Digital suverænitet

70 13 63 23

EUCS: EU’s certificering af cloudtjenester og hvor den står

EUCS: EU's certificering af cloudtjenester og hvor den står

Mange tilbud på cloud henviser til certificeringer, og en fælles europæisk ordning har været undervejs siden 2019. Hvad en certificering kan bruges til i exit-planen, afhænger af, om den vurderer sikkerhed, jurisdiktion eller begge dele.

Artiklen forklarer, hvad EUCS er, hvorfor kravene om suverænitet blev fjernet fra udkastet, og hvordan ordningen hænger sammen med den franske SecNumCloud og Kommissionens nye forslag. Status er opgjort 30. oktober 2026.

Hvad EUCS er

EUCS står for European Cybersecurity Certification Scheme for Cloud Services. Ordningen udarbejdes af EU’s cybersikkerhedsagentur ENISA efter forordningen om cybersikkerhed, forordning (EU) 2019/881, som ofte kaldes Cybersecurity Act.

Forordningen opretter ifølge ENISA’s egen beskrivelse en ramme for frivillige europæiske certificeringsordninger. Forordningen kender tre tillidsniveauer, kaldet basic, substantial og high.

ENISA’s præsentation af udkastet fra januar 2021 citerer forordningens definition. Ifølge den siger et tillidsniveau noget om, hvor grundigt tjenesten er vurderet. Det måler ikke i sig selv, hvor sikker tjenesten er.

Fra anmodning til første udkast

ENISA offentliggjorde udkastet til EUCS, version 1.0, 22. december 2020 til ekstern høring. Arbejdet byggede på artikel 48, stk. 2, i forordningen, hvor Kommissionen kan bede ENISA om at udarbejde en ordning.

Udkastet dækkede alle typer cloudtjenester og havde tre niveauer. ENISA oplyste i præsentationen, at kravene til sikkerhedskontroller var inspireret af ISO/IEC 27000-serien og af nationale ordninger som tyske C5 og franske SecNumCloud. Det højeste niveau var tiltænkt systemer og data, der er kritiske for opgaven.

Striden om suverænitetskravene

Efter høringen bad Kommissionen ifølge en analyse fra EU’s institut for sikkerhedsstudier (EUISS) om et tillæg til det højeste niveau. Data skulle beskyttes mod jurisdiktion uden for Europa.

Danmark var blandt modstanderne. Det østrigske parlaments EU-database registrerer et revideret non-paper fra 30. september 2022 fra Danmark, Estland, Grækenland, Irland, Litauen, Polen, Sverige og Holland om cloudcertificering og datasuverænitet. Ifølge EUISS indeholdt udkastet fra maj 2023 krav om lokal lagring og om, at europæisk ret skulle have forrang.

EUISS beskriver Frankrig, Italien, Spanien og Tyskland som tilhængere af kravene. Modstanderne fandt, at politiske kriterier blev lagt ind i en teknisk ordning.

Uenigheden havde praktisk betydning, selv om certificeringen er frivillig. NIS2-direktivets artikel 24 giver medlemsstaterne mulighed for at kræve, at væsentlige og vigtige enheder bruger IKT-tjenester, der er certificeret efter en europæisk ordning. EUISS peger på netop den mulighed som grunden til, at det højeste niveau blev så omstridt. Hvordan NIS2 i øvrigt rammer leverandørstyringen, står i → NIS2 og leverandørstyring.

Udkastet fra marts 2024

Ifølge Reuters fjernede et udkast dateret 22. marts 2024 kravet om uafhængighed af love uden for EU. Udbyderne skulle i stedet oplyse, hvor kundernes data lagres og behandles, og hvilke love der gælder. EUISS beskriver samme ændring og tilføjer, at spørgsmålet blev overladt til de nationale myndigheder.

Kommissionens forslag fra 2026 bekræfter, at striden forsinkede arbejdet. Forslaget til en ny cybersikkerhedsforordning, COM(2026) 11, nævner debatter om datasuverænitet som en årsag til forsinkelserne og bruger EUCS som eksempel. Den første europæiske ordning blev ifølge samme dokument først vedtaget i begyndelsen af 2024.

Status pr. 30. oktober 2026

EUCS var ved opslaget 30. oktober 2026 fortsat ikke vedtaget. Kommissionen skriver selv i forslaget til CADA, COM(2026) 502 fra 3. juni 2026, at ordningen endnu ikke er vedtaget, og at arbejdet med den vil blive genoptaget.

Rammen omkring ordningen er også under forandring. Forslaget til en ny cybersikkerhedsforordning fra 20. januar 2026 skal erstatte forordning 2019/881. Efter forslaget skal ENISA som udgangspunkt levere et udkast til en ordning inden for 12 måneder efter en anmodning.

Ifølge Europa-Parlamentets procedureoversigt afventede forslaget 30. oktober 2026 en beslutning i udvalget for industri, forskning og energi. Et udkast til betænkning forelå fra 18. september 2026. Hverken forslaget eller EUCS gælder derfor endnu.

SecNumCloud stiller krav til ejerskabet

Den franske ordning SecNumCloud fra cybersikkerhedsagenturet ANSSI viser, hvad suverænitetskravene kunne have betydet. Kravene i version 3.2 fra 8. marts 2022 har et afsnit 19.6 om beskyttelse mod lovgivning uden for EU.

  • Hjemsted · udbyderens vedtægtsmæssige hjemsted, hovedkontor og hovedforretningssted skal ligge i en medlemsstat.
  • Ejerskab · enheder uden for EU må højst eje 24 procent hver og 39 procent tilsammen af kapital og stemmerettigheder.
  • Kontrol · de samme enheder må ikke have vetoret eller udpege flertallet i ledelsen.
  • Underleverandører · en underleverandør fra et land uden for EU må ikke teknisk kunne få adgang til kundens data.
  • Ændringer · kunden skal have besked inden for en måned om ændringer, der kan påvirke overholdelsen.

Afsnit 19.6, litra d, er særligt relevant for en exit-plan. Bruger udbyderen en underleverandør fra et land uden for EU, skal underleverandøren sikre udbyderen en fortsat selvstændig drift, eller selv være kvalificeret. Kravet er opfyldt, når udbyderen kan holde tjenesten kørende med egne kompetencer eller med ydelser fra mindst to andre selskaber.

Afsnit 19.2 kræver desuden, at data lagres og behandles i EU, og at administration sker fra EU. Afsnit 19.4 regulerer sletning ved kontraktens ophør. Hvordan en løsning med fransk medejer og amerikansk teknologi er bygget op, står i → de store udbyderes suveræne clouds.

Sikkerhed og suverænitet skilles ad

Kommissionen har valgt at behandle de to spørgsmål i hver sin retsakt. I CADA-forslaget skriver den, at certificering efter cybersikkerhedsforordningen kan dække tekniske kriterier, men ikke er egnet til suverænitet ud over dem. Forarbejdet til EUCS viste ifølge samme dokument, at sikkerhed og suverænitet skal holdes adskilt.

Forslaget til den nye cybersikkerhedsforordning følger samme linje. Certificering skal efter forslaget dække de tekniske risici, mens en særskilt ordning skal håndtere ikketekniske risici i forsyningskæden. Den del er gennemgået i → leverandører uden for sikkerhedsfællesskabet.

Suverænitet skal i stedet vurderes efter CADA’s fire EU-sikringsniveauer, som er forklaret i → Tech Sovereignty Package og CADA. Kommissionens udbudsramme fra 2025 har sikkerhed og compliance som ét af otte områder, ved siden af det juridiske og ejerskabet, jf. → EU’s suverænitetsramme.

Hvor certificeringen indgår i CADA

Bilagene til CADA-forslaget kræver et europæisk certifikat for cloudtjenester på mindst niveau substantial for sikringsniveau 2 og 3 og niveau high for sikringsniveau 4. Kravet gælder, når en sådan ordning er etableret.

Indtil da gælder nationale ordninger, hvor de findes. Bilaget nævner også certifikater efter den europæiske tekniske specifikation CEN/TS 18026:2024. Findes ingen ordning, skal udbyderen dokumentere, at tjenesten følger de højeste sikkerhedsstandarder efter EU-retten. CADA var 30. oktober 2026 under behandling i Parlamentets udvalg ifølge procedureoversigten.

Sådan læser I en certificering i exit-planen

Et certifikat er et dateret bevis for en bestemt tjeneste. Brug disse spørgsmål, når en leverandør henviser til EUCS, SecNumCloud, C5 eller en anden ordning.

  1. Hvilken ordning · Notér ordningens navn, version og udsteder. Henviser leverandøren til EUCS, så notér, at ordningen ikke var vedtaget pr. 30. oktober 2026.
  2. Hvilken tjeneste · Kontrollér, at certifikatet dækker netop den tjeneste og den region, I bruger.
  3. Hvilket niveau · Notér tillidsniveauet og datoen for udløb eller fornyelse.
  4. Hvad den vurderer · Afklar, om ordningen stiller krav til ejerskab og jurisdiktion som SecNumCloud’s afsnit 19.6, eller alene til sikkerhedskontroller.
  5. Hvem ejer udbyderen · Slå ejerkæden op selv, jf. → trin 2 om juridisk enhed og moderselskab.
  6. Hvad sker ved ejerskifte · Spørg, hvordan I får besked, hvis ændringer påvirker certificeringen.

Svarene placeres i lag 1, 2 eller 3 i → de tre lag. En ren sikkerhedscertificering siger typisk mest om lag 2.

Hvad gennemgangen kan og ikke kan vise

Gennemgangen kan vise, hvorfor en europæisk cloudcertificering ikke i sig selv dokumenterer uafhængighed af love uden for EU. Den kan også vise, hvilke krav en ordning med ejerskabskrav faktisk stiller.

Den kan ikke forudsige, hvornår EUCS vedtages, eller hvad den endelige tekst vil indeholde. Forhandlingerne om den nye cybersikkerhedsforordning og CADA kan ændre både niveauer og krav. Gennemgangen vurderer heller ingen konkret udbyder eller certificering. Hvordan markedsføring og jurisdiktion skilles ad i et tilbud, står i → sovereignty washing.

Betydningen for exit-planen

En certificering kan forbedre vurderingen af sikkerheden hos en udbyder. Exit-planen skal dog stadig besvare ejerskab og jurisdiktion særskilt, fordi EUCS efter Kommissionens linje vil dække de tekniske krav.

Skriv i jeres vurdering af alternativer i → trin 7, hvilken ordning hvert svar bygger på, og hvornår det er kontrolleret. Følg forhandlingerne, og opdatér vurderingen, når EUCS eller CADA vedtages.

Skal mange systemer og certificeringer vurderes samlet, kan Nielco IT’s jurisdiktions- og afhængighedsvurdering give et uvildigt grundlag ud fra jeres eget materiale.

Kilder

Skrevet af John Nielsen, indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Om John Nielsen · LinkedIn

John Nielsen, Nielco IT

Skal afhængigheden kortlægges?

Skriv kort, hvilke systemer eller leverandører det drejer sig om, og hvad anledningen er. Så vender jeg tilbage. Jeg sælger rådgivning, ikke produkter, og har ingen leverandørpartnerskaber.

Tak for din henvendelse. Jeg vender tilbage hurtigst muligt.

Eller kontakt os på

+45 70 13 63 23

info@nielcoit.dk

Seneste på bloggen

Statens udgifter til Microsoft: hvad tallene viser

Statens udgifter til Microsoft: hvad tallene viser

31. oktober 2026

Fysisk infrastruktur: hvem står bag pc'er, servere og netværksudstyr

Fysisk infrastruktur: hvem står bag pc’er, servere og netværksudstyr

30. oktober 2026

KL og kommunernes digitale handlefrihed

KL og kommunernes digitale handlefrihed

30. oktober 2026