„Gdzie są nasze dane?” to pytanie, które coraz częściej zadaje nie dział IT, lecz prezes, audytor albo klient przed podpisaniem umowy. Kilka lat temu odpowiedź „w chmurze” zadowalała wszystkich. Dziś to za mało: RODO wymaga wiedzy, czy dane pozostają w Europejskim Obszarze Gospodarczym, DORA i NIS2 wymagają udokumentowania lokalizacji każdego krytycznego dostawcy, a klienci z sektora publicznego lub finansowego czasem po prostu wymagają centrum danych we własnym kraju.
Na rynku krążą jednocześnie dwa mity. Pierwszy: dane za granicą są automatycznie niebezpieczne albo niezgodne z prawem. Drugi: lokalne centrum danych to niepotrzebny sentymentalizm, bo więksi dostawcy mają regiony w UE i to wszystko załatwia. Oba są błędne, a prawda zależy od tego, co robi Twój system i przed kim odpowiadasz.
W tym artykule dzielimy kwestię lokalizacji danych na cztery praktyczne aspekty: szybkość, prawo, zgodność i odporność, i wyjaśniamy, jak połączyć je w decyzję.
Opóźnienia: fizyka, której nie obejdziesz
Pierwszy aspekt jest techniczny i często niedoceniany. Sygnał biegnie światłowodem ze skończoną prędkością, a każdy przeskok w sieci dodaje własne opóźnienie. Z biura w dużym mieście do centrum danych w tym samym kraju opóźnienie wynosi kilka milisekund. Do najbliższych regionów hiperskalerów w Europie Północnej lub w Niemczech – dziesiątki milisekund.
Przy stronie internetowej czy poczcie różnicy nie zauważysz. Ale niektóre systemy wysyłają do serwera mnóstwo drobnych zapytań przy każdej operacji: aplikacje księgowe i ERP, serwery terminalowe, pulpity zdalne, bazy danych z wieloma odczytami oraz praca BIM i CAD na serwerze plików. Tam opóźnienie mnoży się przez tysiące zapytań i zamienia w doświadczenie użytkownika, w którym aplikacja „wisi”, choć serwer w ogóle nie jest obciążony.
Z naszego doświadczenia to najczęstszy powód, dla którego firmy po pół roku wracają z regionu zagranicznego do lokalnego centrum danych: nie z powodu bezpieczeństwa, lecz dlatego, że księgowość narzekała na wolny ERP lub serwer terminalowy.
RODO i transfery danych: co faktycznie jest zabronione
Aspekt prawny bywa niezrozumiany. RODO nie wymaga przechowywania danych we własnym kraju. Wymaga, aby przetwarzanie danych osobowych odbywało się w Europejskim Obszarze Gospodarczym lub w krajach, którym Komisja Europejska uznała odpowiedni poziom ochrony, a w pozostałych przypadkach, aby stosować dodatkowe zabezpieczenia i dokumentować transfer.
W praktyce oznacza to:
- Centrum danych w Niemczech, Holandii lub Szwecji jest z punktu widzenia RODO równoważne centrum danych w Polsce. Nie są potrzebne dodatkowe umowy o transferze.
- Problem pojawia się, gdy dostawca może przenieść dane poza EOG: do regionów w USA, zespołów wsparcia w Azji, podwykonawców w krajach trzecich. Wtedy potrzebne są standardowe klauzule umowne, ocena skutków transferu i jasna odpowiedź dla audytora.
- Liczy się nie tylko lokalizacja danych podstawowych, ale też kopii zapasowych, logów i dostępu wsparcia. Umowa z dostawcą powinna wymieniać kraje, w których dane mogą się znaleźć.
W ofertach szukaj nie słowa „bezpieczny”, lecz konkretnego kraju i listy podprocesorów.
DORA i NIS2: obowiązek znania i dokumentowania lokalizacji
Jeśli firma podlega DORA (instytucje finansowe i ich dostawcy IT, obowiązuje od 17 stycznia 2025 r.) albo NIS2 (dyrektywa UE wdrożona do prawa krajowego każdego państwa członkowskiego, obejmująca sektory ważne i kluczowe), lokalizacja danych przestaje być wyborem, a staje się udokumentowanym obowiązkiem.
Oba akty wymagają rejestru zewnętrznych dostawców IT, w którym podaje się, jakie usługi dostawca świadczy, gdzie są świadczone, gdzie przechowywane są dane i jaka jest strategia wyjścia. DORA dodatkowo wymaga oceny ryzyka koncentracji: czy zbyt wiele funkcji krytycznych zależy od jednego dostawcy lub jednej lokalizacji geograficznej.
Praktyczna różnica między dostawcą lokalnym a odległym sprowadza się tu do weryfikowalności. Centrum danych w Twoim kraju można odwiedzić, jego operator odpowiada na gruncie polskiego prawa, a umowę negocjuje się bezpośrednio. W przypadku hiperskalera dostajesz standardowe warunki i certyfikaty, które musisz umieć przeczytać i dopasować do swojego rejestru. Obie opcje są zgodne z prawem, ale druga wymaga więcej pracy dokumentacyjnej. Więcej piszemy o tym w sekcjach o DORA i NIS2.
Kopie zapasowe w innym kraju: odporność, a nie sprzeczność
Tu często pojawia się zamieszanie: skoro dane mają być w Twoim kraju, czy kopie zapasowe mogą być za granicą? Odpowiedź brzmi: nie tylko mogą, ale często powinny. Z punktu widzenia odporności jedno centrum danych, choćby najlepsze, to pojedynczy punkt awarii. Pożar, długotrwała awaria zasilania, regionalna katastrofa: wszystko to musi obejmować plan ciągłości działania, którego wymagają zarówno ISO 27001, jak i DORA.
Nasz model wygląda tak: dane i systemy podstawowe działają w naszym centrum danych na Litwie (UE), a kopie zapasowe są na życzenie powielane w centrum danych Amazon (AWS) w Niemczech. Niemcy leżą w UE, więc z punktu widzenia RODO nie jest to transfer do kraju trzeciego, a odległość geograficzna sprawia, że jedno zdarzenie nie dotknie obu lokalizacji. Część klientów dodatkowo korzysta z niezmienialnych kopii zapasowych (immutable backup), których nie można zmienić i które są niewidoczne z sieci, tak że nawet przejęty serwer nie oznacza utraty kopii.
Kiedy właściwym wyborem jest region UE hiperskalera
Byłoby nieuczciwe twierdzić, że lokalne centrum danych jest zawsze lepsze. Region hiperskalera (Microsoft Azure, AWS) w UE jest właściwym wyborem, gdy:
- System został zbudowany pod usługi chmurowe, a nie serwery: korzysta z zarządzanych baz danych, funkcji, kolejek i usług AI, których lokalne centrum danych nie oferuje.
- Użytkownicy są rozproszeni po Europie lub świecie, a Twój kraj nie jest ich środkiem.
- Potrzebujesz nagłej, dużej elastyczności, na przykład setek serwerów na kilka godzin.
- Już korzystasz z Microsoft 365 i chcesz zarządzać tożsamościami, bezpieczeństwem i danymi w jednym ekosystemie przez Entra ID i Azure.
W takich przypadkach sami polecamy Microsoft Azure i pomagamy wybrać region oraz skonfigurować ograniczenia lokalizacji danych tak, aby dane nie opuszczały UE.
Kiedy lepsze jest lokalne centrum danych
Z kolei lokalne centrum danych wygrywa, gdy:
- Systemy są wrażliwe na opóźnienia: księgowość, ERP, serwery terminalowe, stacje robocze GPU, bazy danych z wieloma transakcjami.
- Potrzebujesz kogoś, kto odpowiada za cały serwer, a nie tylko za platformę: aktualizacje, kopie zapasowe, ochronę, i z kim możesz porozmawiać przez telefon w swoim języku.
- Klienci, audytorzy lub wewnętrzna polityka wymagają danych we własnym kraju i dostawcy działającego na gruncie polskiego prawa.
- Obciążenie jest stałe i przewidywalne, a rozliczenie hiperskalera według zużycia robi się trudne do prognozowania.
Model hybrydowy: zwykle właściwa odpowiedź
Dla większości firm najlepszą odpowiedzią nie jest „albo, albo”. Typowa architektura, którą widzimy i polecamy: kluczowe systemy biznesowe i serwery plików na serwerach objętych opieką w lokalnym centrum danych, poczta i współpraca w Microsoft 365, tożsamości w Entra ID, kopie zapasowe w dwóch krajach, a konkretne usługi chmurowe w regionie Azure w UE w miarę potrzeb.
W takim modelu każdy system działa tam, gdzie sprawdza się najlepiej, a lokalizacja danych każdego z nich jest znana i udokumentowana. Tego właśnie wymaga audytor: nie jednego kraju, lecz jasnej odpowiedzi dla każdego systemu.
Od czego zacząć
- Wypisz swoje systemy i przy każdym zapisz, gdzie działa, gdzie są jego kopie zapasowe, kto ma dostęp i skąd. To podstawa Twojego rejestru dostawców.
- Sprawdź, czy któryś system może trafić poza EOG, w tym przez dostęp wsparcia i podwykonawców.
- Zmierz opóźnienie ze stanowisk pracy do obecnych serwerów. Jeśli systemy „wiszą”, to często jest przyczyna.
- Zdecyduj, które systemy potrzebują lokalnego centrum danych, a które mogą działać w regionie UE, i zadbaj, żeby kopie zapasowe były w innym miejscu niż dane podstawowe.
- Jeśli potrzebujesz pomocy w ocenie, nasza usługa oceny ryzyka obejmuje analizę dostawców i lokalizacji danych, a serwery CLOUD z opieką w naszym centrum danych na Litwie (UE) to fundament, od którego zaczyna się większość modeli hybrydowych.
