Czy VPS podlega KSC?

VPS a usługa chmurowa

VPS, czyli Virtual Private Server, jest wirtualnym serwerem działającym na fizycznej infrastrukturze serwerowej.

Klient otrzymuje określone zasoby, np.:

• procesor,
• pamięć RAM,
• przestrzeń dyskową,
• adres IP,
• dostęp administracyjny,
• system operacyjny.

VPS może być oferowany jako samodzielna usługa serwerowa.

Nie każdy taki model musi jednak spełniać definicję usługi chmurowej.

NIS2 definiuje usługę chmurową jako usługę cyfrową umożliwiającą administrowanie na żądanie i szeroki dostęp zdalny do skalowalnego i elastycznego zbioru współdzielonych zasobów obliczeniowych. Do zasobów tych zaliczane są m.in. sieci, serwery, infrastruktura, systemy operacyjne, oprogramowanie, pamięć masowa, aplikacje i usługi. Dyrektywa wskazuje jako modele chmurowe m.in. IaaS, PaaS, SaaS i NaaS.

Dlatego nie należy przyjmować zasady:

VPS = chmura = KSC.

Takie uproszczenie byłoby nieprawidłowe.

Kiedy VPS może być usługą chmurową?

VPS może być elementem usługi chmurowej, jeżeli sposób jej świadczenia odpowiada definicji cloud computing.

Znaczenie mogą mieć między innymi takie cechy jak:

• możliwość samodzielnego uruchamiania zasobów przez klienta,
• możliwość zwiększania lub zmniejszania zasobów,
• elastyczne przydzielanie zasobów,
• korzystanie ze wspólnej puli zasobów,
• szeroki dostęp zdalny,
• automatyczne lub samoobsługowe udostępnianie zasobów,
• możliwość szybkiego zwiększania lub zmniejszania dostępnej mocy.

NIS2 wyjaśnia, że „skalowalność” oznacza elastyczne przydzielanie zasobów przez dostawcę w reakcji na zmiany zapotrzebowania, natomiast „elastyczny zbiór” oznacza zasoby dostarczane i zwalniane zależnie od potrzeb.

Przykład 1 – klasyczny VPS

Firma kupuje VPS:

• 4 vCPU,
• 8 GB RAM,
• 100 GB SSD,
• jeden adres IP.

Parametry są określone w umowie.

Klient korzysta z serwera przez cały okres abonamentu, a zmiana parametrów wymaga zamówienia innego pakietu lub ręcznej konfiguracji przez dostawcę.

Taki VPS nie staje się automatycznie usługą chmurową tylko dlatego, że jest zwirtualizowany.

Przy ocenie trzeba sprawdzić cały model świadczenia usługi.

Przykład 2 – VPS w środowisku chmurowym

Inny dostawca umożliwia klientowi przez panel:

• samodzielne utworzenie serwera,
• zmianę liczby procesorów,
• zwiększenie pamięci,
• zwiększenie przestrzeni,
• automatyczne uruchamianie kolejnych zasobów,
• korzystanie z zasobów wspólnej infrastruktury,
• rozliczanie według wykorzystania.

Jeżeli całość usługi spełnia cechy określone w definicji cloud computing, może być kwalifikowana jako usługa chmurowa.

Wtedy analiza KSC będzie prowadzona nie dlatego, że produkt nazywa się „VPS”, lecz dlatego, że sposób świadczenia usługi odpowiada definicji usługi chmurowej.

Czy dostawca VPS podlega KSC?

Samo określenie przedsiębiorcy jako „dostawcy VPS” nie wystarcza.

Najpierw trzeba ustalić, czy świadczona usługa jest:

• zwykłą usługą VPS,
• usługą chmurową,
• usługą zarządzaną,
• czy inną usługą objętą zakresem KSC.

Jeżeli przedsiębiorca jest dostawcą usługi chmurowej w rozumieniu przepisów, wówczas należy zastosować zasady KSC dotyczące dostawców usług chmurowych.

Jeżeli natomiast świadczy zwykłą usługę VPS, która nie spełnia definicji usługi chmurowej i nie odpowiada innej kategorii objętej KSC, sam fakt sprzedaży VPS nie wystarcza do objęcia go ustawą.

VPS a IaaS

Szczególną uwagę należy zwrócić na IaaS, czyli Infrastructure as a Service.

NIS2 wskazuje IaaS jako jeden z modeli usług chmurowych.

Nie oznacza to jednak, że każdy produkt reklamowany jako „VPS” automatycznie jest IaaS w rozumieniu NIS2.

Decydujące znaczenie ma rzeczywista konstrukcja usługi.

Jeżeli dostawca udostępnia klientowi infrastrukturę obliczeniową w sposób odpowiadający modelowi chmurowemu, VPS może być częścią usługi IaaS.

VPS a hosting

VPS i hosting współdzielony również nie powinny być automatycznie utożsamiane.

W przypadku klasycznego hostingu klient otrzymuje określone konto lub zasoby w ramach infrastruktury dostawcy.

VPS daje klientowi wirtualny serwer z określonymi zasobami i zwykle większą kontrolę nad środowiskiem.

Obie usługi mogą być jednak świadczone w ramach infrastruktury chmurowej.

Dlatego nazwa produktu nie rozstrzyga o kwalifikacji KSC.

Liczy się sposób świadczenia usługi.

Czy reseller VPS podlega KSC?

To szczególnie istotne dla firm działających w modelu resellerskim.

Przykładowo:

Firma A kupuje VPS od firmy B i następnie sprzedaje go klientowi pod własną marką.

Sam fakt odsprzedaży VPS nie oznacza automatycznie, że firma A staje się dostawcą usług chmurowych.

Trzeba ustalić, co faktycznie robi firma A.

Jeżeli firma A jedynie:

• kupuje gotowy VPS,
• odsprzedaje go klientowi,
• nie zapewnia własnej infrastruktury,
• nie tworzy własnej usługi chmurowej,
• nie świadczy dodatkowej usługi zarządzanej,

to należy oddzielić jej rolę resellera od roli faktycznego dostawcy infrastruktury.

Nie można jednak przyjąć, że sam model resellerski zawsze wyłącza KSC. Jeżeli reseller sam świadczy usługę odpowiadającą kategorii objętej ustawą, jego działalność wymaga odrębnej analizy.

VPS kupiony od dużego operatora

Załóżmy, że mała firma kupuje VPS od dużego dostawcy infrastruktury.

Następnie:

• instaluje cPanel,
• tworzy konta klientów,
• sprzedaje hosting,
• zarządza swoimi kontami.

W takim modelu trzeba rozdzielić dwie kwestie.

Dostawca VPSjest analizowany pod kątem usługi, którą sam świadczy.

Resellerjest analizowany pod kątem własnej usługi świadczonej klientom.

Samo korzystanie z infrastruktury przedsiębiorcy, który podlega KSC, nie powoduje automatycznie, że każdy jego reseller również staje się podmiotem objętym KSC.

Czy administracja VPS ma znaczenie?

Tak, ale trzeba rozróżnić administrację własnym VPS od świadczenia usługi zarządzanej dla klienta.

Jeżeli firma posiada VPS i administruje nim na własne potrzeby, nie oznacza to automatycznie, że świadczy usługę zarządzaną.

Inaczej może wyglądać sytuacja, gdy firma sprzedaje klientowi VPS razem z usługą obejmującą stałą, aktywną administrację jego środowiskiem ICT.

KSC definiuje dostawcę usług zarządzanych jako podmiot świadczący określone usługi związane m.in. z instalacją, eksploatacją lub konserwacją produktów, usług, procesów ICT lub systemów informacyjnych poprzez wsparcie lub aktywną administrację u usługobiorcy, również zdalnie.

Dlatego w przypadku VPS z administracją trzeba sprawdzić rzeczywisty zakres usługi, a nie tylko nazwę pakietu.

VPS bez administracji a VPS zarządzany

Można więc wyróżnić dwa przykładowe modele:

VPS unmanaged

Klient otrzymuje VPS i samodzielnie:

• instaluje oprogramowanie,
• konfiguruje system,
• wykonuje aktualizacje,
• zarządza bezpieczeństwem,
• administruje usługami.

Dostawca zapewnia przede wszystkim infrastrukturę.

VPS managed

Dostawca dodatkowo:

• administruje systemem,
• wykonuje aktualizacje,
• monitoruje środowisko,
• konfiguruje usługi,
• reaguje na problemy,
• wykonuje czynności administracyjne na rzecz klienta.

W drugim przypadku należy dodatkowo przeanalizować, czy zakres usług odpowiada definicji dostawcy usług zarządzanych.

Nie oznacza to jednak automatycznie, że każdy „managed VPS” podlega KSC. Nadal trzeba zastosować wszystkie ustawowe kryteria.

Czy mała firma oferująca VPS podlega KSC?

Jeżeli przedsiębiorca świadczy usługę, która rzeczywiście kwalifikuje się jako usługa chmurowa objęta KSC, znaczenie ma również wielkość przedsiębiorstwa.

Jest to istotna różnica w stosunku do dostawcy DNS.

Dostawca DNS został w KSC potraktowany jako podmiot kluczowy niezależnie od wielkości. Natomiast dostawcy usług chmurowych należą do kategorii, w których znaczenie ma wielkość przedsiębiorstwa i zasady określone w ustawie.

Dlatego nie należy przenosić zasady dotyczącej DNS na VPS lub chmurę.

Czy obrót decyduje o podleganiu KSC?

Nie można powiedzieć:

„Firma sprzedająca VPS podlega KSC po przekroczeniu konkretnego obrotu”.

Najpierw trzeba ustalić, czy przedsiębiorca świadczy usługę objętą KSC.

Dopiero później analizuje się kryteria dotyczące wielkości przedsiębiorstwa i pozostałe warunki określone w ustawie.

Przy ustalaniu statusu przedsiębiorstwa znaczenie mają kryteria wynikające z właściwych przepisów unijnych dotyczących wielkości przedsiębiorstw, a nie wyłącznie jedna wartość przychodu.

Czy korzystanie z VPS oznacza KSC dla klienta?

Nie.

Jeżeli przedsiębiorca kupuje VPS od zewnętrznego dostawcy i wykorzystuje go do prowadzenia własnej strony, sklepu internetowego, aplikacji lub systemu, samo korzystanie z VPS nie powoduje automatycznie, że przedsiębiorca staje się dostawcą usług chmurowych.

Trzeba odróżnić:

korzystanie z usługi

od

świadczenie usługi.

To samo rozróżnienie jest ważne w przypadku CDN, DNS i innych usług infrastruktury cyfrowej.

VPS jako infrastruktura dla hostingu

Bardzo częsty jest model:

VPS → cPanel → konta hostingowe → klienci końcowi.

W takim przypadku przedsiębiorca może być resellerem lub dostawcą hostingu, ale sam fakt używania VPS nie oznacza automatycznie, że świadczy usługę chmurową.

Należy osobno przeanalizować:

1. usługę VPS kupowaną od dostawcy,
2. usługę świadczoną przez resellera klientowi,
3. sposób zarządzania infrastrukturą,
4. ewentualną usługę DNS,
5. ewentualną usługę zarządzaną,
6. charakter całego modelu świadczenia.

Dzięki temu można uniknąć błędnego założenia, że każda firma korzystająca z VPS jest dostawcą chmury.

VPS, cloud i KSC – najważniejsze różnice

Co powinien sprawdzić reseller VPS?

Jeżeli firma kupuje VPS i następnie sprzedaje usługi swoim klientom, warto odpowiedzieć na następujące pytania:

1. Kto jest właścicielem infrastruktury?

Czy reseller posiada własną infrastrukturę, czy korzysta z usług zewnętrznego operatora?

2. Co dokładnie jest sprzedawane klientowi?

VPS, hosting, chmura, usługa zarządzana czy kilka usług jednocześnie?

3. Czy klient może samodzielnie skalować zasoby?

To może mieć znaczenie dla kwalifikacji usługi jako chmurowej.

4. Czy zasoby są częścią wspólnej, elastycznej puli?

To również jest element definicji usługi chmurowej.

5. Czy firma administruje środowiskiem klienta?

Jeżeli tak, należy dodatkowo przeanalizować kategorię usług zarządzanych.

6. Czy firma świadczy również hosting lub DNS?

Te usługi należy analizować oddzielnie.

Podsumowanie

Najważniejsze jest ustalenie, czy oferowany VPS jest:

• zwykłą usługą serwerową,
• elementem usługi chmurowej,
• usługą IaaS,
• usługą zarządzaną,
• czy częścią innej usługi objętej KSC.

NIS2 definiuje usługę chmurową poprzez konkretne cechy, w tym dostęp na żądanie, szeroki dostęp zdalny oraz skalowalny i elastyczny zbiór współdzielonych zasobów obliczeniowych. IaaS jest jednym z modeli usług chmurowych wskazanych w dyrektywie.

Dlatego nie można przyjąć zasady „VPS podlega KSC” ani „VPS nie podlega KSC” bez analizy sposobu świadczenia usługi.

W przypadku resellera dodatkowo trzeba oddzielić usługę kupowaną od zewnętrznego operatora od usług, które reseller sam oferuje swoim klientom.