Modul 1 · 1.5
Mer enn personvern: tilgjengelighet, avhengighet og kostnader
Modul 1: Hvorfor en europeisk sky? · Lesetid: 11 minutter
Læringsmål: Etter denne leksjonen kan du forklare at digital suverenitet også handler om tilgjengelighet, avhengighet og kontroll, du kjenner de nye europeiske overstigsrettighetene fra Data Act, og du kan vurdere risikoene i din egen situasjon.
Nøkkelbegreper: digital suverenitet, tilgjengelighetsrisiko, sanksjoner, ensidig endring av vilkår, leverandøravhengighet (vendor lock-in), konsentrasjonsrisiko, EU Data Act, overstigsrett, overstigskostnader, NIS2, vurdering (sannsynlighet og konsekvens)
Suverenitet er mer enn "hvem kan lese med"
De forrige leksjonene handlet om konfidensialitet: hvem som kan se dataene dine. Men det finnes to spørsmål til som er minst like viktige for en organisasjon:
- Får du tilgang når du trenger det? (tilgjengelighet)
- Kan du selv bestemme, selv om leverandøren vil noe annet? (kontroll)
Sammen kalles dette digital suverenitet: i hvilken grad du (eller landet ditt, eller Europa) selv beholder styringen over egne digitale data og tjenester. Ordet høres stort ut, men for Bakkerij De Korrel er det helt konkret: hvis Sanne mandag morgen klokken seks ikke får åpnet leveringsrutene, står det tolv mennesker og venter.
Dette er en forklaring, ikke juridisk rådgivning.
Risiko 1: kontoen din kan bli stengt
En skytjeneste kan begrense eller stenge tilgangen din. Som regel av vanlige grunner: en ubetalt faktura, mistanke om misbruk, et automatisk system som feilvurderer noe. De som har hatt en sperret konto hos en stor tjeneste, vet hvor vanskelig det er å få snakke med et menneske der.
Det finnes også en geopolitisk variant. En bedrift må følge sanksjonene fra landet den hører under. I februar 2025 innførte den amerikanske regjeringen sanksjoner mot sjefsanklageren ved Den internasjonale straffedomstolen (ICC) i Haag. I mai 2025 meldte nyhetsbyrået AP at han ikke lenger hadde tilgang til jobb-e-posten sin hos Microsoft. Microsoft har uttalt at de aldri har stengt tjenestene sine for ICC; ifølge senere rapporter var det ICC selv som, under press fra sanksjonene, sluttet å gi tilgang til postboksen. Hvordan det egentlig foregikk, er fortsatt omdiskutert. Men eksemplet viser at tilgjengeligheten til en tjeneste avhenger av politikken i leverandørens hjemland, ikke bare av teknikken.
Et bakeri blir ikke lett rammet av sanksjoner. Poenget er bredere: du er avhengig av regler du ikke har innflytelse på.
Risiko 2: vilkår og priser endres ensidig
Skytjenester fungerer med abonnementer og generelle vilkår som leverandøren kan endre. Pakker slås sammen, funksjoner flyttes til en dyrere pakke, eller det kommer en ny funksjon (som KI) som øker prisen eller bruker dataene dine annerledes. Som regel har du bare to valg: akseptere eller forlate tjenesten. Og å forlate er vanskelig når alt arbeidet ditt ligger der. Dette kalles leverandøravhengighet, på engelsk vendor lock-in (leksjon 2.3).
Risiko 3: alt hos én leverandør
Hvis du har e-post, kalender, filer, chat, passord og innlogging til andre tjenester ("logg inn med Google eller Microsoft") hos én leverandør, er det nok med ett avbrudd, én sperret konto eller ett hacket passord for å miste alt samtidig. Dette kalles konsentrasjonsrisiko. Dette gjelder for enhver leverandør, også en europeisk. Spredning og egen sikkerhetskopi (modul 8) hjelper.
Det samme gjelder på nasjonalt nivå. I Nederland oppstod det i 2025 og 2026 diskusjon om Solvinity, selskapet som leverer infrastruktur for DigiD og MijnOverheid. Det amerikanske selskapet Kyndryl ønsket å overta det. Etter råd fra Bureau Toetsing Investeringen forbød statssekretæren i mai 2026 overtakelsen, for å beskytte offentlige interesser; en av bekymringene var at amerikanske myndigheter via CLOUD Act kunne få tilgang. Eksemplet viser at også eieren av en europeisk leverandør kan endre seg. En europeisk tjeneste i dag kan ha et amerikansk morselskap i morgen. Derfor hører en exit-plan (leksjon 8.2) med i ethvert valg.
Nye europeiske regler: Data Act
EU har laget regler for å gjøre det enklere å bytte mellom skytjenester, i Data Act (forordning (EU) 2023/2854). Forordningen gjelder fra 12. september 2025. For skytjenester (loven sier "databehandlingstjenester") står reglene i kapittel VI (artikkel 23 til og med 31). Kort fortalt:
- En leverandør kan ikke hindre deg i å bytte til en annen leverandør eller til egne servere, og må medvirke til dette.
- Kontrakten må blant annet tillate en oppsigelsestid på høyst to måneder, en overgangsperiode på i prinsippet høyst tretti dager, og en periode på minst tretti dager for å hente ut dataene dine.
- Leverandører må være tydelige om kostnader på forhånd.
- Overstigskostnader, inkludert kostnadene ved å sende ut dataene dine (egress), kunne fra starten bare belastes til kostpris, og faller helt bort fra 12. januar 2027 (artikkel 29). Vanlige abonnementskostnader og bøter for tidlig oppsigelse av en kontrakt med fast løpetid er fortsatt tillatt.
Dette hjelper, men løser ikke alt. Loven sier at du har rett til å ta med deg dataene dine, ikke at de fungerer nøyaktig likt hos den nye tjenesten. Å ta med et Google-dokument eller en Teams-chattelogg til et annet miljø er fortsatt vanskelig (modul 5, 6 og 7).
NIS2 i ett avsnitt
Det europeiske NIS2-direktivet (direktiv (EU) 2022/2555) forplikter mellomstore og store organisasjoner i viktige sektorer til å ha orden på cybersikkerheten sin og hos sine leverandører. Et lite bakeri omfattes ikke av dette, men en leverandør til en slik organisasjon kan godt få spørsmål om sine egne skytjenester. NIS2 sier ingenting om europeisk eller ikke-europeisk, men sier at du må kjenne risikoene i kjeden din.
Vurdering: ikke alt er like viktig
Du trenger ikke flytte alt i morgen. En nøktern vurdering per del hjelper. For hver risiko ser du på sannsynligheten for at det skjer og konsekvensen hvis det skjer:
| Del hos De Korrel | Konfidensielt? | Hvor alvorlig hvis det er borte en dag? | Hvor vanskelig å flytte ut? |
|---|---|---|---|
| E-post med kundebestillinger | Middels (personopplysninger) | Stor | Middels |
| Personalmappe med sykmeldinger | Høy (helseopplysninger) | Liten | Liten |
| Kalender for leveringsruter | Lav | Stor | Liten |
| Oppskrifter og tilbud | Middels (forretningshemmelighet) | Middels | Middels (egne formater) |
| Chat med ansatte | Lav | Middels | Stor (loggen følger ikke med) |
En slik tabell viser deg hvor du bør begynne. Personalmappen er liten og sensitiv: raskt å flytte med stor gevinst. E-posten er viktig, men krever en grundig plan (modul 4). Chatteloggen tar du kanskje ikke med, men du arkiverer den.
Et ærlig motargument: de store amerikanske tjenestene er pålitelige, teknisk sterke og kjente for de ansatte. Et bytte koster tid og tilvenning. Spørsmålet er ikke "riktig eller galt", men hvilke risikoer du bevisst aksepterer.
I praksis: slik ser det ut hos en leverandør
Spør hver leverandør, også en europeisk: hvordan henter jeg ut dataene mine, i hvilke formater, og hvor lenge etter oppsigelse har jeg fortsatt tilgang? Hos WebOké står det for eksempel i Nextcloud-veiledningen hvordan du flytter data mellom Nextcloud-installasjoner, og Nextcloud bruker åpne standarder som WebDAV, CalDAV og CardDAV, slik at du også kan bytte til en annen leverandør. Andre leverandører har tilsvarende eksportfunksjoner; sjekk om de fungerer uten hjelp fra support.
Oppsummering
- Digital suverenitet handler om konfidensialitet, tilgjengelighet og kontroll.
- En konto kan bli stengt, på grunn av en feil, en betaling eller sanksjoner; ICC-saken (2025) viser at politikk spiller inn.
- Vilkår og priser kan endres ensidig; alt hos én leverandør gir konsentrasjonsrisiko.
- Data Act (gjeldende fra 12. september 2025) gir overstigsrettigheter; overstigskostnader faller bort fra 12. januar 2027.
- Vurder sannsynlighet og konsekvens per del, og begynn der gevinsten er størst.
Quiz
Oppgave
Oppgave A1.5: Din egen risikovekting. Fyll inn for din egen organisasjon, per del (e-post, kalender, kontakter, filer, dokumenter, chat, passord, sikkerhetskopier), hvor konfidensielt det er, hvor alvorlig et avbrudd er og hvor vanskelig det er å flytte ut. Programmet kontrollerer om vurderingen din er fullstendig og konsistent, og setter delene i rekkefølge.
Oppgave E1.5: Din vurdering i fem setninger. Skriv ned hvorfor organisasjonen din (helt eller delvis) ønsker å bytte eller ikke, hvilke risikoer du bevisst aksepterer, og hva det viktigste argumentet er for kollegene dine.
Oppgave E1.5: Din vurdering i fem setninger
Formuler vurderingen din i fem setninger. Leksjon 9.1 kommer tilbake til dette: ta vare på svarene dine.
Avkrysningene og notatene dine blir kun i denne nettleseren; vi sender dem ikke noe sted. Er du logget inn, lagrer vi kun i Mine kurs at du har gjort oppgaven.
Videre lesning
Stegene i disse artiklene gjelder for tjenestene til WebOké; hos andre leverandører fungerer det på lignende måte.
- Nextcloud-veiledning 1.1: Hva er Nextcloud og hva er en WebOké Nextcloud?
- Nextcloud-veiledning 13.1: Forberedelser: hva tar du med, og i hvilken rekkefølge
- Nextcloud-veiledning 6.6: Sikkerhetskopier hos WebOké: hva vi tar vare på og hva du selv kan gjøre
- Forordning (EU) 2023/2854 (Data Act), kapittel VI, artikkel 23 til og med 31, på EUR-Lex
- Direktiv (EU) 2022/2555 (NIS2), på EUR-Lex