Предлагаемое поглощение Solvinity компанией Kyndryl обнажает уязвимость критически важных систем перед иностранным контролем из-за отсутствия комплексной политики. — computerweekly.com
Когда американская IT-гигант Kyndryl объявила о своем предложении о приобретении Solvinity в ноябре 2025 года, мало кто за пределами Нидерландов обратил на это внимание. Но в самой стране новость вызвала беспокойство. Solvinity обеспечивает работу инфраструктуры DigiD, национальной системы цифровой идентификации, которой пользуются 16,5 миллиона граждан Нидерландов. Предлагаемое поглощение вызвало срочный технический брифинг и парламентские слушания, а также петицию, собравшую 140 000 подписей. Этот случай выявляет фундаментальное противоречие, с которым сталкиваются правительства по всей Европе. По мере того как зависимость от американских технологических гигантов становится все более очевидной, а геополитическая напряженность нарастает, вопрос уже не в том, имеет ли цифровая суверенность значение, а в том, какая инфраструктура является слишком критичной, чтобы оставлять ее уязвимой для иностранной юрисдикции. DigiD — это не периферийная система. Это ворота, через которые граждане Нидерландов получают доступ к своему правительству. Только в 2025 году через нее было проведено 645 миллионов аутентификаций, и этот показатель ежегодно растет на 10-15%. Граждане используют ее для подачи налоговых деклараций, доступа к медицинским записям, получения пособий и взаимодействия практически со всеми государственными службами. С 2020 года Solvinity предоставляет инфраструктурную платформу, обеспечивающую работу DigiD, а также MijnOverheid, правительственного портала для общения с гражданами, и Digipoort, шлюза для бизнес-услуг. Logius, организация цифровой инфраструктуры правительства Нидерландов, сохраняет контроль над архитектурой, требованиями безопасности и управлением. Само приложение DigiD, включая обработку данных и контроль политики, полностью остается в руках правительства. Но техническая непрерывность зависит от частного поставщика инфраструктуры. И теперь этот поставщик становится американским. Берт Форбраак, генеральный директор Logius, подчеркнул важность вопроса во время технического брифинга для Комитета по цифровым вопросам. «Непрерывность услуги действительно очень важна», — сказал он. Эта недосказанность скрывала масштаб обеспокоенности.
За пределами Cloud Act
Когда большинство людей думают о рисках, связанных с американским владением европейской инфраструктурой, они вспоминают Cloud Act — американский закон, который позволяет правоохранительным органам США требовать данные у американских компаний независимо от места их хранения. Но эксперты, выступавшие на слушаниях в комитете, выделили более насущную проблему: законодательство США о санкциях. Локке Морель, профессор международного права в области ИКТ в Университете Тилбурга, была прямолинейна. «Власть США и самого президента заключается в том, чтобы вводить санкции против лиц, организаций, стран в интересах национальной безопасности». Она объяснила, что, в то время как Cloud Act предполагает судебные процессы и общественный контроль, санкции могут вводиться в одностороннем порядке. Эвелин Остин, директор организации по защите цифровых прав Bits of Freedom, привела конкретный пример. «Сейчас есть девять сотрудников Международного уголовного суда, которым из-за указа президента Трампа запрещено пользоваться американскими услугами. Это не просто неудобство, это серьезно нарушает жизнь. И это всего девять человек. С DigiD это может произойти в масштабах всего общества». Для Остин угроза не теоретическая. На вопрос, видит ли она скользящую шкалу, если не будет предпринято правильное направление, ее ответ был суров. «Я не знаю, скользящая ли это шкала, потому что я думаю, что кризис уже здесь. Так что, в этом смысле, мы, возможно, уже находимся где-то внизу этой шкалы».
Защита Kyndryl
Когда настала очередь Kyndryl выступить перед комитетом, старший вице-президент Пит Бил начал с заверения. Компания, четырехлетний спин-офф IBM, работающая в 60 странах, имеет опыт работы со странами, где цифровая суверенность является критически важным приоритетом. Бил выделил три уровня защиты: технический, организационный и юридический. По словам компании, технической возможности получить доступ к данным клиентов Solvinity или отключить услуги из-за пределов Европейского Союза (ЕС) не будет. «Данные остаются в Нидерландах, — подчеркнул Бил. — Услуги будут по-прежнему предоставляться в пределах ЕС. И доступ к данным возможен только на территории ЕС». На организационном уровне Бил пообещал, что Kyndryl будет передавать любой правительственный запрос, в том числе от правительства США, конечному клиенту, информировать клиентов о каждом запросе и отклонять необоснованные требования. Он указал на отчет Kyndryl о прозрачности, отметив, что компания утверждает, что никогда не получала запросов от иностранных правительств на данные клиентов из ЕС. В первоначальном заявлении компании были добавлены две юридические гарантии: назначение европейского хранителя данных с полномочиями принимать решения по запросам на доступ к данным; и обещание, что Kyndryl Netherlands будет добиваться решения нидерландских судов, если американская штаб-квартира попытается принудить к доступу или отключить услуги в нарушение нидерландского или европейского законодательства. Но заверения не полностью развеяли опасения. Сара Эль Буджайни, член парламента от центристско-либеральной партии D66, подняла вопрос об американских запретах на разглашение информации — возможности того, что правительство США может потребовать данные, не разрешая компании информировать своих клиентов. «Этот риск остается, несмотря на все принятые вами смягчающие меры», — заметила она. Роб Бравенор, управляющий директор Kyndryl в Нидерландах, ранее заявлял, что Kyndryl Netherlands будет возглавлять нидерландский совет директоров и независимый наблюдательный совет, состоящий из граждан Нидерландов. Тем не менее, остается фундаментальный вопрос: что произойдет, когда американское законодательство и нидерландские интересы столкнутся?
Закупочная ловушка
Для городского совета Амстердама объявление о приобретении в конце прошлого года стало холодным душем. муниципалитет впервые явно включил цифровую автономию в качестве критерия в свой тендер на управление общественным облаком. «Это было впервые, когда мы это сделали, — сказал вице-мэр Александр Схолтес во время круглого стола Комитета по цифровым вопросам. — И Solvinity оказалась на первом месте. Мы подумали: приятная нидерландская компания, даже амстердамская, которая может помочь нам стать более цифровыми и автономными». Вскоре после этого появилась новость о предполагаемом поглощении. «Это было для нас неприятным сюрпризом», — добавил Схолтес. Ситуация показала, насколько сложной является цифровая автономия, даже когда правительства активно отдают ей приоритет. Solvinity уже на 60% принадлежала британской частной инвестиционной компании Vitruvium Partners, но европейские правила закупок запрещают ориентироваться на структуру собственности. «Нельзя ориентироваться на собственность или структуру собственности, — сказал Схолтес. — Так что вы можете рассматривать требования, связанные со знаниями для разработки услуг в области цифровой автономии. Вы можете рассматривать гибкость. Но моя мысль в том, что с нынешними требованиями вы не можете в достаточной степени ориентироваться на цифровую автономию». Это фундаментальное противоречие, которое выявляет данный случай. Даже когда государственные органы явно ищут суверенные решения, рыночная динамика и рамки закупок могут подорвать эти цели. Как отмечалось в одном из представленных комитету документов, текущая ситуация является результатом постепенного аутсорсинга без принятия единого стратегического решения о его целесообразности.
Три пути вперед
Во время слушаний в комитете эксперты наметили принципиально разные подходы. Некоторые выступали за работу в рамках новой реальности, используя договорные гарантии и технические меры для управления рисками. Logius изучает дополнительные меры защиты: шифрование данных в базах данных, ограничение доступа к платформе для нескольких сотрудников с явным протоколированием всех действий и, возможно, передачу некоторых задач Solvinity на внутреннее выполнение. Этот подход нашел поддержку у представителей отрасли, которые предостерегли от упрощения проблемы. Йелмер Шрейдер из NLdigital предупредил, что фокусироваться исключительно на стране происхождения поставщика — это слишком грубо. Дискуссия должна основываться на зрелом управлении рисками, а не на упрощениях вроде «отечественное = безопасное». Он подчеркнул, что практические гарантии, такие как обеспечение того, чтобы нидерландские госслужащие могли сотрудничать только в соответствии с нидерландским законодательством, часто обеспечивают более надежную защиту, чем юридические средства правовой защиты в ситуациях, выходящих за рамки прямого контроля. Марийн ван Влиет из Digital Infrastructure Netherlands Foundation добавил, что цифровая автономия охватывает больше, чем просто безопасность данных, включая экономическую устойчивость и геополитическое положение. Другие выступали за outright отклонение приобретения и создание европейских альтернатив. Йерун Вуда из суверенного облачного провайдера Uniserver утверждал, что цифровая суверенность — это не идеал, а стратегический выбор, доступный сегодня. «Знания, технологии и опыт существуют. Сегодня, а не завтра», — сказал он. Вуда призвал к государственно-частным партнерствам, где рыночные силы обеспечивают эффективность и инновации, а Нидерланды опираются на силу своего собственного цифрового сектора. Третья группа предложила средний путь. Морель из Университета Тилбурга предложила двойной подход — принятие некоторой зависимости при одновременном значительном инвестировании в европейские альтернативы для наиболее критической инфраструктуры. Вопрос, к которому все возвращались, заключался в том, какая инфраструктура является достаточно критичной, чтобы оправдать эти инвестиции. Остин резюмировала: «Было написано много видений. Но на простой вопрос — какая инфраструктура настолько критична, что ее следует обезопасить в первую очередь? — у нас пока нет ответа. Дорожной карты еще нет».
Призрак DigiNotar
Для Нидерландов ставки высоки. В 2011 году был взломан удостоверяющий центр DigiNotar, что привело к его банкротству и национальному кризису безопасности. Остин призвала вспомнить об этом. «Мы должны предотвратить кризис Solvinity, выбрав правильное направление», — сказала она. Крах DigiNotar продемонстрировал, как быстро сбои в цифровой инфраструктуре приводят к реальным последствиям. Правительство реагирует. За закрытыми дверями межведомственная рабочая группа уже несколько недель ведет переговоры с Solvinity и Kyndryl. Тем временем идут два независимых процесса оценки: оценка конкуренции со стороны Управления по делам потребителей и рынков; и оценка безопасности в рамках Закона о нежелательном контроле над телекоммуникациями. До завершения этих оценок сделка не может быть завершена. Logius также разработал пересмотренное видение своей инфраструктуры. Форбраак признал, что прошлые решения и договорные соглашения могут больше не соответствовать действительности. Конечная цель, по его словам, — разработать нидерландское облако, государственное облако, устраняющее зависимость от коммерческих сторон. Случай с Solvinity иллюстрирует проблемы, с которыми сталкиваются многие европейские правительства. Цифровая инфраструктура, которая казалась чисто технической — мощности серверов, хранение данных, сети — оказывается, имеет геополитический вес. Рамки закупок, разработанные для содействия конкуренции и предотвращения протекционизма, не были рассчитаны на учет юрисдикционного риска. А постепенный характер аутсорсинга означал, что к тому времени, когда стали ясны стратегические последствия, зависимость уже была укоренившейся. Нидерланды не одиноки в решении этих вопросов. По мере того как американское технологическое доминирование становится все более заметным, а геополитическая напряженность усиливается, каждая европейская страна должна решить: какая цифровая инфраструктура является слишком критичной, чтобы оставить ее уязвимой для иностранного контроля? Какой уровень зависимости приемлем? И сколько мы готовы инвестировать в альтернативы?
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор –