Europa mówi o niepodległości? 15 000 gmin przeanalizowanych: Niewidzialna siła Microsoftu w naszych administracjach

Rewelacyjne badanie ujawnia: austriackie gminy są uzależnione od firmy Microsoft

Mit niezależności: Dlaczego suwerenność cyfrowa zawodzi już na etapie skrzynki odbiorczej

W 2026 roku komunikacja mailowa wydaje się niemal nudną, podstawową technologią. Jednak to właśnie tam, w niepozornych skrzynkach odbiorczych naszych samorządów, rozstrzyga się jedna z najważniejszych strategicznych kwestii naszych czasów: cyfrowa suwerenność Europy. Podczas gdy na scenie politycznej elokwentnie głosi się niezależność technologiczną, szeroko zakrojone badanie projektu MXmap, obejmujące ponad 15 000 miejskich infrastruktur poczty elektronicznej w regionie DACH (Niemcy, Austria i Szwajcaria), ujawnia brutalną rzeczywistość. Wyniki wskazują na rażącą zależność od korporacji amerykańskich – przede wszystkim od Microsoftu.

Jednak obraz ten jest daleki od jednolitości: podczas gdy Niemcy zaskakują zaskakująco niskim udziałem USA, wynoszącym zaledwie 7,2%, Austria (67%) i Szwajcaria (53,3%) są silnie uzależnione od tego giganta technologicznego. To, co na pierwszy rzut oka brzmi jak czysto techniczna kwestia zamówień publicznych, w rzeczywistości niesie ze sobą ogromne ryzyko ekonomiczne, związane z ochroną danych i geopolityczne. Ponieważ ten, kto kontroluje infrastrukturę cyfrową, kontroluje również wrażliwe metadane agencji rządowych, obywateli i przedsiębiorstw. Czytaj dalej, aby dowiedzieć się, dlaczego amerykański dostawca nie jest automatycznie zagrożony, dlaczego prawdziwa suwerenność musi opierać się na swobodzie wyboru, a nie autarkii – i dlaczego prawdziwy koszt cyfrowej monokultury nie jest odzwierciedlony w opłacie licencyjnej.

Suwerenność cyfrowa zaczyna się w miejskiej skrzynce pocztowej: Niepozorny problem infrastrukturalny, który wywołuje polityczną eksplozję

W 2026 roku poczta elektroniczna wydaje się niemal nudną, podstawową technologią. Właśnie dlatego jej strategiczne znaczenie jest łatwo niedoceniane. W samorządzie terytorialnym nie jest ona jedynie jednym z wielu kanałów komunikacji, ale elementem łączącym departamenty, obywateli, firmy, organy polityczne, władze państwowe i zewnętrznych dostawców usług. Miejskie skrzynki pocztowe obsługują planowanie spotkań, sprawy kadrowe, dokumenty przetargowe, sprawy socjalne, informacje budowlane i biznesowe, wewnętrzne raporty sytuacyjne oraz powiadomienia o procedurach administracyjnych. Nawet jeśli szczególnie wrażliwe dane nie powinny być przesyłane pocztą elektroniczną w postaci niezaszyfrowanej, nadawca, odbiorca, znaczniki czasu, tematy wiadomości, załączniki i częstotliwość komunikacji już generują znaczące metadane.

W tym kontekście opublikowane wyniki projektu MXmap mają istotne znaczenie ekonomiczne i polityczne. Według projektu zbadano 15 331 miejskich infrastruktur poczty elektronicznej w Niemczech, Austrii i Szwajcarii. Zgłoszony udział dostawców z USA wynosi zaledwie 7,2% w Niemczech, 53,3% w Szwajcarii i 67% w Austrii. Kategoria dostawców z USA obejmuje zatem niemal wyłącznie firmę Microsoft. Prawdziwym odkryciem jest zatem nie tylko zależność od systemu prawnego spoza Europy, ale także wyjątkowo silna koncentracja na jednej korporacji.

Różnice są tak znaczące, że trudno je uznać za przypadkowe wahania. Wskaźnik dla Austrii jest ponad dziewięciokrotnie wyższy niż dla Niemiec, a dla Szwajcarii ponad siedmiokrotnie. Z drugiej strony oznacza to, że około 92,8% badanej niemieckiej infrastruktury komunalnej nie jest klasyfikowane jako dostarczane przez dostawców z USA, podczas gdy w Szwajcarii odsetek ten wynosi zaledwie 46,7%, a w Austrii 33%. Ten rozkład nie oznacza automatycznie, że Niemcy są suwerenne cyfrowo, a Austria niepewna. Pokazuje on jednak, że trzy powiązane gospodarczo kraje o podobnych zadaniach administracyjnych podjęły zasadniczo odmienne decyzje dotyczące zamówień publicznych i infrastruktury.

Niniejsze badanie dostarcza czegoś, czego często brakuje w debacie na temat suwerenności cyfrowej: empirycznie widocznej struktury. Termin ten jest często używany w dyskursie politycznym, ale często pozostaje abstrakcyjny. Mapa miejskich dostawców poczty elektronicznej przekłada go na konkretne zależności, wzorce regionalne i decyzje instytucjonalne. Nie pokazuje, kto wygłasza lepsze przemówienia, ale raczej, którzy dostawcy są faktycznie obecni w codziennych kanałach komunikacji administracji publicznej.

Co tak naprawdę mierzą liczby

Wiarygodna analiza musi najpierw rozróżnić domenę poczty e-mail, routing poczty e-mail, przypisanie dostawcy, przetwarzanie danych i fizyczną lokalizację pamięci masowej. Projekt gromadzi domeny miejskie z oficjalnych katalogów i innych publicznie dostępnych źródeł, identyfikuje adresy e-mail, sprawdza rekordy DNS i MX oraz uzupełnia te sygnały informacjami, takimi jak dane SPF, informacje Autodiscover, charakterystyka SMTP oraz przypisania do sieci autonomicznych. Następnie system wykorzystuje kilka wskaźników technicznych, aby określić, który dostawca prawdopodobnie obsługuje daną usługę poczty e-mail. Metodologia obejmuje również sprawdzenie zabezpieczeń, takich jak SPF, DMARC, DNSSEC i DANE.

Jest to znacznie bardziej pouczające niż po prostu przeglądanie pojedynczego rekordu MX. Bramy bezpieczeństwa mogą zasłaniać podstawową usługę pocztową, reguły przekierowywania mogą generować fałszywe wrażenie, a historyczne wpisy mogą nadal istnieć, mimo że usługa praktycznie nie jest już używana. Dlatego łączenie wielu wskaźników i weryfikacja ich za pomocą komunikatów o niedostarczonych wiadomościach poprawia niezawodność mapowania. Co więcej, otwarte publikowanie potoku, danych i map zwiększa weryfikowalność i umożliwia wprowadzanie korekt.

Niemniej jednak, wyników nie należy nadinterpretować. Publiczne sygnały DNS wskazują przede wszystkim, gdzie wiadomości e-mail mogą być dostarczane i które systemy działają jako legalni nadawcy. Nie dowodzą one w każdym indywidualnym przypadku, gdzie przechowywane są wszystkie wiadomości, kopie zapasowe, logi i metadane. Podobnie, nie można na podstawie tych informacji określić wyłącznie rodzaju umowy stosowanej przez gminę, czy wdrożono specjalne szyfrowanie klienta, kto kontroluje klucze ani którzy podwykonawcy są zaangażowani. Termin „serwer” może być również mylący, ponieważ pojedyncza gmina może korzystać z wielu technicznych punktów końcowych, a z drugiej strony wiele gmin może być obsługiwanych za pośrednictwem wspólnej platformy.

Prawidłowa interpretacja nie jest zatem taka, że ​​67% austriackich gmin w sposób oczywisty przechowuje wszystkie wrażliwe dane na serwerach fizycznych w Stanach Zjednoczonych. Przeciwnie, wiarygodnie ustalono, że bardzo wysoki odsetek ankietowanych austriackich gmin posiada publicznie identyfikowalną infrastrukturę poczty elektronicznej przypisaną do amerykańskiego dostawcy, głównie Microsoftu. Sama ta zależność od dostawcy i jurysdykcji ma istotne znaczenie ekonomiczne, nawet jeśli dane są przechowywane w europejskim centrum danych.

Na uwagę zasługuje również populacja ogółem. Struktury gminne zmieniają się poprzez fuzje, stowarzyszenia administracyjne i wspólne obszary. Analiza techniczna może obejmować wiele obszarów należących do jednego samorządu terytorialnego lub, przeciwnie, przypisać wiele samorządów terytorialnych do wspólnej infrastruktury. Dlatego wartości procentowe powinny być zawsze publikowane wraz z datą odniesienia, definicją badanej jednostki, zasadami klasyfikacji, poziomami ufności oraz odsetkiem przypadków, których nie można jednoznacznie przypisać. Chociaż duża liczebność próby sprawia, że ​​ogólny wzorzec jest przekonujący, nie zastępuje ona przejrzystości w zakresie szczegółów metodologicznych.

Suwerenność to możliwość głosowania, a nie cyfrowa autarkia

Suwerenność cyfrowa jest często błędnie utożsamiana z całkowitą samowystarczalnością technologiczną. Taka autonomia nie byłaby ani realistyczna, ani ekonomicznie opłacalna dla poszczególnych gmin. Żaden urząd miejski nie musi samodzielnie opracowywać własnych procesorów, programować własnego systemu operacyjnego ani obsługiwać centrum danych. Suwerenność oznacza raczej możliwość samodzielnego podejmowania kluczowych decyzji przy rozsądnych kosztach i korygowania ich w razie potrzeby. Obejmuje to kontrolę nad danymi, tożsamościami, kluczami, interfejsami, warunkami umownymi, procesami operacyjnymi i strategiami wyjścia.

Decydującym czynnikiem jest zatem nie tylko pochodzenie produktu, ale raczej połączenie jurysdykcji prawnej, kontroli technicznej, ekonomicznej zastępowalności i zdolności operacyjnej. Europejski dostawca z zastrzeżonymi formatami, słabymi procesami bezpieczeństwa i brakiem przenośności może również stworzyć zależność gminy. Z kolei dostawca z USA może oferować technicznie doskonałe usługi, wysoką dostępność, silne mechanizmy obronne i umownie ograniczone przepływy danych. Pochodzenie pozostaje jednak istotne, ponieważ struktura własności i siedziba firmy decydują o tym, jakim przepisom i regulacjom rządowym może podlegać dostawca poza granicami kraju.

Suwerenność można zatem rozumieć jako opcję strategiczną. Gmina jest tym bardziej suwerenna, im bardziej wiarygodnie może zmieniać dostawców, zastępować poszczególne usługi, w pełni eksportować dane, kontrolować własne klucze i kontynuować działalność pomimo zmian geopolitycznych lub prawnych. Czysto teoretyczny wybór jest niewystarczający. Jeśli zmiana dostawcy jest dozwolona umownie, ale technicznie zajmuje lata, nie da się jej przeprowadzić przy dostępnym personelu lub staje się zbyt kosztowna z powodu zastrzeżonych integracji, to w praktyce nie ma wolności wyboru.

Z ekonomicznego punktu widzenia suwerenność cyfrowa jest podobna do ubezpieczenia od rzadkich, ale potencjalnie poważnych zdarzeń. W normalnych warunkach redundancja wydaje się droższa niż ujednolicona platforma. Jednak w kryzysie wartość alternatywnych metod operacyjnych, przenośnych danych i niezależnej wiedzy specjalistycznej staje się oczywista. Problem polega na tym, że korzyści z takiego przygotowania nie są widoczne każdego roku, a koszty licencji i migracji są natychmiast uwzględniane w budżecie. Systemy zamówień, które porównują jedynie ceny krótkoterminowe, niedoceniają zatem ryzyka strukturalnego.

Dlaczego Microsoft jest tak atrakcyjny ekonomicznie

Powszechne przyjęcie rozwiązań Microsoft nie jest wyłącznie wynikiem zaniedbań politycznych. Wynika ono z silnej logiki ekonomicznej. Microsoft 365 łączy pocztę e-mail, kalendarz, usługi katalogowe, aplikacje Office, wideokonferencje, przechowywanie dokumentów, współpracę, zarządzanie urządzeniami, funkcje bezpieczeństwa i coraz częściej sztuczną inteligencję w jeden zintegrowany system. Dla gminy z ograniczonymi zasobami IT taki pakiet może być atrakcyjniejszy niż skoordynowanie wielu indywidualnych rozwiązań od różnych dostawców.

Ponadto istnieją korzyści skali. Globalny hiperskaler dystrybuuje inwestycje w centra danych, sieci, filtry spamu, analizę zagrożeń, wysoką dostępność i rozwój oprogramowania wśród milionów klientów. Mniejsi dostawcy mogą być bardzo wydajni w poszczególnych obszarach, ale rzadko osiągają taki sam globalny potencjał badawczy i inwestycyjny. Rynek pracy również sprzyja ugruntowanym systemom: istnieje wielu administratorów, firm konsultingowych, programów szkoleniowych i standardowych certyfikatów dostępnych dla produktów Microsoft. Samorządy mogą łatwiej znaleźć pracowników i dostawców usług, korzystając z powszechnie stosowanych technologii.

Kolejnym czynnikiem jest pakietowanie. Jeśli pakiet biurowy jest już używany, dodatkowe korzystanie z Exchange Online często wydaje się opłacalne. Jednak rachunek biznesowy może ulec zniekształceniu, jeśli pakiety z rabatem wyeliminują konkurencję między poszczególnymi usługami. Pozornie niedrogi pakiet może w dłuższej perspektywie generować wyższe koszty przejścia, ponieważ poczta e-mail, zarządzanie tożsamością, dokumenty, zasady grupowe, wideokonferencje i aplikacje specjalistyczne stają się coraz bardziej ze sobą powiązane. Im więcej komponentów korzysta ze współdzielonego katalogu i zastrzeżonych interfejsów, tym droższe będzie ostateczne rozdzielenie.

Efekty sieciowe wzmacniają tę dynamikę. Gdy sąsiednie gminy, władze stanowe, firmy konsultingowe i partnerzy zewnętrzni korzystają z tych samych narzędzi, koszty koordynacji maleją. Pliki można wymieniać bez problemów z formatowaniem, spotkania można organizować za pośrednictwem znanych platform, a istniejące szablony pozostają użyteczne. Każda kolejna organizacja dołączająca do ekosystemu zwiększa korzyści dla obecnych uczestników. Jednocześnie rynek alternatywnych rozwiązań kurczy się, co zmniejsza ich potencjał inwestycyjny i czyni je mniej atrakcyjnymi.

Decyzja o wyborze Microsoftu może zatem być racjonalna na poziomie pojedynczej gminy, natomiast ogólny wynik staje się problematyczny z perspektywy makroekonomicznej. To rozróżnienie między indywidualnymi korzyściami ekonomicznymi a ryzykiem zbiorowym jest kluczowe. Żadna gmina nie ponosi wyłącznej odpowiedzialności za konkurencyjność technologiczną Europy. Jeśli jednak tysiące organów publicznych podejmuje decyzje zgodnie z tą samą krótkoterminową logiką, powstaje koncentracja władzy, której koszty geopolityczne i konkurencyjne ponosi ogół społeczeństwa.

Sprzeczność między popytem a zamówieniami w Austrii

Austria odegrała kluczową rolę w zainicjowaniu Europejskiej Deklaracji Suwerenności Cyfrowej. Inicjatywa ta miała na celu wzmocnienie zdolności Europy do niezależnego regulowania infrastruktury cyfrowej, danych i technologii oraz decydowania o ich wykorzystaniu bez nadmiernej zależności od podmiotów zewnętrznych. Jednak fakt, że 67% zbadanych miejskich infrastruktur poczty elektronicznej jest dostarczanych przez firmy amerykańskie, ujawnia wyraźną sprzeczność między aspiracjami politycznymi a rzeczywistością operacyjną.

Ta sprzeczność nie jest jedynie retoryczna. Wskazuje ona na typowy problem wdrażania polityki cyfrowej. Strategie są ustalane na szczeblu federalnym i europejskim, podczas gdy konkretne decyzje w zakresie IT podejmowane są w sposób zdecentralizowany w gminach, stowarzyszeniach gmin, krajach związkowych i spółkach publicznych. Obowiązki, budżety, istniejące umowy i kompetencje personelu są rozłożone na wielu poziomach. Deklaracja może formułować cele, ale nie zmienia automatycznie istniejących umów licencyjnych, interfejsów technicznych ani ustalonych procesów administracyjnych.

Wysoki wskaźnik w Austrii może mieć kilka przyczyn strukturalnych. Możliwe czynniki to m.in. ogólnokrajowe ramy zamówień publicznych, silni regionalni dostawcy usług IT, skupiający się na Microsoft, powszechna adopcja środowiska pracy Microsoft, ujednolicone usługi konsultingowe oraz dążenie małych gmin do outsourcingu dużej części operacji i bezpieczeństwa. Skuteczne rekomendacje rozprzestrzeniają się również w sieciach regionalnych. Po ugruntowaniu się platformy w kraju związkowym staje się ona rzekomo niskoryzykownym standardem. Mapa z klastrami regionalnymi potwierdza to wyjaśnienie, ale nie dowodzi, który czynnik był decydujący w danym przypadku.

Szczególnie małe gminy stoją przed prawdziwym dylematem. Posiadanie własnego serwera pocztowego nie jest symbolem suwerenności, jeśli aktualizacje są opóźnione, brakuje wykwalifikowanego personelu, całodobowego monitoringu, a plany odzyskiwania danych istnieją tylko na papierze. Przejście na profesjonalnie zarządzaną usługę w chmurze może znacząco poprawić bezpieczeństwo operacyjne. Dlatego żadna poważna krytyka nie powinna wymagać od każdej gminy powrotu do obsługi systemów w piwnicy ratusza.

Prawdziwy problem tkwi w braku różnorodności. Gdyby austriackie gminy korzystały z różnorodnych, wydajnych rozwiązań europejskich, krajowych i międzynarodowych, zależność byłaby lepiej rozłożona. Z drugiej strony, koncentracja na firmie Microsoft prowadzi do wspólnych źródeł błędów, jednolitych wektorów ataków, koncentracji władzy cenowej i znacznego wpływu na zmiany polityczne lub prawne. Polityka suwerenności musi zatem sprawić, by alternatywy były konkurencyjne, zamiast krytykować gminy za zrozumiałe decyzje.

Niski wskaźnik w Niemczech jest zarówno siłą, jak i sygnałem ostrzegawczym

Z udziałem USA na poziomie 7,2%, Niemcy znacząco wyróżniają się na tle regionu DACH. Prawdopodobnym wytłumaczeniem jest historycznie zdecentralizowana struktura miejskiego IT. Miejskie centra danych, stowarzyszenia celowe, dostawcy regionalni, dostawcy usług IT finansowani ze środków publicznych i średniej wielkości firmy hostingowe zbudowały w wielu miejscach własną infrastrukturę. Niemiecki federalizm, często krytykowany jako przeszkoda dla cyfryzacji, może w tym przypadku działać jako mechanizm dywersyfikacji. Różne kraje związkowe i regiony podejmują odmienne decyzje, co oznacza, że ​​żaden pojedynczy dostawca nie dominuje automatycznie na całym rynku.

Taka decentralizacja może zwiększyć odporność gospodarczą. Regionalni dostawcy utrzymują wartość dodaną, wykwalifikowanych pracowników, wpływy z podatków i wiedzę techniczną w obrębie kraju. Znają procedury miejskie, przepisy prawne obowiązujące w poszczególnych stanach oraz procesy administracyjne. Niewielkie odległości do centrów danych i kontaktów mogą być korzystne w przypadku zakłóceń. Ponadto, zróżnicowana struktura dostawców ogranicza siłę rynkową poszczególnych korporacji.

Jednak niski udział USA nie świadczy o wysokiej jakości. Usługa świadczona lokalnie może opierać się na przestarzałym oprogramowaniu, być niedostatecznie zabezpieczona lub pośrednio wykorzystywać liczne komponenty spoza Europy. Europejscy dostawcy czasami korzystają również z licencji Microsoft, amerykańskich produktów bezpieczeństwa, globalnych sieci dostarczania treści (CDS) lub podinfrastruktury chmurowej. Widoczne dostarczanie poczty e-mail stanowi tylko jeden z poziomów stosu technicznego.

Co więcej, decentralizacja ma swoją cenę. Wiele małych platform może dublować inwestycje, stosować różne standardy i wdrażać środki bezpieczeństwa w sposób niespójny. Brak wspólnych minimalnych wymagań prowadzi do powstawania słabych ogniw w łańcuchu. Atak na jednego miejskiego dostawcę usług IT może jednocześnie wpłynąć na dziesiątki administracji. W związku z tym występuje również koncentracja wśród regionalnych dostawców usług, choć na mniejszą skalę geograficzną.

Pozycja Niemiec jest zatem najsilniejsza, gdy istniejąca różnorodność łączy się z wiążącymi normami bezpieczeństwa, wspólnymi zamówieniami, interoperacyjnymi interfejsami i profesjonalnymi modelami operacyjnymi. Lekcja nie polega na zachowaniu każdego lokalnego rozwiązania. Chodzi o połączenie efektywnych struktur federalnych w taki sposób, aby osiągnąć korzyści skali bez tworzenia nowego centralnego monopolu.

Nasze doświadczenie w zakresie rozwoju biznesu, sprzedaży i marketingu w UE i Niemczech – Zdjęcie: Xpert.Digital

Obszary zainteresowań branży: B2B, digitalizacja (od AI do XR), inżynieria mechaniczna, logistyka, odnawialne źródła energii i przemysł

Więcej informacji tutaj:

• Centrum Biznesu Ekspertów

Centrum tematyczne oferujące spostrzeżenia i wiedzę specjalistyczną:

• Platforma wiedzy obejmująca gospodarki globalne i regionalne, innowacje i trendy branżowe
• Zbiór analiz, spostrzeżeń i informacji ogólnych na temat obszarów, na których się koncentrujemy
• Miejsce, w którym można zdobyć wiedzę i informacje na temat bieżących wydarzeń w biznesie i technologii
• Centrum dla firm poszukujących informacji na temat rynków, cyfryzacji i innowacji branżowych

Szwajcaria między tradycją ochrony danych a gospodarką platformową

Z wynikiem 53,3% Szwajcaria plasuje się pomiędzy Niemcami a Austrią, ale jest znacznie bliżej modelu austriackiego. Jest to niezwykłe, ponieważ Szwajcaria szczyci się silną kulturą ochrony danych, wydajnymi centrami danych, prężnym sektorem telekomunikacyjnym i licznymi lokalnymi dostawcami IT. Dane te pokazują, że sam atrakcyjny krajowy rynek hostingu nie wystarczy, aby ograniczyć penetrację rynku przez zintegrowane platformy globalne.

Szwajcaria leży poza Unią Europejską i posiada własne ramy prawne. Niemniej jednak jest ściśle powiązana gospodarczo z europejską przestrzenią danych. Dla szwajcarskich gmin ważne są nie tylko krajowe wymogi dotyczące ochrony danych, ale także kompatybilność z firmami, obywatelami i władzami w kontekście europejskim. Microsoft oferuje ugruntowany ekosystem do tej współpracy transgranicznej.

Szwajcarskie ustalenia podkreślają, że lokalizację danych i kontrolę dostawcy należy oceniać oddzielnie. Centrum danych zlokalizowane w Szwajcarii może spełnić wymagania dotyczące niskich opóźnień i lokalnych operacji. Jeśli jednak krytyczne warstwy oprogramowania, tożsamości i administracji są kontrolowane przez zagraniczną korporację, utrzymuje się strategiczna zależność. Z drugiej strony, szwajcarski dostawca nie jest automatycznie suwerenny, jeśli opiera się wyłącznie na chmurze amerykańskiej i nie ma realnej strategii wyjścia.

W przypadku Szwajcarii szczególnie ważne jest zatem uwzględnienie całego łańcucha dostaw. Obejmuje on własność, siedzibę główną firmy, podwykonawców, zarządzanie kluczami, dostęp do kodu źródłowego, kontrolę aktualizacji, procesy wsparcia, eksport danych i operacje awaryjne. Etykieta „hostowany w Szwajcarii” opisuje tylko część faktycznej kontroli.

Gdzie znajdują się dane i kto ma do nich dostęp

Debata publiczna często sprowadza suwerenność do lokalizacji centrum danych. To ważne, ale niewystarczające. Microsoft poszerzył swoje europejskie granice danych, umożliwiając przechowywanie i przetwarzanie danych klientów, pseudonimizowanych danych osobowych oraz niektórych danych pomocniczych dla podstawowych usług chmurowych w regionie UE i EFTA. Dla klientów z sektora publicznego oznacza to znaczne zmniejszenie ryzyka związanego z ochroną danych i zgodnością z przepisami.

Nie eliminuje to jednak całkowicie zasadniczego problemu prawnego. Korporacja amerykańska zasadniczo podlega prawu amerykańskiemu. Ustawa CLOUD Act pozwala władzom USA, pod pewnymi warunkami, żądać ujawnienia danych od zidentyfikowanych dostawców usług, nawet jeśli dane te są przechowywane poza Stanami Zjednoczonymi. Istnieją możliwości kontroli prawnej i kwestionowania; nie jest to jednak ogólne, nieograniczone prawo dostępu. Niemniej jednak sytuacja ryzyka różni się od sytuacji dostawcy podlegającego wyłącznie prawu europejskiemu i kontroli europejskiej.

Równie ważne są obecne europejskie ramy prawne dotyczące transatlantyckiego transferu danych. Ramy ochrony prywatności danych UE-USA zezwalają na transfer danych do certyfikowanych organizacji amerykańskich na podstawie decyzji o adekwatności. Choć tworzą one podstawę prawną, nie eliminują one wszelkiej niepewności politycznej. Poprzednie umowy zostały unieważnione przez sądy, a zmiany instytucjonalne w Stanach Zjednoczonych mogą skutkować nowymi rewizjami. Dlatego długoterminowe strategie w zakresie IT w sektorze publicznym nie powinny opierać się na założeniu, że obecne ramy prawne pozostaną niezmienione przez cały okres obowiązywania umowy.

Sprawa Komisji Europejskiej dowodzi również, że Microsoft 365 nie jest z natury nielegalny. W 2024 roku Europejski Inspektor Ochrony Danych skrytykował między innymi niedostatecznie zdefiniowane cele przetwarzania i zabezpieczenia transferu danych do państw trzecich. Po dostosowaniu umownym, technicznym i organizacyjnym, organ nadzoru stwierdził w 2025 roku, że zidentyfikowane naruszenia zostały usunięte. Nie stanowi to jednak carte blanche ani ogólnego zakazu. Kluczowe znaczenie mają konkretne konfiguracje, warunki umowne, przepływy danych i środki kontroli.

Dla gmin oznacza to: nazwa dostawcy nie zastępuje oceny skutków dla ochrony danych. Podobnie, europejska siedziba firmy nie może być uznana za automatyczną gwarancję zgodności. Konieczna jest udokumentowana analiza faktycznej usługi, kategorii przetwarzanych danych, dostępu administracyjnego, telemetrii, kanałów wsparcia i stosowanego szyfrowania.

Ryzyko ekonomiczne związane z monokulturą cyfrową

Duża liczba dostawców to nie tylko problem ochrony danych, ale także problem dla konkurencji i odporności. W cyfrowej monokulturze rośnie zależność od decyzji cenowych, zmian produktów, modeli licencjonowania i priorytetów rozwojowych jednej firmy. Gminy mogą jedynie częściowo uniknąć wzrostu kosztów, jeśli kluczowe procesy, pliki, tożsamości i interfejsy będą powiązane z tym samym ekosystemem.

Ta zależność często narasta stopniowo. Początkowo migrowana jest tylko poczta e-mail, a następnie kalendarze, wideokonferencje, przechowywanie dokumentów, zarządzanie urządzeniami i narzędzia bezpieczeństwa. Później specjalistyczne aplikacje są łączone za pośrednictwem centralnej tożsamości, a przepływy pracy są tworzone z wykorzystaniem zastrzeżonych usług automatyzacji. Każda dodatkowa integracja poprawia wygodę w perspektywie krótkoterminowej, ale zwiększa skumulowane koszty przełączania. Ostatecznie uzależnienie od dostawcy wynika nie tyle z klauzuli umownej, co z tysięcy zależności technicznych i organizacyjnych.

Koncentracja stwarza również ryzyko systemowe. Poważne zakłócenia, błędna aktualizacja, naruszenie tożsamości lub nieprawidłowa konfiguracja administracyjna mogą wpłynąć na wiele organizacji jednocześnie. Chociaż duże platformy inwestują znaczne środki w odporność, ich rozmiar czyni je szczególnie atrakcyjnymi celami. Ryzyko dla pojedynczego klienta może się zmniejszyć, podczas gdy potencjalne szkody społeczne wynikające z rzadkiej awarii platformy rosną.

Zmienia się również siła negocjacyjna. Mała gmina ma trudności z egzekwowaniem indywidualnych warunków umowy od globalnej korporacji. Wspólne umowy ramowe poprawiają jej pozycję, ale jednocześnie mogą przyspieszyć proces powszechnej standaryzacji u jednego dostawcy. To, co zapewnia lepsze ceny w perspektywie krótkoterminowej, może w dłuższej perspektywie ograniczyć rynek alternatywnych rozwiązań.

Z ekonomicznego punktu widzenia, Europa traci część swojej wartości, jeśli pozostaje zależna od tych firm. Opłaty licencyjne trafiają do korporacji spoza Europy, podczas gdy strategiczne działania w zakresie rozwoju produktów, własność intelektualna i wysoce skalowalne zyski z platform generowane są głównie poza Europą. Lokalni partnerzy nadal zarabiają na doradztwie i integracji, ale często pozostają w podrzędnej roli. Kluczowe standardy i plany rozwoju produktów są ustalane gdzie indziej.

Nie wolno mylić bezpieczeństwa i suwerenności

Najsilniejszym kontrargumentem wobec krytyki suwerenności jest to, że globalni dostawcy usług chmurowych często działają bezpieczniej niż małe, miejskie działy IT. Argument ten należy traktować poważnie. Microsoft i inne firmy o dużej skali dysponują rozbudowanymi zespołami ds. bezpieczeństwa, globalną telemetrią, zautomatyzowanym wykrywaniem ataków, redundantnymi centrami danych i szybkimi procesami aktualizacji. Źle utrzymywana lokalna instalacja Exchange może stanowić znacznie wyższe bezpośrednie ryzyko niż profesjonalnie zarządzana usługa chmurowa.

Bezpieczeństwo i suwerenność to jednak odrębne aspekty. Bezpieczeństwo obejmuje poufność, integralność, dostępność i odporność na ataki. Suwerenność obejmuje kontrolę, jurysdykcję prawną, wymienność i zdolność do autonomicznego działania. Rozwiązanie może być wysoce bezpieczne, ale wiązać się ze znaczną zależnością. I odwrotnie, może być formalnie suwerenne, ale technicznie niepewne. Dobra publiczna infrastruktura informatyczna musi spełniać oba te cele jednocześnie.

Krajobraz zagrożeń uzasadnia rygorystyczne wymagania. Administracja publiczna jest jednym z preferowanych celów cyberataków, a gminy są szczególnie narażone ze względu na ograniczone zasoby. Poczta elektroniczna pozostaje kluczowym wektorem ataków phishingowych, złośliwego oprogramowania, przejęć kont i kradzieży tożsamości. Sama zmiana dostawcy nie rozwiąże tych problemów. Do niezbędnych środków należą uwierzytelnianie wieloskładnikowe, bezpieczne konta administracyjne, spójne procesy aktualizacji, testy odzyskiwania, segmentacja sieci, analiza logów, szkolenia pracowników oraz prawidłowo skonfigurowane procedury, takie jak SPF, DKIM i DMARC.

Równie ważne jest pytanie, kto może zarządzać incydentami bezpieczeństwa. Czy gmina posiada własne dane z logów? Czy może samodzielnie blokować naruszone konta? Czy kopie zapasowe są dostępne poza platformą główną? Czy istnieje sprawdzony kanał komunikacji na wypadek jednoczesnej awarii poczty e-mail i usług tożsamości? W pełni zintegrowany pakiet może uprościć zarządzanie, ale może również powiązać wiele funkcji z tym samym łańcuchem zaufania.

Wzory regionalne są ważniejsze niż średnia

Interaktywna mapa ukazuje mozaikę różnych systemów. Choć termin ten jest często używany w dyskursie administracyjnym w negatywnym kontekście, ma on wartość analityczną. Klastry regionalne pokazują, że decyzje o zamówieniach publicznych nie są determinowane wyłącznie przez specyfikacje techniczne. Polityka stanowa, miejskie centra danych, umowy ramowe, historyczne partnerstwa, sieci konsultingowe i regionalna wiedza specjalistyczna z zakresu IT – wszystko to kształtuje rynek.

Można zatem szczegółowo zbadać kraj związkowy lub okręg o wyraźnie wysokiej koncentracji. Jakie umowy tam obowiązują? Jakie alternatywy zostały przeanalizowane? Jakie koszty migracji zostały uwzględnione? Czy istnieją dostawcy usług komunalnych, którzy wspólnie obsługują kilka gmin? Czy zażądano otwartych standardów i klauzul wyjścia? Takie pytania są bardziej produktywne niż ogólne przypisywanie winy na szczeblu krajowym.

Poziom regionalny otwiera również możliwości dla polityki gospodarczej. Kilka gmin może łączyć popyt, nie wiążąc się na stałe z jednym producentem. Mogą finansować wspólne centra bezpieczeństwa, ujednolicone interfejsy, wspólne usługi administracyjne i platformy mobilne. To tworzy korzyści skali, których mali europejscy dostawcy nie byliby w stanie osiągnąć samodzielnie.

Jednocześnie różnorodności nie należy mylić z arbitralnością. Jeśli każda gmina stosuje inne formaty, poziomy bezpieczeństwa i procesy operacyjne, koszty integracji i prawdopodobieństwo błędów rosną. Celem musi być skoordynowana różnorodność: kilku wymiennych dostawców opartych na wspólnych standardach, wspólnych minimalnych wymaganiach i sprawdzonych procesach przełączania.

Faktyczna cena nie jest podana na fakturze licencyjnej

Zamówienia publiczne często porównują widoczne koszty: licencji, migracji, eksploatacji, wsparcia i szkoleń. To jednak nie wystarcza do przeprowadzenia rzetelnej analizy kosztów i korzyści. Kompletny model musi również uwzględniać ryzyko wyjścia, koncentracji, prawne i awarii. Obejmują one koszty eksportu danych, konwersji formatu, rozwoju interfejsu, przeszkolenia, operacji równoległych, odzyskiwania danych i wymiany usług sprzężonych.

Szczególnie problematyczna jest asymetryczna skala czasowa. Korzyści z pakietu rozwiązań pojawiają się natychmiast, podczas gdy koszty związane z lock-in stają się widoczne dopiero podczas późniejszej migracji. Jednak decydenci, okresy budżetowe i umowy zmieniają się szybciej. To stwarza zachętę do realizacji oszczędności już dziś i przeniesienia przyszłych kosztów przejścia na następców. Dlatego rzetelna kalkulacja całkowitego kosztu posiadania (TCO) musi uwzględniać cały cykl życia, w tym realistyczny scenariusz wyjścia.

Należy również uwzględnić koszty alternatywne. Jeśli przetargi faktycznie wymagają konkretnego produktu, innowacyjni dostawcy nie mogą konkurować. Sektor publiczny traci potencjalną przewagę cenową i jakościową. Jednocześnie europejskim firmom brakuje wiarygodnego rynku krajowego, na którym mogłyby budować referencje i skalować swoją działalność. Zamówienia publiczne realizowane przez państwo nie polegają zatem wyłącznie na ograniczaniu ryzyka, ale także na polityce przemysłowej poprzez popyt.

Nie oznacza to, że europejscy dostawcy powinni otrzymywać z góry wyższą cenę. Stała ochrona bez presji na wydajność utrwalałaby nieefektywne struktury. Bardziej sensowne są przetargi funkcjonalne, otwarte formaty, ujednolicone interfejsy programistyczne, oddzielne partie i mierzalna przenośność. Konkurencja nie powinna być zastępowana przez narodowość, lecz przywracana poprzez rzeczywistą wymienność.

Od zaangażowania politycznego do mierzalnej kontroli

Gminy potrzebują zróżnicowanego modelu zarządzania, a nie całkowitego zakazu. Po pierwsze, dane i procesy komunikacyjne powinny być klasyfikowane zgodnie z wymogami ich ochrony. Ogólne informacje o obywatelach, wewnętrzne procesy kadrowe, dane społeczne, komunikacja bezpieczeństwa i zespoły zarządzania kryzysowego mają różne wymagania. Nie każda usługa wymaga takiego samego poziomu suwerenności.

Następnie należy zidentyfikować zależności w całym stosie technicznym. Oprócz dostawcy poczty, obejmuje to usługi tożsamości, zarządzanie punktami końcowymi, szyfrowanie, własność kluczy, tworzenie kopii zapasowych, archiwizację, filtry antyspamowe, zarządzanie domenami, sieć, wsparcie techniczne i podwykonawców. Gmina, która bierze pod uwagę tylko widocznego dostawcę, może przeoczyć bardziej krytyczne zależności w innych warstwach.

Każde duże zamówienie powinno zawierać solidny plan wyjścia. Plan ten musi określać formaty danych, czas trwania eksportu, interfejsy, potwierdzenia usunięcia, koszty, obowiązki oraz maksymalny dopuszczalny czas przestoju operacyjnego. Co najważniejsze, plan ten musi zostać poddany testom praktycznym. Nieprzetestowany plan wyjścia jest równie bezwartościowy, jak kopia zapasowa danych, której nigdy nie przywrócono.

Mierzalne kluczowe wskaźniki efektywności (KPI) mogłyby odzwierciedlać odsetek danych możliwych do eksportu, liczbę zastrzeżonych interfejsów, czas trwania zmiany tożsamości, odsetek kluczy kontrolowanych samodzielnie, czas odzyskiwania, zależność od poszczególnych podwykonawców oraz odsetek umów ze zweryfikowanymi klauzulami wyjścia. To przekształciłoby suwerenność cyfrową z hasła-klucza w cechę łatwą do opanowania.

Wspólne architektury referencyjne powinny zostać opracowane na szczeblu stanowym lub federalnym. Gminy potrzebują sprawdzonych alternatyw, narzędzi migracyjnych, wzorcowych umów, profili bezpieczeństwa i niezawodnych modeli operacyjnych. Bez takiego wsparcia wybór między wygodną ofertą hiperskalera a wymagającym organizacyjnie rozwiązaniem wewnętrznym pozostaje niesprawiedliwy. Suwerenności nie można delegować wyłącznie do małych administracji.

Realistyczna droga do większej swobody działania w Europie

Pierwszym krokiem jest transparentność. Projekty takie jak MXmap powinny być regularnie aktualizowane, metodycznie dokumentowane i rozszerzane o dodatkowe komponenty infrastruktury. Oprócz poczty e-mail istotne byłyby usługi tożsamości, platformy współpracy, DNS, hosting, wideokonferencje, przechowywanie dokumentów i aplikacje miejskie. Politycznie można zarządzać tylko mierzalnymi zależnościami.

Drugim krokiem jest dywersyfikacja oparta na ryzyku. Procesy szczególnie wrażliwe lub krytyczne dla systemu powinny być realizowane w oparciu o infrastruktury, w których europejskie organy mogą skutecznie kontrolować ramy prawne, klucze i operacje. W przypadku usług mniej krytycznych globalni dostawcy nadal mogą być ekonomicznie opłacalni. Co istotne, nie wszystkie funkcje powinny automatycznie migrować do tego samego ekosystemu.

Trzecim krokiem jest wzmocnienie wspólnego popytu europejskiego. Poszczególne gminy są zbyt małe, aby wpływać na rynki platform. Jednak rząd federalny, kraje związkowe, kantony, gminy i instytucje europejskie mogą określić wspólne wymagania dotyczące interoperacyjności, bezpieczeństwa i przenośności. Długoterminowe umowy ramowe powinny uwzględniać wielu dostawców i umożliwiać zmianę dostawcy nie tylko pod względem prawnym, ale także technicznym.

Czwartym krokiem jest inwestycja w wiedzę specjalistyczną. Outsourcing całej wiedzy architektonicznej oznacza utratę kontroli, nawet w przypadku europejskiego dostawcy. Administracje publiczne potrzebują wystarczającej liczby pracowników wewnętrznych do oceny ryzyka, zarządzania umowami, przeglądu konfiguracji i podejmowania decyzji w sytuacjach kryzysowych. Suwerenność nie wynika z etykiety pochodzenia, ale z możliwości instytucjonalnych.

Piątym krokiem jest europejska polityka dostawców, która nagradza wydajność. Europa nie potrzebuje kopii każdej usługi amerykańskiej, ale potrzebuje konkurencyjnych ofert w zakresie bezpiecznej poczty e-mail, tożsamości, współpracy, infrastruktury chmurowej i rozwiązań do zarządzania. Zamówienia publiczne mogą stworzyć stabilny rynek dla tego typu rozwiązań, wymagając otwartych standardów i umożliwiając dostęp mniejszym dostawcom. Jednocześnie europejscy dostawcy muszą być w stanie konkurować z globalnymi platformami pod względem użyteczności, skalowalności, integracji i bezpieczeństwa.

Kluczowa lekcja z 15 331 zbadanych infrastruktur

Wyniki MXmap obalają dwie wygodne narracje. Po pierwsze, dominacja dostawców z USA nie jest niezmiennym prawem natury. Niemcy pokazują, że duży obszar miejski ze znacznie niższym udziałem dostawców z USA jest możliwy. Po drugie, retoryka polityczna nie gwarantuje suwerenności operacyjnej. Wysoki odsetek dostawców z USA w Austrii pokazuje, jak bardzo aspiracje i rzeczywistość w zakresie zamówień publicznych mogą się rozmijać.

Liczby te nie uzasadniają ani alarmizmu, ani samozadowolenia. Usługa Microsoftu nie jest automatycznie niebezpieczna lub nielegalna, ani też niemiecki czy europejski dostawca nie jest automatycznie suwerenny i bezpieczny. Niemniej jednak, 67-procentowa koncentracja na dostawcach z USA, głównie na jednej korporacji, jest strategicznym sygnałem ostrzegawczym. Ogranicza to wybór, koncentruje ryzyko i osłabia europejską siłę negocjacyjną.

Ekonomicznie uzasadnionym rozwiązaniem nie jest pochopne, całkowite wycofanie. Mogłoby to zwiększyć koszty, stworzyć luki w zabezpieczeniach i przytłoczyć administracje. Potrzebna jest strategia etapowa oparta na przejrzystości, klasach wymagań bezpieczeństwa, otwartych standardach, sprawdzonej przenośności, zróżnicowanych dostawcach i wewnętrznej wiedzy technicznej. Istniejące środowiska Microsoft powinny być skonfigurowane i ustrukturyzowane umownie w celu ograniczenia przepływów danych, lepszych kluczy kontrolnych i zapewnienia realizmu przyszłych migracji. Nowe zamówienia nie powinny dodatkowo zwiększać zależności bez jasnego określenia ich długoterminowych kosztów.

Suwerenność cyfrowa nie zaczyna się zatem od budowy europejskiego hiperskalera ani nie kończy się na deklaracji politycznej. Zaczyna się od pozornie trywialnych decyzji o tym, kto dostarcza miejskie e-maile, zarządza tożsamościami, kontroluje klucze i może eksportować dane. Skrzynka pocztowa w ratuszu to nie drobiazg techniczny. To niewielki, codzienny element potencjału rządowego.

Prowokacyjne stanowisko pozostaje zatem uzasadnione: ci, którzy domagają się europejskiej suwerenności, ale nie tworzą weryfikowalnego mechanizmu rezygnacji z udziału w krytycznej infrastrukturze administracyjnej, angażują się przede wszystkim w politykę symboliczną. Roszczenie to staje się wiarygodne dopiero wtedy, gdy gminy nie są zmuszane do przyjmowania europejskich rozwiązań, lecz mogą wybierać między efektywnymi, bezpiecznymi i autentycznie wymiennymi opcjami. Prawdziwym kryterium nie jest przynależność państwowa logo, lecz swoboda działania w zmieniających się warunkach ekonomicznych, prawnych czy geopolitycznych.

Rozwiązanie quasi-in-house: Jak Xpert.Digital zamyka luki operacyjne w marketingu i sprzedaży B2B – Inteligentny biznes oparty na treściach – Zdjęcie: Xpert.Digital

Xpert.Digital to branżowy hub B2B oparty na danych, kierowany przez Konrad Wolfenstein . Firma działa jako zewnętrzne, quasi-wewnętrzne rozwiązanie dla partnerów przemysłowych, eliminując luki operacyjne w obszarze marketingu, treści i sprzedaży – bez konieczności angażowania dodatkowych zasobów po stronie klienta.

Więcej informacji tutaj:

• Rozwiązanie quasi-in-house: Jak Xpert.Digital niweluje luki operacyjne w marketingu i sprzedaży B2B – Smart Content-Driven Business

☑️ Naszym językiem biznesowym jest angielski lub niemiecki

☑️ NOWOŚĆ: Korespondencja w Twoim ojczystym języku!

Konrad Wolfenstein

Ja i mój zespół chętnie będziemy do Państwa dyspozycji jako osobisty doradca.

Możesz się ze mną skontaktować, wypełniając formularz kontaktowy tutaj [email protected]:lub po prostu dzwoniąc pod numer +49 7348 4088 965. Mój adres e-mail to

Nie mogę się doczekać naszego wspólnego projektu.

☑️ Wsparcie dla MŚP w zakresie strategii, doradztwa, planowania i wdrażania

☑️ Tworzenie lub reorganizacja strategii cyfrowej i digitalizacji

☑️ Rozszerzenie i optymalizacja procesów sprzedaży międzynarodowej

☑️ Globalne i cyfrowe platformy handlowe B2B

☑️ Rozwój biznesu pionierskiego / Marketing / PR / Targi