政策动态：新加坡云安全强制法规与波兰技术主权采购测试

全球云治理与技术主权政策持续推进。新加坡发布自2022年以来最全面的关键基础设施网络安全法规更新，要求所有董事会成员对网络安全负责，并首次为公共云托管的关键系统制定强制性安全准则，与AWS、Google Cloud和Microsoft Azure合作制定实施指南。波兰宣布为大型公共IT采购制定技术主权测试，评估国家对系统架构的控制权、AI模型权重的所有权和访问权、供应商锁定风险以及数据主权。美国GAO报告指出联邦机构仍面临过时采购规则和冲突性指导阻碍云采纳。

主要新闻

新加坡发布关键基础设施云安全强制法规

新加坡数字发展与信息部长Josephine Teo在OTCEP论坛2026上宣布最全面的网络安全法规更新。核心变化包括：所有关键信息基础设施(CII)运营商的整个董事会（而非仅一名董事）必须对网络安全负责，需维护书面网络弹性框架并至少每年审查一次；CII运营商必须获得最高级别Cyber Trust Mark Level 5认证（涵盖22个网络安全领域，包括云安全、OT安全和AI安全）；即将发布的《网络安全准则（云服务）》是新加坡首次为公共云托管的关键基础设施制定强制性安全标准。CSA与AWS、Google Cloud和Microsoft Azure合作制定各云平台特定的伴侣指南，将安全准则转化为各超大规模云平台的具体实施指令。CII审计员和持牌网络安全服务商须在2026年12月31日前合规。

Source: Singapore tightens rules governing critical services sectors

波兰制定公共IT采购技术主权测试

波兰总理Donald Tusk宣布为大型公共部门技术采购制定技术主权测试。核心内容：500万兹罗提（约100万英镑）以上的技术采购和1500万兹罗提以上的基础设施项目须通过评估，涵盖国家对系统架构的控制权、AI模型权重的所有权和访问权、迁移能力、无供应商锁定、数据主权五个标准。波兰云协会和Polska Sieć Ekonomii发布的《数字国家理由》蓝图提出了具体阈值和测试标准。该测试尚无法律草案、命名法规或实施日期，但信号意义明确：公共资金不应购买依赖。值得注意的是，波兰旗舰国家云Operator Chmury Krajowej基于与Google Cloud和Microsoft Azure的战略合作伙伴关系构建，按拟议的管辖权标准将面临审查。

Source: Poland technological sovereignty test for public IT tenders

美国GAO：过时规则与冲突指导阻碍联邦云采纳

美国政府问责办公室(GAO)报告指出，联邦机构在获取和管理云计算服务时面临持续挑战。17个机构报告云成本管理困难，17个机构引用OMB和NIST冲突性指导，15个机构指出FAR要求过时。FAR仍缺乏云计算定义，依赖20年前的IT定义，使用与云产品不匹配的商业产品和服务定义。GAO建议国会考虑更新FAR中的云相关定义，GSA要求机构实施FinOps实践，DHS发布额外SBOM实施指导。

Source: GAO: Outdated Rules, Conflicting Guidance Hinder Federal Cloud Adoption

分析

新加坡的云安全法规代表了关键基础设施云治理的最新范式——”从原则到技术实施”。与以往不同的是，新加坡不仅发布安全准则，还与三大超大规模云平台直接合作制定各平台特定的伴侣指南。这种方法将模糊的合规要求转化为明确的实施指令，从根本上消除了”什么意味着合规”的歧义。董事会全员责任制是一项重大变化——将网络安全从IT部门职责提升为董事会治理义务，这将显著改变CII组织的网络安全投资优先级。该框架的发布时间线紧迫（审计员2026年12月、CII所有者2027年12月），表明新加坡在2024年UNC3886攻击事件后对安全监管的决心。

波兰的技术主权测试在概念上与欧盟CADA框架一脉相承，但更加激进——它将评估标准从供应商国籍扩展到AI模型权重控制权。”模型权重所有权”作为主权标准是一个新颖且有争议的要素，因为拥有最佳模型的供应商恰恰是不会交出权重的那一批。波兰的讽刺之处在于其国家云本身建立在Google Cloud和Microsoft Azure之上，这暴露了过去十年欧洲主权云倡议”通过合作陷入依赖”的困境。目前缺乏法律形式意味着测试仍为咨询性质，但原则已明确：公共资金不应购买依赖。

美国GAO的报告则揭示了另一个维度的问题——即使在政策意图明确的情况下，过时的采购法规和冲突的监管指导仍可能实质性阻碍云采纳。FAR缺乏云计算定义这一事实在2026年显得尤为荒谬，这表明监管更新的速度可能落后于技术采用速度数年。

结论

全球云治理正在从”原则性声明”演进为”技术性控制”。新加坡通过云平台伴侣指南将合规要求转化为具体实施指令，波兰通过采购测试将主权原则转化为决策条件，美国通过GAO审计暴露监管基础设施的技术债务。从业者应关注三个关键发展：新加坡Cyber Trust Mark Level 5认证对云安全产品需求的影响、波兰主权测试从咨询到法规的转化时间表、以及美国FAR云定义更新对联邦采购的潜在影响。云治理的下一阶段将围绕”技术实施”、”采购杠杆”和”监管现代化”展开。