EUCS, EU’s planlagte certificering af cloudtjenesters cybersikkerhed, er ikke vedtaget pr. 8. november 2026, og der findes derfor ingen EUCS-certifikater at kræve. Indtil den er vedtaget, kan en køber kræve dokumentation efter de ordninger, der findes: en C5-erklæring, et ISO 27001-certifikat med omfang, en ISAE-erklæring eller en national kvalifikation.
Det betyder, at jeres kravark ikke skal vente på EUCS. Det skal beskrive, hvad I vil have dokumenteret, og acceptere de ordninger, der kan dokumentere det.
Status pr. november 2026
ENISA’s udkast. EU’s cybersikkerhedsagentur ENISA har et dokument kaldet “Candidate EUCS Scheme v1.0”, som agenturets egen side beskriver som et udkast. Det blev offentliggjort i december 2020, og siden er sidst ændret i april 2026.
Kommissionen. I begrundelsen til CADA (Cloud and AI Development Act), som Kommissionen foreslog 3. juni 2026, konstaterer Kommissionen, at EUCS stadig mangler at blive vedtaget, og at arbejdet skal tages op igen. Kommissionen skriver også, at certificering efter cybersikkerhedsforordningen kan dække tekniske cybersikkerhedskrav, men ikke er egnet til suverænitetshensyn ud over dem.
En ny cybersikkerhedsforordning. Kommissionen har foreslået en ny cybersikkerhedsforordning, COM(2026) 11 fra januar 2026, der skal afløse den gældende. Den afventer udvalgsbehandling i Europa-Parlamentet pr. 8. november 2026.
Ingen primærkilde, sitet har fundet, angiver en dato for vedtagelse af EUCS. Historikken og striden om suverænitetskravene er gennemgået på digital-suveraenitet.dk under EUCS.
Hvad EUCS skal bruges til, når den kommer
To ting er værd at vide for en køber.
EUCS er tænkt som en sikkerhedscertificering. Kommissionen skriver selv, at den ikke dækker suverænitet ud over det tekniske. Den vil altså ikke svare på, hvem der ejer udbyderen, eller hvilke landes love der gælder.
I CADA-forslaget skal en europæisk cybersikkerhedscertificering bruges i de højere suverænitetsniveauer, når en sådan ordning findes. Indtil da kan nationale ordninger bruges, hvor et land har en. CADA er et forslag og gælder ikke.
Derfor bliver jeres krav to slags, også når EUCS kommer: krav til sikkerhed, som en certificering kan dokumentere, og krav til ejerskab, placering og kontrol, som skal dokumenteres på anden måde.
Det, I kan kræve i stedet
Disse ordninger findes og kan bruges nu. De dækker forskellige ting, og omfanget skal læses hver gang.
C5-erklæring. Tysk kriteriekatalog fra BSI for sikker cloud. En revisor afgiver erklæringen for bestemte tjenester i bestemte regioner. Ifølge BSI udstedes der ingen C5-certifikater. Se C5 og C3A.
ISO 27001-certifikat. Et certifikat for udbyderens ledelsessystem for informationssikkerhed, med et omfang, der kan være mindre end hele udbyderen. Se ISO 27001 på udbyderens side.
ISAE-erklæring. En revisors erklæring om udbyderens kontroller, ofte efter ISAE 3402 eller ISAE 3000. Læs, om datacenter og andre underleverandører er med eller skåret fra. Se ISAE-erklæringen fra hosting og datacenter.
National kvalifikation. Den franske SecNumCloud er en kvalifikation fra den franske myndighed ANSSI. Den indgår blandt de standarder, C5 bygger på, ifølge BSI.
Sådan skriver I kravet
Skriv, hvad der skal dokumenteres, og nævn ordningerne som eksempler på godkendt dokumentation. Et krav kan lyde sådan:
“Udbyderen dokumenterer sin informationssikkerhed for de tjenester og datacentre, vi bruger, med en gældende revisorerklæring (fx C5 eller ISAE 3000/3402 type 2) eller et gældende certifikat (fx ISO 27001), hvor omfanget dækker de pågældende tjenester og steder. Når en europæisk certificering af cloudtjenester er vedtaget, kan den træde i stedet.”
Tilføj tre ting, som ingen af ordningerne svarer på alene:
- Hvem der ejer udbyderen, og hvilke landes love der gælder.
- Hvor data, metadata og kopier ligger.
- Hvem der kan logge ind, og fra hvilke lande.
Felterne står i arket med syv krav.
Hvad det kræver, og hvad det koster at lade være
At skrive kravet om tager et par timer. Den reelle opgave er at læse udbydernes erklæringer og certifikater, når de kommer: omfang, periode, revisor og eventuelle forbehold. Regn med to til fire timer pr. udbyder første gang, mindre ved den årlige gennemgang.
Lader I være og venter på EUCS, har I intet krav i dag, og udbyderen bestemmer selv, hvad der vises. Skriver I EUCS ind som krav, kan ingen udbyder opfylde det. I begge tilfælde ender valget med at bygge på udbyderens egne ord. Posten er den tid, det tager at dokumentere sikkerheden bagefter, når en kunde eller revisor spørger.
Det skal I lade være med
- At kræve EUCS-certificering · ordningen er ikke vedtaget pr. november 2026.
- At tro, at en sikkerhedscertificering svarer på ejerskab · Kommissionen skriver selv, at den ikke gør.
- At acceptere en ordning uden at læse omfanget · erklæringer og certifikater dækker bestemte tjenester og steder.
Det skal valget kunne vise
- ☐ Et sikkerhedskrav, der accepterer de ordninger, der findes nu.
- ☐ Omfang, periode og udsteder for den dokumentation, udbyderen viser.
- ☐ Særskilte krav til ejerskab, placering og adgang.
- ☐ En dato for, hvornår EUCS’ status ses igen.
Kilder
- ENISA: Candidate EUCS Scheme v1.0.
- Europa-Kommissionen: forslag til Cloud and AI Development Act, COM(2026) 502, begrundelsen og bilag II.
- Europa-Parlamentet: Legislative Observatory, 2026/0011(COD)), læst 8. november 2026.
- BSI: C5 FAQ.
Senest gennemgået: november 2026.
Næste skridt
Find det sted i jeres kravark, hvor sikkerheden skal dokumenteres, og skriv det om, så det accepterer de ordninger, der findes nu.
Læs også: ISAE-erklæringen fra hosting og datacenter · CADA for købere
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
