政策动态：欧盟技术主权方案法律框架深度解析、CIRCIA最终规则前最后公听会6月18日举行

欧盟委员会于6月3日发布的《欧洲技术主权方案》正在全球数字治理领域引发深远讨论。法律学者和政策分析师对该方案进行了深度解析，同时美国CISA的CIRCIA规则制定进入最后阶段，最后一场IT行业公听会定于6月18日举行。

主要新闻 (Main News)

欧盟CADA法案主权评估框架深度解析

欧盟委员会于6月3日正式发布《云与AI发展法案》（CADA），其中核心要素是四级云主权评估框架（Title IV，第16-30条）。法律分析指出，CADA将”数字主权”从修辞性口号转化为可操作、可审计、可执行的法律标准。四级评估框架的核心要求包括：

• Level 1：要求在欧盟设立机构、基础设施和数据位于欧盟、客户数据（包括元数据和遥测）仅限欧盟、先进网络安全标准、完整的分包商透明度，以及确保无第三国法律要求提供商在外国权力知晓前报告软件漏洞。
• Level 2：增加独立审计、允许成员国要求人员审查和欧盟公民身份、获得”实质性”欧洲网络安全证书、禁止使用客户数据训练或微调第三方实体运营的AI系统。
• Level 3：要求提供商和分包商”不受第三国控制”——人员须为欧盟公民（处理机密信息时需国家安全许可）、支持须完全在欧盟境内执行。存在狭窄的豁免条件，但需通过欧盟委员会实施法案证明技术、法律和组织上的独立性。
• Level 4：适用于最敏感的使用场景。

第29条和第30条赋予了该框架的强制力：成员国和欧盟实体须在生效后一年内（此后每两年一次）进行风险评估，确定哪些公共活动需要Level 2-4级别的服务。公共机构的采购义务由此产生——对于被认定为公共秩序关键的活动，”只能采购”相应等级的服务。

Source: Operationalising Digital Sovereignty in the EU

CISA公布CIRCIA最终规则最后公听会：6月18日IT行业专场

美国网络安全和基础设施安全局（CISA）发布修订后的《关键基础设施网络事件报告法案》（CIRCIA）最终规则制定时间表。最后一场虚拟公听会——IT行业专场——定于6月18日举行，注册截止日期为6月16日。此后CISA将不再进行结构化利益相关方参与，直接定稿最终规则。关键要求包括：覆盖实体须在合理相信事件发生后72小时内向CISA报告重大网络事件，24小时内报告勒索软件支付情况。云基础设施提供商（年收入超过4000万美元）和联邦政府IT承包商（无论规模）均被视为覆盖实体。AI平台和模型托管公司因多个标准可能同时被覆盖。

Source: CIRCIA June 18: Last Call for Cloud

CADA与现有欧盟法律体系的协调

欧盟网络法律政策博客详细分析了CADA如何与GDPR、NIS2、DORA、AI Act、数据法案和网络安全法案修订版（CSA2）协调。关键发现：NIS2”完全聚焦于技术网络安全而非更广泛的主权考量”，因此CADA与NIS2被设计为正交的——NIS2问”服务是否安全”，CADA问”服务是否主权（免受第三国法律和管辖权的影响）”。欧盟网络安全认证计划（EUCS）——已因主权要求问题搁置多年——将借助CSA2的立法进程重新启动。CADA还明确与数据法案的云切换和互操作性条款协调，将数据法案视为”使能者”（消除锁定效应，使用户可迁移到欧盟提供商）。

Source: EU Internet Law & Policy Blog: Operationalising Digital Sovereignty

欧盟开源战略与芯片法案2.0同步发布

欧盟委员会同步发布《欧盟开源战略》和《芯片法案2.0》作为技术主权方案的一部分。开源战略旨在通过开源软件减少全技术栈依赖，特别关注网络安全领域——包括开源网络威胁情报框架、漏洞协调和披露工具。芯片法案2.0从”建厂”转向”刺激需求+保障设计能力”，涵盖了从先进AI芯片到成熟制程的全系列半导体需求。欧盟委员会主席冯德莱恩表示：”我们不能依赖其他国家来保障医院运转、能源网稳定和服务安全。”

Source: Communication on European Tech Sovereignty, accompanied by an EU Open Source Strategy

分析 (Analysis)

本周欧盟CADA立法的法律框架解析揭示了其更深远的行业影响。与GDPR的”数据保护”定位不同，CADA的定位是”技术主权”——它以采购法为工具，将主权评估嵌入到公共部门云采购的每个环节。CADA的核心创新在于它将”不受第三国控制”这一地缘政治概念法律化、可审计化。Level 3要求提供商”不受第三国控制或第三国法律实体的控制”——由于美国Cloud Act允许美国执法机构索取美国公司（无论数据存储地点）的用户数据，AWS、Microsoft Azure和Google Cloud在Level 3和Level 4上面临结构性障碍。欧盟高级技术政策官员Henna Virkkunen明确表示：”对于美国，由于Cloud Act的存在，其公司很难达到Level 3。”

CIRCIA的最终规则制定也处于关键的窗口期。72小时报告窗口和24小时勒索软件支付报告要求在操作层面存在显著挑战——特别是当多云和AI平台同时受SEC网络安全披露规则、HIPAA和州级数据泄露通知法的共同管辖时。CISA虽然承诺推动”一次报告，满足多项”的协调机制，但多个报告框架的同时适用是IT行业面临的首要操作挑战。

两个监管框架——欧盟的CADA和美国的CIRCIA——从不同方向影响着全球云和AI市场的治理格局。欧盟通过主权要求构建技术自给能力，美国通过事件报告要求深化安全监管。两者共同结果是对云和AI提供商的合规成本施加持续上行压力，这可能加速行业整合。

结论 (Conclusion)

全球数字治理正在从”建议性框架”转向”强制性法律规则”。欧盟CADA通过采购法强制主权评估，美国CIRCIA通过事件报告强制安全合规，两条路径分别从不同角度重构云和AI市场的竞争规则。对于跨国云和AI提供商而言，同时满足欧盟四级主权框架、美国CIRCIA 72小时报告窗口、以及各国数据本地化要求的能力将决定其市场准入资格。合规能力将成为与技术和价格同等重要的核心竞争力。

Generated on June 8, 2026