 48. Byl přijat částečně v reakci na vleklý právní spor mezi společností Microsoft a vládou USA o přístup k e-mailům uloženým na serverech v Irsku a modernizoval starší předpisy o přístupu z doby po 11. září 2001, jako například Patriot Act. Ačkoli zákon CLOUD Act poskytuje poskytovateli mechanismy k napadení příkazu ke zveřejnění, pokud porušuje zákon jiného státu (například GDPR), praktická účinnost těchto mechanismů, zejména s ohledem na příkazy k národní bezpečnosti, je velmi kontroverzní a nenabízí žádnou spolehlivou záruku pro evropské společnosti. Poskytovatelé se tak ocitají v dilematu: pokud budou dodržovat nařízení zákona CLOUD Act bez právního základu EU, riskují obrovské pokuty podle GDPR; pokud odmítnou sdělit informace s odvoláním na GDPR, čelí sankcím podle práva USA.
• FISA Paragraf 702 (Zákon o sledování zahraničních zpravodajských služeb): Toto ustanovení, které je součástí dodatků k FISA z roku 2008, umožňuje americkým zpravodajským agenturám, jako je NSA, provádět cílené sledování elektronické komunikace osob, které nejsou občany USA a nacházejí se mimo USA. Sledování se provádí za účelem získání „informací zahraničních zpravodajských služeb“. FISA 702 zavazuje americké poskytovatele elektronických komunikačních služeb (ECSP), mezi které patří mnoho velkých poskytovatelů cloudových služeb a SaaS, ke spolupráci s úřady. Rozsah potenciálně shromažďovaných údajů je velmi široký a může zahrnovat nejen metadata, ale i obsah komunikace, a to i komunikace nezúčastněných třetích stran, které pouze zmiňují cílovou osobu. Sledovací programy podle FISA 702 (jako je PRISM a Upstream) byly ústředním bodem kritiky v rozhodnutí Evropského soudního dvora ve věci Schrems II (viz níže). Kritika se také zaměřuje na nedostatek účinných právních prostředků nápravy pro dotčené občany EU a na potenciál hromadného sledování, přestože americké úřady toto popírají.
• Výkonné nařízení 12333 a další: Kromě zákona CLOUD a zákona FISA 702 existují i ​​další právní základy, jako například výkonné nařízení 12333, které americkým zpravodajským agenturám uděluje rozsáhlé pravomoci k provádění dohledu v zahraničí, často bez soudního dohledu nebo zvláštních právních omezení pro osoby, které nejsou občany USA.

Tento zásadní právní konflikt vytváří situaci, kdy využívání cloudových služeb od amerických poskytovatelů představuje pro evropské společnosti inherentní rizika.

Specifická rizika pro evropské společnosti

Popsaný právní konflikt představuje hmatatelná rizika pro evropské společnosti, které využívají SaaS služby se sídlem v USA:

• Úniky dat a pokuty: Zpřístupnění osobních údajů orgánům USA podle zákona CLOUD Act nebo FISA 702 bez platného právního základu podle práva EU (např. smlouvy o vzájemné právní pomoci) představuje jasné porušení GDPR, zejména článku 48. To může vést k vysokým pokutám až do výše 4 % celosvětového ročního obratu, jakož i k občanskoprávním nárokům na náhradu škody ze strany subjektů údajů. Pouhé používání cloudové služby v USA lze považovat za potenciálně neslučitelné s GDPR, pokud poskytovatel nemůže zaručit, že nezveřejní data v rozporu s GDPR.
• Ztráta datové suverenity a kontroly: Smluvní ujištění amerických poskytovatelů, že data jsou uložena pouze v datových centrech EU, nenabízejí účinnou ochranu před přístupem USA podle zákona CLOUD Act nebo FISA. Americké zákony mohou tato ujištění a dokonce i technická ochranná opatření přepsat. Ani šifrování dat není všelékem, pokud americký poskytovatel kontroluje šifrovací klíče, protože by mohl být nucen je zveřejnit. Podobně lze obejít mechanismy kontroly přístupu a auditní protokoly lze prohlížet bez vědomí vlastníka dat, což porušuje požadavky GDPR na transparentnost. Evropské společnosti tak fakticky ztrácejí kontrolu nad tím, kdo a za jakých okolností přistupuje k jejich datům.
• Průmyslová špionáž a ztráta obchodního tajemství: Potenciální odliv citlivých firemních dat představuje obzvláště vážné riziko. Patří sem duševní vlastnictví, výzkumná a vývojová data, prototypy, strategické plány, finanční údaje a důvěrná zákaznická data a komunikace. Obava, že by americké úřady mohly zneužít svá přístupová práva k ekonomickým účelům (průmyslová špionáž), je pro evropské společnosti hlavním důvodem k hledání alternativ nebo k zavedení dalších ochranných opatření. Ztráta těchto informací může vést k významným finančním ztrátám, poškození pověsti a ztrátě konkurenčních výhod.
• Právní nejistota a ztráta důvěry: Nevyřešený konflikt mezi evropskými zákony na ochranu osobních údajů a americkými přístupovými právy vytváří pro společnosti využívající americké služby značnou právní nejistotu. Tato nejistota komplikuje dlouhodobé plánování a úsilí o dodržování předpisů. Kromě toho může pokračující používání služeb, u kterých nelze zaručit ochranu osobních údajů, vážně narušit důvěru zákazníků, zaměstnanců a obchodních partnerů.
• Geopolitická rizika: Zákony jako zákon CLOUD jsou vnímány v kontextu globálních trendů směrem ke zvýšenému státnímu dohledu a potenciální fragmentaci internetu („Splinternet“). Srovnání se vedou k podobným zákonům v jiných zemích, jako je například čínský zákon o národních zpravodajských službách. Nadměrná závislost na poskytovatelích technologií z jediného mimoevropského regionu navíc představuje strategická rizika pro digitální autonomii a odolnost Evropy.

Rizika spojená s používáním cloudových služeb v USA dalece přesahují potenciální sankce v rámci GDPR. Patří mezi ně ztráta kritických obchodních dat, poškození pověsti a ohrožení konkurenceschopnosti v důsledku možného zneužití přístupových práv k průmyslové špionáži. Tato často obtížně kvantifikovatelná, ale potenciálně existenční „vedlejší“ rizika se snadno podceňují, pokud se zaměříme pouze na dodržování GDPR.

Rozhodnutí ve věci Schrems II a rámec pro ochranu osobních údajů (DPF)

Právní nejistotu kolem transatlantických přenosů dat výrazně zhoršilo rozhodnutí Evropského soudního dvora (ESD) ve věci Schrems II z července 2020. ESD prohlásil tehdy platnou dohodu o štítu na ochranu soukromí mezi EU a USA za neplatnou. Zdůvodnění: Americké zákony o sledování, zejména FISA 702 a související programy, umožňují porušování základních práv občanů EU (ochrana údajů, soukromí), které se neomezuje na to, co je nezbytně nutné, a nenabízí rovnocennou ochranu jako ochrana poskytovaná v EU. Kromě toho v USA chybí účinné právní prostředky pro dotčené osoby proti takovým sledovacím opatřením. Ačkoli rozhodnutí potvrdilo obecnou platnost standardních smluvních doložek (SCC) jako alternativního nástroje pro přenos dat, ESD objasnil, že vývozci údajů se nemohou na SCC slepě spoléhat. V rámci individuálního posouzení (Transfer Impact Assessment – ​​TIA) je třeba zkoumat, zda právní předpisy a postupy v cílové zemi (zde USA) zaručují úroveň ochrany, která je „v podstatě rovnocenná“ úrovni v EU. Pokud tomu tak není kvůli zákonům o sledování – jak navrhl Soudní dvůr EU pro USA – musí být přijata další opatření (doplňková opatření) (např. silné šifrování, kdy příjemce nemá přístup ke klíčům) k zajištění ochrany. Pokud ani to není možné, musí být přenos dat pozastaven. Zákon CLOUD Act byl v této souvislosti vnímán jako faktor, který dále podkopává argument pro rovnocennou úroveň ochrany. V reakci na právní nejistotu vytvořenou zákonem Schrems II a s cílem postavit toky dat mezi EU a USA na pevnější základy se Evropská komise a vláda USA dohodly na rámci pro ochranu osobních údajů mezi EU a USA (DPF). Ten vstoupil v platnost v červenci 2023 prostřednictvím nového rozhodnutí Evropské komise o odpovídající ochraně. Rámec pro ochranu osobních údajů (DPF) má řešit obavy, které vznesl Evropský soudní dvůr (ESD) v rozsudku ve věci Schrems II, a to poskytnutím dodatečných záruk na straně USA: přístup amerických zpravodajských služeb k údajům občanů EU má být omezen na to, co je nezbytné a přiměřené, a pro občany EU byl zřízen nový dvoustupňový mechanismus právní ochrany (včetně Soudního dvora pro přezkum ochrany osobních údajů – DPRC). Společnosti v USA mohou získat certifikaci DPF a přenosy údajů z EU do těchto certifikovaných společností jsou poté považovány za přípustné bez nutnosti dalších nástrojů, jako jsou standardní smluvní doložky (SCC) nebo jiná opatření. Přetrvávají však značné pochybnosti a rizika ohledně stability a účinnosti DPF

• Základní zákony USA zůstávají v platnosti: Zákon CLOUD a zákon FISA 702 nebyly zákonem DPF novelizovány. Základní pravomoci amerických orgánů k přístupu k údajům nadále existují.
• Pochybnosti o kontrole Evropského soudního dvora (ESD): Mnoho odborníků na ochranu údajů a aktivistů pochybuje, že by záruky stanovené Fondem na ochranu údajů (DPF) a novým mechanismem právních prostředků obstály při obnovené kontrole ze strany ESD. Zpochybňována je zejména nezávislost a vymáhací pravomoc Regulační komise pro ochranu údajů (DPRC).
• Je vyžadováno průběžné sledování: Podle článku 45(4) GDPR je Evropská komise povinna průběžně sledovat vývoj v USA a pravidelně přezkoumávat jeho přiměřenost. První přezkum proběhl v létě 2024. Nedávný vývoj, jako je rozšíření a potenciální rozšíření zákona FISA 702, by mohl opět ohrozit základ DPF.
• Riziko pro společnosti: Společnosti, které se spoléhají výhradně na DPF, podstupují značné riziko. Pokud by Evropský soudní dvůr v budoucnu také prohlásil DPF za neplatný (scénář „Schrems III“), přenosy dat na jeho základě by se přes noc opět staly nelegálními. Společnosti, které pak nemají „plán B“ (např. přechod k poskytovateli z EU nebo zavedení účinných dodatečných opatření), nemohou očekávat shovívavost.

Základní konflikt mezi americkým právem o širokém přístupu k údajům a základním právem EU na ochranu údajů tak přetrvává i v rámci DPF. Americké zákony, které problém způsobují, zůstávají v platnosti. DPF představuje spíše politické a potenciálně dočasné řešení než konečné právní řešení. Základní problém přístupu amerických orgánů k údajům evropských občanů a společností, který by mohl být v rozporu s GDPR, nebyl vyřešen.

Definice a kritéria: Co znamená „suverénní SaaS“?

Vzhledem k popsaným rizikům evropské společnosti stále častěji hledají alternativy, které jim nabízejí větší kontrolu, zabezpečení a dodržování právních předpisů. V této souvislosti se často používají termíny „suverénní cloud“ nebo „suverénní SaaS“. Co ale přesně tyto termíny znamenají a jaká kritéria musí nabídka splňovat, aby byla v evropském kontextu považována za suverénní?

Klíčové prvky suverenity v kontextu cloudu

Digitální suverenita v cloudovém prostředí je mnohostranný koncept, který jde nad rámec pouhého technického poskytování služeb. Lze ji chápat prostřednictvím několika klíčových prvků:

• Datová suverenita: Toto je ústřední princip. Stanovuje, že data podléhají zákonům a předpisům jurisdikce, ve které se nacházejí nebo byla shromážděna. Pro Evropu to znamená především plné uplatňování právních předpisů EU o ochraně osobních údajů (zejména GDPR) a ochranu před přístupem orgánů ze třetích zemí na základě exteritoriálních zákonů, jako je americký zákon CLOUD Act. Zákazník si ponechává plnou kontrolu nad tím, kdo a za jakých podmínek může k jeho údajům přistupovat.
• Umístění dat a lokalizace dat:
  • Rezidentita dat znamená, že zákaznická data (včetně metadat a záloh) jsou zaručeně uložena a zpracovávána v rámci definované zeměpisné oblasti, obvykle v EU nebo EHP. To je nezbytná podmínka pro datovou suverenitu v kontextu EU, ale samo o sobě to nestačí, pokud poskytovatel podléhá mimoevropským zákonům.
  • Lokalizace dat je přísnější požadavek, který stanoví, že data nesmí opustit hranice konkrétní země. Takové zákony jsou v EU vzácné, ale mohou být relevantní pro konkrétní národní předpisy nebo odvětví.
• Provozní suverenita: Tento prvek se týká kontroly nad provozem cloudové infrastruktury a služeb, které na ní běží. Mezi klíčové aspekty patří:
  • Provoz prováděný zaměstnanci EU a právními subjekty EU: Musí být zajištěno, aby zaměstnanci s fyzickým nebo logickým přístupem ke cloudovému prostředí a zákaznickým datům sídlili v EU a podléhali právu EU. Přístupu z oblastí mimo EU musí být zabráněno nebo přísně kontrolováno pomocí technických a organizačních opatření.
  • Sídlo a struktura společnosti v EU: Samotný poskytovatel cloudových služeb, nebo alespoň právnická osoba odpovědná za provoz v EU, by měla mít sídlo v členském státě EU/EHP, a proto by měla primárně podléhat evropskému právu. Je také zásadní, aby neexistovala žádná závislost na mateřských společnostech nebo dceřiných společnostech ve třetích zemích (zejména v USA), které by mohly vynucovat dodržování jejich zákonů (jako je zákon CLOUD Act nebo zákon FISA).
  • Transparentnost a auditovatelnost: Zákazníci potřebují transparentnost ohledně provozních procesů, subdodavatelů a implementovaných bezpečnostních opatření. Schopnost nezávisle kontrolovat a auditovat přístup a procesy je klíčovou charakteristikou provozní suverenity.
• Technologická suverenita: To se týká schopnosti porozumět, kontrolovat, ověřovat a ideálně i (dále) rozvíjet základní klíčové technologie. Mezi její aspekty patří:
  • Využívání otevřených standardů a softwaru s otevřeným zdrojovým kódem: Otevřené standardy a software s otevřeným zdrojovým kódem podporují interoperabilitu mezi různými poskytovateli a řešeními, zvyšují transparentnost (protože kód je auditovatelný), snižují riziko závislosti na určitém dodavateli a usnadňují bezpečnostní audity. Často tvoří základ pro evropské technologické balíčky, jako je Sovereign Cloud Stack (SCS).
  • Interoperabilita a přenositelnost: Schopnost snadno migrovat data a aplikace mezi různými poskytovateli cloudových služeb nebo zpět do vlastní infrastruktury (on-premise) je známkou nezávislosti a flexibility.
  • Kontrola nad technologickým stackem: V dlouhodobém horizontu si technologická suverenita klade za cíl snížit závislost na proprietárních hardwarových a softwarových komponentách z mimoevropských zdrojů a budovat evropské odborné znalosti.

Souvisí s tím:

• Nezávislé platformy umělé inteligence jako strategická alternativa pro evropské společnosti

Vymezení a nedorozumění

Termín „suverénní cloud“ není právně chráněn a různí poskytovatelé jej často používají jako marketingový nástroj, přičemž základní koncepty a opatření se značně liší. Proto je pro společnosti zásadní pečlivě prozkoumat, co poskytovatel rozumí suverenitou a jaké konkrétní záruky nabízí. Častým omylem je, že ukládání dat v datovém centru v EU je dostatečné k zaručení suverenity. To ale není pravda. Jak je vysvětleno v části II, americký zákon CLOUD Act umožňuje přístup k datům patřícím americkým společnostem bez ohledu na to, kde jsou uložena. Rezidentita dat v EU proto nechrání před přístupem USA, pokud samotný poskytovatel nebo jeho mateřská společnost sídlí v USA nebo jinak podléhá jurisdikci USA. Dalším omylem je, že nabídky suverénního cloudu nevyhnutelně s sebou nesou funkční omezení nebo pomalejší tempo inovací ve srovnání s globálními hyperškálovači. I když to v některých případech může být pravda, protože místní poskytovatelé často postrádají stejné úspory z rozsahu a rozpočty na výzkum, primárním cílem suverénních řešení není omezení, ale spíše kombinace výhod cloud computingu (flexibilita, škálovatelnost) s požadavky na kontrolu, bezpečnost a dodržování předpisů. Mnoho evropských poskytovatelů se spoléhá na otevřené technologie, které umožňují inovace a adaptabilitu.

Kritéria pro poskytovatele suverénních SaaS z pohledu EU

Na základě klíčových prvků suverenity lze odvodit konkrétní kritéria, podle kterých mohou evropské společnosti hodnotit poskytovatele SaaS:

• Ochrana osobních údajů a dodržování předpisů: Poskytovatel musí prokazatelně splňovat požadavky GDPR. Toto by mělo být zdokumentováno smlouvou o zpracování osobních údajů (DPA) v souladu s článkem 28 GDPR a vhodnými technickými a organizačními opatřeními (TOM). Musí být rovněž zajištěn soulad s dalšími relevantními předpisy EU a národními předpisy (např. pro specifická odvětví).
• Umístění a zpracování dat: Musí být smluvně zaručeno, že veškerá zákaznická data, včetně metadat, konfiguračních dat a záloh, jsou uložena a zpracovávána výhradně v EU nebo EHP.
• Provoz a řízení přístupu: Provoz služeb a přístup k zákaznickým datům musí být zajišťován personálem se sídlem v EU, který patří k právnické osobě z EU. Musí být zavedena přísná technická a organizační opatření, aby se zabránilo neoprávněnému přístupu, zejména z oblastí mimo EU.
• Firemní struktura a jurisdikce: Poskytovatel by měl mít sídlo a hlavní právní kontrolu v EU/EHP. Nesmí existovat žádné firemní přidružení ani pobočky ve třetích zemích (zejména v USA), které by poskytovatele zařadily pod jejich jurisdikci a potenciálně by ho vynutily ke zveřejnění údajů (např. prostřednictvím zákona CLOUD Act nebo zákona FISA).
• Transparentnost: Poskytovatel by měl být transparentní, pokud jde o jeho provozní procesy, využívání subdodavatelů, místa zpracování dat a zavedená bezpečnostní opatření. Měla by být zajištěna možnost auditu ze strany zákazníka nebo nezávislých třetích stran.
• Technologie a interoperabilita: Preferované používání otevřených standardů (např. API) a/nebo softwaru s otevřeným zdrojovým kódem usnadňuje integraci, testování a potenciální přechod k jiným poskytovatelům (zabraňuje závislosti na určitém dodavateli).
• Certifikace a atestace: Uznávané certifikace a atestace mohou sloužit jako důkaz shody s bezpečnostními a compliance standardy a budovat důvěru. Obzvláště důležité jsou normy ISO 27001, BSI C5 (v Německu) a v budoucnu EUCS.

Začíná být jasné, že digitální suverenita v kontextu SaaS je vícerozměrný koncept. Nejde jen o to, kde jsou data uložena, ale také o to, kdo je zpracovává a jak, jakým zákonům poskytovatel podléhá a jaké technologické základy jsou používány. Společnosti proto musí při výběru poskytovatele zvážit, které dimenze suverenity jsou pro ně nejdůležitější a jak dobře poskytovatel splňuje tyto specifické požadavky. Pouhá rezidence dat v EU často nestačí k účinnému zmírnění rizik, zejména těch, která představují zákony USA. Zároveň společnosti často čelí dilematu: touha po maximální suverenitě a kontrole musí být vyvážena potenciálními nevýhodami z hlediska funkčnosti, rychlosti inovací nebo nákladů, které mohou nastat u některých evropských nebo striktně suverénních poskytovatelů ve srovnání s globálními hyperscalery. Mnoho evropských poskytovatelů považuje používání softwaru s otevřeným zdrojovým kódem za strategický přístup k zajištění transparentnosti, důvěry a adaptability, i když nemusí být v popředí každého nového technologického vývoje.

Využijte rozsáhlé, pětinásobné odborné znalosti společnosti Xpert.Digital v komplexním balíčku služeb | Výzkum a vývoj, XR, PR a optimalizace digitální viditelnosti - Obrázek: Xpert.Digital

Společnost Xpert.Digital disponuje hlubokými znalostmi napříč různými odvětvími. To nám umožňuje vyvíjet strategie na míru, které přesně odpovídají požadavkům a výzvám vašeho specifického segmentu trhu. Díky neustálé analýze tržních trendů a sledování vývoje v odvětví můžeme jednat proaktivně a nabízet inovativní řešení. Kombinace zkušeností a odborných znalostí vytváří přidanou hodnotu a poskytuje našim klientům rozhodující konkurenční výhodu.

Více informací zde:

• Využijte 5 oblastí odbornosti Xpert.Digital v jednom balíčku – již od 500 €/měsíc

Přehled trhu: Alternativy suverénního SaaS z EU

Evropský trh softwaru jako služby (SaaS) nabízí rostoucí počet poskytovatelů, kteří se prezentují jako alternativy k dominantním americkým hráčům. Mnozí z nich kladou zvláštní důraz na ochranu údajů, dodržování GDPR a digitální suverenitu, aby splnili specifické potřeby evropských podniků a organizací.

Kritéria pro výběr poskytovatelů

Následující přehled se zaměřuje na poskytovatele SaaS, kteří splňují následující kritéria:

• Původ: Sídlo společnosti se nachází v členském státě Evropské unie (EU), Evropského hospodářského prostoru (EHP) nebo Švýcarska (CH), jelikož Švýcarsko má od Evropské komise rozhodnutí o odpovídající ochraně a je často úzce integrováno do Evropského hospodářského prostoru.
• Pozicionování: Poskytovatel se explicitně prezentuje jako suverénní nebo alternativa splňující požadavky na ochranu osobních údajů, případně vykazuje základní charakteristiky digitální suverenity (např. exkluzivní hosting v EU/EHP, prokazatelný soulad s GDPR, nepodléhání zákonům USA, jako je CLOUD Act/FISA, používání open source).
• Relevantnost: Poskytovatel byl zmíněn v podkladových výzkumných zdrojích nebo je ve své kategorii známý jako relevantní alternativa.

Pro lepší přehlednost jsou poskytovatelé seskupeni podle běžných kategorií SaaS.

Kategorizovaný přehled evropských poskytovatelů SaaS

Následující tabulka poskytuje přehled vybraných evropských poskytovatelů SaaS, seřazených podle funkční oblasti. Slouží jako výchozí bod pro podrobnější hodnocení.

Přehled evropských poskytovatelů SaaS podle kategorií

Přehled evropských poskytovatelů SaaS podle kategorií – Obrázek: Xpert.Digital

(Poznámka: Tato tabulka je pouze výběrem a není vyčerpávající. Informace vycházejí z dostupných zdrojů a mohou se změnit. Nezávislé ověření společností je nezbytné.)

Přehled evropských poskytovatelů SaaS představuje širokou škálu řešení, rozdělených podle typu. V sektoru spolupráce a kancelářských aplikací nabízejí poskytovatelé jako Nextcloud Hub z Německa open-source platformu pro soubory, komunikaci, groupware a kancelářské aplikace. Tato platforma může být hostována samostatně nebo u poskytovatele a upřednostňuje datovou suverenitu. Open-Xchange App Suite, rovněž z Německa, poskytuje komplexní řešení pro e-mail, groupware, disk a dokumenty, zejména pro poskytovatele a firmy, a splňuje normy ISO 27001. ONLYOFFICE z Lotyšska nabízí kancelářský balíček s funkcemi pro spolupráci a pracovním prostorem (včetně CRM a e-mailu). Je kompatibilní s cloudem i on-premise a splňuje požadavky GDPR. Collabora Online, založený na LibreOffice, je často integrován s platformami jako Nextcloud. TeamDrive, rovněž z Německa, se zaměřuje na vysoce bezpečné cloudové úložiště s end-to-end šifrováním a principem nulových znalostí. Conceptboard, rovněž z Německa, nabízí online tabuli pro vizuální spolupráci s využitím serverů EU a bez zapojení USA. CryptPad z Francie kombinuje open-source a end-to-end šifrovanou spolupráci. Stackfield z Německa poskytuje platformu pro chat, úkoly a video, která je v souladu s GDPR.

V sektoru CRM a prodeje vyniká německá společnost Zeeg svým plánováním schůzek v souladu s GDPR, zatímco CentralStationCRM nabízí jednoduché CRM řešení pro malé a střední podniky. SAP CRM, jako součást sady SAP, je zaměřen na podniky. V případě cloudových úložišť nabízejí poskytovatelé jako pCloud ze Švýcarska volitelné end-to-end šifrování a doživotní tarify. Tresorit kombinuje vysokou bezpečnost, přístup s nulovými znalostmi a dodržování předpisů pro Evropu. Proton Drive, rovněž ze Švýcarska, nabízí šifrovaný hosting souborů. Nabídku doplňují němečtí poskytovatelé jako IONOS HiDrive a mezinárodní možnosti jako Infomaniak kDrive.

Pro videokonference stojí za zmínku OpenTalk z Německa se zvláštním zaměřením na bezpečnost a dodržování GDPR a open-source řešení Jitsi Meet. eyeson z Rakouska nabízí cloudové videokonference, zatímco Univid ze Švédska se zaměřuje na webináře. V oblasti webové analytiky nabízí Matomo open-source variantu s plnou kontrolou dat, Plausible Analytics klade důraz na snadné použití a ochranu osobních údajů, etracker z Německa se vyhýbá souborům cookie a Piwik PRO je zaměřen na firmy.

Marketingovou automatizaci zajišťují poskytovatelé jako Brevo (dříve Sendinblue) se servery v Německu/EU a Evalanche, který se zaměřuje na B2B a má certifikaci ISO. Personio je lídrem v oblasti HR softwaru a nabízí komplexní platformu pro malé a střední podniky, doplněnou řešeními jako HRworks a Rexx Systems, která nabízejí cloudové i on-premise modely. OpenProject je německé open-source řešení pro projektový management, zatímco Zenkit vyniká svými flexibilními pracovními prostory. Poskytovatelé zabezpečeného e-mailu, jako jsou Tutanota a Proton Mail, upřednostňují ochranu dat a end-to-end šifrování. Jednotné přihlášení zajišťuje Bare.ID se sídlem v Německu a je v souladu s GDPR. Z nástrojů pro průzkumy ohromují LamaPoll a LimeSurvey svou přizpůsobitelností a německými serverovými standardy. QuestionPro ve své verzi pro EU doplňuje seznam rozsáhlými funkcemi a shodou s GDPR.

Tento přehled zdůrazňuje pozoruhodnou rozmanitost a specializaci evropského trhu SaaS. Zejména v oblastech, kde ochrana a bezpečnost dat tradičně hrály hlavní roli – jako je spolupráce, bezpečná komunikace, cloudové úložiště a webová analytika – existuje široká škála alternativ. Mnoho z těchto poskytovatelů jsou malé nebo střední podniky (MSP) nebo specializovaní hráči z různých evropských zemí. Často kladou silný důraz na dodržování GDPR a specifické potřeby evropského trhu, což se odráží ve funkcích, jako je hosting v EU, podpora v němčině nebo specifické certifikace shody.

Strategický význam open-source softwaru pro mnoho evropských poskytovatelů je také pozoruhodný. Zejména v oblastech spolupráce (Nextcloud, CryptPad), kancelářských aplikací (ONLYOFFICE, Collabora), projektového řízení (OpenProject), webové analytiky (Matomo) a videokonferencí (Jitsi, OpenTalk) tvoří technologie s otevřeným zdrojovým kódem často základ. Nejde jen o technický detail; je to vědomé rozhodnutí, které podporuje transparentnost (prostřednictvím přístupného kódu), adaptabilitu, auditovatelnost a zamezení závislosti na dodavateli. Tyto aspekty jsou klíčovými stavebními kameny digitální suverenity a umožňují evropským poskytovatelům nabízet důvěryhodná a flexibilní řešení, aniž by nutně měli přístup k obrovským vývojovým rozpočtům globálních hyperscalerů. To dává zákazníkům větší kontrolu a vhled do technologií, které používají.

Porovnání vybraných alternativ EU

Po obecném přehledu trhu následuje podrobnější srovnání vybraných, reprezentativních evropských SaaS alternativ v klíčových kategoriích. Důraz je kladen na základní funkce, cenové modely, jedinečné prodejní argumenty a zejména na implementaci datové suverenity a dodržování GDPR.

Metodologie srovnání

Výběr poskytovatelů pro podrobné srovnání je založen na jejich relevanci a četnosti zmiňování v podkladových zdrojích, jakož i na jejich pozici jakožto přímých evropských alternativ ke známým americkým službám. Srovnání se opírá o informace z úryvků konkrétních poskytovatelů a další relevantní datové body z obecných úryvků. Kritéria zahrnují:

• Základní funkce: Co software v jádru dělá?
• Cenový model: Jaká je cenová struktura (předplatné, freemium, doživotní, on-premise)?
• Umístění/hosting dat: Kde jsou data hostována (garantováno v EU/DE)? Existují možnosti vlastního hostingu?
• Šifrování: Které metody šifrování se používají (zejména end-to-end, zero-knowledge)?
• Certifikace/soulad s předpisy: Jaké relevantní certifikáty (ISO 27001, BSI C5 atd.) a závazky týkající se souladu s předpisy (GDPR) existují?
• Silné/slabé stránky týkající se suverenity: Zvláštnosti nebo omezení týkající se kontroly dat, transparentnosti a nezávislosti.

Podrobné srovnání podle kategorií

Podrobné srovnání důležitých alternativ SaaS v EU

Podrobné srovnání důležitých alternativ SaaS v EU – Obrázek: Xpert.Digital

Detailní srovnání klíčových alternativ SaaS v EU ukazuje, že Nextcloud Hub jako modulární platforma nabízí funkce, jako je synchronizace a sdílení souborů, videokonference, groupware a integrace s kancelářskými systémy, zatímco Open-Xchange App Suite jako integrovaný balíček se zaměřuje na e-mail, kalendář, kontakty a úložiště. Nextcloud Hub umožňuje úplnou kontrolu prostřednictvím vlastního hostingu a nabízí volitelné end-to-end šifrování, ale má vyšší IT požadavky pro vlastní hosting. Open-Xchange vyniká certifikací ISO a ochranou dat v souladu s EU, ale je závislý na cloudu od poskytovatele. V sektoru CRM boduje Zeeg svým jasným souladem s GDPR a hostingem v Německu, zatímco CentralStationCRM zaujme svou jednoduchostí a zaměřením na malé a střední podniky. Oba poskytovatelé nabízejí freemium modely a garantují umístění dat v souladu s GDPR. V sektoru cloudových úložišť nabízí pCloud výhody z hlediska flexibility s doživotními plány a možnostmi úložiště v EU; end-to-end šifrování je však volitelné a je zpoplatněno. Tresorit naopak boduje konzistentním šifrováním s nulovými znalostmi a vysokou úrovní shody s předpisy, ale je dražší. ONLYOFFICE a Collabora Online nabízejí komplexní kancelářské alternativy se silným zaměřením na EU a s open-source možnostmi, přičemž ONLYOFFICE vyniká kompatibilitou s Microsoftem a funkcemi pro spolupráci. Collabora Online je úzce integrován s platformami jako Nextcloud, a proto se méně zaměřuje na samostatné funkce. V oblasti videokonferencí vyniká OpenTalk funkcemi, jako jsou webináře, ankety a jasné zaměření na GDPR, zatímco Jitsi Meet jako bezplatné open-source řešení nabízí maximální sebekontrolu a jednoduchost. Obě řešení nabízejí možnosti pro lokální použití a silné funkce ochrany dat, přičemž OpenTalk se vyznačuje bezpečnostní pečetí BSI IT.

Podrobné srovnání zdůrazňuje, že jen zřídka existuje jediná „nejlepší“ evropská alternativa. Volba silně závisí na specifických požadavcích a prioritách společnosti. Objevují se například jasné kompromisy mezi maximálním zabezpečením a cenou (pCloud vs. Tresorit) nebo mezi komplexní kontrolou prostřednictvím vlastního hostingu a pohodlím spravovaného SaaS řešení (Nextcloud vs. OX App Suite Cloud). Společnosti musí zvážit, který aspekt – rozsah funkcí, snadnost použití, náklady nebo stupeň suverenity a zabezpečení – je pro ně nejdůležitější.

Klíčovou charakteristikou mnoha evropských poskytovatelů je flexibilita jejich provozních modelů. Řešení jako Nextcloud, ONLYOFFICE, OpenTalk a Jitsi nabízejí jak cloudové (SaaS), tak i on-premise nebo self-hostingové možnosti. To dává společnostem možnost určit si vlastní úroveň kontroly a suverenity. Mohou se rozhodnout pro pohodlí SaaS řešení od důvěryhodného evropského poskytovatele nebo si zvolit maximální kontrolu nad daty a infrastrukturou provozováním ve vlastním datovém centru. Tato volba přímo řeší základní potřebu kontroly, která je hybnou silou debaty o suverenitě.

Integrace nezávislé platformy umělé inteligence s využitím různých datových zdrojů pro všechny obchodní potřeby - Obrázek: Xpert.Digital

AI Game Changer: Nejflexibilnější platforma s umělou inteligencí – Řešení šitá na míru, která snižují náklady, zlepšují vaše rozhodování a zvyšují efektivitu

Nezávislá platforma umělé inteligence: Integruje všechny relevantní firemní zdroje dat

• Tato platforma umělé inteligence interaguje se všemi specifickými zdroji dat
  • Od systémů pro správu dat od SAP, Microsoft, Jira, Confluence, Salesforce, Zoom, Dropbox a mnoha dalších
• Rychlá integrace umělé inteligence: Řešení umělé inteligence šitá na míru pro firmy během hodin nebo dnů, místo měsíců
• Flexibilní infrastruktura: Cloudová nebo hosting ve vlastním datovém centru (Německo, Evropa, volná volba lokality)

• Maximální zabezpečení dat: jeho použití v advokátních kancelářích je nezpochybnitelným důkazem
• Nasazení v široké škále podnikových datových zdrojů
• Výběr vlastních nebo jiných modelů umělé inteligence (DE, EU, USA, CN)

Výzvy, které řeší naše platforma umělé inteligence

• Nedostatečná vhodnost konvenčních řešení umělé inteligence
• Ochrana dat a bezpečná správa citlivých dat
• Vysoké náklady a složitost vývoje individuální umělé inteligence
• Nedostatek kvalifikovaných specialistů na umělou inteligenci
• Integrace umělé inteligence do stávajících IT systémů

Více informací zde:

• Integrace nezávislé platformy umělé inteligence s využitím různých dat pro všechny obchodní potřeby

Specializovaná řešení: Suverénní SaaS pro citlivá odvětví

Přestože dosud diskutovaná SaaS řešení jsou často použitelná napříč odvětvími, existují sektory s obzvláště vysokými nároky na bezpečnost, dodržování předpisů a digitální suverenitu. Patří mezi ně zejména veřejná správa, zdravotnictví a finanční sektor. V těchto oblastech se rozvíjejí specializované nabídky a regulační rámce, které podporují nebo dokonce nařizují používání suverénních cloudových řešení.

Veřejná správa

Veřejný sektor v Německu a Evropě má inherentní zájem na digitální suverenitě, aby si zajistil kontrolu nad daty občanů a kritickými vládními procesy. Požadavky často jdou nad rámec standardního dodržování GDPR a zahrnují specifické bezpečnostní standardy, jako je BSI IT Baseline Protection nebo katalog kritérií BSI C5. Důležitými aspekty jsou také interoperabilita mezi různými orgány a úrovněmi státní správy, stejně jako preference softwaru s otevřeným zdrojovým kódem, aby se zabránilo závislostem.

Několik iniciativ si klade za cíl vytvořit suverénní cloudovou infrastrukturu pro správu:

• Německá strategie pro administrativní cloud (DVS): Tato strategie, kterou iniciovala Rada pro plánování IT a FITKO, si klade za cíl vytvořit federální, bezpečný, interoperabilní a suverénní cloudový ekosystém pro federální vládu, země a obce. Spoléhá na otevřené standardy, multicloudový přístup a integraci veřejných poskytovatelů IT služeb (jako jsou Dataport, AKDB a IT.NRW), kteří hrají ústřední roli a těší se vysoké úrovni důvěry. V budoucnu bude možné integrovat i externí poskytovatele splňující normy DVC. Klíčovým prvkem je portál cloudových služeb (CSP) jako tržiště pro standardizované a certifikované cloudové služby.
• Federální cloudová / federální platforma pro IT operace: ITZBund již provozuje cloudové platformy (SaaS, PaaS) pro federální úřady, které mají být konsolidovány v roce 2025 a splňovat vysoké požadavky na bezpečnost a ochranu dat.
• Centrum pro digitální suverenitu (ZenDiS): Tato instituce se konkrétně zaměřuje na propagaci používání open source softwaru ve veřejné správě a podporuje projekty, jako je OpenDesk, open source alternativa k Microsoft 365, která je speciálně vyvinuta pro veřejný sektor.
• Gaia-X a Sovereign Cloud Stack (SCS): Tyto evropské iniciativy poskytují důležité technické základy a standardy pro budování suverénních cloudových infrastruktur, které hodlá využít i DVS. SCS, open-source stack založený na OpenStacku a Kubernetes, již používá několik německých poskytovatelů (např. plusserver).

Konkrétní, nezávislé SaaS nabídky pro veřejnou správu pocházejí jak od poskytovatelů veřejných IT služeb (např. Conceptboard od IT.NRW, dDataBox od Dataport), tak od specializovaných komerčních poskytovatelů, kteří často disponují certifikacemi BSI C5 a jsou k dispozici na tržištích, jako je govdigital (např. plusserver, STACKIT, IONOS, OVHcloud). Důležitou roli hrají také open-source řešení, jako je Nextcloud nebo OpenDesk.

Souvisí s tím:

• Závislí na americkém cloudu? Německý boj o cloud: Jak plánují konkurovat AWS (Amazon) a Azure (Microsoft)

zdravotní péče

Zdravotnictví zpracovává extrémně citlivé osobní údaje (zdravotní údaje ve smyslu článku 9 GDPR), které podléhají zvláštní ochraně. Kromě GDPR a lékařského tajemství se uplatňují specifické národní zákony, jako je zákon o ochraně osobních údajů pacientů (PDSG) a v poslední době zákon o digitální zdravotní péči (DigiG). V této souvislosti mají zásadní význam bezpečnost, dostupnost a důvěrnost.

Klíčovým faktorem pro používání suverénních cloudových řešení v německém systému zdravotní péče je zákon o digitální ochraně osobních údajů (DigiG), který vstoupil v platnost v březnu 2024. Nový § 393 německého sociálního zákoníku, kniha V (SGB V), sice výslovně povoluje zpracování sociálních a zdravotních údajů pomocí cloud computingu, ale stanoví pro to velmi přísné podmínky:

• Zpracování údajů pouze v EU/EHP/CH nebo v zemi rozhodnutí o odpovídající ochraně: Zpracování údajů může probíhat pouze v rámci země EU/EHP, Švýcarska nebo třetí země s rozhodnutím o odpovídající ochraně vydaným Evropskou komisí.
• Certifikace BSI C5 se stává povinnou: Od 1. července 2024 musí být poskytovatelé cloudových služeb, kteří zpracovávají sociální nebo zdravotní data jménem poskytovatelů zdravotní péče (lékaři, nemocnice, zdravotní pojišťovny atd.), schopni předložit platnou certifikaci BSI C5. Do 30. června 2025 postačuje certifikace typu 1 (přiměřenost kontrol); od 1. července 2025 je povinná certifikace typu 2 (prokázání účinnosti v průběhu času).
• Toto platí i pro poskytovatele SaaS: Tato povinnost se vztahuje nejen na poskytovatele infrastruktury (IaaS) nebo platformy (PaaS), ale výslovně také na poskytovatele softwaru jako služby (SaaS), jejichž aplikace se používají v cloudu (např. nemocniční informační systémy (HIS), systémy pro řízení praxe (PMS), systémy pro rezervaci schůzek, DiGA).
• Implementace kontrolních mechanismů pro zákazníky: Uživatelská instituce (klinika, praxe atd.) musí následně implementovat kontrolní mechanismy pro koncové uživatele uvedené v auditní zprávě poskytovatele cloudových služeb.

Toto nařízení výrazně zpřísňuje požadavky na cloudové služby ve zdravotnictví, čímž se certifikace BSI C5 stává nezbytnou podmínkou pro poskytovatele na tomto trhu. Poskytovatelé cloudových služeb, jako jsou Open Telekom Cloud, AWS (region Frankfurt), Azure, GCP a němečtí poskytovatelé jako plusserver, STACKIT a IONOS, již certifikaci C5 pro své infrastruktury vlastní. Nyní musí tuto certifikaci poskytovat i SaaS řešení pro zdravotnictví postavená na těchto infrastrukturách (HIS, systémy pro správu praxe, komponenty elektronických záznamů o pacientech atd.). Mezi příklady společností působících v cloudovém prostředí zdravotnictví a/nebo usilujících o relevantní certifikace patří Gini, Doctolib a Kite Consult. Podle společnosti Gematik je samotný elektronický záznam o pacientech hostován na serverech v Německu a EU v souladu s GDPR.

Finance

Finanční sektor (banky, pojišťovny, poskytovatelé finančních služeb) je také vysoce regulovaný a zpracovává extrémně citlivá data. Platí zde přísné regulační požadavky, které ukládá německý Federální úřad pro finanční dohled (BaFin) (např. BAIT, KAIT, VAIT, ZAIT), a také stále harmonizovanější evropské předpisy. Standardní praxí jsou vysoké standardy pro IT bezpečnost, řízení rizik, odolnost a auditovatelnost.

Mezi klíčové regulační faktory pro zavádění bezpečných a suverénních cloudových řešení patří:

• Směrnice NIS2: Banky a infrastruktury finančního trhu obecně spadají podle NIS2 do kategorií „základních“ nebo „důležitých“ subjektů. Musí proto splňovat přísnější požadavky týkající se řízení rizik, bezpečnosti dodavatelského řetězce (včetně poskytovatelů cloudových služeb), hlášení incidentů a odpovědnosti managementu.
• DORA (Digital Operational Resilience Act): Toto nařízení EU se konkrétně zaměřuje na posílení digitální operační odolnosti ve finančním sektoru. Stanoví podrobné požadavky na řízení rizik v oblasti IKT, hlášení závažných incidentů souvisejících s IKT, testování digitální odolnosti a zejména na řízení rizik ze strany externích poskytovatelů služeb IKT, včetně poskytovatelů cloudových služeb. DORA mimo jiné vyžaduje jasné smluvní dohody s poskytovateli cloudových služeb a auditorská práva.

Poskytovatelé cloudových služeb, kteří chtějí sloužit finančním institucím, musí prokázat svou schopnost splňovat tyto regulační požadavky. Toho se často dosahuje prostřednictvím certifikací, jako je BSI C5 nebo ISO 27001, specifických smluvních záruk a transparentního zveřejňování jejich bezpečnostní architektury a procesů. Poskytovatelé jako plusserver, T-Systems, Microsoft se svým EU Data Boundary a AWS se svým European Sovereign Cloud se konkrétně prezentují pro tento regulovaný trh.

Kromě toho existují specializovaní poskytovatelé SaaS, kteří nabízejí řešení pro dodržování předpisů pro finanční sektor, například pro boj proti praní špinavých peněz (AML), systém Know Your Customer (KYC), prověřování sankčních seznamů, odhalování podvodů a monitorování zneužívání trhu. Mezi příklady poskytovatelů s evropskou působností patří ACTICO (Německo), Pelican AI (Spojené království?), Sopra Financial Technology (Německo/Francie), Otris (Německo) a ViClarity (Irsko/USA?).

V těchto vysoce citlivých odvětvích je stále jasnější, že rozhodnutí o využití suverénních cloudových řešení již není pouze otázkou minimalizace rizik, ale stále více je ovlivněno právními požadavky a přísnými povinnostmi v oblasti dodržování předpisů. Potřeba prokázat certifikace, jako je BSI C5, posouvá základ pro rozhodování z dobrovolného posouzení rizik na povinný předpoklad pro účast na trhu.

To představuje pro poskytovatele SaaS nové výzvy. Zatímco dříve poskytovatel infrastruktury (IaaS/PaaS) často vlastnil příslušné certifikace, předpisy, jako je § 393 německého sociálního zákoníku, kniha V (SGB V), nyní výslovně vyžadují, aby poskytovatelé SaaS poskytli i odpovídající dokumentaci, jako je certifikace BSI C5. Náklady a úsilí spojené se získáním a udržováním těchto certifikací jsou značné a mohly by představovat významnou překážku, zejména pro menší, inovativní SaaS společnosti, což by mohlo vést ke konsolidaci trhu v těchto regulovaných odvětvích.

Souvisí s tím:

• Podporuje politika USA technologické společnosti z EU? Datová suverenita vs. dominance USA: Budoucnost cloud computingu v Evropě

Podpora suverenity: iniciativy a certifikace EU

Pro posílení digitální suverenity Evropy a vytvoření důvěryhodného rámce pro cloud computing byly na evropské i národní úrovni zahájeny různé iniciativy a certifikační standardy. Jejich cílem je podpořit interoperabilitu, harmonizovat bezpečnostní standardy a zvýšit důvěru v cloudové služby.

Gaia-X: Vize federované evropské datové infrastruktury

Gaia-X je jednou z nejvýznamnějších evropských iniciativ pro posílení digitální suverenity. Byla spuštěna v roce 2019 Německem a Francií a nyní zahrnuje řadu partnerů z oblasti obchodu, vědy a politiky v mnoha evropských zemích.

• Cíle: Hlavním cílem Gaia-X je vytvořit bezpečnou, federovanou a interoperabilní datovou infrastrukturu založenou na evropských hodnotách, jako je ochrana osobních údajů (GDPR), transparentnost, důvěra a sebeurčení. Jejím cílem je zvýšit digitální nezávislost Evropy na neevropských poskytovatelích, umožnit inovace prostřednictvím bezpečné výměny dat a posílit konkurenceschopnost evropských společností.
• Architektura a přístup: Je důležité si uvědomit, že Gaia-X sama o sobě není poskytovatelem cloudových služeb, ani si nebuduje vlastní „evropský supercloud“. Gaia-X místo toho definuje soubor pravidel, společných standardů a architektonických prvků pro decentralizovaný ekosystém síťových, interoperabilních datových prostorů a cloudových infrastrukturních služeb. Je založen na principech, jako je otevřenost, transparentnost, modularita a používání otevřených standardů a softwaru s otevřeným zdrojovým kódem. Asociace Gaia-X pro data a cloud (AISBL) vyvíjí specifikace, pravidla, zásady a rámec pro ověřování souladu (Gaia-X Compliance), který má být implementován prostřednictvím tzv. Gaia-X Digital Clearing Houses (GXDCH).
• Komponenty a projekty: V rámci Gaia-X se objevují konkrétní stavební bloky a projekty. Důležitým příkladem je Sovereign Cloud Stack (SCS): standardizovaný technologický stack založený na open-source platformách (založený na OpenStacku, Kubernetes atd.) pro budování suverénních cloudových infrastruktur (IaaS/PaaS) kompatibilních s Gaia-X. Má sloužit jako technický základ pro interoperabilní a suverénní cloudové nabídky, včetně německého administrativního cloudu.
• Případy použití: Pro demonstraci výhod Gaia-X se vyvíjejí konkrétní datové prostory a aplikace v různých oblastech. Příklady lze nalézt v Průmyslu 4.0 (např. Catena-X pro automobilový průmysl), mobilitě, energetice, financích, veřejné správě a zejména ve zdravotnictví. Projekty jako TEAM-X, Health-X dataLOFT a GAIA-Med si kladou za cíl umožnit bezpečnou a suverénní výměnu zdravotních dat pro zlepšení péče a výzkumu.
• Výzvy: Navzdory svým ambiciózním cílům čelí Gaia-X také výzvám a kritice. Patří mezi ně složitost projektu, pomalý pokrok v praktické implementaci, někdy nejasné definice a obava, že by iniciativě mohli dominovat zavedení globální hyperškálovači. Kritizováno bylo také to, že se příliš dlouho kladl příliš velký důraz na infrastrukturní vrstvu (IaaS/PaaS) a zanedbávala se aplikační vrstva (SaaS).

EUCS: Evropský systém certifikace kybernetické bezpečnosti pro cloudové služby

Evropský systém certifikace kybernetické bezpečnosti pro cloudové služby (EUCS) je certifikační rámec vyvinutý Evropskou agenturou pro kybernetickou bezpečnost (ENISA) v rámci zákona EU o kybernetické bezpečnosti (CSA).

• Účel: Hlavním cílem je harmonizovat požadavky na kybernetickou bezpečnost a certifikace pro cloudové služby (IaaS, PaaS, SaaS) v celé EU. Jeho cílem je vytvořit jednotný standard pro překonání fragmentace způsobené různými národními certifikačními systémy (jako je SecNumCloud ve Francii nebo C5 v Německu) a posílit jednotný digitální trh. Pro uživatele cloudu má EUCS vytvořit větší transparentnost a důvěru tím, že prokáže, že certifikované služby splňují specifické bezpečnostní standardy.
• Úrovně zabezpečení: Systém definuje tři (nebo v dřívějších návrzích čtyři) úrovně zabezpečení („Základní“, „Podstatná“, „Vysoká“ a případně „Vysoká+“), které odrážejí různé úrovně rizika a schopností útočníka. Se zvyšujícími se úrovněmi se zvyšují i ​​požadavky na implementovaná bezpečnostní opatření (např. síť, úložiště, zabezpečení šifrování, penetrační testy) a důslednost hodnocení akreditovanými orgány posuzování shody (CAB).
• Dobrovolná vs. povinná: Certifikace EUCS je obecně dobrovolná. Zákon o kybernetické bezpečnosti a směrnice NIS2 však umožňují členským státům EU nařídit používání certifikovaných IKT služeb pro určitá odvětví, zejména pro kritickou infrastrukturu (KRITIS). Je proto pravděpodobné, že se EUCS stane de facto povinným požadavkem nebo klíčovým kritériem ve výběrových řízeních, alespoň v regulovaných odvětvích.
• Debata o suverenitě: Ústředním a kontroverzním bodem při vývoji EUCS byla otázka specifických požadavků na suverenitu, zejména pro nejvyšší úroveň zabezpečení („Vysoká“ nebo „Vysoká+“). Dřívější návrhy stanovovaly, že lokalizace dat v rámci EU je pro tuto úroveň povinná a že poskytovatel musí mít své sídlo a globální centrum v členském státě EU, aby byla zajištěna ochrana před neevropskými zákony (jako je zákon CLOUD). Tyto požadavky však byly v pozdějších návrzích (od roku 2024) zřejmě odstraněny nebo oslabeny. To vyvolalo ostrou kritiku ze strany evropských poskytovatelů cloudových služeb (zejména malých a středních podniků), průmyslových sdružení a zastánců ochrany osobních údajů, kteří se obávají, že to oslabuje digitální suverenitu Evropy, upevňuje závislost na neevropských hyperscalerech a vystavuje data evropských občanů a podniků zvýšenému riziku. Debata o konečné podobě těchto požadavků pokračuje.

BSI C5: Německý standard pro cloudové zabezpečení

Katalog kritérií shody s cloudovými technologiemi (C5) německého Spolkového úřadu pro informační bezpečnost (BSI) je zavedený katalog kritérií, který definuje specifické minimální požadavky na informační bezpečnost cloudových služeb.

• Účel a obsah: Katalog C5 je navržen tak, aby zákazníkům cloudových služeb poskytoval návod k výběru bezpečných poskytovatelů a položil základ pro jejich řízení rizik. Je založen na mezinárodně uznávaných normách, jako je ISO/IEC 27001, ale doplňuje je o požadavky specifické pro cloud a klade zvláštní důraz na transparentnost prostřednictvím tzv. environmentálních parametrů. Tyto parametry poskytují informace o aspektech, jako je umístění dat, jurisdikce, certifikace a povinnosti zveřejňování informací vůči vládním agenturám, což by mělo zákazníkům pomoci lépe posoudit rizika (např. z průmyslové špionáže nebo úniků dat). Katalog obsahuje 17 tematických oblastí, včetně organizace informační bezpečnosti, personální bezpečnosti, správy aktiv, kryptografie, správy identit a přístupů, správy incidentů a fyzické bezpečnosti.
• Auditní certifikát (typ 1 a typ 2): Splnění kritérií C5 se prokazuje auditním certifikátem vydaným nezávislým kvalifikovaným auditorem. Existují dva typy auditních certifikátů: Typ 1 osvědčuje adekvátnost návrhu a implementace bezpečnostních kontrol k určitému datu. Typ 2 navíc potvrzuje provozní účinnost těchto kontrol během definovaného auditního období (obvykle 6 až 12 měsíců). Auditní certifikát typu 2 je považován za komplexnější a bude vyžadován pro následné audity a ve zdravotnictví od července 2025.
• Relevantnost: Certifikace C5 se v Německu stala de facto standardem pro bezpečné cloudové výpočty, zejména pro veřejnou správu a vysoce regulovaná odvětví, jako je zdravotnictví a finance. Jak již bylo zmíněno, certifikace C5 se stane od července 2024/2025 ze zákona povinnou pro cloudové služby ve zdravotnictví prostřednictvím zákona o digitální infrastruktuře (DigiG). Mnoho německých a evropských, ale i mezinárodních poskytovatelů cloudových služeb (pro své regiony EU) má pro své služby certifikaci C5.

Další relevantní normy

Kromě výše zmíněných iniciativ a certifikací hrají důležitou roli také zavedené mezinárodní standardy:

• ISO/IEC 27001: Celosvětově uznávaná norma pro systémy managementu bezpečnosti informací (ISMS). Definuje systematický přístup ke správě citlivých obchodních informací s cílem zajistit jejich důvěrnost, integritu a dostupnost. Certifikace ISO 27001 je často předpokladem pro poskytovatele cloudových služeb a slouží jako základ pro specifičtější normy, jako je C5.
• ISO/IEC 27017: Tato norma poskytuje kodex postupů se specifickými kontrolními opatřeními pro informační bezpečnost v cloudových prostředích a doplňuje normu ISO/IEC 27002.
• ISO/IEC 27018: Zaměřuje se na ochranu osobně identifikovatelných údajů (PII) ve veřejných cloudech jednajících jako zpracovatelé dat. Obsahuje pokyny úzce sladěné s evropskými zásadami ochrany osobních údajů a může sloužit jako doplněk k normě C5, která se primárně nezabývá ochranou osobních údajů.

Tyto různé iniciativy a standardy by neměly být nutně vnímány jako konkurenti, ale spíše jako doplňkové. Gaia-X poskytuje vizi a pravidla pro suverénní ekosystém, EUCS si klade za cíl harmonizovat certifikaci v celé EU a národní standardy, jako je BSI C5, již nabízejí konkrétní, zavedené požadavky a testovací mechanismy. Výzvou bude smysluplně integrovat tyto přístupy a vytvořit ucelený rámec, který splňuje aspirace Evropy na suverenitu a zároveň bude praktický pro poskytovatele i uživatele. Současná debata o požadavcích na suverenitu v EUCS však ukazuje, že je stále zapotřebí další politické a technické práce.

Je důležité, aby si firmy uvědomily, že certifikace jako BSI C5 nebo ISO 27001 jsou cennými kotvami důvěry, vytvářejí transparentnost a usnadňují prokazování bezpečnostního úsilí. Nejsou však všeléky a nenahrazují vlastní posouzení rizik a due diligence zákazníka. Například certifikace C5 pro amerického poskytovatele nemění jeho podřízení se zákonu CLOUD Act. Sdílená odpovědnost za bezpečnost používání cloudu zůstává mezi poskytovatelem a zákazníkem a firmy musí vždy ověřit, zda jsou opatření poskytovatele dostatečná pro jejich specifické požadavky a rizika.

Souvisí s tím:

• Systémy správy dat v transformaci: Strategie pro obchodní úspěch ve věku umělé inteligence

Strategické výhody přechodu na poskytovatele SaaS z EU

Analýza rizik spojených s používáním cloudových služeb se sídlem v USA a zkoumání rostoucího trhu se suverénními evropskými alternativami SaaS umožňují jasný závěr: Pro evropské společnosti je řešení jejich cloudové strategie z pohledu digitální suverenity nejen vhodné, ale stále více strategickou nutností.

Shrnutí výsledků

Klíčová zjištění této zprávy lze shrnout následovně:

• Přetrvávající rizika u poskytovatelů z USA: Využívání SaaS služeb od společností podléhajících jurisdikci USA představuje pro evropské společnosti významná a trvalá rizika. Zásadní konflikt mezi GDPR EU a americkými zákony, jako je CLOUD Act a FISA 702, vede k potenciálním únikům dat, vysokým pokutám, ztrátě kontroly nad daty a riziku průmyslové špionáže. Ani současný rámec pro ochranu osobních údajů (DPF) mezi EU a USA tento zásadní konflikt neřeší a jeho dlouhodobá stabilita je nejistá (viz oddíl II).
• Suverenita jako vícerozměrný koncept: „Suverenita SaaS“ v evropském kontextu znamená více než jen ukládání dat v datových centrech EU. Zahrnuje dodržování evropského práva (zejména GDPR), ochranu před přístupem z jiných zemí, provozování subjekty a personálem EU a v ideálním případě technologickou otevřenost a interoperabilitu, aby se zabránilo závislostem (viz oddíl III).
• Rostoucí trh pro alternativy z EU: Existuje rozmanitý a rostoucí trh poskytovatelů SaaS se sídlem a působností v EU/EHP/CH. Tito poskytovatelé nabízejí řešení v mnoha kategoriích, často se silným zaměřením na ochranu dat, bezpečnost a místní potřeby. Mnozí se strategicky spoléhají na open source, aby maximalizovali transparentnost a kontrolu (viz oddíly IV a V).
• Regulační tlak v citlivých odvětvích: V oblastech, jako je veřejná správa, zdravotnictví a finanční sektor, se používání prokazatelně bezpečných a suverénních cloudových řešení (často s certifikací BSI C5 nebo srovnatelnými důkazy) stává stále více povinným prostřednictvím legislativy (např. DigiG, DORA, NIS2) a strategických požadavků (např. DVS) (viz oddíl VI).
• Rámcové podmínky prostřednictvím iniciativ a standardů: Evropské iniciativy, jako je Gaia-X, a certifikace, jako je plánovaný EUCS, stejně jako zavedené národní standardy, jako je BSI C5, vytvářejí důležité rámcové podmínky, podporují interoperabilitu a mají za cíl posílit důvěru v nabídky suverénních cloudových služeb (viz oddíl VII).

Strategické výhody alternativ SaaS v EU

Přechod na evropské poskytovatele SaaS nebo jejich primární výběr, kteří splňují kritéria suverenity, nabízí společnostem strategické výhody nad rámec pouhé minimalizace rizik:

• Lepší dodržování předpisů a právní jistota: Využívání poskytovatelů, kteří podléhají výhradně právu EU a zaručují, že údaje jsou zpracovávány v rámci EU, výrazně snižuje riziko porušení GDPR a konfliktů s mimoevropskými zákony. To vytváří stabilnější a předvídatelnější právní základ pro zpracování údajů.
• Zvýšená kontrola a zabezpečení dat: Evropští poskytovatelé se zaměřením na suverenitu často nabízejí vyšší úroveň kontroly nad vašimi vlastními daty. Toho lze dosáhnout prostřednictvím možností vlastního hostingu, konzistentního šifrování typu end-to-end (zero-knowledge), transparentních provozních procesů a vyloučení přístupu orgánů třetích zemí.
• Posílená digitální suverenita: Výběr evropských poskytovatelů snižuje strategickou závislost na mimoevropských technologických společnostech. Podporuje rozvoj odolného digitálního ekosystému v Evropě a posiluje místní digitální ekonomiku.
• Místní podpora a kulturní blízkost: Evropští poskytovatelé mohou často nabídnout dostupnější a srozumitelnější zákaznický servis v místním jazyce a časovém pásmu. Často mají hlubší pochopení specifických požadavků a zvyklostí evropského trhu, což může usnadnit spolupráci a vyjednávání smluv.
• Budování důvěry: Používání prokazatelně splňujících požadavky na ochranu dat a suverénních řešení signalizuje silný závazek k ochraně a zabezpečení dat zákazníkům, partnerům a zaměstnancům. To se může stát významnou výhodou z hlediska důvěry a konkurenceschopnosti.

Doporučení pro evropské společnosti

Aby evropské společnosti mohly využít výhod suverénních SaaS řešení a řídit rizika spojená s přijetím cloudu, měly by zvážit následující kroky:

• Proveďte individuální analýzu rizik: Kriticky zhodnoťte SaaS služby, které v současné době využíváte (zejména ty se sídlem v USA). Analyzujte typ zpracovávaných dat (citlivost, osobní údaje), příslušné regulační požadavky (GDPR, předpisy specifické pro dané odvětví) a potenciální dopad neoprávněného přístupu k datům nebo výpadků služeb na vaše podnikání.
• Definujte požadavky na suverenitu: Určete úroveň datové suverenity, provozní kontroly a technologické nezávislosti, která je pro vaši organizaci nezbytná a žádoucí. Ne každá aplikace vyžaduje stejnou úroveň suverenity. Prioritizace na základě rizika a strategického významu.
• Systematicky vyhodnoťte trh s alternativami v EU: Využijte přehledy trhu (jako je ten v této zprávě) a vlastní výzkum k identifikaci potenciálních evropských poskytovatelů SaaS, kteří splňují vaše funkční požadavky a požadavky týkající se suverenity. Zvažte velikost poskytovatele, specializaci, reference a budoucí životaschopnost.
• Při výběru poskytovatele je nezbytná důkladná due diligence: Nespoléhejte se na marketingová tvrzení. Kriticky prostudujte informace poskytovatele týkající se umístění dat (včetně záloh a metadat), provozního personálu, struktury společnosti (vlastnictví, sídlo), použitých subdodavatelů, šifrovacích technologií (zejména šifrování end-to-end/zero-knowledge) a bezpečnostních opatření. Vyžádejte si smlouvy o zpracování dat (DPA), technická a organizační opatření (TOM) a příslušné certifikáty nebo atestace (např. ISO 27001, BSI C5) a pečlivě si je prostudujte.
• Vypracujte strategii migrace a plán ukončení: Pečlivě naplánujte jakoukoli potenciální migraci. Zvažte náklady, technické úsilí potřebné pro migraci dat, nezbytné úpravy rozhraní a řízení změn pro vaše zaměstnance. Zajistěte interoperabilitu a definujte jasnou strategii ukončení, která usnadní budoucí změnu poskytovatele nebo reverzibilitu dat.
• Zvažte open source jako možnost: Zhodnoťte, zda řešení SaaS založená na open source, ať už jako spravovaná služba od poskytovatele z EU nebo jako samostatně hostovaná služba, představují vhodnou alternativu pro dosažení maximální transparentnosti, adaptability a kontroly.
• Sledujte regulační prostředí: Zůstaňte informováni o vývoji v oblasti transatlantického datového provozu (ověřování DPF), evropských certifikačních standardů (EUCS) a příslušných zákonů (NIS2, DORA, předpisy specifické pro dané odvětví), protože ty mohou významně ovlivnit vaši cloudovou strategii.

Rozhodnutí pro či proti používání konkrétních cloudových služeb, zejména pokud jde o americké poskytovatele oproti evropským alternativám, je mnohem více než jen technická otázka nebo otázka čistě související s dodržováním předpisů. Jde o strategické rozhodnutí s dlouhodobými důsledky pro právní jistotu, bezpečnost dat, kontrolu nad kritickými obchodními procesy a v konečném důsledku i pro odolnost a konkurenceschopnost společnosti v globální digitální scéně. Analyzovaná rizika závislosti na neevropských poskytovatelích jsou značná a současná geopolitická a právní situace je spíše zhoršuje než zmírňuje.

Zároveň přechod na evropské alternativy není samozřejmostí. Společnosti musí pečlivě zvážit, zda výhody z hlediska dodržování předpisů a kontroly převažují nad potenciálními nevýhodami, pokud jde o funkčnost, rychlost inovací nebo úsilí o migraci. Důkladná analýza vlastních potřeb, realistické posouzení dostupných alternativ a pečlivé plánování přechodu jsou pro úspěch klíčové. Evropský trh však stále více nabízí životaschopné a důvěryhodné možnosti, které společnostem umožňují využívat výhod cloudu, aniž by ohrozily svou digitální suverenitu.

☑️ Podpora malých a středních podniků v oblasti strategie, poradenství, plánování a implementace

☑️ Vytvoření nebo úprava strategie AI

☑️ Průkopnický rozvoj podnikání

Konrad Wolfenstein

Rád/a bych sloužil/a jako váš osobní poradce.

Můžete mě kontaktovat vyplněním níže uvedeného kontaktního formuláře nebo mi jednoduše zavolat na číslo +49 89 89 674 804 (Mnichov) .

Těším se na náš společný projekt.

Xpert.Digital je centrum pro průmysl se zaměřením na digitalizaci, strojírenství, logistiku/intralogistiku a fotovoltaiku.

S naším komplexním řešením pro rozvoj podnikání 360° podporujeme renomované společnosti od nových obchodů až po poprodejní služby.

Součástí našich digitálních nástrojů jsou analýzy trhu, s-marketing, marketingová automatizace, vývoj obsahu, PR, mailové kampaně, personalizované sociální sítě a péče o leady.

Více informací naleznete na: www.xpert.digital - www.xpert.solar - www.xpert.plus