Jeigu jūsų organizacija naudoja „cloud“, SaaS ar dirba su tarptautiniais partneriais — ši tema jau yra jūsų realybė, net jei veikiate ne ES teritorijoje.

Europos Sąjunga pastaraisiais metais tapo viena stipriausių reguliavimo jėgų pasaulyje. BDAR, TIS2 (NIS2), DORA, AI Act, Cyber Resilience Act – tai ne tik vietiniai teisės aktai. Jie daro įtaką globalioms IT sistemoms.

Šis reiškinys vadinamas „Brussels effect“ – kai ES nustatyti standartai tampa de facto pasauliniais standartais, nes įmonės pasirenka taikyti vieningą modelį visose rinkose.

Kartu stiprėja ir duomenų suvereniteto principas – duomenys turi būti tvarkomi pagal tos jurisdikcijos teisę, kuriai jie priklauso, nepriklausomai nuo to, kur fiziškai yra serveriai.

Ir čia prasideda realūs architektūriniai iššūkiai.

Problema: globali IT sistema ≠ viena teisinė sistema

Tarptautinės organizacijos dažnai veikia taip:

• ES klientų duomenys laikomi viename regione,

• JAV klientų duomenys – kitame,

• infrastruktūra – „multi-cloud“,

• tiekėjai – iš kelių jurisdikcijų.

Tačiau ES teisės aktai veikia plačiau nei teritorija.

Jei:

• jūsų klientas yra ES,

• jūsų partneris veikia ES,

• jūsų tiekėjas dirba su ES organizacija,

• jūsų duomenys apima ES piliečius,

— jūs patenkate į ES reguliacinį lauką.

Net jei jūsų pagrindinė būstinė yra už ES ribų.

Kaip „Brussels effect“ veikia tarptautines IT sistemas

1. Architektūra projektuojama pagal griežčiausią modelį

Įmonės suprato vieną dalyką: pigiau turėti vieną aukštą standartą visame pasaulyje, nei kurti kelias skirtingas sistemas.

Todėl ES reikalavimai tampa:

• prieigos valdymo standartu,

• incidentų ataskaitų standartu,

• tiekėjų vertinimo standartu,

• šifravimo standartu,

• duomenų saugojimo standartu.

Tai reiškia, kad net JAV ar Azijos klientai dažnai gauna „ES lygio“ duomenų apsaugą.

2. Duomenų suverenitetas ≠ tik serverio lokacija

Didžiausia klaida – galvoti, kad pakanka turėti „EU region“ debesijoje.

Duomenų suverenitetas apima:

• kas turi prieigą prie duomenų,

• kokia jurisdikcija gali reikalauti prieigos,

• kur vyksta duomenų apdorojimas,

• kaip valdomas perdavimas tarp regionų,

• ar tiekėjų sub-procesoriai yra patikimi.

Pavyzdys:

Jei jūsų SaaS tiekėjas turi support komandą už ES ribų, kuri gali matyti klientų duomenis – tai jau suvereniteto klausimas.

Jei jūsų cloud tiekėjas yra JAV jurisdikcijoje, gali atsirasti konfliktas tarp ES ir JAV teisės.

Tai jau ne IT detalė. Tai – valdybos rizika.

3. Tiekimo grandinė tampa reguliavimo kanalu

Nauji ES teisės aktai (pvz., TIS2, DORA, CRA) labai stipriai akcentuoja trečiųjų šalių riziką.

Tai reiškia:

• Jūsų tiekėjas turi atitikti reikalavimus.

• Jūsų partneris turi atitikti reikalavimus.

• Jūsų sub-tiekėjai turi atitikti reikalavimus.

Net jei jie yra už ES ribų.

Taip ES reguliavimas „eksportuojamas“ per sutartinius santykius.

Praktiniai klausimai C-level ir IT vadovams

Jeigu esate CEO, CISO ar IT vadovas, verta užduoti šiuos klausimus:

1. Ar žinome, kur fiziškai ir teisiškai yra mūsų duomenys?

2. Ar mūsų cloud tiekėjas gali būti veikiamas trečiosios šalies teisės?

3. Ar mūsų architektūra leidžia izoliuoti ES duomenis?

4. Ar mūsų incidentų procesai atitinka ES terminus?

5. Ar mūsų tiekimo grandinė gali įrodyti atitiktį?

Jeigu į bent du klausimus atsakymas „nežinome“ – turite strateginę riziką.

Ką daryti praktiškai?

1. Atlikti jurisdikcinį IT žemėlapį

Ne tik infrastruktūros, bet ir:

• duomenų srautų,

• prieigos modelių,

• sub-procesorių,

• support prieigų.

2. Įvertinti „cloud dependency risk“

Ar jūsų tiekėjas:

• turi aiškias ES duomenų apsaugos garantijas?

• turi regioninę izoliaciją?

• leidžia kontroliuoti prieigos teises?

3. Įdiegti „compliance by design“

Projektuojant naujas sistemas:

• šifravimas pagal nutylėjimą,

• segmentacija,

• audit trail,

• prieigos kontrolė,

• incidentų registravimas.

4. Centralizuoti atitikties įrodymus

Kai reguliatorius ar klientas klausia – atsakymas neturi būti projektas. Jis turi būti paruoštas.

Strateginė realybė

„Brussels effect“ reiškia, kad ES teisės aktai tampa pasauliniais standartais.

Duomenų suverenitetas reiškia, kad IT architektūra tampa teisiniu klausimu.

Tai nebėra tik IT departamento tema.

Tai:

• konkurencinis pranašumas,

• rizikos valdymo klausimas,

• rinkos prieigos klausimas,

• reputacijos klausimas.

Išvada

Jeigu jūsų organizacija veikia globaliai, jūs jau esate ES reguliacinės ekosistemos dalis – net jei to dar nejaučiate. Tarptautinės IT sistemos šiandien turi būti projektuojamos taip, lyg ES reikalavimai būtų pasaulinis standartas. Nes daugeliu atvejų taip ir yra.