O technologické suverenitě se v Evropě mluví hlavně jako o geopolitice. Pro provozního ředitele nebo CTO je to ale jednodušší a naléhavější otázka: co se stane s mojí firmou, když se změní podmínky, cena nebo právní prostředí dodavatele, na kterém stojí? Na tu otázku jde odpovědět bez politiky, stejným postupem jako u jakéhokoli jiného provozního rizika.
Závislost na mimoevropských dodavatelích sama o sobě chybou není. Chybou je závislost, kterou firma nezná, nemá spočítanou a nemá z ní cestu ven.
Jak velká ta závislost je
Podle Synergy Research Group drželi evropští poskytovatelé v roce 2024 zhruba 15 % evropského trhu cloudové infrastruktury, tedy služeb IaaS, PaaS a hostovaného privátního cloudu. V roce 2017 to bylo 29 %. Od roku 2022 se podíl drží na stejné úrovni. Amazon, Microsoft a Google mají dohromady asi 70 % trhu. Evropští poskytovatelé přitom nestagnují: své tržby na domácím trhu mezi lety 2017 a 2024 víc než ztrojnásobili. Celý evropský trh ale za stejnou dobu vyrostl šestkrát, na 61 mld. € v roce 2024.
Jak hluboko výchozí volby sahají, ukazuje drobný příklad. Rhine Group, skupina ekonomů a podnikatelů v čele s Mariem Draghim a Patrickem Collisonem, která od srpna 2026 usiluje o silnější evropskou konkurenceschopnost, má web postavený na americké platformě Webflow a doručuje ho americký Cloudflare. Výtka to není. Pro malý web je to rozumná volba. Ukazuje to ale, že závislost obvykle nevzniká rozhodnutím. Vzniká výchozím nastavením, které nikdo nezpochybnil.
U webu je to jedno. U účetnictví, výroby, zákaznických dat nebo identity zaměstnanců už ne.
Čtyři rizika, která ze závislosti plynou
1. Jurisdikce. Rozhoduje sídlo poskytovatele, ne poloha datacentra. Americký zákon CLOUD Act (18 U.S.C. § 2713) stanoví, že když americký úřad podle zákona požaduje data, musí je poskytovatel cloudové služby uchovat nebo vydat, pokud je má „v držení, úschově nebo pod kontrolou“, a to bez ohledu na to, zda jsou uložena v USA, nebo mimo ně. Evropské nařízení o datech (Data Act, čl. 32) naopak poskytovatelům ukládá bránit přístupu vlád třetích zemí k neosobním datům uloženým v EU, pokud by byl v rozporu s unijním nebo národním právem. Poskytovatel se sídlem v USA tak může stát mezi dvěma právními řády. Firma, která jeho službu používá, by měla vědět, která data tím vystavuje.
2. Koncentrace. Když na jednom dodavateli stojí výpočetní kapacita, úložiště, identita i e-mail, jeho výpadek nebo chyba zasáhne všechno naráz. Totéž platí, když dodavatel službu ukončí nebo změní tak, že přestane vyhovovat.
3. Cena a podmínky. Cenu a licenční podmínky mění dodavatel, ne zákazník. Čím hlubší integrace, tím menší vyjednávací pozice při obnově smlouvy.
4. Náklad a doba odchodu. Odchod stojí peníze (přenos dat, souběžný provoz dvou prostředí, práce lidí) a čas. Nejdražší bývají proprietární spravované služby, na které je napojená automatizace a aplikační logika. Data se přenesou za dny, přepsání integrací trvá měsíce.
Co se změnilo v pravidlech
Od 12. září 2025 se používá evropský Data Act a jeho kapitola VI zakotvuje právo zákazníka přejít k jinému poskytovateli cloudu nebo zpět na vlastní infrastrukturu. Smlouva musí obsahovat:
- výpovědní lhůtu pro zahájení přechodu nejvýš dva měsíce (čl. 25 odst. 2 písm. d),
- přechodné období nejvýš 30 kalendářních dnů, během něhož poskytovatel dál poskytuje službu, pomáhá s přechodem a drží bezpečnost dat (čl. 25 odst. 2 písm. a),
- nejméně 30 dnů na vyzvednutí dat po skončení přechodného období (čl. 25 odst. 2 písm. g),
- povinnost poskytovatele podpořit zákazníkovu exit strategii, včetně všech potřebných informací (čl. 25 odst. 2 písm. b).
Poplatky za přechod smí poskytovatel do 12. ledna 2027 účtovat jen ve výši nákladů, které s přechodem přímo souvisejí. Od 12. ledna 2027 je účtovat nesmí vůbec (čl. 29). Výjimka platí pro služby postavené na míru jednomu zákazníkovi, které poskytovatel nenabízí ve svém běžném katalogu (čl. 31).
Finanční sektor má navíc nařízení DORA. Podle jeho čl. 28 odst. 8 musí finanční subjekty u ICT služeb podporujících kritické nebo důležité funkce mít exit strategie. Exit plány musí být komplexní, zdokumentované a dostatečně otestované a pravidelně se přezkoumávají. Firma musí umět smlouvu ukončit bez narušení provozu, bez ohrožení plnění regulatorních povinností a bez újmy na kontinuitě služeb pro klienty.
Data Act tedy odstraňuje smluvní překážky odchodu. Technické nechává na zákazníkovi. Lhůta 30 dnů pomůže jen firmě, která ví, co přenáší, a má kam.
Jak si závislost zmapovat
Inventura nemusí být velký projekt. Stačí tabulka, ve které má každý systém, na kterém firma provozně stojí, odpověď na šest otázek:
- Kde leží data a kdo je poskytovatel. Poloha datacentra i sídlo poskytovatele a jeho mateřské společnosti, kvůli jurisdikci.
- Co je standard a co je proprietární. Proprietární je služba, jejíž rozhraní implementuje jen jeden poskytovatel: při odchodu se musí přepsat kód a automatizace, které s ní pracují. Typicky jde o serverless funkce, databáze s vlastním dotazovacím rozhraním nebo fronty zpráv bez ekvivalentu jinde. Kubernetes, PostgreSQL nebo objektové úložiště s rozhraním S3 se naopak přenášejí s malými úpravami.
- Kdo drží klíče. Šifrovací klíče u poskytovatele, nebo ve vlastní správě? Kdo spravuje identitu a přihlašování zaměstnanců?
- Co říká smlouva. Výpovědní lhůta, pomoc při odchodu, formát exportu, poplatky. U smluv uzavřených před Data Actem si ověřte, co z nového rámce platí.
- Co by odchod stál. Hrubý odhad nákladů a času. Stačí řád: týdny, nebo měsíce?
- Kdo o tom ve firmě ví. Systém, kterému rozumí jeden člověk, je závislost sám o sobě.
Výsledkem není verdikt „zůstat“ nebo „odejít“. Výsledkem je přehled, které závislosti firma přijímá vědomě a které jen zdědila.
Exit plán, který funguje
Exit plán, který nikdo nevyzkoušel, je dokument, ne plán. Prakticky to znamená:
- Pravidelný export dat v otevřených formátech na místo, které nepatří stejnému poskytovateli. Ne jednorázově před odchodem, ale průběžně.
- Infrastruktura jako kód. Prostředí popsané v Terraformu, Helm chartech nebo Ansiblu jde postavit znovu jinde. Prostředí naklikané v konzoli ne.
- Přenositelné vrstvy tam, kde to dává smysl. Proprietární službu použijte tam, kde přináší skutečnou hodnotu, a vědomě. Kde standardní řešení stačí, volte ho.
- Klíče a identita mimo dodavatele aplikace, pokud je to proveditelné. Kdo ovládá přihlašování, ovládá přístup k datům.
- Zkouška odchodu. Jednou za čas obnovte vybraný systém v jiném prostředí ze záloh a exportů. Změřte, jak dlouho to trvalo a co chybělo. To je jediné číslo, které o exit plánu něco říká.
Co z toho neplyne
Neplyne z toho, že by firmy měly hromadně opouštět americké poskytovatele. Některé závislosti jsou racionální a jejich přínos převyšuje riziko. Plyne z toho jen to, že závislost je položka v registru rizik jako každá jiná. Má mít vlastníka, odhad dopadu a otestovaný postup pro případ, že se podmínky změní.