政策动态：欧盟推进云主权框架，德国发布云自主权标准
政策动态：欧盟推进云主权框架，德国发布云自主权标准
2026年4月，欧洲在云主权与数据合规领域迎来密集政策更新。欧盟委员会于4月17日宣布通过云主权框架（Cloud Sovereignty Framework）完成战略采购，向四家云服务商授予合同，标志着欧盟将”数字主权”从抽象原则转化为可量化的采购标准。紧随其后，德国联邦信息安全办公室（BSI）于4月27日发布《云自主权标准》（C3A），为云服务提供商和客户提供了评估云自主程度的验证标准。与此同时，英国竞争与市场管理局（CMA）在3月31日接受AWS和Microsoft的自愿承诺，放弃对其实施战略性市场地位（SMS）指定，转而启动对Microsoft企业软件服务的独立调查。这些政策动向反映出欧美在数据主权、云竞争和隐私保护方面的不同监管路径。
主要新闻
欧盟委员会通过云主权框架完成战略采购，四家云服务商获得合同
4月17日，欧盟委员会宣布通过云主权框架（Cloud Sovereignty Framework）完成战略采购，向四家云服务商授予合同，以提高多样性和韧性，避免单一供应商锁定。该框架将数字主权转化为客观、可衡量的采购标准，涵盖从战略、法律、运营、环境考量到供应链透明度、技术开放性、安全性和欧盟法律合规性的八大具体目标。框架引入主权有效性保证等级（SEAL），从SEAL-0（完全缺乏主权）到SEAL-4（需要完整的欧盟供应链，从芯片到软件）。为获得资格，供应商需要达到SEAL-2级别（数据主权级别），即遵守欧盟法律法规，无需客户采取额外技术措施保护数据。大多数获奖供应商达到SEAL-3级别（数字韧性级别），意味着其服务、技术或运营不受非欧盟第三方供应链中断的影响。
Source: Commission advances cloud sovereignty through strategic procurement
德国BSI发布云自主权标准（C3A），确立六大主权域评估框架
4月27日，德国联邦信息安全办公室（BSI）发布《云自主权标准》（Criteria enabling Cloud Computing Autonomy, C3A），为评估云服务客户使用云服务时的自决程度提供非约束性框架。C3A采用欧盟云主权框架结构，在六大主权域中阐明标准：战略主权（欧盟或德国司法管辖要求、注册总部要求、欧盟或德国企业有效控制）、法律与司法主权（年度域外非欧盟法律风险评估、网络安全当局审计权）、数据主权（数据驻留选项限制在欧盟或德国、外部密钥管理集成、客户端加密）、运营主权（欧盟或德国运营人员、安全运营中心、经测试的断开重连能力）、供应链主权（软件、硬件和外部服务依赖的文档化清单）、技术主权（每24小时更新一次的欧盟源代码备份）。云服务提供商可通过审计证明符合C3A，云服务客户可使用C3A定义其采购和评估的云主权基线水平。
英国CMA接受AWS和Microsoft自愿承诺，转向调查Microsoft企业软件服务
3月31日，英国竞争与市场管理局（CMA）宣布接受AWS和Microsoft关于”云出口费用和互操作性”的自愿承诺，放弃了其调查委员会建议的具有约束力的监管指定。同时，CMA根据《数字市场、竞争与消费者法案》（DMCCA）启动对Microsoft企业软件服务的战略性市场地位调查，但不包括Amazon。这些承诺反映了欧盟《数据法案》已要求的内容：从2027年起取消切换费用，并禁止云提供商设置”技术、合同和组织障碍”来阻止切换到其他提供商。CMA表示，Microsoft自2025年市场调查以来未改善客户切换或多云能力，这证明了干预的合理性。新的调查将聚焦Microsoft的”生产力软件、操作系统、数据库管理和相关安全服务”，可能会打破Microsoft将其服务捆绑在一起的能力。
Source: UK Regulator Probes Microsoft While Backing Voluntary Cloud Rules
欧洲数据保护委员会（EDPB）扩展Europrivacy认证至国际数据传输
4月16日，欧洲数据保护委员会（EDPB）通过两项关于Europrivacy认证的重要决定。首先，将Europrivacy的范围扩展至根据GDPR第3(2)条受管辖的欧盟境外控制者和处理者。其次（这也是开创性的变化），批准了可作为GDPR第42条和第46条下国际数据传输机制的Europrivacy标准版本。具体而言，获得Europrivacy传输认证的欧盟外数据进口方可被视为提供适当保障措施。条件是：必须与数据出口方建立具有约束力和可执行的承诺。Europrivacy是EDPB根据GDPR第42(5)条批准的首个也是目前唯一的欧洲数据保护印章。直到2026年4月，Europrivacy仅适用于欧盟和欧洲经济区国家设立的控制者和处理者。新决定使得美国、日本或巴西等第三国中处理欧盟个人数据的公司可以申请Europrivacy认证，作为证明合规性的机制。
Source: Europrivacy as a Data Transfer Mechanism — EDPB 2026
分析
2026年4月的政策动态揭示了全球云治理的三大趋势，以及欧美在监管哲学上的根本分歧。首先，欧盟正在将”数字主权”从政治口号转化为可操作的技术标准。云主权框架和德国的C3A标准共同构建了一个多层次的评估体系：从战略层面确保欧洲对企业拥有控制权，到技术层面要求源代码备份和供应链透明，再到运营层面规定人员驻地和断开重连能力。这种”全栈主权”理念反映出欧盟对技术自主的极致追求：不仅要控制数据，还要控制运行数据的芯片、软件和服务。
其次，英国CMA对AWS和Microsoft的不同处理方式，揭示了”行为监管”与”结构监管”的权衡。接受自愿承诺而非实施强制性SMS指定，表明英国更倾向于通过契约和承诺来矫正市场失灵，而非通过拆分或强制开放来重构市场结构。这种”轻触式监管”（light-touch regulation）与美国和欧盟的强硬立场形成对比。然而，CMA同时启动对Microsoft企业软件服务的调查，也表明监管机构正在从”云基础设施竞争”转向”生态系统锁定竞争”，关注点从单纯的云服务市场扩展到软件、操作系统和云服务的捆绑销售。
第三，EDPB扩展Europrivacy认证至国际数据传输，填补了GDPR实施八年来的一个重要空白。自2018年GDPR引入认证作为传输机制以来，一直缺乏实际可用的认证方案。Europrivacy的突破在于：它不仅是合规证明，更是数据传输的”通行证”。对于服务多个欧洲合作伙伴的数据进口方，这种机制比标准合同条款（SCC）更高效，比约束性企业规则（BCR）更标准化。然而，这也引发了新的问题：认证是否会导致”合规套利”？那些获得Europrivacy认证的公司是否会在实际上获得监管优待，从而进一步巩固市场地位？
更深层次的问题在于，这些政策动向反映出全球云治理正在分裂为三大阵营：欧盟的”主权优先”模式（强调数据本地化、供应链透明和技术自主）、英国的”市场导向”模式（强调竞争、互操作性和自愿合规）和美国的”创新优先”模式（强调市场自由、技术领先和出口管制）。这种监管碎片化将给跨国云服务商带来巨大的合规成本，也可能催生”云本地化”的新趋势：为不同监管区域定制不同的云服务栈。
结论
2026年4月的政策动态表明，云主权、数据隐私和市场竞争已成为全球数字治理的核心议题。欧盟通过云主权框架和C3A标准正在构建”数字堡垒欧洲”，英国则在竞争与合规之间寻求平衡，而EDPB的Europrivacy扩展则为国际数据传输提供了新的合规路径。对于云服务商和跨国企业而言，现在必须面对一个分裂的全球监管环境：在欧盟需要证明技术主权，在英国需要承诺互操作性，在数据传输中需要获得Europrivacy认证。那些能够构建”合规架构”——即能够动态调整以适应不同监管要求的云原生架构——的企业，将在全球市场中获得显著的竞争优势。同时，政策制定者也需要思考：监管碎片化是否会阻碍技术创新？如何在保护主权与促进全球互联互通之间找到平衡点？