Sovereign Cloud

Digital suveränitet handlar om att ha kontroll över sina egna digitala tillgångar, data, tjänster och infrastrukturer. För verksamheter innebär det bland annat att veta var data lagras, var datorkraften kommer från, vem som har tillgång till den och vilket regelverk tjänsterna omfattas av.

När en verksamhet använder molntjänster blir detta särskilt viktigt. Data och applikationer kan i princip behandlas i datacenter över hela världen, ofta utan att verksamheten har full insyn i alla beroenden. Med en suverän eller nationell molnlösning får verksamheten större säkerhet kring var data och datorkraft finns.

Digital suveränitet kan förstås både ur ett nationellt och europeiskt perspektiv. För vissa verksamheter är det avgörande att data lagras och behandlas i Sverige. För andra kan europeisk digital suveränitet vara tillräcklig, så länge lösningen omfattas av europeiska krav och inte är beroende av teknik, ägande eller jurisdiktion som kan medföra oönskade risker.

En suverän molnlösning, ofta kallad sovereign cloud eller suveränt moln, är en molntjänst där verksamheten har kontroll över var data lagras, var datorkraft används och vem som kan få tillgång till informationen.

I praktiken handlar ett suveränt moln om mer än själva datacentrets placering. Det omfattar även drift, ägande, åtkomsthantering, säkerhet, loggning, dokumentation och efterlevnad av relevanta krav. För svenska verksamheter kan en suverän molnlösning utformas så att både lagring och bearbetning av data sker i Sverige.

En suverän molnlösning är särskilt relevant för verksamheter som hanterar känslig information, omfattas av regulatoriska krav eller behöver kunna dokumentera att data inte behandlas utanför avtalade geografiska och juridiska ramar.

Begreppen används ofta på lite olika sätt, men i praktiken ligger suveränt moln och nationellt moln nära varandra. Ett nationellt moln är normalt en molnlösning där data och datorkraft är lokaliserade i ett specifikt land, till exempel Sverige. Ett suveränt moln handlar dessutom om kontroll, styrning, åtkomst och efterlevnad.

Ett publikt moln är vanligtvis en molntjänst från globala hyperscalers som Microsoft Azure, AWS eller Google Cloud. Dessa tjänster erbjuder hög skalbarhet, bred funktionalitet och snabb innovationstakt, men kan också innebära större komplexitet när det gäller datalagring, jurisdiktion och kontroll över var data behandlas.

Skillnaden handlar därför inte bara om teknik, utan också om riskprofil. Publika moln kan vara rätt val för många typer av arbetslaster, medan suveräna eller nationella moln är särskilt relevanta där kraven på datasuveränitet, säkerhet och dokumenterbar kontroll är höga.

För offentlig sektor handlar datalagring i Norge om att kunna uppfylla och dokumentera krav på datasäkerhet, integritetsskydd och nationell kontroll. Offentliga verksamheter hanterar ofta stora mängder känsliga uppgifter, exempelvis inom hälso- och sjukvård, välfärd, beredskap och offentlig förvaltning.

Om sådana uppgifter hamnar i orätta händer kan konsekvenserna bli allvarliga och oåterkalleliga. Därför är konfidentialitet, integritet och spårbarhet avgörande. När data lagras lokalt i Norge får verksamheten bättre överblick över var informationen finns, vem som kan få tillgång till den och vilka regelverk som gäller.

Lokal datalagring är i sig ingen garanti för god säkerhet, men det kan vara en viktig åtgärd för att minska riskerna och stärka dokumentationen av regelefterlevnad.

Den viktigaste fördelen med ett nationellt moln är kontroll. Verksamheten vet var data lagras och var beräkningskapaciteten används. Det kan göra det enklare att bedöma risker, dokumentera regelefterlevnad och säkerställa att konfidentiella uppgifter behandlas inom överenskomna ramar.

Samtidigt är det viktigt att välja rätt verktyg för rätt uppgift. Internationella molntjänster kan erbjuda fördelar när det gäller global skalbarhet, ett brett tjänsteutbud och snabb tillgång till kapacitet. Ett nationellt eller suveränt moln kan å andra sidan ge bättre kontroll, tydligare kostnadsstyrning och lägre risk för verksamheter med höga krav på datasuveränitet.

För många organisationer är en hybrid molnstrategi det bästa alternativet. Det innebär att vissa arbetslaster kan placeras i ett publikt moln, medan känsliga data och verksamhetskritiska system hanteras i ett suveränt eller nationellt moln.

Nej, inte nödvändigtvis. Ett suveränt moln är inte automatiskt det bästa valet för alla användningsområden. Valet bör baseras på vilken typ av data verksamheten hanterar, hur kritiska systemen är, vilka regulatoriska krav som gäller och hur stort behovet av skalbarhet är.

Publika molntjänster kan vara mycket effektiva för många typer av tjänster, särskilt när snabb skalning och tillgång till ett brett ekosystem av tjänster är viktiga faktorer. Ett suveränt moln är främst relevant när kontroll, datalagring, åtkomsthantering och dokumenterad regelefterlevnad väger tyngst.

Det viktigaste är att verksamheten har en medveten strategi för var data lagras, var de behandlas och vilka beroenden den valda lösningen skapar. Genom att göra en genomtänkt risk- och behovsanalys kan organisationen välja den molnmodell som bäst stödjer verksamhetens mål, säkerhetskrav och regelverk.

För företag kan en suverän molnlösning ge bättre kontroll över data, starkare dokumentation av regelefterlevnad och ökat förtroende hos kunder, partners och myndigheter.

Detta är särskilt viktigt för verksamheter som hanterar konfidentiell information, personuppgifter, affärskritisk data eller information som omfattas av regulatoriska krav. Ett suveränt moln kan göra det enklare att visa att företaget tar datasuveränitet, säkerhet och regelefterlevnad på allvar.

Dessutom kan en suverän molnlösning ge bättre kostnadskontroll. Eftersom tjänsten ofta är mer styrd och avgränsad än en stor publik molnplattform kan verksamheten undvika att många olika användare beställer resurser fritt utan tillräcklig styrning och kontroll.

För många företag handlar därför ett suveränt moln inte bara om teknik, utan också om styrning, riskhantering och förtroendeskapande. Det kan bidra till att skapa en mer förutsägbar och kontrollerad IT-miljö samtidigt som verksamheten uppfyller sina krav på säkerhet och efterlevnad.

Företag i Norge och Europa måste förhålla sig till flera regelverk som påverkar datalagring, säkerhet, styrning och behandling av data. De mest centrala är GDPR, säkerhetsskyddslagstiftning samt relevanta EU-regelverk som rör datahantering, cybersäkerhet och digital infrastruktur.

För många organisationer är även regelverk och initiativ som Data Governance Act (DGA), Data Act, NIS2 och DORA relevanta, beroende på bransch, verksamhetens storlek och vilka marknader man verkar på. Norska företag med verksamhet i Europa behöver också vara uppmärksamma på EU-regler som kan få betydelse innan, eller oberoende av, att de fullt ut införs i norsk lagstiftning.

Ett suveränt eller nationellt moln kan bidra till att uppfylla krav på styrning, regelefterlevnad och dokumentation. Samtidigt är det viktigt att komma ihåg att molnlösningen i sig inte garanterar efterlevnad. Verksamheten måste fortfarande genomföra egna riskbedömningar och säkerställa att nödvändiga tekniska, juridiska och organisatoriska åtgärder finns på plats.

I praktiken handlar datasuveränitet därför om mer än var data lagras. Det handlar också om kontroll över data, tydliga ansvarsförhållanden, insyn i leverantörskedjan och förmågan att dokumentera att information hanteras i enlighet med gällande lagar och interna krav.

Första steget är att kartlägga vilka data verksamheten har, hur känsliga de är och vilka krav som gäller för lagring, behandling och åtkomst. Alla data behöver inte samma skyddsnivå, men konfidentiella och verksamhetskritiska data bör placeras i lösningar som ger tillräcklig kontroll.

Verksamheten bör också ställa tydliga krav på datasuveränitet i dialogen med leverantörer och i upphandlingar. Det bör klargöras var data lagras, var databehandlingen sker, vilka underleverantörer som används, vem som har administrativ åtkomst och hur efterlevnaden dokumenteras.

För många verksamheter är det både svårt och kostsamt att bygga en sådan plattform på egen hand. Därför kan en lokal och erfaren molnpartner vara ett mer realistiskt alternativ. Med Cloud Avenue från Orange Business kan lösningen etableras nationellt, exempelvis i Sverige eller Norge, eller som en del av en europeisk molnstruktur där data kan flyttas mellan länder när det är avtalat och ändamålsenligt.

Det beror på leverantören, avtalsvillkoren, tjänstemodellen och den tekniska lösningen. Därför bör verksamheter alltid ställa konkreta frågor om hur data används, om data kan ingå i träning av AI-modeller och om data delas med centrala språkmodeller eller andra kunder.

Om verksamheten planerar att använda AI på känsliga eller konfidentiella data bör den överväga en privat eller dedikerad AI-lösning. Med en dedikerad LLM eller AI-tjänst kan lösningen konfigureras så att data endast används för den aktuella kunden och inte delas med andra kunder eller används för att träna centrala, öppna modeller.

Målet är att kunna dra nytta av AI på ett säkert sätt utan att förlora kontrollen över verksamhetens data.

Ett suveränt moln kan bidra genom att säkerställa att både datalagring och databehandling sker inom tydligt definierade och avtalade ramar. Det innebär att verksamheten vet var servrarna finns, var data lagras, var beräkningskapaciteten kommer från och vilka tjänster som har åtkomst till informationen.

För AI-lösningar är det särskilt viktigt att kunddata hålls åtskilda. En dedikerad AI-tjänst bör vara utformad så att en kunds data inte används för att träna eller förbättra en annan kunds lösning. Det bör också vara tydligt reglerat i avtal att data inte får användas för modellträning utan ett uttryckligt och dokumenterat samtycke.

För verksamheter som vill använda AI tillsammans med konfidentiell information är detta ett centralt krav vid val av både molnleverantör och AI-leverantör. På så sätt kan organisationen dra nytta av AI:s möjligheter samtidigt som den behåller kontrollen över sina data och säkerställer att de används i enlighet med verksamhetens säkerhets- och efterlevnadskrav.

En leverantör av suveränt moln bör kunna dokumentera var data lagras, var databehandlingen sker, vem som har åtkomst till informationen och hur krav på säkerhet, styrning (governance) och regelefterlevnad uppfylls.

Verksamheten bör också bedöma om leverantören erbjuder ett tjänsteutbud som motsvarar de faktiska behoven. Många organisationer använder endast en begränsad del av funktionaliteten i stora publika molnplattformar. I sådana fall kan ett suveränt moln med rätt funktioner, hög säkerhet och en förutsägbar kostnadsmodell vara ett attraktivt alternativ.

Det är också viktigt att undvika onödig leverantörsinlåsning. En bra leverantör bör ge verksamheten flexibilitet, exempelvis möjlighet att välja säkerhetspartner eller kombinera olika molntjänster i en hybridmodell.

Referenser, dokumenterad tillgänglighet (uptime) och erfarenhet av att arbeta med kunder inom reglerade verksamheter bör också vara viktiga kriterier i utvärderingen. På så sätt kan organisationen välja en lösning som inte bara uppfyller dagens krav, utan även ger handlingsfrihet och kontroll på lång sikt.

Verksamheter som vill använda AI-funktioner bör först klargöra vilka data som ska användas i lösningen. Om data är känsliga, konfidentiella eller verksamhetskritiska bör leverantören kunna erbjuda AI-tjänster där både lagring och databehandling sker lokalt eller inom avtalade geografiska ramar.

Det bör också vara tydligt att kundens data hålls åtskilda från andra kunders data. En AI-tjänst bör inte lära sig av data från kund A och använda denna kunskap i lösningen för kund B, såvida detta inte uttryckligen har avtalats och juridiskt reglerats.

Orange Business erbjuder AI as a Service där lösningen kan sättas upp som en dedikerad miljö för kunden. Det gör det möjligt att använda AI på egna data med större kontroll över var data lagras, hur de behandlas och hur de skyddas.

Fullständig digital suveränitet är svårt att uppnå. De flesta verksamheter använder i dag hårdvara, operativsystem och programvara med globala leverantörskedjor och internationella beroenden. Det innebär att digital suveränitet sällan är en absolut fråga om antingen eller.

Det verksamheten kan göra är att definiera vad digital suveränitet innebär i den egna kontexten. När det gäller datacenter, molntjänster och datahantering kan organisationen ställa tydliga krav på lokal eller europeisk datalagring, kontroll över databehandling, dokumenterad åtkomsthantering, säkerhet och regelefterlevnad.

Därefter bör verksamheten klassificera sina data, genomföra riskbedömningar och placera arbetslaster på rätt plattform. För vissa typer av data kan ett publikt moln vara ett lämpligt val. För andra, mer känsliga eller verksamhetskritiska data, kan en nationell eller suverän molnlösning vara nödvändig.

Målet är inte alltid att eliminera alla externa beroenden, utan att säkerställa att verksamheten har tillräcklig kontroll över sina data, sina system och sina digitala processer för att uppfylla krav på säkerhet, integritet och regelefterlevnad.

Ja, för verksamheter med kritiska system eller känsliga data bör en exitstrategi vara en del av molnstrategin. Det handlar inte nödvändigtvis om att lämna det publika molnet, utan om att veta hur man ska agera om regelverk, leverantörsvillkor, kostnader eller riskbilden förändras.

En exitstrategi bör inte bara finnas på papper. Den bör också testas. Verksamheten bör veta hur lång tid det tar att flytta data och tjänster, vilka tekniska beroenden som finns, vilka kostnader som uppstår och vilka konsekvenser en migrering får för drift och säkerhet.

Detta är särskilt viktigt för verksamheter som är beroende av internationella molnleverantörer och samtidigt har krav på datasuveränitet. Genom att planera för alternativa lösningar och säkerställa att data och arbetslaster kan flyttas vid behov minskar risken för inlåsning och verksamheten får större kontroll över sin digitala infrastruktur.

Ja. För många verksamheter är hybridmoln den mest realistiska strategin. Det innebär att organisationen kombinerar publika molntjänster med suveräna eller nationella molnlösningar.

En sådan modell gör det möjligt att använda publika moln där skalbarhet, innovation och standardiserade tjänster är viktiga, samtidigt som känsliga data och verksamhetskritiska arbetslaster placeras i ett suveränt moln med högre grad av kontroll.

Hybridmoln handlar om att använda rätt plattform för rätt ändamål – inte om att välja en enda modell för allt.

Vill du läsa mer om hur verksamheter kan arbeta praktiskt med hybridmoln?

Cloud Avenue, eller Sovereign Cloud från Orange Business, är Orange Business erbjudande inom suveräna molntjänster. Lösningen kan etableras som ett nationellt suveränt moln, exempelvis med lagring och databehandling i Sverige eller Norge, eller som en del av en europeisk modell där flera nationella moln kan kopplas samman vid behov.

Cloud Avenue är utvecklat för verksamheter som vill dra nytta av modern molnfunktionalitet samtidigt som de har höga krav på datasuveränitet, säkerhet, styrning (governance) och regelefterlevnad.

För kunder som verkar över landsgränser kan lösningen anpassas så att data lagras och behandlas inom avtalade nationella eller europeiska ramar. Detta ger verksamheten större kontroll över var data finns, hur den hanteras och vilka regelverk som gäller, samtidigt som flexibiliteten att stödja internationell verksamhet bibehålls.

Frågan om en statlig nationell molntjänst diskuteras med jämna mellanrum. I teorin kan en sådan lösning bidra till ökad nationell kontroll, särskilt för offentlig sektor och samhällskritiska verksamheter.

I praktiken skulle det dock vara en stor utmaning för staten att på egen hand bygga och driva en sådan molntjänst. Ett nationellt moln måste erbjuda hög säkerhet, god skalbarhet, rätt kompetens, kontinuerlig utveckling och ett tjänsteutbud som möter verksamheternas faktiska behov. Därför skulle en sådan modell sannolikt behöva utvecklas i samarbete med kommersiella aktörer.

För många verksamheter är det därför mer realistiskt att använda befintliga suveräna molntjänster från leverantörer som redan har den infrastruktur, kompetens och de dokumenterade driftmodeller som krävs på plats. På så sätt kan organisationer uppnå hög kontroll över data och regelefterlevnad utan att behöva vänta på att en statlig molnlösning utvecklas.