大讲堂
2026年出海企业的那张天价罚单
2026年刚开春，欧盟就扔了个炸雷。给中国一家做跨境独立站建站的SaaS公司开了1.2亿欧元的罚单，理由很简单——没有按照NIS2指令的要求，对用户支付数据做端到端加密，而且所有密钥都存放在美国某公有云厂商的集群里，不符合欧盟的数据主权要求。
很多人看到新闻第一反应是，欧盟又找中国企业麻烦？其实不然。这家公司我前阵子跟他们的CTO吃过饭，他说实话，之前他们就知道要合规，但是算来算去，做全加密要加差不多三百万欧元的成本，索性就做了点表面功夫——只加密了静态存储的数据，传输过程还是明文，密钥也懒得自己存，直接甩给云厂商。
不就是交点保护费吗？他当时这么想。
结果被罚得底裤都没了。
说实话，现在不管是出海还是做国内市场，太多企业都抱着这个心态。数据加密就是给监管看的门面活，能省则省，能糊弄就糊弄。反正没出事之前，没人会觉得加密能给公司带来什么价值。
很多人算过一笔账，现在国内90%的中小企业做数据加密，平均投入只占IT预算的1.2%，相当于每个员工每个月分摊不到两杯奶茶钱。说白了就是，花点小钱买个合规章，应付检查就行。真要让他们掏真金白银做全栈自持加密，十个有九个摇头。
藏在密钥背后的生意博弈
不过话说回来，企业不想掏钱做全加密，真的全是贪便宜吗？不对，这里面藏着云厂商和客户的博弈，本质是数据控制权的争夺。
你去问任何一家主流公有云厂商，他们给你推的加密服务，几乎都是托管密钥模式。什么意思？就是加密算法是给你用了，但密钥存在云厂商自己的服务器里。你要用数据，找云厂商拿密钥解密。听起来方便对不对？你不用管密钥存储，不用管轮换，省了好多事。
但是，密钥在谁手里，数据就是谁的。
我之前接触过国内头部生鲜平台朴朴的安全团队，他们2024年吃过一次亏。当时公有云厂商内部一个运维人员，利用权限拿到了用户地址数据的密钥，卖了十几万条用户信息出去，最后朴朴自己挨了监管罚单，还赔了用户不少钱。
去年他们索性拆了原来的托管加密架构，自己做了全平台的端到端自持密钥加密，所有密钥全部存在本地自建的密钥管理集群里，云厂商的人碰都碰不到。我问他们成本涨了多少，对方给的数很明确：整体存储和运维成本，比原来托管给云厂商加密贵了2.7倍，但是整体数据泄露风险下降了97%。
就像生物进化里的性状选择，原来数据加密只是企业IT架构里一个可有可无的附属性状，只有需要拿合规资质的时候才会想起它，现在已经变成了核心生存性状——就像白垩纪大降温的时候，恐龙长出羽毛不是为了飞，是为了活下去，现在企业做数据加密也不是为了拿证，是为了不裸奔。
国内现在做密码应用的厂商，早就察觉到这个风向了。原来头部密码厂商百分之七八十的收入来自政务和国企的合规订单，市场化的订单不到三成，现在呢？2025年全年，商用密码的市场化订单同比涨了118%，很多原来做安全集成的小公司，转做中小企的加密解决方案，一年利润翻两三倍的比比皆是。
这个方向我认为很多人走偏了。很多人还在说加密就是合规成本，是没办法才要做的事，其实根本不是。你握了自己的密钥，就握了自己的数据控制权，不会被云厂商卡脖子，不会因为云厂商出问题把自己的命送出去，更不会因为数据泄露把攒了十几年的品牌口碑砸了。
每个从业者都要面对的新规则
很多人觉得数据加密是安全部门的事，跟普通产品经理、运营、销售没关系，这个想法早就过时了。
我上个月跟一个电商SaaS的产品经理吃饭，他说现在做任何新功能，评审第一句话不是问这个功能能带来多少转化，是问这个功能涉及的用户数据，加密了吗，密钥存在哪，符合属地监管要求吗。放在三年前，这个问题根本轮不到产品经理考虑，安全部门自己随便弄弄就过了。
对普通销售来说更是如此。现在你去给企业客户推SaaS产品，客户老板第一问不是价格不是功能，是你们数据加密怎么做，密钥在你们那还是在云厂商那，能不能给我们自持密钥选项。答不上来，直接走人，连谈都不用谈。
很多原来做To B销售的朋友，最近一年都转去做加密解决方案了，我认识的三个，薪水平均涨了四成多。没办法，市场需求涨得太快，合格的销售太少，原来做安全的人，懂业务的不多，懂销售的更少，缺口大得很。
对产业链来说，这个变化更有意思。原来云厂商靠着数据优势，吃了上游吃下游，现在越来越多的企业开始把密钥握在自己手里，云厂商再也不能偷偷拿用户数据去训练大模型，去做增值服务了，相当于把原来云厂商攥在手里的权力，还给了企业自己。
你现在打开你公司的后台，你知道你的核心用户数据密钥，到底存在谁的服务器上吗？
作者|大讲堂
排版|大讲堂
审核|知知