Sovereign Cloud

Digital suverenitet handler om å ha kontroll over egne digitale verdier, data, tjenester og infrastruktur. For virksomheter betyr det blant annet å vite hvor data lagres, hvor datakraften hentes fra, hvem som har tilgang, og hvilket regelverk tjenestene er underlagt.

Når en virksomhet bruker skytjenester, blir dette særlig viktig. Data og applikasjoner kan i prinsippet behandles i datasentre over hele verden, ofte uten at virksomheten har full innsikt i alle avhengigheter. Med en suveren eller nasjonal skyløsning får virksomheten større visshet om hvor data og datakraft befinner seg.

Digital suverenitet kan forstås både nasjonalt og europeisk. For noen virksomheter er det avgjørende at data lagres og behandles i Norge. For andre kan europeisk digital suverenitet være tilstrekkelig, så lenge løsningen er underlagt europeiske krav og ikke er avhengig av teknologi, eierskap eller jurisdiksjon som kan skape uønsket risiko.

En suveren skyløsning, ofte kalt sovereign cloud eller suveren sky, er en skytjeneste der virksomheten får kontroll over hvor data lagres, hvor datakraft brukes, og hvem som kan få tilgang til dataene.

I praksis handler en suveren sky om mer enn selve datasenterlokasjonen. Det handler også om drift, eierskap, tilgangsstyring, sikkerhet, logging, dokumentasjon og etterlevelse av relevante krav. For norske virksomheter kan en suveren skyløsning settes opp slik at både lagring og prosessering skjer i Norge.

En suveren skyløsning er særlig relevant for virksomheter som håndterer sensitive data, er underlagt regulatoriske krav, eller må kunne dokumentere at data ikke behandles utenfor avtalte geografiske og juridiske rammer.

Begrepene brukes ofte litt ulikt, men i praksis ligger suveren sky og nasjonal sky tett opptil hverandre. En nasjonal sky er normalt en skyløsning der data og datakraft er lokalisert i ett bestemt land, for eksempel Norge. En suveren sky handler i tillegg om kontroll, styring, tilgang og etterlevelse.

En offentlig sky er typisk en skytjeneste fra globale hyperscalere som Microsoft Azure, AWS eller Google Cloud. Disse tjenestene gir stor skalerbarhet, bred funksjonalitet og høy innovasjonstakt, men kan også innebære mer kompleksitet knyttet til datalagring, jurisdiksjon og kontroll over hvor data behandles.

Forskjellen handler derfor ikke bare om teknologi, men om risikoprofil. Offentlig sky kan være riktig for mange typer arbeidslaster, mens suveren eller nasjonal sky er særlig relevant der kravene til datasuverenitet, sikkerhet og dokumenterbar kontroll er høye.

For offentlig sektor handler datalagring i Norge om å kunne etterleve og dokumentere krav til datasikkerhet, personvern og nasjonal kontroll. Offentlige virksomheter håndterer ofte store mengder sensitive data, for eksempel innen helse, velferd, beredskap og forvaltning.

Dersom slike data kommer på avveie, kan konsekvensene være alvorlige og irreversible. Derfor er konfidensialitet, integritet og sporbarhet avgjørende. Når data lagres lokalt i Norge, får virksomheten bedre oversikt over hvor data befinner seg, hvem som kan få tilgang, og hvilket regelverk som gjelder.

Lokal datalagring er ikke alene en garanti for god sikkerhet, men det kan være et viktig tiltak for å redusere risiko og styrke dokumentasjonen av etterlevelse.

Den viktigste fordelen med en nasjonal sky er kontroll. Virksomheten vet hvor data lagres og hvor datakraften brukes. Det kan gjøre det enklere å vurdere risiko, dokumentere etterlevelse og sikre at konfidensielle data behandles innenfor avtalte rammer.

Samtidig er det viktig å velge riktig verktøy til riktig jobb. Internasjonale skytjenester kan ha fordeler når det gjelder global skalerbarhet, bredt tjenestespekter og rask tilgang på kapasitet. En nasjonal eller suveren sky kan på sin side gi bedre kontroll, tydeligere kostnadsstyring og lavere risiko for virksomheter med høye krav til datasuverenitet.

For mange virksomheter vil en hybrid skystrategi være riktig. Det betyr at enkelte arbeidslaster kan ligge i offentlig sky, mens sensitive data og kritiske systemer plasseres i en suveren eller nasjonal sky.

Nei, ikke nødvendigvis. En suveren sky er ikke automatisk best for alle bruksområder. Valget bør avhenge av hvilke data virksomheten behandler, hvor kritiske systemene er, hvilke regulatoriske krav som gjelder, og hvor stor skalerbarhet virksomheten trenger.

Offentlig sky kan være svært effektivt for mange typer tjenester, særlig der behovet for rask skalering og tilgang til et bredt økosystem av tjenester er viktig. En suveren sky er mest relevant der kontroll, datalagring, tilgangsstyring og dokumentert etterlevelse veier tyngst.

Det viktigste er at virksomheten har et bevisst forhold til hvor data ligger, hvor de behandles, og hvilke avhengigheter løsningen skaper.

For bedrifter kan en suveren skyløsning gi bedre kontroll over data, sterkere dokumentasjon av etterlevelse og økt tillit hos kunder, partnere og myndigheter.

Dette er særlig viktig for virksomheter som behandler konfidensiell informasjon, personopplysninger, forretningskritiske data eller data underlagt regulatoriske krav. En suveren sky kan gjøre det enklere å vise at virksomheten tar datasuverenitet, sikkerhet og compliance på alvor.

I tillegg kan en suveren skyløsning gi bedre kostnadskontroll. Fordi tjenesten ofte er mer styrt og avgrenset enn en stor offentlig skyplattform, kan virksomheten unngå at mange ulike brukere bestiller ressurser fritt uten tilstrekkelig kontroll.

Virksomheter i Norge og Europa må forholde seg til flere regelverk som påvirker datalagring, sikkerhet, styring og behandling av data. De mest sentrale er GDPR, sikkerhetsloven og relevante EU-regelverk knyttet til data, cybersikkerhet og digital infrastruktur.

For mange virksomheter vil også regelverk og initiativer som Data Governance Act, Data Act, NIS2 og DORA være relevante, avhengig av bransje, størrelse og marked. Norske virksomheter med aktivitet i Europa må også være oppmerksomme på EU-regler som kan få betydning før eller uavhengig av full norsk implementering.

En suveren eller nasjonal sky kan bidra til å ivareta krav til governance, compliance og dokumentasjon, men virksomheten må fortsatt gjøre egne risikovurderinger og sikre at tekniske, juridiske og organisatoriske tiltak er på plass.

Første steg er å kartlegge hvilke data virksomheten har, hvor sensitive de er, og hvilke krav som gjelder for lagring, behandling og tilgang. Ikke alle data trenger samme beskyttelsesnivå, men konfidensielle og forretningskritiske data bør plasseres i løsninger som gir tilstrekkelig kontroll.

Virksomheten bør også stille tydelige krav til datasuverenitet i dialog med leverandører og i anbud. Det bør avklares hvor data lagres, hvor dataprosessering foregår, hvilke underleverandører som brukes, hvem som har administrativ tilgang, og hvordan etterlevelse dokumenteres.

For mange virksomheter vil det være krevende og kostbart å bygge en slik plattform selv. Derfor kan en lokal og erfaren skypartner være et mer realistisk alternativ. Med Cloud Avenue fra Orange Business kan løsningen settes opp nasjonalt, for eksempel i Norge, eller som del av en europeisk skystruktur der data kan flyttes mellom land når det er avtalt og formålstjenlig.

Det avhenger av leverandør, avtaleverk, tjenestemodell og teknisk oppsett. Derfor bør virksomheter alltid stille konkrete spørsmål om hvordan data brukes, om data kan inngå i modelltrening, og om data deles med sentrale språkmodeller eller andre kunder.

Dersom virksomheten skal bruke AI på sensitive eller konfidensielle data, bør den vurdere en privat eller dedikert AI-løsning. Med en dedikert LLM eller AI-tjeneste kan løsningen settes opp slik at dataene kun brukes for den aktuelle kunden, og ikke tilflyter andre kunder eller sentrale, åpne modeller.

Målet er å kunne bruke AI på en trygg måte, uten å miste kontroll over egne data.

En suveren sky kan bidra ved å sikre at både datalagring og databehandling skjer innenfor avtalte rammer. Det betyr at virksomheten vet hvor serverne står, hvor data lagres, hvor datakraften hentes fra, og hvilke tjenester som har tilgang til informasjonen.

For AI-løsninger er det særlig viktig at kundedata holdes adskilt. En dedikert AI-tjeneste bør være satt opp slik at én kundes data ikke brukes til å trene eller forbedre en annen kundes løsning. Det bør også være tydelig avtalt at data ikke brukes til modelltrening uten eksplisitt grunnlag.

For virksomheter som ønsker å bruke AI med konfidensiell informasjon, er dette et sentralt krav til både skyleverandør og AI-leverandør.

En leverandør av suveren sky bør kunne dokumentere hvor data lagres, hvor dataprosessering foregår, hvem som har tilgang, og hvordan krav til sikkerhet, governance og compliance ivaretas.

Virksomheten bør også vurdere om leverandøren har et tjenestespekter som dekker de faktiske behovene. Mange virksomheter bruker bare en mindre del av funksjonaliteten i store offentlige skyplattformer. Da kan en suveren sky med riktig funksjonalitet, god sikkerhet og forutsigbar kostnadsmodell være et godt alternativ.

Det er også viktig å unngå unødvendig leverandørlåsing. En god leverandør bør gi virksomheten fleksibilitet, for eksempel mulighet til å velge sikkerhetspartner eller kombinere skytjenester i en hybrid modell. Referanser, dokumentert oppetid og erfaring med regulerte kunder bør også være sentrale vurderingspunkter.

Virksomheter som ønsker AI-funksjoner, bør først avklare hvilke data som skal brukes i løsningen. Dersom dataene er sensitive, konfidensielle eller forretningskritiske, bør leverandøren kunne tilby AI-tjenester der både lagring og dataprosessering skjer lokalt eller innenfor avtalte geografiske rammer.

Det bør også være tydelig at kundens data holdes adskilt fra andre kunder. En AI-tjeneste bør ikke lære av data fra kunde A og bruke denne læringen i løsningen til kunde B, med mindre dette er eksplisitt avtalt og juridisk avklart.

Orange Business tilbyr AI as a Service der løsningen kan settes opp dedikert for kunden. Det gjør det mulig å bruke AI på egne data med større kontroll over hvor data lagres, hvor de behandles, og hvordan de beskyttes.

Full digital suverenitet er krevende. De fleste virksomheter bruker i dag maskinvare, operativsystemer og programvare med globale leverandørkjeder og internasjonale avhengigheter. Det betyr at digital suverenitet sjelden er et absolutt enten-eller.

Det virksomheten kan gjøre, er å definere hva digital suverenitet betyr i egen kontekst. For datasenter, sky og datahåndtering kan virksomheten stille tydelige krav til lokal eller europeisk datalagring, kontroll over dataprosessering, dokumentert tilgangsstyring, sikkerhet og compliance.

Deretter bør virksomheten klassifisere data, vurdere risiko og plassere arbeidslaster på riktig plattform. For noen data vil offentlig sky være riktig. For andre data vil en nasjonal eller suveren skyløsning være nødvendig.

Ja, for virksomheter med kritiske systemer eller sensitive data bør en exit-strategi være en del av skystrategien. Det handler ikke nødvendigvis om å forlate offentlig sky, men om å vite hva man gjør dersom regelverk, leverandørvilkår, kostnader eller risikobildet endrer seg.

En exit-strategi bør ikke bare finnes på papiret. Den bør testes. Virksomheten bør vite hvor lang tid det tar å flytte data og tjenester, hvilke tekniske avhengigheter som finnes, hvilke kostnader som oppstår, og hvilke konsekvenser en migrering vil ha for drift og sikkerhet.

Dette er særlig viktig dersom virksomheten er avhengig av internasjonale skyleverandører og samtidig har krav til datasuverenitet.

Ja. For mange virksomheter er hybrid sky den mest realistiske tilnærmingen. Det betyr at virksomheten kombinerer offentlig sky og suverene eller nasjonale skyløsninger.

En slik modell gjør det mulig å bruke offentlig sky der skalerbarhet, innovasjon og standardtjenester er viktig, samtidig som sensitive data og kritiske arbeidslaster plasseres i en suveren sky med sterkere kontroll.

Hybrid sky handler om å bruke riktig plattform til riktig formål, ikke om å velge én modell for alt. Vil du lese mer om hvordan virksomheter kan tenke praktisk rundt hybrid sky?

Cloud Avenue / sovereign cloud fra Orange Business er Orange Business sitt tilbud innen suveren sky. Løsningen kan settes opp som en nasjonal suveren sky, for eksempel med lagring og dataprosessering i Norge, eller som del av en europeisk modell der flere nasjonale skyer kan kobles sammen ved behov.

Cloud Avenue er utviklet for virksomheter som ønsker moderne skyfunksjonalitet, men samtidig har krav til datasuverenitet, sikkerhet, governance og compliance.

For kunder som opererer på tvers av landegrenser, kan løsningen tilpasses slik at data kan behandles innenfor avtalte nasjonale eller europeiske rammer.

Spørsmålet om en statlig nasjonal skytjeneste diskuteres med jevne mellomrom. I teorien kan en slik løsning bidra til nasjonal kontroll, særlig for offentlig sektor og samfunnskritiske tjenester.

I praksis vil det være krevende for staten å bygge og drifte en slik skytjeneste alene. En nasjonal sky må ha høy sikkerhet, skalerbarhet, kompetanse, kontinuerlig utvikling og et tjenestespekter som dekker reelle behov. Derfor vil en slik modell trolig måtte utvikles i samarbeid med kommersielle aktører.

For mange virksomheter er det derfor mer realistisk å bruke eksisterende suverene skytjenester fra leverandører som allerede har infrastruktur, kompetanse og dokumenterte driftsmodeller på plass.