En privat virksomhed kan bruge Kommissionens Cloud Sovereignty Framework som målestok, og Kommissionen opfordrer selv både offentlige og private organisationer til det. Det niveau, I har brug for, afhænger af det enkelte system. For de fleste systemer i en privat virksomhed giver det højeste niveau ingen mening, og Kommissionen skriver selv, at det ikke er relevant i dag.
Rammen er skrevet til et offentligt udbud. Brugt af en virksomhed er den en tjekliste til jeres egne krav, som I selv holder udbydernes svar op imod.
Rammen kort
Rammen i version 1.2.1 er dateret oktober 2025 og udgivet af Kommissionens generaldirektorat for digitale tjenester. Den vurderer en cloudtjeneste på otte suverænitetsmål:
- Strategisk (SOV-1).
- Juridisk og jurisdiktion (SOV-2).
- Data og AI (SOV-3).
- Drift (SOV-4).
- Forsyningskæde (SOV-5).
- Teknologi (SOV-6).
- Sikkerhed og compliance (SOV-7).
- Miljø (SOV-8).
For hvert mål gives et niveau fra SEAL-0 til SEAL-4:
- SEAL-0: kontrollen ligger alene hos aktører uden for EU.
- SEAL-1: på papiret gælder EU-ret, men den kan næppe håndhæves.
- SEAL-2: EU-ret gælder og håndhæves, mens tjenesten stadig har væsentlige afhængigheder uden for EU.
- SEAL-3: aktører i EU har stor indflydelse; kontrol uden for EU er marginal.
- SEAL-4: alt styres i EU under EU-ret alene, uden kritiske afhængigheder uden for EU.
Niveau 3 har forskellige navne i rammen og i Kommissionens vejledning, så brug nummeret og indholdet. Rammens historik, vægte og beregninger er gennemgået på digital-suveraenitet.dk under EU’s suverænitetsramme.
Det vigtigste fra vejledningen
Kommissionens vejledning til rammen, lagt ud sammen med en nyhed 1. juni 2026, har fire pointer, der også gælder for en virksomhed:
Det svageste mål bestemmer. Det samlede SEAL-niveau er det laveste niveau, en tjeneste opnår på noget af de otte mål. En høj score på ét mål opvejer ikke et lavt på et andet.
Hele kæden tæller. Vurderingen skal gå gennem underleverandører og leverandører, mindst for beregning, lagring, netværk, sikkerhed, identitet og kritiske platformtjenester.
Niveau 4 er ikke realistisk i dag. Vejledningen skriver, at det højeste niveau ikke er relevant nu på grund af afhængigheden af bestemte forsyningskæder som chips og hardware.
Selvangivelser koster arbejde. Udbydernes egne svar kræver meget af den, der skal vurdere dem.
I Kommissionens eget udbud var SEAL-2 minimum. Kommissionen tildelte i april 2026 fire kontrakter, og de fleste tilbud nåede niveau 3. Kommissionen har meddelt, at der kommer en opdateret udgave af rammen.
Hvilket niveau har jeres systemer brug for?
Fremgangsmåden her er sitets egen. Fordel jeres systemer på tre grupper med hvert sit mål.
Systemer, hvor et stop eller en udlevering ville være alvorlig. Kundedata under kontraktkrav, systemer, der bærer den daglige drift, identitet og backup. Her er SEAL-2 et rimeligt minimum for jura, data og drift. Vejledningen beskriver niveau 2 for data som fuld kontrol med data, herunder kryptering, placering og sikker sletning, og med logs til rådighed. For drift er det drift udført og dokumenteret lokalt, hvor ekspertise uden for EU kan være nødvendig.
Systemer, hvor et stop er besværligt, men overkommeligt. Her kan I acceptere et lavere niveau på enkelte mål, når I har beskrevet afhængigheden og en vej ud.
Systemer uden følsomme data og uden betydning for driften. Her behøver I ikke vurdere efter rammen.
Det kan være rigtigt at kræve niveau 3 for et enkelt mål, fx data, hvis en kunde har krævet det. Niveau 4 skal I kun skrive ind, hvis I er klar til, at næsten ingen udbydere kan svare ja.
Sådan bruger I rammen i praksis
Brug målene som overskrifter i jeres kravark til udbyderen, og skriv for hvert mål, hvad I vil have dokumenteret. Rammens spørgsmål er skrevet til et udbud og kan forkortes. Kommissionens nyhed taler om 48 kriterier i otte kategorier, mens vejledningen nævner et spørgeskema med 43 spørgsmål. Tag dem, der passer til jeres system.
Vil I have kontrollerbare kriterier, har BSI i Tyskland udgivet C3A, som bygger på rammens struktur og omsætter den til kriterier, en revisor kan afprøve. Det er beskrevet i C5 og C3A. Felterne kan samles i ét ark til leverandøren.
CADA, Kommissionens lovforslag fra juni 2026, vil indføre en lignende ramme med fire niveauer for offentlige organer. Det er et forslag, og status pr. 8. november 2026 er, at det afventer udvalgsbehandling i Europa-Parlamentet. Se CADA for købere.
Hvad det kræver, og hvad det koster at lade være
Sorteringen klarer den, der kender systemerne, på en arbejdsdag. At skrive kravene om til rammens mål tager en til to dage. Den største post er at læse udbydernes svar, for selvangivelser skal holdes op mod dokumentation. Regn med en halv til en hel dag pr. udbyder pr. vigtigt system.
Kravene koster også i udvalg. Jo højere niveau, jo færre udbydere kan svare ja, og jo smallere bliver udvalget af tjenester. Det er en grund til at holde det høje niveau til de få systemer, der har brug for det.
Lader I være, har I ingen fælles målestok, når to udbydere begge kalder sig suveræne. Valget bliver så truffet på udbydernes egne ord, og det er svært at forklare bagefter for en kunde eller en bestyrelse.
Det skal I lade være med
- At kræve SEAL-4 for alt · Kommissionen skriver selv, at niveauet ikke er relevant i dag.
- At kalde en udbyder SEAL-certificeret · rammen er en vurderingsmetode, og sitet har ikke fundet en certificering efter den.
- At bruge rammens samlede score uden niveauet · det svageste mål bestemmer.
Det skal valget kunne vise
- ☐ Jeres systemer sorteret i tre grupper efter betydning.
- ☐ Et mindste SEAL-niveau pr. mål for den vigtigste gruppe.
- ☐ Udbydernes svar holdt op mod dokumentation.
- ☐ Begrundelse for de mål, hvor I accepterer et lavere niveau.
Kilder
- Europa-Kommissionen: Cloud Sovereignty Framework, version 1.2.1, oktober 2025.
- Europa-Kommissionen: Cloud Sovereignty Framework, Implementation guidance.
- Europa-Kommissionen: Sovereign Cloud Framework explained, 1. juni 2026.
- Europa-Kommissionen: Commission advances cloud sovereignty through strategic procurement, 17. april 2026.
- Europa-Parlamentet: Legislative Observatory, 2026/0138(COD)), læst 8. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Sortér jeres systemer i de tre grupper, og skriv et mindste niveau for jura, data og drift for den vigtigste gruppe.
Læs også: C5 og C3A · Hvad er suveræn cloud?
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
