EU har netop defineret den suveræne cloud – her er vores score

Daniel Melin

Business Development Manager

Denne tekst er automatisk oversat for din bekvemmelighed. Du kan læse teksten på:

Den 20. oktober 2025 offentliggjorde Europa-Kommissionen en reference for klassificering af europæiske cloudtjenester: Cloud Sovereignty Framework.

Inspireret af initiativer fra Frankrig¹, Tyskland² og europæisk regulering³ samt internationale praksisser inden for eksportkontrol, forsyningskæderesiliens og sikkerhedsreviderbarhed tilbyder dette rammeværk⁴ en ny tilgang til at gøre et emne mere objektivt, som har været svært at kvantificere og sammenligne.

Dette nye rammeværk flugter med det white paper, som brancheinitiativet EuroStack offentliggjorde blot få uger forinden, med titlen ”A Proposed Framework for a ‘Buy European’ Regulation of Strategic Digital Procurement”⁵.

Otte kriterier til at måle cloudtjenester med

Rammeværket definerer otte mål for cloudsuverænitet, hver bedømt fra 0 til 4 (SEAL-niveauet – Sovereignty Effectiveness Assurance Level). Kriterierne dækker alle nøgleaspekter af digital uafhængighed.

Rammeværket oplister strategiske, juridiske, operationelle og miljømæssige forhold, men også gennemsigtighed i forsyningskæden, teknologisk åbenhed, sikkerhed og overholdelse af EU-lovgivning.

Kort sagt vurderer det, hvor dybt en cloududbyder er indlejret i det europæiske økosystem (ejerskab, governance, tilpasning til EU-prioriteter), under europæisk jurisdiktion (minimalt eksponeret for ikke-EU-lov), hvor langt udbyderen kontrollerer sine data og tjenester lokalt, og om den opererer autonomt uden kritiske afhængigheder uden for EU. Yderligere kriterier vedrører forsyningskæden, teknologistakken, sikkerhed og compliance samt den miljømæssige bæredygtighed af clouddrift.

Begrundelsen bag rammeværket

Europa-Kommissionen bruger rammeværket til sin egen cloudindkøb. Et udbud på €180 millioner blev lanceret i 2025 for at udvælge op til fire udbydere over seks år, som hver opfylder minimumsniveauer på alle otte mål. Ethvert tilbud, der ikke opfylder et minimumsniveau for et kriterium, afvises automatisk. Ideen er at skabe lige vilkår ved at skubbe markedet mod fælles standarder og reducere afhængigheden af ikke-europæiske tjenester ved at give beslutningstagere et upartisk sammenligningsværktøj.

Det er et direkte svar på kinesisk og amerikansk magtspil, hvor europæisk lovgivning ikke følges, og Europa er under løbende overvågning. En anden faktor er, at Europas markedsandel i global IT skrumper i et bekymrende tempo.

Safesprings egenvurdering baseret på rammeværket

Safespring anvendte kriterierne i Cloud Sovereignty Framework og gennemførte en ærlig og transparent selvevaluering for at finde ud af, hvor suveræne vi aktuelt er, og hvor vi kan forbedre os.

Suverænitets-score
Safespring opnår 86.25% ifølge vores egen vurdering af EU's Cloud Sovereignty Framework.

hvordan vi vurderer os selv

Her er, hvordan vi vurderer os selv på tværs af de otte suverænitetsmål (SEAL-score fra 0 til 4):

SOV-1 Strategisk suverænitets-score: 4.
Safespring er 100 % et svensk selskab og med udelukkende svensk governance. Vi er ejet af medarbejderne og bestyrelsen. Vi har ingen afhængighed af ikke-europæisk kapital, og alle medarbejdere er europæiske statsborgere bosat i EU/EØS. Retskendelser fra lande uden for EU/EØS rettet mod os er ikke gyldige, og vi driver ikke forretning i lande uden for EU/EØS. Vores teknologistak består af open source-teknologier, der ikke kan suspenderes af et andet land eller en leverandør.
SOV-2 Juridisk og jurisdiktionel suverænitets-score: 4.
Kun svensk og EU-lovgivning gælder for vores kontrakter, tjenester og drift. Vores datacentre ligger i Sverige og Norge. Vi har ingen eksponering mod retssystemer uden for EU/EØS. Al IPR-skabelse foregår inden for EU/EØS.
SOV-3 Data- og AI-suverenitets-score: 4
Vi ser, logger eller bruger ikke vores kunders data på nogen måde. Vi bruger kryptering og andre sikkerhedsforanstaltninger til at beskytte vores kunder, men de er også frie til at bruge deres egen kryptering med nøgler, som kun de har adgang til. Alle data lagres i det datacenter, kunden har valgt at bruge, og kan ikke eksporteres til lande uden for Sverige og Norge, da vi ikke har datacentre der.
SOV-4 Operationel suverænitets-score: 4
Vi ejer, administrerer og kontrollerer hele vores teknologistak, fra serverhardware til Kubernetes-platform. Vi minimerer teknologisk afhængighed af ikke-europæiske leverandører. Denne operationelle autonomi gør det muligt for os at videreudvikle eller migrere tjenesten om nødvendigt uden proprietær lock-in.
SOV-5 Forsyningskæde suverænitets-score: 2
Server- og netværkshardware er umuligt at købe uden kinesiske, koreanske og/eller amerikanske komponenter og firmware. Da markedet er sådan, er vi i høj grad afhængige af ikke-EU/EØS-hardware. Den software, vi bruger, er open source og derfor global. Vi er ikke afhængige af noget firma eller land for den softwarestak, vi bruger. De datacentre, vi bruger, ejes og drives af virksomheder og personale fra EU/EØS.
SOV-6 Teknologisk suverænitets-score: 3
Vi bruger kun open source-komponenter, åbne API’er og åbne protokoller. Hele vores stak kan teknisk og juridisk implementeres hos kunden, hvor kunden kan videreudvikle stakken uden Safespring. Alle komponenter, arkitektur og afhængigheder er dokumenteret og åbne. Vi mangler serverhardware, CPU’er, GPU’er og switches fra leverandører i EU/EØS.
SOV-7 Sikkerheds- og compliance-suverenitets-score: 4
Vi overholder al relevant svensk og EU-lovgivning som GDPR, NIS2 og OSL. Vi er certificeret i henhold til FR2000 og meget snart ISO 27001. Alle sikkerhedsoperationer foregår inden for EU/EØS. Vi er fuldt transparente over for vores kunder om fejl, sikkerhedsbrud og rettelser. Vores kunder kan auditere vores datacentre, drift og compliance-tiltag.
SOV-8 Miljømæssig bæredygtigheds-score: 4
Alle vores datacentre har lav PUE, genanvender den genererede varme og bruger 100 % grøn elektricitet. Vores datacenteroperatører kan levere data og certificeringer om alle relevante bæredygtighedsparametre. Vi bruger vores hardware, indtil den ikke længere kan bruges, og genanvender den ansvarligt.

Referencer

Trusted Cloud Referential af CIGREF og ANSSI’s Cloud de Confiance ↩︎
Souveräner Cloud ↩︎
Europæisk regulering som ENISA, NIS2 og DORA. ↩︎
Europa-Kommissionens Cloud Sovereignty Framework ↩︎
Eurostacks publikation, Et foreslået rammeværk for en “Køb europæisk”-regulering af strategiske digitale indkøb ↩︎