Suverénní cloud
Suverénní cloud je infrastruktura, kde umístění dat, právní jurisdikci vztahující se na tato data i subjekt provozující systémy kontroluje jedna jasně definovaná autorita — typicky stát nebo hospodářský blok — místo aby to určovaly smluvní podmínky zahraničního poskytovatele. Řeší otázku, kdo může být donucen data vydat, ne jen to, kde fyzicky stojí servery.
Pod pojem „suverénní cloud“ se slučují tři oddělené věci a většina zmatku pramení právě z jejich směšování: rezidence dat (ve které zemi fyzicky leží bajty), právní jurisdikce (soudy a orgány které země si mohou vynutit přístup k těmto datům, bez ohledu na to, kde leží) a provozní suverenita (kdo — jaká společnost, pod jakou korporátní strukturou — infrastrukturu skutečně provozuje a může být vystaven nátlaku, akvizici nebo sankcím). Hyperscaler, který otevře datacentrum v EU, splňuje pouze první kritérium. Druhé tím nevyřeší: společnost se sídlem v USA nadále podléhá americkému právu — včetně zákonů s extrateritoriální působností — bez ohledu na to, kde fyzicky stojí její servery. Proto se na nabídky „suverénního cloudu“ od amerických hyperscalerů, ať jsou jejich místní dceřiné společnosti provozně sebevíc skutečně evropské, nahlíží jinak než na infrastrukturu, kterou od začátku do konce provozuje společnost založená a sídlící přímo v dané jurisdikci.
V praxi je suverenita spektrem voleb, ne certifikací, kterou buď máte, nebo nemáte. Regulovaná organizace může nejcitlivější workloady držet on-premise nebo u bare-metal poskytovatele fyzicky umístěného v dané zemi, méně citlivé workloady provozovat u cloudového poskytovatele se sídlem v EU (běžně uváděné příklady jsou Hetzner, OVHcloud, Scaleway a UpCloud) a pro workloady, u kterých na rezidenci dat tolik nezáleží jako na funkční paritě, akceptovat amerického hyperscalera. Pro skutečně opodstatněné tvrzení o suverenitě je klíčové, aby zákazník dokázal konkrétně pojmenovat, kdo drží šifrovací klíče, který soud má jurisdikci nad předvoláním k vydání dat a kdo může jednostranně odvolat přístup. Pokud se „suverénní“ používá jako marketingový štítek bez odpovědi na tyto tři otázky, jde většinou o marketingový jazyk vypůjčený z termínu, který původně popisoval konkrétní, auditovatelné uspořádání.
Proč na tom záleží
Pro regulovaná odvětví a orgány veřejné správy fungující podle GDPR, NIS2 nebo oborových předpisů není suverenita abstraktní preferencí — určuje, který právní systém bude spor skutečně řešit, který orgán může vynutit zpřístupnění dat a zda na data, která fyzicky nikdy neopustila EU, může dosáhnout zahraniční zákon. Ovlivňuje také vymahatelnost smlouvy: zpracovatelská smlouva řídící se právem EU a řešená u soudu v EU je věcně jiná záruka než tentýž dokument zanořený v rámcové smlouvě globálního poskytovatele řízené americkým právem. NIS2 konkrétně zvyšuje laťku u důkazů — záznamy o incidentech, přístupové logy i zveřejňování informací o subdodavatelích musí obstát při regulatorním přezkumu, což je snazší zaručit, když provozovatel sám sídlí ve stejné jurisdikci jako regulace.
Jak do toho zapadá Sencai
Sencai staví a provozuje Sencai Tech s.r.o. v Praze, podle práva EU — ne jako regionální dceřiná společnost mateřské firmy mimo EU. Díky modelu BYOC (bring-your-own-cloud) zůstává účet, smlouva i fakturace u každého připojeného poskytovatele — včetně možností se sídlem v EU jako Hetzner, OVHcloud, Scaleway a UpCloud — v rukou zákazníka; nic se nepřesouvá a přístup lze u poskytovatele kdykoli odvolat. Tam, kde Sencai kapacitu poskytuje a fakturuje přímo, se daná smlouva řídí českým a evropským právem. Sencai nemá certifikaci ISO 27001 ani SOC 2 a otevřeně to přiznává; místo toho předává důkazy, které přezkum suverenity vyžaduje — exportovatelný auditní log s hashovým řetězcem, záznamy o zpracování, registr subdodavatelů, prohlášení o rezidenci dat a zveřejněnou smlouvu o zpracování osobních údajů (DPA).
Podívejte se na bezpečnostní a compliance model platformy →