EU har nettopp definert suveren sky, her er vår poengsum

Daniel Melin

Business Development Manager

Denne tekst er automatisk oversat for din bekvemmelighed. Du kan læse teksten på:

20. oktober 2025 publiserte Europakommisjonen en referanse for gradering av europeiske skyer: Cloud Sovereignty Framework.

Inspirert av initiativer fra Frankrike¹, Tyskland² og europeiske reguleringer³, samt internasjonal praksis for eksportkontroll, forsyningskjederesiliens og sikkerhetsrevisjoner, tilbyr dette rammeverket⁴ en ny tilnærming for å objektivere et tema som har vært vanskelig å kvantifisere og sammenligne.

Dette nye rammeverket harmonerer med hvitboken som bransjeinitiativet EuroStack publiserte bare noen uker tidligere, med tittelen ”Et foreslått rammeverk for en «Kjøp europeisk»-forordning om strategiske digitale anskaffelser”⁵.

Åtte kriterier for å måle skyer

Rammeverket definerer åtte mål for skysuverenitet, hver vurdert fra 0 til 4 (SEAL-nivå – Sovereignty Effectiveness Assurance Level). Kriteriene dekker alle sentrale dimensjoner av digital uavhengighet.

Rammeverket omfatter strategiske, juridiske, operasjonelle og miljømessige aspekter, men også åpenhet i forsyningskjeden, teknologisk åpenhet, sikkerhet og etterlevelse av EU-lovgivning.

I bunn og grunn vurderer det hvor dypt en skyleverandør er forankret i det europeiske økosystemet (eierskap, styring, samsvar med EUs prioriteringer), under europeisk jurisdiksjon (minimalt eksponert for ikke‑EU-lov), hvor langt leverandøren kontrollerer sine data og tjenester lokalt, og om driften skjer autonomt uten kritiske avhengigheter utenfor EU. Ytterligere kriterier gjelder forsyningskjeden, teknologistakken, sikkerhet og etterlevelse, samt miljømessig bærekraft i skyoperasjoner.

Bakgrunnen for rammeverket

Europakommisjonen bruker rammeverket til egne anskaffelser av skytjenester. En anbudskonkurranse på €180 million ble utlyst i 2025 for å velge opptil fire leverandører over seks år, som hver oppfyller minimumsnivåer på alle åtte mål. Alle tilbud som ikke oppfyller minimumsnivået for et kriterium, blir automatisk avvist. Tanken er å jevne ut konkurransevilkårene ved å drive markedet mot felles standarder og redusere avhengigheten av ikke‑europeiske tjenester ved å gi beslutningstakere et upartisk sammenligningsverktøy.

Det er et direkte svar på kinesisk og amerikansk maktspill der europeisk lov ikke følges og Europa overvåkes kontinuerlig. Et annet aspekt er at Europas markedsandel i global IT krymper i et bekymringsfullt tempo.

Safesprings egenevaluering basert på rammeverket

Safespring brukte kriteriene i Cloud Sovereignty Framework og gjennomførte en ærlig og transparent egenevaluering for å finne ut hvor suverene vi er i dag og hvor vi kan forbedre oss.

Suverenitetsscore
Safespring oppnår 86.25% ifølge vår egen vurdering av EUs Cloud Sovereignty Framework.

hvordan vi vurderer oss selv

Slik vurderer vi oss selv på tvers av de åtte suverenitetsmålene (SEAL-score fra 0 til 4):

SOV-1 Strategisk suverenitetsscore: 4.
Safespring er 100 % et svensk selskap med kun svensk styring. Vi eies av de ansatte og styret. Vi har ingen avhengighet av ikke‑europeisk kapital, og alle ansatte er europeiske borgere bosatt i EU/EØS. Rettskjennelser fra land utenfor EU/EØS er ikke gyldige overfor oss, og vi driver ikke virksomhet i land utenfor EU/EØS. Teknologistakken vår består av åpen kildekode som ikke kan suspenderes av et annet land eller en leverandør.
SOV-2 Juridisk og jurisdiksjonell suverenitetsscore: 4.
Kun svensk og EU-lov gjelder for våre kontrakter, tjenester og operasjoner. Datasentrene våre ligger i Sverige og Norge. Vi har ingen eksponering mot rettssystemer utenfor EU/EØS. All IPR-skaping skjer innenfor EU/EØS.
SOV-3 Data- og AI-suverenitetsscore: 4
Vi ser ikke, logger ikke og bruker ikke kundenes data på noen måte. Vi bruker kryptering og andre sikkerhetstiltak for å beskytte kundene våre, men de står også fritt til å bruke egen kryptering med nøkler som kun de har tilgang til. Alle data lagres i datasenteret kunden har valgt å bruke og kan ikke eksporteres til land utenfor Sverige og Norge siden vi ikke har datasentre der.
SOV-4 Operasjonell suverenitetsscore: 4
Vi eier, forvalter og kontrollerer hele teknologistakken, fra servermaskinvare til Kubernetes-plattform. Vi minimerer teknologisk avhengighet av ikke‑europeiske leverandører. Denne operasjonelle autonomien gjør det mulig for oss å videreutvikle eller migrere tjenesten ved behov, uten proprietær inlåsing.
SOV-5 Forsynings kjedesuverenitetsscore: 2
Server- og nettverksmaskinvare er umulig å kjøpe uten kinesiske, koreanske og/eller amerikanske komponenter og fastvare. Siden markedet er slik, er vi i stor grad avhengige av maskinvare fra land utenfor EU/EØS. Programvaren vi bruker er åpen kildekode og dermed global. Vi er ikke avhengige av noe selskap eller land for programvarestakken vi bruker. Datasentrene vi bruker, eies og drives av selskaper og ansatte fra EU/EØS.
SOV-6 Teknologisk suverenitetsscore: 3
Vi bruker kun komponenter med åpen kildekode, åpne API-er og åpne protokoller. Hele stakken vår kan teknisk og juridisk tas i bruk hos kunden, der kunden kan videreutvikle stakken uten Safespring. Alle komponenter, arkitektur og avhengigheter er dokumentert og åpne. Vi mangler servermaskinvare, CPU-er, GPU-er og svitsjer fra leverandører i EU/EØS.
SOV-7 Sikkerhets- og etterlevelsessuverenitetsscore: 4
Vi etterlever all relevant svensk og EU-lovgivning som GDPR, NIS2 og OSL. Vi er sertifisert etter FR2000 og svært snart ISO 27001. All sikkerhetsdrift er innenfor EU/EØS. Vi er fullt transparente overfor kundene våre om feil, sikkerhetsbrudd og rettelser. Kundene våre kan revidere datasentrene våre, driften og etterlevelsetiltakene.
SOV-8 Miljømessig bærekraftscore: 4
Alle datasentrene våre har lav PUE, gjenbruker overskuddsvarmen og bruker 100 % grønn elektrisitet. Våre datasenteroperatører kan levere data og sertifiseringer om alle relevante bærekraftsparametere. Vi bruker maskinvaren vår til den ikke lenger kan brukes og resirkulerer den på en ansvarlig måte.

Referanser

Trusted Cloud Referential av CIGREF og ANSSI sin Cloud de Confiance ↩︎
Souveräner Cloud ↩︎
Europeiske reguleringer som ENISA, NIS2 og DORA. ↩︎
Europakommisjonens Cloud Sovereignty Framework ↩︎
EuroStack sin publikasjon, Et foreslått rammeverk for en «Kjøp europeisk»-forordning om strategiske digitale anskaffelser ↩︎