Digital suverænitet

70 13 63 23

Italiens statslige cloud med amerikanske tjenester

Italiens statslige cloud med amerikanske tjenester

Italien har bygget en statslig cloud til den offentlige forvaltning med fire datacentre på italiensk jord og italienske ejere. Alligevel indgår tjenester fra amerikanske cloududbydere i det katalog, myndighederne vælger fra. Sagen viser en lagdelt model, hvor dataklassificering afgør, hvor meget kontrol der kræves, og hvor jurisdiktionen håndteres med kryptering og drift frem for valg af leverandør.

Sagen kort

Polo Strategico Nazionale S.p.A. (PSN) er ejet af TIM, Leonardo, Cassa Depositi e Prestiti gennem CDP Equity og finansministeriets IT-selskab Sogei, oplyser PSN. Selskabet driver en cloudinfrastruktur til de offentlige myndigheders data og tjenester under en konvention med regeringens departement for digital omstilling.

Baggrunden var en opgørelse fra det italienske digitaliseringsagentur AgID i 2020. Af 1.252 undersøgte offentlige datacentre manglede 95 procent på sikkerhed, pålidelighed og effektivitet, gengiver PSN. Den nationale cloudstrategi, udarbejdet af departementet og cybersikkerhedsagenturet ACN, skulle rette op på det.

Hvad skete der, dato for dato

  • 2020 · AgID’s opgørelse af de offentlige datacentre.
  • 4. august 2022 · PSN blev stiftet. Udbuddet blev gennemført af Difesa Servizi S.p.A. og vundet af de fire stiftere i fællesskab, skriver PSN.
  • 24. august 2022 · Konventionen med departementet blev underskrevet.
  • 21. december 2022 · PSN gik i drift med datacentre i Acilia og Pomezia i Lazio samt Rozzano og Santo Stefano Ticino i Lombardiet, ifølge pressemeddelelsen. Genopretningsplanen stillede over 900 mio. euro til rådighed for myndighedernes migrering.
  • September 2024 · Første delmål, mindst 100 myndigheder med mindst én tjeneste migreret, fremgår af PSN’s FAQ.
  • Juni 2026 · Slutmål, mindst 280 myndigheder fuldt migreret.
  • 6. august 2026 · PSN skrev, at målene i genopretningsplanen for nylig var nået, og oplyste et nyt lån på 231 mio. euro, ifølge pressemeddelelsen.

Hvem besluttede

Modellen er besluttet af staten gennem den nationale cloudstrategi. Ifølge PSN’s beskrivelse har strategien tre spor. Myndighedernes data og tjenester skal klassificeres, udbydere af offentlig cloud skal kvalificeres, og der skal bygges en national infrastruktur, hvis ledelse og kontrol er uafhængig af parter uden for EU.

Klassifikationen har tre niveauer, forklarer PSN. Strategiske data påvirker den nationale sikkerhed, fx forberedelsen af statsbudgettet. Kritiske data har betydning for samfundsfunktioner som sundhed og økonomisk tryghed, eksempelvis sundhedsdata. Ordinære data er fx det, en myndighed offentliggør på sin hjemmeside.

Hvilken mekanisme

PSN tilbyder både egen cloud og tjenester fra de store udbydere. Tjenesterne med cloududbydere er ifølge PSN’s oversigt lavet i partnerskab med Oracle, Google, Microsoft Azure og AWS. Der er tre former.

  1. Public Cloud PSN Managed · Bygger på Google Assured Workloads og Oracle Alloy i italienske regioner eller PSN’s datacentre. PSN’s eget personale driver tjenesten, og udbyderne får ifølge PSN kun adgang ved verificerede hændelser og i undtagelsestilfælde.
  2. Hybrid Cloud on PSN site · Microsoft Azure i PSN’s datacentre, styret gennem Azure Arc.
  3. Secure Public Cloud · Udbydernes offentlige cloud i italienske regioner, hvor krypteringsnøglerne ifølge PSN forvaltes udelukkende af PSN. Tjenesten beskrives som bygget til kritiske data. Sikkerhedskopier tages ifølge PSN både i PSN’s egne datacentre og hos myndigheden selv, så der findes en kopi uden for udbyderens platform.

Kontrollen lægges altså i drift og nøgler. PSN omtaler selv udbyderne som amerikanske, og software og opdateringer kommer fortsat fra dem. PSN skriver dog, at dets personale gennemgår udgivelser af funktioner og softwarepakker, før de tages i brug i den administrerede tjeneste. Hvad nøglekontrol kan og ikke kan løse, står i → egne nøgler og nøglekontrol, og forskellen mellem de tre lag er forklaret i → dataresidens, drift og jura.

Hvad myndighederne kunne have vidst på forhånd

Amerikansk lovgivning var kendt, da modellen blev lagt. PSN skriver selv på sit site, at initiativet opstod i en situation præget af den amerikanske CLOUD Act fra 2018. Myndighederne kunne altså vide, at en tjeneste i kataloget fra en amerikansk udbyder bærer den risiko med sig, også når den kører i Italien. Mekanismen er beskrevet under → CLOUD Act.

Det, en myndighed især skal vide, er, hvilken af de tre former dens egne data ligger i. Valget afgør, hvem der driver tjenesten, og hvem der holder nøglerne. Formen afgør også, hvor svært det bliver at flytte igen, fordi tjenester bygget på en bestemt udbyders platform kan kræve ombygning, før de kan flyttes.

Hvad sagen ikke viser

Sagen viser ikke, at amerikanske myndigheder har fået adgang til italienske data gennem PSN. Den viser heller ikke, hvor stor en andel af myndighederne eller af datamængden der ligger i udbydernes tjenester frem for i PSN’s egen cloud. De offentlige kilder, vi har læst, oplyser ikke den fordeling.

Sagen siger heller ikke noget om, hvordan nøglekontrollen er gennemført teknisk ud over PSN’s egne beskrivelser. Der foreligger ingen uafhængig revision i de kilder, vi har fundet. Forsvarets brug af PSN er omtalt i → forsvar og kill switch.

Læren for en exit-plan

En statslig cloud løser ikke spørgsmålet om leverandør af sig selv. Det afgørende er, hvilken tjeneste de enkelte data faktisk ligger i. Brug sagen til fire handlinger.

  1. Klassificér data først · Opdel jeres data efter, hvad et brud eller en lukning betyder, og knyt krav til hver klasse. Se → trin 1.
  2. Find den egentlige leverandør · Ved en national platform kan tjenesten stadig komme fra en hyperscaler. Følg kæden efter → trin 3.
  3. Spørg til nøgler og drift · Notér, hvem der holder nøglerne, og hvem der kan rulle opdateringer ud, jf. → trin 4.
  4. Læs “suveræn” kritisk · Sammenlign tilbuddene med → hyperscalernes suveræne clouds.

Skal jeres egne systemer opgøres efter klassificering, leverandørkæde og jurisdiktion, kan Nielco IT’s jurisdiktions- og afhængighedsvurdering bruges som grundlag.

Kilder

Skrevet af John Nielsen, indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Om John Nielsen · LinkedIn

John Nielsen, Nielco IT

Skal afhængigheden kortlægges?

Skriv kort, hvilke systemer eller leverandører det drejer sig om, og hvad anledningen er. Så vender jeg tilbage. Jeg sælger rådgivning, ikke produkter, og har ingen leverandørpartnerskaber.

Tak for din henvendelse. Jeg vender tilbage hurtigst muligt.

Eller kontakt os på

+45 70 13 63 23

info@nielcoit.dk

Seneste på bloggen

Statens udgifter til Microsoft: hvad tallene viser

Statens udgifter til Microsoft: hvad tallene viser

31. oktober 2026

Fysisk infrastruktur: hvem står bag pc'er, servere og netværksudstyr

Fysisk infrastruktur: hvem står bag pc’er, servere og netværksudstyr

30. oktober 2026

KL og kommunernes digitale handlefrihed

KL og kommunernes digitale handlefrihed

30. oktober 2026