…

Hvem kan lukke jeres adgang

Når beslutningen om jeres drift træffes uden for jeres hus

Et dekret. En sanktion mod en ejer, I aldrig har handlet med. Et opkøb af jeres leverandør. Eller en vurdering af, at I bruger tjenesten forkert.

Fælles for de fire er, at ingen bryder ind. Adgangen ophører, fordi nogen uden for jeres organisation beslutter det. Og fordi kontrakten giver dem lov.

Over 90 procent af danske virksomheder er afhængige af amerikansk teknologi. Tre amerikanske selskaber kontrollerer over 70 procent af EU’s cloud-marked, opgjort af Synergy Research i februar 2026.

Det gør spørgsmålet til et driftsspørgsmål frem for et politisk.

Seksten sager fra arkivet viser, hvornår det er sket, og hvad der udløste det.

Hvorfor det gentager sig

Leverandøren har ikke et valg: En amerikansk virksomhed skal adlyde amerikansk lov, uanset hvor serverne står, og uanset hvad den selv mener. Flere af sagerne handler om leverandører, der offentligt var uenige i den ordre, de udførte.

Varslet er kort eller ikke-eksisterende: Ved sanktioner udløber cloud-licenser typisk efter cirka 30 dage. Derefter kan der hverken opdateres, patches eller supporteres.

Ejerskabet kan skifte, uden at I bliver spurgt: En europæisk leverandør kan opkøbes. Jurisdiktionen følger med ejeren og ikke med kontrakten.

Brugsvilkårene er også en lukkeknap: Adgang er blevet afbrudt, ikke på grund af sanktioner, men fordi udbyderen vurderede, at kunden brugte platformen i strid med vilkårene.

Adgangen blev lukket ved en ordre

Fem sager, hvor en myndighed traf beslutningen og leverandøren udførte den.

• 11.500 terabyte, og så blev adgangen lukket: Data lå i europæiske datacentre. Beslutningen blev truffet i USA, ikke af en europæisk domstol. Det er tredje dokumenterede gang, adgang til data i Europa er lukket af en amerikansk udbyder.
• Solvent bank fik IT’en tvangslukket: Over en milliard euro i aktiver, 23.000 kontohavere, konkurs på 15 dage. Banken stod ikke på EU’s sanktionsliste.
• Eksportkontrol lukkede AI globalt på en nat: Ordren kom fredag aften. Lørdag morgen var to modeller lukket for alle uden for USA. Leverandøren var offentligt uenig og adlød alligevel.
• Sagen om Straffedomstolens chefanklager: Kontoen blev deaktiveret efter et amerikansk dekret. Ikke en teknisk fejl og ikke et angreb, men en amerikansk virksomhed pålagt at afbryde adgangen for en kunde.
• Leverandøren udleverede tilsynets navne: Oplysninger om et europæisk tilsyns medarbejdere gik til en amerikansk myndighed.

Ejerskabet skiftede, og jurisdiktionen fulgte med

Fem sager, hvor der ikke var en ordre. Der var et opkøb eller en kontrakt.

• 16,5 millioner digitale identiteter opkøbt: Udbyderen af et lands digitale ID blev overtaget af et amerikansk selskab.
• Ministeren skrev under 26 dage før afstemningen: Beslutningen var truffet, før den blev behandlet politisk.
• De valgte dansk og endte hos en amerikansk udbyder: Leverandøren var dansk. Infrastrukturen under den var ikke.
• Dansk journalsystem på amerikansk kerne: Kernen er svær at skifte, og det er dét, der afgør exit-omkostningen.
• Utænkeligt i ét land, rygrad i et andet: Samme selskabs teknologi vurderes forskelligt af to europæiske landes myndigheder.

Bindingen blev strammet uden en beslutning

Seks sager om det, der sker gradvist. Ingen lukker noget. Prisen og afhængigheden stiger.

• Bundling gav prisstigninger fra 22 til over 1.000 procent: Produkter, der før kunne købes hver for sig, sælges nu samlet.
• 16 af 28 lande i høj risiko, Danmark iblandt: En europæisk tænketank gennemgik forsvarskontrakter og IT-infrastruktur. Ved sanktioner udløber licenserne efter cirka 30 dage.
• Domænet kan blokeres uden varsel: Registrator og topdomæne er også et jurisdiktionsspørgsmål.
• Hvad sker der med backuppen: Ligger kopien hos samme udbyder som driften, forsvinder begge dele ved samme beslutning.
• Sundhedsdata som byttepenge i 25 år: Adgang til data indgik som betaling i en mellemstatslig aftale.
• Et europæisk land kalder afhængigheden en sikkerhedsrisiko: Vurderingen kom fra landets eget datatilsyn.
• 90 procent af danske firmaer er afhængige af USA: Told kan forhandles. En lukket cloud-konto kan ikke.

Nuancen, der skal med

Leverandørerne har forpligtet sig offentligt. Microsoft har erklæret, at selskabet vil bestride forsøg på at tvinge det til at suspendere cloud-drift i Europa. Det er en reel og væsentlig forpligtelse.

Den er bare ikke det samme som suverænitet. En forpligtelse bygger på selskabets vilje. Jurisdiktion bygger på, hvilken lov der gælder, og den ændrer sig ikke af en pressemeddelelse.

I flere af sagerne ovenfor var leverandøren offentligt uenig i den ordre, den udførte. Det ændrede ingenting.

Tre ting afgør, hvor udsat I er

Risikoen er ikke ens for alle systemer. Tre spørgsmål skiller dem ad.

Hvor hurtigt stopper systemet uden licens: Nogle systemer kører videre i årevis uden opdateringer. Andre nægter at starte, når abonnementet udløber. Forskellen afgør, om I har 30 dage eller ingen.

Hvor mange andre systemer hænger på det: En mailplatform med enkeltlogin til tyve andre tjenester er ikke ét system. Det er indgangen til tyve.

Hvor hurtigt kan data komme ud i et brugbart format: Kan I hente jeres data ud på en dag, er afhængigheden håndterbar. Tager det et halvt år, er den ikke.

De tre svar giver en prioriteret liste. De fleste organisationer har to eller tre systemer, hvor alle tre svar er dårlige, og resten er til at leve med.

Hvad der går galt, når forsvaret bygges

Der spørges om serverplacering: Hvor data ligger, er det spørgsmål, alle stiller. Det er også det, der er lettest at svare ja til, og det afgør ingenting alene.

Kontrakten beskriver ikke ophør: Hvad sker der med jeres data, hvis adgangen ophører. Hvor hurtigt kan I få dem ud, i hvilket format, og hvem betaler.

Backuppen ligger samme sted som driften: Er begge hos samme udbyder, er der ingen kopi at falde tilbage på, når beslutningen gælder kontoen og ikke maskinen.

Ingen har regnet på tiden: 30 dage er ikke lang tid til at flytte et journalsystem, et ERP eller en mailplatform. Tallet bør kendes, før det bliver aktuelt.

Hvad I kan gøre

1. Lav en liste over, hvilken juridisk enhed I har kontrakt med: Ikke markedsføringsnavnet. Den enhed, der står på fakturaen, og hvilket land den er registreret i.
2. Find ud af, hvad der sker efter 30 dage uden licens: Kan systemet køre videre uden opdateringer, eller stopper det. Svaret er forskelligt fra system til system.
3. Flyt mindst én kopi væk fra driftsleverandøren: Det behøver ikke være alt. Det skal bare være nok til at komme videre.
4. Skriv exit ind i kontrakten, næste gang den fornys: Format, frist og pris for at få data ud. Uden det er exit-omkostningen ukendt, indtil den skal betales.
5. Tag spørgsmålet med i næste risikorapport til bestyrelsen: Hvem kan afbryde hvilke systemer, og med hvilket varsel. Det er en ledelsesbeslutning og ikke en IT-opgave.

Hvilken ydelse afdækker det

En jurisdiktions- og afhængighedsvurdering kortlægger, hvilken lovgivning jeres systemer er underlagt, hvem der kan afbryde hvad, og hvad en exit koster i tid og penge.

Skal det ses fra leverandørkæden i stedet, altså hvem der ligger bag jeres leverandører, er en leverandøraudit indgangen.

Jeg sælger ikke produkter og har ingen leverandørpartnerskaber. Nævner jeg et europæisk alternativ, er ejerskab, hosting, aktualitet og prismodel efterprøvet først.

Beslægtede mønstre

De tre lag i cloud-suverænitet og de øvrige mønstre ligger samlet under digital suverænitet. Sker afbrydelsen gennem et angreb på en leverandør frem for en ordre, er vinklen leverandørangreb.

Find ud af, hvem der kan lukke jer

Ved I, hvilken juridisk enhed jeres vigtigste kontrakter er indgået med? Og hvad der sker med jeres data 30 dage efter, at en licens ophører?

Ring på 70 13 63 23 eller udfyld formularen.

Så tager vi en snak om jeres afhængigheder og finder ud af, om jeg kan hjælpe.