Digital suverænitet

70 13 63 23

Trin 2 i exit‑planen: et overblik over, hvem I reelt har kontrakt med, og hvem der ejer dem

Trin 2 i exit-planen: et overblik over, hvem I reelt har kontrakt med, og hvem der ejer dem

De fleste organisationer ved, hvor deres data ligger, men kun få kan sige, hvilket selskab de har skrevet kontrakt med. Trinnet hviler på en enkel regel: det er den juridiske enhed og dens ejer, der afgør, hvilke landes love der kan ramme tjenesten.

Listen fra → Trin 1 får her tre nye kolonner for hver kontrakt. Det drejer sig om selskabets fulde navn, landet, hvor det er registreret, og det øverste moderselskab.

Ejeren afgør, hvilke love der kan ramme tjenesten

Serverens placering siger noget om, hvor data fysisk ligger. Den siger mindre om, hvem der kan give leverandøren en ordre. Forskellen er beskrevet nærmere i → De tre lag i digital suverænitet.

Den amerikanske CLOUD Act er det tydeligste eksempel. Loven indsatte i 2018 18 U.S.C. § 2713 i amerikansk ret. Bestemmelsen pålægger udbydere af kommunikations- og cloudtjenester at bevare eller udlevere data, de har i deres “possession, custody, or control”. Det gælder, uanset om data ligger i eller uden for USA.

Hvornår et moderselskab har kontrol over data hos et datterselskab, er et juridisk spørgsmål, som jurister må vurdere i den konkrete sag. Loven forklares nærmere i → Cloud Act. Exit-planen skal blot kunne vise, hvilke kontrakter spørgsmålet overhovedet er relevant for.

Sagen fra Amsterdam: hvem var modparten?

Amsterdam Trade Bank købte Azure, Office 365 og andre Microsoft-tjenester gennem en forhandler, der igen var leverandør til en Microsoft-distributør. Det fremgår af kendelsen fra retten i Amsterdam af 3. maj 2022. Banken var datterselskab af den russiske Alfa Bank og kom på den amerikanske sanktionsliste den 6. april 2022. På EU’s sanktionsliste stod banken ikke selv.

Bankens konti hos Microsoft blev lukket den 12. og 14. april, og banken blev erklæret konkurs den 22. april. Kuratorerne havde ingen kontaktoplysninger hos Microsoft og måtte spørge, hvilket Microsoft-selskab der leverede tjenesterne. Svaret var, at de to hollandske selskaber, de havde stævnet, var de forkerte.

Retten skrev, at Microsoft havde leget skjul ved ikke at oplyse, hvilket selskab der skulle stævnes. Ifølge Microsoft kunne kun det irske Microsoft Ireland Operations Limited give adgang, og det selskab blev pålagt at gøre det med tvangsbøder på 10 mio. euro pr. døgn, højst 100 mio. euro. Microsoft anførte selv, at de amerikanske sanktionsregler gjaldt for det irske selskabs amerikanske moderselskab og derved indirekte for det irske selskab. Sagen gennemgås i → Amsterdam Trade Bank, og mekanismen i → Sanktioner og dekreter.

Fremgangsmåden

  1. Find kontraktens part · Notér det selskab, der står som leverandør i kontrakten eller på ordrebekræftelsen, med fuldt navn og selskabsform.
  2. Notér forhandleren separat · Køber I gennem en partner eller distributør, skrives både partneren og producentens kontraherende selskab ned.
  3. Slå registreringen op · Find selskabets registreringsnummer og land i det relevante handelsregister.
  4. Følg ejerskabet opad · Find det nærmeste og det øverste moderselskab og landet, hvor de er registreret.
  5. Sammenhold med udbyderens egne oplysninger · Kontrollér, om udbyderens dokumentation nævner andre selskaber, der driver eller supporterer tjenesten.
  6. Dater og angiv kilden · Skriv, hvor hver oplysning stammer fra, og hvornår den er slået op.

Kontraktens part står typisk på første side eller i vilkårenes definitioner. Ved standardvilkår på nettet kan parten afhænge af kundens land. Fakturaen viser, hvem der opkræver betalingen, og momsnummeret afslører registreringslandet.

Er der langt mellem kontrakt og faktura, noteres begge. Amsterdam-sagen viser, at en forhandlerkæde kan skjule, hvem den egentlige modpart er.

CVR og handelsregistre i andre lande

Danske selskaber slås op i CVR på datacvr.virk.dk. Ifølge Erhvervsstyrelsen registrerer virksomheder oplysninger om deres reelle ejere, og oplysningerne offentliggøres i CVR.

For selskaber i andre EU-lande giver EU’s e-Justice-portal gratis søgning i de nationale registre. Søgningen dækker også Island, Liechtenstein og Norge. Britiske selskaber findes hos Companies House, og tyske i Handelsregister.

Registrene viser typisk navn, nummer, adresse og ledelse. Hvor meget de viser om ejere, varierer fra land til land. Mangler ejeren, søges der videre i årsrapporten.

Årsrapporter og SEC-bilaget over datterselskaber

Et datterselskabs årsrapport nævner normalt det moderselskab, der udarbejder koncernregnskabet. For børsnoterede amerikanske koncerner findes desuden et bilag til årsrapporten 10-K, kaldet Exhibit 21, som lister datterselskaber.

Microsofts Exhibit 21 fra juli 2026 nævner Microsoft Ireland Operations Limited, registreret i Irland. Det er det selskab, retten i Amsterdam rettede kendelsen mod. Amazons Exhibit 21.1 fra februar 2026 angiver ejerandel, fx at Amazon Web Services, Inc. i Delaware er ejet 100 procent.

Begge lister udelader datterselskaber, der ikke er betydelige for koncernen. Et selskab, der mangler på listen, kan derfor godt være ejet af koncernen. Bilagene findes via SEC’s EDGAR-søgning.

Udbyderens egne oplysninger om enheder og underdatabehandlere

Udbyderne beskriver ofte selv, hvilke selskaber der indgår. AWS skriver i sit whitepaper om AWS European Sovereign Cloud, at tjenesten drives af tyske selskaber under holdingselskabet AWS European Sovereign Cloud GmbH. Kontraktens part for kunder i EU er ifølge samme dokument Amazon Web Services EMEA SARL i Luxembourg.

Tjenesten blev ifølge Amazons pressemeddelelse af 15. januar 2026 sat i drift i Brandenburg. Eksemplet viser, at driftsselskab og kontraktpart kan være to forskellige selskaber i to lande. Begge hører hjemme i exit-planen. De store udbyderes suveræne løsninger sammenlignes i → De store udbyderes suveræne clouds.

Listen over underdatabehandlere, fx AWS’ egen liste, viser de øvrige selskaber, der behandler data. Den gennemgås i → Trin 3.

Sådan noteres det i exit-planen

Hver kontrakt får én række med faste felter. Et regneark er nok.

  • Kontraktpart · fuldt selskabsnavn og registreringsnummer.
  • Registreringsland · landet for kontraktparten.
  • Forhandler · navn og land, hvis der købes gennem en partner.
  • Driftsselskab · det selskab, der driver tjenesten, hvis det er et andet.
  • Øverste moderselskab · navn og land.
  • Andre relevante lande · lande, hvor koncernen har selskaber med adgang til data.
  • Kilde og dato · register, årsrapport eller udbyderdokument med opslagsdato.

Feltet om andre lande har betydning for → NIS2 og jurisdiktion i leverandørstyringen.

Typiske fejl

  • Markedsføringsnavnet noteres · et varemærke er ikke en juridisk person og kan ikke slås op i et register.
  • Kun det lokale selskab undersøges · et dansk eller europæisk selskab kan have et moderselskab i et helt andet land.
  • Kun USA tælles med · OVHcloud oplyste den 31. juli 2026, at canadiske myndigheder har truet både det franske moderselskab OVH Groupe S.A. og det canadiske datterselskab med tiltale. Sagen drejer sig om en canadisk ordre fra 19. april 2024 om data knyttet til servere hos OVH-datterselskaber uden for Canada. OVH vil bestride tiltalen og henviser til, at hvert datterselskab er en selvstændig juridisk enhed. Sagen gennemgås i → OVHcloud og den canadiske kendelse.
  • Oplysningen opdateres aldrig · ejerskab skifter ved opkøb, se → Ejerskab skifter.

Hvad trinnet kan og ikke kan vise

Trinnet viser, hvilke selskaber og lande der står bag hver kontrakt. Det giver et grundlag for at spørge jurister om de kontrakter, hvor et moderselskab eller et søsterselskab ligger i et andet retssystem.

Trinnet kan ikke vise, om et bestemt krav vil blive rejst, eller om en domstol vil anse moderselskabet for at have kontrol over data. Det viser heller ikke, hvad udbyderen vil gøre. AWS skriver i sit whitepaper, at selskabet vil bruge alle lovlige midler til at anfægte krav, der strider mod EU-retten eller national ret. OVH har meddelt, at selskabet vil bestride de canadiske anklager. Sådanne tilsagn noteres med kilde, ved siden af ejerskabet.

Tjekliste

  • ☐ Kontraktparten er noteret med fuldt navn og registreringsnummer for hver kontrakt.
  • ☐ Forhandlere og distributører er noteret separat.
  • ☐ Registreringslandet er slået op i et officielt register.
  • ☐ Det øverste moderselskab og dets land er fundet.
  • ☐ Driftsselskab og kontraktpart er skilt ad, hvor de er forskellige.
  • ☐ Lande med koncernselskaber, der har adgang til data, er noteret.
  • ☐ Hver oplysning har kilde og opslagsdato.
  • ☐ Der er sat en dato for næste kontrol.

Næste trin

Med selskaber og ejere på plads gennemgås leverandørkæden under dem i → Trin 3: Gennemgå underdatabehandlere og leverandørkæden. Bagefter vurderes, hvem der kan lukke, se eller ændre, i → Trin 4.

Har organisationen mange kontrakter, forhandlerkæder eller leverandører med koncernselskaber i flere lande, kan en uvildig gennemgang spare tid. Nielco IT’s jurisdiktions- og afhængighedsvurdering kortlægger blandt andet den juridiske enhed og moderselskabet bag hver kontrakt, ud fra organisationens eget materiale.

Kilder

Skrevet af John Nielsen, indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Om John Nielsen · LinkedIn

John Nielsen, Nielco IT

Skal afhængigheden kortlægges?

Skriv kort, hvilke systemer eller leverandører det drejer sig om, og hvad anledningen er. Så vender jeg tilbage. Jeg sælger rådgivning, ikke produkter, og har ingen leverandørpartnerskaber.

Tak for din henvendelse. Jeg vender tilbage hurtigst muligt.

Eller kontakt os på

+45 70 13 63 23

info@nielcoit.dk

Seneste på bloggen

Statens udgifter til Microsoft: hvad tallene viser

Statens udgifter til Microsoft: hvad tallene viser

31. oktober 2026

Fysisk infrastruktur: hvem står bag pc'er, servere og netværksudstyr

Fysisk infrastruktur: hvem står bag pc’er, servere og netværksudstyr

30. oktober 2026

KL og kommunernes digitale handlefrihed

KL og kommunernes digitale handlefrihed

30. oktober 2026