Digitální suverenita: co skutečně nabízejí „suverénní“ cloudy AWS, Microsoftu a Googlu

Rezidence dat není suverenita

Debata o suverenitě se plete, protože se pod jedním slovem míchají tři různé věci. Vyplatí se je oddělit hned na začátku, jinak nelze nabídky dodavatelů rozumně porovnat.

• Rezidence dat – kde data fyzicky leží a kde se zpracovávají. Řeší ji výběr regionu a politika, která jiné regiony zakáže.
• Provozní suverenita – kdo službu obsluhuje, kdo má administrátorský přístup, kdo schvaluje zásahy a zda služba poběží, i když se přeruší spojení se zbytkem světa.
• Právní (jurisdikční) suverenita – jakému právu podléhá poskytovatel a kdo mu může nařídit data vydat nebo službu vypnout.

První dvě vrstvy lze řešit technicky a hyperscaleři v nich za poslední dva roky udělali velký kus práce. Třetí vrstva je vlastnická a právní – a žádná konfigurace ji nezmění.

Co dnes nabízejí AWS, Microsoft a Google

AWS European Sovereign Cloud

AWS zvolil nejradikálnější cestu: samostatný cloud. V lednu 2026 otevřel první region v Braniborsku jako oddělenou partition aws-eusc s regionem eusc-de-east-1, s vlastním IAM a vlastním billingem. Provoz mají zajišťovat výhradně rezidenti EU nacházející se v EU, na otázky suverenity dohlíží poradní sbor složený jen z občanů EU. Infrastruktura je podle AWS navržena tak, aby fungovala i při přerušení konektivity se zbytkem světa. AWS uvádí investici 7,8 miliardy eur a ohlásil suverénní Local Zones v Belgii, Nizozemsku a Portugalsku.

Oddělení má svou cenu. Analýza Cloud Security Alliance z ledna 2026 upozornila, že při spuštění chyběl IAM Identity Center i delegovaná administrace v AWS Organizations, k dispozici byl jediný region a partition jsou navzájem izolované – data se mezi běžným AWS a suverénním cloudem přenášejí přes internet nebo vlastní privátní linky zákazníka. Doporučení CSA tehdy znělo: začít sandboxem, držet nasazení malá a nedávat tam kritické aplikace, které nesnesou výpadek. Seznam služeb se od té doby mění, takže aktuální stav je nutné ověřit přímo v dokumentaci.

Microsoft Sovereign Cloud

Microsoft šel opačně: místo nového cloudu přidává kontroly do stávajících evropských regionů. V oznámení z června 2025 popsal tři varianty. Sovereign Public Cloud platí pro všechny workloady v evropských regionech bez nutnosti migrace a stojí na dvou prvcích: Data Guardian (vzdálený přístup inženýrů Microsoftu schvaluje a v reálném čase sleduje personál sídlící v Evropě) a External Key Management (klíče ve vlastním HSM zákazníka nebo u důvěryhodné třetí strany). Sovereign Private Cloud staví na Azure Local a Microsoft 365 Local pro hybridní nebo odpojená prostředí. Třetí variantou jsou národní partnerské cloudy – Bleu ve Francii (Orange a Capgemini) a Delos Cloud v Německu (dceřiná společnost SAP).

Výhoda je zřejmá: nic se nestěhuje, nástroje i služby zůstávají. Nevýhoda také: jde o tentýž globální Azure s přidanými kontrolami, nikoli o oddělenou infrastrukturu.

Google Cloud

Google nabízí tři stupně – Data Boundary, Dedicated a Air-Gapped. V únoru 2026 popsal, že u varianty Dedicated prostředí plně ovládá partner, který může ve výjimečných případech blokovat aktualizace softwaru, Google nemá mít vzdálený přístup ani možnost workloady vypnout a partner má být schopen provozovat instanci až 12 měsíců po přerušení spojení s Googlem. Na této variantě stojí francouzská nabídka PREMI3NS společnosti S3NS, která podle Googlu získala kvalifikaci SecNumCloud 3.2 od francouzské agentury ANSSI. Varianta Air-Gapped nevyžaduje připojení ke Googlu ani k internetu vůbec.

Tabulka shrnuje veřejná tvrzení výrobců, nikoli nezávislý audit. U kterékoli nabídky si před rozhodnutím vyžádejte aktuální seznam služeb, smluvní závazky k žádostem úřadů a auditní zprávy.

Slepá skvrna: právní dosah mateřské společnosti

Nejcitovanější moment celé debaty přišel 10. června 2025 (datum podle záznamu francouzského Senátu; The Register uvádí 18. června). Senátní vyšetřovací komise pro veřejné zakázky se zeptala Antona Carniauxe z Microsoft France, zda může pod přísahou zaručit, že data francouzských občanů nebudou předána americkým úřadům bez souhlasu francouzských úřadů. Podle záznamu, který cituje The Register, odpověděl:

Obě poloviny té věty jsou důležité. První potvrzuje, že smluvní a organizační opatření právní povinnost nepřebijí. Druhá připomíná, že jde o riziko s nízkou pozorovanou četností: Carniaux zároveň uvedl, že od doby, kdy Microsoft zveřejňuje zprávy o transparentnosti, se taková žádost nedotkla žádné evropské firmy ani orgánu veřejného sektoru.

Protiargumenty, které je fér uvést

• Evropské právo staví vlastní bariéru. Článek 32 Data Actu ukládá poskytovatelům služeb zpracování dat přijmout veškerá přiměřená technická, organizační a právní opatření, aby zabránili přístupu orgánů třetích zemí k neosobním údajům uloženým v Unii, pokud by to bylo v rozporu s právem EU nebo členského státu. Poskytovatel se tak může ocitnout mezi dvěma právními řády – a právě proto žádosti napadá.
• Šifrování s vlastními klíči mění, co lze vydat. Pokud poskytovatel nemá klíč, může vydat jen šifrovaná data. Platí to ovšem jen pro data v klidu; jakmile je služba zpracovává v otevřené podobě, je ochrana slabší.
• Evropský poskytovatel není automaticky bezpečnější. Menší dodavatel může mít slabší zabezpečení, užší nabídku služeb a horší odolnost. Riziko jurisdikce se vyměňuje za riziko provozní.

Co chystá EU a co už platí v Česku

Evropská regulace suverenity cloudu je ve stadiu návrhů a čtenář by ji tak měl číst.

• EUCS, evropské certifikační schéma pro cloudové služby, je podle rozboru Clifford Chance pozastaveno kvůli sporům o požadavky na suverenitu. Revize Aktu o kybernetické bezpečnosti, kterou Komise navrhla 20. ledna 2026, počítá s certifikací výhradně podle technických kritérií – tedy bez požadavků typu ochrana před extrateritoriálními zákony nebo limity na vlastnictví mimo EU.
• Cloud and AI Development Act (CADA) má suverenitu řešit zvlášť. Komise návrh zveřejnila 3. června 2026. Podle shrnutí kanceláře Wilson Sonsini zavádí čtyři úrovně záruk (první na základě sebehodnocení, vyšší s nezávislým auditem) a pro orgány veřejné moci pravidlo využívat poskytovatele usazené v EU, s výjimkou pro poskytovatele ze třetích zemí, kteří splní úroveň 3 a jsou ovládáni z jurisdikce schválené Komisí. Návrh je na začátku legislativního procesu; Parlament i Rada ho mohou podstatně změnit a o lhůtách je předčasné mluvit.

Český veřejný sektor má pravidla už dnes

Pro orgány veřejné správy platí od 1. listopadu 2025 vyhláška č. 412/2025 Sb. o bezpečnostních pravidlech při využívání cloud computingu. U vysoké a kritické bezpečnostní úrovně požaduje, aby zákaznická data v klidu byla ukládána výlučně na území členských států EU/ESVO. U kritické úrovně mají být zákaznická data a specifické provozní údaje zpracovávány na území České republiky; mimo ně jen s výslovným písemným souhlasem. A pro všechny úrovně požaduje vyhodnotit rizika plynoucí z možných žádostí cizozemských orgánů o zpřístupnění dat.

Na soukromé firmy se tato vyhláška nevztahuje. Je ale užitečná jako hotová šablona: odstupňované požadavky podle dopadu, nikoli jedno pravidlo pro všechna data. Kdo dodává software nebo služby veřejné správě, narazí na ni v zadávací dokumentaci.

Rozhodovací rámec: tři otázky místo jedné

Otázka „jsme suverénní?“ nemá odpověď. Tři následující ji mají a dají se rozpracovat do konkrétních úkolů.

1. Jaká data a systémy máte – a co by znamenal jejich únik nebo nedostupnost?

Rozdělte workloady do tří až čtyř tříd podle dopadu, podobně jako to dělá vyhláška pro veřejnou správu. Typicky vyjde, že naprostá většina systémů (weby, interní nástroje, vývojová prostředí, běžná provozní data) žádné zvláštní zacházení nepotřebuje. Úzká skupina – obchodní tajemství, data regulovaná sektorovými předpisy, systémy pro zákazníky z veřejného sektoru nebo obrany – si zaslouží přísnější režim. Teprve pro ni má smysl uvažovat o oddělené partition, partnerském cloudu nebo evropském poskytovateli.

2. Kdo drží klíče?

Šifrování s klíči spravovanými zákazníkem je dnes standard, ale klíč uložený ve službě téhož poskytovatele jurisdikční riziko nesnižuje. Smysl má až externí správa klíčů: HSM ve vlastní správě nebo u třetí strany, s možností přístup odvolat. Počítejte s daní – vyšší latence, další kritická závislost a nutnost vlastního provozu s vysokou dostupností. Ztráta klíče znamená ztrátu dat. Proto externí klíče nasazujte jen na třídu dat, která to odůvodní.

3. Jak rychle dokážete odejít?

Exit plán je nejlevnější forma suverenity a pomáhá i proti zdražení nebo ukončení služby. Opírá se o infrastrukturu popsanou jako kód, kontejnerizované workloady, zálohy v otevřených formátech mimo primárního poskytovatele a seznam proprietárních služeb, na kterých aplikace stojí. Zákon vám jde naproti: podle článku 29 Data Actu nesmějí poskytovatelé od 12. ledna 2027 účtovat za proces změny poskytovatele žádné poplatky. Technický lock-in na spravované služby ovšem nařízení neodstraní. O tom, jak psát infrastrukturní kód tak, aby se dal přenést, je článek o bezpečnosti infrastruktury jako kódu.

Co udělat v pondělí

Rezidenci dat lze vynutit hned a téměř zdarma. V AWS například organizační politikou, která zakáže regiony mimo EU (globální služby je nutné vyjmout, jinak přestane fungovat mimo jiné IAM):

{
  "Version": "2012-10-17",
  "Statement": [{
    "Sid": "DenyOutsideEU",
    "Effect": "Deny",
    "NotAction": ["iam:*", "organizations:*", "sts:*",
                  "route53:*", "cloudfront:*", "support:*"],
    "Resource": "*",
    "Condition": {
      "StringNotEquals": {
        "aws:RequestedRegion": ["eu-central-1", "eu-west-1", "eu-north-1"]
      }
    }
  }]
}

Seznam výjimek i regionů berte jako výchozí bod a před nasazením ho otestujte na neprodukční organizační jednotce. V Azure plní stejnou roli vestavěná politika pro povolené lokality. Další základní kontroly pro AWS shrnuje článek o zabezpečení cloudu v AWS.

Kdy má smysl suverénní nabídka a kdy ne

Naopak se nevyplatí přesouvat celou firmu do oddělené partition jen proto, že je téma ve zprávách. Zaplatíte migrací, zdvojením nástrojů a pomalejším přístupem k novým službám, a třetí vrstvu – vlastnictví technologie – stejně nevyřešíte. U běžných workloadů přinese víc pořádek v tom, co už běží: jasné vlastnictví, řízené přístupy a kód místo ručních zásahů. Bez toho se nedá spolehlivě říct ani to, kde data dnes jsou, jak popisuje článek o chaosu v infrastruktuře.

A ještě jedno omezení tohoto doporučení: netýká se organizací, kterým rezidenci nebo provozovatele předepisuje zákon. Tam se nerozhoduje podle rizikové úvahy, ale podle textu předpisu a výkladu regulátora.

Klíčové poznatky

• Tři vrstvy, ne jedna. Rezidence dat a provozní suverenita se dají vyřešit technicky; právní dosah mateřské společnosti nikoli.
• Nabídky se liší modelem. AWS postavil oddělený cloud, Microsoft přidává kontroly do stávajících regionů, Google předává provoz partnerům. Každý model má jinou cenu migrace.
• Riziko je reálné, ale úzké. Microsoft ho před francouzským Senátem nevyloučil, zároveň uvedl, že u evropských firem ani veřejného sektoru k takovému případu nedošlo.
• Evropská pravidla nejsou hotová. EUCS stojí, CADA je čerstvý návrh. Český veřejný sektor už odstupňovaná pravidla má ve vyhlášce č. 412/2025 Sb.
• Pořadí kroků: klasifikace dat, vynucení regionů, klíče u nejcitlivější třídy, otestovaný exit plán. Teprve potom výběr „suverénního“ produktu.