Suwerenność cyfrowa trafia na agendę zarządów jako element odporności firmy

Krytyczna infrastruktura cyfrowa przestaje być postrzegana jako zaplecze działu IT. Coraz częściej jest traktowana jako warunek normalnego działania przedsiębiorstwa lub instytucji. Badanie Capgemini, obejmujące 1 300 menedżerów z dużych organizacji i podmiotów publicznych w 11 krajach, wskazuje, że napięcia geopolityczne, ograniczenia eksportowe i cyberzagrożenia skłaniają kierownictwa do dokładniejszego analizowania zależności od dostawców technologii, których trudno byłoby zastąpić. 5

Od zależności IT do ryzyka ciągłości działania

Platformy chmurowe, centra danych, sieci telekomunikacyjne oraz wyspecjalizowani dostawcy technologii wspierają codzienną działalność organizacji. Gdy dostęp do kluczowego usługodawcy zostanie zakłócony, ograniczony albo naruszony, skutki mogą wyjść daleko poza zwykłą awarię informatyczną.

Dlatego zarządy coraz częściej podchodzą do infrastruktury cyfrowej tak, jak do energii czy fizycznych łańcuchów dostaw: przez pryzmat nadzoru, planów awaryjnych i inwestycji w odporność. Wyniki badania wskazują na rosnącą uwagę na poziomie zarządów, gdy organizacje ponownie oceniają zależności, które wcześniej uznawano za oczywiste. 5

Najważniejsze pytanie jest bardzo praktyczne: czy firma mogłaby nadal działać, gdyby krytyczny dostawca stał się niedostępny?

Suwerenność cyfrowa to zachowanie możliwości wyboru

O suwerenności cyfrowej często mówi się w kontekście technologii krajowych lub regionalnych. Z perspektywy organizacji bardziej użyteczna definicja dotyczy zdolności do sprawowania wyboru, kontroli i nadzoru nad danymi oraz warstwą operacyjną, techniczną i prawną — przy jednoczesnym korzystaniu z globalnych partnerów technologicznych. 8

W praktyce oznacza to zastępowalność:

• zachowanie możliwości przeniesienia krytycznego obciążenia do innego środowiska;
• unikanie architektur, w których migracja jest zaporowo trudna;
• wiedzę, kto kontroluje dostęp do danych i systemów;
• zdolność do odtworzenia lub ponownego wdrożenia usług, jeśli dane środowisko przestanie działać.

Capgemini określa „suwerenność projektowaną od podstaw” jako przenośność, utrzymywanie opcji wyboru oraz zdolność do zmiany rozwiązania lub szybkiego odbudowania stosu technologicznego w razie potrzeby. 37

Nie jest to automatycznie wezwanie do rezygnacji z każdego międzynarodowego dostawcy. Chodzi raczej o to, by nie znaleźć się w sytuacji bez realnej alternatywy.

Co organizacje chcą utrzymać pod kontrolą

Największe ryzyko wiąże się zwykle z zasobami, których nie da się łatwo odzyskać, odtworzyć lub przenieść. Należą do nich dane własne i wrażliwe, modele AI, własność intelektualna oraz obciążenia krytyczne dla działalności.

Kontrola ma kilka wymiarów. Dotyczy miejsca przechowywania danych, zasad ich użycia i dostępu, podmiotu zarządzającego środowiskiem, wykorzystywanej architektury oraz reżimów prawnych mających zastosowanie. 31 Plan odporności skoncentrowany wyłącznie na lokalizacji danych, a pomijający operacyjną i techniczną przenośność, może pozostawić kluczową zależność nierozwiązaną.

Airbus: dywersyfikacja zamiast pełnej izolacji

Airbus pokazuje, jak można ograniczać ryzyko koncentracji w przypadku wrażliwych obciążeń, nie utożsamiając suwerenności z całkowitym odcięciem od zewnętrznych partnerów. Koncern lotniczy zawarł wieloletnią umowę z należącą do Iliad firmą Scaleway na infrastrukturę chmurową dla wrażliwych zastosowań przemysłowych i obronnych, w tym narzędzi AI tworzonych z francuskim startupem Mistral. Infrastruktura ma obsługiwać krytyczne aplikacje związane z projektowaniem samolotów, inżynierią, produkcją przemysłową i działalnością korporacyjną. 18

Airbus opisuje swoją strategię przez ciągłość operacyjną, kontrolę dostępu do danych, ograniczanie uzależnienia od dostawców oraz rozwój zdolności technologicznych. 24 Sednem tego podejścia jest dywersyfikacja: wskazanie systemów, w których zależność tworzy niedopuszczalne ryzyko, a następnie zapewnienie alternatywy spełniającej wymagania techniczne, bezpieczeństwa i prawa.

Praktyczna agenda zarządu dotycząca odporności cyfrowej

Dla zespołów kierowniczych priorytetem nie powinno być ogólne ogłoszenie „suwerenności”, lecz program odporności, który można sprawdzić w praktyce:

1. Zmapować krytyczne zależności. Wskazać dostawców, usługi, przepływy danych i obciążenia, których zakłócenie zatrzymałoby działalność lub istotnie ją ograniczyło.
2. Sklasyfikować zagrożone zasoby. Oddzielić systemy rutynowe od danych wrażliwych, własności intelektualnej, zasobów AI i procesów kluczowych dla misji organizacji.
3. Ocenić zastępowalność. Ustalić, czy dane obciążenie można przenieść, przywrócić lub odbudować — i na jakich warunkach.
4. Przygotować wiarygodne plany wyjścia i ciągłości. Sama klauzula umowna nie jest planem wyjścia; potrzebne są działające rozwiązania techniczne, operacyjne i prawne.
5. Przetestować plan. Przenośność ma znaczenie tylko wtedy, gdy migrację i odtworzenie można przeprowadzić w czasie akceptowalnym dla biznesu.

Wniosek jest prosty: suwerenność cyfrowa staje się zdolnością wzmacniającą odporność organizacji. Firmy, które zachowują kontrolę i mają wiarygodne alternatywy, są lepiej przygotowane na awarie dostawców, incydenty cybernetyczne, ograniczenia prawne i wstrząsy geopolityczne. 58