政策动态：欧盟拟限制美国云服务商处理敏感政府数据，技术主权法案进入倒计时

欧盟技术主权立法进入关键阶段，即将于5月27日发布的”技术主权一揽子方案”预计将限制美国云服务商处理欧洲敏感政府数据的能力，同时FedRAMP授权法案持续推动美国联邦云安全现代化进程。

主要新闻

欧盟拟限制美国云服务商在欧洲敏感政府数据领域的应用

据CNBC报道，欧盟委员会正在讨论提案，拟限制其成员国政府使用美国云提供商处理敏感数据。作为将于5月27日发布的”技术主权一揽子方案”的一部分，该提案将界定必须在欧洲云基础设施上托管的行业领域。提案不会完全禁止海外公司参与政府合同，但会根据数据敏感程度限制其在公共部门组织中的使用。欧盟官员特别指出，金融、司法和健康数据可能需要最高级别的主权云基础设施。

Source: EU mulls restricting use of U.S. cloud for sensitive government data

欧盟官员警告：云法案将防止欧洲成为技术”殖民地”

POLITICO报道称，欧盟委员会高级官员Rupert Kleiner明确表示，即将出台的《云与AI发展法案》（CADA）旨在确保欧洲不会成为技术”殖民地”。法案将纳入技术主权一揽子方案，鼓励通过公共采购优先选择欧洲云厂商。Kleiner承认一揽子方案面临”非常有效的游说”，部分势力主张放弃美国技术”太困难、太昂贵”。

Source: Cloud law will stop Europe becoming tech ‘colony’

欧盟发布云主权框架，定义完整评估体系

欧盟委员会正式发布云主权框架（Cloud Sovereignty Framework）1.2.1版，定义了从SEAL-0（无主权）到SEAL-4（完全数字主权）五个级别的安全保证等级评估体系。该框架涵盖战略、法律、运营和技术四个维度，权重最高的主权目标是供应链主权（20%）和战略主权（15%）。框架借鉴了Gaia-X、法国”可信云”和德国”主权云”等国家和行业标准。

Source: Cloud Sovereignty Framework

FedRAMP授权法案持续推进现代化

FedRAMP项目发布了实施FedRAMP授权法案的最终系列提案，包括六项征求意见稿（RFC），涵盖独立评估成本报告、授权等级体系、新”快速试点”授权路径等关键改革。其中RFC 0023提案要求云服务商提供机器可读的授权数据，RFC 0024提出逐步取消FedRAMP Ready状态。这些改革旨在减少重复授权、降低中小企业参与门槛。

Source: Realizing the FedRAMP Authorization Act

欧盟扩大DMA对云和AI服务的监管范围

欧盟委员会正在扩大《数字市场法案》（DMA）对云和AI服务的监管范围，评估亚马逊和微软是否应被指定为云服务领域的”守门人”。此举是DMA适用于数字服务基础设施市场的更广泛评估的一部分，将影响欧盟内超大规模云服务商的运营模式。

Source: AI cloud regulation in EU widens under Digital Markets Act

分析

欧盟技术主权一揽子方案的推进标志着全球云计算市场的地缘政治格局正在发生结构性转变。从技术角度看，SEAL评估体系的引入意味着”云主权”不再是模糊的政治口号，而是具有可量化、可审计的技术标准。这对于在欧盟运营的非欧洲云服务商意味着巨大的合规成本增加——不仅需要满足GDPR、NIS2和DORA等现有法规，还需要在供应链、运营和法律管辖权层面提供透明度。

值得注意的是，欧盟的做法与美国FedRAMP形成了有趣的对照。两者都在推动云安全的标准化和现代化，但出发点和目标不同。FedRAMP关注的是安全评估的一致性和效率，本质上是技术性的；而欧盟的CADA和云主权框架兼具技术标准和产业政策双重属性，目标是构建欧洲自主的云计算能力。这种差异反映了两大经济体在数字领域的根本性分歧。

法案政治博弈的复杂性也不容忽视。欧盟官员承认面临”非常有效的游说”，法国Thales与Google Cloud的合资企业获得1.8亿欧元主权云合同，说明”主权”的界定和执行在实际操作中充满妥协。欧洲产业界既希望减少对美国云的依赖，又不愿失去超大规模云服务商的技术优势和规模效应。

结论

欧盟技术主权一揽子方案将在未来12个月重塑欧洲云计算市场格局。美国云服务商在欧盟政府业务中的市场份额将面临压力，但完全脱钩的可能性较低。企业应密切关注五点：SEAL评估体系的具体应用方式、CADA中对敏感数据的定义范围、公共采购中的本地偏好条款、DMA对超大规模云服务商的监管标准、以及美欧在数据跨境流动方面的进一步博弈。