欧洲已不再生活在一个可以基于对贸易伙伴的天然信任，来决定是否使用数字平台的世界。确定性正让位于不确定性，而这种不确定性源于地缘政治的碎片化，以及美国科技主导地位的高度集中，这种主导地位已不再像过去那样令人安心。过去八十年由“基于规则的秩序”所塑造的体系正在松动。

当比利时网络安全中心(Center for Cybersecurity Belgium)主任Miguel De Bruycker表示欧洲实际上已经“失去了互联网”时，人们会感到不安是有原因的：这是对现实的直白判断。

欧洲并没有失去连接能力、技术能力，或者雄心。它失去的是控制权。而在当今世界，这将是一个极其危险的处境。

几十年来，欧洲在其数字生活的基础层面——云平台、软件栈、身份系统、数据分析，以及人工智能基础架构——上大规模依赖美国。这种依赖被包装成效率与全球化的结果，被“伙伴关系”与“共同价值观”的表述所弱化。

和国防一样，欧洲对美国的依赖持续得太久了。而如今，正如国防重新成为硬安全议题一样，数据主权已不再是采购问题，而是一个关乎国家与区域安全的核心议题。

如果欧洲想要真正的数据主权，它不能仅凭监管来解决这一问题。欧洲还必须通过建设来突围。这意味着要打造属于欧洲的、具备超大规模能力的基础设施——不是某一天、不是停留在白皮书里，而是从现在开始，将其作为一项有意为之的、长期的产业战略来实施。

无论我们是否愿意，一个新的世界秩序正在形成

我们正经历一场地缘政治的结构性转变。自二战以来支撑西方合作的确定性已经出现裂痕。当前的美国政府在符合其国内优先事项时，已展现出采取单边行动的意愿。

美国已经开始退出多个国际合作框架，包括全球网络与科技治理的一些关键部分。关于共同规范、协同网络防御，以及可预测一致性的长期假设正在被悄然修订。即便联盟表面仍然存在，一些国家的国家利益如今似乎比共同的数字治理责任更被优先考虑。

技术制裁已被武器化，成为政策工具；域外适用的法律可以深入影响外国司法辖区。这不是理论，而是现实。去年夏天，微软在法国的一起诉讼中承认，如果收到美国方面在法律上“正当”的指令，其无法保证法国公民的数据不会被传输给美国政府。

欧洲的数字经济、政府服务、医疗体系、能源电网、交通网络以及金融基础设施，主要建立在微软Azure、亚马逊AWS和谷歌云等美国拥有的平台之上。这些不仅是供应商，而是结构性依赖。

而残酷的事实是：这些公司最终并不向欧洲负责。它们服从美国法律。

数据主权并不仅仅关乎地理位置

让我们先澄清这一争论中最常见的误区：数据主权并不只是关于你的数据存放在哪里。

即使你的数据存放在法兰克福、都柏林、巴黎或米兰，如果控制这些数据的系统——软件、加密密钥、身份层、运营访问权——由他方掌控，那么主权可能已经被削弱。数据主权涉及三个核心要素：位置、控制与访问权限。谁能看到这些数据？谁可以强制获得访问权？谁能随时“关掉阀门”？

更关键的是：谁决定适用哪国法律？

在许多司法辖区，政府在法律上可以强制企业提供其所控制的数据，即便这些数据属于外国公民或外国政府。比如，这些法律要求在A国境内运营的公司向该国政府及情报机构提供数据和协助，必须配合A国的国家情报工作，并允许政府以国家安全名义访问数据，从而在事实上形成强制性的数据共享机制，并带来潜在的监控后门。

美国的CLOUD Act就是类似的例子。

这使美国的超大规模云服务商处于一种无法解脱的境地。他们也许希望遵守欧洲的隐私法律和数据保护原则，而且许多企业的确如此，但如果美国法律发生变化，他们仍必须服从。

基于这样一种前瞻性认识——主权不能建立在最终取决于外国立法或持续政治善意的承诺之上——AWS推出了其European Sovereign Cloud(欧洲主权云)，这是主要超大规模云服务商中最直接、最明确的回应之一。AWS表示，该服务完全基于欧盟，在欧盟境内建设物理基础设施，并在运营上与其全球其他区域隔离开来。根据该公司介绍，该服务通过多层法律、运营及技术保障来减少暴露于非欧盟司法管辖区的风险，并强化对欧洲数据保护要求的合规性。

然而，目前仍不得而知这一举措，以及微软和谷歌在德国数据中心的大规模投资与更严格的数据安全要求，是否足以重新建立欧洲的信心。

欧洲的价值观与其基础设施并不匹配

这正是矛盾变得最为刺眼的地方。欧洲拥有全球最强的数据保护与隐私框架之一。GDPR并不完美，但其建立在一个明确的原则之上：公民对其数据拥有权利；政府受到约束；企业必须承担责任。

将此与其他地区的发展方向对比就会发现巨大差异。

在中国，国家最终拥有并控制数据。监控是系统性的，合规是强制性的。而令人不安的现实是，美国的监管环境在某些机制上开始显现出类似特征，并非在意识形态上，而是在运作方式上：国家权力扩张、以国家安全为由的更广泛正当化、对科技企业施加更大压力，要求它们充当政策的延伸。

如果欧洲继续在其无法掌控的基础设施上运行最关键的系统，它就有可能逐渐滑向一个危险局面——其价值观将被由他者规则塑造的系统“代为执行”。

仅靠监管无法拯救欧洲

欧洲的本能反应——可以理解——一直是加强监管。《数字市场法》《数字服务法》、NIS2、《网络安全与韧性法案》，这些都是必要且重要的步骤。

但没有能力支撑的监管，就像一套纸做的盔甲：看似能防护，却在真正遭受冲击时瞬间崩塌。

你可以要求透明度。你可以施加罚款。你可以在合同中写入退出条款。但当真正的压力来临——地缘政治紧张加剧、联盟关系受考验、法律迅速变化——监管无法让你掌控那些你既不拥有、也无法最终控制的基础设施。

这正是De Bruycker警告之所以格外深刻的原因：欧洲并不是因为监管失败而“失去了互联网”；欧洲失去控制，是因为它没有去建设。

超大规模云服务商的问题

在云基础设施领域，欧洲没有任何真正能与微软、谷歌或亚马逊相当的本土企业——没有相同的规模，没有相同的覆盖面，也没有相同的话语权。

没错，欧洲确实有实力强劲的区域性服务商，有主权云计划，也有一些前景良好的合作项目。但这些都还不足以构成一个能够从端到端支撑欧洲数字经济或关键国家基础设施的、具备“超大规模”级别能力的替代方案。

如果欧洲的雄心仅停留在“监管现有市场”，那么它只会继续依赖这个市场。真正的主权意味着对基础设施的所有权与控制权，而不是仅仅对其进行监管。

这会非常昂贵。这需要数年时间。这需要政治勇气、产业协同，以及跨越多个选举周期的长期承诺。

但另一种选择则是接受一个新的世界秩序——欧洲的数字脊梁将被长期外包，对数据、系统和服务的访问将永远依赖他国的善意。

正在出现进展，但仍未形成真正的动能

确实有一些令人鼓舞的进展正在发生。以奥地利为例，该国已经开始通过投资主权数据中心基础设施和独立网络，来减少对美国超大规模云服务商的依赖——逐层构建，并清醒地认识到这将耗费时间、巨大精力和高昂成本。

在整个欧洲，关键国家基础设施的运营方正更严肃地开始梳理自身的依赖关系。各国政府也更加重视供应链风险。网络韧性不再是技术领域的附注，而是董事会层面的重大议题。

在英国，《国家安全与投资法》赋予政府在外资持股或外部控制构成风险时进行干预的权力；《网络安全与韧性法案》则为向关键供应商施加额外要求打开了大门。

这些举措确实是在朝正确方向迈进。但它们距离构成一项在欧洲大陆层面重夺数字控制权的主动战略，仍有显著差距。

为欧洲韧性绘制“意大利面碗”式依赖图谱

那么，真正的行动到底是什么样子？第一步极其复杂：绘制依赖关系图谱。

大多数欧洲国家，以及大多数大型组织，只对自身系统与全球数字基础设施的深度交织程度有部分了解，也仅部分意识到这些互联关系在面对蓄意网络破坏时的脆弱性。云服务构建在软件依赖之上，软件依赖于硬件供应链，而硬件又依赖分布在全球的生态系统。每一层都引入可在危机中被利用的技术、法律和地缘政治杠杆点。

要解开这一切，就像要从海洋里抽丝剥离一堆意大利面——艰巨、缓慢且混乱，但无法避免。没有这种可见性，所谓的韧性就只是猜测，而在压力下做出的应对决策也将带着盲目性。

这一过程需要包括：

• 绘制所有关键系统的图谱：包括通信系统、服务、组件、平台及其网络和运营层面的相互依赖关系；
• 按重要性进行分层：区分哪些对国家与区域安全至关重要，哪些能够容忍中断或性能下降；
• 开展网络施压场景规划：包括访问受限、性能降级或访问被撤回；
• 识别可行替代方案：技术、运营和商业层面的替代方案需在压力情境下可启动，而非仅为稳定时期优化；
• 开展超越传统网络威胁的风险评估：将地缘政治风险、司法辖区风险、法律强制力与漏洞和攻击面一起纳入考量；
• 构建主权能力管道：涵盖基础设施、技能、标准与治理，使系统能够在持续压力下运行和恢复。

对新组织而言，这可以自上而下、有意设计、从零开始。对遗留环境而言，这将是缓慢而痛苦的。但无论如何，无所作为已不再是选项。

技能：那场无声的危机

基础设施只是故事的一半。

欧洲拥有世界一流的学术机构，培养了卓越的工程师、密码学专家、系统架构师和研究人员。然而欧洲过于频繁地将这些人才“出口”了。

硅谷之所以能够成为全球主导力量，并非偶然。它构建了一个鼓励冒险、奖励创业精神，并提供资本、导师资源和规模化能力的生态系统。相比之下，欧洲在历史上一直更为谨慎、分散，并且监管负担更重。

如果欧洲渴望实现数字主权，它也必须重新找回自身的创业雄心。

这意味着要培育本土科技公司，支持开源生态系统，让工程师有理由选择在欧洲建设、发展并留下来，而不是奔赴美国或亚洲。

真正支撑主权的，是那些理解系统、能够运营、保障安全、重建并在遭受破坏后恢复系统的人。

联盟仍然重要，但必须以新的方式定义

欧洲不应也不可能“拥有整个互联网”。它也不应该试图独自前进。与盟友的合作依然至关重要。

但联盟必须建立在选择权与韧性之上，而不是“单点依赖”。

与英国、加拿大、澳大利亚、新西兰、日本、新加坡，以及其他伙伴合作，制定共同标准、构建可互操作的基础设施、形成相互支援和恢复的能力，这是合理的。但继续将欧洲的数字未来建立在“某个国家的法律将永远与欧洲利益保持一致”这样的假设之上，则已不再合理。

格陵兰与丹麦及北约关系的演变提醒欧洲：即便是长期稳定的安排，也可能在压力之下发生变化。数字基础设施必须具备抵御政治变动的韧性，而不是被固定绑在政治变动之上。

消除依赖，重获控制权

欧洲正站在十字路口。它可以继续追求短期效率、便利和成本最优，并接受一个长期依赖的未来。

或者，它可以做出那个艰难、昂贵、但必不可少的选择——重建对其数字基础的控制权。建设欧洲自身的超大规模云基础设施不会很快完成，也不会便宜，更不会轻松。

但建立欧盟也不是轻松的事；战后重建也不是；构建今天保护公民权利的监管框架更不是。

精灵已经从瓶中逃出，世界已经改变，而欧洲必须做出响应——果断、协同，并保持清醒。因为主权不是宣告出来的，而是建设出来的。