Digital suverænitet

70 13 63 23

Forsvarets cloud og risikoen for en kill switch

Forsvarets cloud og risikoen for en kill switch

Et forsvar kan miste adgangen til et system, selv om data ligger på egne servere, hvis leverandøren pludselig ikke må levere. Den risiko har tænketanken FOTI forsøgt at kortlægge for forsvarsministerierne i 28 europæiske lande, og Danmark havner i den høje risikogruppe.

Artiklen gennemgår, hvad rapporten bygger på, hvad den finder, og hvor grænserne for metoden går. Til sidst følger, hvad resultatet betyder for organisationer med kritiske samfundsfunktioner og deres exit-plan.

Rapporten og dens afsender

Rapporten hedder Cloud Defence: An exposed European flank og blev offentliggjort 17. april 2026 med en pressemeddelelse fra Bruxelles. Afsenderen er Future of Technology Institute, forkortet FOTI, med Cori Crider som direktør.

FOTI beskriver sig selv som en paneuropæisk tænketank, der arbejder for at åbne markedsflaskehalse og opbygge suveræne alternativer. Den oplyser, at den er partipolitisk uafhængig og ikke modtager midler fra virksomheder. Rapporten er altså skrevet af en organisation med et erklæret mål om at mindske afhængigheden af de store teknologiselskaber. Det er værd at have med, når konklusionerne læses.

Sådan blev de 28 lande vurderet

Undersøgelsen dækker de 27 EU-lande og Storbritannien. FOTI søgte på hvert forsvarsministeriums websted efter ordene cloud, Microsoft, Google, Amazon Web Services og Oracle. Tænketanken søgte også i lokale medier på ministeriets navn på landets eget sprog.

Fundene blev sammenholdt med kontrakter i EU’s udbudsdatabase TED, der rummer offentlige kontrakter over 143.000 euro. For Storbritannien brugte FOTI den britiske Contracts Finder. Manglende oplysninger blev suppleret med nationale udbudssider, budgetter og pressemeddelelser.

FOTI kalder selv resultatet et forsigtigt skøn. Mange forsvarskontrakter er klassificerede, og underleverandørforhold gør det svært at finde alle kontrakter, der bygger på amerikansk teknologi.

Resultatet i tal

Ifølge rapporten afhænger 23 af de 28 lande, svarende til 78,5 procent, af amerikanske teknologiselskaber til nationale forsvarsformål. Det sker enten gennem direkte køb eller gennem europæiske leverandører, hvis produkter kører på amerikansk cloud.

FOTI deler landene i fire grupper.

  • Høj risiko (16 lande): Danmark, Estland, Finland, Irland, Kroatien, Letland, Litauen, Polen, Portugal, Rumænien, Slovakiet, Slovenien, Storbritannien, Tjekkiet, Tyskland og Ungarn.
  • Middel risiko (7 lande): Belgien, Frankrig, Grækenland, Holland, Italien, Luxembourg og Spanien.
  • Lavere risiko (1 land): Østrig.
  • Ukendt (4 lande): Bulgarien, Cypern, Malta og Sverige.

Høj risiko betyder i rapporten, at forsvaret enten køber cloud direkte hos et amerikansk selskab, eller at det er uklart, om den amerikanske teknologi er afskåret fra leverandørens globale netværk. Microsoft optræder hos 19 forsvarsmyndigheder, Oracle i fem kontrakter og Google i fire samarbejder.

Hvad rapporten skriver om Danmark

I rapportens tabel står Forsvarsministeriet med Microsoft og Systematics SitaWare BattleCloud som leverandører. Rapportens bilag oplyser, at Hjemmeværnets websted kører på Microsoft Azure, og henviser til flere udbud af Microsoft-baserede cloudtjenester.

Om BattleCloud skriver FOTI, at løsningen ifølge leverandøren typisk kører på Microsoft Azure. Systematic beskriver på sin produktside for SitaWare BattleCloud løsningen som leverandørneutral. Den kan ifølge siden køre på offentlige, private og statsejede platforme, og installation i egne datacentre understøttes fortsat. Hvilken platform det danske forsvar bruger, fremgår ikke af offentlige kilder.

Rapporten nævner også, at dele af den danske statsforvaltning har annonceret et skift væk fra Microsofts kontorpakke. FOTI skriver, at det er uklart, om og hvornår Forsvarsministeriet følger med. Skiftene i den civile forvaltning er samlet i → Læs mere.

Mekanismen bag en kill switch

Begrebet dækker over, at en amerikansk regering kan få en leverandør til at stoppe en tjeneste. Ifølge rapporten må amerikanske personer og selskaber efter amerikansk sanktionsret ikke levere tjenester til personer på sanktionslisten. Det gælder også datterselskaber i udlandet (→ Læs mere).

FOTI bruger sanktionerne mod Den Internationale Straffedomstol som eksempel. Rapporten skriver, at sanktionerne angiveligt førte til, at chefanklagerens mail blev lukket, og at Microsoft har afvist at bære ansvaret. Forløbet er gennemgået i → Læs mere.

Rapporten nævner desuden, at Maxar Technologies i 2025 begrænsede Ukraines adgang til satellitbilleder, efter at den amerikanske regering stoppede deling af efterretninger. Pointen er, at risikoen ligger i adgangen til tjenesten. Spørgsmålet om, hvem der kan læse data, er en anden mekanisme, som er beskrevet i → Læs mere.

Afhængighed gennem europæiske leverandører

Rapportens mest brugbare fund for andre end forsvaret handler om leverandørkæden. I Belgien, Danmark, Finland, Frankrig, Italien, Luxembourg, Slovenien og Spanien har forsvaret ifølge FOTI kontrakt med en europæisk virksomhed. Den virksomhed bygger så sin løsning på en amerikansk udbyders cloudinfrastruktur.

Rapporten fremhæver blandt andet Spanien, hvor forsvarets informationsinfrastruktur er udbudt til Telefónica, der har flyttet sine cloudtilbud til Oracles infrastruktur. Italiens forsvar er flyttet til den nationale cloud Polo Strategico Nazionale, som ifølge rapporten kører på teknologi fra Google og Oracle.

Kontrakten med den nærmeste leverandør viser altså ikke nødvendigvis, hvem der i sidste ende driver platformen. Det kræver en gennemgang af underleverandørerne (→ Læs mere).

Når suveræn cloud bygger på amerikansk teknologi

FOTI forklarer, at mange lande ligger i den høje gruppe, fordi det er uklart, om løsningen er afskåret fra hyperscalerens globale netværk. Rapporten nævner AWS’ europæiske suveræne cloud og Delos Cloud, som SAP og Deutsche Telekom driver med software fra Microsoft Azure.

Sådanne løsninger drives af europæisk personale, ofte gennem europæiske selskaber eller lokale datterselskaber. Ifølge rapporten mindsker det risikoen for, at udenlandske myndigheder får adgang til data. Løsningerne kræver dog stadig opdateringer og vedligeholdelse fra den amerikanske leverandør. Stopper vedligeholdelsen på grund af sanktioner, kan driften fortsætte en tid, men pålideligheden og sikkerheden falder på længere sigt.

Hvordan de store udbyderes suveræne tilbud er skruet sammen, er gennemgået i → Læs mere.

Holland og Østrig som modeksempler

Østrig er det eneste land, FOTI placerer i den lave gruppe. Ifølge rapporten har det østrigske forsvar flyttet omkring 16.000 arbejdspladser væk fra Microsoft Office i 2025. Sagen er beskrevet i → Læs mere.

Holland står i den midterste gruppe, fordi den nuværende arkitektur bygger på Microsoft og Amazon. Det hollandske forsvar indgik i juni 2025 en aftale med KPN og Thales om at udvikle en suveræn cloud. Statssekretær Gijs Tuinman var til stede ved underskrivelsen.

Siden rapporten er der sket mere. Den 22. oktober 2026 meddelte Defensie, at forsvaret har indgået aftale med SAP om en suveræn cloud, der etableres i Holland og tages i brug 1. januar 2028. Ifølge meddelelsen indgår den i en strategi med flere cloudtyper side om side for at undgå afhængighed af én leverandør. Statssekretær Derk Boswijk fremhæver, at forsvaret kan flytte sine data til et andet cloudmiljø.

Hvad rapporten kan og ikke kan vise

Rapporten kan vise, at afhængigheden af amerikanske cloududbydere er udbredt i europæiske forsvar, og at den ofte ligger skjult bag europæiske leverandører. Den giver også en gentagelig metode, der bygger på offentlige udbudsdata.

Den kan ikke vise, hvilke danske forsvarssystemer der faktisk kører i amerikansk cloud, eller hvor kritiske de er. Klassificerede kontrakter indgår ikke, og fund på et websted eller i et udbud siger lidt om, hvad der driver operative systemer. Risikogrupperne er FOTI’s egen vurdering, og en ukendt placering kan dække over både høj og lav afhængighed.

Rapporten tager heller ikke stilling til, hvor længe et system kan køre efter en sanktion. Den svarer ikke på, hvad en udskiftning vil koste.

Kritiske samfundsfunktioner uden for forsvaret

Mekanismen er den samme for energi, forsyning, transport, sundhed og kommuner. Afgørende er, om en udenlandsk regering kan pålægge leverandøren at stoppe, og hvor hurtigt organisationen selv kan fortsætte.

FOTI anbefaler blandt andet, at forsvar og sikkerhedsmyndigheder gennemgår deres cloudafhængigheder for at finde de mest risikable systemer. Tænketanken anbefaler også trinvise migreringsplaner for de mest kritiske systemer frem mod 2030. Begge anbefalinger kan bruges direkte af andre organisationer med kritiske opgaver.

Når flere kritiske systemer hviler på samme udbyder, samles risikoen ét sted (→ Læs mere).

Betydningen for exit-planen

Rapporten giver ikke svaret for den enkelte organisation. Den giver en metode, der kan gentages på jeres egne kontrakter.

  1. Find den endelige platform · Notér for hvert kritisk system, hvilken udbyder der driver infrastrukturen, også når kontrakten er med en europæisk leverandør.
  2. Vurder afbrydelsen · Beskriv, hvad leverandøren kan lukke, og med hvilket varsel (→ Læs mere).
  3. Kortlæg vedligeholdelsen · Notér, hvem der leverer opdateringer og support til løsninger, der markedsføres som afskårne eller suveræne.
  4. Prioritér efter opgaven · Start med de systemer, hvis bortfald rammer en kritisk samfundsfunktion (→ Læs mere).
  5. Skriv kravene ind · Stil krav om oplysning om hele leverandørkæden ved næste udbud (→ Læs mere).

Kortlægningen kan laves internt med jeres egne kontrakter og leverandørlister. En uvildig jurisdiktions- og afhængighedsvurdering kan bruges, når I ønsker et eksternt blik på afhængighed og exit pr. system.

Kilder

Skrevet af John Nielsen, indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Om John Nielsen · LinkedIn

John Nielsen, Nielco IT

Skal afhængigheden kortlægges?

Skriv kort, hvilke systemer eller leverandører det drejer sig om, og hvad anledningen er. Så vender jeg tilbage. Jeg sælger rådgivning, ikke produkter, og har ingen leverandørpartnerskaber.

Tak for din henvendelse. Jeg vender tilbage hurtigst muligt.

Eller kontakt os på

+45 70 13 63 23

info@nielcoit.dk

Seneste på bloggen

Statens udgifter til Microsoft: hvad tallene viser

Statens udgifter til Microsoft: hvad tallene viser

31. oktober 2026

Fysisk infrastruktur: hvem står bag pc'er, servere og netværksudstyr

Fysisk infrastruktur: hvem står bag pc’er, servere og netværksudstyr

30. oktober 2026

KL og kommunernes digitale handlefrihed

KL og kommunernes digitale handlefrihed

30. oktober 2026