政策动态：英国将云巨头列为关键第三方与EU云法案推进
政策动态：英国将云巨头列为关键第三方与EU云法案推进
全球云治理政策迎来密集发布。英国正式将Microsoft、Google Cloud、AWS和Oracle列为金融系统关键第三方，监管机构获得直接监督权。欧盟推进Cloud and AI Development Act (CADA)，建立四层主权框架。菲律宾签署行政命令119，建立政府数据分类和数据驻留框架。
主要新闻
英国将四大云提供商列为金融系统关键第三方
英国财政部依据《2023年金融服务与市场法》(FSMA 2023)正式将Microsoft Ireland Operations Ltd、Google Cloud EMEA Ltd、Amazon Web Services EMEA SARL和Oracle Corporation UK Ltd列为金融系统关键第三方(CTP)。 designate于7月13日生效，英格兰银行、审慎监管局(PRA)和金融行为监管局(FCA)首次获得对云提供商的直接监督权。监管机构可要求提供商进行弹性测试、提交定期自我评估、报告重大事件并按需提供信息。该制度设计为比例性原则——针对提供商向金融部门提供的系统性服务，而非其所有产品线。此前，监管机构只能通过银行、保险公司和支付公司间接监督云提供商。
Source: The Critical Third Parties (Designation) Regulations 2026
欧盟推进Cloud and AI Development Act主权框架
欧盟委员会提出的Cloud and AI Development Act (CADA)作为技术主权包装(ETSP)的核心组成部分，建立四层主权框架，根据外部控制或干预风险对云和AI服务进行分类。更高层级要求更强的欧盟管辖控制保证、独立于第三国法律和供应链自主权。CADA将所有权、建立地和管辖权嵌入主权分类系统，该分类决定采购资格。然而，分析人士建议从”提供商身份模型”转向”基于风险的主权框架”，将所有权标准与技术、运营控制相结合，而非仅以提供商国籍作为决定性因素。该框架与欧盟网络安全法2.0和DORA形成互补。
菲律宾签署EO 119建立政府数据分类和驻留框架
菲律宾总统马科斯签署行政命令119，更新政府数据分类规则并建立数据驻留框架。该命令将政府信息分为受限访问数据（绝密、秘密、机密、受限）和开放访问数据两类。绝密和秘密数据必须存储在菲律宾境内或主权控制设施内；机密数据原则上限制在境内，但经审批可存储于境外；受限和开放数据可使用安全云平台。该命令创建数据分类联合监督委员会(JOC-DC)，由DICT和国家安全委员会共同主持。三年过渡期要求：第一年完成数据清点和初步分类，第二年实现绝密和秘密数据完全合规，第三年实现所有分类完全合规。
Source: President Marcos Signs EO 119
分析
英国CTP制度的正式生效标志着云治理进入”直接监管”时代。此前的间接监管模式（通过银行监管云供应商关系）在面对系统性依赖时显得不足——单一提供商中断不再影响单个企业，而是可能同时波及数十家银行、保险公司和支付服务。FSMA 2023创建的CTP制度填补了这一监管空白。值得注意的是，英国选择从四家提供商起步且未设定法定上限，表明该制度将随依赖关系演变而扩展。与欧盟DORA框架（指定19家关键ICT第三方）相比，英国方法更窄但更灵活。对云提供商而言，这意味着需要建立直接与金融监管机构沟通的机制，而非仅通过客户间接对接。对金融企业而言，CTP制度不改变其第三方风险管理责任，但提高了对云依赖进行治理的期望。
欧盟CADA的推进则揭示了数字主权政策的核心张力——如何在安全与创新之间取得平衡。CADA的四层主权框架将管辖权、所有权和供应链自主权嵌入采购资格决定因素，这在理论上保护了欧洲数字基础设施，但在实践中可能导致过度排除非欧洲提供商。分析人士提出的”基于风险的主权框架”建议——将所有权标准与技术控制相结合，而非仅以提供商国籍为决定因素——代表了一种更务实的路径。该框架与GDPR的域外效力形成有趣对照：GDPR适用于非欧盟实体，CADA则可能因过度关注提供商国籍而低估更广泛的域外法律暴露现实。
菲律宾EO 119则代表了新兴市场在数据主权政策上的务实选择。与绝对数据本地化不同，菲律宾采用风险分级方法——最敏感数据强制本地存储，低敏感度数据可使用全球云平台。这种方法既保护了国家安全，又避免了阻碍云技术采用和数字投资。三年过渡期和JOC-DC的设立体现了实施的渐进性和治理的制度化。
结论
全球云治理政策正在从”原则性宣言”转向”操作性规则”。英国CTP制度的直接监管权、CADA的四层主权框架、菲律宾的风险分级数据驻留，共同表明各国政府正在将云基础设施视为关键国家基础设施并建立相应的治理机制。从业者应密切关注英国CTP制度对云提供商服务模式的影响，评估CADA主权框架对欧洲市场准入的影响，并关注新兴市场数据驻留政策的演进。云治理的下一阶段将围绕”直接监管”、”风险分级”和”主权平衡”三个核心议题展开。