EU navngiver nu sin suveræne skyliste

Bruxelles offentliggør sit første suverænitetsbevis

EU-Kommissionen tildelte den 17. april 2026 de første kontrakter under sin nye Cloud Sovereignty Framework, en indkøbsramme på 180 millioner euro over seks år under Kommissionens Cloud III Dynamic Purchasing System, som ifølge Help Net Securitys dækning allerede blev lanceret i oktober 2025. Med tildelingen indførte Kommissionen en gradueret vurderingsskala kaldet SEAL, for Sovereignty Effectiveness Assurance Level, der går fra SEAL-0 til SEAL-4, hvor SEAL-0 markerer en fuldstændig mangel på suverænitet, og SEAL-4 kræver en fuldt europæisk leverandørkæde, fra chip til software.

Udbydere skulle nå mindst SEAL-2, af Kommissionen beskrevet som et datasuverænitetsniveau, blot for at kunne komme i betragtning til en kontrakt. Den tærskel betyder noget, fordi den erstatter en vag, selverklæret påstand om suverænitet med en konkret forhindring, som enhver byder skulle klare, før Bruxelles overhovedet overvejede deres tilbud, vurderet ud fra otte vægtede mål om strategi, juridisk beskyttelse, operationel kontrol, miljøansvar, gennemsigtighed i leverandørkæden, teknologisk åbenhed, sikkerhed og overholdelse af EU-ret.

Fire vindere, to forskellige suverænitetsniveauer

Fire konsortier klarede forhindringen og har nu kontrakter under rammen, hvert forankret i et andet EU-land og hvert landet på et andet SEAL-niveau. Post Telecom, med hjemsted i Luxembourg, vandt sammen med de franske OVHcloud og CleverCloud; det tyske STACKIT, ejet af Schwarz-koncernen, der også ejer Lidl og Kaufland, vandt alene; det franske Scaleway, ejet af Iliad, vandt ligeledes alene; og et konsortium ledet af det belgiske Proximus sammen med S3NS, Clarence og det franske AI-firma Mistral AI vandt den fjerde kontrakt.

Post Telecom, STACKIT og Scaleway nåede alle SEAL-3, det niveau Kommissionen definerer som immun over for forstyrrelser i en leverandørkæde uden for EU. Konsortiet ledet af Proximus nåede SEAL-2, netop minimumstærsklen, hvilket afspejler at dets tekniske miljø bygger på Google Cloud-teknologi, selvom hvert opererende selskab i kæden har hjemsted i EU.

En liste at købe fra i dag, ikke et løfte til senere

Størstedelen af EU's suverænitetspolitik er indtil nu blevet ved en måldato eller et strategidokument. Denne ramme er anderledes: den navngiver fire konkrete udbydere, angiver hvilket suverænitetsniveau hver af dem nåede, og lader enhver EU-virksomhed, der lige nu vurderer sin eksponering over for den amerikanske CLOUD Act eller en fremtidig geopolitisk forstyrrelse af cloudadgang, købe allerede i dag fra en vurderet, citerbar liste.

Den umiddelbarhed er den egentlige nyhed her, ikke selve udbudsmekanikken. En virksomhed, der frygter at en udenlandsk regering kan tvinge adgang til dens skydata igennem, behøver ikke længere vente på et fremtidigt regelsæt, der fortæller den hvem der kvalificerer; den kan pege på STACKIT, Scaleway, det OVHcloud-ledede Post Telecom-konsortium eller den Mistral AI-tilknyttede Proximus-gruppe, og spørge hver enkelt direkte, hvilket SEAL-niveau de faktisk kan dokumentere.

Forskellen mellem SEAL-2 og SEAL-3 er det egentlige indkøbssignal

Tre af de fire vindere nåede SEAL-3, mens én kun nåede SEAL-2, og den grænse trak Kommissionen selv, i stedet for at overlade den til markedsføringssprog. En udbyder, der kalder sig suveræn, fremsætter dermed et krav på et helt bestemt niveau på en femtrins skala, og forskellen mellem SEAL-2 og SEAL-3 markerer forskellen mellem datasuverænitet og reel immunitet over for forstyrrelser i en leverandørkæde uden for EU.

Ethvert indkøbsteam, der overvejer en skykontrakt, bør stille sin egen udbyder det spørgsmål, uanset om den kalder sig suveræn eller ej: hvilket SEAL-niveau ville den reelt nå, og på hvilket af de otte vægtede mål ville den halte bagefter. Kommissionen har nu vist, at det spørgsmål har et konkret, målbart svar, ikke et fra marketingafdelingen.

Læs videre: Berlin lærer suverænitet, Bruxelles valgte andre  |  Airbus' suverænitetsaftale beholder Skywise hos AWS