Mange organisationer mangler en fælles målestok, når de skal sammenligne cloududbydere på suverænitet. EU-Kommissionen har lagt en sådan målestok frem, og den kan bruges som tjekliste i jeres egen vurdering, så længe I kender dens forudsætninger.
Artiklen gennemgår rammens opbygning, de to beregninger, vægtene i den oprindelige version og i Kommissionens regneark fra juni 2026. Til sidst vises, hvordan rammen kan indgå i en exit-plan.
Fra udbudsbilag til offentlig vejledning
Kommissionens generaldirektorat for digitale tjenester (DIGIT) offentliggjorde Cloud Sovereignty Framework, version 1.2.1, i oktober 2025. Dokumentet var en del af et udbud under Cloud III Dynamic Purchasing System om suveræn cloud til EU’s institutioner, organer og agenturer.
Den 1. juni 2026 fulgte en forklaring af rammen med en implementeringsvejledning og et regneark. Kommissionen skriver, at den opfordrer alle organisationer, offentlige som private, til at konsultere og bruge rammen. Ved opslaget 30. oktober 2026 havde Kommissionen ikke offentliggjort en ny version.
De otte områder
Rammen kalder områderne Sovereignty Objectives og nummererer dem SOV-1 til SOV-8. Hvert område har en række bidragende faktorer, som ordregiveren vurderer.
- Strategisk suverænitet · hvor beslutningsmagten sidder, risikoen for ejerskifte, finansiering fra EU og evnen til at fortsætte, hvis leverandørens support forsvinder.
- Juridisk og jurisdiktionel suverænitet · hvilket retssystem der gælder, udsathed for love med virkning over grænser, og om myndigheder uden for EU kan tvinge adgang til data.
- Data og AI · hvem der styrer krypteringsnøglerne, logning af adgang, sletning, og om lagring og behandling holdes i EU uden reserveløsning i tredjelande.
- Operationel suverænitet · om europæiske aktører kan drive og supportere tjenesten, og hvor let arbejdsbelastninger kan flyttes.
- Leverandørkæden · hvor hardware, firmware og software stammer fra, og hvor godt kæden af underleverandører kan efterses.
- Teknologi · åbne grænseflader og standarder, åbne licenser og indsigt i arkitekturen.
- Sikkerhed og compliance · certificeringer, efterlevelse af GDPR, NIS2 og DORA, og om sikkerhedsovervågningen styres inden for EU.
- Miljømæssig bæredygtighed · energieffektivitet, genbrug af hardware og åbenhed om udledninger.
Under område 2 nævner rammen selv den amerikanske CLOUD Act og den kinesiske cybersikkerhedslov som eksempler. Loven bag den første gennemgås i → Cloud Act.
Fem niveauer fra SEAL-0 til SEAL-4
Rammens skala hedder Sovereignty Effectiveness Assurance Level, forkortet SEAL. Den går fra 0 til 4.
- SEAL-0 · tjenesten er under eneste kontrol af parter uden for EU og styres helt af ret uden for EU.
- SEAL-1 · EU-ret gælder formelt, men kan kun i begrænset omfang håndhæves.
- SEAL-2 · EU-ret gælder og kan håndhæves, men der er væsentlige afhængigheder af parter uden for EU.
- SEAL-3 · europæiske aktører har betydelig, men ikke fuld indflydelse, og kontrollen udefra er marginal.
- SEAL-4 · fuld europæisk kontrol, alene EU-ret og ingen kritiske afhængigheder uden for EU.
Navnet på SEAL-3 er ændret mellem dokumenterne. Version 1.2.1 kalder niveauet Digital Resilience, mens vejledningen fra juni 2026 bruger Technological Sovereignty.
To beregninger med hver sin funktion
Rammen arbejder med to resultater. Det første er et minimumsniveau. Ordregiveren fastsætter et krævet SEAL-niveau, og ifølge version 1.2.1 afvises tilbud, der ikke når det krævede niveau på tværs af alle områder.
Vejledningen fra juni 2026 skriver det samlede SEAL-niveau ud som det laveste niveau, udbyderen opnår på nogen af områderne. Et stærkt resultat på ét område kan altså ikke opveje et svagt på et andet.
Det andet resultat er en samlet suverænitetsscore. Den bruges til at rangordne de tilbud, der har nået minimumsniveauet. Vejledningen understreger, at SEAL-kriteriet går forud for scoren.
Vægtene i version 1.2.1
Den samlede score er en vægtet sum af de otte områder. Version 1.2.1 angiver disse vægte:
- Strategisk suverænitet 15 procent
- Juridisk og jurisdiktionel suverænitet 10 procent
- Data og AI 10 procent
- Operationel suverænitet 15 procent
- Leverandørkæden 20 procent
- Teknologi 15 procent
- Sikkerhed og compliance 10 procent
- Miljømæssig bæredygtighed 5 procent
Dokumentet begrunder den lave vægt på område 2 og 7 med, at udbudsproceduren allerede indeholder betydelige sikkerhedsforanstaltninger på de to områder. Vægtningen afspejler altså en konkret indkøbssituation, hvor andre dele af udbuddet dækkede det juridiske.
Regnearket fra juni 2026 bruger andre tal
Kommissionens regneark til vejledningen har andre vægte end version 1.2.1. Strategisk suverænitet vægter her 20 procent, leverandørkæden 10 procent og sikkerhed og compliance 15 procent. De øvrige fem områder har samme vægt som før.
Vejledningen oplyser, at pointene i regnearket kan tilpasses af ordregiveren, og at de angivne værdier bygger på erfaringerne fra udbuddet. Regnearket oplyser selv, at eksemplets scorer er fiktive. Den, der henviser til rammens vægte, bør derfor angive, hvilket dokument tallene stammer fra.
Hvad udbuddet i april 2026 viste
Kommissionen meddelte 17. april 2026, at fire kontrakter til en samlet værdi af op til 180 mio. euro over seks år var tildelt. Kravet for at deltage var SEAL-2.
Tre af de fire nåede SEAL-3. Det gjaldt et partnerskab ledet af Post Telecom med OVHcloud og Clever Cloud, STACKIT fra Schwarz-koncernen og Scaleway fra Iliad-koncernen. Det fjerde, et partnerskab ledet af Proximus med blandt andre S3NS, Clarence og Mistral, nåede SEAL-2. Ingen nåede SEAL-4, som ifølge meddelelsen kræver en europæisk leverandørkæde helt ned til chips.
Kommissionens egne erfaringer med rammen
Vejledningen fra juni 2026 nævner to begrænsninger. SEAL-4 er efter Kommissionens vurdering ikke realistisk i dag på grund af afhængigheden af bestemte leverandørkæder for chips og hardware. Kommissionen foreslår at lempe niveauet, i det mindste midlertidigt, så udbydere kan skelnes bedre fra hinanden.
Den anden begrænsning gælder arbejdsbyrden. Rammen hviler på udbydernes egne erklæringer, og det kræver en betydelig indsats at efterprøve dem. Vejledningen peger desuden på, at vurderingen skal omfatte hele kæden af underleverandører og leverandører, og ikke stoppe ved den juridiske enhed, der byder. Den kæde gennemgås i → trin 3 om underdatabehandlere og leverandørkæden.
Sådan bruger I rammen som tjekliste
Rammen er skrevet til et stort offentligt udbud, men strukturen kan bruges af en mindre organisation på dens egne kritiske systemer.
- Vælg systemerne · Start med de tre til fem systemer, hvor et stop koster mest, efter prioriteringen i → trin 6.
- Stil spørgsmål pr. område · Omsæt de bidragende faktorer til skriftlige spørgsmål til leverandøren. Et kortere sæt findes i → seks spørgsmål til leverandøren.
- Kræv dokumentation · Bed om kontrakter, ejeroplysninger og lister over underleverandører, ikke alene en egenerklæring.
- Fastsæt jeres minimum · Beslut, hvilket SEAL-niveau hvert system mindst skal have på hvert område, ud fra hvad et stop eller en udlevering ville betyde.
- Brug det laveste niveau · Lad systemets samlede niveau være det laveste, det opnår på nogen af områderne.
- Sæt jeres egne vægte · Vurder, om jeres kontrakter og øvrige krav dækker det juridiske, sådan som Kommissionens udbud gjorde. Gør de det ikke, kan område 2 have brug for større vægt.
- Dater og angiv kilden · Notér for hvert svar, hvor det kommer fra, og hvornår det er indhentet.
Samme princip om det laveste niveau ligger bag skemaet i → de tre lag i digital suverænitet.
Hvad rammen kan og ikke kan vise
Rammen giver et fælles sprog for ejerskab, jurisdiktion, drift, leverandørkæde og teknologi. Den gør det muligt at sammenligne udbydere efter samme målestok, også når de markedsfører sig med forskellige ord. Det hænger sammen med → sovereignty washing.
Rammen kan ikke afgøre, om en bestemt myndighed vil rette krav mod en bestemt udbyder. Den vurderer heller ikke en konkret kontrakt juridisk. Et SEAL-niveau gælder den tjeneste og det tidspunkt, vurderingen omfattede, og ændres ved opkøb eller ny ejer, jf. → ejerskab skifter. Resultatet er desuden kun så godt som den dokumentation, udbyderen leverer.
EU’s certificeringsordning for cloudtjenester, EUCS, er et separat spor. Hvor den står, og hvordan den forholder sig til rammen, gennemgås i → EUCS.
Betydningen for exit-planen
Rammen kan bruges til to ting i exit-planen. Den viser, hvor jeres nuværende systemer står, og den giver en ensartet måde at vurdere alternativerne på i → trin 7.
Udfyld de otte områder for jeres mest kritiske system, sæt et minimum og find det svageste område. Det område fortæller, hvad en exit eller en genforhandling skal flytte.
Skal vurderingen dække mange systemer eller bruges over for kunder og i udbud, kan en uvildig gennemgang give et bedre grundlag. Nielco IT’s jurisdiktions- og afhængighedsvurdering kortlægger lovgivning, ejerskab og afhængighed pr. system ud fra jeres eget materiale.
Kilder
- Europa-Kommissionen, DG DIGIT: Cloud Sovereignty Framework, version 1.2.1, oktober 2025. https://commission.europa.eu/document/download/09579818-64a6-4dd5-9577-446ab6219113_en?filename=Cloud-Sovereignty-Framework.pdf
- Europa-Kommissionen: Sovereign Cloud Framework explained, 1. juni 2026. https://commission.europa.eu/news-and-media/news/sovereign-cloud-framework-explained-2026-06-01_en
- Europa-Kommissionen: Cloud Sovereignty Framework, Implementation guidance, 1. juni 2026. https://commission.europa.eu/document/download/2ad80a48-166f-4c77-a513-80c53ca2a128_en
- Europa-Kommissionen: Annex, Sovereignty assessment calculator (regneark), 1. juni 2026. https://commission.europa.eu/document/download/3acb8fe8-8a4a-4339-ae74-f56138d913d1_en?filename=Annex%20-%20Sovereignty%20assessment%20calculator.xlsx
- Europa-Kommissionen: Commission advances cloud sovereignty through strategic procurement, 17. april 2026. https://commission.europa.eu/news-and-media/news/commission-advances-cloud-sovereignty-through-strategic-procurement-2026-04-17_en
