Mai mult decât confidențialitate: disponibilitate, dependență și costuri

Modulul 1: De ce un cloud european? · Timp de citire: 11 minute

Obiectivul lecției: După această lecție veți putea explica faptul că suveranitatea digitală privește și disponibilitatea, dependența și controlul, veți cunoaște noile drepturi europene de schimbare a furnizorului din Data Act și veți putea evalua riscurile propriei dumneavoastră situații.

Concepte cheie: suveranitate digitală, risc de disponibilitate, sancțiuni, modificare unilaterală a condițiilor, dependență de furnizor (vendor lock-in), risc de concentrare, Regulamentul UE privind datele (Data Act), drept de schimbare a furnizorului, costuri de schimbare, NIS2, evaluare (probabilitate și impact)

Suveranitatea înseamnă mai mult decât "cine poate citi"

Lecțiile anterioare au vorbit despre confidențialitate: cine vă poate vedea datele. Dar mai există două întrebări la fel de importante pentru o organizație:

1. Aveți acces la ele atunci când aveți nevoie? (disponibilitate)
2. Puteți decide singuri, chiar dacă furnizorul dorește altceva? (control)

Împreună, acestea formează suveranitatea digitală: măsura în care dumneavoastră (sau țara dumneavoastră, sau Europa) păstrați controlul asupra propriilor date și servicii digitale. Cuvântul sună amplu, dar pentru Brutăria De Korrel este foarte practic: dacă luni dimineață la ora șase Sanne nu poate deschide rutele de livrare, doisprezece oameni așteaptă.

Aceasta este o explicație, nu o consultanță juridică.

Riscul 1: contul dumneavoastră poate fi închis

Un serviciu cloud vă poate restricționa sau suspenda accesul. De obicei din motive obișnuite: o factură neplătită, o suspiciune de abuz, un sistem automat care evaluează greșit ceva. Oricine a avut vreodată un cont blocat la un serviciu mare știe cât de greu este să ajungă să vorbească cu o persoană reală.

Există și o variantă geopolitică. O companie trebuie să respecte sancțiunile țării sub a cărei jurisdicție se află. În februarie 2025, guvernul american a impus sancțiuni procurorului șef al Curții Penale Internaționale (CPI) de la Haga. În mai 2025, agenția de presă AP a raportat că acesta nu mai avea acces la e-mailul său profesional la Microsoft. Microsoft a declarat că nu a oprit niciodată serviciile sale pentru CPI; potrivit unor relatări ulterioare, însăși CPI, sub presiunea sancțiunilor, nu a mai menținut căsuța poștală activă. Modul exact în care s-au petrecut lucrurile rămâne în discuție. Dar exemplul arată că disponibilitatea unui serviciu depinde de politica țării furnizorului, nu doar de tehnologie.

O brutărie nu se confruntă prea curând cu sancțiuni. Ideea este mai largă: depindeți de reguli asupra cărora nu aveți nicio influență.

Riscul 2: condițiile și prețurile se schimbă unilateral

Serviciile cloud funcționează pe bază de abonamente și condiții generale pe care furnizorul le poate modifica. Pachetele sunt combinate, funcțiile dispar într-un pachet mai scump sau apare o funcție nouă (precum AI) care crește prețul sau folosește datele dumneavoastră în mod diferit. De obicei aveți doar o alegere: acceptați sau plecați. Iar plecarea este dificilă atunci când toată munca dumneavoastră este deja acolo. Aceasta este dependența de furnizor, în engleză vendor lock-in (lecția 2.3).

Riscul 3: totul la un singur furnizor

Dacă e-mailul, calendarul, fișierele, chatul, parolele și autentificarea la alte servicii ("conectare cu Google sau Microsoft") se află la un singur furnizor, atunci o singură întrerupere, un singur cont blocat sau o singură parolă spartă este suficientă pentru a pierde totul deodată. Acesta se numește risc de concentrare. Acest lucru este valabil pentru orice furnizor, inclusiv unul european. Diversificarea și o copie de siguranță proprie (modulul 8) ajută.

La nivel de țară se întâmplă același lucru. În Țările de Jos, în 2025 și 2026 a apărut o discuție despre Solvinity, compania care furnizează infrastructura pentru DigiD și MijnOverheid. Compania americană Kyndryl dorea să o preia. În urma avizului Oficiului pentru Evaluarea Investițiilor (Bureau Toetsing Investeringen), secretarul de stat a interzis preluarea în mai 2026, pentru protejarea interesului public; una dintre preocupări a fost că guvernul american ar putea obține acces prin intermediul CLOUD Act. Exemplul arată că și proprietarul unui furnizor european se poate schimba. Un serviciu european de astăzi poate avea mâine o companie-mamă americană. De aceea, un plan de ieșire (exit) (lecția 8.2) face parte din orice alegere.

Reguli europene noi: Data Act

UE a creat reguli pentru a facilita schimbarea între serviciile cloud, prin Data Act (Regulamentul (UE) 2023/2854). Regulamentul se aplică de la 12 septembrie 2025. Pentru serviciile cloud (legea le numește "servicii de prelucrare a datelor"), regulile se află în capitolul VI (articolele 23 până la 31 inclusiv). Pe scurt:

• Un furnizor nu vă poate împiedica dacă doriți să treceți la un alt furnizor sau la servere proprii, și trebuie să coopereze în acest sens.
• Contractul trebuie să permită, printre altele, un termen de reziliere de cel mult două luni, o perioadă de tranziție de, în principiu, cel mult treizeci de zile și o perioadă de cel puțin treizeci de zile pentru a vă prelua datele.
• Furnizorii trebuie să fie clari în prealabil cu privire la costuri.
• Costurile de schimbare, inclusiv costurile de transfer al datelor în afara serviciului (egress), au putut fi percepute de la intrarea în vigoare doar la prețul de cost, și dispar complet începând cu 12 ianuarie 2027 (articolul 29). Costurile obișnuite de abonament și penalitățile pentru rezilierea anticipată a unui contract cu durată fixă rămân însă posibile.

Acest lucru ajută, dar nu rezolvă totul. Legea spune că vă puteți lua datele cu dumneavoastră, nu că acestea vor funcționa exact la fel la noul serviciu. Mutarea unui document Google sau a unui istoric de chat Teams într-un alt mediu rămâne dificilă (modulele 5, 6 și 7).

NIS2 într-un singur paragraf

Directiva europeană NIS2 (Directiva (UE) 2022/2555) obligă organizațiile de dimensiuni medii și mari din sectoare importante să își pună în ordine securitatea cibernetică, inclusiv cea a furnizorilor lor. O brutărie mică nu intră sub incidența acesteia, dar un furnizor al unei astfel de organizații poate primi totuși întrebări despre propriile sale servicii cloud. NIS2 nu spune nimic despre european sau neeuropean, dar spune că trebuie să cunoașteți riscurile din lanțul dumneavoastră de aprovizionare.

Evaluare: nu totul este la fel de important

Nu trebuie să mutați totul mâine. O evaluare sobră pe fiecare componentă ajută. Pentru fiecare risc, priviți probabilitatea ca acesta să se producă și impactul dacă se produce:

Un astfel de tabel arată de unde să începeți. Dosarul de personal este mic și sensibil: se mută rapid, cu beneficii mari. E-mailul este important, dar necesită un plan atent (modulul 4). Istoricul de chat poate să nu îl mutați, dar îl arhivați.

O contrapondere onestă: marile servicii americane sunt fiabile, puternice din punct de vedere tehnic și familiare angajaților dumneavoastră. O trecere costă timp și obișnuire. Întrebarea nu este "bine sau greșit", ci ce riscuri acceptați în mod conștient.

În practică: așa arată la un furnizor

Întrebați orice furnizor, inclusiv unul european: cum îmi scot datele, în ce formate și cât timp după reziliere mai am acces la ele? La WebOké, de exemplu, în ghidul Nextcloud se explică cum se transferă datele între instanțe Nextcloud, iar Nextcloud funcționează cu standarde deschise precum WebDAV, CalDAV și CardDAV, astfel încât să puteți trece și la un alt furnizor. Alți furnizori au funcții de export similare; verificați dacă funcționează fără ajutorul suportului.

Rezumat

• Suveranitatea digitală privește confidențialitatea, disponibilitatea și controlul.
• Un cont poate fi închis, din cauza unei erori, a unei plăți sau a sancțiunilor; cazul CPI (2025) arată că politica joacă un rol.
• Condițiile și prețurile se pot schimba unilateral; totul la un singur furnizor creează risc de concentrare.
• Data Act (aplicabil de la 12 septembrie 2025) oferă drepturi de schimbare a furnizorului; costurile de schimbare dispar începând cu 12 ianuarie 2027.
• Evaluați probabilitatea și impactul pentru fiecare componentă și începeți de unde beneficiul este cel mai mare.

Quiz

Exercițiu

Exercițiul A1.5: Propria dumneavoastră ponderare a riscurilor. Completați pentru propria dumneavoastră organizație, pentru fiecare componentă (e-mail, calendar, persoane de contact, fișiere, documente, chat, parole, copii de siguranță), cât de confidențială este, cât de gravă este o întrerupere și cât de dificilă este mutarea. Programul verifică dacă evaluarea dumneavoastră este completă și consecventă și ordonează componentele.

Exercițiul E1.5: Argumentarea dumneavoastră în cinci propoziții. Scrieți de ce organizația dumneavoastră dorește sau nu (parțial) să treacă la un alt serviciu, ce riscuri acceptați în mod conștient și care este cel mai important argument pentru colegii dumneavoastră.

Lectură suplimentară

Pașii din aceste articole sunt valabili pentru serviciile WebOké; la alți furnizori funcționează în mod similar.

• Manual Nextcloud 1.1: Ce este Nextcloud și ce este un WebOké Nextcloud?
• Manual Nextcloud 13.1: Pregătire: ce aduceți și în ce ordine
• Manual Nextcloud 6.6: Copii de rezervă la WebOké: ce păstrăm noi și ce puteți face dumneavoastră
• Regulamentul (UE) 2023/2854 (Data Act), capitolul VI, articolele 23 până la 31, pe EUR-Lex
• Directiva (UE) 2022/2555 (NIS2), pe EUR-Lex