Cyfrowa suwerenność. Sama lokalizacja serwerów to zdecydowanie za mało

Wiosną tego roku Ministerstwo Aktywów Państwowych przedstawiło definicję „local content”. Uszczegóławia ona ogłoszoną wcześniej koncepcję rządu zakładającą, że duże inwestycje spółek Skarbu Państwa mają w większym stopniu opierać się na potencjale polskich firm. Chodzi m.in. o to, by przy projektach energetycznych, infrastrukturalnych czy zbrojeniowych liczyła się nie tylko najniższa cena, ale także „lokalna wartość”, którą dana inwestycja wnosi do krajowej gospodarki. Celem jest zatrzymanie większej części kapitału w Polsce, zwiększenie liczby zamówień dla rodzimych firm, stabilizacja rynku pracy oraz budowanie odporności na zakłócenia w globalnych łańcuchach dostaw.

W świecie IT coraz ważniejsze staje się to, kto sprawuje realną kontrolę nad kluczowymi systemami i danymi

To myślenie coraz częściej przenosi się również na technologię i infrastrukturę cyfrową. Tak jak w energetyce, zbrojeniówce czy budownictwie liczy się udział polskich dostawców i wykonawców konkretnych inwestycji, tak w świecie IT coraz ważniejsze staje się to, kto sprawuje realną kontrolę nad kluczowymi systemami i danymi. Tym bardziej że trudno dziś znaleźć branżę, w której rola nowoczesnych technologii nie rośnie skokowo.

Przeczytaj: Polskie firmy w chmurze. Wysoka adopcja, nie do końca wykorzystany potencjałPolskie firmy sprawnie wdrażają chmurę. Wyzwaniem nie jest już migracja, lecz wykorzystanie zaawansowanych usług AI, analityki danych i cyberbezpieczeństwa, które zwiększają produktywność, innowacyjność i konkurencyjność gospodarki.

Rosnące ryzyka, większa świadomość

Trend ten potwierdzają najnowsze analizy dotyczące suwerenności technologicznej w Europie. Raport Komisji Europejskiej „Stan Dekady Cyfrowej 2025: Kontynuacja budowy suwerenności UE i cyfrowej przyszłości” zwraca uwagę, że wdrażanie chmury i analityki danych w Unii Europejskiej wciąż postępuje zbyt wolno. Tymczasem liczba cyberataków wzrasta w zatrważającym tempie – według raportu CERT Polska w 2025 roku odnotowywano blisko 2 tys. incydentów cyberbezpieczeństwa dziennie, co oznacza wzrost o 152 proc. r/r. Wśród najważniejszych wyzwań, jakie czekają nas do 2030 r., dokument wymienia konsekwentne budowanie suwerennych zasobów cyfrowych. Świadomość problemu i jego wagi jest coraz większa, a trendem na świecie staje się odzyskiwanie kontroli nad miejscem przechowywania i mechanizmami przetwarzania danych obywateli, przedsiębiorców i administracji.

Na świecie trendem staje się odzyskiwanie kontroli nad miejscem przechowywania i mechanizmami przetwarzania danych

Michał Furman, dyrektor wykonawczy ds. Transformacji Cyfrowej i Informatyki w największej polskiej spółce, jaką jest ORLEN, potwierdza, że suwerenne rozwiązania chmurowe odgrywają obecnie coraz większą rolę.

– Szczególnie w kontekście geopolitycznym, gdzie suwerenność cyfrowa oznacza nie tylko lokalizację danych, ale też jurysdykcję, kontrolę nad systemami i łańcuchem dostaw. Dlatego celowo włączamy do naszej architektury polskich i europejskich dostawców IT – wyjaśnia.

Co właściwie oznacza suwerenność

Dyskusję na temat suwerenności cyfrowej wzmaga sytuacja geopolityczna, która rodzi obawy dotyczące „wyłączenia wtyczki” przez transatlantyckich partnerów. W obliczu narastających napięć międzynarodowych i rosnącej skali cyberzagrożeń firmy oraz instytucje publiczne coraz uważniej przyglądają się ryzyku związanemu z zależnością od globalnych dostawców technologii, zarówno amerykańskich, jak i chińskich. Dotyczy to także możliwości wystąpienia ograniczeń w dostępie do kluczowych usług. Opiniotwórczy raport „Bain’s Technology Report 2025” (opracowany przez globalną firmę doradczą) wskazuje, że technologie – w tym chmura – są coraz częściej wykorzystywane jako narzędzie wpływu geopolitycznego. „Suwerenność technologiczna staje się coraz pilniejszym priorytetem jako forma zabezpieczenia na wypadek, gdyby państwa kontrolujące kluczowe technologie – chmurę obliczeniową, kluczowe oprogramowanie biznesowe czy technologie obronne – zaczęły wykorzystywać je jako narzędzie wpływu geopolitycznego” – czytamy w dokumencie.

Technologie – w tym chmura – są coraz częściej wykorzystywane jako narzędzie wpływu geopolitycznego

Ze wspólnego raportu, przygotowanego przez ośrodek analityczny IDC oraz globalną firmę zajmującą się ochroną danych Veeam, wynika, że firmy zaczynają rozumieć suwerenność nie tylko jako ochronę przed cyberatakami, ale też zdolność do kontrolowania tego, gdzie dane są przechowywane, kto ma do nich dostęp i pod czyją jurysdykcją funkcjonują. Aż 76 proc. badanych organizacji uznaje suwerenność danych za jedno z ważniejszych wyzwań w bieżącym roku.

Dane pod własnym nadzorem

Również nad Wisłą postulat budowania większej niezależności technologicznej staje się coraz istotniejszym tematem w debacie publicznej. Z raportu „Digital sovereignty po polsku, czyli co polskie MŚP wiedzą i myślą o suwerenności cyfrowej”, opracowanego przez IONOS (spółkę macierzystą home.pl) wynika, że aż 86 proc. badanych organizacji deklaruje troskę o to, by przechowywane dane pozostawały niezależne od decyzji politycznych podejmowanych poza Europą. Suwerenność cyfrowa staje się więc dla nich coraz ważniejszym kryterium wyboru dostawców IT.

Suwerenność cyfrowa staje się coraz ważniejszym kryterium wyboru dostawców IT

Rosnąca świadomość biznesu znajduje odzwierciedlenie również w działaniach rządów. Coraz częściej pytanie nie brzmi już „czy”, lecz „jak” wzmacniać cyfrową suwerenność. Rosnąca liczba państw – od Brazylii, Korei Południowej i Japonii po kraje Unii Europejskiej – zaostrza regulacje dotyczące przetwarzania i transgranicznego transferu danych, a w wybranych sektorach wymaga ich przechowywania na terytorium kraju. Francja konsekwentnie wspiera rozwój krajowych kompetencji i infrastruktury chmurowej, Niemcy inwestują w rozwiązania wzmacniające cyfrową suwerenność, a w Holandii rośnie nacisk na ograniczanie zależności od globalnych dostawców technologii. Powstają suwerenne chmury rządowe oraz rozwiązania chmurowe bazujące na krajowych technologiach, co wzmacnia lokalną własność intelektualną i know-how.

Nie tylko geografia ma znaczenie

Sprowadzanie suwerenności cyfrowej jedynie do geograficznej lokalizacji jest jednym z najczęstszych nieporozumień i uproszczeń w rozumieniu tej idei. To nie kwestia tego, „gdzie stoją serwery”, ale kto ma nad nimi realną kontrolę i według jakich zasad działa system. Od fizycznego położenia infrastruktury ważniejsza jest jurysdykcja oraz realna możliwość nadzorowania kluczowych procesów i architektury usług.

Suwerenność nie oznacza izolacji, lecz świadomą kontrolę i możliwość wyboru

– Suwerenność nie oznacza izolacji, lecz świadomą kontrolę i możliwość wyboru. Organizacje powinny mieć możliwość uruchamiania i przenoszenia obciążeń pomiędzy różnymi środowiskami chmurowymi – lokalnymi i globalnymi – w zależności od wymagań regulacyjnych, bezpieczeństwa, kosztów czy dostępności konkretnych usług. Model multicloud oparty na otwartych technologiach i standaryzacji, stanowi naturalne narzędzie realizacji tak rozumianej suwerenności – czytamy w raporcie „Suwerenność technologiczna Polski i Europy”.

Przeczytaj: Multicloud jako strategia rozwoju. Jak budować elastyczne środowiska ITW świecie, w którym biznes musi szybko reagować na zmieniające się warunki rynkowe, multicloud przestaje być jedynie wyborem technologicznym, a staje się sposobem budowania odporności i zwinności organizacji. Firmy coraz rzadziej zastanawiają się, z której chmury korzystać. Znacznie ważniejsze staje się to, jak połączyć różne środowiska w spójną strategię, która ograniczy ryzyka, zwiększy elastyczność i pozwoli lepiej odpowiadać na potrzeby biznesu.

Świadomie zarządzać zależnościami

Dziś suwerenność cyfrowa wymaga świadomego zarządzania zależnościami technologicznymi: gwarancją sprawowania faktycznej kontroli nad środowiskiem IT, możliwością przenoszenia zasobów między wykorzystywanymi środowiskami usług oraz sposobem zarządzania infrastrukturą. To właśnie model zarządzania, odpowiedzialność prawna i zakres kontroli nad usługami w coraz większym stopniu decydują o poziomie suwerenności cyfrowej.

Suwerenność cyfrowa wymaga świadomego zarządzania zależnościami technologicznymi

Doskonale rozumie to Dariusz Śpiewak, dyrektor wykonawczy w spółce Polskie Elektrownie Jądrowe. Jego organizacja odpowiada za rozwój energetyki jądrowej w Polsce, w tym budowę pierwszej elektrowni jądrowej i planowanie kolejnych inwestycji. Jako podmiot z sektora infrastruktury krytycznej, PEJ szczególną wagę przykłada do zarządzania kluczowymi zasobami informacyjnymi i zachowania nad nimi pełnej kontroli.

– Suwerenność oznacza tu nie tylko dostęp do danych, ale ich rzeczywiste posiadanie i możliwość dalszego wykorzystania przez dekady – podkreśla Śpiewak.

Dyrektor przekonuje, że w kontekście suwerenności cyfrowej podstawą jest właśnie realna kontrola nad zasobami i zdolność do ich przenoszenia oraz utrzymania we „własnym środowisku”, niezależnie od modelu infrastruktury.

– W praktyce oznacza to świadome zarządzanie zależnościami i unikanie trwałego uzależnienia od jednego dostawcy – mówi Śpiewak.

Komentarz partnera cyklu

Suwerenność cyfrowa to nie abstrakcyjne hasło

Cloud Sovereignty Framework to ważny sygnał, że suwerenność cyfrowa przestaje być jedynie abstrakcyjnym hasłem, a staje się jednym z elementów strategicznego zarządzania ryzykiem. Jeszcze niedawno organizacje wybierały chmurę głównie przez pryzmat kosztów, funkcjonalności czy szybkości wdrożenia. Dziś coraz częściej zadają sobie również pytania o to, kto sprawuje kontrolę nad danymi, jakiej jurysdykcji podlega infrastruktura i jak zachowa się dostawca w sytuacji kryzysowej.
W Polsce również obserwujemy tę zmianę. Coraz częściej rozmawiamy o local content, odporności państwa czy budowaniu własnych kompetencji technologicznych. To pokazuje, że bezpieczeństwo cyfrowe coraz wyraźniej staje się elementem bezpieczeństwa gospodarczego. W tym kontekście Cloud Sovereignty Framework daje organizacjom wspólny język do oceny ryzyk i podejmowania bardziej świadomych decyzji dotyczących architektury IT.
Jednocześnie warto pamiętać, że żaden framework nie rozwiąże sam z siebie wszystkich problemów. Nadal pozostają wyzwania związane z koncentracją rynku, globalnymi łańcuchami dostaw czy uzależnieniem od konkretnych technologii. W efekcie większego znaczenia nabiera nie pełna niezależność od wszystkich dostawców, lecz świadome zarządzanie zależnościami – budowanie architektur, które zapewniają organizacjom kontrolę na różnych poziomach suwerenności, elastyczność i możliwość podejmowania własnych decyzji nawet w zmieniającym się otoczeniu geopolitycznym.

Tomasz Laudy

CEO, OChK

Od deklaracji do standardów

W odpowiedzi na wyzwania związane z zapewnieniem suwerennej chmury Komisja Europejska opracowała w 2025 r. dokument „Cloud Sovereignty Framework” (CSF), który szybko stał się ważnym punktem odniesienia nie tylko w przetargach prowadzonych przez instytucje UE, ale także dla rynku prywatnego. CSF wprowadza spójny język oceny suwerenności chmurowej, a zamiast ogólnych deklaracji – proponuje jasny zestaw kryteriów pozwalających ocenić poziom kontroli nad danymi i odporność na ryzyka geopolityczne. Dzięki temu suwerenność można analizować w sposób bardziej zobiektywizowany – nie na podstawie obietnic, lecz konkretnych kryteriów. Przenosząc dyskusję na poziom mierzalnych standardów, CSF staje się punktem odniesienia zarówno dla administracji publicznej, jak i biznesu.

CSF staje się punktem odniesienia zarówno dla administracji publicznej, jak i biznesu

CSF podkreśla, że obok fizycznej lokalizacji danych równie istotne są takie elementy, jak jurysdykcja dostawcy, jasno określona własność i kontrola nad usługą, dostęp administracyjny do danych, przejrzystość łańcucha dostaw, możliwość audytu, niezależność operacyjna, bezpieczeństwo oraz zgodność z regulacjami UE. Coraz większe znaczenie ma także kontrola nad danymi wykorzystywanymi w usługach AI. W praktyce oznacza to konieczność odpowiedzi na pytania: kto zarządza usługą, kto może uzyskać dostęp do systemów, jakiemu prawu podlega dostawca, gdzie działają zespoły wsparcia, kto odpowiada za aktualizacje i bezpieczeństwo oraz czy organizacja ma możliwość przeniesienia danych do innego środowiska. Dopiero zestawienie tych czynników pozwala mówić o sprawowaniu rzeczywistej kontroli nad chmurą i jej zasobami.

Dyrektor wykonawczy PEJ podkreśla ogromne znaczenie w tym kontekście wymiaru regulacyjnego.

– Zasoby powinny podlegać prawu UE, czyli „naszemu”, bo jesteśmy państwem członkowskim, i wpisywać się w polityki, takie jak Data Act czy Data Governance Act. W tym kontekście Cloud Sovereignty Framework (CSF) porządkuje podejście do oceny usług chmurowych, wskazując m.in. na kwestie jurysdykcji, przenoszalności i interoperacyjności – mówi Dariusz Śpiewak.

Jednocześnie podkreśla, że kluczowe jest nie tylko posiadanie danych, ale również ich wspólne rozumienie oraz stworzenie warunków do ich efektywnego wykorzystania. Dlatego rośnie znaczenie rozwiązań interoperacyjnych i „uniwersalnych”, które umożliwiają kontrolowane współdzielenie danych pomiędzy różnymi podmiotami – np. w modelu giełd danych czy wymiany sektorowej bazującej na Gaia‑X lub standardach FIWARE.

– W energetyce znajduje to odzwierciedlenie w inicjatywach takich jak Omega‑X, Enershare czy Data4Nuclear, wykorzystywanych m.in. przy budowie rozwiązań typu Digital Twin. Takie podejście – analogiczne do modelu Catena‑X w motoryzacji, gdzie dane z pojazdów są współdzielone w celu tworzenia wspólnych rozwiązań – może być rozwijane w różnych sektorach gospodarki, także w energetyce jądrowej – dodaje Śpiewak.

W nowoczesnym podejściu do suwerenności najważniejszy jest zatem pragmatyzm i odejście od myślenia zero-jedynkowego. Kluczowe zasoby mogą pozostawać pod większą kontrolą lokalną, podczas gdy w innych obszarach można korzystać z globalnych rozwiązań, zapewniających skalę i innowacyjność. Tak naprawdę nie chodzi więc o pełną niezależność, lecz o świadome zarządzanie zależnościami.

Główne wnioski

1. Suwerenność cyfrowa nie sprowadza się do miejsca przechowywania danych. O jej poziomie decydują przede wszystkim kontrola nad systemami, jurysdykcja, dostęp do danych oraz możliwość ich przenoszenia między środowiskami.
2. Firmy i instytucje coraz częściej dążą do ograniczania zależności od pojedynczych dostawców technologii. Kluczowe stają się elastyczność, interoperacyjność i świadome zarządzanie ryzykiem wynikającym z napięć geopolitycznych.
3. Jak wskazuje Tomasz Laudy, CEO OChK, współcześnie kluczowe staje się pytanie nie o to, gdzie stoją serwery, lecz kto ma nad nimi realną kontrolę i według jakich zasad działa system. Dlatego suwerenność cyfrowa staje się dziś istotnym elementem zarządzania ryzykiem oraz bezpieczeństwa gospodarczego i technologicznego.

Artykuł powstał na zlecenie OChK.