Vem har kontrollen över din infrastruktur?

”Vi vill se till att ingen har en nödstoppsknapp.” Henna Virkkunen, vice ordförande för EU-kommissionens avdelning för teknisk suveränitet, säkerhet och demokrati, uttryckte det tydligt. Det innebär att ingen utländsk regering ska kunna stänga av eller läsa av den infrastruktur som Europa bygger på. Detta är inte en varning om en avlägsen framtid.

Det är en beskrivning av nutiden.

 

Det ögonblick då det blev verklighet

År 2025 förlorade chefsåklagaren vid Internationella brottmålsdomstolen tillfälligt tillgången till sitt Microsoft-e-postkonto till följd av amerikanska sanktioner. En enda extern leverantör, en utländsk jurisdiktion och en internationell institution drabbades av driftsstörningar.

Detta är inte ett isolerat fall. Barometern för digital suveränitet inom offentlig IT från Next:Public (december 2025, endast tillgänglig på tyska) visar att 65 % av de tillfrågade myndigheterna upplever ett starkt eller mycket starkt beroende av icke-europeiska IT-leverantörer. Bland kommunerna ligger siffran på 70 %. Två tredjedelar bedömer sina möjligheter att byta leverantör som oflexibla eller mycket oflexibla. En nödavstängningsknapp finns, men den ligger helt enkelt utanför deras kontroll.

 

Europa drar sina slutsatser

De mönster som har framträtt under de senaste månaderna kan inte längre betraktas som en tillfällighet, utan tyder på något mer avsiktligt. Microsoft medgav under ed inför den franska senaten att det inte går att utesluta att amerikanska myndigheter får tillgång till data, även när dessa data fysiskt lagras i Europa. Frankrike har börjat fasa ut amerikansk programvara från 2,5 miljoner arbetsplatser. Europaparlamentet röstade i enlighet med detta, med 471 röster mot 68. Och nu utarbetar kommissionen de tillhörande reglerna.

I paketet om teknisk suveränitet definieras för första gången fyra nivåer av molnsuveränitet. På de högsta nivåerna måste en leverantör styras inifrån EU, ha full kontroll över leveranskedjan och inte tillåta åtkomst från tredjeländer. De som inte uppfyller dessa krav ska uteslutas från de mest känsliga offentliga upphandlingskontrakten: hälsouppgifter, finansiella uppgifter och rättsliga uppgifter.

 

Vad digital suveränitet egentligen innebär

I BMDS definieras digital suveränitet inom den offentliga förvaltningen som ”individers och institutioners förmåga och möjligheter att utöva sina roller i den digitala världen på ett självständigt, självbestämt och säkert sätt”. Syftet är att säkerställa statens handlingsförmåga.

I praktiken tenderar digital suveränitet att reduceras till en enda fråga: var lagras uppgifterna? Det är en förståelig utgångspunkt, men den räcker inte till.

Datasuveränitet är viktigt. Men att lagra data i Europa innebär inte automatiskt att en lösning är suverän i någon meningsfull bemärkelse. Om administration, support, nyckelhantering, drift, proprietära gränssnitt eller beroende av leverantörer inte har granskats noggrant kan betydande sårbarheter kvarstå – oavsett var data fysiskt lagras.

Här är ett exempel: ”Hostad i Europa” låter övertygande. Men platsen i sig säger ingenting om vem som juridiskt eller tekniskt sett har tillgång till data och system. Särskilt när det gäller leverantörer som lyder under icke-europeiska rättsordningar måste man undersöka om den offentliga institutionen verkligen behåller kontrollen över data, system, metadata, nycklar och operativa processer.

 

Varför digital suveränitet inte kan uppnås genom en enda produkt

För många offentliga institutioner börjar processen med valet av teknik. Det är ofta just där det går snett.

Den viktigaste frågan man bör ställa sig först är: vilka är de faktiska kraven – för institutionen i sig, för det specifika användningsområdet och för de data som berörs?

För offentliga institutioner är den nödvändiga skyddsnivån en central utgångspunkt. BSI:s metod för IT-Grundschutz utgår från frågan om vilka skador som kan uppstå om konfidentialiteten, integriteten eller tillgängligheten hos information, applikationer eller IT-system äventyras.

I detta syfte anger BSI tre skyddskategorier: normal, hög och mycket hög.

• Under normala förhållanden är eventuella skador begränsade till omfattningen och kan i regel hanteras.
• På övergripande nivå blir de potentiella konsekvenserna betydligt allvarligare.
• På en mycket övergripande nivå kan det nå en omfattning som är existentiellt hotande eller katastrofal.

Det avgörande är att skyddsnivån avgör arkitekturen, inte tvärtom.

Alla applikationer behöver inte säkras enligt de strängaste kraven. Samtidigt får särskilt känslig kommunikation, kritiska data eller centrala administrativa funktioner inte hanteras med en standardlösning.

Digital suveränitet handlar alltså inte om ett enskilt beslut – den är ett resultat av hur arkitektur, integration och implementering samverkar. Röst-, video- och meddelandetjänster, plattformar för samordnad kommunikation (UC), nätverk, säkerhet, identitetshantering och befintliga system måste alla betraktas som en helhet. Inget enskilt verktyg kan lösa detta på egen hand.

 

Vilken roll spelar infrastrukturen?

En lokal infrastruktur är inte automatiskt mer suverän än alla molnlösningar. Det kan dock vara den avgörande faktorn när det gäller särskilt känslig data, kommunikationskanaler eller operativa processer.

För offentliga institutioner kan det vara värt att överväga lokal eller specialanpassad infrastruktur när:

• Kommunikationsdata och metadata måste stanna inom fastställda miljöer
• Systemen måste förbli tillgängliga även om den externa anslutningen avbryts eller begränsas
• Administration och drift måste hållas tydligt åtskilda
• Det finns särskilda krav när det gäller sekretessbelagd information, tillgänglighet eller spårbarhet

Valet av driftsmodell måste alltså vara väl genomtänkt. En verkligt självständig arkitektur kan bygga på en kombination av lokala lösningar, hybridlösningar, privata moln och publika moln – det finns inget enda rätt svar.

Det viktiga är inte vilken benämning en lösning har, utan om dataflöden, åtkomsträttigheter, operativa processer, gränssnitt och utgångsalternativ regleras på ett öppet och tydligt sätt.

 

Varför är europeisk teknik och öppen källkod viktiga?

Europeisk teknik kan bidra till att minska det rättsliga och operativa beroendet – men den är inte ett mål i sig. En lösning blir inte automatiskt självständig bara för att den kommer från Europa.

Det viktiga är om tekniken verkligen är ändamålsenlig, om den kan integreras på ett säkert sätt i befintliga miljöer och om den kan upprätthållas och vidareutvecklas på lång sikt.

Öppen källkod är en central byggsten i detta sammanhang – inte av ideologiska skäl, utan av praktiska skäl:

• Öppen källkod främjar öppenhet och möjliggör oberoende granskning.
• Öppna standarder förbättrar kompatibiliteten mellan olika system.
• Modulära lösningar minskar beroendet av en enskild leverantör.
• Lösningarna blir enklare att anpassa och återanvända.
• Att byta till ett alternativ är fortfarande ett realistiskt alternativ.

Med detta sagt är öppen källkod ett viktigt verktyg, inte en färdig strategi för suveränitet. Den får först verklig betydelse när applikationerna är säkert integrerade, väl dokumenterade, drivs på ett tillförlitligt sätt och verkligen är inbäddade i befintliga arbetsflöden.

För offentliga institutioner handlar det inte om ett antingen-eller-val mellan öppen källkod och proprietära lösningar. Det som behövs är en arkitektur som förenar öppenhet, interoperabilitet, säkerhet och den praktiska friheten att byta leverantör när det behövs.

 

Varför räcker inte tekniken i sig?

En aspekt som ofta förbises är förvånansvärt enkel: vem har egentligen behörighet till dessa system?

I säkerhetskänsliga projekt kan diskussionen inte begränsas till programvara, hårdvara eller molnlösningar. Den måste även omfatta vem som beviljas åtkomst – till system, data, operativa processer och administrativa funktioner.

Om projektets krav så kräver kan personal som har säkerhetsprövats enligt lagen om säkerhetsprövning (SÜG) sättas in. I känsliga miljöer är detta inte bara en fotnot – det är en central del av varje seriöst genomförandekoncept.

Teknik, arkitektur och människor måste samverka. Utan denna samverkan förblir suveräniteten precis där den är lättast att lämna den: på papperet.

 

Hur bör offentliga institutioner hantera digital suveränitet i praktiken?

Det första steget är inte att välja produkt, utan att göra en tydlig behovsanalys.

I synnerhet bör offentliga institutioner klargöra följande:

1. Vilka data- och kommunikationsprocesser är kritiska? All information kräver inte samma skydd och driftsmodell.
2. Vilka system finns redan på plats? Man måste ta hänsyn till befintliga lösningar för telefoni, samarbete, video, nätverk och säkerhet.
3. Vilka beroenden finns idag? Detta omfattar leverantörer, plattformar, gränssnitt, dataformat, supportprocesser och licensmodeller.
4. Vilka driftsmodeller är tillåtna och rimliga? Valet mellan lokala lösningar , hybridlösningar, privata moln, publika moln eller arkitekturer med luftspalt måste baseras på kraven.
5. Vilka tekniker är verkligen lämpliga? Här är det viktigt att vara leverantörsoberoende . Annars bestäms arkitekturen för tidigt av en enda produkt.
6. Hur kan valfriheten och handlingsutrymmet bevaras? Öppna standarder, dokumenterade gränssnitt och realistiska migreringsscenarier måste ingå i planeringen redan från början.

Denna strategi undviker två vanliga misstag: att betrakta suveränitet enbart som en fråga om regelefterlevnad eller att försöka lösa den genom att köpa in en enda plattform. I praktiken krävs båda delarna: en tydlig behovsanalys och förmågan att på den grunden bygga upp en hållbar kommunikations- och nätverksinfrastruktur. Det är just här Damovo kommer in i bilden.

 

Hur bidrar Damovo till genomförandet av digital suveränitet?

Damovo är en leverantörsoberoende konsult- och integrationspartner inom kommunikations- och nätverksinfrastruktur för den offentliga sektorn.

Vår uppgift är inte att marknadsföra en enskild teknik som ”suverän”. Vi utvärderar behoven, rekommenderar lämpliga tekniker och integrerar dessa i en säker, användarvänlig och långsiktigt hanterbar helhetsarkitektur.

Mer specifikt hjälper vi offentliga institutioner med:

• bedömningen av rättsliga, organisatoriska och tekniska krav
• klassificering av skyddskrav, kommunikationsbehov och driftsmodeller
• urvalet av lämplig europeisk teknik, program med öppen källkod och partnerlösningar
• integrationen av röst, video, UC, meddelandetjänster, nätverk och säkerhet
• implementering av lokala lösningar, hybridlösningar, privata moln och, vid behov, arkitekturer med fysisk isolering
• insättning av säkerhetskontrollerad personal enligt SÜG när kraven så kräver
• minskad beroendegrad genom öppen källkod och möjligheter att byta leverantör.

Målet är inte maximal isolering. Det är förmågan att agera.

 

Digital suveränitet är inte längre något valfritt

Digital suveränitet bygger inte på en enskild produkt, en viss molnplats eller ett enskilt tekniskt beslut som fattas isolerat. Den uppstår när offentliga institutioner har en tydlig förståelse för sina egna behov, medvetet arbetar för att minska beroenden och bygger upp sin kommunikations- och nätverksinfrastruktur på ett sätt som säkerställer att den förblir säker, öppen, kompatibel och styrbar på lång sikt.

I slutändan handlar det inte om enskilda byggstenar. Det handlar om att behålla handlingsförmågan. Digital suveränitet är därför inte något valfritt. Det är den grund som allt annat vilar på.