政策动态：EU云规则草案限制美科技巨头参与战略招标、欧盟技术主权一揽子方案即将公布与FedRAMP CR26公开预览

本周全球云计算政策领域迎来重大突破：欧盟起草严格云服务标准，拟限制Amazon、Microsoft和Google参与敏感政府招标；欧盟委员会将于周三公布全面技术主权一揽子方案；FedRAMP发布2026统一规则公开预览版；欧盟主权云框架正式发布详细评分标准。

主要新闻

EU云规则草案：拟限制美科技巨头参与战略招标

根据路透社独家获得的欧盟委员会草案文件，欧盟计划为高度关键的国家招标中的云服务制定严格标准，可能将Amazon、Microsoft和Google排除在敏感项目之外。该提案是欧盟《云与AI发展法案》（Cloud and AI Development Act，CADA）的核心组成部分，由欧盟技术主权专员Henna Virkkunen于周三公布。提案引入强制性”非价格”评估标准，包括要求软件和硬件在欧盟境内开发，这将显著不利于美国科技巨头。其他选择标准包括数据保护水平、第三国对数据和服务的控制程度、以及云服务市场的开放程度。提案还赋予欧盟委员会作为中央采购机构的角色，为成员国和机构集中采购数据中心、云服务和AI系统。

Source: Exclusive-EU cloud rules to curb Big Tech’s access to strategic tenders - Reuters via CNA

欧盟技术主权一揽子方案全景：CADA与芯片法案2.0

POLITICO深度报道了欧盟即将公布的技术主权一揽子方案的完整图景。该方案是欧盟对美欧数字依赖关系的一次系统性反思，核心驱动因素包括：拜登政府卸任前对AI芯片出口的限制、美国《云法案》允许执法机构访问海外存储数据、以及特朗普对格陵兰岛的吞并威胁引发欧洲对数字基础设施安全的普遍担忧。方案的核心内容涵盖三大支柱：推进研究和创新、为数据中心投资创造条件、确保欧盟主权云和AI计算能力。值得注意的是，方案虽强调技术主权，但措辞谨慎，避免明确针对美国公司——”技术主权仍然基于开放、伙伴关系和公平竞争，不等于孤立、保护主义或技术脱钩”。

Source: How Trump supercharged the EU’s tech independence push - POLITICO

欧盟主权云框架详细评分标准公布

欧盟委员会正式公布了主权云框架的详细说明，该框架于4月授予了四家欧洲供应商1.8亿欧元的主权云合同。框架引入两个互补的评分维度：主权效能保证水平（SEAL），评估供应商是否达到定义的主权和韧性阈值（SEAL-2数据主权、SEAL-3技术自主、SEAL-4完全主权）；以及基于48项具体标准的总体主权评分，涵盖战略、法律与管辖权、数据与AI、运营、供应链、技术、安全与合规、环境可持续性八大类别。该框架旨在为整个欧盟公共部门的安全合规云采用树立基准。

Source: Sovereign Cloud Framework explained - European Commission

FedRAMP发布2026统一规则公开预览版

美国联邦风险和授权管理计划（FedRAMP）发布2026统一规则公开预览版，建立了一套适用于2026-2028年的标准化指导和期望框架。目前FedRAMP市场已有519个经认证的云服务，其中28个通过FedRAMP 20x认证，过去30天内新增了Lexis+ for Government、Datadog for Government、Verkada Command Platform等多项服务。FedRAMP Rev 5社区更新会议定于6月3日举行。CR26的标准化将显著降低云服务提供商和机构的合规复杂度。

Source: FedRAMP Consolidated Rules for 2026 Public Preview - FedRAMP.gov

分析

欧盟云规则草案是跨大西洋数字关系的一个分水岭。过去欧盟对美科技巨头的监管主要通过反垄断、数据保护和数字市场法案等横向工具，而CADA的云规则则是第一次在公共采购领域实施纵向的”技术国籍筛选”。背后的逻辑是：在银行、医疗、能源等关键领域的政府数据上，美国《云法案》赋予美国执法机构超越欧盟法律的数据访问权，这构成了不可接受的主权风险。63%的欧洲云市场由三家美国公司控制，欧盟的目标是在5-7年内将这一比例显著降低。

但方案面临的内在张力不可忽视。一方面，欧盟需要美国在AI供应链安全方面合作——方案甚至提议加入美国主导的Pax Silica AI供应链安全联盟。另一方面，方案又试图限制美国云服务在敏感领域的准入。这种”既要竞争又要合作”的矛盾将在成员国和美国政府的博弈中持续演进。工业界警告过度限制将推高成本和拖慢数字化转型。

FedRAMP CR26与欧盟主权云框架形成了有趣的对照。两者都在追求云安全的标准化和可移植性，但驱动逻辑不同：FedRAMP更关注跨机构的安全一致性，欧盟更关注地缘政治层面的主权独立。对跨国企业而言，这意味着需要同时满足两套不断趋严的合规标准——即”既是安全合规问题，也是供应链韧性问题”。

结论

欧盟CADA云规则草案标志着全球云计算治理从”技术标准竞争”进入”地缘政治主权竞争”的新阶段；FedRAMP CR26通过标准化降低了美国联邦云安全合规的复杂度；欧盟主权云框架提供了可操作的数字化主权评估方法论。对于在欧美两地运营的云服务商和跨国企业，2026-2027年将是双轨合规成本显著上升的时期——建议在Q3完成对FedRAMP Rev 5和EU主权云框架的双重合规差距分析，并评估对中国供应链依赖的替代方案。