Den hollandske regering skriver, at statens exitstrategier ofte mest handlede om, at leverandøren udleverer data og sletter dem bagefter. Den hollandske stat har siden juli 2026 en cloudpolitik, der kræver en dokumenteret og selvtestet exitplan. Politikken giver en konkret model for, hvad en offentlig exitplan kan indeholde.
Artiklen gennemgår, hvad politikken siger, hvem den gælder for, og hvilke dele danske offentlige organisationer kan bruge i deres egen exit-plan.
Beslutningen fra 3. juli 2026
Den hollandske regering vedtog en revideret statslig cloudpolitik på ministerrådsmødet 3. juli 2026. Samme dag sendte statssekretær for økonomi og klima Willemijn Aerdts et brev til Tweede Kamer, også på vegne af statssekretæren for indenrigsanliggender. Politikken selv hedder Herziening rijksbreed cloudbeleid 2026 og er vedlagt brevet.
Brevet nævner fire stramninger. Flere organisationer omfattes, exitstrategien formuleres skarpere, færre lande må behandle data, og en række anvendelser kan ikke længere bruge public cloud.
Som baggrund henviser brevet blandt andet til Algemene Rekenkamers rapport Het Rijk in de cloud fra 15. januar 2025. Rekenkamret fandt, at 84 af statens 126 vigtigste public cloud-tjenester manglede en strategisk risikoanalyse.
Politikken nævner også parlamentets ønske om, at mindst 30 procent af statens cloudlagring og cloudapplikationer kommer fra hollandsk eller europæisk grund i 2029. Den skal tilpasses igen, når en suveræn offentlig cloud til kritisk digital infrastruktur er etableret.
Hvem kravet gælder for
Politikken gælder hele den hollandske statsforvaltning. Undtaget er Forsvarsministeriet og de højeste statsorganer, herunder parlamentets to kamre. Forsvaret skal ifølge dokumentet følge politikken, hvor det er muligt.
Selvstændige forvaltningsorganer forventes at følge politikken med henvisning til den hollandske rammelov for disse organer. Andre offentlige organisationer, fx kommuner og provinser, får politikken som et råd. I brevet skriver Aerdts, at regeringen vil arbejde med de øvrige forvaltningsniveauer om en fælles cloudpolitik for hele den offentlige sektor.
Politikken dækker public, hybrid, community og private cloud, når en ekstern leverandør leverer tjenesten. Software som tjeneste er omfattet, når den kører på public cloud eller anden delt infrastruktur leveret af en ikke-offentlig part.
Nogle systemer er undtaget, fx systemer knyttet til internationalt samarbejde, Udenrigsministeriets globale arbejde og det nationale cybersikkerhedscenter NCSC. Også her skal kravene om risikoanalyse og exitplan dog opfyldes og rapporteres til CISO Rijk.
Hvornår cloudbrug er væsentlig
Kravet om exitplan udløses af det, politikken kalder materieel cloudgebruik. Det er brug af public cloud til en organisations primære opgave eller kerneopgave, hvor tjenesten er af væsentlig betydning. Vigtige støtteprocesser kan også tælle med.
Behandling af personoplysninger i stort omfang regnes altid som væsentlig cloudbrug. Definitionen er brugbar som afgrænsning, fordi den tager udgangspunkt i den opgave, tjenesten understøtter. Den svarer til det første trin i en kortlægning, hvor systemer og data knyttes til de opgaver, de understøtter (→ Læs mere).
Exitplanen skal dække to scenarier
Ved væsentlig cloudbrug er en dokumenteret exitplan, som organisationen selv har testet, obligatorisk. Den hollandske tekst bruger ordet “verplicht”. Planen skal dække to forløb.
Det første er en planlagt exit. Planen skal vise, hvordan tjenesten flyttes til en anden leverandør eller tages i egen drift uden uplanlagte afbrydelser. Organisationen skal kende de kritiske forudsætninger for en exit og den korteste realistiske tidsramme.
Det andet er et uventet bortfald af tjenesten. Her skal planen beskrive, hvordan opgaven fortsætter, hvilke tiltag der skal være taget på forhånd, og hvordan de mest kritiske processer genoprettes. Politikken nævner en backup uden for cloudmiljøet som eksempel på et forudgående tiltag (→ Læs mere).
I begge scenarier skal planen også beskrive, hvordan data hos leverandøren slettes, når migreringen er afsluttet. Begge planer vurderes årligt og tilpasses efter behov.
Fra udlevering af data til genopretning
Brevet forklarer, hvorfor kravet blev skærpet. De eksisterende exitstrategier drejede sig ofte om, at leverandøren afleverer data ved en exit og bagefter sletter dem. Den nye plan skal give indsigt i gennemløbstid og kritiske forudsætninger, mens nødplanen skal vise, om organisationen kan fungere ved forstyrrelser i den digitale kæde.
Aftalen med leverandøren skal regulere, hvordan data, metadata og eventuelt applikationer overdrages ved ophør. Ifølge politikken sikrer EU’s dataforordning dette i nye aftaler, mens eksisterende aftaler skal have det skrevet ind (→ Læs mere). Kontraktens bestemmelser om udlevering, varsel og overgang er derfor en del af exitplanen (→ Læs mere).
Risikoanalysen spørger til jurisdiktion og magt
Exitplanen hviler på en risikoanalyse, der også er obligatorisk ved væsentlig cloudbrug. Ud over sikkerhed, kontinuitet og privatliv skal den beskrive leverandør og underleverandører, cloudtype og geografisk region for behandling og lagring.
Analysen skal også vurdere risikoen for indblanding fra en udenlandsk regering og risikoen for, at leverandøren misbruger en stor afhængighed. Det kan ske gennem påtvungne teknologivalg eller uønskede kommercielle vilkår. Brevet nævner især leverandører, hvor hele eller en del af virksomheden er underlagt lovgivning uden for Holland, EU og EØS (→ Læs mere).
Restrisiko skal dokumenteres og accepteres formelt, og beslutningen skal kunne revideres. Data skal lagres og behandles i EØS og Schweiz. For kritiske og væsentlige enheder fraråder politikken leverandører under jurisdiktion uden for EU og EØS til den primære opgave. Politikken henviser til EU’s Cloud Sovereignty Framework som hjælp i leverandørvalget (→ Læs mere).
Anmeldelse, vurdering og årlig rapportering
Væsentlig cloudbrug anmeldes til CISO Rijk, statens centrale informationssikkerhedschef, før tjenesten tages i brug. Anmeldelsen sendes helst sammen med risikoanalysen og exitplanen. Er de to dokumenter ikke færdige, kan de deles senere. CISO Rijk vurderer brugen, også exitplanen, og kan give pålæg om supplerende tiltag.
Ansvaret bliver hos den enkelte organisation. Departementerne rapporterer årligt til CIO Rijk om væsentlig public cloud-brug hos sig selv og underliggende organisationer, inklusive valgt leverandør.
Politikken går ud fra, at relevante beslutninger offentliggøres efter den hollandske lov om åben forvaltning. Risikoanalysen og exitplanen kan dog klassificeres af sikkerhedshensyn.
Mail og dokumenter får en særregel
Politikken betegner arbejdspladstjenester som en national interesse. Mail og dokumenter må ikke behandles i public cloud, medmindre tre betingelser alle er opfyldt.
Det skal være uafhængigt fastslået, at kontinuiteten ellers er i fare. Risikoanalyse og exitplan skal være lavet og testet. Og beslutningen skal godkendes af den ansvarlige minister i enighed med bewindspersonen for digitalisering.
Brevet til parlamentet bruger om samme punkt ordet “afgeraden”, altså frarådes. Kamermedlem Barbara Kathmann (PRO) spurgte i skriftlige spørgsmål 16. juli 2026, hvad “afgeraden” betyder i praksis. Kildedata i statens basisregistre må ikke forvaltes i public cloud.
Frister og penge
For eksisterende væsentlig cloudbrug giver politikken 12 måneder fra vedtagelsen til at lave en exitplan. Regnet fra 3. juli 2026 udløber fristen omkring juli 2027. Øvrige krav har en overgangsperiode på fire år, som kan forlænges ved længere kontrakter eller høje omkostninger og risici.
Der følger ingen ekstra midler med. Brevet skriver, at politikken skal rummes i de eksisterende budgetter, og at det kan kræve skarpe valg og omprioritering. Kathmann har også spurgt, hvordan 12-månedersfristen følges op, og hvad det får af konsekvenser at overskride den.
Hvad modellen kan og ikke kan vise
Modellen kan vise, hvad en offentlig exitplan konkret kan indeholde. Den viser også, hvordan planen kobles til risikoanalyse, kontrakt og central opfølgning. Den skelner tydeligt mellem en planlagt exit og et pludseligt bortfald.
Den kan ikke vise, om planerne virker i praksis. Fristen for eksisterende brug er endnu ikke udløbet, og der foreligger ingen offentlig opgørelse af planerne. Hollandske kommuner er kun omfattet som anbefaling.
I Danmark beskriver Digitaliseringsstyrelsens side om digital suverænitet en fællesoffentlig indsats i strategien for 2026 til 2029. Den skal blandt andet analysere myndighedernes teknologivalg og kortlægge alternative leverandører. Siden nævner ikke exitplaner. Flere europæiske skift er samlet i → Læs mere.
Korrespondance med en leverandør kan også ende hos en udenlandsk myndighed. I maj 2026 opdagede et hollandsk tilsyn, at medarbejdernes navne var offentliggjort af en komité i den amerikanske kongres, se → Leverandøren udleverede tilsynets navne til Washington.
Hvad danske offentlige organisationer kan bruge nu
- Afgræns væsentlig brug · List de cloudtjenester, der understøtter kerneopgaver eller behandler personoplysninger i stort omfang.
- Skriv to scenarier · Beskriv både den planlagte exit og det uventede bortfald, med tidsramme og forudsætninger for hver (→ Læs mere).
- Test planen selv · Gennemfør en øvelse, hvor tjenesten er væk, og notér, hvad der manglede.
- Tjek kontrakten · Kontrollér, at data, metadata og applikationer kan overdrages, og at sletning er aftalt.
- Vurder jurisdiktionen · Notér for hver leverandør, om den helt eller delvist hører under lov uden for EU og EØS. Kravene kan også skrives ind i udbud (→ Læs mere).
- Sæt årlig gennemgang · Læg planen ind i den årlige revision (→ Læs mere).
Kortlægningen af jurisdiktion, afhængighed og exit pr. system kan laves internt. Uvildig hjælp til exit-planen kan bruges, når organisationen ønsker et eksternt blik på sit eget materiale.
Kilder
- Tweede Kamer der Staten-Generaal: Brief van de Staatssecretaris van Economische Zaken en Klimaat over de herziening van het rijksbreed cloudbeleid, Kamerstuk 26 643, nr. 1541, 3. juli 2026. https://zoek.officielebekendmakingen.nl/kst-26643-1541.html
- Rijksoverheid: Herziening rijksbreed cloudbeleid 2026 (bilag til Kamerstuk 26 643, nr. 1541), 3. juli 2026. https://zoek.officielebekendmakingen.nl/blg-1264434.pdf
- Rijksoverheid: Strengere regels voor het gebruik van clouddiensten door de rijksoverheid, 3. juli 2026. https://www.rijksoverheid.nl/actueel/nieuws/2026/07/03/strengere-regels-voor-het-gebruik-van-clouddiensten-door-de-rijksoverheid
- Tweede Kamer der Staten-Generaal: Vragen van het lid Kathmann (PRO) over het herziene rijksbrede cloudbeleid 2026, 2026Z16277, 16. juli 2026. https://zoek.officielebekendmakingen.nl/kv-tk-2026Z16277.html
- Algemene Rekenkamer: Het Rijk in de cloud, 15. januar 2025. https://www.rekenkamer.nl/publicaties/rapporten/2025/01/15/het-rijk-in-de-cloud
- Digitaliseringsstyrelsen: Digital suverænitet. https://digst.dk/digital-transformation/digital-suveraenitet
