Mere end privatliv: tilgængelighed, afhængighed og omkostninger

Modul 1: Hvorfor en europæisk cloud? · Læsetid: 11 minutter

Læringsmål: Efter denne lektion kan du forklare, at digital suverænitet også handler om tilgængelighed, afhængighed og kontrol, du kender de nye europæiske overflytningsrettigheder fra Data Act, og du kan afveje risiciene i din egen situation.

Kernebegreber: digital suverænitet, tilgængelighedsrisiko, sanktioner, ensidig ændring af vilkår, leverandørafhængighed (vendor lock-in), koncentrationsrisiko, EU Data Act, overflytningsret, overflytningsomkostninger, NIS2, afvejning (sandsynlighed og konsekvens)

Suverænitet er mere end "hvem kan læse med"

De foregående lektioner handlede om fortrolighed: hvem der kan se dine data. Men der er to andre spørgsmål, som er mindst lige så vigtige for en organisation:

1. Kan du komme til dem, når du har brug for dem? (tilgængelighed)
2. Kan du selv bestemme, også når udbyderen vil noget andet? (kontrol)

Tilsammen kaldes det digital suverænitet: i hvilken grad du (eller dit land, eller Europa) selv beholder kontrollen over dine digitale data og tjenester. Ordet lyder stort, men for Bakkerij De Korrel er det meget praktisk: hvis Sanne mandag morgen klokken seks ikke kan åbne køreruterne, står tolv mennesker og venter.

Dette er en forklaring, ikke juridisk rådgivning.

Risiko 1: din konto kan blive lukket

En cloudtjeneste kan begrænse eller lukke din adgang. Som regel af almindelige grunde: en ubetalt faktura, mistanke om misbrug, et automatisk system der vurderer noget forkert. Enhver, der har haft en blokeret konto hos en stor tjeneste, ved hvor svært det er at få fat på et menneske dér.

Der findes også en geopolitisk variant. En virksomhed skal overholde sanktionerne fra det land, den hører under. I februar 2025 pålagde den amerikanske regering sanktioner mod anklageren ved Den Internationale Straffedomstol (ICC) i Haag. I maj 2025 meldte nyhedsbureauet AP, at han ikke længere havde adgang til sin arbejdsmail hos Microsoft. Microsoft har erklæret, at det aldrig har stoppet sine tjenester for ICC; ifølge senere omtale var det ICC selv, der under pres fra sanktionerne ikke længere frigav postkassen. Hvordan det præcis foregik, er stadig til diskussion. Men eksemplet viser, at tilgængeligheden af en tjeneste afhænger af politikken i udbyderens land, ikke kun af teknikken.

Et bageri rammes ikke let af sanktioner. Pointen er bredere: du er afhængig af regler, du ikke har indflydelse på.

Risiko 2: vilkår og priser ændres ensidigt

Cloudtjenester arbejder med abonnementer og vilkår, som udbyderen kan ændre. Pakker lægges sammen, funktioner flyttes til en dyrere pakke, eller der kommer en ny funktion til (såsom AI), som hæver prisen eller bruger dine data på en anden måde. Som regel har du kun valget: acceptere eller forlade tjenesten. Og at forlade den er svært, når alt dit arbejde ligger der. Det kaldes leverandørafhængighed, på engelsk vendor lock-in (lektion 2.3).

Risiko 3: alt hos én udbyder

Hvis din mail, kalender, filer, chat, adgangskoder og login til andre tjenester ("log ind med Google eller Microsoft") ligger hos én udbyder, er én driftsforstyrrelse, én blokeret konto eller én hacket adgangskode nok til at miste alt på én gang. Det kaldes koncentrationsrisiko. Det gælder for enhver udbyder, også en europæisk. Spredning og en egen backup (modul 8) hjælper.

Det samme gør sig gældende på nationalt niveau. I Nederlandene opstod der i 2025 og 2026 diskussion om Solvinity, virksomheden der leverer infrastruktur til DigiD og MijnOverheid. Det amerikanske Kyndryl ønskede at overtage virksomheden. Efter rådgivning fra Bureau Toetsing Investeringen forbød statssekretæren i maj 2026 overtagelsen for at beskytte offentlighedens interesser; en af bekymringerne var, at den amerikanske regering via CLOUD Act kunne få adgang. Eksemplet viser, at også ejeren af en europæisk udbyder kan skifte. En europæisk tjeneste i dag kan i morgen have et amerikansk moderselskab. Derfor hører en exitplan (lektion 8.2) til enhver beslutning.

Nye europæiske regler: Data Act

EU har lavet regler for at gøre det lettere at skifte mellem cloudtjenester, i Data Act (forordning (EU) 2023/2854). Forordningen har gjaldt siden den 12. september 2025. For cloudtjenester (loven siger "databehandlingstjenester") står reglerne i kapitel VI (artikel 23 til og med 31). Kort fortalt:

• En udbyder må ikke forhindre dig i at skifte til en anden udbyder eller til egne servere, og skal medvirke til det.
• Kontrakten skal blandt andet tillade en opsigelsesfrist på højst to måneder, en overgangsperiode på i princippet højst tredive dage, og en periode på mindst tredive dage til at hente dine data.
• Udbydere skal på forhånd være tydelige om omkostninger.
• Overflytningsomkostninger, herunder omkostningerne ved at sende dine data væk (egress), måtte fra starten kun opkræves til kostpris, og bortfalder helt fra 12. januar 2027 (artikel 29). Almindelige abonnementsomkostninger og gebyrer for at opsige en kontrakt med en fast løbetid før tid er fortsat tilladt.

Det hjælper, men det løser ikke alt. Loven siger, at du må tage dine data med, ikke at de fungerer præcis ens hos den nye tjeneste. At tage et Google-dokument eller en Teams-chathistorik med til et andet miljø er stadig besværligt (modul 5, 6 og 7).

NIS2 i ét afsnit

Det europæiske NIS2-direktiv (direktiv (EU) 2022/2555) forpligter mellemstore og store organisationer i vigtige sektorer til at have styr på deres cybersikkerhed og deres leverandørers. Et lille bageri er ikke omfattet, men en leverandør til en sådan organisation kan godt få spørgsmål om sine egne cloudtjenester. NIS2 siger ikke noget om europæisk eller ikke-europæisk, men siger, at du skal kende risiciene i din forsyningskæde.

Afvejning: ikke alt er lige vigtigt

Du behøver ikke flytte alt i morgen. En nøgtern afvejning pr. del hjælper. For hver risiko kigger du på sandsynligheden for, at den indtræffer, og konsekvensen, hvis den gør:

En sådan tabel viser, hvor du starter. Personalemappen er lille og følsom: hurtig at flytte med stor gevinst. Mailen er vigtig, men kræver en omhyggelig plan (modul 4). Chathistorikken tager du måske ikke med, men du arkiverer den.

Ærlig modvægt: de store amerikanske tjenester er pålidelige, teknisk stærke og velkendte for dine medarbejdere. Et skifte koster tid og tilvænning. Spørgsmålet er ikke "rigtigt eller forkert", men hvilke risici du bevidst accepterer.

I praksis: sådan ser det ud hos en udbyder

Spørg hos enhver udbyder, også en europæisk: hvordan henter jeg mine data ud, i hvilke formater, og hvor længe efter opsigelse kan jeg stadig komme til dem? Hos WebOké står der for eksempel i Nextcloud-vejledningen, hvordan du flytter data mellem Nextcloud-installationer, og Nextcloud arbejder med åbne standarder som WebDAV, CalDAV og CardDAV, så du også kan skifte til en anden udbyder. Andre udbydere har tilsvarende eksportfunktioner; tjek om de fungerer uden hjælp fra support.

Opsummering

• Digital suverænitet handler om fortrolighed, tilgængelighed og kontrol.
• En konto kan lukkes på grund af en fejl, en betaling eller sanktioner; ICC-sagen (2025) viser, at politik spiller ind.
• Vilkår og priser kan ændres ensidigt; alt hos én udbyder giver koncentrationsrisiko.
• Data Act (gældende siden 12. september 2025) giver overflytningsrettigheder; overflytningsomkostninger bortfalder fra 12. januar 2027.
• Afvej sandsynlighed og konsekvens for hver del, og start, hvor gevinsten er størst.

Quiz

Opgave

Opgave A1.5: Din egen risikovurdering. Udfyld for din egen organisation for hver del (mail, kalender, kontakter, filer, dokumenter, chat, adgangskoder, backup) hvor fortrolig den er, hvor slemt udfald er, og hvor svært det er at forlade tjenesten. Programmet kontrollerer, om din vurdering er komplet og konsekvent, og sætter delene i rækkefølge.

Opgave E1.5: Din afvejning i fem sætninger. Skriv ned hvorfor din organisation vil eller ikke vil (delvist) skifte, hvilke risici du bevidst accepterer, og hvad det vigtigste argument er for dine kolleger.

Læs mere

Trinnene i disse artikler gælder for WebOkés tjenester; hos andre udbydere fungerer det tilsvarende.

• Nextcloud-vejledning 1.1: Hvad er Nextcloud, og hvad er en WebOké Nextcloud?
• Nextcloud-vejledning 13.1: Forberedelse: hvad tager du med, og i hvilken rækkefølge
• Nextcloud-vejledning 6.6: Backup hos WebOké: hvad vi gemmer, og hvad du selv kan gøre
• Forordning (EU) 2023/2854 (Data Act), kapitel VI, artikel 23 til og med 31, på EUR-Lex
• Direktiv (EU) 2022/2555 (NIS2), på EUR-Lex