På pappret får du byta molnleverantör. I praktiken sitter du fast ändå. Data Act, EU:s dataförordning, ger dig rätt att flytta system och data från en molnleverantör till en annan. Alternativ saknas inte, europeiska leverantörer finns. Det som håller dig kvar är friktionen.
Den börjar i avtalet, med långa bindningstider och uppsägningsvillkor som gör att ett byte måste planeras långt i förväg. Sedan kommer kostnaden för att få ut din egen data: att lagra den hos leverantören är billigt, att flytta ut den är dyrt. Och ju mer du kör i molnet desto mer sitter allt ihop. Du har inte bara lagt data någonstans, du har byggt verksamheten på leverantörens specifika tjänster, från databaser till köer och funktioner, som inte har någon exakt motsvarighet någon annanstans.
"Data Act kan tvinga fram att du får flytta datan. Men den kan inte tvinga fram att nästa leverantör har exakt samma tjänster. Därför blir ett byte ofta en ombyggnad och inte en flytt", säger Staffan Lindblad, specialist på cybersäkerhet och regelefterlevnad på molnleverantören Elastx.
Det är precis den friktionen Data Act ska ta bort: den fasar ut avgifterna för att byta, begränsar uppsägningstiderna och kräver att data ska gå att flytta. Men att riva hindren räcker inte. Även när det blir lätt att lämna fortsätter marknaden luta mot de största, för de europeiska alternativen behöver skala och bredd för att kunna ta över de mest verksamhetskritiska systemen. Den skalan når de inte förrän tillräckligt med efterfrågan flyttar dit.
Där sitter moment 22. Kunderna samlas hos de etablerade för att alternativen ännu inte är stora nog och alternativen förblir för små för att kunderna inte samlas där. Regler bygger inga datacenter - det är den luckan CADA försöker täppa till. Förslaget angriper båda sidor samtidigt: det gör det lättare att bygga kapacitet och riktar Europas samlade offentliga köpkraft mot suveräna leverantörer. Ramverket är skrivet för alla, men det är offentlig sektor som ska ge det genomslag. När det offentliga börjar beställa suveränitet i tillräcklig volym får leverantörerna skalan som gör dem till trovärdiga alternativ även för dig.
Fyra nivåer och striden om den tredje
Kärnan är en trappa där varje användningsfall får den nivå som känsligheten motiverar. Nivå 1 kräver att datan behandlas inom EU. Nivå 2 att leverantören är oberoende av tredjeland och har en genomlyst leveranskedja. Nivå 3 att leverantören ägs och kontrolleras från EU, med krav även på vem som får sitta i de känsliga rollerna. Nivå 4 kräver full kontroll över hela leveranskedjan utan inflytande från tredjeland och är tänkt för försvar och nationell säkerhet.
"Ett vanligt missförstånd är att CADA skulle stänga ute utländska molnjättar. Så är det inte. De lägre nivåerna står öppna för alla som klarar kraven. Det som ransoneras är tillgången till de känsligaste uppdragen, inte marknaden", säger Lindblad.
Den verkliga striden står enligt honom om nivå 3. Där, och bara där bland de skarpa nivåerna, finns en klausul som låter kommissionen erkänna leverantörer från tredjeländer som bedöms ge tillräckliga garantier, en mekanism i stil med GDPR:s adekvansbeslut. Nivå 4 har ingen sådan öppning.
"Skrivs klausulen generöst blir nivå 3 en bakväg för utländska koncerners EU-upplägg. Skrivs den snävt blir den ett verkligt suveränitetskrav. Kriterierna pekar rakt på CLOUD Act, så länge den lagen finns är USA svårt att erkänna. Den formuleringen avgör om ramverket får tänder eller blir ännu en yta för sovereignty washing", säger han.
Ventilen som gör detta till en fråga för hela näringslivet
En underrapporterad detalj: CADA når förbi myndigheterna. Förslaget öppnar för att även privata väsentliga entiteter enligt NIS2, i sektorer som energi, transport, bank, vård och digital infrastruktur, ska kunna göra motsvarande suveränitetsbedömningar av sina molnleverantörer. Och det ger kommissionen möjlighet att längre fram göra det till ett krav genom sekundärlagstiftning.
"En svensk bank eller vårdgivare som i dag tänker att det där gäller myndigheter kan om några år vara skyldig att göra samma sorts analys av sina molnleverantörer. Omfattas man av cybersäkerhetslagen, den svenska NIS2-lagen, bör man bevaka den här ventilen noga", säger Staffan Lindblad.
Fem saker att göra redan nu
Inventera och klassa era användningsfall: vilka system ligger i molnet, och vilken nivå skulle en ärlig riskbedömning landa i?
Ställ ägarfrågan: vem äger er leverantör ytterst, och vilka länders lagar når verksamheten genom ägarkedjan?
Ställ driftfrågan: var sitter personerna med administrativ åtkomst, inklusive eskaleringskedjor?
Kräv genomlyst leveranskedja: leverantörer som svarar med dokumentation i stället för broschyrer är desamma oavsett CADA:s öde.
Omfattas ni av NIS2: gör molnleverantörsanalysen frivilligt nu, blir den författningsreglerad senare är hemläxan redan gjord.
"Det vi ser i praktiken är att nästan varje upphandling kräver datalagring inom EU, men få frågar vem som äger leverantören eller var administratörerna sitter. CADA gör de här frågorna till standard och det är nyttigt oavsett förslagets öde. Digital suveränitet handlar inte om var datan ligger. Den handlar om vem som har kontroll", säger Lindblad.
Det är också varför Elastx byggde sin plattform på de principer förslaget nu premierar, långt innan CADA fanns: europeiskt ägande, svensk jurisdiktion och en mjukvarustack helt på öppen källkod.