Nem csak adatvédelem: rendelkezésre állás, függőség és költségek

Modul 1: Miért válasszon európai felhőt? · Olvasási idő: 11 perc

Tanulási cél: A lecke végén el tudja magyarázni, hogy a digitális szuverenitás a rendelkezésre állásról és a döntési jogról is szól, ismeri a Data Actből eredő új európai átállási jogokat, és képes mérlegelni a saját helyzetére jellemző kockázatokat.

Kulcsfogalmak: digitális szuverenitás, rendelkezésre állási kockázat, szankciók, a feltételek egyoldalú módosítása, szolgáltatói függőség (vendor lock-in), koncentrációs kockázat, EU Data Act, átállási jog, átállási költségek, NIS2, mérlegelés (valószínűség és hatás)

A szuverenitás több, mint az, hogy "ki olvashatja el"

Az eddigi leckék a bizalmasságról szóltak: ki tekintheti meg az Ön adatait. De van még két kérdés, amely egy szervezet számára legalább ennyire fontos:

1. Hozzáfér-e az adataihoz, amikor szüksége van rájuk? (rendelkezésre állás)
2. Önállóan dönthet-e, akkor is, ha a szolgáltató mást szeretne? (döntési jog)

Ezt együtt digitális szuverenitásnak nevezzük: azt jelzi, hogy Ön (vagy az országa, vagy Európa) mennyire tartja kézben a digitális adatai és szolgáltatásai feletti irányítást. A szó nagyszerűen hangzik, de a Szemcse Pékség számára nagyon gyakorlati jelentősége van: ha Sanne hétfő reggel hat órakor nem tudja megnyitni a kiszállítási útvonalakat, tizenkét ember vár hiába.

Ez magyarázat, nem jogi tanácsadás.

1. kockázat: a fiók lezárható

Egy felhőalapú szolgáltatás korlátozhatja vagy megszüntetheti az Ön hozzáférését. Többnyire hétköznapi okokból: egy ki nem fizetett számla, visszaélés gyanúja, vagy egy automatikus rendszer téves döntése miatt. Aki már járt úgy, hogy egy nagy szolgáltatónál letiltották a fiókját, tudja, mennyire nehéz ott élő emberrel beszélni.

Van egy geopolitikai változata is. Egy vállalatnak be kell tartania annak az országnak a szankcióit, amely joghatósága alá tartozik. 2025 februárjában az amerikai kormány szankciókat vezetett be a hágai Nemzetközi Büntetőbíróság (ICC) főügyésze ellen. 2025 májusában az AP hírügynökség arról számolt be, hogy a főügyész elvesztette hozzáférését a Microsoftnál lévő munkahelyi levelezéséhez. A Microsoft kijelentette, hogy soha nem szüntette meg az ICC-nek nyújtott szolgáltatásait; későbbi beszámolók szerint maga az ICC, a szankciók nyomására, szüntette meg a postafiók hozzáférhetőségét. Hogy pontosan mi történt, arról még vita folyik. A példa azonban megmutatja, hogy egy szolgáltatás rendelkezésre állása a szolgáltató országának politikájától is függ, nem csak a technikától.

Egy pékséget nem valószínű, hogy szankciók érintenek. A lényeg azonban szélesebb körű: Ön olyan szabályoktól függ, amelyekre nincs ráhatása.

2. kockázat: a feltételek és árak egyoldalúan változnak

A felhőalapú szolgáltatások előfizetéses modellben és általános szerződési feltételekkel működnek, amelyeket a szolgáltató módosíthat. Csomagokat vonnak össze, funkciók kerülnek át egy drágább csomagba, vagy új funkció jelenik meg (például mesterséges intelligencia), amely megemeli az árat vagy másként használja fel az Ön adatait. Általában csak választhat: elfogadja, vagy távozik. A távozás pedig nehéz, ha már minden munkája ott van. Ezt nevezzük szolgáltatói függőségnek, angolul vendor lock-innak (2.3. lecke).

3. kockázat: minden egy helyen

Ha a levelezése, naptára, fájljai, csevegései, jelszavai és a más szolgáltatásokba való bejelentkezése ("bejelentkezés Google-lal vagy Microsofttal") mind egyetlen szolgáltatónál van, akkor egyetlen üzemzavar, egyetlen letiltott fiók vagy egyetlen feltört jelszó elég ahhoz, hogy mindent egyszerre elveszítsen. Ezt koncentrációs kockázatnak nevezzük. Ez minden szolgáltatóra igaz, egy európaira is. A szétosztás és egy saját biztonsági mentés (8. modul) segít.

Országos szinten ugyanez a helyzet áll fenn. Hollandiában 2025-ben és 2026-ban vita alakult ki a Solvinity körül, amely a DigiD és a MijnOverheid infrastruktúráját biztosítja. Az amerikai Kyndryl fel akarta vásárolni a céget. A Bureau Toetsing Investeringen véleménye alapján az illetékes államtitkár 2026 májusában megtiltotta a felvásárlást a közérdek védelme céljából; az egyik aggodalom az volt, hogy az amerikai kormány a CLOUD Act révén hozzáférést szerezhetne az adatokhoz. A példa megmutatja, hogy egy európai szolgáltató tulajdonosa is megváltozhat. A mai európai szolgáltatónak holnap amerikai anyavállalata lehet. Éppen ezért minden választáshoz hozzátartozik egy kilépési terv (8.2. lecke).

Új európai szabályok: a Data Act

Az EU szabályokat alkotott a felhőalapú szolgáltatások közötti átállás megkönnyítésére, a Data Actben (az (EU) 2023/2854 rendelet). A rendelet 2025. szeptember 12. óta alkalmazandó. A felhőalapú szolgáltatásokra (a jogszabály "adatfeldolgozási szolgáltatásokként" nevezi őket) vonatkozó szabályok a VI. fejezetben (23. és 31. cikk között) találhatók. Röviden összefoglalva:

• Egy szolgáltató nem akadályozhatja meg Önt abban, hogy másik szolgáltatóra vagy saját szerverre váltson, és köteles ebben együttműködni.
• A szerződésnek többek között legfeljebb két hónapos felmondási időt, elvben legfeljebb harminc napos átmeneti időszakot, valamint legalább harminc napos időszakot kell biztosítania az adatai letöltésére.
• A szolgáltatóknak előre világosan tájékoztatniuk kell a költségekről.
• Az átállási költségek, köztük az adatok kiküldésének költsége (egress), a kezdetektől csak önköltségi áron voltak felszámíthatók, és 2027. január 12-től teljesen megszűnnek (29. cikk). A rendes előfizetési díjak és a határozott idejű szerződés idő előtti felmondásáért járó büntetések azonban továbbra is alkalmazhatók maradnak.

Ez segít, de nem old meg mindent. A törvény azt mondja ki, hogy magával viheti az adatait, nem azt, hogy az új szolgáltatónál pontosan ugyanúgy fognak működni. Egy Google-dokumentum vagy egy Teams-csevegési előzmény átvitele egy másik környezetbe továbbra is nehézkes marad (5., 6. és 7. modul).

A NIS2 egy bekezdésben

Az európai NIS2-irányelv ((EU) 2022/2555 irányelv) kötelezi a közepes és nagy méretű szervezeteket a fontos ágazatokban, hogy rendben tartsák saját és beszállítóik kiberbiztonságát. Egy kis pékség nem tartozik ebbe a körbe, de egy ilyen szervezet beszállítója kaphat kérdéseket a saját felhőalapú szolgáltatásairól. A NIS2 nem mond semmit arról, hogy a szolgáltatás európai legyen vagy sem, de azt igen, hogy ismernie kell az ellátási láncában rejlő kockázatokat.

Mérlegelés: nem minden egyformán fontos

Nem kell holnapra mindent átköltöztetnie. Segít egy józan, elemenkénti mérlegelés. Minden kockázatnál vizsgálja meg a bekövetkezés valószínűségét és a bekövetkezés hatását:

Egy ilyen táblázat megmutatja, hol érdemes kezdeni. A személyzeti mappa kicsi és érzékeny: gyorsan átköltöztethető, nagy haszonnal. A levelezés fontos, de gondos tervezést igényel (4. modul). A csevegési előzményeket talán nem viszi magával, de archiválja.

Tisztességes ellenérv: a nagy amerikai szolgáltatások megbízhatóak, technikailag erősek, és a munkatársak megszokták őket. Egy átállás időt és megszokást igényel. A kérdés nem az, hogy "jó vagy rossz", hanem az, hogy mely kockázatokat vállalja Ön tudatosan.

A gyakorlatban: így néz ki egy szolgáltatónál

Kérdezze meg minden szolgáltatónál, az európaiaknál is: hogyan tudja kimenteni az adatait, milyen formátumokban, és meddig fér hozzá azokhoz a felmondás után? A WebOkénál például a Nextcloud-útmutató leírja, hogyan lehet adatokat áthelyezni Nextcloud-példányok között, és a Nextcloud olyan nyílt szabványokkal dolgozik, mint a WebDAV, a CalDAV és a CardDAV, így másik szolgáltatóhoz is átköltözhet. Más szolgáltatóknál hasonló exportfunkciók léteznek; érdemes megnézni, hogy ezek ügyfélszolgálati segítség nélkül is működnek-e.

Összefoglalás

• A digitális szuverenitás a bizalmasságról, a rendelkezésre állásról és a döntési jogról szól.
• Egy fiók lezárható hiba, nemfizetés vagy szankciók miatt; az ICC-ügy (2025) megmutatja, hogy a politika is közrejátszik.
• A feltételek és árak egyoldalúan változhatnak; ha minden egy helyen van, az koncentrációs kockázatot jelent.
• A Data Act (2025. szeptember 12. óta alkalmazandó) átállási jogokat biztosít; az átállási költségek 2027. január 12-től szűnnek meg.
• Mérlegelje elemenként a valószínűséget és a hatást, és ott kezdje, ahol a legnagyobb a haszon.

Kvíz

Feladat

A1.5 feladat: Az Ön saját kockázati besorolása. Töltse ki a saját szervezete számára elemenként (levelezés, naptár, névjegyek, fájlok, dokumentumok, csevegés, jelszavak, biztonsági mentések), hogy mennyire bizalmas, mennyire súlyos a kiesése, és mennyire nehéz onnan elköltöztetni. A program ellenőrzi, hogy a besorolása teljes és következetes-e, és sorrendbe állítja az elemeket.

E1.5 feladat: Az Ön mérlegelése öt mondatban. Írja le, miért szeretne (részben) átállni a szervezete, vagy miért nem, mely kockázatokat vállalja tudatosan, és mi a legfontosabb érv a kollégái felé.

További olvasmányok

Az ezekben a cikkekben leírt lépések a WebOké szolgáltatásaira vonatkoznak; más szolgáltatóknál hasonlóan működik.

• Nextcloud kézikönyv 1.1: Mi az a Nextcloud és mi az a WebOké Nextcloud?
• Nextcloud kézikönyv 13.1: Felkészülés: mit vigyen magával és milyen sorrendben
• Nextcloud kézikönyv 6.6: Biztonsági mentések a WebOké szolgáltatásnál: mit őrzünk meg mi, és mit tehet Ön saját maga
• Az (EU) 2023/2854 rendelet (Data Act), VI. fejezet, 23. és 31. cikk között, az EUR-Lexen
• Az (EU) 2022/2555 irányelv (NIS2), az EUR-Lexen