KO TVOJ SISTEM NI POVSEM TVOJ

“Naš sistem” je eden tistih izrazov, ki jih v informatiki uporabljamo brez posebnega premisleka. Naši uporabniki delajo v njem, vanj shranjujemo svoje podatke, zanj plačujemo licence, nekdo v hiši pa ima administratorski račun. Dokler vse deluje, je beseda naš dovolj priročna in običajno tudi nihče ne sprašuje, kaj natančno pomeni.

Manj samoumevna postane, ko jo prevedemo v tehnična vprašanja. Ali lahko rešitev sami obnovimo? Lahko vse pomembne podatke prenesemo drugam v obliki, ki jo bo druga aplikacija dejansko razumela? Kdo upravlja šifrirne ključe, identitete in certifikate? Bi lahko zamenjali izvajalca, ne da bi skupaj z njim zamenjali še velik del procesov, integracij in znanja, ki se je skozi leta nabralo okoli njegove rešitve?

Na koncu ostane precej preprost preizkus: koliko časa bi vse skupaj še normalno delovalo, če njegovega dobavitelja jutri ne bi bilo več?

Lastništvo še ne pomeni nadzora

Razprava o digitalni suverenosti se pogosto začne pri lokaciji podatkov. Pomembno je, ali so podatki v Sloveniji, Evropski uniji ali nekje drugje, vendar geografija pove samo del zgodbe. Rešitev je lahko fizično postavljena v Evropi, njene ključne funkcije pa so še vedno vezane na tehnologijo, upravljavsko ravnino, licenco ali storitev, na katero uporabnik nima večjega vpliva.

To je razvidno tudi iz predloga Cloud and AI Development Acta, ki ga je Evropska komisija predstavila 3. junija 2026. Predlagani evropski okvir suverenosti storitev v oblaku in umetne inteligence ima štiri ravni. Prva se nanaša na obdelavo in hrambo podatkov v infrastrukturi znotraj Evropske unije, pri višjih pa se pojavijo še neodvisnost od tretjih držav, preglednost programske dobavne verige, evropsko lastništvo in nadzor ter pri najvišji ravni popoln nadzor nad dobavno verigo brez poseganja tretje države. Gre za zakonodajni predlog, ne za že veljavno končno ureditev, vendar dobro pokaže, da lokacija podatkov sama po sebi ni več dovolj široka definicija suverenosti.

Sodelovanje z zunanjimi izvajalci zaradi tega ni nič bolj problematično kot prej. Skoraj nobena sodobna organizacija ne more in tudi nima razloga, da bi sama razvijala vsak kos infrastrukture, programske opreme in varnostnih storitev. Specializirani partnerji pogosto zagotovijo več znanja, boljšo storitev in višjo razpoložljivost, kot bi jo bilo smiselno vzdrževati znotraj posamezne ustanove ali podjetja. Težava nastane šele takrat, ko nihče več natančno ne ve, kateri deli okolja brez njih ne bi delovali.

Kaj bi se zgodilo v ponedeljek ob osmih

Za preverjanje tega ni potreben kibernetski incident ali odpoved pogodbe. Dovolj je miselni poskus: izvajalca v ponedeljek ob osmih zjutraj preprosto ni več. Ni podražil storitve, spremenil pogodbe ali šest mesecev prej napovedal ukinitve izdelka. Njegovi ljudje, infrastruktura in pomoč niso več na voljo.

Kaj lahko od tega trenutka naredimo sami? Ali se uporabniki še prijavijo in lahko skrbniki upravljajo njihove pravice? Je mogoče iz varnostne kopije vzpostaviti celotno okolje brez zunanje pomoči? Ali izvoz podatkov vključuje tudi relacije, zgodovino, metapodatke in druga pravila, brez katerih same tabele ne pomenijo veliko? Kdo pozna podatkovni model, kdo lahko izda nov certifikat in kdo po varnostnem incidentu zagotovi dovolj informacij za njegovo rekonstrukcijo?

Pri marsikateri rešitvi bi bil odgovor na del teh vprašanj pritrdilen, vendar z dodatkom, da je za izvedbo potreben zunanji partner. Takrat izvajalec ni več samo nekdo, ki rešitev dobavlja ali vzdržuje. Postal je eden od elementov njene razpoložljivosti, kar samo po sebi ni nič nenavadnega, moralo pa bi biti znano in upoštevano pri načrtovanju neprekinjenega poslovanja.

Podatke lahko odneseš, celoto nekoliko težje

Evropski Data Act del tega problema že obravnava precej konkretno. Ponudnikom storitev obdelave podatkov nalaga odpravljanje ovir pri menjavi ponudnika. Pri platformnih in programskih storitvah morajo biti med drugim na voljo odprti vmesniki ter najmanj možnost izvoza podatkov v splošno uporabljanem in strojno berljivem formatu. Od 12. januarja 2027 naj bi bile popolnoma odpravljene tudi pristojbine za menjavo, vključno z določenimi stroški prenosa podatkov.

Možnost izvoza pa še ni enaka možnosti nadaljevanja poslovnega procesa. Podjetje lahko iz poslovne aplikacije odnese več terabajtov podatkov, a če jih nova rešitev brez posebne pretvorbe, poslovnih pravil in dokumentacije ne zna uporabiti, je sicer dobilo svoje podatke, ne pa nujno tudi možnosti, da naslednji dan nadaljuje delo.

Podobno velja za infrastrukturo. Virtualni strežnik je mogoče preseliti, podatkovno zbirko kopirati in datoteke prenesti. Precej težje je preseliti leta povezav, skript, API-jev, certifikatov, avtomatizacij in uporabniških postopkov, ki so se postopoma navezali na prvotno okolje. Vezanost na ponudnika zato ni vedno rezultat restriktivne pogodbe ali namerno zaprte tehnologije. Del je lahko skozi leta zgradimo tudi sami, saj vsaka nova integracija poleg uporabnosti praviloma nekoliko poveča tudi ceno poznejše zamenjave.

Suverenost ni spor med oblakom in strežniško sobo

Razpravo je zelo preprosto speljati v smer oblaka proti lokalni infrastrukturi, vendar ta delitev o dejanskem obvladovanju tehnologije ne pove veliko. Aplikacija lahko teče na lastnih strežnikih v lastnem podatkovnem centru, njena uporaba pa je kljub temu povsem vezana na enega izvajalca, ki edini pozna programsko opremo, podatkovno zbirko ali postopek obnove.

Varnostna kopija lahko obstaja, ne da bi kdo v zadnjih treh letih preveril popolno obnovo. Izvorna koda je lahko nedostopna, dokumentacija zastarela, licenčni mehanizem pa vezan na zunanjo infrastrukturo. Strežnik je v takem primeru res naš, vendar to še ne pomeni, da sami obvladujemo tudi vse, kar je potrebno za njegovo uporabo. Velja tudi obratno. Dobro načrtovana storitev v oblaku je lahko precej zamenljiva, če uporablja standardne protokole, omogoča preverljiv izvoz podatkov, identiteto ločuje od aplikacije in ima jasno dokumentirane povezave z drugimi komponentami. Pomembnejše od lokacije strežnika je zato vprašanje, koliko možnosti imamo, ko želimo nekaj spremeniti.

Prav to razsežnost je odprl tudi letošnji NT Business v Portorožu. V sklopu Trusted Europe. Security, Sovereignty and Responsibility in the Age of AI je bila digitalna suverenost obravnavana skozi nadzor nad podatki, računsko močjo, podatkovnimi centri in digitalno infrastrukturo ter skozi vprašanje evropske tehnološke odvisnosti od globalnih platform. Program je s tem temo postavil precej širše od običajnega vprašanja, na katerem ozemlju stoji podatkovni center.

Najtišje so odvisnosti, ki delujejo

Tehnične povezave so med normalnim delovanjem skoraj nevidne. DNS razreši ime, identitetna storitev vrne žeton, API odgovori, certifikat je veljaven, licenca se podaljša in posodobitev prispe pravočasno. Ker se vse to dogaja v ozadju, začne sčasoma delovati kot običajna lastnost našega okolja, čeprav del procesa opravlja infrastruktura nekoga drugega.

ENISA je v Threat Landscape 2026, objavljenem 22. septembra, prav digitalne odvisnosti izpostavila kot dejavnik širjenja napadalne površine. Poročilo temelji na incidentih in dogodkih, opaženih med januarjem in decembrom 2025, zato ne opisuje incidentov leta 2026, temveč lansko evropsko okolje groženj. Med ugotovitvami posebej opozarja na medsebojno povezanost digitalnih ekosistemov ter na posledice napadov prek dobavnih verig in skupnih odvisnosti.

Kibernetski napad seveda ni edini način, da taka povezava postane vidna. Podoben učinek imajo lahko poslovni propad podjetja, sprememba licenčnega modela, konec podpore, regulativna omejitev ali tehnična nezdružljivost. Bistvena razlika je v tem, ali smo posamezno vez poznali že prej ali smo jo odkrili šele takrat, ko se je nekaj ustavilo.

Izhodni načrt ni napoved odhoda

Izraz exit strategy se hitro razume kot znak, da naročnik že razmišlja o menjavi ponudnika, zato pogosto konča med pogodbenimi prilogami, na katere se po podpisu redko vračamo. Uporabneje bi ga bilo obravnavati podobno kot varnostno kopijo. Te ne izdelujemo zato, ker nameravamo izgubiti podatke, ampak zato, ker vemo, da se to lahko zgodi.

Enako velja pri zunanjem izvajalcu. Ni treba načrtovati odhoda, da je koristno vedeti, kako bi ga izvedli. Smiseln načrt mora povedati, katere podatke potrebujemo za nadaljevanje dela, v kakšni obliki jih lahko prevzamemo, katere zunanje storitve so vključene, kdo upravlja ključe, certifikate in identitete ter katere integracije bi ob zamenjavi prenehale delovati. Pomemben je tudi čas, potreben za vzpostavitev vsaj minimalno uporabnega nadomestnega procesa.

Pri tem je med dokumentiranim in preizkušenim precejšnja razlika. Dokumentacija lahko zagotavlja, da je podatke mogoče izvoziti, šele uspešen uvoz v drugo okolje pa pokaže, ali so zunaj prvotne rešitve res uporabni. Enako velja za varnostno kopijo: obstoj datoteke še ne dokazuje, da lahko iz nje obnovimo storitev.

Kaj torej pomeni “naš”

Evropska razprava o tehnološki suverenosti je letos postala konkretnejša. Komisija je 3. junija predstavila širši paket za tehnološko suverenost, ki poleg predloga CADA vključuje tudi Chips Act 2.0, strategijo EU za odprtokodno programsko opremo ter načrt za digitalizacijo in umetno inteligenco v energetiki. Skupna usmeritev je zmanjševanje strateških odvisnosti pri ključnih tehnologijah in povečanje evropske sposobnosti, da jih razvija oziroma nadzoruje. Ista logika je uporabna tudi daleč pod ravnjo evropskih strategij. Velja za državno upravo, podjetje, občino, bolnišnico in majhno organizacijo, za velik javni oblak in za eno samo poslovno aplikacijo. V vsakem primeru je koristno vedeti, katere zunanje storitve potrebujemo, kdo jih upravlja in kaj bi se zgodilo, če bi ena od njih izginila.

Popolna tehnološka samozadostnost za večino organizacij ni niti realna niti smiselna. Marsikaj je varneje, ceneje in kakovostneje prepustiti specializiranim ponudnikom. Toda razlika je med odvisnostjo, ki smo jo zavestno sprejeli, in odvisnostjo, katere obseg odkrijemo šele ob težavi.

Ko torej rečemo, da je neki informacijski sistem naš, ne govorimo samo o pogodbi, računu ali lokaciji podatkov. Govorimo tudi o tem, koliko njegovega delovanja razumemo, katere dele lahko sami upravljamo in ali imamo izvedljivo pot naprej, če se okoliščine spremenijo.

Digitalna suverenost zato v praksi ne pomeni, da nikogar ne potrebujemo. Pomeni predvsem, da dovolj dobro vemo, koga potrebujemo, za kaj ga potrebujemo in kaj bomo naredili, če ga nekoč ne bomo več imeli.

EVIDENCE PROFILE

Dokazni profil članka

Profil pokaže vrsto dokazne podlage in omejitve osrednjega argumenta.

OSREDNJI DOKAZResnično obvladovanje rešitve se pokaže pri obnovi, migraciji, upravljanju ključev, dokumentaciji in sposobnosti nadaljevanja poslovnega procesa brez prvotnega izvajalca.

RAZISKAVE0

DOKUMENTACIJA5

PREDOBJAVE0

UREDNIŠKI PREIZKUSNE

PREVERJENO2026-09-23

Viri

1. 01PRIMARY DOCUMENTATIONEuropean Commission
   European Commission, Proposal for the Cloud and AI Development Act (CADA), COM(2026) 502, 3 June 2026.
2. 02STANDARDEuropean Union
   European Parliament and Council, Regulation (EU) 2023/2854 – Data Act, 13 December 2023, zlasti Chapter VI in Article 29.
3. 03PRIMARY DOCUMENTATIONEuropean Commission
   European Commission, Communication on European Tech Sovereignty and EU Open Source Strategy, COM(2026) 503, 3 June 2026.
4. 04PRIMARY DOCUMENTATIONNT Conference, NT Business 2026
   NT Conference, NT Business 2026 – Trusted Europe. Security, Sovereignty and Responsibility in the Age of AI, Portorož, 21 September 2026.
5. 05PRIMARY DOCUMENTATIONENISA
   ENISA, ENISA Threat Landscape 2026, 22 September 2026, reporting period 1 January–31 December 2025.