Dyskusje dotyczące suwerenności cyfrowej, rozumianej jako możliwość bezpiecznego i niezależnego funkcjonowania w gospodarce cyfrowej, często koncentrują się na powtarzających się pytaniach: gdzie przetwarzane i przechowywane są dane, kto ma do nich dostęp, jak zapewniona jest ciągłość działania oraz czy organizacje mogą korzystać z najnowszych technologii w sposób zgodny z obowiązującymi regulacjami? Poniżej przedstawiamy, jak te kwestie adresujemy oraz jakie rozwiązania są dostępne w Polsce.
Dla Microsoft suwerenność cyfrowa oznacza możliwość podejmowania decyzji na własnych warunkach – z pełną wolnością wyboru technologii, gwarancją prywatności i bezpieczeństwa oraz infrastrukturą, która pozostaje odporna nawet wtedy, gdy otoczenie staje się nieprzewidywalne.
Jakie rozwiązania zapewniające suwerenność cyfrową oferuje Microsoft w Polsce?
Suwerenna Chmura Publiczna: usługi chmurowe Microsoft (Azure, Microsoft 365, Dynamics 365, Power Platform, Security) świadczone we wszystkich istniejących regionach centrów danych Microsoft w Europie, zapewniające, że dane klientów pozostają na terenie Europy i podlegają prawu europejskiemu. Dostęp do danych i operacje są kontrolowane przez personel z Europy, a klienci mają pełną kontrolę nad szyfrowaniem (własne klucze). Rozwiązanie to nie wymaga żadnej migracji ze strony klientów; suwerenne funkcje są wbudowane w standardowe regiony chmurowe Microsoft w Europie, co łączy korzyści globalnej chmury publicznej z wymogami lokalnej suwerenności.
Suwerenna Chmura Prywatna: dedykowane środowisko chmurowe oparte na Azure Local (rozwiązaniu dostarczającym usługi Azure w infrastrukturze klienta lub lokalnego partnera). Pozwala to uruchamiać obciążenia w środowiskach odizolowanych lub hybrydowych, pozostających w pełni pod kontrolą klienta, co jest istotne np. dla zapewnienia ciągłości działania krytycznych systemów nawet przy braku łączności z globalną chmurą.
Kluczowe funkcje:
- Data Guardian: mechanizm zapewniający dodatkowy poziom kontroli nad dostępem do danych. Gwarantuje on, że tylko personel Microsoft mieszkający w Europie może zdalnie zarządzać systemami przechowującymi i przetwarzającymi dane klientów z Europy. Jeśli inżynier spoza Europy potrzebuje dostępu do tych systemów, taki dostęp jest monitorowany i zatwierdzany w czasie rzeczywistym przez personel z UE, a wszystkie operacje są rejestrowane w niezaprzeczalnym dzienniku audytu.
- External Key Management (EKM): funkcja umożliwiająca klientom pełne zarządzanie kluczami szyfrującymi używanymi w chmurze. Dzięki EKM klient może przechowywać klucze szyfrowania w swoim własnym urządzeniu HSM (w lokalnym centrum danych lub u zaufanego dostawcy), a usługi Azure będą z nich korzystać zamiast kluczy zarządzanych przez Microsoft. To rozszerzenie Azure Managed HSM daje klientom pełną kontrolę nad szyfrowaniem i dodatkową gwarancję ochrony danych – nawet fizyczne przechowywanie klucza pozostaje po stronie klienta.
- Regulated Environment Management: usługa, która upraszcza zarządzanie środowiskami o podwyższonych wymaganiach regulacyjnych. Regulated Environment Management jest centralnym panelem do konfiguracji i monitorowania wszystkich powyższych funkcji suwerenności w jednym miejscu. Umożliwia to łatwiejsze egzekwowanie polityk (np. zarządzanie ustawieniami Data Guardian, przeglądanie logów dostępu) oraz wdrażanie obciążeń w modelu suwerennym zgodnie z wymaganiami prawa. Innymi słowy, dostarcza narzędzia do spójnego zarządzania infrastrukturą chmurową w trybie suwerennym, od konfiguracji po nadzór.
- Otwarta i hybrydowa konstrukcja: Azure Arc umożliwia ujednolicone zarządzanie środowiskami wielochmurowymi i lokalnymi, wspierając strategie hybrydowe i multi-vendorowe.
Gdzie przechowywane są dane i kto ma do nich dostęp?
Od 2023 roku w Polsce działa region chmury Microsoft, dzięki czemu wszyscy polscy Klienci Microsoft mają dostęp do pełnej gamy usług Azure oraz Microsoft 365 z centrów danych ulokowanych w kraju.
Region spełnia wymogi suwerenności danych – przechowywanie danych na terenie Polski, krajowe regulacje i RODO, co jest kluczowe dla wielu branż o wrażliwych danych. Dzięki temu polskie firmy i instytucje mają dostęp do zaufanej, lokalnej platformy do transformacji cyfrowej o globalnym standardzie.
EU Data Boundary: od stycznia 2024 wszyscy europejscy klienci (komercyjni i publiczni) mogą przechowywać i przetwarzać swoje dane wyłącznie na infrastrukturze w UE/EFTA dla kluczowych usług chmurowych (Azure, Dynamics 365, Power Platform, Microsoft 365 itp.)
Brak bezpośredniego lub niekontrolowanego dostępu: Microsoft analizuje każdy wniosek administracji publicznej o dane i ujawnia informacje tylko wtedy, gdy prawo nas do tego zmusza, i tylko dla konkretnych kont wskazanych w nakazie. Nasze zasady są opisane w raporcie Government Requests for Customer Data.
Nie przekazujemy żadnemu rządowi kluczy szyfrowania ani możliwości łamania szyfrowania.
Poza EU Data Bundary zapewniamy klientom w Europie wiele sposobów zabezpieczania i szyfrowania danych. Oferta Confidential Compute w Azure uniemożliwia osobom trzecim – w tym Microsoftowi – dostęp do danych, ponieważ są przetwarzane w środowisku kontrolowanym wyłącznie przez klienta. Umożliwiamy też utworzenie „lockboxa” na dane w Azure, Dynamics 365 i Microsoft 365, gdzie klient musi zatwierdzić każdy dostęp Microsoftu do danych, który wymagany jest do wsparcia technicznego. Dodatkowo klient może zabezpieczyć dane własnymi kluczami szyfrowania zarządzanymi przez niego, a nie przez Microsoft, korzystając z Azure Key Vault i Purview Customer Key.
Suwerenna Chmura Microsoft oferuje też dodatkowe narzędzia do zabezpieczania danych, ochrony przed nieautoryzowanym dostępem i spełniania wymogów prawnych.
W Microsoft 365 i wybranych usługach Customer Lockbox pozwala klientom zatwierdzać prośby inżynierów o dostęp do danych i audytować związane z tym działania.
Azure Key Vault zapewnia dzienniki i alerty, aby można było monitorować operacje na kluczach. Klienci, którzy potrzebują niezmienialnych, odpornych na manipulacje zapisów aktywności, mogą korzystać z Azure Confidential Ledger.
Zobowiązanie „Defending Your Data”: Będziemy kwestionować każdy rządowy wniosek o dane klientów publicznych i biznesowych, jeśli mamy podstawę prawną, by to zrobić.
Jesteśmy też zobowiązani do pełnej przejrzystości i publikujemy regularne, szczegółowe raporty o takich żądaniach.
Czy mechanizmy suwerenności wymagają migracji lub ograniczają funkcjonalność?
W przypadku Suwerennej Chmury Publicznej Microsoft istnieje możliwość włączenia suwerennych mechanizmów w istniejących regionach europejskich bez konieczności migracji do oddzielnych centrów danych, zachowując pełne tempo innowacji dostępne w chmurze publicznej.
Suwerenna Chmura Prywatna zapewnia klientom jeszcze większą kontrolę, choć wiąże się z pewnymi ograniczeniami.
Kluczowe możliwości zaprojektowane z myślą o suwerenności:
- Data Guardian — europejskie zarządzanie operacjami i zatwierdzaniem dostępu.
- External Key Management — możliwość przechowywania kluczy szyfrowania we własnych modułach HSM (lokalnie lub u zaufanego partnera).
- Regulated Environment Management — konfiguracja i monitorowanie wszystkich mechanizmów suwerenności w jednym miejscu.
Co w przypadku, gdy wymagana jest pełna autonomia operacyjna?
Niektóre sektory potrzebują uruchamiać obciążenia w fizycznie kontrolowanym środowisku – w konfiguracjach podłączonych, hybrydowych lub całkowicie odłączonych.
Azure Local dostarcza usługi Azure bezpośrednio do lokalizacji Klienta – w centrach danych działających w kraju, lokalnie (on‑premises) lub w centrach danych prowadzonych przez partnerów.
Microsoft 365 Local zapewnia zweryfikowaną architekturę do uruchamiania kluczowych usług produktywności takich jak Exchange Server i SharePoint Server na Azure Local, z jednolitym zarządzaniem za pomocą narzędzi Azure.
Microsoft 365 Local jest teraz ogólnie dostępny, wprowadzając natywną obsługę podstawowych obciążeń produktywności (Exchange Server, SharePoint Server oraz Skype for Business Server) na Azure Local.
Azure Local obsługuje teraz znacznie większą skalę – setki serwerów, zewnętrzne macierze SAN oraz najnowsze procesory GPU NVIDIA.
Aby zapewnić wsparcie poufnych środowisk, Microsoft oferuje pełne możliwości typu full stack, które obsługują klientów w trybie połączenia stałego, połączenia przerywanego i offline. Rozszerzenie funkcji z lutego 2026 roku obejmuje trzy główne aktualizacje:
Operacje w trybie odłączonym w Azure Local (już dostępne) – organizacje mogą teraz uruchamiać infrastrukturę o znaczeniu krytycznym z zachowaniem mechanizmów zarządzania i kontroli zasad Azure, bez połączenia z chmurą, poprawiając ciągłość działania w środowiskach suwerennych, niejawnych lub izolowanych.
Operacje w trybie odłączonym w Microsoft 365 Local (już dostępne) – podstawowe obciążenia produktywności, Exchange Server, SharePoint Server i Skype for Business Server mogą działać w pełni wewnątrz suwerennej granicy operacyjnej klienta na Azure Local, zapewniając ciągłość pracy zespołów nawet bez dostępu do chmury.
Foundry Local oferuje nowoczesne możliwości infrastrukturalne i wsparcie dla dużych modeli AI – organizacje mogą teraz wprowadzać duże modele AI do całkowicie odłączonych, suwerennych środowisk dzięki Foundry Local. Korzystając z nowoczesnej infrastruktury partnerów takich jak NVIDIA, klienci o wysokich wymaganiach suwerenności mogą uruchamiać lokalnie modele multimodalne na własnym sprzęcie, w ścisłych granicach suwerenności, umożliwiając zaawansowane lokalne wnioskowanie AI w środowiskach całkowicie odłączonych od sieci.
Czy możemy przenieść nasze dane?
Suwerenność i możliwość przenoszenia danych idą ze sobą w parze.
Otwartość jako fundament: Azure wspiera otwarte standardy, otwarte środowiska uruchomieniowe oraz szeroki ekosystem partnerów.
Usługi chmurowe Microsoft zostały zaprojektowane z myślą o otwartości i elastyczności. Klienci mogą w każdej chwili wyeksportować swoje dane, korzystając z dobrze udokumentowanych procedur oraz powszechnie wspieranych, branżowych formatów.
Brak barier wyjścia: Microsoft nie stosuje żadnych zastrzeżonych, zamkniętych mechanizmów, które ograniczałyby możliwość przeniesienia danych lub obciążeń do innych platform. To zobowiązanie gwarantuje pełną kontrolę, swobodę wyboru i brak ryzyka uzależnienia od jednego dostawcy.
Czy Microsoft wspiera rozwiązania open source?
Technologie open source umożliwiają produktom i usługom Microsoft dostarczanie klientom większego wyboru, nowoczesnych technologii oraz wsparcia społeczności. Suwerenność cyfrowa wymaga otwartości, a otwarte standardy i technologie open source są wykorzystywane w całej naszej infrastrukturze.
Zgodnie z Open‑Source Contributor Index (OSCI) Microsoft zajmuje 2. miejsce na świecie, z 5 079 aktywnymi kontrybutorami oraz 11 217 członkami społeczności. Microsoft jest jednym z filarów globalnej innowacji open source.
Jakie stanowisko ma Microsoft wobec odporności, nadzoru i zarządzania bezpieczeństwem w Europie?
Mamy sformalizowane zobowiązania, aby klienci mogli planować w perspektywie długoterminowej.
Zobowiązanie dotyczące odporności cyfrowej. Zobowiązujemy się kwestionować każdy nakaz dotyczący zawieszenia lub zaprzestania działania usług chmurowych w Europie, wykorzystując wszystkie dostępne środki prawne, w tym prowadząc postępowania sądowe. To zobowiązanie ma moc prawną wobec Microsoft Corporation oraz wszystkich jej spółek zależnych. Nasze zobowiązania w zakresie odporności cyfrowej zostały włączone do wszystkich odpowiednich kontraktów rządowych.
Przechowujemy kopie zapasowe naszego kodu w bezpiecznym repozytorium w Szwajcarii oraz zapewnimy europejskim partnerom prawa konieczne do uzyskania dostępu i wykorzystania tego kodu, jeśli zajdzie taka potrzeba.
Nadzór rady europejskiej. Utworzyliśmy europejską radę dyrektorów, złożoną z obywateli europejskich, która sprawuje wyłączny nadzór nad wszystkimi operacjami centrów danych zgodnie z prawem europejskim.
Europejski Program Bezpieczeństwa. Bezpłatnie współdzielimy informacje o zagrożeniach opartych na AI, budujemy zdolności oraz partnerstwa (w tym z Europolem) na rzecz rządów w UE, EFTA, Wielkiej Brytanii i innych państwach. Powołaliśmy także stanowisko Zastępcy CISO na Europę, który jest skoncentrowany na rozwijających się regulacjach takich jak DORA, NIS2 czy Cyber Resilience Act.
Globalne zdolności w zakresie cyberbezpieczeństwa. Platforma bezpieczeństwa Microsoft analizuje ponad 84 bilionów sygnałów o zagrożeniach dziennie, tworząc jeden z największych i najbardziej zróżnicowanych zbiorów danych o zagrożeniach na świecie, pomagając chronić klientów w Polsce i na całym świecie przed ewoluującymi cyberatakami. Microsoft blokuje ponad 7 000 ataków hasłowych na sekundę i monitoruje działania ponad 1 500 aktorów zagrożeń na całym świecie.
W jaki sposób można domyślnie zapewnić transparentność i możliwość weryfikacji?
Trust Center. Nasze Trust Center centralizuje certyfikacje, raporty z audytów, dokumentację dotyczącą ochrony danych (w tym DPA) oraz treści dotyczące zgodności dla poszczególnych produktów.
Klienci mają prawo przeprowadzić audyt, o ile spełnione są niezbędne warunki.
Government Security Program. W przypadku administracji państwowej upoważnione instytucje mogą przeglądać kod źródłowy Microsoft w bezpiecznych Transparency Centers (w tym w Irlandii).
Dwuroczne raporty transparentności. Publikujemy szczegółowe, globalne raporty dotyczące wniosków administracji publicznej o dostęp do danych klientów i naszych odpowiedzi.
Bezpieczeństwo danych. Używamy branżowych, bezpiecznych protokołów transportu, takich jak IPsec i TLS, między centrami danych a urządzeniami użytkowników. Dane w spoczynku są chronione dzięki podwójnemu szyfrowaniu, szyfrowaniu na poziomie usług oraz szyfrowaniu dysków. Azure Confidential Computing umożliwia szyfrowanie nawet podczas przetwarzania danych.
Zgodność z prawem. Microsoft zobowiązuje się do przestrzegania wszystkich przepisów i regulacji mających zastosowanie do dostarczania produktów i usług, w tym przepisów dotyczących zgłaszania naruszeń bezpieczeństwa oraz ochrony danych (w tym RODO i szwajcarskiego prawa o ochronie danych).
Jak Microsoft inwestuje w Polsce?
Microsoft działa w Polsce od 33 lat, wspierając transformację cyfrową kraju i jego konkurencyjność na arenie międzynarodowej.
Firma zatrudnia obecnie ponad 450 osób i rozwija ekosystem partnerski współpracując z 8400 firmami w Polsce, z czego 90 proc. to rodzime przedsiębiorstwa.
W 2023 roku otworzyliśmy pierwszy region przetwarzania danych Microsoft w Europie Środkowo-Wschodniej. Przeszkoliliśmy wtedy ponad 430 tys. osób.
W lutym 2025 roku Microsoft ogłosił inwestycję 2,8 mld zł w rozbudowę hiperskalowej infrastruktury chmurowej i sztucznej inteligencji (AI) w Polsce, a także współpracę z polskim resortem obrony narodowej w celu stworzenia zakresu działań wzmacniających krajowe bezpieczeństwo cybernetyczne.
Inwestycja ta to kolejny etap naszej długofalowej strategii rozwoju Microsoft w Polsce, zapoczątkowanej w 2020 roku inicjatywą „Polska Dolina Cyfrowa” (1 miliard USD na realizację planu zakładającego długoterminowe inwestycje w podnoszenie kwalifikacji, silne lokalne partnerstwa, wsparcie transformacji cyfrowej oraz dostęp do najnowszych technologii chmury obliczeniowej).
W listopadzie 2024 ogłosiliśmy iniciatywę AI National Skill Initiative i podjęliśmy zobowiązanie zaangażowania miliona osób w Polsce w naukę AI. Osiągnęliśmy to dzięki współpracy z licznymi Partnerami – od organizacji pozarządowych i edukacyjnych po grupy branżowe, środowiska akademickie i fundacje non-profit.
Kontynuujemy swoje wieloletnie zobowiązanie do podnoszenia kompetencji cyfrowych w kraju. W listopadzie 2025 ogłosiliśmy kolejne inwestycje w rozwój i profesjonalizację kompetencji AI w Polsce, w tym porozumienie o współpracy z Ministerstwem Edukacji Narodowej. Programy szkoleniowe realizowane wspólnie z partnerami są skierowane do kluczowych grup społecznych: edukatorów (nauczycieli, dyrektorów szkół), uczniów szkół podstawowych i ponadpodstawowych, organizacji pozarządowych oraz przedstawicieli sektora publicznego (w tym samorządowców i decydentów).