关于数字自主性的好消息

# 关于数字自主权的积极声音 - Bert Hubert 的著作 来源：https://berthub.eu/articles/posts/goede-geluiden-over-digitale-autonomie/ 荷兰众议院正值休会期，政府部门的自动回复开始呈现出令人印象深刻的规模。美国人或许能从中学习到一些东西（https://paulkrugman.substack.com/p/europe-v-america-whos-really-winning）。 不过，仍有文件不断发布，引人注目的是，近期关于数字自主权的积极言论之多。 简单来说（https://nl.wikipedia.org/wiki/TL;DR），一个明显的转折点已经出现。经过十年的否认，现在各种政府文件都在大谈数字自主权，并且充满了良好的意图和决策。 以下是近期一些令人鼓舞的文件摘录。当然，必须指出的是，这些还需要付诸实践。但起点已经有了： - 荷兰消费者与市场管理局（ACM）、荷兰央行（DNB）、荷兰数据保护局（AP）、荷兰数字基础设施管理局（RDI）和荷兰金融市场管理局（AFM）的立场文件“通往数字自主权的道路”（https://www.acm.nl/nl/publicaties/toezichthouders-versnel-de-overgang-naar-meer-digitale-autonomie），标题为“监管机构：加快向更多数字自主权的过渡” 在这份文件（我也曾为此接受采访）中，这五家监管机构共同阐明，必须采取切实行动：“监管机构发现，对少数IT服务商的依赖给面向公民和企业的数字服务的连续性带来了风险。中断、网络事件和地缘政治发展可能对企业、政府和社会产生重大影响。” 文件还提出了具体建议。欧洲数字自主权的一个核心问题是“谁先开始”。目前，企业大部分服务都依赖微软和亚马逊。因此，欧洲供应商目前确实不那么根深蒂固，也较不成熟。这导致了一种风险，即整个商界都在观望，直到供应商自发地变得成熟和被接受。但这自然不会自动发生。需要协调和合作来推动欧洲供应商起步。然而，这种协调是否受到ACM的允许？ 报告中写道：“企业可以在行业内合作，作为特定行业IT服务的首批客户。在竞争规则范围内，对于这类合作**有很大的空间**。”《金融时报》发表了一篇文章，标题为“监管机构：在选择数字自主权时不必害怕规则（https://fd.nl/bedrijfsleven/1603506/toezichthouders-niet-bang-zijn-voor-regels-bij-keuze-voor-digitale-autonomie）”，其中ACM主席Martijn Snoep表示：“我们不会阻碍这种合作。我们注意到企业事先就认为这不可能，但通常能做的比他们想象的要多。” 这份由五家监管机构发布的报告（也有英文版本（https://www.dnb.nl/en/general-news/news-2026/dutch-supervisory-authorities-urge-faster-action-on-digital-autonomy/）），是一个强有力的信号，表明我们有必要开始行动，同时也为客户和供应商（https://opencloudalliantie.nl/）提供了合作空间，以帮助我们摆脱那种真正可怕的依赖（https://berthub.eu/articles/posts/dashboard-amerikaanse-afhankelijkheden/）。 照片由Karin Ruigrok van de Werve（https://unsplash.com/@kaartjeruig?utm_source=unsplash&utm_medium=referral&utm_content=creditCopyText）在Unsplash（https://unsplash.com/photos/the-sun-is-setting-over-a-body-of-water-5eq8JtMuQns?utm_source=unsplash&utm_medium=referral&utm_content=creditCopyText）上拍摄 - 2026年中央政府云计算政策修订（https://berthub.eu/tkconv/document.html?nummer=2026D35294） 荷兰中央政府多年来一直有云计算政策，但据其自身研究，该政策在很大程度上未被遵守（https://berthub.eu/articles/posts/ga-niet-kapot-aan-je-overheid/）。尽管如此，这次修订是个好消息，因为没有规则我们更是毫无希望。例如，旧云政策（无意中）不适用于独立行政机构（ZBO's）。而正是这些ZBO们管理着我们最敏感的数据。这个漏洞现在已经补上了。 同样令人振奋的是一些非常具体的建议： - 对于关键和重要实体 [...] 建议不要为了支持其**核心任务**而依赖一个**部分**受荷兰或欧盟/欧洲经济区成员国以外司法管辖区的供应商。 - 建议不要将电子邮件和文档管理放在公有云中处理。 - 建议不要使用公有云处理特殊类别的个人数据，如果确实必要，必须应用隐私增强技术。 这最后一条建议涉及医疗数据，包括病假报告和涉及健康的员工档案。此前已有结论认为这类数据不应未加密地上传到云端（https://www.privacycompany.eu/nl/blog/nieuwe-dpia-voor-de-rijksoverheid-en-universiteiten-op-microsoft-teams-onedrive-en-sharepoint-online），但这种情况仍然大规模发生，据说甚至包括中央政府自己的人事档案平台（https://www.p-direkt.nl/）。 加强后的云政策充满了表明哪些是不允许的改进措施。遗憾的是，由于（基本）法律原因（https://berthub.eu/tkconv/document.html?nummer=2025D10901），现在每个部门都可以制定自己的IT政策，而不必遵守内政部制定的政策。因此，该政策充满了被“建议或不建议”的事项，而不是明确说明不允许。前议员Jesse Six Dijkstra（https://berthub.eu/tkconv/document.html?nummer=2025D07240）提出的一项动议以150票获得通过，旨在解决这个问题，但尚未取得进展。或许应该对此采取一些行动？ 尽管如此，加强后的中央政府云政策是朝着正确方向迈出的巨大一步，因为它以毫不含糊的语言说明了应该做什么。 - 荷兰税务局的数字自主权（https://berthub.eu/tkconv/document.html?nummer=2026D29205） 这是一份了不起的文件。税务局曾计划将所有电子邮件外包给美国管理。还有一个不明智的计划，让美国人运行每年征收800亿欧元的增值税软件（https://berthub.eu/articles/posts/btw-as-an-american-service/）。随后，美国还可以查看所有税务邮件和文件（https://berthub.eu/articles/posts/makelaarstaal-over-onze-belastinggeheimen/）。 显然，税务局内部发生了大规模的变化，因为他们最近的自主权信函（https://berthub.eu/tkconv/document.html?nummer=2026D29205）中吹起了完全不同的风。增值税软件将重新由自己管理，电子邮件也不再发往美国。此外，还有四个主要方向： 1. 保持并在必要时加强自身的开发能力 2. 扩大数据中心基础设施 3. 修订采购和招标政策（“尽可能选择欧洲供应商”） 4. 进一步推广开源 他们正确地指出了税务局的良好起点。拥有自己的数据中心，已有数千名技术人员在进行编程和管理。当荷兰政府其他部门在很大程度上已经停止了这种做法时，税务局仍然是一个真正的IT堡垒。这样，（又）可以做一些漂亮的事情了。令人鼓舞！ - 关于M365推广的建议（https://www.adviescollegeicttoetsing.nl/documenten/2026/6/29/advies-microsoft-365） ICT审查咨询委员会调查了税务局（可能）推广Microsoft 365的情况。但这项调查涉及的是**在包含机密数据的环境中使用Microsoft 365的任何情况**。去年，我写了篇文章“邮件在美国，文件就不是？行不通的”（https://berthub.eu/articles/posts/mail-in-de-vs-en-je-bestanden-hier-het-werkt-niet/）。 咨询委员会现在已经彻底调查清楚了，确实行不通。调查中的几个要点： - “分类为‘机密’或更低的文档在M365中不加密存储。允许外部共享的高度机密文档在M365中不加密存储”——这不是因为税务局不想这样做。而是为了M365的（完整）功能，微软需要访问这些数据，其设计就是如此。我们无法接受这一点。 - “从较低敏感度信息的元数据中推导出敏感信息的聚合风险，未在风险评估中考虑”——换言之，数百万份非敏感的电子邮件和文档合在一起，仍然可以提供高度敏感档案的完整图景。 - “此外，缺少针对微软服务突然中断的备份方案”——对于对社会至关重要的服务，说“如果微软宕机了，我们就停止”是不可接受的。 - “存在供应商锁定和集中风险增加的问题，同时，由于选择了一家美国（云）供应商的全面解决方案，灵活性和主权也随之降低。” 这些都是极好的结论。这些结论适用于所有已将Microsoft 365标准化的中央政府机构。很高兴这些发现现在白纸黑字地写了下来。任何现在还想转向M365的政府机构都将面对这份建议：“如果您有机密数据，则行不通；如果微软发生故障，您将无可救药地陷入困境，并陷入完全依赖的罗网之中”。 - 欧盟技术主权一揽子计划（https://digital-strategy.ec.europa.eu/en/policies/eu-tech-sovereignty） 荷兰有时比我们想象的要大，但当然也远小于所有欧盟国家的总和。正如我在最近一次演讲“数字自主权2.0：这次真的”（https://berthub.eu/articles/posts/digitale-autonomie-2-0-surf-privacy-security/#:~:text=Dit%20zijn%20de%20gigantische%20Europese%20bedrijven）中所指出的，我们必须停止我们的Calimero情结。欧盟通过技术主权一揽子计划给出了一个良好的开端。尽管它被游说者们大大稀释了（唉），但其中仍包含一些非常好的内容（https://ec.europa.eu/commission/presscorner/detail/en/qanda_26_1188）。 例如，它明确承认开源是企业提供可靠服务的基础，并且将为此投入资金。我之前写过关于“欧洲云模块”（https://berthub.eu/articles/posts/european-cloud-modules/）的想法，类似的事情是有可能发生的。 同样相关的是，欧洲的政府对数字自主权充满热情，但他们也有很多其他事情要做。该一揽子计划中规定，最关键政府服务**必须**实现数字自主。例如，DigiD就是如此。这样的强制要求非常受欢迎。 - 关于政府范围主权云服务的探索性说明（https://berthub.eu/tkconv/document.html?nummer=2026D34382） 这份说明源于荷兰数字化转型战略，他们选择了一个主权政府云，要求“技术和运营完全置于欧盟控制之下，仅受欧盟法律管辖，并且没有关键的非欧盟依赖关系”。这些话说得真好。对于这个新云，他们选择了“方案A”，即进行新的集中建设。 这个云并不涵盖所有内容，主要涉及容器，但它是（新）政府服务的绝佳基础。 ## 结语 以上是从近期一些令人鼓舞的文件中摘录的内容。还有更多，例如决定通过国家安全立法（https://berthub.eu/tkconv/document.html?nummer=2026D27522）来实际运作DigiD。这些事情在2025年还被认为是不可能的，但现在确实可以做到了。荷兰市政协会（VNG）也通过其文件“对市政云设施的要求”（https://vng.nl/nieuws/nieuwe-handreiking-helpt-bij-inkoop-clouddiensten）做出了贡献。 前路漫漫，但上述报告、建议和计划非常令人鼓舞。当然，“现在还需要去做”，但起点肯定已经有了。