Niemcy zwróciły się do Komisji Europejskiej o polityczną dyskusję na temat wymogów suwerenności. Zgodnie z listem, do którego dotarła agencja EURACTIV, unijna władza wykonawcza naciska na uwzględnienie tych wymagań w europejskim systemie certyfikacji chmury cyberbezpieczeństwa.
List jest datowany na poniedziałek 19 września i podpisany przez Andreasa Könena, Danielę Brönstrup i Bena Brake, dyrektorów generalnych niemieckich ministerstw spraw wewnętrznych, gospodarki i cyfryzacji. Jest on adresowany do Roberto Violi, dyrektora generalnego Departamentu Cyfrowego Komisji.
„Biorąc pod uwagę, że dyskusja nabrała również wymiaru politycznego, widzimy dużą wspólną potrzebę przedyskutowania kwestii przejrzystości procesu redakcyjnego oraz tego, czy i jak wdrożyć te wymogi immunitetu lub prywatności. suwerenność” – czytamy w liście.
System jest aktem egzekwowania prawa w zakresie cyberbezpieczeństwa, z którym certyfikacja w całej UE z kilkoma Poziomy wymagań bezpieczeństwa należy wprowadzić. Chociaż system jest dobrowolny, wysoki poziom bezpieczeństwa powinien stać się obowiązkowy dla podstawowych usług wymienionych w dyrektywie w sprawie bezpieczeństwa sieci i informacji 2 (NIS2).
Właśnie ze względu na ten wysoki poziom bezpieczeństwa Komisja zwróciła się do Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA), odpowiedzialnej za opracowanie systemu, o dodanie do systemu wymogów suwerenności. Ma to na celu zapewnienie immunitetu od jurysdykcji zagranicznych.
Zgodnie z projektem zgłoszonym przez EURACTIV w czerwcu, zasada obejmowała ochronę przed dostępem pozaeuropejskim, wymagając, aby dostawcy usług w chmurze nie tylko mieli siedzibę w Europie, ale także nie byli kontrolowani przez korporacje poza UE.
Takie podejście jest ostro krytykowane przez coraz większą liczbę krajów UE. W lipcu Dania, Estonia, Grecja, Irlandia, Holandia, Polska i Szwecja udostępniły dokument roboczy, w którym wyrażają „silne wątpliwości” co do wymogów.
Uzasadnieniem jest to, że podejście Komisji, które opiera się na francuskim systemie SecNumCloud, ograniczyłoby konkurencję z firmami pozaeuropejskimi, w szczególności z amerykańskimi „hiperskalcami”. Dzieje się tak, mimo że mogą oferować ten sam lub nawet wyższy poziom cyberbezpieczeństwa.
Podobne obawy wyraziło 14 ekspertów z grupy roboczej ad hoc ENISA ds. usług w chmurze. W liście otwartym, również w lipcu, zakwestionowali proces, który doprowadził do włączenia wymagań do systemu.
Kluczowa część krytyki wskazywała, że Komisja stara się włączyć kryteria polityczne do tego, co jest zasadniczo instrumentem technicznym. Znajduje to również odzwierciedlenie w organie, który musi debatować nad systemem, Europejskiej Grupie Certyfikacji Chmury, w skład której wchodzą eksperci krajowi.
W przeciwieństwie do tego, główni europejscy dostawcy usług w chmurze, a także Francja, Włochy i Hiszpania bronili wymogów suwerenności. Twierdzą, że infrastruktura danych jest kluczowym wymiarem suwerenności technologicznej i że środki pomogłyby przywrócić równowagę na rynku chmury.
Grupa robocza miała omówić projekt przepisów we wrześniu. Dyskusja została jednak odroczona, ponieważ front rozwinął się przeciwko podejściu Komisji. W szczególności Niemcy mają być w tej kwestii coraz bardziej podzielone.
Nowy list Niemiec może przechylić szalę na korzyść tych, którzy wzywają do politycznej dyskusji. Mianowicie wzywa do wprowadzenia regulacji do stołu horyzontalnej grupy roboczej ds. cybernetyki lub grupy roboczej ds. telekomunikacji i społeczeństwa informacyjnego.
W liście czytamy, że przedstawiciele państw członkowskich będą mogli „uwzględnić także perspektywę polityki gospodarczej”. Oznacza to, że problemem tym nie powinni się zajmować wyłącznie eksperci ds. cyberbezpieczeństwa.
W szczególności niemiecki rząd twierdzi, że możliwe konsekwencje handlowe wymogów suwerenności powinny być na porządku dziennym. Proponowana zasada przyciągnęła uwagę po drugiej stronie Atlantyku, gdzie jest postrzegana jako środek protekcjonistyczny.
Wśród punktów, które Berlin chciałby poruszyć, jest wyjaśnienie zakresu i kategorii podmiotów, które zdaniem ENISA mogą, ale nie muszą być objęte zakresem programu. Obejmuje również możliwe alternatywy z analizą kosztów i korzyści, potencjalne konsekwencje dla użytkowników i dostawców oraz wpływ na NIS2.
