Евросоюз на пути к цифровому суверенитету

Россия последние десять лет последовательно выстраивала систему импортонезависимости, пока Европа полагалась на глобальные цепочки поставок. Критическую уязвимость своей ИТ-инфраструктуры ЕС осознал только после пандемии COVID-19, торговых войн США и Китая и начала украинского конфликта в 2022 году. На повестке резко встал вопрос достижения технологической независимости — и европейские регуляторы обратились к тем инструментам, которые уже давно работают в России. Да, порой Евросоюз копирует российский опыт цифрового суверенитета, хотя никогда в этом не признается, но сможет ли воспроизвести наш подход целиком? Генеральный директор компании «Киберпротект» Алексей Бадаев рассуждает об этом в колонке для «Ъ Технологии».

Россия постоянно сталкивается с вызовами — санкциями, атаками на инфраструктуру — и рассматривает цифровой суверенитет как экзистенциальную задачу. От успешности ее решения зависят не только доступность госсервисов, работа банков и оборонной промышленности в условиях изоляции со стороны недружественных стран, но и возможность существования и развития собственной ИТ-отрасли. Этим обусловлена жесткость принятой модели: централизованное регулирование госсектора и критической инфраструктуры, поддержка отрасли через льготы и приоритеты финансирования, строгая ответственность за несоблюдение требований закона.

Евросоюз все это время жил в других условиях: в отдельных отраслях сбои рыночного механизма он относительно успешно компенсировал мощными протекционистскими союзами. Исторически это касалось самых разных сфер: от агропрома до культуры. Airbus смог конкурировать с Boeing благодаря консолидации европейских производителей при прямой поддержке правительств Франции и Германии. Субсидии фермерам десятилетиями позволяли держать удар со стороны американских холдингов. Квоты на локальный контент защитили французский и немецкий рынки кино и музыки от Голливуда.

Но эта модель не сработала в ИТ. Европа взялась за дело слишком поздно, когда Microsoft, Google, Amazon и Oracle уже захватили базовые слои инфраструктуры: облака, операционные системы, СУБД. (Вспомните наш ИТ-рынок 20 лет назад). По данным доклада EuroStack фонда Bertelsmann Stiftung, 80% цифровых технологий и инфраструктуры Европы импортируются. На европейские компании приходится лишь 7% мировых расходов на ПО и интернет. Поэтому Европа, хоть и с опозданием, но начала подавать сигналы о стремлении к самостоятельности. Осенью 2025-го группа евродепутатов предложила отказаться не только от продуктов Microsoft, но даже от мониторов Dell и LG, а в начале июня 2026 года Европарламент сделал французский Qwant поисковиком по умолчанию для 720 депутатов и тысяч сотрудников.

Если отбросить риторику о «демократических ценностях» и оценить сухие факты законотворчества последних двух-трех лет, я вижу как минимум четыре очевидных заимствования.

Критическая инфраструктура. В России действует жесткая связка закона о безопасности КИИ (№187-ФЗ) и требований ФСТЭК/Минцифры, а также указы президента, поддерживающие импортонезависимость КИИ. Компании обязаны провести аудит, категорировать свои объекты и перейти на отечественное ПО из единого реестра, а где нужно — сертифицированное ФСТЭК. Нарушения грозят штрафами и предписаниями ФСТЭК.

ЕС движется в том же направлении, но менее решительно. Прямого аналога нашего реестра там нет, но на основе отраслевых отчетов Еврокомиссии формируется перечень критически важных поставщиков. Цель та же — инвентаризация активов, после которой выделяются субсидии на отказ от американского стека, например через механизм IPCEI (Important Projects of Common European Interest). Общеевропейская директива по кибербезопасности NIS2 предполагает штраф за слабую защиту (до 10 млн евро или 2% от годового оборота), но не за происхождение самого софта. Отсутствие ответственности превращает такие перечни в инструменты лоббизма ради бюджетных денег, а не реального импортозамещения.

Госзакупки. У нас преференции отечественным решениям прописаны в законах №44-ФЗ и №223-ФЗ. Притеснения иностранных решений на законодательном уровне ЕС нет: это шло бы вразрез с принципом недискриминации, который лежит в основе соглашения по правительственным закупкам в рамках ВТО, и правилами самого ЕС. Протекционизм же де-факто есть.

Германия продвигает стратегию Unser Land («Наша земля») — негласный стандарт приоритетности национальных поставщиков. Аналогичные протекционистские рекомендации действуют в Испании, Италии и Франции.

Результаты сомнительны: ни один крупный тендер на поставку инфраструктурного ПО или оборудования связи в странах ЕС не обошелся без участия крупных американских интеграторов. Показателен и тендер Еврокомиссии на €180 млн в рамках Cloud III Dynamic Purchasing System. Поставщиков оценивали по восьми критериям «суверенности», и все четыре победивших консорциума европейские. Но в одном из них участвует S3NS — совместное предприятие Thales и Google Cloud. Получается, что даже «суверенный» тендер не прошел без американского гиперскейлера.

Иностранный софт и данные. Европейский ответ — Cyber Resilience Act. Прямого запрета в нем нет, требования формально одинаковы для всех производителей. С сентября 2026 года они обязаны сообщать регуляторам об уязвимостях и инцидентах. С декабря 2027-го каждый продукт с цифровыми элементами должен будет пройти оценку соответствия. Крупный вендор заложит это в издержки. Тот, кто и так сомневался в европейском рынке, получает удобный повод из него уйти. С данными европейцы действуют тоньше, чем мы. Российский закон о персональных данных с 2015 года прямо требует хранить персональные данные граждан внутри страны. Общий регламент по защите данных Евросоюза такого требования не содержит, но настолько ограничивает передачу данных за пределы ЕС, особенно в США, что многие компании предпочитают держать их в Европе.

Контроль капитала. В России участие иностранцев в капитале ИТ-компаний, работающих с госсектором и КИИ, жестко ограничено. Компания под иностранным контролем (более чем 50% голосов по голосующим акциям) может работать в России, но ее программы не попадают в реестр российского ПО, а значит, не допускаются в госсектор и КИИ. В ЕС с 2020 года действует регламент о проверке прямых иностранных инвестиций (FDI Screening Regulation). Его новая редакция начнет применяться с 2028 года. Она вводит для стран-членов ЕС обязательную проверку инвестиций в чувствительные сектора (полупроводники, ИИ, квантовые и цифровые технологии) на предмет угроз национальной безопасности.

Первый урок — фрагментация. В реестре Минцифры около сотни систем виртуализации. Когда разработчиков слишком много, они конкурируют за ограниченный бюджет, отчаянно демпингуют и не успевают окупить вложения и довести продукт до зрелости, прежде чем закончится цикл финансирования. Из Брюсселя хорошо видна эта ошибка, поэтому ЕС делает ставку на крупные консорциумы национальных чемпионов — SAP, Atos, Thales, OVHcloud. Свободный рынок свободным рынком, но небольшой европейский ИТ-стартап никогда не станет поставщиком Rheinmetall, даже если очень постарается.

Второй урок — отказ от монопоставщиков. Здесь неожиданным ориентиром для Европы стали российские гиганты «Газпром», «Росатом» и РЖД. Они давно практикуют мультивендорный подход, чтобы не зависеть от одного поставщика ERP-систем или баз данных. Я лично слышал, как представители SAP неоднократно жаловались на то, что крупный российский заказчик никогда не отдает весь контур одному вендору, так как архитектура изначально строится на распределении рисков.

ЕС будет заимствовать российскую модель по частям. Побуквенного копирования не получится по двум основным причинам.

Первая — политическая децентрализация. В России действует жесткая вертикаль, единый центр принятия решений и контроль за беспрекословным выполнением распоряжений государства. ЕС — это объединение 27 государств, каждое из которых преследует собственные интересы, несмотря на внешнее согласие. Договориться о едином стандарте шифрования или единых правилах закупок даже сложнее, чем разработать саму технологию. Франция будет тянуть одеяло на себя через Thales и Dassault, Германия — на себя (для этого у нее есть SAP и Siemens).

Вторая — разница в целях. Для нас суверенный софт — условие физического существования страны и экономики, поэтому рынок и государство играют одной командой перед лицом реальной угрозы. Для европейцев это способ снизить зависимость от США. Участники рынка там пока пытаются делить бюджет и усидеть на двух стульях, лавируя между требованиями Вашингтона и брюссельской бюрократией.

Брюссель, как мне кажется, пойдет по пути углубления скрытого протекционизма посредством законодательной централизации, новых партнерств и военно-технической изоляции.

Единые директивы ЕС о цифровых закупках юридически закрепят право стран-членов отдавать приоритет «своим». Давление на нормы ВТО в этой сфере усиливается, и Европа готова предать принципы свободной торговли ради технологического выживания.

В технологическом партнерстве ЕС идти особо некуда: Китай сам считается глобальной угрозой номер один, Россия списана со счетов по политическим причинам. Поэтому взгляды, полные надежды, устремлены на Индию как на источник кадров и на Японию с ее высокотехнологичным железом. Отдельным направлением станет сближение со странами Персидского залива, которые сейчас пересматривают свою зависимость от США.

Самый сложный участок — независимость в сфере военного ИТ. Американская военная машина глубоко интегрирована в командные структуры европейского альянса. Проект EDIS (European Defence Industrial Strategy) и другие инициативы по созданию независимого военного облака буксуют из-за инерции НАТО. Полный разрыв этих связей займет годы, если не десятилетия, и наблюдать за этим процессом предстоит еще нескольким поколениям политиков.

Европа больше не хочет быть цифровым вассалом Кремниевой долины. Собрать Airbus Европа смогла. Собрать облачный стек, который заменит американский, — пока нет. Ошибки, которые Россия совершила на пути достижения технологического суверенитета, будут материалом, на котором Европа будет учиться. Не стоит думать, что процесс будет легким: перевести парадигму свободного рынка на рельсы мобилизационной экономики одним росчерком пера еврочиновника невозможно.