Więcej niż prywatność: dostępność, zależność i koszty

Moduł 1: Dlaczego europejska chmura? · Czas czytania: 11 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili wyjaśnić, że suwerenność cyfrowa dotyczy nie tylko poufności, ale też dostępności i zdolności do samodzielnego decydowania, poznają Państwo nowe europejskie prawa do zmiany dostawcy wynikające z aktu w sprawie danych (Data Act) oraz będą Państwo w stanie ocenić ryzyka właściwe dla własnej sytuacji.

Kluczowe pojęcia: suwerenność cyfrowa, ryzyko dostępności, sankcje, jednostronna zmiana warunków, uzależnienie od dostawcy (vendor lock-in), ryzyko koncentracji, akt w sprawie danych (Data Act), prawo do zmiany dostawcy, koszty zmiany dostawcy, NIS2, ocena ryzyka (prawdopodobieństwo i skutki)

Suwerenność to więcej niż „kto może czytać Państwa dane”

Poprzednie lekcje dotyczyły poufności: kto może zapoznać się z Państwa danymi. Są jednak jeszcze dwa pytania, które dla organizacji są co najmniej równie ważne:

1. Czy mają Państwo dostęp do danych wtedy, gdy są one potrzebne? (dostępność)
2. Czy mogą Państwo samodzielnie decydować, nawet jeśli dostawca chce czegoś innego? (zdolność decydowania)

Razem nazywa się to suwerennością cyfrową: stopniem, w jakim Państwo (lub Państwa kraj, lub Europa) zachowują samodzielną kontrolę nad swoimi danymi i usługami cyfrowymi. Pojęcie brzmi poważnie, ale dla Piekarni Ziarno ma bardzo praktyczny wymiar: jeśli Sanne w poniedziałek rano o szóstej nie może otworzyć tras dostaw, na dwunastu pracowników czeka bezczynność.

To jest wyjaśnienie, a nie porada prawna.

Ryzyko 1: Państwa konto może zostać zablokowane

Usługa chmurowa może ograniczyć lub zablokować Państwa dostęp. Zwykle z przyczyn zwyczajnych: nieopłaconej faktury, podejrzenia nadużycia, błędnej oceny dokonanej przez automatyczny system. Każdy, kto kiedykolwiek miał zablokowane konto u dużego dostawcy, wie, jak trudno jest wtedy dotrzeć do żywego człowieka.

Istnieje też odmiana geopolityczna tego ryzyka. Firma musi przestrzegać sankcji nałożonych przez państwo, którego prawu podlega. W lutym 2025 roku rząd Stanów Zjednoczonych nałożył sankcje na głównego prokuratora Międzynarodowego Trybunału Karnego (MTK) w Hadze. W maju 2025 roku agencja prasowa AP poinformowała, że stracił on dostęp do swojej służbowej poczty w usłudze Microsoft. Microsoft oświadczył, że nigdy nie zawiesił swoich usług dla MTK; według późniejszych doniesień to sam MTK, pod presją sankcji, zaprzestał udostępniania skrzynki pocztowej. Dokładny przebieg wydarzeń wciąż budzi dyskusję. Przykład ten pokazuje jednak, że dostępność usługi zależy od polityki kraju, w którym działa dostawca, a nie tylko od technologii.

Piekarnia raczej nie zostanie objęta sankcjami. Chodzi jednak o coś szerszego: są Państwo zależni od przepisów, na które nie mają Państwo wpływu.

Ryzyko 2: warunki i ceny zmieniają się jednostronnie

Usługi chmurowe działają w modelu abonamentowym, na podstawie ogólnych warunków, które dostawca może zmieniać. Pakiety są łączone, funkcje przenoszone do droższego pakietu, albo pojawia się nowa funkcja (na przykład AI), która podnosi cenę lub w inny sposób wykorzystuje Państwa dane. Zwykle mają Państwo tylko wybór: zaakceptować albo odejść. A odejście jest trudne, jeśli cała Państwa praca znajduje się już w danej usłudze. To jest właśnie uzależnienie od dostawcy, po angielsku vendor lock-in (lekcja 2.3).

Ryzyko 3: wszystko u jednego dostawcy

Jeśli poczta, kalendarz, pliki, czat, hasła oraz logowanie do innych usług („zaloguj się przez Google lub Microsoft”) znajdują się u jednego dostawcy, to wystarczy jedna awaria, jedno zablokowane konto albo jedno zhakowane hasło, aby stracić wszystko naraz. Nazywa się to ryzykiem koncentracji. Dotyczy ono każdego dostawcy, także europejskiego. Rozproszenie usług oraz własna kopia zapasowa (moduł 8) pomagają je ograniczyć.

Na poziomie krajowym pojawia się podobny problem. W Holandii w 2025 i 2026 roku toczyła się dyskusja wokół firmy Solvinity, dostarczającej infrastrukturę dla systemów DigiD i MijnOverheid. Amerykański koncern Kyndryl chciał ją przejąć. Po opinii holenderskiego Urzędu ds. Kontroli Inwestycji (Bureau Toetsing Investeringen), holenderski sekretarz stanu w maju 2026 roku zakazał tego przejęcia, chroniąc interes publiczny; jedną z obaw było to, że amerykańska administracja mogłaby uzyskać dostęp do danych na mocy CLOUD Act. Przykład ten pokazuje, że nawet właściciel europejskiego dostawcy może się zmienić. Dzisiejsza usługa europejska jutro może mieć amerykańską spółkę macierzystą. Dlatego do każdej decyzji powinien należeć plan wyjścia (lekcja 8.2).

Nowe przepisy europejskie: akt w sprawie danych (Data Act)

Unia Europejska wprowadziła przepisy mające ułatwić zmianę dostawcy usług chmurowych, w akcie w sprawie danych (Data Act) (rozporządzenie (UE) 2023/2854). Rozporządzenie obowiązuje od 12 września 2025 roku. Dla usług chmurowych (przepisy mówią o „usługach przetwarzania danych”) zasady znajdują się w rozdziale VI (artykuły od 23 do 31). W skrócie:

• Dostawca nie może utrudniać Państwu przejścia do innego dostawcy lub na własne serwery i musi przy tym współpracować.
• Umowa musi między innymi przewidywać okres wypowiedzenia nie dłuższy niż dwa miesiące, okres przejściowy co do zasady nie dłuższy niż trzydzieści dni oraz okres co najmniej trzydziestu dni na odzyskanie swoich danych.
• Dostawcy muszą z góry jasno informować o kosztach.
• Koszty zmiany dostawcy, w tym koszty wyprowadzenia danych (egress), od początku obowiązywania przepisów mogły być pobierane wyłącznie po kosztach własnych, a od 12 stycznia 2027 roku znikną całkowicie (artykuł 29). Zwykłe opłaty abonamentowe oraz kary za przedwczesne rozwiązanie umowy zawartej na czas określony pozostają jednak dopuszczalne.

To pomaga, ale nie rozwiązuje wszystkiego. Przepisy mówią, że mogą Państwo zabrać swoje dane, a nie że będą one działać u nowego dostawcy dokładnie tak samo. Przeniesienie dokumentu Google czy historii czatu z Teams do innego środowiska pozostaje trudne (moduły 5, 6 i 7).

NIS2 w jednym akapicie

Europejska dyrektywa NIS2 (dyrektywa (UE) 2022/2555) zobowiązuje średnie i duże organizacje w ważnych sektorach do zadbania o cyberbezpieczeństwo własne oraz swoich dostawców. Mała piekarnia nie podlega tym przepisom, ale dostawca takiej organizacji może otrzymać pytania dotyczące własnych usług chmurowych. NIS2 nie mówi nic o tym, czy usługa musi być europejska, ale wymaga, by znali Państwo ryzyka w swoim łańcuchu dostaw.

Ocena ryzyka: nie wszystko jest równie ważne

Nie muszą Państwo przenosić wszystkiego już jutro. Pomaga trzeźwa ocena każdego elementu z osobna. Dla każdego ryzyka należy ocenić prawdopodobieństwo jego wystąpienia oraz skutki, jakie by ono przyniosło:

Taka tabela pokazuje, od czego zacząć. Teczka kadrowa jest mała i wrażliwa: można ją szybko przenieść z dużą korzyścią. Poczta jest ważna, ale wymaga starannego planu (moduł 4). Historii czatu być może nie przeniosą Państwo wcale, lecz ją zarchiwizują.

Uczciwie trzeba dodać: duże amerykańskie usługi są niezawodne, silne technicznie i znane Państwa pracownikom. Zmiana wymaga czasu i przyzwyczajenia się do nowego rozwiązania. Pytanie nie brzmi „dobrze czy źle”, lecz jakie ryzyka świadomie Państwo akceptują.

W praktyce: jak to wygląda u dostawcy

U każdego dostawcy, także europejskiego, warto zapytać: jak wyprowadzę swoje dane, w jakich formatach i jak długo po wypowiedzeniu umowy będę jeszcze miał do nich dostęp? Na przykład w instrukcji Nextcloud od WebOké opisano, jak przenosić dane między instalacjami Nextcloud, a Nextcloud działa w oparciu o otwarte standardy, takie jak WebDAV, CalDAV i CardDAV, dzięki czemu mogą Państwo przejść również do innego dostawcy. Inni dostawcy oferują podobne funkcje eksportu; warto sprawdzić, czy działają one bez konieczności kontaktu z działem wsparcia.

Podsumowanie

• Suwerenność cyfrowa dotyczy poufności, dostępności i zdolności do samodzielnego decydowania.
• Konto może zostać zablokowane z powodu błędu, braku płatności lub sankcji; sprawa MTK (2025) pokazuje, że polityka ma tu znaczenie.
• Warunki i ceny mogą zmieniać się jednostronnie; trzymanie wszystkiego u jednego dostawcy stwarza ryzyko koncentracji.
• Akt w sprawie danych (Data Act, obowiązujący od 12 września 2025 roku) wprowadza prawa do zmiany dostawcy; koszty zmiany dostawcy znikną od 12 stycznia 2027 roku.
• Prawdopodobieństwo i skutki warto oceniać osobno dla każdego elementu i zacząć tam, gdzie korzyść jest największa.

Quiz

Zadanie

Zadanie A1.5: Własna ocena ryzyka. Proszę wypełnić dla swojej organizacji, dla każdego elementu (poczta, kalendarz, kontakty, pliki, dokumenty, czat, hasła, kopie zapasowe), jak poufny jest dany element, jak dotkliwa byłaby jego niedostępność i jak trudne byłoby jego przeniesienie. Program sprawdzi, czy Państwa ocena jest kompletna i spójna, oraz ułoży elementy w odpowiedniej kolejności.

Zadanie E1.5: Państwa ocena w pięciu zdaniach. Proszę opisać, dlaczego Państwa organizacja chce (lub nie chce, lub chce częściowo) zmienić dostawcę, jakie ryzyka świadomie Państwo akceptują oraz jaki jest najważniejszy argument dla Państwa współpracowników.

Więcej informacji

Kroki opisane w tych artykułach dotyczą usług WebOké; u innych dostawców działa to w podobny sposób.

• Podręcznik Nextcloud 1.1: Czym jest Nextcloud i czym jest WebOké Nextcloud?
• Podręcznik Nextcloud 13.1: Przygotowanie: co zabrać ze sobą i w jakiej kolejności
• Podręcznik Nextcloud 6.6: Kopie zapasowe w WebOké: co przechowujemy i co mogą Państwo zrobić samodzielnie
• Rozporządzenie (UE) 2023/2854 (akt w sprawie danych, Data Act), rozdział VI, artykuły od 23 do 31, na stronie EUR-Lex
• Dyrektywa (UE) 2022/2555 (NIS2), na stronie EUR-Lex