Suverænitet
En suveræn cloud er i en indkøbssag en tjeneste, hvor driftsleverandøren, den gældende ret og administrationsadgangene er kendte, og hvor dataene kan tages med ud. Markedsføringsdefinitionen varierer. Kriterierne kan derimod samles i et skema.
At skrive “suveræn cloud” i et udbud svarer til at stille et spørgsmål, som alle tilbudsgivere svarer ja til. Svarene kan ikke længere sammenlignes, og valget træffes på prisen eller på det indtryk, præsentationen efterlod.
Et skema tvinger hver tilbudsgiver til at besvare det samme spørgsmål med dokumentation. Det beskytter også indkøberen efter underskrivelsen: en skriftlig forpligtelse i tilbuddet kan overføres til kontrakten, mens et adjektiv ikke kan kontrolleres. Selve begrebet forklares i hvad er en suveræn cloud. Denne side er beregnet til indkøb.
Brug denne.
En digital tjeneste behandles som suveræn for en europæisk indkøber, når det selskab, der driver den, hører under europæisk ret, når de betroede data og deres backups forbliver inden for det oplyste geografiske område, når driftsadgangene er identificerede, og når kunden kan eksportere sine data og derefter få dem slettet.
Denne sætning er et arbejdsredskab. Den er ikke en artikel i GDPR (databeskyttelsesforordningen). Forordningen definerer roller (dataansvarlig, databehandler), overførsler og de registreredes rettigheder. Den uddeler ikke nogen “suveræn”-mærkning.
Hvert led i sætningen henviser til et eller flere af kriterierne nedenfor. Det er det, der gør den brugbar: man kan dele den op i spørgsmål og give svarene point.
Hvert kriterium dokumenteres med et dokument, ikke med et adjektiv.
De ti kriterier vejer ikke lige tungt for alle indkøbere. For en e-mailtjeneste og fildeling er det som regel kriterierne 1, 3, 4, 5 og 9, der gør forskellen mellem tilbuddene. Kriterium 10 er udelukkende, når det kræves, og neutralt ellers. Fastlæg vægtningen, før du åbner svarene, ikke bagefter.
Stedet er ikke det samme som retten. Et datacenter i Frankfurt, der drives af et amerikansk selskab, er fortsat en tjeneste fra dette selskab. Den amerikanske CLOUD Act omfatter data, som besiddes af en leverandør underlagt amerikansk jurisdiktion, uanset i hvilket land disken står. Se beskyt en virksomhed mod CLOUD Act og sammenligningen europæisk eller amerikansk cloud.
Europæisk ret er ikke det samme som fravær af pålæg. En fransk, tysk eller nederlandsk dommer kan pålægge en operatør inden for sin jurisdiktion at udlevere data. Forskellen ligger i dommeren, proceduren og klageadgangen. Et skema, der antydede det modsatte, ville vildlede indkøberen.
Software og driftsleverandør er to forskellige ting. Nextcloud udvikles af Nextcloud GmbH i Tyskland. Zimbra udvikles af Synacor i USA. BlueMind er et fransk selskab. I alle tre tilfælde afhænger suveræniteten af din tjeneste af, hvem der installerer den, hvem der tager backup af den, og hvem der tager telefonen. Softwareleverandørens nationalitet har især betydning, hvis den har adgang til dataene: det behandles da under kriterium 7.
SecNumCloud er snævert. Det er en ANSSI-kvalifikation, tilbud for tilbud, med et omfang og en slutdato. Den kræves ofte for statens følsomme data. Den er uforholdsmæssig som eneste kriterium for en SMV, der søger en e-mailtjeneste og fildeling. Den er utilstrækkelig, hvis man påberåber sig den uden at læse afgørelsen.
Intet tilbud dækker al brug af Microsoft 365. Avanceret Excel, Power BI, Teams-økosystemet og branchespecifikke tilføjelsesprogrammer har ingen generel pendant hos de europæiske operatører. Suverænitetskriteriet afgør ikke dette punkt. Det kommer oven i. Hvis disse anvendelser er centrale, kan skemaet føre til, at man beholder Microsoft 365 med fuldt kendskab til konsekvenserne: se Microsoft 365 over for en suveræn løsning.
Erstat “suveræn cloud” med de ti kriterier, hver med den forventede dokumentation. Du kan så sammenligne et Microsoft-tilbud med europæisk datagrænse, et Google-tilbud med dataregion, et schweizisk tilbud som Infomaniak og et tilbud, der drives i Frankrig. Sammenligningen bliver en gennemgang af dokumentation, ikke en kamp mellem adjektiver.
| Kriterium | Spørgsmål til tilbudsgiveren | Forventet dokumentation |
|---|---|---|
| 1. Driftsselskab | Hvilket selskab driver tjenesten, og hvem kontrollerer det? | Registreringsudskrift, koncerndiagram |
| 2. Kontraktens lovvalg | Hvilken lov, hvilken domstol? | Klausul i de generelle betingelser og i databehandleraftalen |
| 3 og 4. Omfang og sted | Hvilke datakategorier, i hvilke lande? | Tabel pr. kategori: indhold, backups, logfiler, support |
| 5. Administration | Hvem administrerer, hvorfra, med hvilken logning? | Beskrivelse af teams og logning |
| 6. Nøgler | Hvem kan dekryptere, og i hvilke tilfælde? | Beskrivelse af krypteringsmodellen |
| 7. Underleverandører | Hvem modtager en kopi eller en adgang? | Navngiven liste med land |
| 8. Myndigheder | Hvad gør I ved en anmodning? | Skriftlig procedure |
| 9. Exitmulighed | Hvordan får vi alt tilbage, og hvor hurtigt? | Eksportprocedure, formater, test |
| 10. Kvalifikation | Er det tilbudte produkt kvalificeret? | Henvisning til ANSSI’s katalog, hvis det kræves |
Det geografiske kriterium alene behandles i detaljer i Hvad betyder “data hostet i Europa” egentlig.
Hypotetisk tilfælde. En mellemstor servicevirksomhed skal forny sin e-mailtjeneste og sin fildeling. Den første version af kravspecifikationen efterspørger “en suveræn cloudløsning hostet i Europa”. Alle tre tilbudsgivere svarer ja.
IT-afdelingen omskriver udbuddet med skemaet. Svarene bliver læselige. Den første tilbudsgiver hoster i Europa, men tilhører en koncern underlagt amerikansk ret: kriterium 1 ikke opfyldt, kriterierne 3 og 4 veldokumenterede. Den anden er et europæisk selskab, men overlader natsupporten til en underleverandør uden for området: kriterium 5 skal forhandles. Den tredje opfylder de juridiske kriterier, men dækker ikke et forretningsbehov: ledelsen må træffe en afvejning. Skemaet har ikke valgt på virksomhedens vegne. Det har gjort valget eksplicit.
Nej. GDPR uddeler ikke nogen “suveræn”-mærkning. SecNumCloud er en kvalifikation af et tilbud udstedt af ANSSI, ikke en generel definition. Definitionen, der foreslås her, er et arbejdsredskab for en indkøber.
Generelt ikke. Kriteriet vedrører det selskab, der driver tjenesten, og det selskab, der kontrollerer det. Et datterselskab kan fakturere i euro og hoste i Europa og samtidig tilhøre en koncern, der er underlagt amerikansk ret. Siden europæisk eller amerikansk cloud beskriver denne forskel i detaljer.
Man skal stille dem alle for at få sammenlignelige svar. Deres vægt afhænger derimod af dine data og dine forpligtelser. En vægtning, der er fastlagt på forhånd, forhindrer, at skemaet tilpasses den foretrukne tilbudsgiver.
Ja, og det er netop pointen. Disse softwareleverandørers ordninger for dataresidens vurderes under kriterierne 3 og 4. Softwareleverandørens nationalitet vurderes under kriterium 1. Siderne GDPR og Microsoft 365 og GDPR og Google Workspace anvender disse spørgsmål.
Klytic opfylder en del af skemaet og ikke en anden. Driftsleverandøren er Dedicace Software, et fransk selskab. Kunden vælger Klytic-hosting i ethvert geografisk område, der svarer til den gældende jurisdiktion, forudsat at de nødvendige tjenester er tilgængelige, for eksempel i Europa eller på Mauritius, eller på kundens egne servere. Softwareleverandøren af e-mailtjenesten er amerikansk (Zimbra / Synacor), softwareleverandøren af dokumenterne er tysk (Nextcloud), med en dedikeret instans pr. kunde.
Hvad angår kriteriet om nøgler, besiddes dataene fuldt ud af kunden, eller af Klytic på kundens vegne, i et geografisk område, der hører under den gældende jurisdiktion. De er krypteret som standard eller efter kundens valg. Nøglen besiddes af kunden eller opbevares på kundens konto, og Klytic har ikke adgang til den. De trin, hvor krypteringen håndteres af Klytic, er beskrevet på siden beskyt en virksomhed mod CLOUD Act. Kontrakten skal beskrive denne besiddelse og denne kryptering.
Klytic har ikke en SecNumCloud-kvalifikation. At fremstille det anderledes ville være forkert.
Denne side beskriver en generel ramme. Den erstatter ikke en analyse af din kontrakt.
Retstilstand pr. 5. oktober 2026. Denne tekst erstatter ikke en gennemgang af en kontrakt. Tilstrækkelighedsafgørelsen EU–USA (EU) 2023/1795 er i kraft. Den anfægtes. For SecNumCloud er ANSSI’s katalog afgørende.
Besøgt i oktober 2026.
E-mail, dokumenter, videomøder, CRM og telefoni, hostet i den zone, der svarer til din jurisdiktion, for eksempel i Europa eller på Mauritius, eller hos dig.
Velkomsttilbud
Uforpligtende prøvetilbud. En rådgiver ringer dig op for at forstå dine behov og klargøre dit Klytic-miljø.
