業務停止まで1営業日。欧州企業の半数が抱える米国クラウド依存の脆弱性

2025年2月、ハーグの国際刑事裁判所（ICC）で一人の検察官が朝、職場のメールを開けなくなった。Karim Khan主席検察官はTrump政権の制裁対象となり、Microsoftは大統領令に従って彼のアカウントを停止した。同盟国の公的機関の職員でさえ、米国の企業が運営するサービスから一夜にして締め出され得ることが、ここで初めて現実の出来事として示された。

この事件から1年半。欧州の企業経営者たちは「自分たちも同じ目に遭うかもしれない」と考え始めている。だが恐れていることと、備えていることは別の話だ。

クラウド化が作り出した「中央のスイッチ」

欧州企業が米国のテクノロジーに依存する構造は、ここ20年かけて少しずつ出来上がった。メールや文書作成といった日常的な業務ソフトはMicrosoftやGoogleが担い、データの置き場所はクラウドへ移った。Synergy Research Groupの調査によれば、欧州のクラウドインフラ市場で地元プロバイダーが握るシェアは2017年の29%から15%まで落ち込み、Amazon、Microsoft、Googleの3社で約70%を占める。欧州最大級の地元勢であるSAPとDeutsche Telekomでさえ、それぞれ2%にすぎない。

この移行の背景には経済合理性があった。自前でサーバーを調達し、保守要員を抱えるより、必要な分だけ借りる方が安く、速く、拡張も自在だった。各社の判断は個別には正しく、その積み重ねが結果として一つの構造を生んだ。米大手3社は四半期ごとに100億ユーロ規模の設備投資を欧州に注ぎ続けており、資本力の差は開く一方だ。

オンプレミスの時代、サーバーは自社の建物の中にあり、外部の誰かが物理的に電源を抜くのは容易ではなかった。クラウドへの移行はこの構造を変えた。アクセスの可否は、プロバイダー側の管理画面にある一つのスイッチで決まる。しかも米国企業が欧州のデータセンターで運営するサービスであっても、親会社は米国法の管轄下にある。データの物理的な置き場所がフランクフルトであろうとパリであろうと、法的な支配権は大西洋を越える。Protonが別途実施した調査では、欧州の上場企業の74%以上が米国拠点のテクノロジーサービスに依存しているとされる。

依存が深まる一方で、米国の政治はこの依存を外交の道具として使う姿勢を見せ始めた。2026年6月には、米政府が輸出管理指令を出し、米国籍を持たない人によるAnthropicの一部AIモデルへのアクセスを制限した。AIモデルが輸出管理の対象として扱われたことで、遮断の射程がメールやクラウドの枠を超えて広がる可能性が示された形だ。仮定の話だった「キルスイッチ」が、段階的に現実の政策手段になりつつある。

数字が示す恐怖と準備の落差

Protonの調査は2026年7月15日から24日にかけて、英国、フランス、ドイツの各500社、計1,500社の経営層やIT意思決定者を対象に実施された。回答者は自社のテクノロジーや事業継続の決定に関与する立場の人物に限定されている。つまり現場の不安ではなく、予算と責任を持つ層の認識を測った調査だ。

結果の骨格はこうだ。米政府が米国テクノロジープロバイダーへのアクセスを遮断する可能性を懸念すると答えたのは73.9%。まったく懸念しないと答えたのは20社に1社（約5%）だけだった。仮にクラウドとデジタルサービスを完全に失った場合、54.5%が「1営業日以内に業務停止に追い込まれる」と答えている。大企業では、1日の停止による損失が10万ユーロ（約11万5,000ドル）を超えると見込む回答が28.7%、5万ユーロ超と見込む回答は45%に上った。

恐怖と準備の間には大きな開きがある。文書化された事業継続計画を持ち、定期的にテストしている企業は44%にとどまる。36%は計画を持つが未テスト、13%はインフォーマルなものにすぎない。計画があっても訓練されていなければ、実際の遮断時に機能するかはわからない。紙の上の避難経路と、火事の夜に使える避難経路は別物だ。最も重要な基盤であるメールについて代替手段を用意している企業は34%だった。

指標	割合・金額
キルスイッチを懸念する企業	73.9%
完全なアクセス喪失から1営業日以内に業務停止	54.5%
大企業で1日の損失が10万ユーロ超と見込む	28.7%
定期テストされた継続計画を持つ	44%
メールの代替手段を用意	34%
政府の遮断後にプロバイダーを乗り換える意向	67.8%

注目されるのは、懸念の対象が仮説ではなくなっている点だ。回答企業の全社が過去12カ月に少なくとも1回、障害、サイバー攻撃、サービスへのアクセス喪失のいずれかを経験していた。つまり回答者は想像上の災厄ではなく、実際に味わった中断の記憶を踏まえて答えている。Protonの最高執行責任者Raphaël Auphanは「キルスイッチはもはや抽象的な地政学の懸念ではなく、事業継続の危機だ」と述べる。「デジタル依存に対する地政学リスクは、役員会の抽象論ではなくなった。犯罪攻撃と同じ脅威の台帳に、同じ緊急性と、予告なく現実化し得るという同じ予感とともに加わりつつある」。

この発言の含意は重い。サイバー攻撃への備えは多くの企業で予算化され、保険も整備されてきた。地政学的な遮断については、保険の引き受け手も確立した対策基準も存在しない。脅威の認識だけが先行し、対処の道具立てが追いついていない状態が、今回の数字の裏側にある。

逃げ道を探しても、出口そのものが米国製だった

仮に米国プロバイダーから欧州やスイスの代替へ移行しようとしても、構造的な壁が待っている。2026年5月にThe Registerが報じた分析が示すように、認証とアクセス制御を担うIAM（Identity and Access Management）の層は米国ベンダーがほぼ全面的に支配している。The Registerの記事が依拠する分析の記述によれば、「すべてのユーザーを認証し、すべてのアクセス判断を許可するインフラ層が、多くの場合、米国に法人化され米国法に服するベンダーによって運営されている」。メールやストレージを欧州製に置き換えても、その入口の鍵を握る層が米国法の管轄に残る限り、遮断リスクは根絶できない。

IAMが目立たないのは、それが正しく動いているとき誰の意識にも上らないからだ。社員が朝ログインし、必要なアプリケーションにだけ入れるのを確認する層であり、普段は縁の下の存在にすぎない。だが遮断が起きたとき、最初に止まるのがこの層になる。アプリケーションをいくら国産化しても、ログインそのものが不通になれば全部が使えない。

この問題は政策の場でも議論されてきた。2026年2月にブリュッセルで開かれたOpen Source Policy Summitでは、欧州の行政機関自体がMicrosoftで動いている実態が取り上げられ、オープンソースによる自立が解決策として掲げられた。ドイツのOpen-Source Business Allianceは、ICCの事件を受けて「自らの管轄下にない企業に依存することはできない」と警告を発している。行政が利用者として依存している以上、規制や調達のルールで依存を断つのは容易ではないという自己言及的な難しさも、議論の底流にある。

層	支配的な提供者	欧州・代替勢の状況
クラウドインフラ	Amazon、Microsoft、Googleで約70%	地元勢合計15%（2017年は29%）
生産性・メール	Microsoft、Google	Proton等が事業継続製品を展開
認証・アクセス管理（IAM）	米国ベンダーがほぼ全面支配	実質的な代替が乏しい

Proton自身、メール、会議、生産性ツールを欧州のインフラで提供する事業継続プラットフォームを販売しており、この調査には商業的な動機があることは留意すべきだ。ベンダーが自社製品の市場を測る調査は、不安を強調する方向に設計が傾き得る。それでも調査の設計自体は3カ国均等割り付けで、回答者の属性も公開されており、方向性を読み取る材料としては一定の信頼性がある。数字の絶対値より、懸念と準備の落差という構造そのものを読むべき調査だ。

残された問い

調査が照らしたのは、恐れの広さと備えの浅さの非対称だが、いくつかの問いは開いたままだ。第一に、67.8%が「遮断されれば乗り換える」と答えたものの、遮断された後ではデータの移行自体が不可能になる可能性がある。アカウントが止まれば、エクスポート用の管理画面にも入れない。事後の乗り換え意向が事前の移行計画にどれだけ転換されるかは、この調査では測れていない。

第二に、調査対象は英仏独の3カ国に限られ、南欧や東欧の中小企業で同じ意識が成立するかは未検証だ。大企業には移行の選択肢を検討する人員と予算があるが、中小企業にとっては既存サービスの維持だけで手一杯という場合が多い。意識の差がそのまま備えの差になり、危機時の被害の差に直結する恐れがある。

第三に、IAM層のように代替そのものが市場に存在しない領域を、個社の努力ではなく欧州全体の産業政策としてどう作り直すか。四半期ごとに100億ユーロ規模の設備投資を欧州に注ぐ米大手3社に対し、地元勢がシェアを取り戻す道筋は、Synergy Researchのアナリスト自身が認めるように現状では見えていない。調達基準の変更、オープンソースへの公的投資、認証基盤の共同整備。選択肢は挙げられるが、どれも年単位の話だ。1営業日という猶予しか持たない企業が多数派である以上、備えの速度が問われるのはこれからだ。