Et udbud, der kun spørger, hvor data ligger, siger lidt om, hvem der i sidste ende kan bestemme over tjenesten. EU-Kommissionen har i sit eget cloududbud vist, hvordan jurisdiktion og kontrol kan beskrives som målbare krav.
Artiklen gennemgår, hvordan Kommissionen byggede kravene op, og hvad udbuddet endte med. Den beskriver også de rammer, udbudsreglerne sætter, og hvordan kravene hænger sammen med en exit-plan. Den handler om at skrive krav som ordregiver. Den vurderer ikke konkrete udbud.
Kommissionens udbud fra oktober 2025 til april 2026
Kommissionen satte udbuddet i gang i oktober 2025 som en konkurrence under det dynamiske indkøbssystem Cloud III. Udbuddet skulle give EU’s institutioner, organer, kontorer og agenturer adgang til at købe suveræne cloudtjenester for op til 180 mio. euro over seks år.
Den 17. april 2026 offentliggjorde Kommissionen i en pressemeddelelse, at fire leverandører havde fået kontrakt. Kommissionen valgte fire kontrakter parallelt for at sprede risikoen og undgå at blive afhængig af én leverandør. Allerede valget af flere leverandører er en del af en exit-strategi.
De fire vindere og deres niveau
Ifølge Kommissionens nyhedsartikel om tildelingen nåede tre leverandører niveauet SEAL-3. Det var et partnerskab ledet af Post Telecom med OVHcloud og CleverCloud, STACKIT fra Schwarz-koncernen og Scaleway fra Iliad-koncernen.
Det fjerde partnerskab, ledet af Proximus med S3NS, Clarence og Mistral, nåede SEAL-2. S3NS er et joint venture mellem Thales og Google Cloud. Kommissionen skriver, at partnerne kører på teknologi fra Google Cloud og udelukkende drives af EU-selskaber.
I pressemeddelelsen skriver Kommissionen, at udbuddet viser, at ikke-europæiske teknologier kan opfylde minimumsniveauet for suverænitet, når de drives inden for en streng og passende ramme. Hvordan de store udbyderes suveræne tilbud er opbygget, er beskrevet i → Læs mere.
Otte mål for suverænitet
Leverandørerne blev vurderet efter Kommissionens Cloud Sovereignty Framework, som er gennemgået i → Læs mere. Rammen har otte suverænitetsmål. De dækker strategi, jura og jurisdiktion, data og kunstig intelligens, drift, forsyningskæde, teknologi, sikkerhed og compliance samt miljø.
Jurisdiktion indgår især i målet om juridisk suverænitet. Ifølge Kommissionens vejledning til rammen vurderes her, hvilket retssystem leverandøren og kontrakterne hører under. Rammen ser også på eksponering for udenlandsk lovgivning med virkning over grænser, med den amerikanske CLOUD Act som eksempel (→ Læs mere). Endelig vurderes, om der findes juridiske, kontraktlige eller tekniske kanaler, som myndigheder uden for EU kan bruge til at kræve adgang.
Andre mål handler om kontrol i praksis. Det strategiske mål spørger blandt andet, om de endelige beslutninger træffes i EU, og hvor sandsynligt et opkøb fra ejere uden for EU er. Driftsmålet spørger, om driften kan fortsætte uden en leverandør uden for EU, og hvor let opgaver kan flyttes.
Mindstekrav og point er to forskellige greb
Rammen har to dele. Den ene er et sikringsniveau fra SEAL-0, der betyder ingen suverænitet, til SEAL-4, der betyder fuld digital suverænitet. Den anden er en samlet suverænitetsscore.
Ifølge vejledningen er en tjenestes samlede SEAL det laveste niveau, den opnår på et af de otte mål. Ordregiveren fastsætter selv det mindste niveau, der kræves. I Kommissionens udbud var minimum SEAL-2, som rammen kalder datasuverænitet. Her gælder EU-ret, men tjenesten kan stadig være under indirekte kontrol fra parter uden for EU.
Scoren bruges derefter til at sammenligne de tilbud, der har nået mindsteniveauet. Det svarer til forskellen mellem et mindstekrav og et tildelingskriterium. Ordregiveren kan altså afgøre, hvad der er uacceptabelt, og samtidig belønne mere end minimum.
Hele leverandørkæden skal belyses
Vejledningen understreger, at vurderingen ikke må stoppe ved den juridiske enhed, der byder. Den skal omfatte alle underleverandører og leverandører, også af tredjepartshardware og open source-komponenter.
I den første version af rammen blev der stillet 43 spørgsmål. Ni af dem handlede kun om kontrahenten og underleverandørerne og dækkede især strategi og jurisdiktion. 19 spørgsmål blev stillet for hvert teknisk lag. Kommissionen anbefaler, at de kritiske tjenester mindst omfatter beregning, lagring, netværk, sikkerhed, identitetsstyring og kritiske platformstjenester.
Det svarer til den kortlægning, en organisation selv skal lave i sin exit-plan (→ Læs mere og → Læs mere).
Hvordan jurisdiktion kan beskrives i et udbud
Kommissionens tilgang kan omsættes til spørgsmål og krav i et dansk udbud. Med udgangspunkt i rammens kriterier kan et udbud bede om oplysning om:
- Juridisk enhed og moderselskab for tilbudsgiver og hver kritisk underleverandør, med land og ejerforhold.
- Udenlandsk lovgivning med virkning over grænser, som leverandøren eller dens ejere er underlagt.
- Adgangskanaler · hvordan en myndighed uden for EU teknisk eller kontraktligt kan kræve adgang, og hvordan kunden får besked.
- Nøglekontrol · om kun kunden har den reelle kontrol over krypteringsnøglerne.
- Drift og support · hvorfra driften og supporten leveres, og om den kan fortsætte uden en leverandør uden for EU.
- Migrering · hvor let data og opgaver kan flyttes til en anden løsning.
Spørgsmål til leverandøren uden for et udbud er samlet i → Læs mere.
Grænser i udbudsretten
Krav om jurisdiktion skal holde sig inden for udbudsreglerne. Efter udbudsdirektivets artikel 18 skal ordregiveren behandle økonomiske aktører ens og uden forskelsbehandling og handle gennemsigtigt og forholdsmæssigt. Et udbud må ikke udformes med det formål at indsnævre konkurrencen kunstigt.
Tekniske specifikationer må ikke skabe uberettigede hindringer for konkurrencen (artikel 42), og tildelingskriterier skal være knyttet til kontraktens genstand (artikel 67). Hvor stærke krav der kan begrundes, afhænger derfor af, hvad tjenesten skal bruges til, og hvor kritiske data og opgaver er. Den konkrete vurdering hører hjemme hos udbudsjurister.
Konkurrencemyndigheder har også peget på risikoen for uberettigede suverænitetskrav i udbud, jf. omtalen af den spanske CNMC i → Læs mere.
Kommissionens egne erfaringer
Vejledningen beskriver to begrænsninger, Kommissionen vil rette i senere versioner. SEAL-4 er i dag ikke relevant i praksis, fordi Europa afhænger af forsyningskæder for chips og hardware uden for EU. Og vurderingen hvilede på leverandørernes egne svar og erklæringer, hvilket krævede en betydelig indsats fra ordregiveren.
I pressemeddelelsen skriver Kommissionen, at den er ved at færdiggøre en opdateret udgave af rammen med specifikke kriterier for vurderingen. Den skal støtte andre, der vil genbruge tilgangen. Ifølge samme meddelelse skal den kommende Cloud and AI Development Act harmonisere, hvad suverænitet betyder for cloudtjenester i det indre marked (→ Læs mere).
Danske spor
I Danmark har PA Consulting i en analyse for Digitaliseringsministeriet, Digitaliseringsstyrelsen, KL og Danske Regioner foreslået en fælles suverænitetspakke til offentlige it-udbud. Den skulle indeholde kravformuleringer om blandt andet dataflytning, krypteringsnøgler, åbne standarder og indsigt i leverandørkæder. Forslaget er ikke vedtaget. Den politiske ramme er gennemgået i → Læs mere.
Ifølge analysen kunne pakken også bruges ved justering af eksisterende kontrakter, og kravene kunne indarbejdes i relevante SKI-aftaler. Analysen vurderer, at det kan tage et til to år. I de dynamiske indkøbssystemer kan krav formentlig indføres hurtigt, mens rammeaftalerne først ændres ved genudbud.
Hvad eksemplet kan og ikke kan vise
Eksemplet kan vise, at jurisdiktion og kontrol kan beskrives som konkrete, vurderbare spørgsmål. Det viser også forskellen mellem et mindstekrav og en score, og at leverandørkæden skal med.
Det kan ikke vise, om kravene holder i et dansk udbud med andre behov og et andet marked. Kommissionen er selv ordregiver for EU’s institutioner, og dens begrundelser for at stille krav kan være stærkere end en kommunes. Rammen bygger desuden på leverandørernes egne oplysninger, og en score siger intet om, hvad der sker ved en konkret sanktion.
Irland aflyste i 2026 udbuddet af en rammeaftale om Microsoft-licenser til hele den offentlige sektor, og i parlamentet blev der spurgt, hvem der havde besluttet, at aftalen kun skulle dække én leverandør. Sagen gennemgås i → Irland aflyste udbuddet af statens Microsoft-aftale.
Betydningen for exit-planen
Et udbud er det tidspunkt, hvor en organisation har størst indflydelse på sin fremtidige exit. Krav, der ikke stilles her, er svære at få ind senere.
- Kend kæden før udbuddet · Kortlæg jurisdiktion og ejerskab for de nuværende leverandører, så kravene bygger på den faktiske risiko.
- Vælg mindsteniveau pr. opgave · Afgør, hvilket niveau af kontrol der er nødvendigt for de konkrete data og opgaver.
- Skriv exit ind i kontrakten · Kræv dataudlevering, formater, varsel og overgang, jf. → Læs mere.
- Del opgaven på flere leverandører · Kommissionens fire parallelle kontrakter viser én måde at mindske afhængigheden på.
- Få kravene vurderet juridisk · Lad udbudsjurister vurdere, om kravene er forholdsmæssige.
Kortlægningen af jurisdiktion og afhængighed kan laves på eget materiale. En uvildig jurisdiktions- og afhængighedsvurdering kan bruges som dokumentation forud for et udbud.
Kilder
- Europa-Kommissionen: Commission awards €180 million tender for sovereign cloud to four European providers, pressemeddelelse IP/26/833, Bruxelles, 17. april 2026. https://ec.europa.eu/commission/presscorner/api/files/document/print/en/ip_26_833/IP_26_833_EN.pdf
- Europa-Kommissionen: Commission advances cloud sovereignty through strategic procurement, 17. april 2026. https://commission.europa.eu/news-and-media/news/commission-advances-cloud-sovereignty-through-strategic-procurement-2026-04-17_en
- Europa-Kommissionen: Cloud Sovereignty Framework, Implementation guidance, 2026. https://commission.europa.eu/document/download/2ad80a48-166f-4c77-a513-80c53ca2a128_en
- Europa-Kommissionen: Sovereign Cloud Framework explained, 1. juni 2026. https://commission.europa.eu/news-and-media/news/sovereign-cloud-framework-explained-2026-06-01_en
- Den Europæiske Unions Tidende (EUR-Lex): Direktiv 2014/24/EU om offentlige udbud, artikel 18, 42 og 67. https://eur-lex.europa.eu/eli/dir/2014/24/oj/dan
- PA Consulting for Digitaliseringsministeriet, Digitaliseringsstyrelsen, KL og Danske Regioner: Digital suverænitet i den offentlige sektor, januar 2026. https://digst.dk/media/lebaiiex/pdf_final_webtilgaengelig_version_digital-suveraenitet_sammenfattende-erfaringsopsamling-paa-myndigheders-initiativer-for-at-migrere-til-alternative-teknologivalg.pdf
