…

Digital suverænitet

Serverne står i Europa. Loven, der gælder for dem, gør ikke. Spørgsmålet er, hvem der kan lukke, se eller ændre jeres systemer, og hvad det koster jer at komme ud igen.

• Hvem kan lukke jeres adgang: Et dekret, en sanktion mod en ejer I ikke handler med, eller et opkøb af jeres leverandør
• Hvilken lov gælder for jeres data: Amerikansk lovgivning følger ejerskabet, ikke geografien
• Når europæisk ikke er europæisk: Europæisk selskabsnavn, europæisk drift, amerikansk moderselskab eller amerikansk software i bunden
• Offentlige organisationers skift: Hvad kommuner, regioner og styrelser gør, hvad det koster, og hvor licensmodellen binder hårdest
• Alternativer der virker: Dokumenterede skift med navn, ejerskab, hosting og pris

Cloud-suverænitet har tre lag

Diskussionen går som regel galt, fordi tre forskellige spørgsmål bliver behandlet som ét.

1. Dataresidens: hvor data fysisk ligger
2. Operationel kontrol: hvem der driver miljøet til daglig
3. Juridisk suverænitet: hvilke love ejeren i sidste ende er underlagt

De amerikanske udbydere har forbedret de to første markant. Datacentre i Europa, europæisk personale, europæiske driftsselskaber. Det tredje lag er uændret, og det er det eneste, der afgør, hvem der kan give en ordre, ejeren skal adlyde.

Et europæisk suverænitetsdatacenter blev bygget i Brandenburg for 7,8 milliarder euro med et nyt tysk moderselskab. I det tyske handelsregister står selskabet som hundrede procents datterselskab af det amerikanske moderselskab. Lag et og to er på plads. Lag tre er ikke.

To sager, der viser mekanismen

I maj 2025 mistede chefanklageren ved Den Internationale Straffedomstol adgangen til sin Microsoft-hostede mailkonto, efter at et amerikansk dekret i februar samme år havde sanktioneret domstolens embedsmænd. Microsoft afviser at have lukket kontoen, og i februar 2026 bad selskabet det britiske parlament rette referatet på netop det punkt. Hvem der lukkede adgangen, er stadig omstridt. Domstolen besluttede i oktober 2025 at flytte cirka 1.800 arbejdsstationer til en europæisk open source-pakke.

Amsterdam Trade Bank blev erklæret konkurs i april 2022. Banken var hollandsk registreret og under hollandsk tilsyn, men russisk ejet, og det amerikanske sanktionskontor OFAC satte banken på sin liste. På EU’s sanktionsliste stod den ikke. Microsoft afbrød adgangen til bankens cloud, og kuratorerne kunne derfor ikke komme til mail og bogføring, som hollandsk lov forpligter dem til at gennemgå. Retten i Amsterdam beordrede adgangen genåbnet med dagbøder på 10 millioner euro og et loft på 100 millioner.

I den første sag kunne ingen få fastslået, hvem der havde lukket adgangen. I den anden skulle der en retskendelse til at få den åbnet igen. Fælles for begge er, at beslutningen lå uden for organisationens eget hus.

To nuancer, der skal med

Kryptering er en reel beskyttelse, men mod noget bestemt. Krypterer man med nøgler, kun man selv kontrollerer, kan udbyderen teknisk set ikke udlevere indholdet. Det beskytter mod indsigt. Det beskytter ikke mod, at tjenesten bliver afbrudt, licensen ophører eller kontoen lukkes.

Leverandørerne har forpligtet sig offentligt. Microsoft har erklæret, at selskabet vil bestride forsøg på at tvinge det til at suspendere cloud-drift i Europa. Det er en reel og væsentlig forpligtelse. Den er bare ikke det samme som suverænitet, fordi den bygger på selskabets vilje frem for på hvilken lov der gælder.

Markedet bag spørgsmålet

Tre amerikanske selskaber kontrollerer over 70 procent af EU’s cloud-marked, opgjort af Synergy Research i februar 2026. Europæiske udbydere står tilsammen med under 15 procent, ned fra 29 procent i 2017.

Danske afhængigheder, som allerede er dokumenteret

• Data i Finland er ikke det samme som finsk jurisdiktion
• Europæisk platform-drift er ikke suverænitet
• Næsten al jeres kommunikation er underlagt amerikansk lovgivning
• Dokumentdelingen er underlagt Cloud Act
• Hvad der sker med backuppen, hvis USA beslutter, at I er uønskede
• 25 europæiske cloud-direktører: suverænitet kræver kontrol, ikke tilstedeværelse
• Frankrig flytter sundhedsdata væk fra amerikansk cloud
• 31 milliarder euro i infrastruktur uden for Cloud Act

Den anden halvdel af billedet

Denne side handler om, hvem der kan lukke jer ude. Hvordan nogen kommer ind udefra, ligger under cybersikkerhed.

Kontakt

Ved I, hvilke af jeres systemer der kan lukkes af nogen uden for Danmark, og hvad det ville koste jer at flytte dem?

Ring på 70 13 63 23 eller brug kontaktformularen. Så tager vi en snak om jeres leverandørsituation og finder ud af, hvor I bør sætte ind.