政策动态：英国将微软、谷歌、AWS、甲骨文列为金融关键第三方，欧盟CADA法案聚焦云与AI主权

过去24小时，数字基础设施监管领域迎来两项重要政策动向。英国财政部将微软（Microsoft）、谷歌（Google）、亚马逊AWS、甲骨文（Oracle）四家云服务商指定为”金融关键第三方”（Critical Third Parties to the financial sector），要求其遵守更严格的财务韧性和运营保障规则；欧盟《云与AI发展法案》（Cloud and AI Development Act，CADA）进一步明确数字主权框架，预计2029年生效，旨在提升欧盟云与AI能力并强化公共部门采购中的主权要求。这些政策反映出各国正通过监管手段应对云基础设施”关键性”带来的系统性风险，并重塑数字主权竞争格局。

主要新闻

英国将四大云厂商列为金融关键第三方

英国政府正式将微软、谷歌、AWS、甲骨文四家主要云服务提供商指定为金融关键第三方（CTPs）。根据此项指定，这些云厂商将面临更严格的监管要求，包括强化业务连续性和灾难恢复计划、完善运营韧性保障措施、提升透明度等，旨在降低金融机构过度依赖少数云供应商所带来的系统性风险。

英国财政部此举延续了其自2022年《金融服务和市场法案》（FSMA 2023相关改革）以来强化关键第三方监管的思路。金融稳定理事会（FSB）等国际机构此前已多次警示：少数超大规模云服务商对金融体系构成”单点故障”式依赖。英国选择直接将头部云厂商纳入CTP监管框架，意味着监管范围从金融机构自身扩展到其关键技术供应商。

Source: UK Treasury Places Microsoft, Google, AWS and Oracle Under New Financial Resilience Rules

欧盟CADA法案：构建云与AI主权框架

欧盟《云与AI发展法案》（CADA）已于2026年6月通过，预计将于2029年生效。该法案是欧盟”技术主权四支柱”（EU Tech Sovereignty Package）中的云与AI组成部分，其他三支柱分别聚焦半导体（Chips Act 2.0）、开源生态（EU Open Source Strategy）以及能源领域数字化与AI（Strategic Roadmap for Digitalisation and AI in Energy）。

CADA的核心是建立面向欧盟公共部门云服务采购的”数字主权框架”，并将主权要求量化为四个保障等级（assurance levels）：

• Level 1（基础）：提供商须在欧盟设立实体，数据在欧盟境内存储和处理。可自我认证。
• Level 2及以上：需向成员国主管部门提交审计文档，证明符合更严格要求。要求欧盟运营与第三国子公司在法律、技术、组织上实现隔离。
• Level 3及以上：要求供应链透明，关键环节受欧盟控制。
• Level 4（最高）：要求提供商完全由欧盟实体所有和控制，核心人员具备欧盟公民身份并满足安全审查要求，软件供应链实现全面透明且无第三国干预。

框架还将NIS2指令和《网络安全法案》（Cybersecurity Act）纳入采购评估流程。CADA明确不禁止非欧盟厂商参与，但要达到较高级别，外资超大规模云厂商需进行实质性重组（治理、人员、供应链等）。

此外，CADA设有扶持中小企业的机制（Level 1可自我认证），但业内人士担忧较高级别的合规成本对中小厂商而言仍较高。法案目标是提升欧盟本土云与AI创新能力、增加欧盟数据中心容量，并促进市场多元化，减少对少数非欧盟厂商的过度依赖。

Source: Understand the Cloud and AI Development Act (CADA) Digital Sovereignty Opportunity

分析

英国和欧盟近期的政策动向反映出全球数字基础设施监管正进入”系统性风险防控+主权竞争”双重逻辑并行的新阶段。

首先，“关键第三方”监管标志着监管边界从金融机构向上游技术供应商延伸。传统金融监管聚焦机构自身资本充足率、流动性、内控等，而云服务已成为金融业”数字基础设施”的底座。一旦头部云厂商发生大规模中断（配置错误、网络故障、勒索攻击、甚至地缘冲突导致的物理中断），将迅速波及众多金融机构，引发系统性连锁效应。英国将四大云厂商直接纳入CTP清单，意味着监管机构将获得对这些厂商韧性计划、变更管理、退出策略等的实质性审查权。这种”监管穿透”（regulatory reach-through）在欧盟DORA（数字运营韧性法案）框架下也已初见端倪，预计将成为全球趋势。

其次，数字主权从”数据主权”走向”运营主权”和”治理主权”。早期讨论多集中在GDPR等数据跨境流动问题，而CADA的四级框架清晰表明欧盟更关注全链条控制：不仅要”数据留在欧盟”，还要”基础设施在欧盟”、”控制权在欧盟”（所有权、关键人员）、”供应链可控”（软件物料清单、第三方依赖透明）。Level 4几乎等于要求”欧盟化”治理结构。这种思路与美国《CLOUD法案》（Clarifying Lawful Overseas Use of Data Act）等域外数据获取规则长期博弈密切，实质是为欧盟公共部门构建”可审查、可替代、可控”的技术栈。

第三，政策目标兼具风险防控与产业振兴双重意图。英国强调金融韧性，核心是防范系统性风险；欧盟CADA则更明确地将”促进本土云与AI发展”、”增加数据中心容量”、”市场多元化”列为目标。这种”安全+产业”混合逻辑在近年欧美数字政策中颇为常见。通过设定采购门槛，欧盟希望为本土中小型云厂商、主权云提供商创造差异化竞争机会，扭转当前市场高度集中于美资超大规模厂商的格局。但实际效果仍存疑：达到Level 3-4的合规要求极高，真正能满足的本土厂商数量有限，短期内反而可能推高公共部门采购成本。

第四，对超大规模云厂商影响深远。四大云厂商长期以来主张”全球统一架构”、”资源池跨区域调度”以实现规模效益和弹性。英国CTP监管要求其针对金融关键场景制定更具体的韧性措施、变更通知、演练要求等，可能迫使其为英国金融客户定制化运营模式（如隔离资源池、增强可观测性、明确退出路径）。欧盟CADA若严格执行高级别要求，外资厂商需考虑设立真正独立的欧盟运营实体、限制跨国技术协作、甚至调整股权结构等，这些都将显著增加合规成本和运营复杂度。

第五，政策协调与国际影响值得关注。英国CTP清单与欧盟DORA、NIS2等形成叠加监管；跨大西洋数字政策在主权诉求上趋同但具体路径不同。对于跨国金融机构而言，需同时满足多地供应商监管要求。对于云厂商而言，”一套全球架构”正逐渐向”区域化合规架构”演进。长期来看，这种碎片化可能削弱云计算原本的规模经济效益，推高企业数字化转型成本，但也可能催生”主权云”、”金融专属云”等细分市场。

结论

短期来看，英国CTP指定将直接影响四大云厂商与金融客户的合同条款。预计未来金融机构与云厂商签署的协议中，将更明确地纳入韧性SLA、变更预告、演练义务、数据可携带性、退出计划等要求。监管机构也可能陆续发布CTP具体操作规则（Operational Resilience Rules）细化落地细节。

中期来看，欧盟成员国将开始制定CADA落地细则。各国主管部门如何界定”风险等级”、如何审核Level 2+合规材料、如何平衡安全与竞争，将决定框架实际执行力度。云厂商需密切关注各成员国差异化实践。

长期来看，“数字主权”已从政治宣示转向可量化的采购标准。公共部门（尤其是关键基础设施相关部门）在云选型时，主权合规度将与价格、性能、生态同等重要。私营部门虽不直接受CADA约束，但可能受溢出效应影响（供应商策略调整、合规最佳实践外溢）。企业在制定云战略时，需前瞻性评估地缘政治与监管趋势对供应商长期可用性的影响。

对于云原生从业者而言，建议重点关注：1）供应商韧性要求如何影响多云架构设计（跨厂商冗余、数据复制策略）；2）主权合规对基础设施即代码（IaC）、部署地域、密钥管理（如HSM位置、KMS控制权）的约束；3）合规框架演变对SaaS/PaaS选型的潜在限制。