Afhængighed af få udenlandske teknologileverandører har længe været behandlet som et indkøbs- eller IT-spørgsmål. To tunge vurderinger fra december 2025 placerer den i stedet blandt de sikkerhedspolitiske forhold, som en ledelse skal forholde sig til.
Artiklen gennemgår, hvad Forsvarets Efterretningstjeneste og den europæiske tænketank European Council on Foreign Relations skriver. Den viser derefter, hvordan bestyrelsen kan føre risikoen ind i den almindelige risikostyring og videre til exit-planen.
Fra IT-spørgsmål til strategisk risiko
En strategisk risiko kan ændre organisationens evne til at nå sine mål. Den kan heller ikke løses i én afdeling. Afhængigheden af en enkelt udbyder af mail, dokumenter, identitet eller drift opfylder ofte begge kriterier.
Risikoen opstår typisk sjældent som et teknisk nedbrud. Den opstår, når en beslutning truffet i et andet land rammer leverandøren, og leverandøren må efterleve den. Mekanismen er beskrevet i → sanktioner og dekreter, og et dokumenteret eksempel findes i → Den Internationale Straffedomstol og den lukkede Microsoft-konto.
Hvad Forsvarets Efterretningstjeneste skriver i Udsyn 2025
Forsvarets Efterretningstjeneste udgav sin årlige risikovurdering, Udsyn 2025, den 10. december 2025. Vurderingen beskriver de ydre vilkår for Kongeriget Danmarks sikkerhed.
Hovedkonklusionen fastslår, at USA i dag anvender sin styrke inden for økonomi og teknologi til at udøve magt. Ifølge FE gælder det også over for allierede og partnere. Samme afsnit beskriver, hvordan Kina og Rusland bruger magt, og at Kina og USA vil forblive strategiske konkurrenter på lang sigt.
Vurderingen nævner hverken bestemte leverandører eller cloudtjenester. Den beskriver et sikkerhedspolitisk vilkår, som organisationer med afhængighed af amerikansk teknologi lever under. For en bestyrelse er det relevante, at en statslig efterretningstjeneste nu beskriver teknologi som et redskab i magtpolitik. Det gør det lettere at begrunde, hvorfor risikoen hører hjemme i risikoregistret og ikke alene i IT-afdelingens driftsplaner. Den kinesiske side af samme billede behandles i → leverandører fra lande uden for sikkerhedsfællesskabet.
Mistillid og opmærksomhed på forsyningskæder
FE skriver også, at stormagternes brug af magt har øget mistilliden mellem stater, også mellem traditionelle partnere og allierede. Stater er ifølge vurderingen blevet mere opmærksomme på, hvilke lande de er afhængige af inden for råstoffer, energi, teknologi og fødevarer.
Den iagttagelse kan en virksomhed eller en myndighed overføre direkte til sig selv. Det samme spørgsmål, som stater stiller om deres forsyningskæder, kan stilles om de leverandører, der holder organisationen kørende.
ECFR’s scenarie bygger på virkemidler, der allerede findes
European Council on Foreign Relations udgav den 10. december 2025 policy brief’en Get over your X: A European plan to escape American technology, skrevet af Giorgos Verdi. Den åbner med et tænkt scenarie i november 2026. Her giver en amerikansk præsidentordre mulighed for at begrænse udenlandske brugeres adgang til amerikanske digitale tjenester som cloud, AI og militær software.
Scenariet er fiktivt og skal læses som en øvelse. Pointen i brief’en er, at virkemidlerne i scenariet ligner nogle, der allerede er brugt. Det gør scenariet relevant for en bestyrelse, der skal vurdere sandsynlighed og konsekvens.
Episoderne, ECFR henviser til
Brief’en nævner en række episoder som baggrund. Den henviser blandt andet til sanktionerne mod Den Internationale Straffedomstols chefanklager. Ifølge brief’en førte de til, at han ikke længere havde adgang til amerikanske digitale tjenester. Den nævner også, at Biden-regeringens regel om udbredelse af AI begrænsede import af avancerede chips til 18 lande, heriblandt EU-lande.
Brief’en henviser desuden til rapporter om, at amerikanske embedsmænd truede med at afbryde Ukraines adgang til Starlink under forhandlinger om mineraler. Den oplysning bygger på pressens kilder, og brief’en er selv en analyse. Episoderne bør derfor bruges som illustration af mekanismer, mens dokumentationen for den enkelte sag hentes i primærkilderne. Eksportkontrollen på AI er gennemgået i → amerikansk eksportpolitik og AI-modeller.
Markedet bag risikoen
Afhængigheden er bred, fordi markedet er koncentreret. Synergy Research Group opgjorde i juli 2025 de europæiske udbyderes andel af cloudmarkedet i Europa. Andelen var faldet fra 29 procent i 2017 til omkring 15 procent. Andelen har ifølge Synergy ligget stabilt siden 2022, selv om de europæiske udbyderes omsætning er mere end tredoblet.
Når mange organisationer bruger de samme få udbydere, rammer en enkelt beslutning mange på én gang. Det er beskrevet i → koncentrationsrisiko.
Princippet om at have nok egne alternativer
ECFR anbefaler, at Europa sigter efter tilstrækkelig egen kapacitet. Målet er at undgå, at teknologien kan bruges som våben imod kontinentet. Brief’en kalder princippet “just enough”. Den peger på fire lag, hvor indsatsen bør ligge, nemlig rumteknologi, chips, cloud og AI.
Brief’en skelner også mellem sektorer. Kritiske statslige funktioner som offentlig forvaltning og forsvar bør efter ECFR’s opfattelse prioritere europæisk teknologi. I sektorer med lavere risiko kan afhængigheden bestå, hvis den afbødes, fx med open source. Den skelnen kan en organisation bruge på sine egne systemer.
Hvad reglerne allerede kræver af ledelsen
For virksomheder og myndigheder under NIS2 er leverandørrisiko en ledelsesopgave. Direktiv (EU) 2022/2555 pålægger i artikel 20 ledelsesorganerne at godkende foranstaltningerne til styring af cybersikkerhedsrisici og føre tilsyn med dem. Artikel 21 nævner forsyningskædesikkerhed som en af foranstaltningerne.
Direktivets betragtning 90 nævner ikketekniske risikofaktorer, herunder et tredjelands utilbørlige påvirkning af leverandører og systemiske forsyningsforstyrrelser ved teknologisk fastlåsning. For den finansielle sektor går DORA, forordning (EU) 2022/2554, et skridt videre. Artikel 28, stk. 8, kræver exitstrategier for IKT-tjenester, der understøtter kritiske eller vigtige funktioner. Artikel 29 kræver en vurdering af, om en ny aftale fører til en leverandør, der er svær at erstatte. Det samme gælder, hvis aftalen giver flere aftaler med samme eller nært forbundne leverandører.
Reglerne gælder hver sin kreds af virksomheder og myndigheder. Logikken kan alligevel bruges af alle, fordi den gør afhængigheden til et ledelsesansvar med krav om dokumentation. Hvordan det omsættes i leverandørstyringen, står i → NIS2 og jurisdiktion i leverandørstyringen.
Sådan placeres risikoen i risikostyringen
- Beskriv risikoen som en hændelse · fx at en kritisk tjeneste lukkes, ændres væsentligt eller ikke længere må leveres til jer. Årsagen ligger uden for jeres kontrol.
- Knyt den til systemer · Brug kortlægningen fra → trin 1 til at se, hvilke processer der stopper, og hvor hurtigt.
- Vurder sandsynligheden med kilder · Henvis til FE’s vurdering og til dokumenterede sager frem for til mavefornemmelse.
- Vurder konsekvensen i tid og penge · Hvor længe kan organisationen klare sig uden tjenesten, og hvad koster det.
- Fastlæg en risikovillighed · Beslut, hvilke systemer der skal have en dokumenteret plan for exit eller nøddrift.
- Udpeg en ejer · Placer ansvaret hos en navngiven person i direktionen, med rapportering til bestyrelsen.
- Gentag vurderingen · Opdater ved ny risikovurdering fra FE, ved opkøb hos leverandøren og ved ændrede vilkår.
Hvad vurderingerne kan og ikke kan vise
FE’s vurdering kan vise, at teknologisk styrke indgår i stormagternes magtudøvelse, også over for allierede. ECFR’s brief kan vise, hvordan eksisterende virkemidler kan kombineres, og hvor en europæisk indsats kan prioriteres.
Ingen af dem kan sige, om en bestemt tjeneste vil blive ramt, eller hvornår. FE vurderer stater, ikke leverandører, og ECFR’s scenarie er en tænkt fremtid. Vurderingerne kan derfor begrunde, at risikoen står i risikoregistret, men de kan ikke erstatte en vurdering af jeres egne systemer. De siger heller intet om, hvor godt de enkelte leverandører er forberedt, eller hvilke tilsagn de har givet deres kunder. Den del skal dokumenteres leverandør for leverandør.
Betydningen for exit-planen
Når risikoen står i risikoregistret, skal den have et svar. Exit-planen er det svar for de systemer, hvor konsekvensen er størst, og prioriteringen sker i → trin 6.
Exit-planen behøver ikke betyde et skifte. For mange systemer vil svaret være en plan for nøddrift og en kopi af data uden for leverandørens platform. Hertil kommer en vurdering af, hvad et skifte vil koste, jf. → trin 5.
Bed direktionen om en liste over de fem systemer, hvor et stop koster mest, og om hvem der ejer dem juridisk. Hvis listen viser høj afhængighed af få udbydere, kan en uvildig gennemgang give bestyrelsen et bedre grundlag. Nielco IT’s jurisdiktions- og afhængighedsvurdering kortlægger blandt andet afhængighedsgrad, opkøbs- og sanktionsrisiko og exit pr. system.
Kilder
- Forsvarets Efterretningstjeneste: Udsyn 2025, Efterretningsmæssig risikovurdering 2025, udgivet 10. december 2025. https://www.fe-ddis.dk/globalassets/fe/dokumenter/2025/-fe-udsyn-25-.pdf
- European Council on Foreign Relations (Giorgos Verdi): Get over your X: A European plan to escape American technology, policy brief, 10. december 2025. https://ecfr.eu/publication/get-over-your-x-a-european-plan-to-escape-american-technology/
- Den Europæiske Unions Tidende (EUR-Lex): Forordning (EU) 2022/2554 af 14. december 2022 om digital operationel modstandsdygtighed i den finansielle sektor (DORA), artikel 28 og 29. https://eur-lex.europa.eu/eli/reg/2022/2554/oj/dan
- Synergy Research Group: European Cloud Providers’ Local Market Share Now Holds Steady at 15%, 24. juli 2025. https://srgresearch.com/articles/european-cloud-providers-local-market-share-now-holds-steady-at-15
- Den Europæiske Unions Tidende (EUR-Lex): Direktiv (EU) 2022/2555 af 14. december 2022 (NIS 2-direktivet), betragtning 90, artikel 20 og 21. https://eur-lex.europa.eu/eli/dir/2022/2555/oj/dan
