W 2026 roku suwerenność cyfrowa nie jest już tylko tematem debaty o doktrynie politycznej ani pozycją w raporcie zgodności. Stała się rzeczywistością operacyjną, która trafiła do agendy każdego CIO. Uruchomienie AWS European Sovereign Cloud, sojusze takie jak Bleu czy S3NS oraz konkretne wyzwania, których ilustracją jest przypadek Health Data Hub, oznaczają historyczną przemianę rynku. Oto analiza głębokiego przełomu technologicznego i prawnego, który dotyczy Twoich krytycznych architektur.
Zrozumieć impas: dlaczego suwerenność stała się priorytetem dla CIO
Czas refleksji minął, teraz trzeba zarządzać ryzykiem systemowym. Firmy zarządzające zasobami strategicznymi pytają już nie tylko „gdzie są moje dane?”, ale też „której jurysdykcji podlegają?”.
Konflikt jurysdykcji: iluzja rezydencji danych
Przez dekadę standardową odpowiedzią na potrzebę suwerenności cyfrowej była rezydencja danych: „Moje dane są w Paryżu, więc są chronione”. Ta wizja jest dziś nieaktualna. Amerykańska ustawa CLOUD Act wprowadziła eksterytorialność, która nie zna granic fizycznych. Jeśli dostawca podlega prawu amerykańskiemu, przechowywane przez niego dane (a zwłaszcza metadane) są potencjalnie dostępne, niezależnie od ich lokalizacji geograficznej.
Dla firm zarządzających zasobami krytycznymi ryzykiem jest nie tylko wyciek informacji, ale też utrata kontroli prawnej. W razie kolizji przepisów dostawca nie będzie w stanie jednocześnie przestrzegać europejskiego RODO i nakazów amerykańskich. Dla firmy świadczącej usługi IT, takiej jak MARGO, zalecenie jest jasne: rezydencja danych to warunek konieczny, ale zdecydowanie niewystarczający.
NIS2 i ustawa SREN: od zaleceń do obowiązku prawnego
Lata 2025–2026 to moment faktycznego wejścia w życie dwóch filarów legislacyjnych, które zmieniają krajobraz:
Znacząco rozszerza krąg podmiotów objętych przepisami (podmioty kluczowe i ważne). Nakłada bezpośrednią odpowiedzialność na organy zarządzające i wymaga pełnej kontroli nad cyfrowym łańcuchem dostaw.
Ten francuski akt prawny wpisuje do ustawy doktrynę „chmura w centrum”. Dla służb państwowych i podmiotów przetwarzających dane wrażliwe korzystanie z chmury z kwalifikacją SecNumCloud nie jest już zaleceniem, lecz ścisłym wymogiem zgodności.
Dylemat 2026 roku: wydajność czy autonomia
CIO stoją przed trudnym wyborem. Z jednej strony presja innowacji: wdrażanie generatywnej AI, big data i obliczeń kwantowych wymaga bardzo wydajnych usług zarządzanych oferowanych przez hiperskalerów. Z drugiej strony imperatyw bezpieczeństwa prawnego: nie narażać zasobów informacyjnych firmy na działanie obcych jurysdykcji. Ten dylemat tworzy „próżnię strategiczną”, którą próbują dziś wypełnić nowe modele zaufania.
Narodziny modeli hybrydowych: skąd sojusze lokalnych graczy z hiperskalerami?
W obliczu prawnego impasu wywołanego przez CLOUD Act europejskie firmy musiały zmierzyć się z bezpośrednim pytaniem: czy da się obejść bez hiperskalerów? W 2026 roku rynek odpowiada pragmatycznym „nie”, obwarowanym jednak surowymi warunkami. To era racjonalnych sojuszy.
Pragmatyczna obserwacja: ściana innowacji
Dlaczego „czysto” europejscy liderzy, mimo doskonałości w IaaS (infrastrukturze), nie zdołali powstrzymać amerykańskiej hegemonii? Odpowiedź tkwi w jednym pojęciu: głębia usług. Nowoczesny projekt data science czy agentowej AI nie zadowala się już surowymi serwerami. Wymaga złożonych usług zarządzanych (zarządzany Kubernetes, hurtownie danych, LLM as a Service), na których dopracowanie amerykańscy giganci poświęcili dekady i miliardy dolarów. Dla firmy świadczącej usługi IT rekomendowanie suwerennego rozwiązania z opóźnieniem funkcjonalnym nie jest realną opcją, jeśli zależy jej na konkurencyjności klientów.
Model „Translated Trust”: jak działają sojusze
Aby rozwiązać ten dylemat, na rynku powstały bezprecedensowe spółki joint venture, które zamykają amerykański stos oprogramowania w europejskiej „bańce” prawnej:
- S3NS (Thales i Google Cloud): certyfikowany pionier. W grudniu 2025 roku S3NS uzyskał kwalifikację SecNumCloud 3.2 dla oferty Premi3ns i to Thales jest jej operatorem, a nie zwykłym odsprzedawcą. Usługi Google (BigQuery, Vertex AI) są obsługiwane przez zespoły Thales we francuskich centrach danych, z pełną kontrolą nad kluczami szyfrowania.
- Bleu (Orange, Capgemini i Microsoft): gigant na horyzoncie. Gigantyczny projekt, którego celem jest udostępnienie całego ekosystemu Microsoft (Azure i Microsoft 365) pod w 100% francuskim szyldem. Ma odpowiedzieć na ogromne potrzeby szpitali i ministerstw, które nie mogą sobie pozwolić na przepisywanie procesów budowanych od dekad w ekosystemie Microsoft, a jednocześnie zagwarantować pełną ochronę przed prawem USA.
Studium przypadku Health Data Hub: gdy teoria zderza się z praktyką
Jeśli jest jedna sprawa, w której skupiają się wszystkie napięcia, to Health Data Hub (HDH). Ten monumentalny projekt stał się zwierciadłem paradoksów francuskiej suwerenności cyfrowej.
Analiza paradoksu: 10 milionów rekordów pod amerykańską banderą
W styczniu 2026 roku wniosek jest bolesny: mimo powtarzanych wezwań CNIL i rządowych zobowiązań do migracji infrastruktura Microsoft Azure nadal przechowuje dane HDH (oraz projektu EMC2).
Skąd to status quo, skoro sama Rada Stanu (Conseil d’État) przyznaje, że dostępu amerykańskich władz „nie można całkowicie wykluczyć”? Odpowiedź jest techniczna: w momencie wyboru żadna suwerenna alternatywa nie oferowała wymaganego poziomu funkcjonalności (zarządzanie logami, granularne szyfrowanie, moc GPU dla medycznej AI). To paradoks „wyboru z braku alternatywy”: bezpieczeństwo prawne zostało tymczasowo poświęcone na ołtarzu wykonalności technologicznej.
„Luka” migracyjna: realia złożonych architektur
Opóźnienie HDH, którego pełna migracja do środowiska SecNumCloud jest dziś zapowiadana dopiero na lato 2026 roku, uczy nas fundamentalnej lekcji:
- Uzależnienie od usług zarządzanych: im więcej specyficznych usług PaaS wykorzystuje projekt, tym wyższy „koszt wyjścia”. Migracja oznacza przepisanie tysięcy linii kodu infrastruktury (Terraform, Ansible).
- Wyzwanie skali i wydajności: przy ponad petabajcie danych HDH wymaga skalowalności, którą do tej pory natywnie zapewniali tylko hiperskalerzy.
- Wymóg ciągłości: przejście do suwerennego środowiska jest możliwe tylko przy zachowaniu tej samej wydajności i tego samego poziomu bezpieczeństwa.
Przypadek HDH dowodzi, że strategię suwerenności cyfrowej trzeba planować już na etapie projektowania. Odkładanie pytania o jurysdykcję do wdrożenia produkcyjnego nieuchronnie prowadzi do impasu migracyjnego.
Odpowiedź AWS: stawka na autarkię technologiczną
W tym rozdrobnionym krajobrazie Amazon Web Services uruchomił w styczniu 2026 roku AWS European Sovereign Cloud (ESC). W przeciwieństwie do sojuszy Bleu czy S3NS AWS stawia na autarkię technologiczną i izolację strukturalną.
Izolacja przez „partycję” czy izolacja przez partnerstwo
AWS ESC wprowadza nową partycję o nazwie aws-eusc, całkowicie odseparowaną od globalnej partycji komercyjnej.
- Bezprecedensowy europejski model zarządzania: AWS powołał spółkę AWS European Sovereign Cloud GmbH, podmiot prawa niemieckiego kierowany przez Europejczyków i nadzorowany przez niezależną radę doradczą złożoną wyłącznie z obywateli UE.
Trzy filary autarkii według AWS
- Operacje w 100% lokalne: infrastrukturą zarządzają wyłącznie rezydenci UE przebywający na terenie UE. AWS zapowiada nawet przejście na model, w którym eksploatację zapewniać będą wyłącznie obywatele UE.
- Suwerenność metadanych: wszystkie metadane (role IAM, konfiguracje, logi) są przechowywane wyłącznie w UE. Żadne „odbicie” do USA nie jest technicznie możliwe.
- Odporność i dostęp do kodu: w razie poważnego zerwania upoważnieni pracownicy mają niezależny dostęp do repliki kodu źródłowego niezbędnego do utrzymania usług.
Zabezpieczenie technologiczne: system Nitro
Prawdziwym „game changerem” jest sprzęt. System Nitro przenosi funkcje bezpieczeństwa na dedykowane układy. Już z założenia konstrukcyjnego Nitro fizycznie uniemożliwia jakikolwiek dostęp administracyjny do danych klienta, nawet pracownikom AWS. To koronny argument: suwerenność by design.
Pozostaje jednak pytanie: czy stawiać na certyfikację SecNumCloud, uzyskiwaną dzięki lokalnym partnerstwom, czy na autarkię technologiczną proponowaną przez oferty takie jak AWS European Sovereign Cloud? W praktyce ten podział jest w dużej mierze teoretyczny. O suwerenności cyfrowej nie myśli się już w kategoriach wyboru zero-jedynkowego, lecz jako o przemyślanej segmentacji obciążeń.
Niektóre obciążenia, objęte ścisłymi wymogami regulacyjnymi lub przetwarzające dane szczególnie wrażliwe, nadal będą wymagały środowiska z kwalifikacją SecNumCloud. Inne, nastawione na innowacje, dane lub AI, będą mogły czerpać z autarkii technologicznej i funkcjonalnej głębi ESC, pod warunkiem że gwarancje prawne i operacyjne pozostaną pod kontrolą.
Zadaniem CIO nie jest więc wybór jednej „suwerennej chmury”, lecz zaprojektowanie hybrydowych, dobrze zarządzanych architektur, zdolnych orkiestrować kilka suwerennych środowisk w zależności od poziomu ryzyka, krytyczności biznesowej i celów wydajnościowych.
Podsumowanie: w stronę kontrolowanej suwerennej hybrydyzacji
Uruchomienie AWS European Sovereign Cloud to ważny krok. Dla francuskich firm to dodatkowa szansa, by korzystać z elastyczności AWS, a jednocześnie wzmocnić swoją zgodność z RODO czy NIS2.
Wybór infrastruktury nie zastąpi jednak ludzkiej ekspertyzy. Suwerenność cyfrowa to już nie opcja do odhaczenia, lecz strategia zarządzania danymi, która wpływa na każdy element technologiczny.
W MARGO pomagamy klientom odnaleźć się w tej złożoności: dobrać odpowiednie strefy dostępności, orkiestrować interoperacyjność między partycjami i zagwarantować, że architektura rzeczywiście służy strategii biznesowej.
👉 Skontaktuj się z naszymi ekspertami
