I svarer med en beskrivelse af jeres infrastruktur led for led: hvor data ligger, hvem der driver serverne, hvem der kan logge ind, og hvem der er kontraktpart, med kilde og dato for hvert led. Står I hos en amerikansk udbyder, siger I det, viser hvilke led der er europæiske, og hvad I gør ved resten.
Kravet kan komme fra kunder, der selv er omfattet af NIS2 og derfor skal stille krav til deres leverandører. Den danske NIS2-lov kræver i § 6 forsyningskædesikkerhed, herunder sikkerhedsforhold mellem enheden og dens direkte leverandører. Loven siger ikke, at leverandøren skal være europæisk. Kunden kan alligevel vælge at kræve det, og så står det i kontrakten.
Læs kravet ordret
Det første er at finde ud af, hvad kunden faktisk har skrevet. Tre formuleringer er værd at kende, og de kræver noget forskelligt.
Data skal opbevares i EU. Det handler om, hvor diskene står. En EU-region hos en hvilken som helst udbyder kan opfylde det, hvis kopier, backup og logfiler også ligger i EU.
Data må ikke kunne tilgås fra lande uden for EU. Det handler om drift og support. Hvem har administratoradgang, og hvorfra? Det kan kræve ændringer i aftalen med udbyderen eller driftspartneren.
Leverandøren skal være europæisk. Det handler om kontraktpart og ejer. Det kan ikke opfyldes ved at vælge region.
Er kravet uklart, så spørg kunden, hvad det skal dække. Spørgsmålet er en del af et professionelt svar.
Svaret led for led
Et godt svar har samme felter for hver del af infrastrukturen, så kunden kan se det hele på én side. Brug sitets syv led som felter, fra bygningen til kontraktparten.
Hvert felt får navnet på den, der står for leddet, stedet og kilden til oplysningen. Er et led ukendt, står det som ukendt. Et svar med et åbent felt er mere troværdigt end et svar, der lover for meget.
Dokumentationen kommer fra jeres egne udbydere. Har de en cloudtjeneste, skal de efter art. 28 i Data Act (dataforordningen) have en side, der siger, under hvilket lands ret hver tjeneste drives, og hvordan de beskytter ikke-personlige data mod krav fra stater uden for EU. Efter vores læsning kan I bruge de oplysninger som bilag i jeres svar, led for led, med dato for hvornår I læste dem. Erklæringer fra datacentret og driftspartneren hører også med.
Når I står hos en amerikansk udbyder
Så skal svaret være ærligt om kontraktparten. Det, I kan vise, er de led, der ligger i Europa: datacentret, regionen, eventuelt nøglerne og jeres egen administrative adgang. Det, I ikke kan ændre ved at vælge region, er selskabet på aftalen og dets ejer.
Herefter er der tre måder at møde kravet.
Dokumentation er nok. Hvis kravet handler om opbevaring, kan en beskrivelse af regionen, kopierne og adgangen være tilstrækkelig.
Tekniske ændringer. Hvis kravet handler om adgang, kan nøgler under jeres kontrol, begrænset supportadgang og logning af administratorer flytte jer et stykke. Se Jurisdiktion omsat til arkitektur.
Delvis flytning. Hvis kravet handler om kontraktpart, kan det være nok at flytte de systemer og data, der vedrører netop den kunde. Det kræver, at systemet kan skilles ud. Se Delvis flytning.
Lov aldrig kunden en flytning, I ikke har planlagt. Skriv hellere, hvad I har nu, og hvad I vil undersøge, med en dato.
Kunden spørger også om programmerne
Kravet kan også følge med ned i de programmer, I bruger: mail, filer, økonomi. Det er en anden vurdering, og den står på europaeiske-alternativer.dk. Denne artikel tager sig af serverne og platformen under dem. Beder kunden om at se jeres plan for at komme væk fra en udbyder, er det beskrevet på exit-plan.dk.
Hvad det kræver, og hvad det koster at lade være
Første svar kræver, at I kender jeres egne led. Har I aldrig gjort det, tager det en til to uger at samle oplysningerne fra udbydere, datacenter og driftspartner. Derefter er det et dokument, der skal holdes ajour, fx hvert halve år eller når en leverandør ændres.
Lader I være, svarer I i hast, når kunden beder om et tilbud eller fornyer aftalen. Et svar, der lover mere, end infrastrukturen kan holde, er en risiko i kontrakten. Et svar, der kommer for sent eller er for uklart, kan koste ordren. Hvad en ordre er værd, ved I selv. Et halvårligt dokument koster nogle timer.
Det skal I lade være med
- At svare på et krav, I ikke har læst ordret · opbevaring, adgang og kontraktpart er tre forskellige krav.
- At love en flytning for at vinde en ordre · skriv det, I har, og det, I undersøger.
- At bruge udbyderens markedsføring som dokumentation · brug aftalen, art. 28-oplysningen og erklæringerne.
Det skal valget kunne vise
- ☐ Kundens krav ordret, og hvad det dækker.
- ☐ De syv led med navn, sted, kilde og dato.
- ☐ Udbydernes oplysninger efter art. 28, med dato.
- ☐ De led, der ikke opfylder kravet, og hvad I gør ved dem.
Kilder
Senest gennemgået: november 2026.
Næste skridt
Find kundens krav frem, og sæt det ved siden af jeres syv led. Så ser I, hvilke led der mangler dokumentation.
Læs også: Softwarehus: kunderne spørger, hvor I hoster · Compliance som grund
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
