Kun CLOUD Act säädettiin vuonna 2018, useimmat eurooppalaiset CTO:t suhtautuivat siihen lakiteknisenä abstraktiona - jonain, mistä compliance-tiimin piti huolehtia, jossain evästebannereiden ja tulostinhankintojen välimaastossa. Kahdeksan vuotta myöhemmin, Schrems II -tuomion, NIS2:n kansallisen implementoinnin kaikkialla EU:ssa, rahoitusalalla voimassa olevan DORAn ja lähestyvien Data Actin poistumismaksusäännösten myötä, siitä on tullut hallitustason huolenaihe. Ei siksi, että lakimiehet olisivat voittaneet väittelyn, vaan siksi, että riski lakkasi olemasta teoreettinen.
Määritellään termit, koska "suvereeni pilvi" on markkinoitu puuroksi. Todellinen suvereniteetti tarkoittaa kolmea erillistä asiaa: datan sijaintia EU:n lainkäyttöalueella, operatiivista määräysvaltaa EU:hun rekisteröityjen yritysten toimesta ja oikeudellista suojaa ekstraterritoriaalisia haastehakemuksia vastaan. Yhdysvaltalaisten hyperscalereiden markkinointiosastot kertovat mielellään, että heidän eurooppalaiset alueensa täyttävät ensimmäisen kohdan. He ovat oikeassa. Kaksi muuta ovat vaikeampia - ja juuri ne kaksi ratkaisevat, kun asiat menevät pieleen.
Miltä tämä näyttää käytännössä: münchiläinen sairaala ajaa PACS-kuvantamista AWS Frankfurtissa. Data ei koskaan poistu Saksasta. Salaus levossa, EU:ssa toimiva tukihenkilöstö, koko compliance-paketti. Mutta operoiva yhtiö on yhdysvaltalainen Delaware-yhtiö, joka on Yhdysvaltain lain alainen. Yhdysvaltalaisen tuomioistuimen määräys voi pakottaa tietojen luovuttamiseen riippumatta siitä, missä tavut fyysisesti sijaitsevat. Sairaalan lakimiehet tietävät tämän. Sairaalan johto tietää sen yhä useammin myös. Tätä aukkoa NIS2 ja Data Act ovat sulkemassa - hitaasti, epätäydellisesti, mutta yhteen selkeään suuntaan.
Sääntelyn aikajana kertoo tarinan. Schrems II (2020) mitätöi Privacy Shieldin ja asetti jokaisen EU:sta Yhdysvaltoihin suuntautuvan tiedonsiirron oikeudellisesti epävakaalle pohjalle. NIS2 (kansalliset implementoinnit valmistuvat 2024-2025) teki toimitusketjun vastuullisuudesta hallituksen velvollisuuden henkilökohtaisella vastuulla - olet nyt vastuussa paitsi omasta tietoturvastasi, myös toimittajiesi. DORA (tammikuu 2025) teki saman rahoitusalalle, hampaita vailla. Data Act (jonka poistumismaksusäännökset astuvat voimaan 2027) hyökkää lock-inia vastaan suoraan: poistumiskustannukset, jotka tekivät "muutamme myöhemmin" -ajattelusta fantasiaa, säännellään pois.
Mikään tästä ei tarkoita "lopeta AWS:n käyttö". Se on suvereniteettiargumentin olkiukkoversio, ja se murenee kosketuksessa todellisuuteen - hyperscalerit ovat erinomaisia siinä, mitä tekevät, ja useimmat eurooppalaiset yritykset pitävät työkuormansa niillä vielä vuosia. Vakavasti otettava versio koskee optionaalisuutta: sen tietämistä tarkalleen, mitkä työkuormistasi voisivat siirtyä, minne ne voisivat siirtyä ja mitä se maksaisi - ennen kuin sääntelijä, asiakkaan hankintatiimi tai geopoliittinen yllätys pakottaa kysymyksen jonkun muun aikatauluun.
Tässä kohtaa eurooppalaisten palveluntarjoajien kenttä muuttuu kiinnostavaksi, koska se on nykyään aidosti hyvä ja suurelta osin tuntematon. Hetzner tarjoaa hinta-suorituskyvyn, joka saa yhdysvaltalaiset pilvilaskut näyttämään pilalta. OVHcloud pyörittää yhtä Euroopan suurimmista jalanjäljistä omalla kuidullaan ja datakeskuksillaan. Scaleway toimittaa modernia, kehittäjäystävällistä pinoa Ranskasta. UpCloud tarjoaa luotettavaa laskentaa Suomesta. Yksikään niistä ei ole suora AWS-korvaaja jokaisessa palvelussa - mutta laskenta-, tallennus- ja verkkokerroksissa, joissa suurin osa infrastruktuurikuluista todellisuudessa on, ne ovat uskottavia, usein halvempia, ja vastaavat vain EU:n lainsäädännölle.
Rehellinen este ei ole kyvykkyys. Se on operatiivisuus. Jokainen palveluntarjoaja tarkoittaa uutta konsolia, uutta API:a, uutta laskutusvientiä, uutta joukkoa tietoturvaerikoisuuksia opeteltavaksi. 30 hengen yritys ei pysty miehittämään platform-tiimiä jokaista pilveä kohden - joten se konsolidoituu yhteen hyperscaleriin, ja suvereniteetista tulee hiljaa jotain, mitä tarkastellaan uudelleen "ensi vuonna" - joka vuosi.
Tämä on se todellinen ongelma, jota varten Sencai on olemassa. Multi-cloud-strategia - suvereniteettistrategia mukaan lukien - on todellinen vain, jos pieni tiimi pystyy operoimaan sitä hukkumatta. Yksi control plane hyperscalereiden ja EU-natiivien palveluntarjoajien yli, yksi paikka nähdä jokainen resurssi ja jokainen euro, yksi auditointiloki, joka kestää kun NIS2-evidenssiä pyydetään: juuri se muuttaa "meidän pitäisi katsoa eurooppalaisia palveluntarjoajia" diasta migraatiosuunnitelmaksi.
Tässä on käytännön tarkistuslista, jonka antaisimme jokaiselle EU:n CTO:lle vuodelle 2026. Yksi: kartoita, mitkä työkuormistasi ovat lainkäyttöalueherkkiä - henkilötiedot, terveys, rahoitus, julkishallintoon liittyvät - ja mitkä ovat hyödykelaskentaa, joka voisi pyöriä missä tahansa. Kaksi: kysy palveluntarjoajiltasi, kuka operoi kutakin palvelua oikeudellisesti, älä missä palvelimet ovat; vastaukset yllättävät sinut. Kolme: hinnoittele poistuminen kolmelle tärkeimmälle työkuormallesi, sillä Data Act on tekemässä siitä luvusta neuvoteltavan. Neljä: aja yksi todellinen työkuorma yhdellä EU-palveluntarjoajalla tänä vuonna - ei julistuksena, vaan optiona, jonka olet oikeasti käyttänyt, monitoroinnin, varmuuskopioiden ja kaiken muun kanssa, mitä vaatisit missä tahansa muualla.
Sencain kanta on yksinkertainen: toimitamme control planen, joka toimii sekä hyperscalereiden että EU-natiivien palveluntarjoajien kanssa (Hetzner, OVHcloud, Scaleway, UpCloud), ja annamme sinun päättää, missä kukin työkuorma sijaitsee. Control plane itse toimii EU:ssa, sitä operoi EU-yritys, eikä kriittisellä polulla ole yhdysvaltalaisia riippuvuuksia. Siltä suvereniteetti oletusarvona näyttää: ei merkki diassa, vaan vapaus sijoittaa jokainen työkuorma juuri sinne, minne se kuuluu - ja todistaa se.