Din cloud-ul SUA: O prezentare generală a ofertelor SaaS suverane + recomandări de acțiune

Nevoia de suveranitate digitală pentru companiile europene

Transformarea digitală progresează neobosit, iar cloud computing-ul, în special Software-as-a-Service (SaaS), a devenit un instrument indispensabil pentru companiile de toate dimensiunile. Acesta permite flexibilitate, scalabilitate și acces la tehnologii inovatoare. În același timp, această dezvoltare a dus la o dependență semnificativă de câțiva furnizori de cloud, în mare parte cu sediul în SUA.

Legat de asta:

• De ce Legea CLOUD din SUA este o problemă și un risc pentru Europa și restul lumii: o lege cu consecințe de amploare

Enunțarea problemei: Dependența tot mai mare de furnizorii de cloud din SUA

Piața europeană de cloud este în mod clar dominată de principalii hiperscalatori din SUA: Amazon Web Services (AWS), Microsoft Azure și Google Cloud Platform (GCP). Acești furnizori controlează o mare parte din piața globală. Chiar și furnizori europeni de top, precum SAP și Deutsche Telekom, obțin doar cote de piață mici în Europa, prin comparație. Această concentrare prezintă un risc inerent: o mare parte a infrastructurii cloud globale, și în special a celei europene, este potențial supusă jurisdicției SUA. În consecință, conștientizarea riscurilor asociate cu această dependență este în creștere în rândul companiilor europene și, din ce în ce mai mult, și în rândul administrațiilor publice. Preocupările legate de protecția datelor, securitatea datelor și pierderea controlului asupra datelor și proceselor critice ies în evidență. Problema suveranității digitale devine un imperativ strategic.

Relevanța suveranității datelor și a conformității cu GDPR

În centrul preocupărilor europene se află Regulamentul general privind protecția datelor (GDPR). Din 2018, acesta a format cadrul juridic strict pentru protecția datelor cu caracter personal în Uniunea Europeană și reglementează în detaliu prelucrarea și transferul acestora, în special către țări din afara UE. Pentru companiile europene, conformitatea cu GDPR nu este doar o obligație legală, ci și un factor crucial în menținerea încrederii clienților și partenerilor de afaceri. În paralel, conceptul de suveranitate digitală câștigă importanță. Acesta descrie ambiția Europei de a recâștiga sau menține controlul asupra propriilor date, tehnologii și infrastructuri digitale. Aceasta nu este doar o chestiune de protecție a datelor, ci și un obiectiv de politică industrială care vizează consolidarea economiei și competitivității europene într-o lume digitală globalizată. Pentru companii, aceasta înseamnă necesitatea de a regândi strategiile de cloud și de a căuta în mod proactiv soluții care să fie atât conforme cu legea, cât și de încredere, asigurându-le capacitatea operațională.

Legat de asta:

• Integrarea AI a unei platforme AI independente și multi-sursă de date pentru toate nevoile afacerii

Obiectivele și structura raportului

Acest raport se adresează factorilor de decizie din mediul de afaceri și IT din Europa care se confruntă cu provocarea de a dezvolta o strategie cloud pregătită pentru viitor și conștientă de riscuri. Scopul său este de a oferi o bază solidă pentru luarea deciziilor prin:

• Analizează riscurile specifice care apar pentru companiile europene din cauza utilizării serviciilor SaaS din SUA, în special în ceea ce privește conflictul dintre GDPR și legile americane, cum ar fi CLOUD Act și FISA 702.
• Definește ce se înțelege prin „oferte SaaS suverane” în context european și ce criterii trebuie să îndeplinească acestea.
• Aceasta este o prezentare generală a pieței furnizorilor europeni de SaaS care se poziționează ca alternative suverane, clasificați pe domenii de aplicare.
• Compară alternative importante în categorii cheie în ceea ce privește caracteristicile, prețurile și, cel mai important, implementarea suveranității datelor și conformitatea cu GDPR.
• Au fost evidențiate soluții specializate pentru sectoare sensibile precum administrația publică, sănătatea și finanțele.
• Prezintă inițiative relevante ale UE (cum ar fi Gaia-X) și certificări (cum ar fi EUCS, BSI C5) care promovează suveranitatea cloud.
• Trage o concluzie și derivă recomandări pentru direcția strategică a companiilor.

Analiza riscurilor: Serviciile cloud din SUA și provocările pentru companiile europene

Utilizarea serviciilor cloud, în special a ofertelor SaaS, de la furnizori cu sediul în Statele Unite, prezintă companiilor europene provocări juridice și operaționale semnificative. Acestea decurg în principal din conflictul fundamental dintre reglementările europene stricte privind protecția datelor și legile americane de amploare privind supravegherea și accesul la date.

Conflictul central: GDPR vs. legile de supraveghere din SUA

Regulamentul general privind protecția datelor (RGPD) constituie fundamentul protecției datelor la nivel european. Acesta stabilește standarde înalte pentru prelucrarea datelor cu caracter personal ale cetățenilor UE. Articolele 44 și următoarele din RGPD, care reglementează transferul acestor date către țări terțe (țări din afara UE/SEE), sunt deosebit de relevante pentru utilizarea cloud-ului. Un astfel de transfer este permis numai dacă țara terță oferă un „nivel adecvat de protecție” (determinat printr-o decizie privind caracterul adecvat al nivelului de protecție a Comisiei UE) sau dacă există „garanții adecvate” (cum ar fi clauze contractuale standard sau reguli corporative obligatorii) și dacă persoanele vizate au la dispoziție drepturi opozabile și căi de atac eficiente. În plus, articolul 48 din RGPD interzice în mod explicit transferul de date către autoritățile unei țări terțe pe baza deciziilor sau hotărârilor judecătorești ale acestora, cu excepția cazului în care există un acord internațional, cum ar fi un tratat de asistență judiciară reciprocă. Mai multe legi americane, care acordă autorităților americane drepturi extinse de acces la date, chiar dacă acestea sunt stocate în afara SUA, contrazic acest standard european de protecție

• Legea CLOUD din SUA (Clarificarea Legii privind Utilizarea Legală a Datelor în Străinătate): Această lege, adoptată în 2018, împuternicește agențiile de aplicare a legii și serviciile de informații din SUA să solicite companiilor de comunicații și tehnologie din SUA să predea datele aflate sub controlul lor - indiferent de locul în lume în care sunt stocate aceste date. Aceasta include în mod explicit datele situate în centre de date din Uniunea Europeană. Prin urmare, Legea CLOUD subminează principiul teritorialității protecției datelor și contrazice direct cerințele GDPR, în special articolul 48. A fost adoptată, în parte, ca răspuns la o dispută juridică prelungită între Microsoft și guvernul SUA privind accesul la e-mailurile stocate pe serverele din Irlanda și a modernizat reglementările mai vechi privind accesul din era post-11 septembrie 2001, cum ar fi Patriot Act. Deși Legea CLOUD oferă mecanisme prin care un furnizor poate contesta un ordin de divulgare dacă acesta încalcă legea unui alt stat (cum ar fi GDPR), eficacitatea practică a acestor mecanisme, în special în ceea ce privește ordinele de securitate națională, este extrem de controversată și nu oferă nicio garanție fiabilă pentru companiile europene. Prin urmare, furnizorii se află într-o dilemă: dacă respectă un ordin din Legea CLOUD fără o bază juridică a UE, riscă amenzi masive din partea GDPR; dacă refuză divulgarea invocând GDPR, se confruntă cu sancțiuni în temeiul legislației americane.
• Secțiunea 702 din FISA (Legea de supraveghere a informațiilor străine): Această prevedere, parte a Legii de modificare a FISA din 2008, permite agențiilor de informații americane, cum ar fi NSA, să efectueze o supraveghere țintită a comunicațiilor electronice ale persoanelor non-americane aflate în afara SUA. Supravegherea este efectuată pentru a obține „informații de informații străine”. FISA 702 obligă furnizorii americani de servicii de comunicații electronice (ECSP), care includ mulți furnizori mari de cloud și SaaS, să coopereze cu autoritățile. Domeniul de aplicare al datelor potențial colectate este foarte larg și poate include nu numai metadate, ci și conținutul comunicațiilor, chiar și pe cele ale unor terțe părți neimplicate care menționează doar o persoană vizată. Programele de supraveghere în temeiul FISA 702 (cum ar fi PRISM și Upstream) au fost un punct central de critică în hotărârea Schrems II a Curții Europene de Justiție (a se vedea mai jos). De asemenea, se critică lipsa unor căi de atac eficiente pentru cetățenii UE afectați și potențialul de supraveghere în masă, chiar dacă autoritățile americane neagă acest lucru.
• Ordinul executiv 12333 și altele: Pe lângă Legea CLOUD și FISA 702, există și alte temeiuri juridice, cum ar fi Ordinul executiv 12333, care acordă agențiilor de informații americane puteri extinse pentru a efectua supraveghere în străinătate, adesea fără supraveghere judiciară sau restricții legale specifice asupra persoanelor care nu sunt cetățeni americani.

Acest conflict juridic fundamental creează o situație în care utilizarea serviciilor cloud de la furnizori din SUA prezintă riscuri inerente pentru companiile europene.

Riscuri specifice pentru companiile europene

Conflictul juridic descris prezintă riscuri concrete pentru companiile europene care utilizează servicii SaaS din SUA:

• Încălcări de date și amenzi: Divulgarea datelor cu caracter personal către autoritățile americane în temeiul Legii CLOUD sau al FISA 702, fără un temei juridic valabil în temeiul legislației UE (de exemplu, un tratat de asistență judiciară reciprocă), constituie o încălcare clară a RGPD, în special a articolului 48. Aceasta poate duce la amenzi substanțiale de până la 4% din cifra de afaceri anuală globală, precum și la acțiuni civile în despăgubire din partea persoanelor vizate. Simpla utilizare a unui serviciu cloud din SUA poate fi considerată potențial neconformă cu RGPD dacă furnizorul nu poate garanta că nu va divulga date cu încălcarea RGPD.
• Pierderea suveranității și a controlului asupra datelor: Garanțiile contractuale din partea furnizorilor din SUA că datele sunt stocate numai în centre de date din UE nu oferă o protecție eficientă împotriva accesului SUA în temeiul Legii CLOUD sau al FISA. Legislația SUA poate anula aceste garanții și chiar măsurile de siguranță tehnice. Nici măcar criptarea datelor nu este un panaceu dacă furnizorul din SUA controlează cheile de criptare, deoarece ar putea fi obligat să le dezvăluie. În mod similar, mecanismele de control al accesului pot fi eludate, iar jurnalele de audit pot fi vizualizate fără știrea proprietarului datelor, încălcând cerințele de transparență ale GDPR. Astfel, companiile europene pierd efectiv controlul asupra cine le accesează datele și în ce circumstanțe.
• Spionaj industrial și pierderea secretelor comerciale: Scurgerea potențială de date sensibile ale companiilor prezintă un risc deosebit de grav. Aceasta include proprietatea intelectuală, datele de cercetare și dezvoltare, prototipurile, planurile strategice, datele financiare și datele și comunicările confidențiale ale clienților. Temerile că autoritățile americane și-ar putea folosi drepturile de acces în scopuri economice (spionaj industrial) reprezintă un factor major pentru companiile europene care caută alternative sau implementează măsuri de protecție suplimentare. Pierderea acestor informații poate duce la pierderi financiare semnificative, daune aduse reputației și pierderea avantajelor competitive.
• Incertitudine juridică și pierderea încrederii: Conflictul nerezolvat dintre legislația europeană privind protecția datelor și drepturile de acces din SUA creează o incertitudine juridică semnificativă pentru companiile care utilizează servicii din SUA. Această incertitudine complică planificarea pe termen lung și eforturile de conformitate. În plus, utilizarea continuă a serviciilor în care protecția datelor nu poate fi garantată poate submina grav încrederea clienților, angajaților și partenerilor de afaceri.
• Riscuri geopolitice: Legi precum CLOUD Act sunt privite în contextul tendințelor globale către o supraveghere sporită de stat și o potențială fragmentare a internetului („Splinternet”). Se fac comparații cu legi similare din alte țări, cum ar fi Legea privind informațiile naționale din China. În plus, dependența excesivă de furnizorii de tehnologie dintr-o singură regiune non-europeană prezintă riscuri strategice pentru autonomia și reziliența digitală a Europei.

Riscurile utilizării serviciilor cloud din SUA se extind mult dincolo de potențialele sancțiuni prevăzute de GDPR. Acestea includ pierderea datelor critice ale afacerii, afectarea reputației și amenințarea la adresa competitivității din cauza potențialei utilizări abuzive a drepturilor de acces pentru spionaj industrial. Aceste riscuri „colaterale” adesea dificil de cuantificat, dar potențial existențiale, sunt ușor de subestimat atunci când se pune accentul exclusiv pe conformitatea cu GDPR.

Hotărârea Schrems II și Cadrul privind protecția datelor (DPF)

Incertitudinea juridică privind transferurile transatlantice de date a fost exacerbată semnificativ de hotărârea Curții Europene de Justiție (CJUE) în cazul Schrems II din iulie 2020. CJUE a declarat invalid acordul privind Scutul de confidențialitate UE-SUA, aplicabil la momentul respectiv. Motivarea: Legile de supraveghere din SUA, în special FISA 702 și programele conexe, permit încălcări ale drepturilor fundamentale ale cetățenilor UE (protecția datelor, viața privată) care nu se limitează la ceea ce este strict necesar și nu oferă o protecție echivalentă cu cea oferită în UE. În plus, există o lipsă de căi de atac eficiente pentru persoanele afectate din SUA împotriva unor astfel de măsuri de supraveghere. Deși hotărârea a confirmat validitatea generală a Clauzelor Contractuale Standard (CST) ca instrument alternativ pentru transferurile de date, CJUE a clarificat faptul că exportatorii de date nu se pot baza orbește pe CST. Ca parte a unei evaluări de la caz la caz (Evaluarea Impactului Transferului – TIA), trebuie examinat dacă legislația și practicile din țara de destinație (aici, SUA) garantează un nivel de protecție care este „în esență echivalent” cu cel din UE. Dacă acest lucru nu este valabil din cauza legilor de supraveghere – așa cum a sugerat CJUE pentru SUA – trebuie luate măsuri suplimentare (măsuri complementare) (de exemplu, criptare puternică în cazul în care destinatarul nu are acces la chei) pentru a asigura protecția. Dacă nici măcar acest lucru nu este posibil, transferul de date trebuie suspendat. Legea CLOUD a fost considerată, în acest context, un factor care subminează și mai mult argumentul pentru un nivel echivalent de protecție. Ca răspuns la incertitudinea juridică creată de Schrems II și pentru a consolida fluxurile de date dintre UE și SUA, Comisia Europeană și guvernul SUA au convenit asupra Cadrului UE-SUA privind protecția datelor (DPF). Acesta a intrat în vigoare în iulie 2023 printr-o nouă decizie privind caracterul adecvat al nivelului de protecție a datelor a Comisiei UE. Cadrul de protecție a datelor (DPF) este menit să abordeze preocupările exprimate de Curtea Europeană de Justiție (CJUE) în hotărârea Schrems II, prin furnizarea de garanții suplimentare din partea SUA: accesul agențiilor de informații americane la datele cetățenilor UE va fi limitat la ceea ce este necesar și proporțional, iar pentru cetățenii UE a fost instituit un nou mecanism de cale de atac pe două niveluri (inclusiv Curtea de Revizuire a Protecției Datelor – DPRC). Companiile din SUA pot obține certificarea DPF, iar transferurile de date din UE către aceste companii certificate sunt apoi considerate permise fără a fi nevoie de instrumente suplimentare, cum ar fi Clauzele Contractuale Standard (CSC) sau alte măsuri. Cu toate acestea, persistă îndoieli și riscuri semnificative cu privire la stabilitatea și eficacitatea DPF

• Legile fundamentale ale SUA rămân în vigoare: Legea CLOUD și FISA 702 nu au fost modificate de DPF. Puterile fundamentale ale autorităților americane de a accesa datele continuă să existe.
• Îndoieli cu privire la controlul Curții Europene de Justiție (CJUE): Mulți experți și activiști în domeniul protecției datelor se îndoiesc că garanțiile prevăzute în Fondul pentru Protecția Datelor (FPD) și noul mecanism de căi de atac ar rezista unui nou control din partea CJUE. În special, independența și puterea de aplicare a legii a Comisiei de Reglementare pentru Protecția Datelor (CRPD) sunt puse sub semnul întrebării.
• Este necesară o monitorizare continuă: În temeiul articolului 45 alineatul (4) din GDPR, Comisia Europeană este obligată să monitorizeze continuu evoluțiile din SUA și să revizuiască periodic caracterul adecvat al acestora. Prima revizuire a avut loc în vara anului 2024. Evoluțiile recente, cum ar fi extinderea și potențiala extindere a FISA 702, ar putea pune din nou în pericol temeiul DPF.
• Risc pentru companii: Companiile care se bazează exclusiv pe DPF își asumă un risc semnificativ. În cazul în care Curtea Europeană de Justiție ar declara, de asemenea, DPF invalid în viitor (un scenariu „Schrems III”), transferurile de date bazate pe acesta ar deveni din nou ilegale peste noapte. Companiile care nu au apoi un „Plan B” (de exemplu, trecerea la un furnizor din UE sau implementarea unor măsuri suplimentare eficiente) nu se pot aștepta la clemență.

Prin urmare, conflictul fundamental dintre legislația SUA privind accesul larg la date și dreptul fundamental al UE la protecția datelor persistă chiar și în cadrul DPF. Legislația SUA care cauzează problema rămâne în vigoare. DPF reprezintă mai degrabă o soluție provizorie politică și potențial temporară decât o soluție juridică definitivă. Problema fundamentală a accesului autorităților SUA la datele cetățenilor și companiilor europene, care ar putea încălca GDPR, nu a fost rezolvată.

Definiție și criterii: Ce înseamnă „SaaS suveran”?

Având în vedere riscurile descrise, companiile europene caută din ce în ce mai mult alternative care să le ofere un control, o securitate și o conformitate legală sporite. În acest context, termenii „cloud suveran” sau „SaaS suveran” sunt utilizați frecvent. Dar ce înseamnă exact acești termeni și ce criterii trebuie să îndeplinească o ofertă pentru a fi considerată suverană în contextul european?

Elemente cheie ale suveranității în contextul cloud

Suveranitatea digitală în mediul cloud este un concept cu multiple fațete care depășește simpla furnizare tehnică de servicii. Poate fi înțeleasă prin intermediul mai multor elemente esențiale:

• Suveranitatea datelor: Acesta este principiul central. Acesta prevede că datele sunt supuse legilor și reglementărilor jurisdicției în care se află sau au fost colectate. Pentru Europa, aceasta înseamnă în primul rând aplicarea deplină a legislației UE privind protecția datelor (în special GDPR) și protecția împotriva accesului autorităților din țări terțe pe baza unor legi extrateritoriale, cum ar fi CLOUD Act din SUA. Clientul își păstrează controlul deplin asupra cine poate accesa datele sale și în ce condiții.
• Rezidența datelor și localizarea datelor:
  • Rezidența datelor înseamnă că datele clienților (inclusiv metadatele și copiile de rezervă) sunt garantate a fi stocate și prelucrate într-o regiune geografică definită, de obicei UE sau SEE. Aceasta este o condiție necesară pentru suveranitatea datelor în contextul UE, dar nu este suficientă în sine dacă furnizorul este supus unor legi non-europene.
  • Localizarea datelor este o cerință mai strictă care stipulează că datele nu pot părăsi granițele unei anumite țări. Astfel de legi sunt rare în UE, dar pot fi relevante pentru reglementări sau sectoare naționale specifice.
• Suveranitate operațională: Acest element se referă la controlul asupra funcționării infrastructurii cloud și a serviciilor care rulează pe aceasta. Aspectele cheie includ:
  • Operarea de către personalul UE și entități juridice ale UE: Trebuie să se asigure că personalul cu acces fizic sau logic la mediul cloud și la datele clienților își are sediul în UE și se supune legislației UE. Accesul din afara UE trebuie împiedicat sau strict controlat prin măsuri tehnice și organizatorice.
  • Sediul central și structura corporativă a UE: Furnizorul de cloud în sine, sau cel puțin entitatea juridică responsabilă de operațiunile din UE, ar trebui să aibă sediul central într-un stat membru al UE/SEE și, prin urmare, să fie supusă în primul rând legislației europene. De asemenea, este esențial să nu existe dependențe de companiile-mamă sau filialele din țări terțe (în special SUA) care ar putea impune respectarea legilor acestora (cum ar fi CLOUD Act sau FISA).
  • Transparență și auditabilitate: Clienții au nevoie de transparență în ceea ce privește procesele operaționale, subcontractanții și măsurile de securitate implementate. Capacitatea de a revizui și audita independent accesul și procesele este o caracteristică cheie a suveranității operaționale.
• Suveranitatea tehnologică: Aceasta se referă la capacitatea de a înțelege, controla, valida și, în mod ideal, de a dezvolta (în continuare) tehnologiile cheie subiacente. Printre aspectele acesteia se numără:
  • Utilizarea standardelor deschise și a software-ului open-source: Standardele deschise și software-ul open-source promovează interoperabilitatea între diferiți furnizori și soluții, sporesc transparența (deoarece codul este auditabil), reduc riscul de dependență de un anumit furnizor și facilitează auditurile de securitate. Acestea stau adesea la baza unor stive tehnologice europene, cum ar fi Sovereign Cloud Stack (SCS).
  • Interoperabilitate și portabilitate: Capacitatea de a migra cu ușurință date și aplicații între diferiți furnizori de cloud sau înapoi la propria infrastructură (on-premise) este un semn de independență și flexibilitate.
  • Controlul asupra setului tehnologic: Pe termen lung, suveranitatea tehnologică își propune să reducă dependența de componente hardware și software proprietare din surse non-europene și să dezvolte expertiza europeană.

Legat de asta:

• Platforme independente de inteligență artificială ca alternativă strategică pentru companiile europene

Demarcare și neînțelegeri

Termenul „cloud suveran” nu este protejat legal și este adesea utilizat de diverși furnizori ca instrument de marketing, conceptele și măsurile subiacente variind considerabil. Prin urmare, este crucial ca firmele să examineze cu atenție ce înțelege un furnizor prin suveranitate și ce garanții specifice oferă. O concepție greșită des întâlnită este aceea că stocarea datelor într-un centru de date din UE este suficientă pentru a garanta suveranitatea. Nu este cazul. Așa cum se explică în Secțiunea II, Legea CLOUD din SUA permite accesul la datele aparținând companiilor americane, indiferent de locul în care sunt stocate. Prin urmare, rezidența datelor în UE nu protejează împotriva accesului în SUA dacă furnizorul însuși sau compania sa-mamă are sediul în SUA sau este supusă jurisdicției SUA. O altă concepție greșită este aceea că ofertele de cloud suveran implică inevitabil limitări funcționale sau un ritm mai lent de inovare în comparație cu hiperscalatorii globali. Deși acest lucru poate fi adevărat în unele cazuri, deoarece furnizorii locali adesea nu dispun de aceleași economii de scară și bugete de cercetare, obiectivul principal al soluțiilor suverane nu este restricționarea, ci mai degrabă combinarea avantajelor cloud computing-ului (flexibilitate, scalabilitate) cu cerințele de control, securitate și conformitate. Mulți furnizori europeni se bazează pe tehnologii deschise pentru a permite inovația și adaptabilitatea.

Criterii pentru furnizorii suverani de SaaS din perspectiva UE

Pe baza elementelor de bază ale suveranității, se pot deriva criterii concrete prin care companiile europene pot evalua furnizorii SaaS:

• Protecția datelor și conformitate: Furnizorul trebuie să respecte în mod demonstrabil cerințele GDPR. Acest lucru ar trebui documentat printr-un acord de prelucrare a datelor (DPA) în conformitate cu articolul 28 GDPR și prin măsuri tehnice și organizatorice adecvate (TOM). De asemenea, trebuie asigurată respectarea altor reglementări UE și naționale relevante (de exemplu, pentru sectoare specifice).
• Locația și prelucrarea datelor: Trebuie să se garanteze contractual că toate datele clienților, inclusiv metadatele, datele de configurare și copiile de rezervă, sunt stocate și prelucrate exclusiv în UE sau în SEE.
• Operarea și controlul accesului: Operarea serviciilor și accesul la datele clienților trebuie efectuate de către personal cu sediul în UE și aparținând unei entități juridice din UE. Trebuie implementate măsuri tehnice și organizatorice stricte pentru a preveni accesul neautorizat, în special din afara UE.
• Structura corporativă și jurisdicția: Furnizorul trebuie să aibă sediul central și controlul juridic principal în UE/SEE. Nu trebuie să existe afilieri corporative sau sucursale în țări terțe (în special SUA) care ar plasa furnizorul sub jurisdicția sa și ar putea obliga la divulgarea datelor (de exemplu, prin intermediul Legii CLOUD sau FISA).
• Transparență: Furnizorul trebuie să fie transparent în ceea ce privește procesele sale operaționale, utilizarea subcontractanților, locațiile de prelucrare a datelor și măsurile de securitate implementate. Trebuie prevăzută posibilitatea auditării de către client sau de către terți independenți.
• Tehnologie și interoperabilitate: Utilizarea preferată a standardelor deschise (de exemplu, API-uri) și/sau a software-ului open source facilitează integrarea, testarea și eventuala trecere la alți furnizori (evitând dependența de un anumit furnizor).
• Certificări și atestări: Certificările și atestările recunoscute pot servi drept dovadă a conformității cu standardele de securitate și conformitate și pot consolida încrederea. Deosebit de relevante sunt ISO 27001, BSI C5 (în Germania) și, în viitor, EUCS.

Devine evident că suveranitatea digitală în contextul SaaS este un concept multidimensional. Nu este vorba doar despre locul în care sunt stocate datele, ci și despre cine le prelucrează și cum, căror legi se supune furnizorul și căror fundamente tehnologice sunt utilizate. Prin urmare, companiile trebuie să ia în considerare ce dimensiuni ale suveranității sunt cele mai importante pentru ele atunci când aleg un furnizor și cât de bine îndeplinește furnizorul aceste cerințe specifice. Simpla rezidență a datelor în UE este adesea insuficientă pentru a atenua eficient riscurile, în special cele reprezentate de legile SUA. În același timp, companiile se confruntă adesea cu o dilemă: dorința de suveranitate și control maxime trebuie echilibrată cu potențialele dezavantaje în ceea ce privește funcționalitatea, viteza de inovare sau costurile, care pot apărea la unii furnizori europeni sau strict suverani în comparație cu hiperscalerii globali. Mulți furnizori europeni consideră utilizarea software-ului open-source ca o abordare strategică pentru asigurarea transparenței, încrederii și adaptabilității, chiar dacă este posibil să nu fie în avangarda fiecărei noi dezvoltări tehnologice.

Beneficiați de expertiza extinsă, în cinci domenii, a Xpert.Digital într-un pachet complet de servicii | Cercetare și dezvoltare, XR, PR și optimizare a vizibilității digitale - Imagine: Xpert.Digital

Xpert.Digital deține cunoștințe aprofundate în diverse industrii. Acest lucru ne permite să dezvoltăm strategii personalizate, aliniate cu precizie cerințelor și provocărilor segmentului dumneavoastră specific de piață. Prin analiza continuă a tendințelor pieței și monitorizarea evoluțiilor din industrie, putem acționa proactiv și oferi soluții inovatoare. Combinația dintre experiență și expertiză generează valoare adăugată și oferă clienților noștri un avantaj competitiv decisiv.

Mai multe informații aici:

• Beneficiați de cele 5 domenii de expertiză ale Xpert.Digital într-un singur pachet – începând de la doar 500 €/lună

Prezentare generală a pieței: Alternative SaaS suverane din UE

Piața europeană de software ca serviciu (SaaS) oferă un număr tot mai mare de furnizori care se poziționează ca alternative la jucătorii dominanți din SUA. Mulți dintre aceștia pun un accent special pe protecția datelor, conformitatea cu GDPR și suveranitatea digitală pentru a satisface nevoile specifice ale companiilor și organizațiilor europene.

Criterii pentru selectarea furnizorilor

Următoarea prezentare generală se concentrează pe furnizorii SaaS care îndeplinesc următoarele criterii:

• Origine: Sediul central al companiei se află într-un stat membru al Uniunii Europene (UE), al Spațiului Economic European (SEE) sau al Elveției (CH), deoarece Elveția are o decizie privind nivelul de adecvare din partea Comisiei UE și este adesea strâns integrată în Spațiul Economic European.
• Poziționare: Furnizorul se poziționează în mod explicit ca o alternativă suverană sau conformă cu protecția datelor sau prezintă caracteristici esențiale ale suveranității digitale (de exemplu, găzduire exclusivă în UE/SEE, conformitate demonstrabilă cu GDPR, nicio supunere la legile SUA, cum ar fi CLOUD Act/FISA, utilizarea de surse deschise).
• Relevanță: Furnizorul a fost menționat în sursele de cercetare subiacente sau este cunoscut ca o alternativă relevantă în categoria sa.

Pentru o mai bună claritate, furnizorii sunt grupați în funcție de categoriile SaaS comune.

Prezentare generală clasificată a furnizorilor europeni de SaaS

Următorul tabel oferă o prezentare generală a furnizorilor europeni SaaS selectați, organizați pe domenii funcționale. Acesta servește ca punct de plecare pentru o evaluare mai detaliată.

Prezentare generală a furnizorilor europeni de SaaS pe categorii

Prezentare generală a furnizorilor europeni de SaaS pe categorii – Imagine: Xpert.Digital

(Notă: Acest tabel este o selecție și nu este exhaustiv. Informațiile se bazează pe sursele disponibile și pot fi modificate. Verificarea independentă de către companie este esențială.)

Prezentarea generală a furnizorilor europeni de SaaS prezintă o gamă largă de soluții, clasificate după tip. În sectorul colaborării și al birourilor, furnizori precum Nextcloud Hub din Germania oferă o platformă open-source pentru fișiere, comunicare, groupware și aplicații office. Această platformă poate fi auto-găzduită sau găzduită de un furnizor și prioritizează suveranitatea datelor. Open-Xchange App Suite, tot din Germania, oferă o soluție completă pentru e-mail, groupware, unitate și documente, în special pentru furnizori și companii, și respectă standardele ISO 27001. ONLYOFFICE din Letonia oferă o suită office cu funcții de colaborare și un spațiu de lucru (inclusiv CRM și e-mail). Este compatibilă atât cu cloud, cât și local și respectă GDPR. Collabora Online, bazat pe LibreOffice, este frecvent integrat cu platforme precum Nextcloud. TeamDrive, tot din Germania, se concentrează pe stocarea în cloud extrem de sigură, cu criptare end-to-end și un principiu zero-knowledge. Conceptboard, tot din Germania, oferă o tablă albă online pentru colaborare vizuală utilizând servere din UE și fără implicarea SUA. CryptPad din Franța combină colaborarea open-source cu colaborarea criptată end-to-end. Stackfield din Germania oferă o platformă conformă cu GDPR pentru chat, activități și video.

În sectorul CRM și Vânzări, Zeeg din Germania se remarcă prin programarea programărilor conforme cu GDPR, în timp ce CentralStationCRM oferă o soluție CRM simplă pentru IMM-uri. SAP CRM, ca parte a suitei SAP, este orientat către întreprinderi. Pentru soluțiile de stocare în cloud, furnizori precum pCloud din Elveția oferă criptare end-to-end opțională și planuri pe viață. Tresorit combină securitatea ridicată, accesul zero-knowledge și conformitatea pentru Europa. Proton Drive, tot din Elveția, oferă găzduire de fișiere criptate. Furnizori germani precum IONOS HiDrive și opțiuni internaționale precum Infomaniak kDrive completează gama de oferte.

Pentru videoconferințe, merită evidențiate OpenTalk din Germania, cu accent deosebit pe securitate și conformitate cu GDPR, și soluția open-source Jitsi Meet. eyeson din Austria oferă întâlniri video bazate pe cloud, în timp ce Univid din Suedia se concentrează pe webinarii. În domeniul analizei web, Matomo oferă o opțiune open-source cu control complet asupra datelor, Plausible Analytics pune accent pe ușurința în utilizare și confidențialitatea datelor, etracker din Germania evită cookie-urile, iar Piwik PRO se adresează companiilor.

Automatizarea marketingului este acoperită de furnizori precum Brevo (fostul Sendinblue) cu servere în Germania/UE și Evalanche, care se concentrează pe B2B și este certificat ISO. Personio este lider în software HR, oferind o platformă cuprinzătoare pentru IMM-uri, completată de soluții precum HRworks și Rexx Systems, care oferă atât modele cloud, cât și on-premises. OpenProject este o soluție germană de management de proiect open-source, în timp ce Zenkit se remarcă prin spațiile sale de lucru flexibile. Furnizorii de e-mail securizat precum Tutanota și Proton Mail prioritizează protecția datelor și criptarea end-to-end. Single sign-on este asigurat de Bare.ID, cu sediul în Germania, cu securitate conformă cu GDPR. Pentru instrumentele de sondaje, LamaPoll și LimeSurvey impresionează prin personalizarea lor și standardele germane ale serverelor. QuestionPro, în versiunea sa UE, completează lista cu funcții extinse și conformitate cu GDPR.

Această prezentare generală evidențiază diversitatea și specializarea remarcabile de pe piața europeană SaaS. În special în domeniile în care protecția și securitatea datelor au jucat în mod tradițional un rol major - cum ar fi colaborarea, comunicarea securizată, stocarea în cloud și analiza web - există o gamă largă de alternative. Mulți dintre acești furnizori sunt întreprinderi mici sau mijlocii (IMM-uri) sau jucători de nișă specializați din diverse țări europene. Aceștia pun adesea un accent puternic pe conformitatea cu GDPR și pe nevoile specifice ale pieței europene, ceea ce se reflectă în caracteristici precum găzduirea în UE, asistența în limba germană sau certificările de conformitate specifice.

Importanța strategică a software-ului open-source pentru mulți furnizori europeni este, de asemenea, frapantă. În special în domeniile colaborării (Nextcloud, CryptPad), aplicațiilor de birou (ONLYOFFICE, Collabora), managementului de proiect (OpenProject), analizei web (Matomo) și videoconferințelor (Jitsi, OpenTalk), tehnologiile open-source stau adesea la baza acestora. Acesta este mai mult decât un detaliu tehnic; este o decizie conștientă care promovează transparența (prin cod accesibil), adaptabilitatea, auditabilitatea și evitarea dependenței de un furnizor. Aceste aspecte sunt elemente cheie pentru suveranitatea digitală și permit furnizorilor europeni să ofere soluții fiabile și flexibile fără a avea neapărat acces la bugetele enorme de dezvoltare ale hiperscalatorilor globali. Acest lucru oferă clienților un control și o perspectivă mai mare asupra tehnologiei pe care o utilizează.

Compararea alternativelor selectate ale UE

După prezentarea generală a pieței, urmează o comparație mai detaliată a unor alternative SaaS europene reprezentative selectate în categorii cheie. Accentul se pune pe funcțiile de bază, modelele de prețuri, argumentele unice de vânzare și, în special, pe implementarea suveranității datelor și a conformității cu GDPR.

Metodologia comparației

Selecția furnizorilor pentru comparația detaliată se bazează pe relevanța și frecvența menționării lor în sursele subiacente, precum și pe poziționarea lor ca alternative europene directe la servicii americane bine-cunoscute. Comparația se bazează pe informații din fragmentele specifice furnizorilor și pe alte puncte de date relevante din fragmentele generale. Criteriile includ:

• Funcții de bază: Ce face software-ul în esență?
• Modelul de prețuri: Care este structura prețurilor (abonament, freemium, pe viață, local)?
• Locația/găzduirea datelor: Unde sunt găzduite datele (garantat în UE/DE)? Există opțiuni de auto-găzduire?
• Criptare: Ce metode de criptare sunt utilizate (în special end-to-end, zero-knowledge)?
• Certificări/Conformitate: Ce certificate relevante (ISO 27001, BSI C5 etc.) și angajamente de conformitate (GDPR) există?
• Puncte tari/slabe privind suveranitatea: Caracteristici speciale sau limitări privind controlul datelor, transparența și independența.

Comparație detaliată pe categorii

Comparație detaliată a alternativelor SaaS importante din UE

Comparație detaliată a alternativelor SaaS importante din UE – Imagine: Xpert.Digital

O comparație detaliată a principalelor alternative SaaS din UE arată că Nextcloud Hub, ca platformă modulară, oferă funcții precum sincronizarea și partajarea fișierelor, videoconferințe, groupware și integrare office, în timp ce Open-Xchange App Suite, ca suită integrată, se concentrează pe e-mail, calendar, contacte și stocare. Nextcloud Hub permite control complet prin auto-găzduire și oferă criptare end-to-end opțională, dar are cerințe IT mai ridicate pentru auto-găzduire. Open-Xchange se remarcă prin certificarea ISO și protecția datelor conformă cu UE, dar este dependent de furnizor în cloud. În sectorul CRM, Zeeg acumulează puncte prin conformitatea clară cu GDPR și găzduirea în Germania, în timp ce CentralStationCRM impresionează prin simplitatea și concentrarea sa pe IMM-uri. Ambii furnizori oferă modele freemium și garantează locații de date conforme cu GDPR. În sectorul stocării în cloud, pCloud oferă avantaje în ceea ce privește flexibilitatea cu planuri pe viață și opțiuni de stocare în UE; cu toate acestea, criptarea end-to-end este opțională și are un cost. Tresorit, pe de altă parte, acumulează puncte prin criptare zero-knowledge consistentă și conformitate ridicată, dar este mai scump. ONLYOFFICE și Collabora Online oferă alternative complete la birou, cu un puternic accent pe UE și opțiuni open-source, ONLYOFFICE remarcându-se prin caracteristicile sale de compatibilitate și colaborare Microsoft. Collabora Online este strâns integrat cu platforme precum Nextcloud și, prin urmare, este mai puțin concentrat pe funcționalități independente. În domeniul videoconferințelor, OpenTalk se remarcă prin caracteristici precum webinarii, sondaje și o concentrare clară pe GDPR, în timp ce Jitsi Meet, ca soluție open-source gratuită, oferă autocontrol maxim și simplitate. Ambele soluții oferă opțiuni locale și caracteristici puternice de protecție a datelor, OpenTalk distingându-se prin sigiliul său de securitate BSI IT.

O comparație detaliată subliniază faptul că rareori există o singură alternativă europeană „cea mai bună”. Alegerea depinde în mare măsură de cerințele și prioritățile specifice ale companiei. Apar compromisuri clare, de exemplu, între securitate maximă și preț (pCloud vs. Tresorit) sau între controlul complet prin auto-găzduire și confortul unei soluții SaaS gestionate (Nextcloud vs. OX App Suite Cloud). Companiile trebuie să evalueze care aspect - gama de funcții, ușurința în utilizare, costul sau gradul de suveranitate și securitate - este cel mai important pentru ele.

O caracteristică cheie a multor furnizori europeni este flexibilitatea modelelor lor de operare. Soluții precum Nextcloud, ONLYOFFICE, OpenTalk și Jitsi oferă atât opțiuni bazate pe cloud (SaaS), cât și opțiuni locale sau auto-găzduite. Acest lucru oferă companiilor posibilitatea de a-și determina propriul nivel de control și suveranitate. Pot opta pentru confortul unei soluții SaaS de la un furnizor european de încredere sau pot alege controlul maxim asupra datelor și infrastructurii, operând-o în propriul centru de date. Această alegere răspunde direct nevoii fundamentale de control care alimentează dezbaterea privind suveranitatea.

Integrarea unei platforme de inteligență artificială independente și multi-sursă de date pentru toate nevoile afacerii - Imagine: Xpert.Digital

AI Game Changer: Cea mai flexibilă platformă AI - Soluții personalizate care reduc costurile, îmbunătățesc deciziile și cresc eficiența

Platformă independentă de inteligență artificială: Integrează toate sursele de date relevante ale companiei

• Această platformă de inteligență artificială interacționează cu toate sursele de date specifice
  • Din SAP, Microsoft, Jira, Confluence, Salesforce, Zoom, Dropbox și multe alte sisteme de gestionare a datelor
• Integrare rapidă cu inteligență artificială: Soluții de inteligență artificială personalizate pentru companii în câteva ore sau zile, în loc de luni
• Infrastructură flexibilă: Bazată pe cloud sau găzduire în propriul centru de date (Germania, Europa, alegere liberă a locației)

• Securitate maximă a datelor: utilizarea sa în firmele de avocatură este o dovadă incontestabilă
• Implementare într-o gamă largă de surse de date ale întreprinderii
• Alegerea propriilor modele de IA sau a unor modele diferite (DE, UE, SUA, CN)

Provocări pe care le rezolvă platforma noastră de inteligență artificială

• Lipsa de compatibilitate a soluțiilor convenționale de inteligență artificială
• Protecția datelor și gestionarea securizată a datelor sensibile
• Costuri ridicate și complexitate a dezvoltării individuale de inteligență artificială
• Lipsa specialiștilor calificați în inteligență artificială
• Integrarea inteligenței artificiale în sistemele IT existente

Mai multe informații aici:

• Integrarea AI a unei platforme AI independente și multi-sursă de date pentru toate nevoile afacerii

Soluții specializate: Sovereign SaaS pentru sectoare sensibile

Deși soluțiile SaaS discutate până acum sunt adesea aplicabile în diverse industrii, există sectoare cu cerințe deosebit de ridicate în materie de securitate, conformitate și suveranitate digitală. Acestea includ, în special, administrația publică, asistența medicală și sectorul financiar. În aceste domenii se dezvoltă oferte specializate și cadre de reglementare, promovând sau chiar impunând utilizarea soluțiilor cloud suverane.

Administrație publică

Sectorul public din Germania și Europa are un interes inerent în suveranitatea digitală pentru a asigura controlul asupra datelor cetățenilor și a proceselor guvernamentale critice. Cerințele depășesc adesea conformitatea standard GDPR și includ standarde de securitate specifice, cum ar fi BSI IT Baseline Protection sau catalogul de criterii BSI C5. Interoperabilitatea între diferite autorități și niveluri de guvernare, precum și preferința pentru software-ul open-source pentru a evita dependențele, sunt, de asemenea, aspecte importante.

Mai multe inițiative vizează crearea unei infrastructuri cloud suverane pentru administrare:

• Strategia Germană pentru Cloud Administrativ (DVS): Această strategie, condusă de Consiliul de Planificare IT și FITKO, își propune să stabilească un ecosistem cloud federal, sigur, interoperabil și suveran pentru guvernul federal, state și municipalități. Se bazează pe standarde deschise, o abordare multi-cloud și integrarea furnizorilor publici de servicii IT (cum ar fi Dataport, AKDB și IT.NRW), care joacă un rol central și se bucură de un nivel ridicat de încredere. În viitor, vor putea fi integrați și furnizori externi, conformi DVC. Un element cheie este Portalul de Servicii Cloud (CSP) ca piață pentru servicii cloud standardizate și certificate.
• Platformă federală de cloud / operațiuni IT: ITZBund operează deja platforme cloud (SaaS, PaaS) pentru autoritățile federale, care urmează să fie consolidate în 2025 și să îndeplinească cerințe înalte de securitate și protecție a datelor.
• Centrul pentru Suveranitate Digitală (ZenDiS): Această instituție promovează în mod specific utilizarea software-ului open source în administrația publică și susține proiecte precum OpenDesk, o alternativă open source la Microsoft 365, dezvoltată special pentru sectorul public.
• Gaia-X și Sovereign Cloud Stack (SCS): Aceste inițiative europene oferă fundamente tehnice și standarde importante pentru construirea infrastructurilor cloud suverane, pe care DVS intenționează să le utilizeze și ea. SCS, un stack open-source bazat pe OpenStack și Kubernetes, este deja utilizat de mai mulți furnizori germani (de exemplu, plusserver).

Ofertele SaaS concrete și suverane pentru administrația publică provin atât de la furnizori de servicii IT publice (de exemplu, Conceptboard de la IT.NRW, dDataBox de la Dataport), cât și de la furnizori comerciali specializați, care dețin adesea certificări BSI C5 și sunt disponibili prin intermediul unor marketplace-uri precum govdigital (de exemplu, plusserver, STACKIT, IONOS, OVHcloud). Soluțiile open-source precum Nextcloud sau OpenDesk joacă, de asemenea, un rol important.

Legat de asta:

• Depinzând de cloud-ul american? Bătălia Germaniei pentru cloud: Cum intenționează să concureze cu AWS (Amazon) și Azure (Microsoft)

sănătate

Sectorul sănătății prelucrează date cu caracter personal extrem de sensibile (date medicale astfel cum sunt definite la articolul 9 din RGPD), care fac obiectul unei protecții speciale. Pe lângă RGPD și confidențialitatea medicală, se aplică legi naționale specifice, cum ar fi Legea privind protecția datelor pacienților (PDSG) și, mai recent, Legea privind asistența medicală digitală (DigiG). Securitatea, disponibilitatea și confidențialitatea sunt de o importanță capitală în acest context.

Un factor cheie pentru utilizarea soluțiilor cloud suverane în sistemul de sănătate german este Legea digitală (DigiG), care a intrat în vigoare în martie 2024. Deși noua secțiune 393 din Codul social german, Cartea a V-a (SGB V) permite în mod explicit prelucrarea datelor sociale și de sănătate utilizând cloud computing, aceasta impune condiții foarte stricte:

• Prelucrarea datelor numai în UE/SEE/CH sau în țara în care s-a luat decizia privind caracterul adecvat: Prelucrarea datelor poate avea loc numai pe plan intern, într-un stat UE/SEE, în Elveția sau într-o țară terță cu o decizie privind caracterul adecvat din partea Comisiei UE.
• Certificarea BSI C5 devine obligatorie: Începând cu 1 iulie 2024, furnizorii de servicii cloud care prelucrează date sociale sau de sănătate în numele furnizorilor de servicii medicale (medici, spitale, case de asigurări de sănătate etc.) trebuie să poată prezenta o certificare BSI C5 validă. Până la 30 iunie 2025, este suficientă o certificare de tip 1 (adecvarea controalelor); începând cu 1 iulie 2025, este obligatorie o certificare de tip 2 (dovada eficacității pe o perioadă de timp).
• Acest lucru se aplică și furnizorilor SaaS: Această obligație se aplică nu numai furnizorilor de infrastructură (IaaS) sau platformă (PaaS), ci și în mod explicit furnizorilor de software ca serviciu (SaaS) ale căror aplicații sunt utilizate în cloud (de exemplu, sisteme informatice spitalicești (HIS), sisteme de gestionare a practicilor (PMS), sisteme de programare a programărilor, DiGA).
• Implementarea controalelor pentru clienți: Instituția utilizatoare (clinică, cabinet medical etc.) trebuie, la rândul ei, să implementeze controalele pentru utilizatorii finali menționate în raportul de audit al furnizorului de cloud.

Această reglementare înăsprește semnificativ cerințele pentru serviciile cloud în sectorul medical, făcând efectiv din certificarea BSI C5 o condiție prealabilă pentru furnizorii de pe această piață. Furnizorii de cloud precum Open Telekom Cloud, AWS (regiunea Frankfurt), Azure, GCP și furnizori germani precum plusserver, STACKIT și IONOS dețin deja certificări C5 pentru infrastructurile lor. Acum, soluțiile SaaS pentru asistență medicală construite pe aceste infrastructuri (HIS, sisteme de gestionare a practicii, componente electronice ale dosarelor pacienților etc.) trebuie să ofere și această certificare. Exemple de companii active în mediul cloud pentru asistență medicală și/sau care solicită certificări relevante includ Gini, Doctolib și Kite Consult. Potrivit Gematik, dosarul electronic al pacientului în sine este găzduit pe servere din Germania și UE, în conformitate cu GDPR.

Finanţa

Sectorul financiar (bănci, companii de asigurări, furnizori de servicii financiare) este, de asemenea, strict reglementat și prelucrează date extrem de sensibile. Se aplică cerințe de reglementare stricte, impuse de Autoritatea Federală de Supraveghere Financiară din Germania (BaFin) (de exemplu, BAIT, KAIT, VAIT, ZAIT), precum și de reglementări europene din ce în ce mai armonizate. Standardele înalte pentru securitatea IT, managementul riscurilor, reziliență și auditabilitate reprezintă o practică standard.

Printre factorii cheie de reglementare pentru implementarea soluțiilor cloud securizate și suverane se numără:

• Directiva NIS2: Băncile și infrastructurile piețelor financiare se încadrează, în general, în categoriile de entități „esențiale” sau „importante” conform NIS2. Prin urmare, acestea trebuie să îndeplinească cerințe mai stricte privind gestionarea riscurilor, securitatea lanțului de aprovizionare (inclusiv furnizorii de cloud), raportarea incidentelor și responsabilitatea conducerii.
• DORA (Legea privind reziliența operațională digitală): Acest regulament al UE își propune în mod specific să consolideze reziliența operațională digitală în sectorul financiar. Acesta stabilește cerințe detaliate pentru gestionarea riscurilor TIC, raportarea incidentelor grave legate de TIC, testarea rezilienței digitale și, în special, gestionarea riscurilor de către furnizorii terți de servicii TIC, inclusiv furnizorii de cloud. DORA impune, printre altele, acorduri contractuale clare cu furnizorii de cloud și drepturi de audit.

Furnizorii de cloud care doresc să deservească instituțiile financiare trebuie să își demonstreze capacitatea de a îndeplini aceste cerințe de reglementare. Acest lucru se realizează adesea prin certificări precum BSI C5 sau ISO 27001, asigurări contractuale specifice și dezvăluirea transparentă a arhitecturii și proceselor lor de securitate. Furnizori precum plusserver, T-Systems, Microsoft cu EU Data Boundary și AWS cu European Sovereign Cloud se poziționează în mod specific pentru această piață reglementată.

În plus, există furnizori SaaS specializați care oferă soluții de conformitate pentru sectorul financiar, cum ar fi cele pentru combaterea spălării banilor (AML), Know Your Customer (KYC), verificarea listelor de sancțiuni, detectarea fraudelor și monitorizarea abuzurilor de piață. Exemple de furnizori cu prezență europeană includ ACTICO (Germania), Pelican AI (Regatul Unit?), Sopra Financial Technology (Germania/Franța), Otris (Germania) și ViClarity (Irlanda/SUA?).

În aceste sectoare extrem de sensibile, devine clar că decizia de a utiliza soluții cloud suverane nu mai este doar o chestiune de minimizare a riscurilor, ci este din ce în ce mai mult determinată de cerințe legale și obligații stricte de conformitate. Necesitatea de a demonstra certificări precum BSI C5 schimbă baza luării deciziilor de la o evaluare voluntară a riscurilor la o condiție prealabilă obligatorie pentru participarea la piață.

Acest lucru prezintă furnizorilor SaaS noi provocări. În timp ce anterior furnizorul de infrastructură (IaaS/PaaS) deținea adesea certificările relevante, reglementări precum Secțiunea 393 din Codul Social German, Cartea a V-a (SGB V) impun acum în mod explicit furnizorilor SaaS să furnizeze și documentația corespunzătoare, cum ar fi certificarea BSI C5. Costurile și efortul implicate în obținerea și menținerea unor astfel de certificări sunt considerabile și ar putea reprezenta un obstacol semnificativ, în special pentru companiile SaaS mai mici și inovatoare, ceea ce ar putea duce la consolidarea pieței în aceste sectoare reglementate.

Legat de asta:

• Stimulează politica SUA companiile de tehnologie din UE? Suveranitatea datelor vs. dominația SUA: Viitorul cloud computing-ului în Europa

Promovarea suveranității: inițiative și certificări ale UE

Pentru a consolida suveranitatea digitală a Europei și a crea un cadru de încredere pentru cloud computing, au fost lansate diverse inițiative și standarde de certificare la nivel european și național. Acestea vizează promovarea interoperabilității, armonizarea standardelor de securitate și creșterea încrederii în serviciile cloud.

Gaia-X: Viziunea unei infrastructuri de date europene federate

Gaia-X este una dintre cele mai importante inițiative europene pentru consolidarea suveranității digitale. Lansată în 2019 de Germania și Franța, aceasta implică acum numeroși parteneri din mediul de afaceri, știință și politică din multe țări europene.

• Obiective: Obiectivul principal al Gaia-X este de a crea o infrastructură de date sigură, federată și interoperabilă, bazată pe valori europene, cum ar fi protecția datelor (GDPR), transparența, încrederea și autodeterminarea. Acesta își propune să crească independența digitală a Europei față de furnizorii non-europeni, să permită inovarea prin schimbul securizat de date și să consolideze competitivitatea companiilor europene.
• Arhitectură și abordare: Este important să înțelegem că Gaia-X în sine nu este un furnizor de cloud și nici nu își construiește propriul „super-cloud european”. În schimb, Gaia-X definește un set de reguli, standarde comune și elemente arhitecturale pentru un ecosistem descentralizat de spații de date interoperabile și în rețea și servicii de infrastructură cloud. Se bazează pe principii precum deschiderea, transparența, modularitatea și utilizarea standardelor deschise și a software-ului open-source. Asociația Gaia-X pentru Date și Cloud (AISBL) dezvoltă specificații, reguli, politici și un cadru pentru verificarea conformității (Gaia-X Compliance), care urmează să fie implementat prin așa-numitele Case de Compensare Digitală Gaia-X (GXDCH).
• Componente și proiecte: În cadrul cadrului Gaia-X, apar componente și proiecte concrete. Sovereign Cloud Stack (SCS) este un exemplu important: o stivă tehnologică standardizată, bazată pe open-source (bazată pe OpenStack, Kubernetes etc.) pentru construirea de infrastructuri cloud suverane (IaaS/PaaS) conforme cu Gaia-X. Aceasta este destinată să servească drept fundament tehnic pentru oferte de cloud interoperabile și suverane, inclusiv cloud-ul administrativ german.
• Cazuri de utilizare: Pentru a demonstra beneficiile Gaia-X, se dezvoltă spații de date și aplicații concrete în diverse domenii. Exemple pot fi găsite în Industria 4.0 (de exemplu, Catena-X pentru industria auto), mobilitate, energie, finanțe, administrație publică și în special în domeniul sănătății. Proiecte precum TEAM-X, Health-X dataLOFT și GAIA-Med își propun să permită schimbul securizat și suveran de date medicale pentru îmbunătățirea îngrijirii și cercetării.
• Provocări: În ciuda obiectivelor sale ambițioase, Gaia-X se confruntă, de asemenea, cu provocări și critici. Acestea includ complexitatea proiectului, progresul lent în implementarea practică, definiții uneori neclare și teama că inițiativa ar putea fi dominată de hiperscalatori globali consacrați. De asemenea, a fost criticat faptul că accentul s-a pus prea mult timp pe nivelul de infrastructură (IaaS/PaaS), neglijând nivelul de aplicație (SaaS).

EUCS: Schema europeană de certificare a securității cibernetice pentru serviciile cloud

Schema europeană de certificare a securității cibernetice pentru serviciile cloud (EUCS) este un cadru de certificare dezvoltat de Agenția Europeană de Securitate Cibernetică (ENISA) în temeiul Legii UE privind securitatea cibernetică (CSA).

• Scop: Obiectivul principal este de a armoniza cerințele și certificările de securitate cibernetică pentru serviciile cloud (IaaS, PaaS, SaaS) în întreaga UE. Acesta își propune să creeze un standard unificat pentru a depăși fragmentarea cauzată de diferitele scheme naționale de certificare (cum ar fi SecNumCloud în Franța sau C5 în Germania) și să consolideze piața unică digitală. Pentru utilizatorii de cloud, EUCS își propune să creeze o mai mare transparență și încredere, demonstrând că serviciile certificate îndeplinesc standarde de securitate specifice.
• Niveluri de asigurare: Schema definește trei (sau în versiunile anterioare patru) niveluri de securitate („De bază”, „Substanțial”, „Ridicat” și, eventual, „Ridicat+”) care reflectă diferite niveluri de risc și capacități ale atacatorilor. Odată cu creșterea nivelurilor, cresc și cerințele privind măsurile de securitate implementate (de exemplu, securitatea rețelei, a stocării, a criptării, a testelor de penetrare) și rigoarea evaluării de către organismele de evaluare a conformității (OEC) acreditate.
• Voluntară vs. obligatorie: Certificarea EUCS este în general voluntară. Cu toate acestea, Legea privind securitatea cibernetică și Directiva NIS2 permit statelor membre ale UE să impună utilizarea serviciilor TIC certificate pentru anumite sectoare, în special pentru infrastructura critică (KRITIS). Prin urmare, este probabil ca EUCS să devină o cerință obligatorie de facto sau un criteriu cheie în cadrul licitațiilor, cel puțin în sectoarele reglementate.
• Dezbaterea privind suveranitatea: Un punct central și controversat în dezvoltarea EUCS a fost chestiunea cerințelor specifice de suveranitate, în special pentru cel mai înalt nivel de securitate („Ridicat” sau „Ridicat+”). Versiunile anterioare prevedeau că localizarea datelor în cadrul UE era obligatorie pentru acest nivel și că furnizorul trebuia să aibă sediul central și centrul global într-un stat membru al UE pentru a asigura protecția împotriva legilor non-europene (cum ar fi CLOUD Act). Cu toate acestea, aceste cerințe au fost aparent eliminate sau slăbite în versiunile ulterioare (începând cu 2024). Acest lucru a atras critici aspre din partea furnizorilor europeni de cloud (în special IMM-urilor), a asociațiilor industriale și a susținătorilor protecției datelor, care se tem că slăbește suveranitatea digitală a Europei, cimentează dependența de hiperscalatorii non-europeni și expune datele cetățenilor și întreprinderilor europene la riscuri crescute. Dezbaterea privind designul final al acestor cerințe continuă.

BSI C5: Standardul german pentru securitatea cloud

Catalogul Criteriilor de Conformitate pentru Cloud Computing (C5) al Oficiului Federal German pentru Securitatea Informațiilor (BSI) este un catalog de criterii stabilit care definește cerințe minime specifice pentru securitatea informațiilor serviciilor cloud.

• Scop și conținut: C5 este conceput pentru a ghida clienții de cloud în selectarea furnizorilor de servicii securizate și pentru a stabili o bază pentru gestionarea riscurilor acestora. Se bazează pe standarde recunoscute la nivel internațional, cum ar fi ISO/IEC 27001, dar le completează cu cerințe specifice cloud-ului și pune un accent deosebit pe transparență prin așa-numiții parametri de mediu. Acești parametri oferă informații despre aspecte precum locația datelor, jurisdicția, certificările și obligațiile de divulgare față de agențiile guvernamentale, ceea ce ar trebui să ajute clienții să evalueze mai bine riscurile (de exemplu, cele provenite din spionaj industrial sau încălcări de date). Catalogul cuprinde 17 domenii, inclusiv organizarea securității informațiilor, securitatea personalului, gestionarea activelor, criptografia, gestionarea identității și accesului, gestionarea incidentelor și securitatea fizică.
• Certificat de audit (Tip 1 și Tip 2): Respectarea criteriilor C5 este demonstrată printr-un certificat de audit emis de un auditor independent și calificat. Există două tipuri de certificate de audit: Tipul 1 certifică adecvarea proiectării și implementării controalelor de securitate la o anumită dată. Tipul 2 confirmă suplimentar eficacitatea operațională a acestor controale pe o perioadă de audit definită (de obicei 6 până la 12 luni). Certificatul de audit de tip 2 este considerat mai cuprinzător și va fi necesar pentru auditurile ulterioare și în sectorul sănătății începând cu iulie 2025.
• Relevanță: C5 a devenit un standard de facto pentru cloud computing securizat în Germania, în special pentru administrația publică și sectoare extrem de reglementate, cum ar fi asistența medicală și finanțele. După cum s-a menționat anterior, certificarea C5 va deveni obligatorie din punct de vedere legal pentru serviciile cloud din domeniul sănătății prin Legea privind infrastructura digitală (DigiG), începând cu iulie 2024/2025. Mulți furnizori de cloud germani și europeni, precum și internaționali (pentru regiunile lor din UE) au certificări C5 pentru serviciile lor.

Alte standarde relevante

Pe lângă inițiativele și certificările menționate anterior, standardele internaționale stabilite joacă, de asemenea, un rol important:

• ISO/IEC 27001: Standardul recunoscut la nivel global pentru Sistemele de Management al Securității Informațiilor (ISMS). Acesta definește o abordare sistematică a gestionării informațiilor sensibile de afaceri pentru a asigura confidențialitatea, integritatea și disponibilitatea acestora. Certificarea ISO 27001 este adesea o condiție prealabilă pentru furnizorii de cloud și servește drept bază pentru standarde mai specifice, cum ar fi C5.
• ISO/IEC 27017: Acest standard oferă un cod de practică cu măsuri specifice de control pentru securitatea informațiilor în mediile cloud, completând ISO/IEC 27002.
• ISO/IEC 27018: Se concentrează pe protecția informațiilor personale identificabile (PII) în cloud-ul public care acționează ca procesatori de date. Conține linii directoare strâns aliniate cu principiile europene de protecție a datelor și poate servi ca supliment la C5, care nu acoperă în principal protecția datelor.

Aceste diverse inițiative și standarde nu ar trebui neapărat considerate concurente, ci mai degrabă complementare. Gaia-X oferă viziunea și regulile pentru un ecosistem suveran, EUCS își propune să armonizeze certificarea în întreaga UE, iar standardele naționale precum BSI C5 oferă deja cerințe și mecanisme de testare concrete și stabilite. Provocarea va fi integrarea semnificativă a acestor abordări și crearea unui cadru coerent care să răspundă aspirațiilor Europei de suveranitate, fiind în același timp practic pentru furnizori și utilizatori. Cu toate acestea, dezbaterea actuală privind cerințele de suveranitate în cadrul EUCS demonstrează că sunt necesare încă eforturi politice și tehnice suplimentare.

Este important ca firmele să înțeleagă că certificări precum BSI C5 sau ISO 27001 sunt ancore valoroase ale încrederii, creând transparență și facilitând demonstrarea eforturilor de securitate. Cu toate acestea, acestea nu sunt panacee și nu înlocuiesc propria evaluare a riscurilor și due diligence a clientului. De exemplu, o certificare C5 pentru un furnizor din SUA nu schimbă supunerea acestuia la Legea CLOUD. Responsabilitatea comună pentru securitatea utilizării cloud rămâne între furnizor și client, iar firmele trebuie să verifice întotdeauna dacă măsurile furnizorului sunt suficiente pentru cerințele și riscurile lor specifice.

Legat de asta:

• Sisteme de gestionare a datelor în tranziție: strategii pentru succesul afacerilor în era inteligenței artificiale

Avantajele strategice ale trecerii la furnizorii SaaS din UE

Analiza riscurilor asociate cu utilizarea serviciilor cloud din SUA și examinarea pieței în creștere a alternativelor SaaS suverane europene permit o concluzie clară: pentru companiile europene, abordarea strategiei lor cloud din perspectiva suveranității digitale nu este doar recomandabilă, ci din ce în ce mai mult o necesitate strategică.

Rezumatul rezultatelor

Principalele concluzii ale acestui raport pot fi rezumate după cum urmează:

• Riscuri persistente legate de furnizorii din SUA: Utilizarea serviciilor SaaS de la companii aflate sub jurisdicția SUA prezintă riscuri semnificative și continue pentru companiile europene. Conflictul fundamental dintre GDPR-ul UE și legile SUA, cum ar fi CLOUD Act și FISA 702, duce la potențiale încălcări ale securității datelor, amenzi mari, pierderea controlului asupra datelor și riscul de spionaj industrial. Nici măcar actualul Cadr privind confidențialitatea datelor (DPF) dintre UE și SUA nu rezolvă acest conflict fundamental, iar stabilitatea sa pe termen lung este incertă (a se vedea Secțiunea II).
• Suveranitatea ca concept multidimensional: „SaaS suveran” în contextul european înseamnă mai mult decât simpla stocare a datelor în centre de date ale UE. Acesta include respectarea legislației europene (în special GDPR), protecția împotriva accesului din afara UE, operarea de către entități și personalul UE și, în mod ideal, deschiderea tehnologică și interoperabilitatea pentru a evita dependențele (a se vedea Secțiunea III).
• Piață în creștere pentru alternativele UE: Există o piață diversă și în creștere de furnizori SaaS, cu sediul central și operațiuni în UE/SEE/CH. Acești furnizori oferă soluții în numeroase categorii, adesea cu un accent puternic pe protecția datelor, securitate și nevoile locale. Mulți se bazează strategic pe open source pentru a maximiza transparența și controlul (a se vedea secțiunile IV și V).
• Presiunea de reglementare în sectoare sensibile: În domenii precum administrația publică, asistența medicală și sectorul financiar, utilizarea unor soluții cloud demonstrabil sigure și suverane (adesea cu certificare BSI C5 sau dovezi comparabile) devine din ce în ce mai obligatorie prin legislație (de exemplu, DigiG, DORA, NIS2) și cerințe strategice (de exemplu, DVS) (a se vedea secțiunea VI).
• Condiții-cadru prin inițiative și standarde: Inițiative europene precum Gaia-X și certificări precum EUCS planificat, precum și standarde naționale consacrate precum BSI C5, creează condiții-cadru importante, promovează interoperabilitatea și sunt menite să consolideze încrederea în ofertele de cloud suverane (a se vedea secțiunea VII).

Avantajele strategice ale alternativelor SaaS din UE

Trecerea la furnizori europeni de SaaS sau alegerea lor în principal, care îndeplinesc criteriile de suveranitate, oferă companiilor avantaje strategice dincolo de simpla minimizare a riscurilor:

• Conformitate și certitudine juridică îmbunătățite: Utilizarea unor furnizori care se supun exclusiv legislației UE și garantează că datele sunt prelucrate în cadrul UE reduce semnificativ riscul de încălcare a GDPR și de conflict cu legile din afara UE. Acest lucru creează o bază juridică mai stabilă și previzibilă pentru prelucrarea datelor.
• Control și securitate sporite ale datelor: Furnizorii europeni care pun accent pe suveranitate oferă adesea un nivel mai ridicat de control asupra propriilor date. Acest lucru poate fi realizat prin opțiuni de auto-găzduire, criptare end-to-end consistentă (zero-knowledge), procese operaționale transparente și excluderea accesului de către autoritățile din țările terțe.
• Suveranitate digitală consolidată: Alegerea furnizorilor europeni reduce dependențele strategice de companiile de tehnologie din afara Europei. Aceasta sprijină dezvoltarea unui ecosistem digital rezistent în Europa și consolidează economia digitală locală.
• Asistență locală și proximitate culturală: Furnizorii europeni pot oferi adesea servicii pentru clienți mai accesibile și mai ușor de înțeles în limba și fusul orar local. Aceștia au frecvent o înțelegere mai profundă a cerințelor și obiceiurilor specifice pieței europene, ceea ce poate facilita cooperarea și negocierea contractelor.
• Construirea încrederii: Utilizarea unor soluții demonstrabil conforme cu reglementările privind protecția datelor și suverane semnalează un angajament ferm față de protecția și securitatea datelor față de clienți, parteneri și angajați. Acest lucru poate deveni un avantaj semnificativ în ceea ce privește încrederea și competitivitatea.

Recomandări pentru companiile europene

Pentru a valorifica beneficiile soluțiilor SaaS suverane și a gestiona riscurile adoptării cloud-ului, companiile europene ar trebui să ia în considerare următorii pași:

• Efectuați o analiză individuală a riscurilor: Evaluați critic serviciile SaaS pe care le utilizați în prezent (în special cele din SUA). Analizați tipul de date prelucrate (sensibilitate, date cu caracter personal), cerințele de reglementare aplicabile (GDPR, reglementări specifice industriei) și impactul potențial al accesului neautorizat la date sau al întreruperilor serviciilor asupra afacerii dumneavoastră.
• Definiți cerințele de suveranitate: Determinați nivelul de suveranitate a datelor, control operațional și independență tehnologică necesar și dezirabil pentru organizația dumneavoastră. Nu fiecare aplicație necesită același nivel de suveranitate. Stabiliți prioritățile în funcție de risc și importanță strategică.
• Evaluați sistematic piața pentru alternativele UE: Folosiți prezentări generale ale pieței (cum ar fi cea din acest raport) și propriile cercetări pentru a identifica potențiali furnizori europeni de SaaS care îndeplinesc cerințele dumneavoastră funcționale și legate de suveranitate. Luați în considerare dimensiunea furnizorului, specializarea, referințele și viabilitatea viitoare.
• O due diligence temeinică este esențială atunci când selectați un furnizor: Nu vă bazați pe afirmații de marketing. Examinați critic informațiile furnizorului privind locațiile datelor (inclusiv copii de rezervă și metadate), personalul operațional, structura companiei (proprietate, sediul social), subcontractanții utilizați, tehnologiile de criptare (în special criptarea end-to-end/zero-knowledge) și măsurile de securitate. Solicitați acorduri de prelucrare a datelor (DPA), măsuri tehnice și organizatorice (TOM) și certificate sau atestări relevante (de exemplu, ISO 27001, BSI C5) și revizuiți-le cu atenție.
• Dezvoltați o strategie de migrare și un plan de ieșire: Planificați cu atenție orice migrare potențială. Luați în considerare costurile, efortul tehnic necesar pentru migrarea datelor, ajustările necesare ale interfeței și gestionarea schimbărilor pentru angajații dumneavoastră. Asigurați interoperabilitatea și definiți o strategie de ieșire clară pentru a facilita o viitoare schimbare a furnizorului sau reversibilitatea datelor.
• Luați în considerare Open Source ca o opțiune: Evaluați dacă soluțiile SaaS bazate pe open source, fie ca serviciu gestionat de la un furnizor din UE, fie găzduite în regim self-service, reprezintă o alternativă potrivită pentru a obține transparență, adaptabilitate și control maxime.
• Monitorizați peisajul de reglementare: Rămâneți la curent cu evoluțiile traficului de date transatlantic (verificare DPF), standardele europene de certificare (EUCS) și legile relevante (NIS2, DORA, reglementări specifice industriei), deoarece acestea vă pot influența semnificativ strategia cloud.

Decizia pro sau contra utilizării anumitor servicii cloud, în special în ceea ce privește furnizorii americani față de alternativele europene, este mult mai mult decât o chestiune tehnică sau pur legată de conformitate. Este o decizie strategică cu implicații pe termen lung pentru certitudinea juridică, securitatea datelor, controlul asupra proceselor critice de afaceri și, în cele din urmă, pentru reziliența și competitivitatea companiei în arena digitală globală. Riscurile analizate ale dependenței de furnizorii non-europeni sunt substanțiale și sunt exacerbate, mai degrabă decât atenuate, de situația geopolitică și juridică actuală.

În același timp, trecerea la alternative europene nu este o certitudine. Companiile trebuie să evalueze cu atenție dacă avantajele în ceea ce privește conformitatea și controlul depășesc potențialele dezavantaje privind funcționalitatea, viteza inovării sau efortul de migrare. O analiză amănunțită a propriilor nevoi, o evaluare realistă a alternativelor disponibile și o planificare atentă a tranziției sunt cruciale pentru succes. Cu toate acestea, piața europeană oferă din ce în ce mai mult opțiuni viabile și de încredere, care permit companiilor să profite de beneficiile cloud-ului fără a-și compromite suveranitatea digitală.

☑️ Suport pentru IMM-uri în strategie, consultanță, planificare și implementare

☑️ Crearea sau realinierea strategiei de inteligență artificială

☑️ Dezvoltare de afaceri pionieră

Konrad Wolfenstein

Aș fi bucuros să vă servesc drept consilier personal.

Mă puteți contacta completând formularul de contact de mai jos sau pur și simplu sunându-mă la +49 89 89 674 804 (München) .

Aștept cu nerăbdare proiectul nostru comun.

Xpert.Digital este un hub pentru industrie, axat pe digitalizare, inginerie mecanică, logistică/intralogistică și fotovoltaică.

Cu soluția noastră de Dezvoltare Afaceri 360°, sprijinim companii renumite, de la achiziții noi până la post-vânzare.

Inteligența de piață, smarketing-ul, automatizarea marketingului, dezvoltarea de conținut, PR-ul, campaniile de e-mail, social media personalizate și cultivarea lead-urilor fac parte din instrumentele noastre digitale.

Puteți găsi mai multe informații la: www.xpert.digital - www.xpert.solar - www.xpert.plus