Polska w tyle w wyścigu o suwerenność cyfrową. To może zagrozić bezpieczeństwu państwa

Suwerenność cyfrowa to nie tylko kwestia budowania silnego sektora technologicznego, ale głównie bezpieczeństwa państwa. Raport „Cyfrowa racja stanu” Polskiej Sieci Ekonomii przygotowany z inicjatywy Polskiej Chmury – Związku Pracodawców wskazuje, że Polska nie poświęca temu tematowi tyle uwagi, ile potrzeba. Skala zależności od dostawców z krajów trzecich rośnie wraz z cyfryzacją gospodarki i administracji. Deficyt handlowy w obszarze produktów cyfrowych przekroczył w 2025 roku 60 mld zł.

– Jesteśmy w tej chwili w punkcie zwrotnym. Naszą suwerenność cyfrową możemy obronić, ale też bardzo łatwo ją stracić. To jest zagrożenie, które Związek Polska Chmura dostrzegł dawno temu. Temat był przez nas wielokrotnie podnoszony na forum publicznym. Teraz jest w końcu omawiany i bardzo intensywnie nad nim pracują m.in. Francja i Niemcy – mówi agencji Newseria Wiesław Wilk, przewodniczący Związku Polska Chmura.

W kwietniu 2026 roku francuska Międzyresortowa Dyrekcja ds. Cyfryzacji ogłosiła rozpoczęcie największej w historii Europy migracji administracji publicznej z systemu operacyjnego Windows na Linux. Celem jest ograniczenie zależności państwa od amerykańskich technologii i wzmocnienie suwerenności cyfrowej. Migracja ma objąć 2,5 mln stanowisk w administracji, z czego 500 tys. do końca 2027 roku.

W 2025 roku duńskie Ministerstwo Spraw Zagranicznych zapowiedziało migrację z Microsoft 365 na LibreOffice. W tym samym czasie decyzje o odejściu od ekosystemu Microsoftu ogłosiły Kopenhaga i Aarhus. W debacie publicznej wskazywano m.in. na rosnące ryzyka geopolityczne i kwestie bezpieczeństwa danych w kontekście m.in. kwestii Grenlandii i obaw o potencjalne szpiegostwo.

Podobne inicjatywy widać także na forum Unii Europejskiej. W kwietniu 2026 roku Komisja Europejska rozstrzygnęła przetarg o wartości 180 mln euro na dostawę suwerennej chmury obliczeniowej dla instytucji, organów, urzędów i agencji UE. W przetargu wybrano czterech europejskich dostawców. Został on ogłoszony w ramach działań Komisji mających na celu wzmocnienie suwerenności cyfrowej podmiotów unijnych, a także zachęcenie rynku do oferowania suwerennych rozwiązań cyfrowych. Z danych Synergy Research Group wynika, że amerykańskie firmy kontrolują dziś ok. 70 proc. europejskiej infrastruktury chmurowej, a europejscy dostawcy – ok. 15 proc.

– Kwestia suwerenności cyfrowej jest tematem podobnym do bezpieczeństwa cyfrowego, ale nie tożsamym czy zamiennym. Bezpieczeństwo cyfrowe to jest bezpieczeństwo systemów, które można zostawić fachowcom, informatykom, administratorom systemów, żeby ktoś nieuprawniony nie dostał się do danych – wyjaśnia Wiesław Wilk. – Suwerenność cyfrowa to jest temat znacznie szerszy, który dotyczy nawet bezpieczeństwa państwa.

Zgodnie z definicją przedstawioną w raporcie Polskiej Chmury i PSE suwerenność cyfrowa to zdolność państwa i jego instytucji do egzekwowania swoich praw oraz interesów, w tym bezpieczeństwa narodowego, w kontekście infrastruktury cyfrowej przy jednoczesnym zachowaniu konkurencyjnego poziomu produktów i usług.

– Przy tym stopniu ucyfrowienia usług publicznych i naszego zaangażowania w całą infosferę kontrola nad tym, gdzie są dane, kto ma dostęp do systemów, kto może zablokować ich działanie, jest tematem priorytetowym w Unii Europejskiej. W Polsce na razie ten temat nie jest podnoszony z taką atencją, na jaką zasługuje – uważa przewodniczący Związku Polska Chmura. – Państwo nie może ignorować faktu, że oddaje kontrolę nad systemami, a nie ma pewności, kto je kontroluje. Tak w rzeczywistości w tej chwili jest, a my, którzy zależymy od usług państwa, będziemy ofiarami tego, gdy ktoś to wyłączy.

Jednym z przykładów przywoływanych w raporcie Polskiej Chmury dotyczy działania Międzynarodowego Trybunału Karnego w Hadze. W maju 2025 roku, po tym, gdy administracja Donalda Trumpa objęła sankcjami głównego prokuratora MTK Karima Khana, utracił on dostęp do swojej służbowej poczty elektronicznej hostowanej przez Microsoft. Trybunał zdecydował się ostatecznie na przejście z amerykańskiego systemu na alternatywny zestaw usług opartych na wolnym lub otwartym oprogramowaniu.

– Mamy też głośno omawianą sprawę z Holandii udostępnienia danych urzędników odpowiedzialnych za kontrolę danych organom, które o nie wystąpiły. Nie nastąpiło żadne przestępstwo, przynajmniej w myśl tamtejszej jurysdykcji, ale dla urzędników państwa holenderskiego budzi to pytanie, czy oni mogą w tej sytuacji czuć się chronieni przez suwerenne państwo. Nie do końca – uważa Wiesław Wilk. – Apelujemy o to, żeby takie przykłady uświadomiły naszym decydentom odpowiedzialność, którą na siebie biorą.

Jak podkreślają autorzy raportu, przekazywanie kluczowych usług cyfrowych podmiotom funkcjonującym poza polską i europejską jurysdykcją wiąże się z szeregiem zagrożeń dla bezpieczeństwa państwa. Zagrożenie wynika z możliwości sprawowania kontroli nad danymi i usługami przez podmiot podlegający jurysdykcji państwa trzeciego, niezależnie od fizycznej lokalizacji infrastruktury. Według ekspertów Polska nie posiada wystarczających regulacji, które gwarantowałyby bezpieczeństwo kluczowej infrastruktury cyfrowej państwa. Zwracają uwagę m.in. na brak ustawy chmurowej, niewiążący charakter obowiązujących wytycznych czy też luki w systemie certyfikacji.

– To już nawet nie jest kwestia technologii, tylko przepisów, które egzekwują władze. Zresztą utrata integralności to jest dostęp osób, których nie upoważniliśmy do danych. Już sam fakt, że ktoś, kto nie miał naszego upoważnienia, miał dostęp do danych, jest traktowany jako utrata ich integralności. Nawet jeśli dane nie zostały zmienione – wyjaśnia przewodniczący Związku Polska Chmura. – To jest właśnie ta cienka granica, gdzie cały ten stos technologiczny musi być kontrolowany, ponieważ nad tym elementem ministerstwo nie ma nadzoru. Dostawca na pewno może z tych danych skorzystać. Nie twierdzę, że ma złe intencje, natomiast przezorne podejście polega na tym, że zapobiegamy nieuprawnionemu dostępowi.

Według specjalnego badania Eurobarometr z 2026 roku 82 proc. obywateli Unii Europejskiej uważa, że Unia powinna zmniejszyć swoją zależność od technologii z państw trzecich. Jeszcze więcej wskazuje, że UE powinna priorytetowo traktować inwestycje w usługi cyfrowe, które są opracowywane i kontrolowane w Europie. Blisko sześciu na 10 Europejczyków podkreśla, że byłoby skłonnych przejść na dostawcę usług cyfrowych z siedzibą w UE, nawet jeśli oznaczałoby to nieco wyższe koszty.

W opinii ekspertów Związku Polska Chmura i PSE Polska potrzebuje ambitnej polityki suwerenności cyfrowej jako koła zamachowego nowego modelu rozwoju gospodarczego, budującego local content, czyli krajowe kompetencje, miejsca pracy i przewagi konkurencyjne w gospodarce cyfrowej. Wśród proponowanych rozwiązań jest wprowadzenie testu suwerenności jako standardu w zamówieniach publicznych. Test powinien obejmować takie kryteria jak: ocena operacyjna wpływu infrastruktury na funkcje państwa, interoperacyjność, podległość jurysdykcyjna, wpływ na ekonomię i demokrację czy warunki środowiskowe. Wśród rekomendacji znajduje się m.in. edukacja cyfrowa dzieci i dorosłych. Według raportu państwo musi przeznaczyć środki na systemowe szkolenia pracowników administracji publicznej zarówno przed wdrożeniem nowych rozwiązań, jak i w trakcie procesu migracji.

– Suwerenność cyfrowa nie jest tematem wewnętrznym działu informatyki w instytucji. Jest zagadnieniem, którym powinno się zająć w pierwszej kolejności jej kierownictwo. Ono ponosi odpowiedzialność za wszystkie uchybienia. Ustawa o krajowym systemie cyberbezpieczeństwa, która weszła w życie parę miesięcy temu, wyraźnie to wskazuje, ale tej świadomości na razie nie ma – uważa Wiesław Wilk.

Zamówienia publiczne i ustawa o krajowym systemie certyfikacji cyberbezpieczeństwa powinny być głównymi narzędziami budowania bezpieczeństwa, tworząc realne zachęty do wyboru suwerennych rozwiązań i eliminując z postepowań dostawców, którzy nie spełniają kryteriów jurysdykcyjnych.

Zdaniem autorów raportu, jeśli Polska nie podejmie działań na rzecz zwiększania suwerenności cyfrowej, a tym samym budowania odporności i sprawczości państwa, może to doprowadzić do pogłębiania katastrofalnej w skutkach zależności technologicznej od globalnych dostawców, a tym samym zwiększenia zagrożeń dla bezpieczeństwa państwa. Koszty ekonomiczne tej zależności także będą rosły. W publikacji wskazano, że w 2025 roku deficyt handlowy Polski w obszarze produktów cyfrowych przekroczył 60 mld zł. Eksperci szacują, że do 2030 roku wydatki na import produktów cyfrowych mogą przewyższyć łączne koszty importu wszystkich surowców energetycznych.

– To jest poważna kwota, która wypływa z budżetu Polski i w ogromnej większości nie trafia na polski rynek. Wymieniamy atomy za bity, czyli sprzedajemy konkretne produkty, które ktoś musiał wytworzyć, zużyć energię, materiały, surowce, zostawić ślad w środowisku, za bity, czyli za rzeczy niematerialne – podkreśla przewodniczący Związku Polska Chmura.

W 2024 roku łączne roczne nakłady na wytworzenie i utrzymanie systemów teleinformatycznych w administracji publicznej przekroczyły 7 mld zł. Ministerstwo Cyfryzacji nie podało jednak danych na temat tego, czy i jaką część stanowi zakup usług chmurowych i licencji na oprogramowanie.

– Mając takie systemy, nie jesteśmy w stanie powiedzieć, ile wydaliśmy na licencje podstawowe, utrzymywanie systemów oraz infrastruktury, zakup, serwisowanie. To są informacje, które jako podatnicy powinniśmy znać. W tej chwili cierpimy z powodu pewnej resortowości. Każdy resort te dane ma w swoim bilansie. My za to płacimy i wiemy na pewno, że te pieniądze opuszczają nasz kraj, ale nie wiemy już, jaka to jest skala i dynamika zmian przepływów. Nikt tego nie mierzy i jest to trochę przerażająca perspektywa – zaznacza Wiesław Wilk.