政策动态：欧盟拟限制美国云服务处理敏感政府数据，FedRAMP发布2026合并规则

本周全球云计算监管格局出现重大动向。欧盟委员会正酝酿在其”技术主权一揽子计划”中限制美国云服务提供商处理欧盟成员国政府的敏感数据；FedRAMP发布2026年合并规则公开预览版，重构美国联邦政府云安全认证体系。数据主权和云安全合规正在成为全球企业面临的核心挑战。

主要新闻

欧盟拟在技术主权一揽子计划中限制美国云服务

据CNBC援引消息人士报道，欧盟委员会正在讨论限制成员国政府使用美国云平台处理敏感数据的规则。该措施将作为5月27日公布的”技术主权一揽子计划”的一部分，包含《云与AI发展法案》（CADA）和《芯片法案2.0》。规则不会完全禁止美国公司参与政府合同，但会根据数据敏感程度限制其使用——金融、司法和健康领域的政府数据将要求使用”主权云基础设施”。欧盟官员指出，受2018年美国CLOUD Act影响，美国执法机构可要求美国公司提供数据，无论数据存储地点。一揽子计划需获得全部27个成员国的批准。

Source: EU mulls restricting use of U.S. cloud for sensitive government data

欧洲业界担忧美国云服务”后门”问题

据Politico报道，欧洲企业界对欧盟云法律草案表示担忧，认为该法律可能在实际上为美国科技巨头”打开后门”。欧盟委员会正在制定的《云与AI发展法案》旨在减少对外国技术的依赖，但业界担心布鲁塞尔不会严格执行对美国公司的限制。欧盟委员会最近向四个欧洲主权云项目授予了1.8亿欧元合同，其中包括法国泰雷兹与Google Cloud的合资企业，这进一步加剧了业界对”主权”定义的质疑。欧洲数字权利组织指出，只要欧盟机构继续使用美国技术栈，”主权”就难以真正实现。

Source: European industry fears ‘back door’ for US in cloud law

FedRAMP发布2026年合并规则公开预览版

美国联邦风险和授权管理计划（FedRAMP）发布了2026年合并规则的公开预览版，将在6月底前最终定稿。新规则建立了2026-2028年间的标准化指南框架，明确规定了现有多版本FedRAMP认证变更的规则和时间表。关键变化包括：从FedRAMP提供模板转向机器可读的结构化要求格式；将市场影响等级转换为”类别”体系；推出FedRAMP 20x新认证路径。新规将于7月生效，过渡期至2027年1月1日。FedRAMP表示目标是通过标准化减少云服务提供商的不确定性。

Source: Public Preview of the Consolidated Rules for 2026

法国发布敏感数据云保护法令，加强数据本地化要求

法国总理签署了第2026-272号法令，关于国家行政部门、运营商和公共利益机构委托私有云服务提供商处理的”特别敏感数据”的保护。该法令于2026年4月17日生效，实施了2024年《数字空间安全和监管法案》第31条，对云服务提供商提出了严格的数据本地化要求。法国政府内部也在扩大使用自研视频会议平台”Visio”，减少对美国技术的依赖。

Source: Decree No. 2026-272 on sensitive data protection in cloud services

分析

本周的云计算监管动态呈现出两个核心趋势：数据主权从”理论”走向”执行”。欧盟委员会5月27日的技术主权一揽子计划将是一个标志性事件——这是欧盟首次将数据主权从合同条款和隐私声明转化为实际的政府采购限制。2018年美国CLOUD Act是这一转变的根本催化剂：无论数据存放在法兰克福还是都柏林，只要使用美国云服务，美国执法机构就有权要求访问。

欧盟面临的挑战是执行层面的矛盾。一方面，欧洲需要培育本土云服务生态；另一方面，美国三大云厂商（AWS、Azure、GCP）在欧洲市场份额超过65%，短期内难以替代。1.8亿欧元合同中的”泰雷兹-Google Cloud合作”就反映了这一尴尬——欧洲的”主权云”仍依赖美国技术。业界对”后门”的担忧正是基于这一现实。

FedRAMP的合并规则改革同样值得关注。从模板导向转向机器可读的结构化要求，这是一个根本性的方法论变革。这意味着云安全认证将更加自动化和标准化，但也对服务商的技术能力提出了更高要求。对于面向美国联邦市场的云服务商，2026年下半年将是转型的关键窗口期。

法国的第2026-272号法令代表了国家层面的”提前行动”。在欧盟层面规则尚未落地之前，法国已经通过国内立法对政府云采购施加了新的限制。这种”国家先行、欧盟跟上”的模式可能成为其他成员国的模板，尤其是德国、荷兰和北欧国家。

结论

2026年5月，全球云计算监管进入深度调整期。欧盟的技术主权一揽子计划可能从根本上改变欧盟政府云市场的竞争格局，FedRAMP的改革将影响美国联邦云采购的效率，法国的先行立法则为其他国家提供了参考模板。对于跨国企业的合规团队，核心建议是：建立多云和数据主权风险评估体系，关注欧盟5月27日一揽子计划的最终细节，提前评估FedRAMP 20x新认证路径的采纳计划。