政策动态：欧盟Tech Sovereignty Package将重塑云计算格局

欧盟即将于5月27日发布的Tech Sovereignty Package正在引发全球云计算行业的广泛关注。该方案的核心是Cloud and AI Development Act（CAIDA），预计将对美国云服务商在欧盟敏感数据市场的地位产生重大影响，同时微软涉嫌向美国政府泄露荷兰公务员数据的事件进一步加剧了欧盟对数字主权的担忧。

主要新闻

欧盟Tech Sovereignty Package即将发布：限制美国云服务处理政府敏感数据

欧盟委员会预计于5月27日发布Tech Sovereignty Package，据CNBC报道，该方案将提议限制成员国政府使用美国云平台处理敏感数据。提案不会完全禁止海外云平台参与政府采购，但会根据数据敏感级别限制其在公共卫生、金融和司法系统等领域的应用。该方案还包括Cloud and AI Development Act（CAIDA）和Chips Act 2.0，目标是在2027年第四季度前完成立法。

这一政策转变的背景是日益紧张的跨大西洋关系以及对US CLOUD Act的担忧——该法案允许美国执法机构强制美国公司提供存储在任何地点的用户数据，且在Schrems II判决后一直是欧盟数据保护领域的核心争议。

Source: EU Mulls Restricting Use of US Cloud for Sensitive Government Data

微软被指控向美国政府泄露荷兰公务员姓名

据Vrij Nederland报道，微软据称向美国众议院分享了荷兰两个监管机构（消费者与市场管理局ACM和荷兰数据保护局AP）公务员的姓名。这些公务员参与《数字服务法案》（DSA）的实施工作，美国政府认为该法案构成审查制度。微软共享了包含未打码姓名的电子邮件、会议纪要和邀请函。荷兰数字经济和主权国务秘书Willemijn Aerdts已就此问题与美国大使Joe Popolo进行了交涉。

Source: Microsoft Accused of Leaking Dutch Civil Servants’ Names to US Government

AWS欧洲主权云迎来首批客户

Amazon Web Services开始公开其欧洲主权云（ESC）的首批客户名单，包括医院、信用机构和智能电表公司等。ESC作为物理和逻辑隔离的欧盟基础设施，于2026年1月正式可用。然而，Forrester分析师指出，ESC虽然是完全隔离的独立基础设施且由德国独立法人实体运营，但其所有权仍属于美国母公司——这限制了其对CLOUD Act的免疫力。批评者认为真正的数据主权需要独立于所有权的技术架构保障，而不仅仅是合同承诺。

Source: AWS Showcases Early Adopters of European Sovereign Cloud

CAIDA的两种路径：排他性vs风险基础

围绕CAIDA的立法辩论呈现出两种路径。由CISPE协调的25家欧洲云CEO和法国政府推动采用欧洲国防基金式的”有效控制”标准，包括为欧洲供应商预留采购份额、排除受域外法律约束的供应商。而北欧、波罗的海国家和荷兰则支持基于风险评估的方法，主张将限制集中在敏感公共部门数据，而非全面排斥。

Source: Build AI, Don’t Block Access: The EU’s Digital Sovereignty Trap

德国主权云认证体系升级

德国联邦信息安全办公室（BSI）的C5云计算合规标准正成为德国受监管市场的基本门槛。新的C3A框架代表德国主权云要求的下一代标准，对政府及关键基础设施运营商的最敏感工作负载提出了更高要求。Thales-Google Cloud合资企业正在开发符合新标准的解决方案。

Source: Sovereign Cloud Becomes Strategic for European Enterprises

分析

欧盟Tech Sovereignty Package代表了自GDPR以来对云计算行业最具影响力的政策转变。与GDPR专注于个人数据保护不同，Tech Sovereignty Package具有明确的地缘政治色彩——其核心动机是减少对非欧盟技术供应商的战略依赖，特别是在美国CLOUD Act允许美国政府获取境外数据的背景下。

从实施角度看，CAIDA面临三个核心张力。第一是效率与主权的权衡——完全排除美国云服务商可能导致成本上升和技术能力下降。第二是定义的争议——”主权云”究竟意味着物理隔离、独立所有权、运营控制还是法律管辖权？不同的定义将导致完全不同的市场格局。第三是成员国分歧——法国和北欧国家在排他性程度上的分歧可能影响最终立法的力度。

微软泄密事件为CAIDA的推进提供了现实案例支持，证明CLOUD Act的风险不是理论上的。对于在欧盟运营的企业而言，不论CAIDA最终采用何种路径，主权云能力的建设都不再是可选而是必需。

结论

欧盟数字主权立法正在从政策讨论走向实际的法律框架。企业应提前评估自身的云依赖结构，建立数据驻留的技术和合同保障能力，并密切关注5月27日Tech Sovereignty Package的具体条款。无论最终立法如何，跨大西洋数字基础设施的格局正在发生根本性变化。