Mer än integritet: tillgänglighet, beroende och kostnader

Modul 1: Varför ett europeiskt moln? · Lästid: 11 minuter

Lärandemål: Efter denna lektion kan du förklara att digital suveränitet också handlar om tillgänglighet, beroende och inflytande, du känner till de nya europeiska bytesrättigheterna i Data Act, och du kan väga riskerna i din egen situation.

Nyckelbegrepp: digital suveränitet, tillgänglighetsrisk, sanktioner, ensidig ändring av villkor, leverantörsberoende (vendor lock-in), koncentrationsrisk, EU Data Act, bytesrätt, byteskostnader, NIS2, avvägning (sannolikhet och konsekvens)

Suveränitet är mer än "vem kan läsa med"

De tidigare lektionerna handlade om konfidentialitet: vem som kan ta del av dina uppgifter. Men det finns två frågor till som är minst lika viktiga för en organisation:

1. Kommer du åt dina uppgifter när du behöver dem? (tillgänglighet)
2. Kan du själv bestämma, även om leverantören vill något annat? (inflytande)

Tillsammans kallas det digital suveränitet: i vilken grad du (eller ditt land, eller Europa) själv behåller kontrollen över dina digitala uppgifter och tjänster. Ordet låter stort, men för Bakkerij De Korrel är det högst konkret: om Sanne inte kan öppna leveransrutterna klockan sex på måndagmorgonen står tolv personer och väntar.

Detta är en förklaring, inte juridisk rådgivning.

Risk 1: ditt konto kan stängas

En molntjänst kan begränsa eller stänga av din åtkomst. Oftast av vanliga skäl: en obetald faktura, en misstänkt felanvändning, ett automatiskt system som bedömer något fel. Den som någon gång haft ett blockerat konto hos en stor tjänst vet hur svårt det är att få tag på en människa att prata med.

Det finns också en geopolitisk variant. Ett företag måste följa de sanktioner som gäller i det land det lyder under. I februari 2025 belade den amerikanska regeringen Internationella brottmålsdomstolens (ICC) chefsåklagare i Haag med sanktioner. I maj 2025 rapporterade nyhetsbyrån AP att han inte längre hade tillgång till sin arbetsmejl hos Microsoft. Microsoft har förklarat att man aldrig stängt av sina tjänster till ICC; enligt senare uppgifter var det ICC självt som, under press från sanktionerna, slutade frige mejlkontot. Exakt hur det gick till diskuteras fortfarande. Men exemplet visar att tillgängligheten hos en tjänst beror på leverantörslandets politik, inte bara på tekniken.

Ett bageri drabbas inte lätt av sanktioner. Poängen är bredare: du är beroende av regler du inte har något inflytande över.

Risk 2: villkor och priser ändras ensidigt

Molntjänster arbetar med abonnemang och allmänna villkor som leverantören kan ändra. Paket slås ihop, funktioner flyttas till ett dyrare paket, eller en ny funktion (som AI) tillkommer som höjer priset eller använder dina uppgifter på ett annat sätt. Oftast kan du bara välja: acceptera eller lämna. Och att lämna är svårt om allt ditt arbete finns där. Det kallas leverantörsberoende, på engelska vendor lock-in (lektion 2.3).

Risk 3: allt hos en enda part

Om din mejl, kalender, filer, chatt, lösenord och inloggning till andra tjänster ("logga in med Google eller Microsoft") finns hos en enda leverantör räcker det med ett driftstopp, ett blockerat konto eller ett hackat lösenord för att förlora allt samtidigt. Det kallas koncentrationsrisk. Det gäller för alla leverantörer, även en europeisk. Spridning och en egen backup (modul 8) hjälper.

Samma sak gäller på nationell nivå. I Nederländerna uppstod 2025 och 2026 en diskussion om Solvinity, det företag som levererar infrastruktur till DigiD och MijnOverheid (de nederländska tjänsterna för digital identifiering och myndighetskontakt). Det amerikanska bolaget Kyndryl ville förvärva det. Efter rådgivning från granskningsmyndigheten för investeringar förbjöd statssekreteraren i maj 2026 förvärvet, för att skydda allmänintresset; en av farhågorna var att amerikanska myndigheter via CLOUD Act skulle kunna få tillgång. Exemplet visar att även ägaren till en europeisk leverantör kan förändras. En europeisk tjänst i dag kan ha ett amerikanskt moderbolag i morgon. Därför hör en exitplan (lektion 8.2) ihop med varje val.

Nya europeiska regler: Data Act

EU har tagit fram regler för att göra det enklare att byta mellan molntjänster, i Data Act (förordning (EU) 2023/2854). Förordningen gäller sedan den 12 september 2025. För molntjänster (lagen säger "databehandlingstjänster") finns reglerna i kapitel VI (artikel 23 till och med 31). Kort sammanfattat:

• En leverantör får inte hindra dig från att byta till en annan leverantör eller till egna servrar, och måste medverka till det.
• Avtalet måste bland annat tillåta en uppsägningstid på högst två månader, en övergångsperiod på i princip högst trettio dagar, och en period på minst trettio dagar för att hämta ut dina uppgifter.
• Leverantörer måste vara tydliga med kostnader i förväg.
• Byteskostnader, däribland kostnaden för att skicka ut dina uppgifter (egress), fick från starten bara tas ut till självkostnadspris, och försvinner helt från och med 12 januari 2027 (artikel 29). Vanliga abonnemangskostnader och avgifter för att säga upp ett avtal med bindningstid i förtid är fortfarande tillåtna.

Det hjälper, men löser inte allt. Lagen säger att du får ta med dig dina uppgifter, inte att de fungerar exakt likadant hos den nya tjänsten. Att flytta ett Google-dokument eller en Teams-chatthistorik till en annan miljö är fortfarande krångligt (modul 5, 6 och 7).

NIS2 i korthet

Det europeiska NIS2-direktivet (direktiv (EU) 2022/2555) kräver att medelstora och stora organisationer i viktiga sektorer har ordning på sin cybersäkerhet och på sina leverantörers cybersäkerhet. Ett litet bageri omfattas inte, men en leverantör till en sådan organisation kan få frågor om sina egna molntjänster. NIS2 säger inget om europeiskt eller icke-europeiskt, men väl att du måste känna till riskerna i din kedja.

Avväga: allt är inte lika viktigt

Du behöver inte flytta allt i morgon. En nykter avvägning per del hjälper. För varje risk tittar du på sannolikheten att den inträffar och konsekvensen om den gör det:

En sådan tabell visar var du bör börja. Personalmappen är liten och känslig: snabb att flytta med stor vinst. Mejlen är viktig, men kräver en noggrann plan (modul 4). Chatthistoriken kanske du inte tar med dig, men du arkiverar den.

Ärlig motvikt: de stora amerikanska tjänsterna är pålitliga, tekniskt starka och välkända för dina medarbetare. Ett byte kostar tid och vana. Frågan är inte "rätt eller fel", utan vilka risker du medvetet accepterar.

I praktiken: så ser det ut hos en leverantör

Fråga hos varje leverantör, även en europeisk: hur hämtar jag ut mina uppgifter, i vilka format, och hur länge efter uppsägning kommer jag fortfarande åt dem? Hos WebOké finns till exempel i Nextcloud-manualen beskrivet hur du flyttar uppgifter mellan Nextcloud-installationer, och Nextcloud arbetar med öppna standarder som WebDAV, CalDAV och CardDAV, så att du också kan byta till en annan leverantör. Andra leverantörer har liknande exportfunktioner; kontrollera om de fungerar utan hjälp från support.

Sammanfattning

• Digital suveränitet handlar om konfidentialitet, tillgänglighet och inflytande.
• Ett konto kan stängas, av misstag, en betalning eller sanktioner; ICC-fallet (2025) visar att politik spelar in.
• Villkor och priser kan ändras ensidigt; allt hos en enda part ger koncentrationsrisk.
• Data Act (tillämplig sedan 12 september 2025) ger bytesrättigheter; byteskostnader försvinner från 12 januari 2027.
• Väg sannolikhet och konsekvens för varje del och börja där vinsten är störst.

Quiz

Uppgift

Uppgift A1.5: Din egen riskbedömning. Fyll i för din egen organisation per del (mejl, kalender, kontakter, filer, dokument, chatt, lösenord, backuper) hur konfidentiellt det är, hur allvarligt ett avbrott är och hur svårt det är att lämna. Programmet kontrollerar om din bedömning är fullständig och konsekvent och sätter delarna i en ordning.

Uppgift E1.5: Din avvägning i fem meningar. Skriv ner varför din organisation vill (delvis) byta eller inte, vilka risker du medvetet accepterar och vad det viktigaste argumentet är för dina kollegor.

Läs mer

Stegen i dessa artiklar gäller för WebOkés tjänster; hos andra leverantörer fungerar det på liknande sätt.

• Nextcloud-guide 1.1: Vad är Nextcloud och vad är en WebOké Nextcloud?
• Nextcloud-guide 13.1: Förbered dig: vad tar du med dig och i vilken ordning
• Nextcloud-guide 6.6: Säkerhetskopior hos WebOké: vad vi sparar och vad du kan göra själv
• Förordning (EU) 2023/2854 (Data Act), kapitel VI, artiklarna 23 till och med 31, på EUR-Lex
• Direktiv (EU) 2022/2555 (NIS2), på EUR-Lex