Rezultati ne daju puno razloga da se govori o suverenosti kada su u pitanju analizirane web stranice. Cloudflare je pojedinačno najveći dobavljač u svakoj od sedam analiziranih zemalja, ispred svih ostalih američkih dobavljača, svih europskih hosting tvrtki i svih domaćih ISP-ova.

Ne gdje su serveri, nego tko njima upravlja

Metodološki, riječ je o studiji identifikacije dobavljača (vendor attribution), a ne geolokacije IP adresa. Razlika je u pitanju koje se postavlja. Geolokacija IP adresa pita: gdje se fizički nalazi poslužitelj koji odgovara na zahtjev? Identifikacije dobavljača pita: koja tvrtka upravlja tim poslužiteljem, tko je vlasnik infrastrukture?

Zašto je to bitno pokazuje upravo Cloudflare. Kad netko iz Zagreba otvori stranicu koja koristi Cloudflare, sadržaj mu stiže s Cloudflareovog rubnog poslužitelja (edge PoP) koji je vjerojatno fizički u Europi, možda čak u Hrvatskoj ili Austriji. Klasična bi geolokacijska analiza tu stranicu zavela kao "hostanu u Europi" i zaključila da je sve u redu sa suverenošću. Atribucijska analiza gleda dublje: taj poslužitelj, ma gdje stajao, dio je mreže kojom upravlja američka tvrtka sa sjedištem u San Franciscu, podložna američkim zakonima.

Brojke po zemljama

Cloudflare drži od 15,2 posto tržišta u Poljskoj i 17,9 posto u Njemačkoj do 31,6 posto u Velikoj Britaniji i 36,8 posto u Nizozemskoj. Gledaju li se svi američki dobavljači zajedno, oni poslužuju većinu primarnih web stranica u Velikoj Britaniji (67,5 posto) i Nizozemskoj (53,6 posto), a relativnu većinu u Italiji, Španjolskoj i Francuskoj (između 44 i 49 posto).

Njemačka i Poljska kao iznimke

Jedina dva tržišta s izraženom domaćom industrijom su Njemačka (31 posto američkih dobavljača) i Poljska (18,8 posto), zahvaljujući tvrtkama poput Hetznera, IONOS-a i STRATO-a, odnosno Home.pl i NetArta. Ostatak Europe nije stvorio tržišno konkurentne alternative u naprednim mrežnim uslugama, ponajprije globalnoj mitigaciji DDoS napada. Kupci koji racionalno biraju bolji i jeftiniji proizvod završavaju kod Cloudflarea ili AWS-a, a razmjeri su vidljivi i globalno: prema podacima W3Techsa, Cloudflare danas poslužuje 23,4 posto svih web stranica na svijetu.

CLOUD Act i rizik koncentracije

Praktične posljedice su jasne. Prvo, operativni rizik koncentracije: tehnički prekid, promjena poslovne politike ili regulatorni pritisak na jednu američku kompaniju može istovremeno pogoditi trećinu javne digitalne prisutnosti nekih europskih gospodarstava. Drugo, jurisdikcija: Cloudflare, Amazon, Google i Microsoft podliježu američkom zakonu CLOUD Act, koji vlastima SAD-a daje pravo tražiti pristup podacima kojima upravljaju američke tvrtke, neovisno o tome nalaze li se ti podaci fizički u Frankfurtu ili Parizu. Za europske tvrtke to komplicira usklađenost s GDPR-om i pravilima o prijenosu podataka u treće zemlje nakon presuda Schrems I i II, jer se upravljanje prometom, uključujući enkripcijske ključeve na CDN razini, prepušta američkim subjektima.

CipherCue zaključuje da rasprave o suverenosti često počinju prekasno,  prije debata o cloud regijama i ugovornim kontrolama, organizacije bi trebale znati koji dobavljači već stoje ispred njihovog javnog weba. Europska regulativa, ponajprije DORA i NIS 2, formalno traži upravljanje rizicima u ICT opskrbnom lancu, no dok se suverenost mjeri lokacijom podatkovnih centara, a ne vlasništvom nad DNS i CDN slojem, fizički poslužitelj u EU pruža uglavnom privid kontrole.