Digital suverenitet i praksis
Digital suverenitet dreier seg ikke om å være selvforsynt med teknologi, men om å ha muligheten til å ta bevisste teknologivalg og å redusere uakseptable avhengigheter.
Digital suverenitet er ikke et nytt tema, men den geopolitiske utviklingen har gjort spørsmålet både mer presserende og omfattende. Avhengighet til leverandører, lovgivning, kontroll over programvare, personvern og robusthet i kritisk infrastruktur har vært diskutert i mange år. Det som er nytt, er at disse spørsmålene i økende grad ses i sammenheng og utgjør en bredere dagsorden for sikkerhet og beredskap.
Russlands krig mot Ukraina, sabotasje og hybride trusler i Europa, cyberoperasjoner utført av statstilknyttede aktører, usikkerhet i leverandørkjeder og uforutsigbarhet i den globale teknologipolitikken har endret hvordan digitale avhengigheter vurderes. Skytjenester, programvare, kunstig intelligens og digital infrastruktur kan ikke lenger utelukkende ses på som spørsmål om effektivitet, innovasjon og kostnader. De utgjør også en del av Europas strategiske motstandsdyktighet og beredskap.
Utfordringen består i å sikre fortsatt tillit til kritiske digitale tjenester og at disse forblir tilgjengelige og under kontroll i en presset situasjon. For myndigheter, sykehus, nødetater, transportsystemer, telekommunikasjonsnettverk, energisystemer og finansiell infrastruktur er ikke motstandsdyktigheten kun knyttet opp mot cybersikkerhet. Det er også avgjørende hvem som drifter de kritiske systemene, hvilken jurisdiksjon som gjelder, hvordan programvaren vedlikeholdes, om det finnes alternativer, og hvordan tjenestene kan opprettholdes under en krise.
For kritisk infrastruktur er ikke spørsmålet om en avhengighet er formålstjenlig i en normal situasjon. Det avgjørende er om man kan ha tillit til tjenesten og at den kan styres og gjenopprettes under ekstraordinære forhold. Myndigheter og virksomheter er nødt til å forstå hvilke systemer som er kritiske. De må vite hvor avhengighetene finnes, hvem som har privilegert tilgang, hvordan oppdateringer kontrolleres, hvordan hendelser håndteres, og om det finnes en gjennomførbar plan for videre drift.
CADA – Europas svar
Det foreslåtte EU-regelverket for utvikling av skytjenester og kunstig intelligens (Cloud and AI Development Act, CADA) bør ses i lys av denne utviklingen. Regelverket er en del av en bredere europeisk agenda for teknologisk suverenitet, og bygger på erkjennelsen av at sky- og KI-infrastruktur ikke lenger er kun kommersielle tjenester. De er strategiske ressurser som er viktig for å trygge økonomisk sikkerhet, konkurransekraft og samfunnsmessig motstandsdyktighet.
Cloud and AI Development Act (CADA) er Europakommisjonens forslag til nytt rammeverk for å styrke Europas økosystem for skytjenester og kunstig intelligens. Forslaget ble lagt fram i mai 2026 og skal nå behandles av Europaparlamentet og Europarådet gjennom ordinær lovgivningsprosess, hvilket innebærer at den endelige lovteksten kan bli endret før den vedtas.
Forslaget har tre hovedmål:
Å øke Europas kapasitet innen sky- og KI-infrastruktur, blant annet gjennom en mer bærekraftig og geografisk balansert utbygging av datasentre.
Å redusere avhengigheten av ikke-suverene sky- og KI-tjenester, særlig for bruk i offentlig sektor og i samfunnskritiske virksomheter og funksjoner.
Å etablere et felles europeisk rammeverk for vurdering av ulike nivåer av skysuverenitet.
CADA har som mål å utvide europeisk kapasitet når det gjelder skytjenester og kunstig intelligens, samt å redusere avhengighet av tjenester som ikke er under europeisk kontroll. De ønsker videre å etablere et felles rammeverk for vurdering av digital suverenitet i skyen. Dette gjenspeiler en bredere tilpasning av europeisk digital policy, der åpenhet i forhold til global teknologi i større grad kombineres med sterkere sikkerhetsmekanismer for kritiske avhengigheter, offentlig sektors motstandsdyktighet og operasjonell kontroll innen kritiske bruksområder.
Retningen CADA staker ut er positiv, men gjennomføringen vil være avgjørende. Dersom rammeverket blir for omfattende, kan vanlige tjenester bli underlagt unødvendig strenge krav. Dersom det blir for snevert, kan det åpne for «suverenitetsvasking», der tjenester markedsføres som suverene uten at de faktisk gir reell operasjonell eller juridisk kontroll. Hvis det blir for detaljstyrende, kan det låse kritiske sektorer til rigide arkitekturer som raskt blir utdaterte. Den riktige balansen er et rammeverk som er tilstrekkelig harmonisert til å understøtte skala og tillit, men samtidig fleksibelt nok til å ivareta nasjonale sikkerhetskrav og sektorspesifikke risikoforhold.
Hva digital suverenitet betyr i praksis
Med CADA må digital suverenitet bli mer operasjonell. Det er ikke tilstrekkelig å fastslå at en tjeneste er «suveren». Myndigheter og virksomheter i kritiske sektorer må forstå hvilken grad av kontroll som er nødvendig, for hvilke applikasjoner og tjenester (arbeidsbelastninger), og under hvilke omstendigheter.
En konsekvens av dette er at digital suverenitet ikke kan reduseres til spørsmål om hvor data lagres. Å lagre data i Europa eller i et nordisk land er viktig, men det er ikke nok. Suverenitet avhenger også av hvem som drifter systemene, hvem som kontrollerer styringsplanet, hvilken jurisdiksjon som gjelder, hvem som har tilgang til logger og telemetri, hvordan programvareoppdateringer håndteres, om tjenestene kan opprettholdes dersom ekstern støtte ikke lenger er tilgjengelig, og om kundene kan avslutte eller flytte tjenestene sine uten uforholdsmessig høye kostnader.
En praktisk tilnærming bør derfor være risikobasert. En kommunal nettside, et samarbeidsverktøy for skolen, en analyseplattform for folkehelse og gradert nødkommunikasjon bør ikke håndteres på samme måte. Overgradering medfører økte kostnader, reduserer fleksibilitet og bremser innovasjon. Undergradering – til at kritiske funksjoner blir stående ubeskyttet. Vi må derfor definere hvilke tjenester, systemer og data som krever hvilket nivå av kontroll.
Den nordiske debatten: suverenitet gjennom valgfrihet
I Norden har digital suverenitet utviklet seg til å bli et mer politisk og strategisk spørsmål. Debatten dreier seg ikke bare om skyinfrastruktur, men også om valg av programvare, offentlige anskaffelser, leverandøravhengighet, sikkerhetsgradering og offentlige myndigheters evne til å beholde kontrollen over kritiske digitale tjenester.
Danmark er et godt eksempel. Dansk offentlig sektor har igangsatt arbeid for å analysere teknologivalg, øke bevisstheten om alternative leverandører og redusere avhengighet til enkeltleverandører. Som en del av Danmarks statsbudsjett for 2026 ble det bevilget 80 millioner danske kroner til en handlingsplan for digital suverenitet for perioden 2026–2029.1 Dette gjenspeiler en bredere bekymring for at offentlige myndigheter ikke bør bli strukturelt avhengige av et lite antall globale teknologileverandører uten reelle alternativer.
Tilsvarende utfordringer gjør seg gjeldende i de øvrige nordiske landene, selv om de kommer til uttrykk på ulike måter. I Finland er debatten tett knyttet til sikkerhet, beredskap og kvalitetssikring av skytjenester. Finansdepartementet og den finske Transport- og kommunikasjonsmyndigheten har startet arbeidet med oppdaterte nasjonale kriterier for vurdering av skytjenester, med et innledende fokus på sikkerheten ved bruk av skybaserte løsninger. Den finske sikkerhets- og etterretningstjenesten har også advart om at økt bruk av skytjenester kan svekke staters digitale handlefrihet, spesielt når kritiske data og tjenester er avhengige av datasentre som ligger utenfor nasjonal kontroll.³
Den norske debatten har i den senere tid blitt mer infrastrukturorientert. Regjeringens datasenterstrategi omtaler datasentre som kritisk digital infrastruktur og knytter dem til nasjonal sikkerhet, beredskap og muligheten til å lagre norske data på norsk jord. Den nasjonale sikkerhetsplanen for digital infrastruktur går lenger og understreker at relevante beredskapsaktører i totalforsvaret må ha tilgang til datasenterkapasitet som er under nasjonal teknisk og juridisk kontroll i fred, krise og krig.
Sverige har lagt særlig vekt på kapasitet i offentlig sektor, KI-infrastruktur og felles digitale løsninger, inkludert felles infrastruktur, veiledning og muligheter for offentlige virksomheter til å utvikle og dele KI-løsninger.
Sett under ett tyder utviklingen i de nordiske landene på at digital suverenitet ikke handler om å isolere seg fra globale teknologileverandører. Snarere handler det om å sikre valgfrihet, beredskap og kontroll. Offentlige myndigheter trenger tilgang til global teknologi, men de må også kunne vurdere avhengigheter, ha reelle alternativer, redusere avhengigheten av enkeltleverandører og stille strengere krav når viktige samfunnsfunksjoner, nasjonal sikkerhet eller samfunnskritiske tjenester står på spill.
Denne utviklingen har også ført til fornyet oppmerksomhet rundt åpen kildekode. Programvare med åpen kildekode er ikke automatisk suveren, sikker eller rimelig. Den krever god styring, vedlikehold, kompetanse og tydelig ansvarlighet. Samtidig kan åpen kildekode styrke digital suverenitet ved å øke transparens, redusere innlåsing, muliggjøre uavhengig ettersyn og la offentlige myndigheter eller betrodde partnere endre og vedlikeholde programvare uten å bli fullt ut avhengige av én leverandør. Åpen kildekode bør derfor ikke ses som en ideologi, men som en strategi for å bygge og sikre digital kompetanse og handlefrihet.
Den samme logikken gjelder sky. Suverenitet kan ikke bety at global teknologi ganske enkelt avvises. På mange områder leverer globale hyperskalere verdensledende kapabiliteter innen skalerbarhet, automatisering, cyberforsvar og KI-verktøy. Utfordringen er å kombinere disse kapabilitietene med tilstrekkelig juridisk og operasjonell kontroll over sensitive arbeidslaster. Noen bruksområder kan betjenes av offentlig sky med sterke kontraktsmessige sikkerhetsmekanismer. Andre vil kunne kreve en suveren europeisk skyløsning. De mest sensitive nasjonale funksjonene vil kunne forutsette en nasjonal suveren sky med lokal operasjonell kontroll, sikkerhetsklarert personell og utelukkende nasjonal jurisdiksjon.
Fellesnevneren er at digital suverenitet skal gi myndigheter og kritiske samfunnssektorer flere troverdige handlingsalternativer. Den skal hjelpe dem med å avgjøre når globale plattformer er det riktige valget, når europeiske eller nordiske alternativer bør foretrekkes, og når nasjonal kontroll er helt nødvendig.
Suverenitet kan ikke bety at global teknologi ganske enkelt avvises.
Hva dette innebærer for teleoperatører
Teleoperatører har en særlig rolle i disse spørsmålene. De forvalter allerede samfunnskritisk infrastruktur underlagt nasjonal regulering, sikkerhetskrav og høye forventninger fra myndigheter, næringsliv og innbyggere. De drifter distribuert infrastruktur, nasjonale fibernett, mobilnett, lokale sentraler, datasentre, sikkerhetsoperasjoner og digitale tjenester til kunder og virksomheter. Dette gir teleoperatørene en naturlig rolle i digitale økosystemer.
Suveren edge-sky er særlig relevant for bruksområder som krever lav forsinkelse, høy tilgjengelighet, lokal prosessering eller sikkerhet knyttet til jurisdiksjon og kontroll. Innen helse, samfunnssikkerhet, energi, transport, industriell automatisering og beredskap kan det være behov for digital infrastruktur nær brukerne og de tilkoblede enhetene, samtidig som drift og kontroll ligger hos betrodde aktører. I Norden kan den distribuerte teleinfrastrukturen utgjøre en viktig del av dette fundamentet.
Dette betyr ikke at telekomoperatører skal utvikle og drifte alt på egen hånd. En levedyktig modell vil bygge på partnerskap med teknologileverandører, skyleverandører, systemintegratorer, leverandører innen cybersikkerhet og kunder i offentlig sektor. Samtidig er driftsmodellen avgjørende. For sensitive arbeidslaster er det et viktig spørsmål om en lokal eller europeisk aktør beholder operasjonelt ansvar, kundekontroll, kontroll over oppdateringer, nødvendig jurisdiksjonell sikkerhet og evne til tjenestekontinuitet.
Teleoperatører står også overfor en særskilt kompleksitet: selve nettene blir i økende grad skybaserte. Kjernenett, drifts- og støttesystemer, analyseplattformer, automatiseringsløsninger, kundekanaler, nettverkstelemetri og KI-støttede driftsfunksjoner kan alle være avhengige av skyinfrastruktur på ulike nivåer i verdikjeden. En forenklet tilnærming til skysuverenitet kan derfor få utilsiktede konsekvenser for nettverksarkitektur, innovasjon og motstandsdyktighet.
Fra ambisjon til gjennomføring
Den neste fasen knyttet til digital suverenitet vil være praktisk. Myndigheter og kritiske sektorer trenger en klassifisering av arbeidslaster og tjenester: Hvilke funksjoner er virkelig kritiske, hvilke krever nasjonal kontroll, hvilke kan ivaretas av suverene tjenester på EU-nivå, og hvilke fortsatt ligge i en standard offentlig sky? Også anskaffelser må utvikles. Offentlige anskaffelser bør vurdere robusthet, muligheten til å bytte leverandør, interoperabilitet, eksponering for ulike jurisdiksjoner, operasjonell kontroll, transparens i leverandørkjeden, energieffektivitet og langsiktig vedlikeholdbarhet, ikke bare pris og standard funksjonalitet.
Nordisk samarbeid bør styrkes og videreutvikles, og det haster å komme videre med praktiske og målrettede intiativer. Det sentrale spørsmålet er hvordan samfunnet kan gjøre bedre bruk av kapasiteten, infrastrukturen og kompetansen som allerede finnes i næringslivet. Digital suverenitet kan ikke leveres av staten alene. Telekomoperatører, skyleverandører, industriselskaper, transportaktører og andre kritiske sektorer har alle kapabiliteter som kan være avgjørende i en krise. En nordisk tilnærming, for eksempel i rammen av NORDEFCO, kan bidra til å gjøre denne kapasiteten mer anvendbar på tvers av grenser ved å samordne forventninger til kritiske arbeidslaster, betrodde leverandører, sikker drift og hendelseshåndtering, samtidig som nasjonal kontroll bevares der sikkerheten krever det. Målet bør være mer beredskap og større operasjonelt handlingsrom, ikke fragmenterte nasjonale løsninger eller et urealistisk forsøk på å bygge alt nasjonalt. Det ligger muligheter i en mer felles nordisk tilnærming på tvers av myndigheter og industriaktører.
Digital suverenitet bør ikke forstås som digital selvforsyning. Det ville verken være realistisk eller ønskelig. Begrepet bør heller forstås som evnen til å ta bevisste valg, opprettholde kontroll over kritiske funksjoner, redusere uakseptable avhengigheter og opprettholde drift i kriser. I praksis handler suverenitet ikke om hvor teknologien kommer fra. Det handler om hvorvidt samfunnet kan ha tillit til, styre og gjenopprette de digitale systemene det er avhengig av.
