Zeptejte se pěti dodavatelů cloudu, jestli jsou suverénní, a dostanete pět souhlasných odpovědí a žádnou možnost je porovnat. To slovo dnes znamená cokoli, co marketing potřebuje: data uložená v EU, nebo evropskou dceřinou firmu zahraniční matky, nebo smluvní slib, že se nikdo nebude dívat do vašich dat. Jsou to úplně jiné věci a veřejný zadavatel dnes nemá společné měřítko, kterým by je odlišil.
Cloud and AI Development Act by tohle slovo nahradil čtyřmi měřitelnými úrovněmi a navázal je na to, kdo se smí hlásit do veřejných zakázek. Jsme evropský dodavatel, takže máme zjevný zájem na tom, aby prošel. Ten argument obstojí i sám o sobě, a řekneme také, kde se podle nás návrh může pokazit.
Co je vlastně na stole
Evropská komise návrh zveřejnila 3. června 2026 jako středobod svého balíčku k technologické suverenitě. Stojí na třech pilířích - výzkum a inovace, kapacita a autonomie - a dva jeho nástroje se týkají každého, kdo v Evropě infrastrukturu kupuje nebo prodává.
Kapacita. Deklarovaným cílem je nejméně ztrojnásobit kapacitu datových center v EU během pěti až sedmi let, a to i díky rychlejšímu povolování: akceleračním zónám pro projekty datových center a dvanáctiměsíčnímu „zelenému koridoru“ pro schvalování. Ať si o debatě o suverenitě myslí kdo chce co chce, fyzické omezení je skutečné. Zátěž spojenou s AI dnes limitují budovy, přípojky elektřiny a chlazení, ne ambice.
Úrovně záruk. Návrh definuje čtyři úrovně záruk, od L1 do L4, a nechává veřejné instituce požadovat úroveň odpovídající riziku toho, co kupují:
| Úroveň | Zkráceně |
|---|---|
| L1 | Infrastruktura, aktiva i zákaznická data v EU; vlastní posouzení plus zabezpečení na úrovni současného stavu techniky; dodavatel nesmí mít povinnost hlásit zranitelnosti zahraničnímu úřadu. |
| L2 | Veškerý provozní personál, infrastruktura a aktiva v EU; evropská certifikace cloudu; žádný přístup k datům ze třetí země. |
| L3 | Dodavatel nesmí být ovládán ze třetí země, s výjimkami jen pro země s rozhodnutím EU o odpovídající ochraně; evropské vlastnictví a kontrola, k tomu kritéria jako státní příslušnost personálu. |
| L4 | Žádné ovládání ze třetí země, bez výjimek; evropská certifikace kybernetické bezpečnosti na úrovni „vysoká“; skutečná kontrola nad všemi softwarovými komponentami; prověřený personál; žádná data z odvozování AI opouštějící EU; audit třetí stranou ověřený národními úřady. |
Důležitější než nejvyšší úroveň je jejich rozložení. Odhady naznačují, že asi 70 % veřejných zakázek na data by spadlo pod L1 a přibližně 1 %, hlavně v obraně, pod L4. Není to plán, jak vyloučit zahraniční dodavatele z evropského trhu. Je to plán, jak tu otázku učinit zodpověditelnou.
Proč by to měl chtít zákazník
Protože „suverénní“ dnes nelze vyvrátit. Referent, který chce nakládání s daty výhradně v EU, si musí vymyslet vlastní kritéria, vepsat je do zadání a pak vyhodnocovat odpovědi, které napsali lidé zdatnější v zadávacích řízeních než on sám. Každý úřad to dělá zvlášť, špatně a jinak. Společná sada úrovní změní debatu na zaškrtávací políčko, za kterým stojí audit.
Protože bez společné stupnice se nedá porovnávat. Dnes vypadá nabídka evropského provozovatele a nabídka evropské dcery zahraničního hyperscalera na papíře podobně a nesmírně se liší v tom, co se stane, když zahraniční soud vydá příkaz. Ten rozdíl má být vidět před podpisem, ne se objevit po něm.
Protože kapacita určuje cenu. Trh, na kterém mají evropští zákazníci reálné alternativy, je trh, kde cenotvorbu zavedených hráčů disciplinuje něco jiného než dobrá vůle. Z toho těží i zákazníci, kteří od hyperscalera nikdy neodejdou.
Proč by to měl chtít dodavatel, a proč to není ten nejsilnější argument
Pro firmu jako naši je přitažlivost zřejmá: jasná pravidla odměňují provozovatele, kteří už dnes provozují vlastní infrastrukturu v Evropě, a ztěžují získání „suverénní“ zakázky na tiskovou zprávu. Nebudeme předstírat, že je to jinak.
Vlastní zájem je ale slabý argument, takže tady je lepší. Evropským dodavatelům nechybí ochrana, chybí jim předvídatelnost. Stavba kapacity datových center je kapitálový závazek na deset let. Nikdo takový závazek neudělá proti definici suverenity, která se mění s každým zadávacím řízením a každým politickým cyklem. Závazný rámec je to, co z věty „Evropa by měla mít vlastní kapacitu“ udělá něco, co může schválit finanční výbor.
Kde se to může pokazit
Být pro nějakou regulaci není totéž jako nemít k ní připomínky, a tři rizika si zaslouží pojmenovat.
Může se z toho stát značení původu místo technické podstaty. Kritici z oboru varují, že omezení podle původu hrozí rozdrobením trhu a vyloučením důvěryhodných zahraničních dodavatelů. Ta kritika má sílu právě tam, kde se úrovně opírají o vlastnickou strukturu místo o ověřitelnou technickou kontrolu. Ty stupně mají cenu jen tehdy, když certifikují něco doložitelného - kdo má přístup ke kterému systému, kde jsou uložené klíče, které komponenty jde auditovat - ne to, jaká vlajka je nad matkou.
Může vytlačit z trhu ty, kterým má pomoct. Pokud dosažení nějaké úrovně bude vyžadovat certifikační režim, na který mají peníze jen velcí provozovatelé, rámec evropský trh spíš zkoncentruje než zpestří. Náklady na audit a certifikaci potřebují cestu, po které dokáže projít i padesátičlenný dodavatel.
Může se rozmělnit na vlastní prohlášení. Očekává se, že úrovně záruk budou hlavním bojištěm nadcházejících vyjednávání. Úroveň, kterou si může kdokoli nárokovat na vlastní slovo, je horší než žádná úroveň, protože propírá marketingová tvrzení do řeči předpisů.
Nedefinovaného zůstává hodně: konkrétní hranice za jednotlivými úrovněmi se mají doladit během legislativního procesu a celý spis je návrh, ne zákon. Indikativní termín přijetí je konec roku 2027.
Co netvrdíme
Neřekneme vám, na kterou úroveň by Cybermindnet dosáhl. Kritéria nejsou hotová, vlastní posouzení proti měnícímu se návrhu nemá žádnou cenu a dodavatel, který ohlašuje svůj stupeň dřív, než norma existuje, dělá přesně to, co má tahle regulace zastavit.
Co vám říct můžeme, je to, co platí dnes a nezávisle na jakémkoli předpisu: provozujeme vlastní clustery Kubernetes, vlastní ERP, vlastního poskytovatele identity a vlastní poštovní infrastrukturu, na serverech v EU, na open source součástech, které si můžete provozovat sami. Tohle byla naše odpověď před CADA a bude i po ní. Cena toho aktu je pro nás v tom, že by zákazníkovi umožnil takové tvrzení ověřit, ne mu jen věřit.
Co bude dál
Návrh teď projde běžným legislativním postupem - Parlament a Rada si každý vytvoří pozici, než začnou vyjednávat konečný text. Rámec záruk je místo, kde se povede věcný spor, a jeho výsledek rozhodne, jestli evropští zákazníci dostanou použitelný nástroj, nebo jen další slovník.
Pokud jste veřejný zadavatel, teď je ta chvíle podívat se, jak by vaše současné smlouvy na ty úrovně dopadly. Pokud jste dodavatel, teď je ta chvíle zjistit, na kterých požadavcích byste dnes neprošli. Tak či tak, získat odpověď trvá delší dobu, než jakou vám termín dovolí, když začnete až s hotovými pravidly.
Rádi si porovnáme poznatky - info@cybermindnet.eu.