De regler, vi har læst, kræver ikke generelt, at en privat virksomhed bruger en europæisk cloududbyder. De kræver, at I kender jeres leverandører, vurderer risikoen ved dem og kan dokumentere, hvad I har besluttet, og det kan godt føre til et skifte for enkelte systemer.
Det er værd at holde fast i, fordi compliance bruges som argument fra flere sider. En udbyder kan sælge sin platform som svaret på NIS2. En rådgiver kan pege på GDPR. Og en kunde kan skrive et krav, der lyder bredere, end det er. For den, der driver infrastrukturen, er spørgsmålet, hvilken paragraf eller hvilken kontrakt der stiller kravet, og hvad den siger ordret.
Hvad reglerne stiller krav om
NIS2. Den danske NIS2-lov (lov nr. 434 fra maj 2025) kræver i § 6, stk. 1, passende og forholdsmæssige foranstaltninger. Blandt dem er driftskontinuitet med backup og reetablering og forsyningskædesikkerhed, herunder forholdet til direkte leverandører og tjenesteudbydere. Loven siger ikke, hvor en leverandør skal høre hjemme. Styrelsen for Samfundssikkerheds vejledning fra juni 2025 nævner blandt kriterierne ved leverandørvalg, om I kan skifte til en anden, og hvordan det står til med leverandørens økonomi og geopolitiske risiko. Det er en vejledning, og kriterierne er noget, I skal vurdere. Kravet om en europæisk udbyder står der ikke. Mere om det i Kræver NIS2 en europæisk cloud?
Databeskyttelse. Persondata må gerne ligge hos en cloududbyder, også en standardydelse på standardvilkår. Datatilsynet skriver, at det ikke i sig selv diskvalificerer en ydelse. Ifølge tilsynet kan en tjeneste dog være udelukket, når I ikke kan gennemføre de tekniske tiltag, behandlingen kræver. Kravene handler om behandlingen og overførslerne og retter sig ikke mod en bestemt nationalitet hos udbyderen. Se Datatilsynets cloudvejledning set fra drift og arkitektur.
DORA. Forordningen om digital operationel modstandsdygtighed gælder kun finansielle enheder. Den stiller bl.a. krav om exitstrategier for de IKT-tjenester, der bærer kritiske eller vigtige funktioner, og om at vurdere koncentrationen hos udbydere, der er vanskelige at erstatte (art. 28 og 29). Den kræver ikke en europæisk udbyder. For andre virksomheder kan den bruges som model, og så er det et valg.
Vi har ikke læst alle sektorregler. Er I i en branche med egne regler, fx sundhed eller forsyning, skal de læses for sig, og et konkret spørgsmål om rækkevidden er et spørgsmål til advokat.
Når kunden stiller kravet
Kundekrav har en særlig vægt, fordi de står i en kontrakt, I har skrevet under på. Læs kravet ordret. Nogle formuleringer handler om, hvor data opbevares, og siger intet om ejeren af udbyderen. Andre kræver en europæisk kontraktpart eller drift fra EU. Det er tre forskellige krav, og de giver tre forskellige svar i infrastrukturen.
Spørg kunden, hvad kravet skal dække, før I ændrer noget. Det kan vise sig, at en dokumentation af jeres led er nok, eller at kravet kun gælder de data, I behandler for netop den kunde. Hvad I svarer, står i Kunden kræver europæisk hosting.
Når compliance er et salgsargument
Når en udbyder eller partner siger, at reglerne kræver deres løsning, så bed om paragraffen. Er der ingen, er det et argument for produktet, og det kan stadig være et godt produkt. Det skal vurderes som et valg.
Tre spørgsmål skiller det ad. Hvilken regel eller kontrakt stiller kravet, og hvor står det? Gælder det jer, eller en anden type virksomhed? Og kræver det et skifte, eller kan det dækkes af dokumentation, aftaletillæg eller en teknisk ændring på den platform, I står på?
Hvornår reglerne alligevel peger på et skifte
Reglerne kan føre til et skifte uden at kræve det direkte. Det sker, når jeres egen risikovurdering efter NIS2 viser, at et kritisk system er afhængigt af én udbyder, I ikke kan skifte fra i tide. Det sker, når en overførsel af persondata ikke kan gøres lovlig med de foranstaltninger, tjenesten tillader. Og for finansielle enheder, når exitstrategien efter DORA ikke kan gennemføres på den nuværende platform.
I de tilfælde er skiftet en konsekvens af vurderingen. Begrundelsen er jeres egen, og den skal stå skrevet, så den kan vises frem.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over de regler og kontrakter, der faktisk gælder for jer, med den ordlyd, der stiller krav til leverandører. Det kan være en håndfuld dokumenter. Regn med nogle dage for den, der har compliance-ansvaret, sammen med den, der kender infrastrukturen.
Lader I være, træffer I beslutningen på andres udlægning. Det kan betyde et skifte, der kostede projekttid, parallel drift og nye driftsopgaver uden at løse et krav, der ikke fandtes. Det kan også betyde, at et reelt kundekrav bliver overset, og at I mister en ordre eller må svare i hast. Begge dele kan I selv sætte tal på.
Det skal I lade være med
- At købe en platform på en paragraf, ingen har vist jer · bed om ordlyden, før I bestiller.
- At læse en vejledning som en lov · vejledningens spørgsmål er noget, I vurderer.
- At gøre DORA til et krav uden for finans · som model er den nyttig, som pligt gælder den ikke.
Det skal valget kunne vise
- ☐ De regler og kontrakter, der gælder, med den ordlyd, der stiller krav.
- ☐ Om kravet gælder opbevaring, drift eller kontraktpart.
- ☐ Jeres egen risikovurdering af de kritiske systemer.
- ☐ Hvilke beslutninger der bygger på krav, og hvilke på eget valg.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 6.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven, implementering af cybersikkerhedsforanstaltninger, juni 2025.
- Datatilsynet, Cloud.
- Forordning (EU) 2022/2554 (DORA): art. 28 og 29.
Senest gennemgået: november 2026.
Næste skridt
Skriv de regler og kontrakter op, der gælder for jer, og find ordlyden. Så ved I, om spørgsmålet er en pligt eller et valg.
Læs også: DORA og cloud · Jurisdiktion omsat til arkitektur
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
