W obliczu utrzymującej się niepewnej sytuacji geopolitycznej kwestia suwerenności stała się kluczowa. Dotyczy również sfery cyfrowej – tak podatnej na manipulację oraz cyberataki. To szczególnie ważne teraz, kiedy centra danych, napędzane rozwojem AI, nabrały rozpędu.
Suwerenność danych powinna oznaczać realną kontrolę nad tym, kto ma do nich dostęp, gdzie są przetwarzane i jak zapewnić ciągłość działania.
– Polska powinna wzmacniać własnych dostawców, zachowując możliwość współpracy z partnerami europejskimi i amerykańskimi i korzystania z najlepszych technologii. Samo położenie serwerowni w Polsce nie rozstrzyga o kontroli nad danymi: znaczenie mają także jurysdykcja, uprawnienia administratorów, zarządzanie kluczami szyfrującymi oraz możliwość przeniesienia danych i usług – wymienia Tomasz Snażyk, prezes AI Chamber.
Polska serwerownia to nie wszystko
W raporcie Polcomu „Barometr cyfrowej transformacji polskiego biznesu 2025–2026” 43 proc. firm deklaruje, że przy wyborze dostawcy chmury bierze pod uwagę lokalizację danych w centrum danych na terytorium Polski, a aż 88 proc. wskazuje oczekiwany poziom cyberbezpieczeństwa jako jedno z najważniejszych kryteriów wyboru. To pokazuje, że lokalność zaczyna mieć wartość biznesową i strategiczną, ale nie oznacza, że Polska powinna po prostu odciąć się od technologii amerykańskich.
– Lepszym kierunkiem jest model równowagi: korzystanie ze skali, innowacyjności i ekosystemu globalnych dostawców tam, gdzie jest to uzasadnione, ale jednocześnie rozwijanie polskiej i europejskiej infrastruktury oraz zachowanie możliwości wyboru – mówi Adam Matyaszek, dyrektor działu sprzedaży w firmie Polcom. Dodaje, że szczególnie w przypadku danych administracji publicznej, infrastruktury krytycznej, finansów czy ochrony zdrowia zależność od operatora podlegającego prawodawstwu spoza Europejskiego Obszaru Gospodarczego może tworzyć dodatkowe ryzyko jurysdykcyjne.
Czytaj więcej
Moc obliczeniowa staje się kluczowym elementem konkurencyjnej i suwerennej gospodarki. Centra danych generują już w Polsce kilkanaście miliardów zł...
Suwerenność nie musi oznaczać przechowywania wszystkiego w jednym polskim centrum danych. Można różnicować środowisko w zależności od krytyczności danych i procesów: najbardziej wrażliwe zasoby utrzymywać w lokalnej lub europejskiej infrastrukturze, natomiast w innych obszarach wykorzystywać rozwiązania globalne. Taki kierunek już widać w badaniach – 93 proc. firm zamierza nadal utrzymywać własne zasoby IT, a 69 proc. planuje korzystać z chmury. Model hybrydowy staje się więc sposobem łączenia niezależności z elastycznością.
– Suwerenność cyfrowa polega przede wszystkim na tym, żeby mieć realny wybór – technologiczny, infrastrukturalny i prawny, a nie być skazanym na jednego dostawcę lub jedną jurysdykcję – podsumowuje Matyaszek.
Ważną kwestią jest również możliwość przenoszenia danych i obciążeń między różnymi środowiskami bez zakłócania ich działalności. Z badania Red Hat wynika, że 63 proc. ankietowanych podmiotów ma opracowany plan zmiany głównego dostawcy AI na wypadek, gdyby ograniczył on dostęp do swoich usług, ale blisko 40 proc. ocenia, że jego realizacja mogłaby istotnie wpłynąć na ciągłość działania.
– Pokazuje to, że sama formalna możliwość zmiany dostawcy nie wystarcza, jeśli architektura IT w praktyce silnie wiąże przedsiębiorstwo z jednym rozwiązaniem – komentuje Lubomir Stojek, menedżer Red Hat w Polsce.
Z raportu „Cyfrowa racja stanu”, przygotowanego przez Polską Sieć Ekonomii dla Związku Pracodawców Polska Chmura, płynie jasny wniosek, że fizyczna lokalizacja infrastruktury w Polsce czy w UE jest warunkiem ważnym, ale niewystarczającym.
– Skala ekonomiczna tego problemu jest już bardzo duża. Deficyt handlowy Polski w obszarze produktów cyfrowych przekroczył w 2025 r. 60 mld zł, a według prognoz przedstawionych w raporcie do 2030 r. wydatki na import technologii cyfrowych mogą przewyższyć łączne koszty importu wszystkich surowców energetycznych – wylicza Wiesław Wilk, przewodniczący Związku Pracodawców Polska Chmura.
Centralne podmioty administracji publicznej wydały w 2024 r. ponad 7 mld zł na wytworzenie, utrzymanie i rozbudowę systemów teleinformatycznych. Przy zakładanym wzroście kosztów licencji i usług chmurowych o 12 proc. rocznie oznacza to w perspektywie pięciu lat wzrost wydatków na tego typu zakupy o 76 proc. Eksperci szacują, że prognozowane podwyżki cen licencji na usługi AI i chmurowe będą kosztowały europejską gospodarkę rocznie średnio dwa razy więcej niż koszty wywołane zamknięciem cieśniny Ormuz, przy założeniu, że wzrost cen za baryłkę utrzymałby się na stałym poziomie przez rok.
Te przykłady symbolicznie pokazują, że suwerenność cyfrowa jest również polityką gospodarczą: chodzi o to, jaka część tych pieniędzy buduje kompetencje, miejsca pracy i aktywa w Polsce i Europie, a jaka odpływa za granicę.
Jeszcze wyraźniej widać to w skali europejskiej. Z danych przywołanych w „Cyfrowej racji stanu” wynika, że w 2024 r. europejskie organizacje wydały na chmurę i oprogramowanie 400 mld euro, z czego 330 mld euro trafiło do firm amerykańskich. Zatrzymanie w Europie zaledwie 15 proc. obecnych wydatków na te usługi mogłoby do 2035 r. przynieść około 37 mld euro dodatkowej wartości dodanej, 16 mld euro wpływów publicznych i około 463 tys. miejsc pracy. Dlatego pytanie o polskie i europejskie rozwiązania nie jest wyłącznie pytaniem o bezpieczeństwo danych.
– To również pytanie o konkurencyjność i o to, gdzie powstaje wartość – podkreśla Wilk. Dodaje, że suwerenność cyfrowa nie oznacza budowania cyfrowych granic. Powinniśmy korzystać z najlepszych technologii globalnych tam, gdzie jest to racjonalne, ale w przypadku infrastruktury strategicznej wymagać odpowiedniego poziomu kontroli. Im bardziej krytyczny system, tym większe powinny być wymagania dotyczące jurysdykcji europejskiej lub krajowej, kontroli nad danymi, audytowalności, interoperacyjności i możliwości zmiany dostawcy.
Czytaj więcej
Jeśli nie zdążymy z inwestycjami, staniemy się importerem mocy obliczeniowej, co pogorszy naszą konkurencyjność – mówi Michał Pieprzny, prezes zarz...
Takie podejście stosuje już Komisja Europejska: w pierwszym przetargu na suwerenne usługi chmurowe o wartości do 180 mln euro na sześć lat wybrano czterech dostawców, właśnie po to, aby ograniczyć ryzyko uzależnienia od jednego podmiotu. Były to: luksembursko-francuskie konsorcjum Post Telecom z OVHCloud i CleverCloud, niemiecka spółka StackIT, francuska Scaleway oraz belgijsko-francusko-luksemburskie konsorcjum Proximus, Clarence i Mistral. Co istotne, Komisja dopuściła również rozwiązanie częściowo wykorzystujące technologię Google Cloud (Proximus). Argumentowała, że technologie spoza Europy mogą spełniać minimalny wymóg suwerennościowy, pod warunkiem że są zarządzane w ramach rygorystycznych i odpowiednich struktur nadzoru europejskiego.
Trwają też prace nad europejskim pakietem na rzecz suwerenności technologicznej. Koncentruje się on na czterech głównych obszarach. Pierwszym jest zabezpieczenie bazy półprzewodników na potrzeby realizacji europejskich celów w zakresie sztucznej inteligencji. Drugi obszar to uwolnienie potencjału Europy w obszarze chmury i sztucznej inteligencji. Trzeci zakłada wzmocnienie autonomii cyfrowej dzięki otwartemu oprogramowaniu. A czwarty – cyfryzację europejskiego systemu energetycznego z zachowaniem jego zrównoważonego charakteru.
Cyfrowa niezależność ma osiem wymiarów
To właśnie energetyka staje się kluczowym problemem w rozwoju AI i centrów danych. Presja na system energetyczny i wodny będzie rosła, dlatego każda duża inwestycja powinna być analizowana nie tylko pod kątem mocy przyłączeniowej, ale również jej wpływu na lokalny system energetyczny, dostępność wody i odporność całej infrastruktury.
W raporcie Polskiej Chmury przedstawiono osiem wymiarów suwerenności cyfrowej. Pierwszą, wspomnianą już, jest suwerenność strategiczna. Dotyczy tego, kto faktycznie kontroluje dostawcę i gdzie powstaje wartość. Obejmuje strukturę własnościową, wpływ podmiotów spoza UE na inwestycje i miejsca pracy oraz odporność na polityczne naciski zewnętrzne. Drugi wymiar to suwerenność prawna i jurysdykcyjna. Trzecim jest suwerenność danych i AI. Czwarty dotyczy łańcuchów dostaw. Chodzi o pochodzenie sprzętu, firmware’u, oprogramowania i komponentów krytycznych. Mowa m.in. o problematycznej zależności od dostawców spoza UE. Piąty wymiar to suwerenność operacyjna, czyli ocena, czy europejskie podmioty rzeczywiście mogą samodzielnie świadczyć usługi bez krytycznej zależności od dostawcy spoza UE. Szósta na liście jest suwerenność technologiczna, a siódma – środowiskowa. Zestawienie zamyka suwenność bezpieczeństwa i zgodności z europejskimi regulacjami (m.in. kwestia lokalizacji zespołów bezpieczeństwa, procedur reagowania na incydenty oraz możliwości prowadzenia europejskich audytów bezpieczeństwa).
– Dla mnie najważniejsza konkluzja jest taka: suwerenność nie polega na tym, żeby wszystko produkować samemu. Polega na tym, żeby mieć alternatywę i zachować zdolność do samodzielnego działania – mówi przedstawiciel Związku Pracodawców Polska Chmura. Dodaje, że jeżeli nie mamy własnych i europejskich centrów danych, kompetencji, chmury oraz możliwości migracji, to w sytuacji kryzysu geopolitycznego wybór może okazać się czysto teoretyczny.
Nie doklejać bezpieczeństwa
Centra danych stają się jednym z fundamentów cyfrowej gospodarki, dlatego ich bezpieczeństwa nie można traktować jako warstwy dodawanej dopiero po uruchomieniu obiektu. Im więcej krytycznych danych, aplikacji i procesów biznesowych skupiamy w takim środowisku, tym większe mogą być konsekwencje błędów popełnionych na etapie projektowania i tym trudniej później spłacać „dług bezpieczeństwa”. Dlatego ochrona powinna być uwzględniana od początku – zarówno w architekturze infrastruktury, jak i w całym cyklu życia wykorzystywanych technologii.
– Na tym opiera się podejście Secure by Design. Nie chodzi w nim o jednorazowe wdrożenie określonych zabezpieczeń ani o spełnienie zestawu wymogów, lecz o takie projektowanie i rozwijanie technologii, aby ograniczać ryzyko wynikające z błędów i podatności już u źródła oraz ułatwiać bezpieczne utrzymanie systemów przez cały cykl ich życia – mówi Joanna Chmielak, menedżerka w firmie Fortinet. Dodaje, że w praktyce oznacza to przede wszystkim eliminowanie powtarzalnych podatności już na etapie tworzenia oprogramowania, możliwie sprawne wdrażanie aktualizacji oraz projektowanie systemów w taki sposób, aby przejęcie pojedynczego komponentu nie pozwalało atakującemu rozszerzać dostępu na pozostałe elementy środowiska. Równie ważna jest możliwość szybkiego wykrycia nieautoryzowanych zmian i ustalenia, co wydarzyło się podczas incydentu.
Czytaj więcej
Wyścig AI zamienia się w największy od dekad boom infrastrukturalny. Centra danych powstają szybciej, niż Ameryka jest w stanie budować elektrownie...
Secure by design nie kończy się w momencie uruchomienia infrastruktury. Dostawcy technologii powinni zapewniać terminowe poprawki, przejrzyste informacje o ryzyku i praktyczne możliwości aktualizacji, a po stronie firm równie ważne jest utrzymywanie aktualnej wiedzy o wykorzystywanych zasobach i reagowanie na zalecenia dotyczące bezpieczeństwa. Automatyzowanie rutynowych aktualizacji oraz ograniczanie wykorzystania niewspieranych wersji zmniejsza liczbę sytuacji, w których cyberprzestępcy mogą wykorzystać znane już podatności.
– O dojrzałości podejścia Secure by Design nie świadczy więc sama liczba wdrożonych mechanizmów ochronnych, lecz to, czy są one konsekwentnie stosowane, testowane wobec rzeczywistych scenariuszy ataku i oceniane na podstawie osiąganych efektów – podsumowuje ekspertka Fortinetu.
Nowe obowiązki firm
Analitycy CERT Polska zarejestrowali w ubiegłym roku przeszło ćwierć miliona incydentów. Aż 97 proc. z nich stanowiły oszustwa komputerowe – w tym phishing, oszustwa inwestycyjne i inne formy wyłudzania danych lub pieniędzy. Liczba zarejestrowanych incydentów cyberbezpieczeństwa wzrosła rok do roku aż o 152 proc. Trend wzrostowy utrzymuje się już od wielu lat i nie wskazuje, żeby miało się to zmienić.
Z jednej strony biznes ma coraz lepsze zabezpieczenia, a świadomość dotycząca ataków rośnie. Z drugiej jednak cyberprzestępcy stają się coraz bardziej profesjonalni, ataki są szybsze i złożone, a wsparciem dla nich jest AI, która w tym przypadku stała się mieczem obosiecznym.
Wsparciem w walce z cyberoszustami mają być wdrażane przepisy, w tym dyrektywa NIS2, czyli kluczowy akt prawny regulujący cyberbezpieczeństwo w Unii Europejskiej. Zwiększa odpowiedzialność przedsiębiorstw i rozszerza uprawnienia organów nadzoru. Wdrożenie dyrektywy w Polsce nastąpiło przez nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa, która weszła w życie 3 kwietnia 2026 r.
Centra danych w tym ekosystemie odgrywają istotną rolę – są zobowiązane do spełnienia rygorystycznych norm, a z drugiej strony są kluczowym ogniwem w łańcuchu dostaw dla swoich klientów. Czas pokaże, jak poradzą sobie z tymi wyzwaniami.
