Co naprawdę sprawdziły ANSSI i BSI

17 sierpnia 2026 roku francuska agencja cyberbezpieczeństwa ANSSI przyznała Nextcloud Files w wersji 31.0.7.2 certyfikat CSPN, podstawowy krajowy poziom bezpieczeństwa wymagany dla oprogramowania w przetargach publicznych. Testerzy przeprowadzili testy podatności i penetracyjne w pięciu konkretnych obszarach, uwierzytelnianiu, kontroli dostępu, ochronie przechowywanych danych, komunikacji HTTPS i rejestrowaniu zdarzeń, w konfiguracji hostowanej lokalnie, nie zgłaszając żadnych problemów. Osobno instalacja Nextcloud prowadzona przez Dataport, publicznego dostawcę IT dla kilku niemieckich krajów związkowych, działa teraz w środowisku certyfikowanym według ramowego standardu BSI IT-Grundschutz, wbudowana we własny system zarządzania bezpieczeństwem Dataportu, a nie certyfikowana jako samodzielny produkt.

Jeden certyfikat, dwa kraje

Tym, co zmienia dwie osobne krajowe zgody w jedną historię, jest uznanie, a nie przypadek. Niemiecki BSI formalnie traktuje CSPN od ANSSI jako równoważny własnemu przyspieszonemu systemowi certyfikacji, Beschleunigte Sicherheitszertifizierung, ponieważ oba odpowiadają temu samemu standardowi europejskiemu, EN 17640, zbudowanemu tak, żeby był zgodny z Cybersecurity Act. W praktyce oznacza to, że dostawca nie musi już przechodzić dwóch osobnych audytów krajowych, aby udowodnić tę samą gwarancję bezpieczeństwa na dwóch największych rynkach zamówień publicznych w UE; jeden certyfikat wykonuje teraz pracę za dwa.

Obietnica Cybersecurity Act wystawiona na próbę

Cybersecurity Act napisano zakładając, że jeden ogólnounijny system certyfikacji mógłby zastąpić 27 rozdrobnionych systemów krajowych, obniżając podwójne koszty zgodności dla każdego dostawcy sprzedającego za granicą. Większa część tej obietnicy pozostawała teoretyczna, ponieważ systemy przewidziane w ustawie wciąż są budowane; uznanie między ANSSI a BSI to jeden z pierwszych przypadków, w których zadziałało to widocznie dla realnego produktu, a skorzystał na tym nie amerykański gigant technologiczny, lecz otwartoźródłowa platforma do współpracy, której większość europejskich nabywców publicznych wciąż nie wybiera domyślnie.

Co to zmienia dla kupującego

Dla każdej organizacji z UE lub Wielkiej Brytanii, która ze względów zgodności rozważa alternatywę hostowaną w UE wobec Microsoft 365 lub Google Workspace, praktyczna zmiana to mniejsze tarcie w zamówieniach: certyfikat, któremu niemiecki odpowiednik publiczny już ufa, działa teraz także we francuskim przetargu, i odwrotnie, bez nowego cyklu audytu. Samo to nie czyni Nextcloud bezpieczniejszą niż ugruntowani dostawcy, a obejmuje konkretną wersję produktu i konfigurację hostingu, nie każdą instalację. Ale to pierwszy transgraniczny przypadek odniesienia, na który zespół zakupowy może naprawdę się powołać, zamiast tylko własnej deklaracji zgodności dostawcy.

Czytaj dalej: Francja przenosi bazę danych zdrowotnych z Azure  |  Suwerenna warstwa AI mówi już API OpenAI