Et alternativ kan have europæisk navn og adresse og alligevel hvile på de samme amerikanske platforme, som I vil gøre jer mindre afhængige af. Trinnet hviler på, at hver kandidat vurderes på fire punkter med kilder, I selv kan slå op: ejerskab, hosting, aktualitet og prismodel.
Trinnet bygger videre på prioriteringen fra → Trin 6. Her finder I ud af, om de løsninger, I har i kikkerten, faktisk flytter afhængigheden for de systemer, der betyder mest.
Navnet på leverandøren afgør ikke, hvor afhængigheden sidder
TeamViewer er et tysk produkt, og selskabet TeamViewer Germany GmbH i Göppingen står selv på leverandørens egen liste. Listen over underdatabehandlere, bilag 3 til TeamViewers databeskyttelsesvilkår i versionen af 27. juli 2026, viser mere end det.
Til hosting af hovedproduktet står blandt andre østrigske Anexia og tyske Schwarz Digits. Den nævner også Amazon Web Services EMEA Sarl i Luxembourg, Microsoft Ireland Ltd. og Google Ireland Ltd. For Assist AR står MongoDB, Inc. i New York som database-hosting med placering i EU.
Eksemplet siger intet om kvaliteten af produktet. Det viser, at et europæisk selskab kan have en hostingkæde, der fører til amerikanske koncerner. Hvad det betyder for jurisdiktionen, er forklaret i → De tre lag i digital suverænitet.
Fremgangsmåden
- Vælg mindst to kandidater pr. system · Én kandidat giver ingen sammenligning, og en forhandlingsposition kræver et reelt alternativ.
- Slå ejerskabet op · Find kontraktpart, registreringsland og øverste moderselskab for hver kandidat på samme måde som for den nuværende leverandør.
- Gennemgå hostingen · Læs listen over underdatabehandlere og notér, hvem der driver servere, database og support.
- Kontrollér aktualiteten · Find supportperioden, den seneste sikkerhedsopdatering og udgivelsesrytmen.
- Beskriv prismodellen · Notér licensform, bindingsperiode, hvad en erhvervsudgave omfatter, og hvad det koster at forlade løsningen igen.
- Giv hvert punkt kilde og dato · Skriv, hvor svaret stammer fra, og hvornår det blev slået op.
- Sammenlign med den nuværende løsning · Brug samme skema for den løsning, I vil væk fra, så forskellen bliver synlig.
Et regneark med én række pr. kandidat og én kolonne pr. punkt er nok. Det vigtige er, at alle kandidater, europæiske som amerikanske, måles på de samme felter.
Mangler en oplysning i leverandørens offentlige materiale, så spørg skriftligt og gem svaret. Et svar på mail er en kilde, der kan efterprøves senere. Et mundtligt svar fra et salgsmøde kan ikke. Kan leverandøren ikke svare på, hvem der driver serverne, er det i sig selv en oplysning, der hører hjemme i skemaet.
Ejerskab: slå det op i registret
Ejerskabet afgør, hvilke staters love der kan pålægge leverandøren at udlevere data eller lukke en tjeneste. Det slås op i handelsregistre, årsrapporter og SEC-indberetninger, som beskrevet i → Trin 2.
For alternativer er det værd at se efter nylige ændringer. En leverandør, der var europæisk ejet ved sidste kontrakt, kan være solgt til en fond eller en udenlandsk koncern siden. Mekanismen er beskrevet i → Ejerskab skifter.
Notér også, hvor koden stammer fra, når produktet bygger på et andet projekt. Ejeren af kodebasen bestemmer, hvordan produktet udvikles, og kan i nogle tilfælde stoppe videreudviklingen. Står der flere selskaber bag, noteres hvert af dem med land.
Hosting: listen over underdatabehandlere
Hostingen findes i listen over underdatabehandlere, som de fleste leverandører offentliggør. Listen viser, hvilke selskaber der må behandle data, og ofte i hvilket land.
Se især efter tre ting. Hvilke selskaber driver selve infrastrukturen. Om der er forskellige lister for forskellige produkter eller moduler, som hos TeamViewer. Og om der er tillægsfunktioner, fx AI, der bruger andre leverandører end kerneproduktet.
En placering i EU besvarer kun spørgsmålet om lag 1. Står der en europæisk adresse på et selskab i en amerikansk koncern, skal ejerskabet følges videre opad. Selve gennemgangen af kæden står i → Trin 3.
Aktualitet: supportperiode og vedligeholdelse
Et alternativ er kun brugbart, så længe det får sikkerhedsopdateringer. For kommercielle produkter står supportperioden typisk på leverandørens egen side om livscyklus.
Microsofts livscyklusside for Windows 10 Home og Pro viser, hvordan det ser ud. Supporten ophørte 14. oktober 2025, og version 22H2 blev den sidste. Samme type dato skal findes for hver kandidat.
EU’s Cyber Resilience Act gør oplysningen mere tilgængelig fremover. Ifølge Kommissionens sammenfatning skal producenten fastsætte en supportperiode, og slutdatoen skal oplyses med måned og år ved købet. Forordningens hovedregler gælder fra 11. december 2027.
For open source-projekter læses aktualiteten i projektets eget repository. Notér datoen for seneste udgivelse og seneste sikkerhedsrettelse, og hvem der vedligeholder koden. Et projekt med én frivillig vedligeholder bærer en anden risiko end et projekt med en virksomhed bag.
Prismodel og vejen ud igen
Prismodellen afgør, hvad løsningen koster at bruge, og hvad den koster at forlade. Notér licensform, minimumsforbrug, rabataftaler og bindingsperiode. En gratis udgave tæller kun med, hvis den kan bruges i drift, eller hvis der findes en erhvervsudgave med support.
For cloudtjenester fastsætter EU’s Data Act regler for skift og skiftegebyrer. Reglerne og deres grænser er gennemgået i → Data Act. Prisstigninger og bundling ved fornyelse er beskrevet i → Tvangsbundling og prisstigninger.
Regn også med de omkostninger, der ligger uden for licensen. Uddannelse, konvertering af skabeloner og en periode med to systemer i drift hører med. Beregningen følger samme metode som i trin 5 om exit-omkostningen.
EU-rammen som fælles målestok
EU-Kommissionens Cloud Sovereignty Framework giver en skala, der kan bruges ved siden af de fire punkter. Den har fem niveauer fra SEAL-0 til SEAL-4. Det samlede niveau er det laveste, udbyderen opnår på nogen af rammens otte områder.
SEAL-3 beskrives som et niveau, hvor EU-retten gælder, og hvor aktører uden for EU kun har marginal kontrol over tjeneste, teknologi eller drift. Rammen gennemgås i → EU’s suverænitetsramme.
Skalaen bliver allerede brugt som krav. Det tyske ZenDiS startede 23. september 2026 et partnerprogram for kontorpakken openDesk. Cloududbydere, der vil levere den som tjeneste, skal ifølge Borncity og Cloudmagazin dokumentere niveau 3 på SEAL-skalaen. De skal også have et testat efter den tyske sikkerhedsmyndighed BSI’s katalog C5. Et oplyst SEAL-niveau kan noteres som kilde, men erstatter ikke jeres eget opslag af de fire punkter.
Typiske fejl
- Markedsføringen bruges som kilde · ord som europæisk eller suveræn noteres uden at blive holdt op mod registre og lister. Forskellen er beskrevet i → Sovereignty washing.
- Kun kerneproduktet vurderes · moduler og AI-funktioner kan bruge andre underdatabehandlere end selve produktet.
- Alternativet måles strengere end den nuværende løsning · eller omvendt. Begge skal igennem samme skema.
- Licensprisen bliver hele regnestykket · uddannelse, konvertering og parallel drift udelades.
- Vurderingen dateres ikke · ejerskab, lister og supportdatoer ændrer sig, og et udateret svar kan ikke efterprøves.
Hvad trinnet kan og ikke kan vise
Trinnet kan vise, om en kandidat flytter afhængigheden i lag 1, 2 eller 3, og hvor svaghederne ligger. Det giver også et skriftligt grundlag, der kan bruges i et udbud eller over for ledelsen.
Trinnet kan ikke afgøre, om en løsning passer funktionelt til jeres arbejdsgange. Det kræver en afprøvning hos rigtige brugere, som hører til i → Trin 9. Det kan heller ikke forudsige et fremtidigt opkøb eller en ændring af vilkårene. Det vurderer ikke en kontrakt juridisk.
Tjekliste
- ☐ Der er mindst to kandidater for hvert prioriteret system.
- ☐ Kontraktpart, registreringsland og øverste moderselskab er slået op for hver kandidat.
- ☐ Listen over underdatabehandlere er gennemgået, også for moduler og AI-funktioner.
- ☐ Supportperiode og seneste sikkerhedsopdatering er noteret.
- ☐ Prismodel, binding og omkostning ved at forlade løsningen er beskrevet.
- ☐ Den nuværende løsning er vurderet i samme skema.
- ☐ Hvert svar har kilde og opslagsdato.
Næste trin
Når kandidaten er valgt, skal vejen ud igen skrives ind i kontrakten fra starten, jf. → Trin 8: Skriv exit ind i kontrakten. Konkrete efterprøvninger af alternativer findes under fx → Kontorpakke, mail og samarbejde.
Er der mange systemer og kandidater, kan en uvildig gennemgang af hele porteføljen være et bedre udgangspunkt end enkeltvurderinger. I Nielco IT’s uvildige rådgivning om exit-planen indgår alternativer, hvor ejerskab, hosting, aktualitet og prismodel er efterprøvet.
Kilder
- TeamViewer: Annex 3 to the Data Processing Agreement, Subprocessor List, version af 27. juli 2026. https://media.teamviewer.com/is/content/teamviewergmbh/teamviewer/central-image-hub/pdf/en/teamviewer-dpa-annex-3-subprocessor-list-en.pdf
- Microsoft Learn: Windows 10 Home and Pro, Microsoft Lifecycle (set 30. oktober 2026). https://learn.microsoft.com/en-us/lifecycle/products/windows-10-home-and-pro
- Europa-Kommissionen: Cyber Resilience Act, Summary of the legislative text (set 30. oktober 2026). https://digital-strategy.ec.europa.eu/en/policies/cra-summary
- EU-Kommissionen: Cloud Sovereignty Framework, Implementation guidance, 2026. https://commission.europa.eu/document/download/2ad80a48-166f-4c77-a513-80c53ca2a128_en
- Borncity: openDesk: ZenDiS öffnet Partnerprogramm erstmals für private IT-Dienstleister, 23. september 2026. https://borncity.com/news/opendesk-zendis-oeffnet-partnerprogramm-erstmals-fuer-private-it-dienstleister/
- Cloudmagazin (Alec Chizhik): openDesk öffnet sich für private Cloud-Anbieter, 27. september 2026. https://www.cloudmagazin.com/2026/09/27/opendesk-oeffnet-sich-fuer-private-cloud-anbieter/
