Et kravark til en cloud- eller hostingleverandør kan stå på én side med syv felter: ejer og kontrol, placering, adgang og support, nøgler, flytbarhed, underleverandører og dokumentation. Hvert felt er et spørgsmål, leverandøren skal svare skriftligt på, og hvert felt har en offentlig kilde, I kan henvise til.
Arket er til et privat køb. Det skal kunne sendes til tre leverandører på samme dag og give svar, der kan sammenlignes. Ingen af kilderne gør felterne til et krav for en privat virksomhed; det er jeres valg, hvilke I vil stille.
De syv felter
1. Ejer og kontrol. Hvilket selskab er kontraktpart, i hvilket land er det registreret, og hvem ejer det? Kan et land uden for EU kontrollere selskabet eller dets ejere? Kilde: Kommissionens Cloud Sovereignty Framework, målene for strategi og jurisdiktion (SOV-1 og SOV-2). Art. 28 i Data Act (dataforordningen) kræver desuden, at udbyderen af en cloudtjeneste offentliggør jurisdiktionen for infrastrukturen bag tjenesten.
2. Placering. I hvilke lande og datacentre ligger data, kopier, metadata og telemetri? Kan vi selv bestemme placeringen? Kilde: BSI’s C3A-kriterier om, at kunden skal kunne styre placeringen, og at afledte data og kontodata skal kunne holdes i EU.
3. Adgang og support. Hvorfra logger drift og support ind, og bruges underleverandører til det? Skal vores godkendelse indhentes, før nogen ser vores data? Kilde: Datatilsynet behandler også adgang til at se data fra et tredjeland som en overførsel. Se Hvem kan logge ind?.
4. Nøgler. Kan krypteringsnøglerne ligge uden for udbyderens eget miljø, og hvem kan bruge dem? Kilde: C3A-kriteriet om ekstern nøglehåndtering for infrastruktur- og platformtjenester og rammens mål for data (SOV-3).
5. Flytbarhed. Hvordan tager vi data, virtuelle maskiner og konfiguration med ud, i hvilke formater og med hvilke kendte begrænsninger? Kilde: Data Act art. 25 og 26, der kræver rettighederne ved skift skrevet ind i aftalen og en beskrivelse fra udbyderen af fremgangsmåde, formater og begrænsninger, man kender til, og art. 30 om funktionel ækvivalens for infrastrukturtjenester. BSI’s C5:2026 har desuden et afsnit om portabilitet og interoperabilitet.
6. Underleverandører. Hvilke underleverandører indgår i driften af vores tjeneste, og hvordan dokumenteres deres kontroller? Kilde: C5 kræver, at kontroller, udbyderen forudsætter hos underleverandører, står i rapporten. En ISAE-erklæring kan udelade underleverandører, som beskrevet under ISAE fra hosting og datacenter.
7. Dokumentation. Hvilken gældende dokumentation dækker vores tjenester og steder: C5-erklæring, ISAE-erklæring, ISO 27001-certifikat med omfang eller national kvalifikation? Kilde: ordningerne selv. Se EUCS om, hvorfor EU’s egen certificering ikke kan kræves endnu.
Tilføj et ottende felt, hvis prisen skal med: hvilke gebyrer gælder ved skift og ved førtidig opsigelse? Efter Data Act art. 29 skal udbyderen oplyse det før aftalen, og fra 12. januar 2027 må udbyderen ikke opkræve skiftegebyrer for selve skifteprocessen.
Felterne i CADA-forslaget
CADA-forslaget fra juni 2026 bruger lignende felter i sine krav til cloudtjenester for offentlige organer: etablering i EU, data inklusive metadata og telemetri i EU, sporbarhed og kontrol ved support uden for EU og fuld åbenhed om underleverandører. Det er et forslag, og det gælder ikke private virksomheder. Felterne er nævnt, fordi de viser, at spørgsmålene er de samme, som EU selv stiller. Se CADA for købere.
Sådan bruger I arket
Vælg felterne pr. system. Et testmiljø har brug for felt 5 og 7. Et system med kundedata under kontraktkrav har brug for alle syv. Giv hvert felt en af tre markeringer: skal opfyldes, skal besvares, eller ikke relevant.
Bed om skriftlige svar med kilde. Svaret skal pege på et dokument: aftalen, en side på udbyderens websted, en erklæring eller et certifikat. “Ja” uden henvisning er en selvangivelse.
Sammenlign felt for felt. Læg svarene fra flere leverandører ved siden af hinanden. Kommissionens egen vejledning til suverænitetsrammen bemærker, at selvangivelser kræver meget arbejde af den, der vurderer. Det gælder også for en virksomhed.
Sæt dato på. Svarene gælder på datoen. Ejere, steder og supportmodeller ændrer sig.
For programmer findes en tilsvarende målestok på europaeiske-alternativer.dk, hvor programmerne vurderes. Arket her handler om infrastrukturen under programmerne.
Hvad det kræver, og hvad det koster at lade være
At tilpasse arket til jeres systemer tager en halv dag. At læse svarene tager to til fire timer pr. leverandør, mere hvis svarene peger på erklæringer, der skal læses. Arket kan bruges igen ved hver fornyelse og hvert nyt system.
Lader I være, bliver valget truffet på de beskrivelser, leverandørerne selv har skrevet. To leverandører, der begge skriver “europæisk og sikker”, kan ikke skelnes. Posten er timerne til at finde svarene bagefter, når en kunde, en bestyrelse eller en revisor spørger, og risikoen for at have valgt en leverandør, der ikke kan svare på det, jeres kunder kræver.
Det skal I lade være med
- At stille alle felter som ufravigelige krav for alle systemer · I udelukker leverandører, der passer fint til de mindre vigtige systemer.
- At acceptere svar uden henvisning til et dokument · en selvangivelse kan ikke sammenlignes.
- At sende arket uden at have sorteret jeres systemer · leverandøren kan ikke svare på et krav, I ikke selv har prioriteret.
Det skal valget kunne vise
- ☐ De syv felter, markeret pr. system.
- ☐ Skriftlige svar med henvisning til dokument og dato.
- ☐ Svarene fra flere leverandører sammenlignet felt for felt.
- ☐ Gebyrer ved skift og førtidig opsigelse, hvis prisen er med.
Kilder
- Europa-Kommissionen: Cloud Sovereignty Framework, version 1.2.1 og Implementation guidance.
- BSI: C3A, version 1.0 og C5 FAQ.
- Forordning (EU) 2023/2854 (Data Act): art. 25, 26, 28, 29 og 30.
- Datatilsynet: Cloud.
- Europa-Kommissionen: forslag til Cloud and AI Development Act, COM(2026) 502, bilag II.
Senest gennemgået: november 2026.
Næste skridt
Tag jeres vigtigste system, markér de syv felter, og send arket til den leverandør, I bruger i dag.
Læs også: Syv led fra bygning til support · Spørg om Data Act, før I vælger udbyder
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
