EU-Kommissionen har foreslået en forordning, der kan afgøre, hvilke cloudtjenester offentlige myndigheder må bruge til følsomme opgaver. Forslaget er ikke vedtaget, og det hviler på en model med fire niveauer, hvor ejerskab og kontrol fra lande uden for EU vejer tungt på de højeste.
Artiklen gennemgår pakken, de fire niveauer i Cloud and AI Development Act (CADA), hvem der efter forslaget skal bruge hvilket niveau, og hvorfor forslaget allerede nu er relevant for exit-planen. Alt, der beskrives om CADA, er forslag og kan ændres under forhandlingerne.
Pakken fra 3. juni 2026
Kommissionen fremlagde 3. juni 2026 pakken om teknologisk suverænitet. Den består af to lovforslag, Chips Act 2.0 og CADA, samt en strategi for open source og en køreplan for digitalisering og AI i energisektoren.
I sine spørgsmål og svar om pakken definerer Kommissionen teknologisk suverænitet som Europas evne til at udvikle, kontrollere og skalere sine kritiske teknologier, infrastruktur, tjenester og data. Samme dokument nævner, at mange udbydere kalder deres tjenester sikre eller suveræne, og at sådanne udsagn uden en klar ramme er vildledende.
Den problemstilling er beskrevet nærmere i → sovereignty washing.
CADA’s tre mål
Forslaget til forordning, COM(2026) 502, har ifølge Kommissionen tre mål. Det skal støtte forskning og udvikling, gøre det lettere at bygge datacentre og indføre en fælles europæisk ramme for vurdering af suverænitet i cloud og AI.
Kommissionens side om CADA nævner som mål mindst at tredoble EU’s datacenterkapacitet inden for fem til syv år. Forslaget indeholder også en fælles indkøbsramme for offentlige forvaltninger og regler om open source.
For exit-planen er det den tredje del, rammen for suverænitet, der har størst betydning. Den bestemmer, hvilke krav en udbyder skal opfylde for at levere til den offentlige sektor.
Fire EU-sikringsniveauer
Efter artikel 16 i forslaget skal cloududbydere opfylde et af fire EU-sikringsniveauer for at levere til EU’s institutioner og offentlige organer. Kriterierne står i forslagets bilag II.
- Niveau 1 · udbyderen er etableret i EU, og infrastruktur, aktiver og kundedata, også metadata og telemetri, forbliver i EU, medmindre myndigheden udtrykkeligt ønsker andet.
- Niveau 2 · også underleverandørerne er etableret i EU, personalet befinder sig i EU, og support udføres udelukkende i EU. Står udbyderen under kontrol fra et tredjeland, skal den dokumentere foranstaltninger, der forhindrer adgang til kundedata og afbrydelse af tjenesten.
- Niveau 3 · udbyderen og underleverandørerne må som udgangspunkt ikke være under kontrol fra et tredjeland, og personalet skal være EU-borgere.
- Niveau 4 · som niveau 3, men med krav om cybersikkerhedscertificering på niveau høj og support udført af personer bosat i EU.
Selv niveau 1 indeholder et krav, der knytter sig til jurisdiktion. Det gælder udbydere under kontrol fra et tredjeland. Efter bilagets punkt 1.1, litra g, skal de garantere, at landets love ikke kræver indberetning af softwaresårbarheder til myndighederne, før sårbarhederne vides at være udnyttet. Garantien skal dokumenteres med uafhængige kilder.
Fra niveau 2 og opefter gælder også et krav om AI. Data fra brugen af tjenesten må ikke bruges til at træne AI-systemer, som drives af et tredjeland eller et selskab etableret i et tredjeland.
Niveau 1 kan efter artikel 19 opnås ved selverklæring, mens niveau 2 til 4 kræver uafhængig revision efter artikel 20. Anerkendelsen gives af en national myndighed og gælder i hele EU.
Kontrol fra lande uden for EU
Bilagets krav på niveau 2 viser, hvad Kommissionen forstår ved risikoen fra udenlandsk kontrol. Udbyderen skal dokumentere, at kontrollen ikke kan bruges til at begrænse leverancen, give adgang til kundedata, afbryde tjenesten eller pålægge udbyderen at håndhæve et tredjelands sanktioner.
Efter artikel 18 kan Kommissionen udpege associerede tredjelande, hvis udbydere kan revideres efter niveau 3. Landet skal blandt andet have en afgørelse om tilstrækkeligt beskyttelsesniveau efter GDPR og må ikke have regler, der kan tvinge udbyderen til at afbryde tjenesten eller følge sanktioner.
Kriterierne svarer til de spørgsmål, exit-planen allerede stiller i lag 3. Sammenhængen er beskrevet i → de tre lag og → sanktioner og dekreter.
Hvem skal bruge hvilket niveau
Efter artikel 29 skal medlemsstaterne senest et år efter forordningens ikrafttræden og derefter hvert andet år lave risikovurderinger. De skal udpege de offentlige aktiviteter, der bidrager til at opretholde den offentlige orden i sektorer omfattet af NIS 2-direktivets bilag I og II. Det samme gælder aktiviteter inden for blandt andet national sikkerhed, forsvar, retsvæsen og retshåndhævelse.
For disse aktiviteter skal vurderingen fastlægge, om niveau 2, 3 eller 4 er passende. Vurderingen skal blandt andet tage hensyn til risikoen for ulovlig adgang fra et tredjeland og risikoen for afbrydelse af tjenesten.
Efter artikel 30 må ordregivere med sådanne aktiviteter kun købe tjenester, der er anerkendt på niveau 2, 3 eller 4. Øvrige offentlige organer skal bruge tjenester på mindst niveau 1. Der er undtagelser, fx hvis ingen anerkendt tjeneste kan levere, eller kravet vil medføre uforholdsmæssige omkostninger.
Migrering inden for 12 måneder
Artikel 29, stk. 6, er den bestemmelse, der har mest direkte betydning for exit-planen. Kræver risikovurderingen, at en myndighed skifter til en anden cloudtjeneste, skal skiftet ske inden for en rimelig overgangsperiode på højst 12 måneder.
Perioden skal tage hensyn til teknisk gennemførlighed, fortsat drift og krav om dataportabilitet. Samme artikel pålægger myndighederne at overveje, om en strategi med flere leverandører er passende.
En frist på 12 måneder er kort for et stort system. En myndighed, der først laver sin exit-plan, når risikovurderingen foreligger, vil have svært ved at nå det. Overgangen er beskrevet i → trin 9, og omkostningen i → trin 5.
Private virksomheder i kritiske sektorer
Efter artikel 31 kan virksomheder omfattet af NIS 2-direktivets bilag I, som ikke er offentlige, lave lignende vurderinger. Kommissionen kan udsende vejledning om metoden.
Kommissionen kan desuden ved delegerede retsakter fastsætte, at private virksomheder i sektorer med høj kritikalitet skal lave en sådan vurdering og træffe bestemte foranstaltninger. Det kræver efter forslaget særlige omstændigheder og høring af medlemsstaterne. Koblingen til leverandørstyringen under NIS2 står i → NIS2 og jurisdiktion.
Status pr. 30. oktober 2026
CADA behandles efter den almindelige lovgivningsprocedure. Ifølge Europa-Parlamentets procedureoversigt for sag 2026/0138(COD) afventede forslaget pr. 30. oktober 2026 behandling i udvalget for industri, forskning og energi. Henvisningen til udvalget blev meddelt 17. september 2026.
Oversigten viser hverken en udvalgsafstemning, en afstemning i plenarforsamlingen eller en fælles holdning fra Rådet. Efter artikel 48 i forslaget skal forordningen gælde et år efter ikrafttrædelsen. Der kan derfor gå flere år, før kravene gælder, og indholdet kan ændres undervejs.
Interessenternes forsøg på at påvirke indholdet er beskrevet i → kampen om reglerne.
Sammenhæng med gældende regler
Nogle af elementerne findes allerede. Dataforordningen pålægger efter artikel 28 i forordning (EU) 2023/2854 udbydere af databehandlingstjenester at oplyse, hvilken jurisdiktion deres infrastruktur er underlagt. Reglerne om skifte er gennemgået i → Data Act og skifteret.
Kommissionen bruger desuden sin egen ramme for suverænitet i udbud til EU’s institutioner, beskrevet i → EU’s suverænitetsramme. CADA vil, hvis forslaget vedtages, give en fælles ramme for hele den offentlige sektor i EU med national anerkendelse og revision.
Hvad forslaget kan og ikke kan vise
Forslaget viser, hvordan Kommissionen vil måle suverænitet. Kontrol fra et tredjeland, teknisk support uden for EU og risikoen for afbrydelse indgår som konkrete kriterier. Det giver indkøb og jura et sprog, de kan bruge allerede i dag, når leverandører skal beskrives.
Forslaget viser ikke, hvilke krav der ender i den vedtagne forordning. Det afgør heller ikke, hvilke danske myndigheder der vil falde i hvilket niveau, fordi det afhænger af de nationale risikovurderinger. Fremtidige krav må derfor ikke behandles som gældende ret.
Betydningen for exit-planen
Offentlige organisationer med opgaver inden for sikkerhed, retsvæsen eller NIS2-sektorerne kan notere allerede nu, hvilke systemer der kan blive omfattet af niveau 2 til 4. For hvert af dem bør exit-planen beskrive, hvordan et skift kan gennemføres inden for 12 måneder.
Følg forhandlingerne, og opdatér vurderingen, når Parlamentet eller Rådet har vedtaget deres holdning. Når listen over berørte systemer er lang, kan en uvildig gennemgang give overblik. Nielco IT laver en jurisdiktions- og afhængighedsvurdering med exit-vurdering pr. system.
Kilder
- EU-Kommissionen: Commission proposes tech sovereignty package to strengthen Europe’s digital autonomy and resilience, 3. juni 2026 (opdateret 10. juni 2026). https://digital-strategy.ec.europa.eu/en/news/commission-proposes-tech-sovereignty-package-strengthen-europes-digital-autonomy-and-resilience
- EU-Kommissionen: Questions and answers on Tech Sovereignty Package (QANDA/26/1188), 3. juni 2026. https://ec.europa.eu/commission/presscorner/detail/en/qanda_26_1188
- EU-Kommissionen: Proposal for the Cloud and AI Development Act (CADA), COM(2026) 502 med bilag, 3. juni 2026. https://digital-strategy.ec.europa.eu/en/library/proposal-cloud-and-ai-development-act-cada
- EU-Kommissionen: Cloud and AI Development Act, politikside, opdateret 3. juni 2026. https://digital-strategy.ec.europa.eu/en/policies/cloud-and-ai-development-act
- Europa-Parlamentet, Legislative Observatory: 2026/0138(COD) Cloud and AI Development Act, hentet 30. oktober 2026. https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2026/0138%28COD%29
- Europa-Parlamentets og Rådets forordning (EU) 2023/2854 af 13. december 2023 (dataforordningen). https://publications.europa.eu/resource/cellar/ef51c6ab-a06c-11ee-b164-01aa75ed71a1.0003.01/DOC_1
