Digital suverænitet

70 13 63 23

Kampen om reglerne: lobbyisme og diplomatisk pres

Kampen om reglerne: lobbyisme og diplomatisk pres

EU er i gang med at skrive de regler, der skal afgøre, hvornår en cloudtjeneste tæller som suveræn. En exit-plan, der regner med, at et bestemt krav kommer til at stå i loven, kan derfor stå uden fundament, når forhandlingerne er slut.

Artiklen gennemgår de dokumenterede indspil fra 2026, fra en amerikansk diplomatisk instruks til breve fra europæiske og internationale brancheforeninger. Den viser, hvilket kriterium der strides om, og hvordan I indretter planen, så den holder, uanset udfaldet.

Hvorfor reglernes retning hører hjemme i exit-planen

En exit-plan bygger på antagelser om, hvad kunder, myndigheder og udbud kommer til at kræve. Ændres kravene, ændres også prioriteringen af systemer og tidsplanen for at skifte.

Det gælder især offentlige organisationer, der kan blive bundet af nye regler for indkøb. Private virksomheder mærker det gennem kunder og samarbejdspartnere, der stiller de samme krav videre. Reglerne er under forhandling netop nu, så antagelserne bør skrives ned og følges.

Februar 2026: en instruks til de amerikanske ambassader

Ifølge Reuters, som har set dokumentet, sendte USA’s udenrigsminister Marco Rubio 18. februar 2026 et telegram til amerikanske diplomater. Reuters’ gengivelse oplyser, at diplomaterne skal modarbejde regler om datalokalisering og følge lovforslag, der begrænser grænseoverskridende dataoverførsler.

Telegrammet nævner ifølge Reuters EU’s databeskyttelsesforordning som eksempel på regler med unødigt byrdefulde krav til behandling og overførsel af data. TechCrunch beskrev samme instruks 25. februar 2026 med henvisning til Reuters. Udenrigsministeriet ville ifølge Reuters ikke kommentere telegrammet.

Selve dokumentet er ikke offentliggjort. Indholdet kendes derfor kun fra de medier, der har set det.

Marts 2026: europæiske udbydere beder om kontrol som målestok

Brancheforeningen CISPE sendte 17. marts 2026 et brev til EU-Kommissionens næstformand Henna Virkkunen forud for et rundbordsmøde med hende. Brevet var underskrevet af 25 ledere fra europæiske cloud- og digitalvirksomheder, blandt andet UpCloud, Aruba, Leaseweb, Infomaniak og Nextcloud.

Af selve brevet fremgår fem principper. Det første siger, at suverænitet skal bestemmes af faktisk kontrol, ejerskab af teknologien og beskyttelse mod lovgivning med virkning over grænser. Brevet fremhæver, at en cybersikkerhedscertificering alene ikke dækker udsathed over for fx den amerikanske Cloud Act.

Underskriverne foreslår desuden reserverede andele af offentlige indkøb til europæiske udbydere for følsomme data. Som minimum bør indkøb ifølge brevet følge princippet om at købe europæisk, sikre robusthed eller begrunde valget.

Hvor suveræne tjenester ikke findes, beder brevet om driftsmæssig selvstændighed, så kunden bevarer kontrol med og adgang til data og systemer, også hvis en fremmed regering griber ind. Brevet vil desuden forhindre konkurrencebegrænsende bundling af AI og cloud og anerkende betydningen af open source.

Juni 2026: Kommissionens forslag med fire niveauer

Kommissionen fremlagde 3. juni 2026 sin pakke om teknologisk suverænitet med to lovforslag. Det ene er Cloud and AI Development Act (CADA), som er gennemgået i → EU’s Tech Sovereignty Package og CADA.

Ifølge Kommissionens side om forslaget indeholder det fire sikkerhedsniveauer, som offentlige myndigheder bruger på baggrund af egne risikovurderinger. På niveau 3 skal udbyderen være ejet og kontrolleret fra EU og opfylde yderligere krav, fx om personalets statsborgerskab. Kommissionen kan dog anerkende udbydere fra tredjelande.

Niveau 1 kræver, at data behandles og lagres i infrastruktur i EU. På niveau 2 skal udbyderen vise uafhængighed af tredjelande og åbenhed om sin softwareforsyningskæde. Niveau 4 kræver fuld gennemsigtighed og kontrol med forsyningskæden og ingen indblanding fra et tredjeland. Medlemslandene kan anerkende udbydere efter en revision.

Niveau 3 og 4 er dermed de niveauer, der rammer ejerskab og retsforhold, altså det lag, der beskrives som lag 3 i → de tre lag. Det er også her, modstanden samler sig.

Modspillet fra internationale brancheforeninger

Fem dage efter forslaget skrev fire brancheforeninger til EU’s ministre for telekommunikation og digitale anliggender forud for rådsmødet 9. juni 2026. Afsenderne var TechCouncil of Australia, Canada EU Trade and Investment Association, Japan Association of New Economy og CCIA Europe.

I den fælles erklæring af 8. juni 2026 udtrykker foreningerne bekymring for krav om markedsadgang rettet mod selskaber med hovedsæde, ejer eller kontrol uden for EU. De beder medlemslandene og Europa-Parlamentet om at revidere forslaget i overensstemmelse med principperne om ikkediskrimination, proportionalitet og åbenhed over for vigtige handelspartnere.

Erklæringen var stilet til de enkelte ministre, herunder den danske minister for digitalisering.

Oktober 2026: risiko i stedet for ejerskab

Det amerikanske handelskammer ved EU, AmCham EU, offentliggjorde 7. oktober 2026 sin holdning til forslaget. Kammeret støtter dele af forslaget om forskning og datacenterkapacitet.

Om suverænitetsrammen anbefaler kammeret, at kravene bygger på påviselig risiko, kontrol og driftsmæssig robusthed frem for ejerskab, nationalitet eller selskabets hjemsted. Ejerskabsbaserede begrænsninger foreslås erstattet af objektive risikovurderinger, og krav om statsborgerskab af krav om bopæl og underkastelse under EU-ret.

Kammeret foreslår også at skelne mellem kundens produktionsdata og driftsdata som telemetri og metadata. Krav om lokal placering bør efter kammerets opfattelse kun gælde data med en reel suverænitetsrisiko.

Forslaget om bopæl frem for statsborgerskab ligner den model, AWS bruger i sin European Sovereign Cloud, der ifølge AWS drives af personer bosat i EU. Hvordan de store udbyderes løsninger ser ud på de tre lag, står i → de store udbyderes suveræne clouds.

Hvor forslaget står nu

CADA behandles efter den almindelige lovgivningsprocedure, hvor Parlamentet og Rådet er ligestillede. Ifølge Parlamentets procedureoversigt har forslaget nummer COM(2026) 502.

Industriudvalget ITRE og udvalget for det indre marked IMCO behandler forslaget sammen. Ordførerne Diego Solier og Reinier van Lanschot blev udpeget 24. juni 2026, og henvisningen til udvalgene blev meddelt i Parlamentet 17. september 2026. Pr. 30. oktober 2026 afventer forslaget udvalgenes beslutning.

Teksten kan altså ændres væsentligt, før den vedtages. Hvornår reglerne eventuelt gælder, er ikke fastlagt.

Striden handler om ét kriterium

Indspillene er enige om meget. Ingen af dem afviser datacentre i EU eller drift ved europæisk personale, der svarer til lag 1 og lag 2.

Uenigheden gælder, om ejerskab og jurisdiktion må bruges som kriterium. CISPE-brevet vil have det med, mens erklæringen fra 8. juni og AmCham EU vil have det erstattet af risikovurderinger. Den amerikanske instruks retter sig mod krav om datalokalisering bredt.

Kommissionens egen → Cloud Sovereignty Framework fra oktober 2025 vurderer i forvejen juridisk og jurisdiktionel suverænitet som ét af otte områder. Resultatet af forhandlingerne afgør, om den tilgang også bliver lov for resten af den offentlige sektor.

Hvad gennemgangen kan og ikke kan vise

Gennemgangen viser, at kriteriet for ejerskab er omstridt, og at aktørerne har lagt deres positioner frem skriftligt. Den viser også, at reglerne for jurisdiktion kan ende strammere eller løsere end Kommissionens forslag.

Den kan ikke forudsige udfaldet. Den siger heller ikke, hvor stor indflydelse et enkelt brev eller en instruks har haft. Den ændrer heller ikke den gældende retstilstand, hvor fx → Cloud Act gælder uafhængigt af, hvad EU vedtager.

Sådan bygger I planen, så den tåler ændringer

  1. Skriv antagelserne ned · Notér for hvert kritisk system, hvilke regler planen forudsætter, fx et kommende krav om EU-ejerskab i udbud.
  2. Vurder ud fra risikoen i dag · Brug de tre lag på den nuværende situation. Ejerskab og retsforhold kan vurderes, uanset om loven kræver det.
  3. Hold to scenarier · Beskriv konsekvensen, hvis kravet om ejerskab vedtages, og hvis det udgår. Prioriteringen i → trin 6 bør kunne forsvares i begge.
  4. Følg proceduren · Sæt en fast gennemgang af lovforslagets status i kalenderen, fx kvartalsvis. Parlamentets procedureoversigt er det sted, ændringer først kan ses.
  5. Spørg leverandøren skriftligt · Bed om svar på, hvordan tjenesten vil blive klassificeret efter de foreslåede niveauer, og gem svaret med datoen.
  6. Tænk udbud ind · Offentlige organisationer bør følge, hvordan reglerne påvirker kravspecifikationer, jf. → jurisdiktion som krav i offentlige udbud.

Betydningen for exit-planen

En exit-plan kan sjældent vente på, at lovgivningen falder på plads. Den bør bygge på jeres egen vurdering af, hvem der kan lukke, se eller ændre en tjeneste, og bruge reglerne som en ekstra kilde til krav.

Opdater planen, hver gang forslaget skifter fase, som beskrevet i → trin 10 om at holde planen opdateret. Ønsker I et uafhængigt grundlag for vurderingen af ejerskab og jurisdiktion pr. system, gennemfører Nielco IT en jurisdiktions- og afhængighedsvurdering på jeres eget materiale.

Kilder

Skrevet af John Nielsen, indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Om John Nielsen · LinkedIn

John Nielsen, Nielco IT

Skal afhængigheden kortlægges?

Skriv kort, hvilke systemer eller leverandører det drejer sig om, og hvad anledningen er. Så vender jeg tilbage. Jeg sælger rådgivning, ikke produkter, og har ingen leverandørpartnerskaber.

Tak for din henvendelse. Jeg vender tilbage hurtigst muligt.

Eller kontakt os på

+45 70 13 63 23

info@nielcoit.dk

Seneste på bloggen

Statens udgifter til Microsoft: hvad tallene viser

Statens udgifter til Microsoft: hvad tallene viser

31. oktober 2026

Fysisk infrastruktur: hvem står bag pc'er, servere og netværksudstyr

Fysisk infrastruktur: hvem står bag pc’er, servere og netværksudstyr

30. oktober 2026

KL og kommunernes digitale handlefrihed

KL og kommunernes digitale handlefrihed

30. oktober 2026