{"id":4013,"date":"2026-10-05T22:26:29","date_gmt":"2026-10-05T20:26:29","guid":{"rendered":"https:\/\/eu.klytic.com\/?page_id=4013"},"modified":"2026-10-06T17:22:48","modified_gmt":"2026-10-06T15:22:48","slug":"suwerenna-chmura-definicja","status":"publish","type":"page","link":"https:\/\/eu.klytic.com\/pl\/suwerenna-chmura-definicja\/","title":{"rendered":"Suwerenna chmura: definicja, kryteria i ograniczenia"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Strona g\u0142\u00f3wna<\/a>\u203a<\/span>Poradniki<\/a>\u203a<\/span>Suwerenno\u015b\u0107<\/a><\/p>

Suwerenno\u015b\u0107<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Suwerenna chmura: definicja, kryteria i ograniczenia<\/h1>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Suwerenna chmura w dokumentacji zakupowej to us\u0142uga, kt\u00f3rej operator, w\u0142a\u015bciwe prawo i dost\u0119py administracyjne s\u0105 znane, a dane mo\u017cna odzyska\u0107. Definicja marketingowa bywa r\u00f3\u017cna. Kryteria natomiast daj\u0105 si\u0119 uj\u0105\u0107 w tabel\u0119 ocen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t

Aktualizacja: pa\u017adziernik 2026<\/b><\/span>7 min<\/b> czytania<\/span>Z podaniem oficjalnych \u017ar\u00f3de\u0142<\/span><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Dlaczego tabela ocen, a nie etykieta<\/h2>

Wpisanie \u201esuwerennej chmury\u201d do zapytania ofertowego oznacza zadanie pytania, na kt\u00f3re ka\u017cdy oferent odpowie \u201etak\u201d. Odpowiedzi staj\u0105 si\u0119 niepor\u00f3wnywalne, a wyb\u00f3r zapada na podstawie ceny lub wra\u017cenia, jakie pozostawi\u0142a prezentacja.<\/p>

Tabela ocen zobowi\u0105zuje ka\u017cdego oferenta do odpowiedzi na to samo pytanie, wraz z dokumentem. Chroni te\u017c kupuj\u0105cego po podpisaniu umowy: zobowi\u0105zanie zapisane w odpowiedzi na zapytanie mo\u017cna przenie\u015b\u0107 do umowy, a przymiotnika nie da si\u0119 skontrolowa\u0107. Samo poj\u0119cie wyja\u015bniono w artykule czym jest suwerenna chmura<\/a>. Ta strona s\u0142u\u017cy zakupom.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t

Definicja nadaj\u0105ca si\u0119 do u\u017cytku<\/h2>

Proponujemy przyj\u0105\u0107 nast\u0119puj\u0105c\u0105.<\/p>

Us\u0142uga cyfrowa jest traktowana jako suwerenna, z perspektywy europejskiego kupuj\u0105cego, gdy sp\u00f3\u0142ka b\u0119d\u0105ca jej operatorem podlega prawu europejskiemu, powierzone dane i ich kopie zapasowe pozostaj\u0105 w zadeklarowanym obszarze geograficznym, dost\u0119py operacyjne s\u0105 zidentyfikowane, a klient mo\u017ce wyeksportowa\u0107 swoje dane, a nast\u0119pnie doprowadzi\u0107 do ich usuni\u0119cia.<\/p><\/blockquote>

To zdanie jest narz\u0119dziem pracy. Nie jest przepisem RODO (og\u00f3lnego rozporz\u0105dzenia o ochronie danych). Rozporz\u0105dzenie definiuje role (administrator danych, podmiot przetwarzaj\u0105cy), przekazywanie danych i prawa os\u00f3b, kt\u00f3rych dane dotycz\u0105. Nie przyznaje etykiety \u201esuwerenny\u201d.<\/p>

Ka\u017cdy cz\u0142on zdania odsy\u0142a do jednego lub kilku z poni\u017cszych kryteri\u00f3w. To w\u0142a\u015bnie czyni je u\u017cytecznym: mo\u017cna je rozbi\u0107 na pytania i oceni\u0107 odpowiedzi.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t

Dziesi\u0119\u0107 kryteri\u00f3w<\/h2>

Ka\u017cde kryterium potwierdza si\u0119 dokumentem, a nie przymiotnikiem.<\/p>

  1. Sp\u00f3\u0142ka b\u0119d\u0105ca operatorem.<\/strong> Firma, pa\u0144stwo siedziby i sp\u00f3\u0142ka dominuj\u0105ca. Europejska sp\u00f3\u0142ka zale\u017cna ameryka\u0144skiej grupy mo\u017ce wystawia\u0107 faktury w euro, a jednocze\u015bnie nale\u017ce\u0107 do grupy podlegaj\u0105cej prawu ameryka\u0144skiemu. To kryterium przes\u0105dza o tym, do kogo mo\u017ce zwr\u00f3ci\u0107 si\u0119 zagraniczny organ.<\/li>
  2. Prawo w\u0142a\u015bciwe dla umowy.<\/strong> Prawo w\u0142a\u015bciwe i s\u0105d w\u0142a\u015bciwy. Prosz\u0119 sprawdzi\u0107, czy og\u00f3lne warunki i umowa powierzenia przetwarzania danych m\u00f3wi\u0105 to samo.<\/li>
  3. Zakres danych.<\/strong> Tre\u015b\u0107 (e-maile, pliki), kopie zapasowe, dzienniki techniczne, dane wsparcia technicznego. Sama tre\u015b\u0107 nie wystarcza: zobowi\u0105zanie obejmuj\u0105ce tylko skrzynki pomija kopie.<\/li>
  4. Lokalizacja.<\/strong> Pa\u0144stwo lub region dla ka\u017cdej kategorii z punktu 3. \u201eEurop\u0119\u201d trzeba doprecyzowa\u0107: Unia Europejska, EFTA lub wskazane pa\u0144stwo.<\/li>
  5. Osoby administruj\u0105ce.<\/strong> Pracownicy operatora, podwykonawcy, dy\u017cury pe\u0142nione spoza obszaru. Zdalny dost\u0119p, nawet tymczasowy, jest przetwarzaniem. Prosz\u0119 te\u017c zapyta\u0107, czy te dost\u0119py s\u0105 rejestrowane w dzienniku i czy klient mo\u017ce si\u0119 z nim zapozna\u0107.<\/li>
  6. Klucze szyfrowania.<\/strong> Kto je przechowuje, kto mo\u017ce ich u\u017cy\u0107 do przywr\u00f3cenia danych, kto mo\u017ce przekaza\u0107 je osobie trzeciej. Pytanie nie brzmi \u201eczy dane s\u0105 zaszyfrowane?\u201d, lecz \u201ekto mo\u017ce je odszyfrowa\u0107?\u201d.<\/li>
  7. Podwykonawcy.<\/strong> Aktualna lista: antyspam, kopie zapasowe, wsparcie, pomiar ogl\u0105dalno\u015bci, to\u017csamo\u015b\u0107. Podwykonawca podlegaj\u0105cy innemu prawu mo\u017ce zniweczy\u0107 skutek kryterium 1.<\/li>
  8. \u017b\u0105dania organ\u00f3w.<\/strong> Wewn\u0119trzna procedura na wypadek, gdy organ za\u017c\u0105da danych, oraz prawo w\u0142a\u015bciwe dla takiego \u017c\u0105dania. Prosz\u0119 zapyta\u0107, czy dostawca zobowi\u0105zuje si\u0119 poinformowa\u0107 klienta w zakresie, w jakim pozwala na to prawo.<\/li>
  9. Odwracalno\u015b\u0107.<\/strong> Formaty, termin, koszt oraz to, czego nie da si\u0119 wyeksportowa\u0107 (historie czat\u00f3w, regu\u0142y wewn\u0119trzne, dzienniki). Najpewniej jest przetestowa\u0107 eksport przed podpisaniem umowy.<\/li>
  10. Ewentualna kwalifikacja.<\/strong> Je\u015bli kupuj\u0105cy wymaga SecNumCloud, nazwa kwalifikowanej us\u0142ugi musi odpowiada\u0107 nazwie z katalogu ANSSI. Oferta hostowana na kwalifikowanej infrastrukturze nie dziedziczy kwalifikacji. Od wersji 3.2 swoich wymaga\u0144 (2022) SecNumCloud zawiera wymogi ochrony przed prawem pa\u0144stw spoza Europy, dotycz\u0105ce siedziby, kontroli nad kapita\u0142em, lokalizacji i personelu.<\/li><\/ol>

    Jak ustali\u0107 wagi<\/h3>

    Dziesi\u0119\u0107 kryteri\u00f3w nie ma tej samej wagi dla wszystkich kupuj\u0105cych. W przypadku poczty e-mail i udost\u0119pniania plik\u00f3w o r\u00f3\u017cnicy mi\u0119dzy ofertami decyduj\u0105 zazwyczaj kryteria 1, 3, 4, 5 i 9. Kryterium 10 jest eliminuj\u0105ce, gdy jest wymagane, a w przeciwnym razie neutralne. Wagi nale\u017cy ustali\u0107 przed otwarciem odpowiedzi, a nie po nim.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Ograniczenia, nazwane wprost<\/h2>

    Lokalizacja to nie prawo.<\/strong> Centrum danych we Frankfurcie obs\u0142ugiwane przez sp\u00f3\u0142k\u0119 ameryka\u0144sk\u0105 pozostaje us\u0142ug\u0105 tej sp\u00f3\u0142ki. Ameryka\u0144ski CLOUD Act dotyczy danych b\u0119d\u0105cych w posiadaniu dostawcy podlegaj\u0105cego jurysdykcji Stan\u00f3w Zjednoczonych, niezale\u017cnie od tego, w jakim pa\u0144stwie znajduje si\u0119 dysk. Zob. ochrona firmy przed CLOUD Act<\/a> oraz por\u00f3wnanie chmura europejska czy ameryka\u0144ska<\/a>.<\/p>

    Prawo europejskie to nie brak nakaz\u00f3w.<\/strong> S\u0105d francuski, niemiecki czy niderlandzki mo\u017ce nakaza\u0107 ujawnienie danych operatorowi podlegaj\u0105cemu jego w\u0142a\u015bciwo\u015bci. R\u00f3\u017cnica dotyczy s\u0105du, procedury i \u015brodk\u00f3w odwo\u0142awczych. Tabela ocen sugeruj\u0105ca co\u015b przeciwnego wprowadza\u0142aby kupuj\u0105cego w b\u0142\u0105d.<\/p>

    Oprogramowanie i operator to dwie r\u00f3\u017cne rzeczy.<\/strong> Producentem Nextcloud jest Nextcloud GmbH w Niemczech. Producentem Zimbra jest Synacor w Stanach Zjednoczonych. BlueMind to sp\u00f3\u0142ka francuska. We wszystkich trzech przypadkach suwerenno\u015b\u0107 Pa\u0144stwa<\/em> us\u0142ugi zale\u017cy od tego, kto j\u0105 instaluje, kto wykonuje jej kopie zapasowe i kto odbiera telefon. Narodowo\u015b\u0107 producenta oprogramowania ma znaczenie przede wszystkim wtedy, gdy ma on dost\u0119p do danych: kwesti\u0119 t\u0119 rozpatruje si\u0119 w\u00f3wczas w ramach kryterium 7.<\/p>

    SecNumCloud ma w\u0105ski zakres.<\/strong> To kwalifikacja ANSSI przyznawana oferta po ofercie, z okre\u015blonym zakresem i dat\u0105 wa\u017cno\u015bci. Cz\u0119sto wymaga si\u0119 jej w przypadku wra\u017cliwych danych pa\u0144stwowych. Jako jedyne kryterium jest nieproporcjonalna dla firmy z sektora M\u015aP, kt\u00f3ra szuka poczty e-mail i udost\u0119pniania plik\u00f3w. Jest niewystarczaj\u0105ca, je\u015bli powo\u0142uje si\u0119 na ni\u0105 bez lektury decyzji.<\/p>

    \u017badna oferta nie obejmuje wszystkich zastosowa\u0144 Microsoft 365.<\/strong> Zaawansowany Excel, Power BI, ekosystem Teams i dodatki bran\u017cowe nie maj\u0105 og\u00f3lnego odpowiednika u europejskich operator\u00f3w. Kryterium suwerenno\u015bci nie rozstrzyga tej kwestii. Dochodzi do niej jako dodatkowy element. Je\u015bli te zastosowania s\u0105 kluczowe, tabela ocen mo\u017ce prowadzi\u0107 do \u015bwiadomego pozostania przy Microsoft 365: zob. Microsoft 365 a rozwi\u0105zanie suwerenne<\/a>.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Jak zapisa\u0107 to w specyfikacji<\/h2>

    Prosz\u0119 zast\u0105pi\u0107 \u201esuwerenn\u0105 chmur\u0119\u201d dziesi\u0119cioma kryteriami, ka\u017cdym z oczekiwanym dowodem. B\u0119d\u0105 Pa\u0144stwo mogli wtedy por\u00f3wna\u0107 ofert\u0119 Microsoft z europejsk\u0105 granic\u0105 danych, ofert\u0119 Google z regionem danych, ofert\u0119 szwajcarsk\u0105, tak\u0105 jak Infomaniak, oraz ofert\u0119 obs\u0142ugiwan\u0105 we Francji. Por\u00f3wnanie staje si\u0119 lektur\u0105 dowod\u00f3w, a nie walk\u0105 na przymiotniki.<\/p>

    Kryterium<\/th>Pytanie do oferenta<\/th>Oczekiwany dokument<\/th><\/tr><\/thead>
    1. Sp\u00f3\u0142ka b\u0119d\u0105ca operatorem<\/td>Kt\u00f3ra sp\u00f3\u0142ka jest operatorem us\u0142ugi i kto j\u0105 kontroluje?<\/td>Odpis z rejestru, schemat struktury grupy<\/td><\/tr>
    2. Prawo w\u0142a\u015bciwe dla umowy<\/td>Jakie prawo, jaki s\u0105d?<\/td>Klauzula og\u00f3lnych warunk\u00f3w i umowy powierzenia przetwarzania<\/td><\/tr>
    3 i 4. Zakres i lokalizacja<\/td>Jakie kategorie danych, w jakich pa\u0144stwach?<\/td>Tabela wed\u0142ug kategorii: tre\u015b\u0107, kopie zapasowe, dzienniki, wsparcie<\/td><\/tr>
    5. Administracja<\/td>Kto administruje, sk\u0105d, z jakim \u015bladem?<\/td>Opis zespo\u0142\u00f3w i rejestrowania w dziennikach<\/td><\/tr>
    6. Klucze<\/td>Kto mo\u017ce odszyfrowa\u0107 i w jakich przypadkach?<\/td>Opis schematu szyfrowania<\/td><\/tr>
    7. Podwykonawcy<\/td>Kto otrzymuje kopi\u0119 lub dost\u0119p?<\/td>Imienna lista z pa\u0144stwami<\/td><\/tr>
    8. Organy<\/td>Co robi\u0105 Pa\u0144stwo w razie \u017c\u0105dania?<\/td>Pisemna procedura<\/td><\/tr>
    9. Odwracalno\u015b\u0107<\/td>Jak odzyskamy wszystko i w jakim czasie?<\/td>Procedura eksportu, formaty, test<\/td><\/tr>
    10. Kwalifikacja<\/td>Czy proponowana oferta jest kwalifikowana?<\/td>Odniesienie do katalogu ANSSI, je\u015bli wymagane<\/td><\/tr><\/tbody><\/table><\/div>

    Szczeg\u00f3\u0142y samego kryterium geograficznego om\u00f3wiono w artykule Co naprawd\u0119 oznaczaj\u0105 \u201edane hostowane w Europie\u201d<\/a>.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Przyk\u0142ad: \u015brednie przedsi\u0119biorstwo us\u0142ugowe og\u0142asza zapytanie<\/h2>

    Przypadek hipotetyczny. \u015arednie przedsi\u0119biorstwo us\u0142ugowe odnawia poczt\u0119 e-mail i us\u0142ug\u0119 udost\u0119pniania plik\u00f3w. Pierwsza wersja specyfikacji wymaga \u201erozwi\u0105zania suwerennej chmury hostowanego w Europie\u201d. Wszyscy trzej oferenci odpowiadaj\u0105 \u201etak\u201d.<\/p>

    Dzia\u0142 IT przepisuje zapytanie z u\u017cyciem tabeli ocen. Odpowiedzi staj\u0105 si\u0119 czytelne. Pierwszy oferent hostuje w Europie, ale nale\u017cy do grupy podlegaj\u0105cej prawu ameryka\u0144skiemu: kryterium 1 niespe\u0142nione, kryteria 3 i 4 dobrze udokumentowane. Drugi jest sp\u00f3\u0142k\u0105 europejsk\u0105, ale powierza nocne wsparcie podwykonawcy spoza obszaru: kryterium 5 do negocjacji. Trzeci spe\u0142nia kryteria prawne, ale nie obs\u0142uguje jednego z zastosowa\u0144 bran\u017cowych: decyzj\u0119 musi podj\u0105\u0107 zarz\u0105d. Tabela ocen nie wybra\u0142a za przedsi\u0119biorstwo. Sprawi\u0142a, \u017ce wyb\u00f3r sta\u0142 si\u0119 jawny.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Cz\u0119ste b\u0142\u0119dy<\/h2>