Suveränitet
Ett suveränt moln är, i ett upphandlingsunderlag, en tjänst vars driftsleverantör, tillämpliga lag och administrativa åtkomst är kända, och vars data går att ta tillbaka. Marknadsföringens definition varierar. Kriterierna däremot låter sig ställas upp i en bedömningsmall.
Att skriva ”suveränt moln” i en upphandling är att ställa en fråga som varje anbudsgivare svarar ja på. Svaren blir omöjliga att jämföra, och valet görs på priset eller på intrycket från presentationen.
En bedömningsmall tvingar varje anbudsgivare att besvara samma fråga, med ett underlag. Den skyddar också köparen efter undertecknandet: ett skriftligt åtagande i anbudet kan föras in i avtalet, medan ett adjektiv inte går att kontrollera. Själva begreppet förklaras i vad är ett suveränt moln. Den här sidan är till för inköpet.
Utgå från den här.
En digital tjänst behandlas som suverän, för en europeisk köpare, när bolaget som driver den omfattas av europeisk rätt, när de anförtrodda uppgifterna och deras säkerhetskopior stannar inom det angivna geografiska området, när driftåtkomsten är identifierad och när kunden kan exportera sina data och sedan få dem raderade.
Den meningen är ett arbetsverktyg. Den är ingen artikel i GDPR (dataskyddsförordningen). Förordningen definierar roller (personuppgiftsansvarig, personuppgiftsbiträde), överföringar och de registrerades rättigheter. Den delar inte ut någon etikett ”suverän”.
Varje led i meningen hänvisar till ett eller flera av kriterierna nedan. Det är det som gör den användbar: den kan delas upp i frågor och svaren kan poängsättas.
Varje kriterium styrks med ett dokument, inte med ett adjektiv.
De tio kriterierna väger inte lika tungt för alla köpare. För en e-posttjänst och en fildelning är det i regel kriterierna 1, 3, 4, 5 och 9 som skiljer erbjudandena åt. Kriterium 10 är uteslutande när det krävs och neutralt annars. Bestäm viktningen innan du öppnar svaren, inte efteråt.
Plats är inte detsamma som lagval. Ett datacenter i Frankfurt som drivs av ett amerikanskt bolag är fortfarande det bolagets tjänst. Den amerikanska CLOUD Act avser data som innehas av en leverantör som lyder under amerikansk jurisdiktion, oavsett i vilket land disken står. Se skydda ett företag mot CLOUD Act och jämförelsen europeiskt eller amerikanskt moln.
Europeisk rätt innebär inte att förelägganden uteblir. En fransk, tysk eller nederländsk domstol kan beordra en operatör inom sin jurisdiktion att lämna ut data. Skillnaden gäller domstolen, förfarandet och möjligheterna att överklaga. En bedömningsmall som gav sken av motsatsen skulle vilseleda köparen.
Programvaran och driftsleverantören ska skiljas åt. Nextcloud ges ut av Nextcloud GmbH i Tyskland. Zimbra ges ut av Synacor i USA. BlueMind är ett franskt bolag. I alla tre fallen beror suveräniteten hos din tjänst på vem som installerar den, vem som säkerhetskopierar den och vem som svarar i telefon. Mjukvaruleverantörens nationalitet spelar roll främst om den har åtkomst till data: då hanteras den under kriterium 7.
SecNumCloud är snävt. Det är en kvalificering från ANSSI, erbjudande för erbjudande, med ett omfång och ett slutdatum. Den krävs ofta för statens känsliga uppgifter. Den är oproportionerlig som enda kriterium för ett litet eller medelstort företag som söker en e-posttjänst och en fildelning. Den är otillräcklig om man åberopar den utan att läsa beslutet.
Inget erbjudande täcker alla användningsområden för Microsoft 365. Avancerad Excel, Power BI, Teams-ekosystemet och branschspecifika tillägg saknar generella motsvarigheter hos de europeiska operatörerna. Suveränitetskriteriet avgör inte den punkten. Det kommer i tillägg. Om dessa användningsområden är centrala kan bedömningsmallen leda till att man behåller Microsoft 365 med full insikt: se Microsoft 365 jämfört med en suverän lösning.
Ersätt ”suveränt moln” med de tio kriterierna, vart och ett med ett förväntat underlag. Du kan då jämföra ett Microsoft-erbjudande med europeisk datagräns, ett Google-erbjudande med dataregion, ett schweiziskt erbjudande som Infomaniak och ett erbjudande som drivs i Frankrike. Jämförelsen blir en granskning av underlag, inte en strid om adjektiv.
| Kriterium | Fråga till anbudsgivaren | Förväntat underlag |
|---|---|---|
| 1. Driftsbolag | Vilket bolag driver tjänsten, och vem kontrollerar det? | Registreringsbevis, koncernschema |
| 2. Avtalets lagval | Vilken lag, vilken domstol? | Klausul i de allmänna villkoren och i personuppgiftsbiträdesavtalet |
| 3 och 4. Omfång och plats | Vilka datakategorier, i vilka länder? | Tabell per kategori: innehåll, säkerhetskopior, loggar, support |
| 5. Administration | Vem administrerar, varifrån, med vilken loggning? | Beskrivning av teamen och loggningen |
| 6. Nycklar | Vem kan dekryptera, och i vilka fall? | Beskrivning av krypteringsupplägget |
| 7. Underbiträden | Vem får en kopia eller åtkomst? | Namngiven förteckning med land |
| 8. Myndigheter | Vad gör ni vid en begäran? | Skriftligt förfarande |
| 9. Reversibilitet | Hur får vi tillbaka allt, och hur lång tid tar det? | Exportförfarande, format, test |
| 10. Kvalificering | Är det erbjudna erbjudandet kvalificerat? | Hänvisning till ANSSI:s katalog, om det krävs |
Enbart det geografiska kriteriet behandlas i detalj i Vad betyder ”data lagrade i Europa” egentligen.
Hypotetiskt fall. Ett medelstort tjänsteföretag byter ut sin e-posttjänst och sin fildelning. Den första versionen av kravspecifikationen efterfrågar ”en suverän molnlösning med drift i Europa”. De tre anbudsgivarna svarar ja.
IT-avdelningen skriver om upphandlingen med bedömningsmallen. Svaren blir läsbara. Den första anbudsgivaren har drift i Europa men tillhör en koncern som omfattas av amerikansk lag: kriterium 1 uppfylls inte, kriterierna 3 och 4 är väl dokumenterade. Den andra är ett europeiskt bolag men anlitar en underleverantör utanför området för nattsupporten: kriterium 5 behöver förhandlas. Den tredje uppfyller de rättsliga kriterierna men täcker inte ett verksamhetsbehov: ledningen måste göra en avvägning. Bedömningsmallen har inte valt i företagets ställe. Den har gjort valet tydligt.
Nej. GDPR delar inte ut någon etikett ”suverän”. SecNumCloud är en kvalificering av ett erbjudande som utfärdas av ANSSI, inte en allmän definition. Den definition som föreslås här är ett arbetsverktyg för en köpare.
I regel inte. Kriteriet gäller bolaget som driver tjänsten och bolaget som kontrollerar det. Ett dotterbolag kan fakturera i euro och ha drift i Europa och samtidigt tillhöra en koncern som omfattas av amerikansk lag. Sidan europeiskt eller amerikanskt moln beskriver skillnaden i detalj.
Man bör ställa alla, för att få jämförbara svar. Hur tungt de väger beror däremot på dina data och dina skyldigheter. En viktning som fastställs i förväg förhindrar att mallen anpassas efter den anbudsgivare man föredrar.
Ja, och det är just dess poäng. Dessa mjukvaruleverantörers lösningar för datalokalisering bedöms under kriterierna 3 och 4. Mjukvaruleverantörens nationalitet bedöms under kriterium 1. Sidorna GDPR och Microsoft 365 och GDPR och Google Workspace tillämpar dessa frågor.
Klytic uppfyller en del av mallen men inte en annan. Driftsleverantören är Dedicace Software, ett franskt bolag. Kunden väljer drift hos Klytic i alla geografiska områden som motsvarar den tillämpliga jurisdiktionen, förutsatt att de tjänster som krävs finns tillgängliga, till exempel i Europa eller på Mauritius, eller på kundens egna servrar. Mjukvaruleverantören för e-posttjänsten är amerikansk (Zimbra / Synacor), den för dokumenten är tysk (Nextcloud), med en dedikerad instans per kund.
När det gäller kriteriet om nycklar innehas data helt av kunden, eller av Klytic för kundens räkning, i ett geografiskt område som hör till den tillämpliga jurisdiktionen. De krypteras som standard, eller enligt kundens val. Nyckeln innehas av kunden eller förvaras i kundens konto, och Klytic har ingen åtkomst till den. De steg där krypteringen hanteras av Klytic beskrivs på sidan skydda ett företag mot CLOUD Act. Avtalet ska beskriva detta innehav och denna kryptering.
Klytic har ingen SecNumCloud-kvalificering. Att påstå något annat vore felaktigt.
Den här sidan beskriver en allmän ram. Den ersätter inte en analys av ditt avtal.
Rättsläget den 5 oktober 2026. Den här texten ersätter inte en analys av ett avtal. Beslutet om adekvat skyddsnivå EU–USA (EU) 2023/1795 gäller. Det är ifrågasatt. För SecNumCloud är ANSSI:s katalog avgörande.
Hämtade i oktober 2026.
E-post, dokument, videomöten, CRM och telefoni, driftade i det område som motsvarar din jurisdiktion, till exempel i Europa eller på Mauritius, eller hos dig.
Välkomsterbjudande
Provperiod utan förpliktelser. En rådgivare ringer upp dig för att förstå dina behov och förbereda din Klytic-miljö.
