Summary

  • PTSによると、EUのCloud and AI Development Act案29条6項は、リスク評価が別のクラウドへの移行を求めた行政機関に、評価終了から12カ月以内の完了を課す。
  • PTSは重要システムには一年では足りないと訴える。旧契約の終了、実現可能性の検討、調達、新システムの実装が続き、急ぐほど業務継続と情報保護に負担がかかる。

リスク評価の判定が出た時点で、行政機関はまだ旧クラウドの契約を抱えている。そこから一年で新サービスを動かせというのが、スウェーデン郵便電気通信庁PTSが財務省に提出した意見書で問題にしたEU案の仕組みだ。29条6項の時計は、移行が必要だとリスク評価で決まった後に動き始める。

PTSは時計の裏に隠れた仕事を列挙する。契約の解消、代替システムの事前調査、公共調達、新環境への実装。業務の中核を担うシステムでは通常、一年以上かかる。短い移行期間は業務を止める危険と情報セキュリティ上の危険を大きくし得る。PTSは期間の延長か、複雑さ、重要性、深刻な業務影響を理由にした延長の仕組みを求める。

同じ法案の30条2項は、別の入口から契約を動かす。PTSの説明では、行政機関が購入するクラウドやAIサービスには少なくともEU保証レベル1の認定が必要になる案だ。現行の事業者が認定されなければ、新たな調達が必要になり得る。スウェーデンの認定手続きが遅れれば国内事業者が入札で不利になるともPTSは警告する。認定は調達先を選ぶ規則であり、29条の一年はリスク評価からの移行期限だ。

PTSは公表文で域外の少数事業者への依存を減らす目標を支持する。争点は、その目標を実際のシステム交換にどう載せるかだ。意見書には対象となるスウェーデンの機関数や一年移行の実測費用は示されていない。