{"id":4129,"date":"2026-10-05T22:26:29","date_gmt":"2026-10-05T20:26:29","guid":{"rendered":"https:\/\/eu.klytic.com\/?page_id=4129"},"modified":"2026-10-06T17:23:15","modified_gmt":"2026-10-06T15:23:15","slug":"suveranit-moln-definition","status":"publish","type":"page","link":"https:\/\/eu.klytic.com\/sv\/suveranit-moln-definition\/","title":{"rendered":"Suver\u00e4nt moln: definition, kriterier och begr\u00e4nsningar"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Start<\/a>\u203a<\/span>Guider<\/a>\u203a<\/span>Suver\u00e4nitet<\/a><\/p>

Suver\u00e4nitet<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Suver\u00e4nt moln: definition, kriterier och begr\u00e4nsningar<\/h1>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Ett suver\u00e4nt moln \u00e4r, i ett upphandlingsunderlag, en tj\u00e4nst vars driftsleverant\u00f6r, till\u00e4mpliga lag och administrativa \u00e5tkomst \u00e4r k\u00e4nda, och vars data g\u00e5r att ta tillbaka. Marknadsf\u00f6ringens definition varierar. Kriterierna d\u00e4remot l\u00e5ter sig st\u00e4llas upp i en bed\u00f6mningsmall.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t

Uppdaterad i oktober 2026<\/b><\/span>8 min<\/b> l\u00e4sning<\/span>Officiella k\u00e4llor anges<\/span><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Varf\u00f6r en bed\u00f6mningsmall snarare \u00e4n en etikett<\/h2>

Att skriva \u201dsuver\u00e4nt moln\u201d i en upphandling \u00e4r att st\u00e4lla en fr\u00e5ga som varje anbudsgivare svarar ja p\u00e5. Svaren blir om\u00f6jliga att j\u00e4mf\u00f6ra, och valet g\u00f6rs p\u00e5 priset eller p\u00e5 intrycket fr\u00e5n presentationen.<\/p>

En bed\u00f6mningsmall tvingar varje anbudsgivare att besvara samma fr\u00e5ga, med ett underlag. Den skyddar ocks\u00e5 k\u00f6paren efter undertecknandet: ett skriftligt \u00e5tagande i anbudet kan f\u00f6ras in i avtalet, medan ett adjektiv inte g\u00e5r att kontrollera. Sj\u00e4lva begreppet f\u00f6rklaras i vad \u00e4r ett suver\u00e4nt moln<\/a>. Den h\u00e4r sidan \u00e4r till f\u00f6r ink\u00f6pet.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t

En anv\u00e4ndbar definition<\/h2>

Utg\u00e5 fr\u00e5n den h\u00e4r.<\/p>

En digital tj\u00e4nst behandlas som suver\u00e4n, f\u00f6r en europeisk k\u00f6pare, n\u00e4r bolaget som driver den omfattas av europeisk r\u00e4tt, n\u00e4r de anf\u00f6rtrodda uppgifterna och deras s\u00e4kerhetskopior stannar inom det angivna geografiska omr\u00e5det, n\u00e4r drift\u00e5tkomsten \u00e4r identifierad och n\u00e4r kunden kan exportera sina data och sedan f\u00e5 dem raderade.<\/p><\/blockquote>

Den meningen \u00e4r ett arbetsverktyg. Den \u00e4r ingen artikel i GDPR (dataskyddsf\u00f6rordningen). F\u00f6rordningen definierar roller (personuppgiftsansvarig, personuppgiftsbitr\u00e4de), \u00f6verf\u00f6ringar och de registrerades r\u00e4ttigheter. Den delar inte ut n\u00e5gon etikett \u201dsuver\u00e4n\u201d.<\/p>

Varje led i meningen h\u00e4nvisar till ett eller flera av kriterierna nedan. Det \u00e4r det som g\u00f6r den anv\u00e4ndbar: den kan delas upp i fr\u00e5gor och svaren kan po\u00e4ngs\u00e4ttas.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t

Tio kriterier<\/h2>

Varje kriterium styrks med ett dokument, inte med ett adjektiv.<\/p>

  1. Driftsbolag.<\/strong> Firmanamn, land f\u00f6r huvudkontoret och moderbolag. Ett europeiskt dotterbolag till en amerikansk koncern kan fakturera i euro och samtidigt tillh\u00f6ra en koncern som omfattas av amerikansk lag. Det \u00e4r kriteriet som avg\u00f6r vem en utl\u00e4ndsk myndighet kan v\u00e4nda sig till.<\/li>
  2. Avtalets lagval.<\/strong> Till\u00e4mplig lag och beh\u00f6rig domstol. Kontrollera att de allm\u00e4nna villkoren och personuppgiftsbitr\u00e4desavtalet s\u00e4ger samma sak.<\/li>
  3. Dataomf\u00e5ng.<\/strong> Inneh\u00e5ll (e-post, filer), s\u00e4kerhetskopior, tekniska loggar, supportdata. Enbart inneh\u00e5llet r\u00e4cker inte: ett \u00e5tagande som bara omfattar brevl\u00e5dorna l\u00e4mnar kopiorna utanf\u00f6r.<\/li>
  4. Plats.<\/strong> Land eller region f\u00f6r varje kategori under punkt 3. \u201dEuropa\u201d m\u00e5ste preciseras: Europeiska unionen, EFTA eller ett namngivet land.<\/li>
  5. Personer som administrerar.<\/strong> Driftsleverant\u00f6rens anst\u00e4llda, underleverant\u00f6rer, jour utanf\u00f6r omr\u00e5det. En fj\u00e4rr\u00e5tkomst, \u00e4ven tillf\u00e4llig, \u00e4r en behandling. Fr\u00e5ga ocks\u00e5 om dessa \u00e5tkomster loggas och om kunden kan ta del av loggen.<\/li>
  6. Krypteringsnycklar.<\/strong> Vem som innehar dem, vem som kan anv\u00e4nda dem vid en \u00e5terst\u00e4llning, vem som kan l\u00e4mna ut dem till en tredje part. Fr\u00e5gan \u00e4r inte \u201d\u00e4r data krypterade?\u201d, utan \u201dvem kan dekryptera dem?\u201d.<\/li>
  7. Underbitr\u00e4den.<\/strong> Aktuell f\u00f6rteckning: skr\u00e4ppostfilter, s\u00e4kerhetskopiering, support, bes\u00f6ksm\u00e4tning, identitet. Ett underbitr\u00e4de som omfattas av en annan r\u00e4ttsordning kan upph\u00e4va effekten av kriterium 1.<\/li>
  8. Beg\u00e4randen fr\u00e5n myndigheter.<\/strong> Internt f\u00f6rfarande n\u00e4r en myndighet beg\u00e4r data, och till\u00e4mplig lag f\u00f6r den beg\u00e4ran. Fr\u00e5ga om leverant\u00f6ren \u00e5tar sig att informera kunden, i den m\u00e5n lagen till\u00e5ter det.<\/li>
  9. Reversibilitet.<\/strong> Format, tidsfrist, kostnad och vad som inte g\u00e5r att exportera (chatthistorik, interna regler, loggar). Det s\u00e4kraste \u00e4r att testa en export f\u00f6re undertecknandet.<\/li>
  10. Eventuell kvalificering.<\/strong> Om k\u00f6paren kr\u00e4ver SecNumCloud ska namnet p\u00e5 den kvalificerade tj\u00e4nsten vara det som st\u00e5r i ANSSI:s katalog. Ett erbjudande som drivs p\u00e5 en kvalificerad infrastruktur \u00e4rver inte kvalificeringen. Sedan version 3.2 av sitt regelverk (2022) inneh\u00e5ller SecNumCloud krav p\u00e5 skydd mot utomeuropeisk lagstiftning, som g\u00e4ller huvudkontor, \u00e4garkontroll, lokalisering och personal.<\/li><\/ol>

    Hur kriterierna viktas<\/h3>

    De tio kriterierna v\u00e4ger inte lika tungt f\u00f6r alla k\u00f6pare. F\u00f6r en e-posttj\u00e4nst och en fildelning \u00e4r det i regel kriterierna 1, 3, 4, 5 och 9 som skiljer erbjudandena \u00e5t. Kriterium 10 \u00e4r uteslutande n\u00e4r det kr\u00e4vs och neutralt annars. Best\u00e4m viktningen innan du \u00f6ppnar svaren, inte efter\u00e5t.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Begr\u00e4nsningarna, tydligt uttryckta<\/h2>

    Plats \u00e4r inte detsamma som lagval.<\/strong> Ett datacenter i Frankfurt som drivs av ett amerikanskt bolag \u00e4r fortfarande det bolagets tj\u00e4nst. Den amerikanska CLOUD Act avser data som innehas av en leverant\u00f6r som lyder under amerikansk jurisdiktion, oavsett i vilket land disken st\u00e5r. Se skydda ett f\u00f6retag mot CLOUD Act<\/a> och j\u00e4mf\u00f6relsen europeiskt eller amerikanskt moln<\/a>.<\/p>

    Europeisk r\u00e4tt inneb\u00e4r inte att f\u00f6rel\u00e4gganden uteblir.<\/strong> En fransk, tysk eller nederl\u00e4ndsk domstol kan beordra en operat\u00f6r inom sin jurisdiktion att l\u00e4mna ut data. Skillnaden g\u00e4ller domstolen, f\u00f6rfarandet och m\u00f6jligheterna att \u00f6verklaga. En bed\u00f6mningsmall som gav sken av motsatsen skulle vilseleda k\u00f6paren.<\/p>

    Programvaran och driftsleverant\u00f6ren ska skiljas \u00e5t.<\/strong> Nextcloud ges ut av Nextcloud GmbH i Tyskland. Zimbra ges ut av Synacor i USA. BlueMind \u00e4r ett franskt bolag. I alla tre fallen beror suver\u00e4niteten hos din<\/em> tj\u00e4nst p\u00e5 vem som installerar den, vem som s\u00e4kerhetskopierar den och vem som svarar i telefon. Mjukvaruleverant\u00f6rens nationalitet spelar roll fr\u00e4mst om den har \u00e5tkomst till data: d\u00e5 hanteras den under kriterium 7.<\/p>

    SecNumCloud \u00e4r sn\u00e4vt.<\/strong> Det \u00e4r en kvalificering fr\u00e5n ANSSI, erbjudande f\u00f6r erbjudande, med ett omf\u00e5ng och ett slutdatum. Den kr\u00e4vs ofta f\u00f6r statens k\u00e4nsliga uppgifter. Den \u00e4r oproportionerlig som enda kriterium f\u00f6r ett litet eller medelstort f\u00f6retag som s\u00f6ker en e-posttj\u00e4nst och en fildelning. Den \u00e4r otillr\u00e4cklig om man \u00e5beropar den utan att l\u00e4sa beslutet.<\/p>

    Inget erbjudande t\u00e4cker alla anv\u00e4ndningsomr\u00e5den f\u00f6r Microsoft 365.<\/strong> Avancerad Excel, Power BI, Teams-ekosystemet och branschspecifika till\u00e4gg saknar generella motsvarigheter hos de europeiska operat\u00f6rerna. Suver\u00e4nitetskriteriet avg\u00f6r inte den punkten. Det kommer i till\u00e4gg. Om dessa anv\u00e4ndningsomr\u00e5den \u00e4r centrala kan bed\u00f6mningsmallen leda till att man beh\u00e5ller Microsoft 365 med full insikt: se Microsoft 365 j\u00e4mf\u00f6rt med en suver\u00e4n l\u00f6sning<\/a>.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Hur det skrivs in i en kravspecifikation<\/h2>

    Ers\u00e4tt \u201dsuver\u00e4nt moln\u201d med de tio kriterierna, vart och ett med ett f\u00f6rv\u00e4ntat underlag. Du kan d\u00e5 j\u00e4mf\u00f6ra ett Microsoft-erbjudande med europeisk datagr\u00e4ns, ett Google-erbjudande med dataregion, ett schweiziskt erbjudande som Infomaniak och ett erbjudande som drivs i Frankrike. J\u00e4mf\u00f6relsen blir en granskning av underlag, inte en strid om adjektiv.<\/p>

    Kriterium<\/th>Fr\u00e5ga till anbudsgivaren<\/th>F\u00f6rv\u00e4ntat underlag<\/th><\/tr><\/thead>
    1. Driftsbolag<\/td>Vilket bolag driver tj\u00e4nsten, och vem kontrollerar det?<\/td>Registreringsbevis, koncernschema<\/td><\/tr>
    2. Avtalets lagval<\/td>Vilken lag, vilken domstol?<\/td>Klausul i de allm\u00e4nna villkoren och i personuppgiftsbitr\u00e4desavtalet<\/td><\/tr>
    3 och 4. Omf\u00e5ng och plats<\/td>Vilka datakategorier, i vilka l\u00e4nder?<\/td>Tabell per kategori: inneh\u00e5ll, s\u00e4kerhetskopior, loggar, support<\/td><\/tr>
    5. Administration<\/td>Vem administrerar, varifr\u00e5n, med vilken loggning?<\/td>Beskrivning av teamen och loggningen<\/td><\/tr>
    6. Nycklar<\/td>Vem kan dekryptera, och i vilka fall?<\/td>Beskrivning av krypteringsuppl\u00e4gget<\/td><\/tr>
    7. Underbitr\u00e4den<\/td>Vem f\u00e5r en kopia eller \u00e5tkomst?<\/td>Namngiven f\u00f6rteckning med land<\/td><\/tr>
    8. Myndigheter<\/td>Vad g\u00f6r ni vid en beg\u00e4ran?<\/td>Skriftligt f\u00f6rfarande<\/td><\/tr>
    9. Reversibilitet<\/td>Hur f\u00e5r vi tillbaka allt, och hur l\u00e5ng tid tar det?<\/td>Exportf\u00f6rfarande, format, test<\/td><\/tr>
    10. Kvalificering<\/td>\u00c4r det erbjudna erbjudandet kvalificerat?<\/td>H\u00e4nvisning till ANSSI:s katalog, om det kr\u00e4vs<\/td><\/tr><\/tbody><\/table><\/div>

    Enbart det geografiska kriteriet behandlas i detalj i Vad betyder \u201ddata lagrade i Europa\u201d egentligen<\/a>.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Exempel: ett medelstort tj\u00e4nstef\u00f6retag som upphandlar<\/h2>

    Hypotetiskt fall. Ett medelstort tj\u00e4nstef\u00f6retag byter ut sin e-posttj\u00e4nst och sin fildelning. Den f\u00f6rsta versionen av kravspecifikationen efterfr\u00e5gar \u201den suver\u00e4n molnl\u00f6sning med drift i Europa\u201d. De tre anbudsgivarna svarar ja.<\/p>

    IT-avdelningen skriver om upphandlingen med bed\u00f6mningsmallen. Svaren blir l\u00e4sbara. Den f\u00f6rsta anbudsgivaren har drift i Europa men tillh\u00f6r en koncern som omfattas av amerikansk lag: kriterium 1 uppfylls inte, kriterierna 3 och 4 \u00e4r v\u00e4l dokumenterade. Den andra \u00e4r ett europeiskt bolag men anlitar en underleverant\u00f6r utanf\u00f6r omr\u00e5det f\u00f6r nattsupporten: kriterium 5 beh\u00f6ver f\u00f6rhandlas. Den tredje uppfyller de r\u00e4ttsliga kriterierna men t\u00e4cker inte ett verksamhetsbehov: ledningen m\u00e5ste g\u00f6ra en avv\u00e4gning. Bed\u00f6mningsmallen har inte valt i f\u00f6retagets st\u00e4lle. Den har gjort valet tydligt.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Vanliga misstag<\/h2>