En cloudkonto kan holde op med at virke, selv om ingen har brudt ind, og selv om kunden har betalt. Det sker, når en stat forbyder leverandøren at handle med kunden, og leverandøren adlyder.
Artiklen forklarer mekanismen bag sanktioner og præsidentielle dekreter, med amerikanske og europæiske regler efter samme målestok. Selve sagerne har egne sider. Her handler det om, hvordan reglerne virker, og hvad en exit-plan skal kunne tåle.
Fra dekret til lukket konto
I USA hviler de fleste sanktioner på International Emergency Economic Powers Act, IEEPA. Efter 50 U.S.C. § 1701 kan præsidenten erklære national nødsituation over for en trussel, der helt eller væsentligt har sin oprindelse uden for USA. Erklæringen sker typisk i en Executive Order, som er det, der på dansk ofte kaldes et dekret.
Derefter giver 50 U.S.C. § 1702 præsidenten ret til at blokere, regulere og forbyde transaktioner med ejendom, som et fremmed land eller en udenlandsk person har interesse i. Kravet er, at ejendommen eller den handlende er underlagt amerikansk jurisdiktion. Der kræves ingen domstolsprøvelse forud for en udpegning.
Finansministeriets kontor for sanktioner, OFAC, fører listen over udpegede personer og selskaber, SDN-listen. OFAC’s FAQ 9 forklarer, at blokeret ejendom fryses og ikke må overdrages eller på anden måde disponeres over.
Hvem forbuddet binder
Forbuddet binder amerikanske personer. Efter OFAC’s FAQ 11 omfatter det amerikanske statsborgere og fastboende, uanset hvor de opholder sig, alle i USA og selskaber stiftet efter amerikansk ret, inklusive deres udenlandske filialer. I visse programmer, fx over for Iran og Nordkorea, gælder pligten også udenlandske datterselskaber, som ejes eller kontrolleres af amerikanske personer.
Ikke-amerikanske personer må heller ikke få en amerikansk person til at overtræde reglerne eller hjælpe med at omgå dem. For en europæisk kunde betyder det, at spørgsmålet afgøres af leverandørens ejerkæde. Hvor kunden og serveren befinder sig, ændrer ikke på pligten for et amerikansk moderselskab. Ejerkæden slås op efter → trin 2 om juridisk enhed og moderselskab.
Forbuddet omfatter også tjenester
Mange sanktionsordrer forbyder mere end at flytte penge. Executive Order 14203 af 6. februar 2025 om Den Internationale Straffedomstol er et eksempel. Afsnit 3 forbyder at levere midler, varer eller tjenester til eller til fordel for en person, hvis ejendom er blokeret.
En mailtjeneste, en lagringskonto eller en softwarelicens er en tjeneste i den forstand. Når en kunde bliver udpeget, skal en amerikansk leverandør derfor som udgangspunkt stoppe leverancen. Leverandøren træffer ikke beslutningen. Den følger af udpegningen.
OFAC udpegede 13. februar 2025 domstolens chefanklager under ordren. Hvad der derefter skete med hans Microsoft-konto, gennemgås i → sagen om ICC og Microsoft.
50-procent-reglen rammer ejerne bag kunden
En organisation kan blive ramt uden selv at stå på SDN-listen. Efter OFAC’s FAQ 399 fra 13. august 2014 er et selskab automatisk blokeret, når en eller flere blokerede personer tilsammen ejer 50 procent eller mere, direkte eller indirekte.
Reglen betyder, at en sanktion mod en aktionær kan lukke leverancer til selskabet. Kunden har ofte ingen indflydelse på, hvem der ejer leverandøren eller kunden selv. Ejerskifter beskrives i → opkøb og kapitalfonde bag infrastrukturen.
Den hollandske Amsterdam Trade Bank var ikke sanktioneret i EU. Banken blev alligevel blokeret af OFAC i april 2022 som datterselskab af russiske Alfa-Bank og mistede kort efter sine IT-tjenester. Forløbet står i → sagen om Amsterdam Trade Bank.
Landesanktioner rammer hele kundegrupper
Sanktioner kan også ramme alle kunder i et land. OFAC offentliggjorde 12. juni 2024 en afgørelse under Executive Order 14071, der ifølge OFAC’s FAQ 1184 til 1188 trådte i kraft 12. september 2024. Den forbyder at levere IT-rådgivning og support samt cloudbaserede tjenester til virksomhedssoftware og konstruktionssoftware til personer i Rusland.
FAQ 1186 nævner som eksempel et amerikansk selskab, der sælger et abonnement på et cloudbaseret ERP-system til en russisk virksomhed. Leverancer til russiske selskaber, der ejes af amerikanske personer, er undtaget. Det samme er internetadgang og kommunikationstjenester.
EU bruger samme værktøj
EU’s egne sanktioner virker på samme måde. Efter artikel 5n, stk. 2b, i Rådets forordning 833/2014 er det fra 18. december 2023 forbudt at levere software til virksomhedsstyring og konstruktion til den russiske stat og til virksomheder etableret i Rusland. Det fremgår af Kommissionens FAQ fra 6. februar 2024.
Forbuddet dækker ERP, CRM, CAD og lignende systemer. Det omfatter også opdateringer og software, der hentes fra en cloud. Der var en afviklingsperiode på tre måneder, frem til 20. marts 2024, for kontrakter indgået før 19. december 2023.
En europæisk leverandør er altså også et sanktionsinstrument for sin egen stat. Forskellen ligger i, hvilke staters udenrigspolitik jeres leverandør er bundet af, og om den svarer til jeres egen.
Hvad EU’s blokeringsforordning kan og ikke kan
EU har siden 1996 haft en blokeringsforordning, forordning 2271/96. Den forbyder EU-virksomheder at efterleve de udenlandske love, der står i bilaget, og giver adgang til erstatning. Ifølge Kommissionens side om forordningen omfatter bilaget amerikanske foranstaltninger om Cuba og Iran.
Ordren om Straffedomstolen står ikke i bilaget. Kommissionens side nævnte pr. 30. oktober 2026 ingen ændring. Selv hvis bilaget udvides, ændrer det ikke den amerikanske pligt for et amerikansk moderselskab. En leverandør kan dermed stå mellem to modsatrettede krav.
Udbydernes egne forpligtelser
Microsoft meddelte 30. april 2025, at selskabet vil bestride enhver regeringsforanstaltning, der pålægger det at indstille cloudtjenester i Europa, også ved domstolene. Forpligtelsen indgår i kontrakter med europæiske regeringer og Kommissionen. Microsoft vil desuden opbevare kopier af sin kode i Schweiz og give europæiske partnere ret til at bruge den, hvis det bliver nødvendigt.
AWS oplyser i FAQ’en om European Sovereign Cloud, at tjenesten drives uafhængigt af andre AWS-regioner af personale bosat i EU. FAQ’en omtaler ikke direkte situationen, hvor moderselskabet pålægges at indstille tjenesten. Den samlede vurdering af udbydernes løsninger står i → de store udbyderes suveræne clouds.
Forpligtelserne er relevante og bør noteres i vurderingen. De ændrer ikke, hvilken lov der gælder for moderselskabet, og de bygger på, at en domstol giver udbyderen medhold.
Det, en exit-plan skal forudse
Sanktioner adskiller sig fra andre afbrydelser på tre punkter. Varslet kan være meget kort. Leverandøren har ikke frihed til at forhandle. Og adgangen til data kan forsvinde samtidig med selve tjenesten.
Det har fire konsekvenser for planen.
- Kend ejerkæden · Notér for hvert kritisk system, hvilke staters sanktionsregler leverandøren og dens moderselskab er bundet af.
- Vurder tiden uden licens · Afklar, om systemet kører videre uden opdateringer, eller om det stopper, når licensen ikke længere fornyes. Det hører til → trin 4 om at lukke, se og ændre.
- Hold en kopi uden for leverandørens rækkevidde · En backup hos samme udbyder lukkes ved samme beslutning, jf. → backup hos samme udbyder.
- Skriv ophør ind i kontrakten · Aftal format, frist og pris for dataudlevering, også ved ophør af retlige grunde, jf. → trin 8 om kontrakten.
Hvad mekanismen kan og ikke kan forklare
Gennemgangen viser, hvorfor en leverandør kan blive tvunget til at lukke en kunde, og hvilke kunder reglerne kan ramme. Den viser også, at både USA og EU bruger instrumentet.
Den kan ikke forudsige, om en bestemt organisation bliver udpeget, eller om en leverandør vil vinde en sag mod en ordre. De fleste europæiske organisationer har ingen forbindelse til sanktionerede personer. Risikoen afhænger af ejerforhold, branche og geopolitisk udvikling, og den ændrer sig over tid. Eksportkontrol med AI-modeller er en beslægtet mekanisme, beskrevet i → eksportpolitik og AI.
Betydningen for exit-planen
Udpeg de systemer, hvor en lukning med få dages varsel ville standse driften. For dem skal der findes en kopi af data uden for leverandørens kontrol og et realistisk bud på, hvor lang tid en overgang tager. Lav en øvelse på det mest kritiske system, før det bliver aktuelt.
Når ejerkæden bag flere kritiske systemer peger mod samme jurisdiktion, kan en uvildig gennemgang give et bedre grundlag. Nielco IT’s jurisdiktions- og afhængighedsvurdering omfatter opkøb og sanktion samt en exit-vurdering pr. system.
Kilder
- Cornell Law School, Legal Information Institute: 50 U.S. Code § 1701, Unusual and extraordinary threat; declaration of national emergency. https://www.law.cornell.edu/uscode/text/50/1701
- Cornell Law School, Legal Information Institute: 50 U.S. Code § 1702, Presidential authorities. https://www.law.cornell.edu/uscode/text/50/1702
- Federal Register (GovInfo): Executive Order 14203 of February 6, 2025, Imposing Sanctions on the International Criminal Court, 90 FR 9369, 12.2.2025. https://www.govinfo.gov/content/pkg/FR-2025-02-12/html/2025-02612.htm
- OFAC: Issuance of Executive Order Imposing Sanctions on the International Criminal Court; International Criminal Court-related Designation, 13.2.2025. https://ofac.treasury.gov/recent-actions/20250213
- OFAC: Basic Information on OFAC and Sanctions, FAQ 9 og 11, opdateret 21.8.2024. https://ofac.treasury.gov/faqs/topic/1501
- OFAC: Entities Owned by Blocked Persons (50% Rule), FAQ 399, 13.8.2014. https://ofac.treasury.gov/faqs/topic/1521
- OFAC: FAQ 1184 til 1188 om IT and Software Services Determination under E.O. 14071, 12.6.2024. https://ofac.treasury.gov/faqs/added/2024-06-12
- Europa-Kommissionen: Frequently asked questions, Software, Article 5n(2b) of Council Regulation 833/2014, 6.2.2024. https://finance.ec.europa.eu/system/files/2024-02/faqs-sanctions-russia-software_en%2C.pdf
- Europa-Kommissionen: Extraterritoriality (Blocking Statute), set 30.10.2026. https://finance.ec.europa.eu/eu-and-world/open-strategic-autonomy/extraterritoriality-blocking-statute_en
- Microsoft (Brad Smith): Microsoft announces new European digital commitments, 30.4.2025. https://blogs.microsoft.com/on-the-issues/2025/04/30/european-digital-commitments/
- AWS European Sovereign Cloud: Frequently Asked Questions, set 30.10.2026. https://aws.eu/faq/
