Comisia Europeană publică metodologia prin care măsoară suveranitatea serviciilor cloud

Comisia Europeană a publicat noi clarificări privind Cloud Sovereignty Framework, instrumentul prin care evaluează nivelul de suveranitate al furnizorilor de servicii cloud în achizițiile publice pentru instituțiile, organismele, oficiile și agențiile Uniunii Europene.

Documentele publicate de Direcția Generală Servicii Digitale explică modul în care Comisia calculează două evaluări complementare: Sovereignty Effectiveness Assurance Level, cunoscut ca SEAL, și scorul general de suveranitate. Metodologia este însoțită de un calculator de evaluare, care detaliază criteriile folosite pentru fiecare obiectiv de suveranitate.

Pe scurt

1. Comisia Europeană a publicat clarificări suplimentare privind Cloud Sovereignty Framework.

2. Cadrul a fost folosit în achiziția de servicii cloud suverane pentru entitățile Uniunii Europene.

3. În aprilie 2026, Comisia a atribuit un contract de până la 180 de milioane de euro, pe o perioadă de șase ani, către patru furnizori.

4. Metodologia introduce nivelurile SEAL, de la SEAL-0, lipsă de suveranitate, până la SEAL-4, suveranitate digitală deplină.

5. Scorul general de suveranitate este calculat pe baza a 48 de criterii, grupate în opt obiective: strategic, juridic, date și inteligență artificială, operațional, lanț de aprovizionare, tehnologic, securitate și conformitate, sustenabilitate de mediu.

Cloud Sovereignty Framework urmărește să facă măsurabilă o noțiune care, până recent, era folosită mai ales politic: suveranitatea digitală. În loc să evalueze furnizorii de cloud doar prin prisma prețului, a performanței tehnice sau a securității, Comisia introduce un instrument care verifică în ce măsură serviciile, tehnologia, datele, operațiunile și lanțurile de aprovizionare rămân sub control european sau sunt expuse unor dependențe față de actori din afara Uniunii.

Cadrul a fost aplicat în procedura lansată prin Cloud III Dynamic Purchasing System. În aprilie, Comisia a anunțat atribuirea unor contracte către patru furnizori, pentru servicii cloud suverane destinate entităților Uniunii Europene. Valoarea totală poate ajunge la 180 de milioane de euro pe șase ani.

Furnizorii selectați sunt un parteneriat luxemburghez-francez condus de Post Telecom, cu OVHCloud și CleverCloud, compania germană STACKIT, compania franceză Scaleway și un parteneriat belgiano-franco-luxemburghez condus de Proximus, care utilizează servicii de la S3NS, Clarence și Mistral.

Metodologia SEAL clasifică furnizorii pe o scară de la SEAL-0 la SEAL-4. SEAL-0 indică lipsa de suveranitate, atunci când serviciile, tehnologia sau operațiunile sunt sub control exclusiv al unor terți din afara Uniunii Europene și sunt guvernate integral de jurisdicții non-UE. SEAL-1 indică suveranitate jurisdicțională limitată, în care dreptul UE se aplică formal, dar controlul practic rămâne la actori din afara Uniunii.

SEAL-2, nivelul de suveranitate a datelor, presupune că dreptul UE este aplicabil și executoriu, chiar dacă rămân dependențe materiale față de actori non-UE. SEAL-3, nivelul de reziliență digitală, presupune influență semnificativă a actorilor europeni și doar un control marginal al terților non-UE. SEAL-4 indică suveranitate digitală deplină, în care tehnologia și operațiunile sunt sub control complet european, supuse doar dreptului UE și fără dependențe critice non-UE.

În achiziția de cloud suveran, furnizorii trebuiau să atingă cel puțin SEAL-2 pentru a fi eligibili. Potrivit Comisiei, majoritatea furnizorilor selectați au atins SEAL-3, iar un furnizor a atins SEAL-2.

Al doilea instrument este scorul general de suveranitate. Acesta nu înlocuiește nivelurile SEAL, ci permite compararea mai fină a ofertelor pe baza unor criterii punctate. Calculatorul anexat de Comisie arată că evaluarea se face prin 48 de criterii specifice, grupate în opt obiective.

Obiectivul de suveranitate strategică verifică dacă furnizorul este ancorat în ecosistemul juridic, financiar și industrial al Uniunii Europene, inclusiv prin structură de proprietate, finanțare, contribuție economică și aliniere la prioritățile industriale europene.

Obiectivul juridic și jurisdicțional analizează expunerea la legi extraterritoriale din afara Uniunii, inclusiv posibilitatea ca autorități non-UE să obțină acces la date sau sisteme. Această dimensiune este esențială pentru instituții publice și servicii critice, unde controlul asupra datelor nu poate depinde doar de clauze contractuale generale.

Obiectivul privind datele și inteligența artificială se referă la controlul asupra cheilor de criptare, localizarea stocării și procesării, auditabilitatea accesului la date și modul în care modelele de inteligență artificială sau fluxurile de date sunt dezvoltate, antrenate, găzduite și guvernate sub control european.

Obiectivele operațional, de lanț de aprovizionare și tehnologic analizează capacitatea de a opera serviciile fără dependențe externe critice, transparența furnizorilor și subfurnizorilor, posibilitatea de audit, accesul la documentație, interoperabilitatea, standardele deschise și riscul de blocare într-o tehnologie proprietară.

Securitatea și conformitatea vizează certificări, respectarea cadrului european, inclusiv GDPR, NIS2 și DORA, localizarea centrelor de operațiuni de securitate și capacitatea de audit independent. Sustenabilitatea de mediu evaluează eficiența energetică, utilizarea energiei regenerabile, economia circulară și transparența privind emisii, consum de apă și alți indicatori.

Ponderea criteriilor arată ce consideră Comisia cel mai important în evaluarea suveranității cloud. Lanțul de aprovizionare are cea mai mare pondere, 20% din scorul total. Suveranitatea strategică, operațională și tehnologică au fiecare câte 15%. Suveranitatea juridică, datele și inteligența artificială, precum și securitatea și conformitatea au fiecare câte 10%. Sustenabilitatea de mediu are o pondere de 5%.

Această structură indică faptul că suveranitatea cloud nu este redusă la localizarea datelor în Europa. Comisia evaluează și cine controlează tehnologia, cine poate interveni asupra operațiunilor, ce se întâmplă dacă apare o ruptură în lanțul de aprovizionare, ce jurisdicție se aplică și dacă instituțiile europene pot migra, audita sau menține serviciile fără dependențe critice.

Publicarea clarificărilor are și o miză de piață. Comisia spune că a primit numeroase întrebări din partea administrațiilor publice și a companiilor IT privind modul de aplicare a cadrului. Prin publicarea ghidului și a calculatorului de evaluare, executivul european transformă metodologia folosită într-o achiziție proprie într-un reper posibil pentru alte organizații publice și private.

Cloud Sovereignty Framework marchează o etapă importantă în politica europeană de suveranitate digitală. Comisia folosește propria putere de cumpărare pentru a stabili standarde de piață, iar achizițiile publice devin un instrument de politică tehnologică.

Pentru administrații, mesajul este că alegerea unui furnizor cloud poate fi evaluată nu doar prin cost și performanță, ci și prin riscuri juridice, dependențe tehnologice, control operațional, securitate și reziliență. Pentru furnizori, cadrul indică direcția în care ar trebui adaptate serviciile dacă vor să concureze pe piața serviciilor cloud pentru sectorul public european.