Når et tilbud kalder en cloudtjeneste suveræn, kan det betyde, at data ligger i EU, at driften foregår i EU, eller at ejeren er uafhængig af lov fra andre stater. Exit-planen afhænger af, hvilket af de tre svar der faktisk gælder.
Artiklen giver en metode til at skille markedsføringen fra jurisdiktionen i et konkret tilbud. Metoden bygger på offentlige kilder og på de oplysninger, udbyderen selv er forpligtet til at give.
Hvad begrebet dækker
Sovereignty washing bruges om at markedsføre en tjeneste som suveræn, selv om den kun ændrer en del af afhængigheden. Begrebet har ingen juridisk definition. Det blev blandt andet brugt i brevet fra 25 europæiske cloudledere til EU-Kommissionen 17. marts 2026, som er omtalt i → kampen om reglerne.
Ordet suveræn er heller ikke defineret ved lov i dag. Kommissionen har foreslået fire niveauer i Cloud and AI Development Act, men forslaget var pr. 30. oktober 2026 ikke vedtaget, jf. → EU’s Tech Sovereignty Package og CADA. Indtil videre må I derfor selv definere, hvad ordet skal betyde i jeres tilbudsgivning.
Hvorfor etiketten kan vildlede exit-planen
En exit-plan skal vise, hvilke afhængigheder et skifte faktisk fjerner. Vælger I en tjeneste, fordi den kaldes suveræn, uden at vide hvilket lag den ændrer, kan planen overvurdere jeres handlefrihed.
Konsekvensen viser sig først, når planen skal bruges. Hvis en tjeneste lukkes eller begrænses på grund af ejerens retsforhold, hjælper det lidt, at data lå i EU. Derfor skal valget af et alternativ dokumentere, hvilket lag det flytter, på samme måde som valget af den tjeneste, I forlader.
Modellen med de tre lag er forklaret i → de tre lag. Metoden nedenfor bruger lagene som tjekliste på et tilbud.
Spørg efter den juridiske enhed bag brandet
Et produktnavn siger intet om ejerskab. Det første skridt er at finde den juridiske enhed, kontrakten indgås med, og slå dens moderselskab op i det relevante handelsregister.
Fremgangsmåden er beskrevet i → trin 2 om juridisk enhed og moderselskab. Notér både kontraktparten og den øverste ejer. De kan ligge i to forskellige lande.
Skel mellem region og jurisdiktion
En region er et sted, hvor datacentrene står. En jurisdiktion er den stat, hvis love selskabet er underlagt. Brancheforeningen CISPE skelner udtrykkeligt mellem de to begreber i sine principper for suveræne og robuste cloudtjenester fra april 2026.
Her defineres et suverænitetsområde som det land eller den gruppe af lande, hvis jurisdiktion udbyderen vil vise, at den er underlagt. Det adskiller sig fra en tilgængelighedszone eller region. Et tilbud, der kun nævner regioner, har dermed kun besvaret lag 1.
Kontrolplanet hører med til tjenesten
En tjeneste består af mere end de servere, data ligger på. CISPE’s principper beskriver kontrolplanet som de systemer, der konfigurerer, styrer, sikrer, overvåger og opdaterer tjenesten.
Definitionen nævner blandt andet adgangsstyring, logning og telemetri, nøglehåndtering, systemer til at bygge og udrulle software samt administrationskonsoller og API’er. Spørg derfor, hvor kontrolplanet drives, og hvem der kan ændre det. Data kan ligge i EU, mens de systemer, der styrer adgangen til dem, drives andre steder.
Principperne regner også tekniske data som kritiske, dvs. legitimationsoplysninger, konfigurationer og andre oplysninger, der kan bruges til at få adgang til kundens data. Et tilbud bør derfor oplyse, hvor de tekniske data ligger, ud over hvor kundens filer og databaser ligger.
Brug lovens egne oplysningskrav
Dataforordningen giver jer et redskab, som mange overser. Efter artikel 28 skal udbydere af databehandlingstjenester på deres websted oplyse, hvilken jurisdiktion den IKT-infrastruktur, der bruges til hver enkelt tjeneste, er underlagt.
Udbyderen skal også give en overordnet beskrivelse af de tekniske, organisatoriske og kontraktlige foranstaltninger mod international statslig adgang til andre data end personoplysninger. Webstedet skal fremgå af aftalen. Bed om henvisningen i tilbuddet, og sammenlign oplysningen med markedsføringen. Reglerne i øvrigt er gennemgået i → Data Act og skifteret.
Mærker og rammer som målestok
To rammer kan bruges som fælles sprog, når flere tilbud skal sammenlignes. Kommissionens Cloud Sovereignty Framework fra oktober 2025 vurderer otte områder og lader det svageste afgøre det samlede niveau, jf. → EU’s suverænitetsramme.
CISPE lancerede 23. april 2026 en ordning med to mærker, der tildeles den enkelte tjeneste og ikke udbyderen som helhed. Mærket for suverænitet kræver ejerskab, kontrol og jurisdiktion i ét defineret område. Mærket for robusthed dækker tjenester med ikkesuveræne elementer. Her skal kontrollen i stedet komme fra tre forhold. Det er kryptering med kundestyrede nøgler, påvist adgang til data, hvis en fremmed regering griber ind, og mulighed for at flytte tjenesten til en anden udbyder. Principperne oplyser, at det kræver ekstra tekniske og proceduremæssige skridt hos både udbyder og kunde, hvilket kan øge prisen. Hvad egne nøgler beskytter, er gennemgået i → egne nøgler.
Ifølge principperne kan tjenester først erklæres af udbyderen selv, mens certificering ved en uafhængig tredjepart skal ske inden for seks måneder. Skel derfor mellem en egenerklæring og en certificering. CISPE er en brancheforening, og principperne oplyser, at foreningens vedtægter siden februar 2025 udelukker hyperscalere fra stemmeret i beslutninger om suverænitet.
Metoden trin for trin
- Notér påstanden · Skriv ordret op, hvad tilbuddet lover, og hvilket lag påstanden handler om.
- Find kontraktparten · Slå enheden og moderselskabet op i registret, og notér begge lande.
- Kræv artikel 28-oplysningerne · Få henvisningen til udbyderens oplysninger om jurisdiktion pr. tjeneste.
- Spørg til kontrolplanet · Hvor drives adgangsstyring, logning og nøgler, og af hvem?
- Spørg til support og opdateringer · Hvem kan logge ind ved fejlretning, og hvorfra kommer softwareopdateringer?
- Skel mellem erklæring og certificering · Notér, hvem der har vurderet tjenesten, og efter hvilken ramme.
- Gennemgå leverandørkæden · Tjek, om tjenesten bygger på en anden udbyders platform, jf. → trin 3.
- Placer svaret i de tre lag · Marker hvert lag grønt, gult eller rødt med kilde, og lad det svageste afgøre.
Trin 1 til 3 kan indkøb eller jura klare ud fra tilbuddet og registrene. Trin 4 til 7 kræver typisk IT, fordi svarene skal vurderes teknisk. Gem svarene sammen med tilbuddet, så vurderingen kan efterprøves ved næste fornyelse.
Stil de samme spørgsmål til alle tilbudsgivere, også de europæiske. En europæisk udbyder kan bygge på en anden udbyders platform eller software, og det ændrer svaret i lag 2 og 3.
Typiske fejl
Den mest udbredte fejl er at tage en sikkerhedscertificering som svar på spørgsmålet om jurisdiktion. CISPE-brevet fra marts 2026 peger netop på, at certificering ikke dækker udsathed for lovgivning med virkning over grænser.
En anden fejl er at nøjes med udbyderens skriftlige tilsagn. Tilsagn kan have værdi, men de ændrer ikke ejerens retsforhold. Microsoft Frankrigs juridiske direktør blev afhørt under ed af det franske senat 10. juni 2025, og forløbet er gennemgået i → Microsofts svar til det franske senat.
En tredje fejl er at lade et mærke eller en betegnelse gælde for mere end det, der faktisk er vurderet. CISPE’s principper fastslår, at mærket for suverænitet kun gives til den enkelte tjeneste, som selv opfylder kravene. En tjeneste får det ikke, fordi den sælges af en forhandler eller hænger sammen med en anden certificeret tjeneste. Spørg derfor til hver tjeneste i tilbuddet for sig.
En fjerde fejl er at gå ud fra, at europæisk ejerskab også betyder europæisk kode. Det er belyst i → Euro-Office og kodens oprindelse.
Hvad metoden kan og ikke kan vise
Metoden kan vise, hvilke lag et tilbud faktisk adresserer, og om markedsføringen svarer til udbyderens egne lovpligtige oplysninger. Den gør tilbud sammenlignelige på tværs af udbydere, fordi alle får samme spørgsmål.
Den kan ikke afgøre, om en påstand er ulovlig markedsføring, eller hvordan en myndighed i et andet land vil handle. Den fanger heller ikke et senere ejerskifte, som behandles i → ejerskab skifter.
Betydningen for exit-planen
Brug metoden på de tjenester, der står som mål for et skifte, før valget træffes. Et skifte, der kun flytter lag 1, kan være rigtigt, men planen skal sige det åbent. Gentag opslaget ved hver kontraktfornyelse.
Skal mange systemer og tilbud gennemgås på samme måde, kan Nielco IT’s jurisdiktions- og afhængighedsvurdering bruges som uvildigt grundlag. Den kortlægger juridisk enhed, moderselskab og underleverandører pr. system.
Kilder
- CISPE m.fl.: Joint Call for a Sovereign and Resilient European Cloud Policy, 17. marts 2026. https://www.cispe.cloud/website_cispe/wp-content/uploads/2026/03/Cloud-CEOs-Joint-Letter-March-17-2026-FINAL.pdf
- CISPE: Sovereignty & Resilience Framework for Cloud Services, Principles, april 2026. https://framework.sovereignty.cispe.cloud/wp-content/uploads/2026/04/2026_04-CISPE-Principles-for-Sovereign-and-Resilient-Cloud-Services.pdf
- ITPro (Emma Woollacott): New framework allows EU firms to check if ‘sovereign’ cloud services are truly sovereign, 23. april 2026. https://www.itpro.com/security/cispe-sovereign-and-resilient-cloud-services-framework-eu-sovereignty-washing
- Den Europæiske Unions Tidende (EUR-Lex): Europa-Parlamentets og Rådets forordning (EU) 2023/2854 af 13. december 2023 (dataforordningen), artikel 28. https://eur-lex.europa.eu/eli/reg/2023/2854/oj/dan
- Europa-Kommissionen: Cloud and AI Development Act, politikside, opdateret 3. juni 2026. https://digital-strategy.ec.europa.eu/en/policies/cloud-and-ai-development-act
- Sénat: Commission d’enquête sur la commande publique, compte rendu, mardi 10. juni 2025. https://senat.fr/compte-rendu-commissions/20250609/ce_commande_publique.html
