- share :
「メール、会計、顧客管理、勤怠まで、日々の業務が海外クラウドの上で動いているものの、そのデータがどの国で処理されているのか即答できない」
こうした不安を抱える中小企業の経営者や情報システム担当者が増えています。契約書を読んでも責任分担が判然とせず、取引先からデータ管理を問われても回答に詰まる、というのが本音ではないでしょうか。
そんな中、欧州連合（EU）は2025年10月に総額最大1.8億ユーロ規模の主権クラウド共通調達を公示し、2026年4月にはこの基準に沿って欧州系4社へ発注しました。今、世界はクラウドを価格と機能だけで選ぶ段階から、データ所在地・適用法令・供給網まで含めて判断する段階へと潮流が動いているのです。日本の企業にも、遠くない将来に取引先や監督当局を経由して同じ論点が届く可能性があります。
本記事では、EUが導入した「Cloud Sovereignty Framework」の中身と、そこから日本の中小企業が抽出すべき実務の勘所を整理します。DX（デジタルトランスフォーメーション）推進の現場で自社のクラウド契約とデータ配置を「止まったとき・返してもらうとき」の視点で見直す、最初の一歩がつかめるヒントを得てください。
【本記事の要点】
- EUは8つの主権目標とSEAL0〜4の評価軸を導入し、価格・機能に加え「法域リスク」「所有関係」「供給網の透明性」が調達要件になった
- 米CLOUD Actや中国サイバーセキュリティ法など非EU法域による強制的データアクセスの可能性が、正式な評価項目に含まれる
- 日本の中小企業にも取引先・金融機関・行政を経由して要求水準が波及し、依存関係の可視化は現実の経営課題となる
- 全社データの国内化ではなく、機微度に応じた濃淡ある管理設計（棚卸し・分類・契約確認・代替手段）が判断の要となる
EUが示した「主権クラウド」の新しい調達基準とは
欧州委員会は2025年10月に総額最大1.8億ユーロ規模の主権クラウド共通調達を公示し、独自の「Cloud Sovereignty Framework」を実装しました。本章では、フレームワークが定義する8つの主権目標、SEALと呼ばれる採点方式、そして2026年4月に確定した発注先までを整理します。この動きが日本企業に何を示唆するのかを掴む前提になります。
8つの主権目標（SOV-1〜SOV-8）の全体像
EUは、クラウドを次の8軸で調達候補を評価しています。
- 戦略
- 法・管轄
- データ／AI
- 運用
- サプライチェーン
- 技術
- セキュリティ・コンプライアンス
- 環境
理由は、主権を単一の指標では語れず、法制度からデータセンター運用、半導体調達、環境負荷までを縦断的に見なければ実態を把握できないためです。
たとえば「法・管轄」の軸では、サービス提供企業がどの国の法に従うか、非EU法による強制的データ提供命令の可能性があるかを開示させます。「サプライチェーン」の軸では、利用するハードウェアや再委託先まで含めた透明性を求めます。EUはクラウドを「ソフトウェアの箱」ではなく、法・組織・物理基盤の総体として評価する立場を明確にしました。
SEAL（0〜4段階）で主権レベルを採点する仕組み
入札仕様書には、8つの目標ごとにSEAL（Sovereignty Effective Assurance Level）0〜4のスコアが付与され、目標別の最低到達水準が明記されます。これは、白黒二分ではなくレベル別に扱うことで、業務の機微度に応じた濃淡ある調達を可能にするためです。
たとえば、公共機関の機微データを扱う案件ではSEAL3〜4を求める一方、一般業務向けには低い水準を許容する設計が想定されます。これは「どの業務にどの水準の主権を求めるか」を発注側が決める枠組みであり、日本企業のクラウド選定にも応用できる考え方です。
1.8億ユーロの入札と欧州系4社への発注
この入札は2026年4月17日に次の欧州系4社へ発注されました。
- Post Telecom（ルクセンブルク）
- StackIT（ドイツ）
- Scaleway（フランス）
- Proximus（ベルギー）
理由は、フレームワークが求める法域・所有関係・運用主体の基準を満たす候補として、EU域内に本社と運用拠点を置く事業者が選定されたためです。これはEU機関が主権基準を実際の調達契約に適用した最初の事例であり、「理念」段階から「実務要件」段階へ主権が移行した象徴といえます。
出典・参照：
なぜ「価格・機能・使いやすさ」だけで選べなくなったのか
クラウド選定の判断軸が広がった背景には、法域リスクや所有関係の透明化という新しい要素がありました。本章では、EUのフレームワークが具体的に何を確認要件として明文化したかを掘り下げ、価格と機能中心のRFPでは対応しきれなくなった事情を整理します。
非EU法域による強制的データアクセスというリスク
EUの実装ガイダンスは米CLOUD Actや中国サイバーセキュリティ法など、EU域外の法律に基づく強制的データアクセスの可能性を、開示すべき評価項目に含めています。理由は、たとえデータがEU内のデータセンターに置かれていても、事業者の親会社が非EU法域に所在する場合、その法律に基づく開示命令が及ぶ余地があるためです。
例として、米国CLOUD Actは米国企業が保有・管理するデータについて、国外に置かれていても米国司法当局が開示を求められる旨を規定しています。「サーバーの物理位置」だけでは主権を担保できず、「事業者の親会社の国籍と適用法」まで含めて把握することが焦点です。
所有関係・雇用・再委託先まで踏み込む透明性要件
フレームワークは事業者の株主構成、EU域内での雇用比率、再委託先（サブプロセッサ）の開示までを評価対象に含めます。理由は、契約主体が欧州企業でも、実運用を非EU拠点に委託していれば実質的な主権が担保されないためです。
実例として、AWSはAWS European Sovereign Cloudを立ち上げ、運用を欧州籍従業員に限定。さらに、2025年に欧州本社の専業子会社を設立するなど、主権要件に沿う体制構築を進めています。大手ハイパースケーラーですらこうした対応を迫られている現状は、「知名度と信頼性は別軸である」ことを示しています。
出典・参照：
主権はソフトだけの話ではない：半導体と供給網の裏付け
クラウド主権の議論はソフトウェアやデータセンターだけで完結しません。
- 半導体
- 通信
- 電力
- 物流
こういった物理供給網が背後にあり、その調達先が変われば主権要件の意味も変わります。本章では、AppleとBroadcomの長期契約、そしてPax Silicaの拡大という補強材料から、供給網の視点を整理します。
AppleとBroadcomの長期契約が示す「調達先の信頼」
Appleは、2026年7月にBroadcomと最大300億ドル規模の米国産半導体に関する新規複数年契約を発表しました。理由は、企業が根幹となるデジタル基盤について、価格の安さではなく供給継続性と調達先の信頼度を優先し始めているためです。
この契約は米国内での半導体製造能力の拡大に紐づいており、地政学リスクを踏まえた「調達の地理的分散」の代表例となります。大手が供給網を意識的に選び直している現実は、クラウド調達においても「どこで作られ、どこで運ばれ、どこで運用されるか」を無視できないことを示しています。
Pax Silicaと24カ国連携が意味すること
米国主導の半導体サプライチェーン同盟「Pax Silica」は24カ国へ拡大し、AIやクラウドの競争がモデルやソフトウェアだけでなく、半導体・戦略鉱物・物流・通関を含む国家間の枠組みへ広がっています。理由は、クラウド事業者もこの供給網の上で稼働しており、供給網の再編が長期的にサービス提供コストや可用性へ影響するためです。
日本の中小企業がPax Silicaへ直接参加するわけではありませんが、利用するクラウドの背後にある供給網が国際的な枠組みの中で動いていることを踏まえて調達を考える視点が求められます。
出典・参照：
執筆者
DXportal®運営チーム
DXportal®編集部
DXportal®の企画・運営を担当。デジタルトランスフォーメーション（DX）について企業経営者・DX推進担当の方々が読みたくなるような記事を日々更新中です。掲載希望の方は遠慮なくお問い合わせください。掲載希望・その他お問い合わせも随時受付中。