To forskellige løfter sælges som ét ord
'Suveræn cloud' bruges til at beskrive mindst to urelaterede garantier, og tvetydigheden gør en stor del af salgsarbejdet for leverandøren: hvor dine data fysisk befinder sig, og hvilket lands domstole der kan tvinge en udbyder til at udlevere dem. Det er ikke det samme spørgsmål, og et produkt kan besvare det første godt, mens det andet står helt åbent.
Datalokalitet er et geografisk faktum. Retlig jurisdiktion er et spørgsmål om, hvilket lands domstole og myndigheder der har magt over det selskab, der driver serverne, uanset hvor serverne befinder sig. En cloud-region, der fysisk ligger i Frankfurt eller Paris, besvarer i sig selv slet ikke jurisdiktionsspørgsmålet.
Hvad CLOUD Act egentlig siger
Den amerikanske CLOUD Act fra 2018 afgjorde jurisdiktionsspørgsmålet for enhver udbyder med hovedkontor i USA eller med tilstrækkelig forretning dér. Selve loven, kodificeret i 18 U.S.C. 2713, kræver, at en omfattet udbyder efterkommer et retligt krav om at bevare, sikkerhedskopiere eller udlevere data 'uanset om denne kommunikation, dette register eller andre oplysninger befinder sig inden for eller uden for USA'.
Microsofts egen beskrivelse af sine EU Data Boundary-forpligtelser (EU-datagrænse) gennemgår datalokalitet og behandlingssted i detaljer, men berører intetsteds eksponeringen over for CLOUD Act. Hullet kom frem direkte under ed: i juni 2025 fortalte Microsoft Frankrigs juridiske direktør, Anton Carniaux, et udvalg under det franske senat, der undersøgte suverænitet i offentlige indkøb, at han ikke kunne garantere, at EU-hostede kundedata aldrig ville nå amerikanske myndigheder - han tilføjede kun, at det endnu ikke var sket.
Kun nogle suverænitetsordninger rører ved det egentlige jurisdiktionsspørgsmål
Tre europæiske certificeringsnavne bruges næsten i flæng, og kun ét af dem begrænser reelt, hvem der retligt kan tvinges til at udlevere dine data.
Frankrigs SecNumCloud, som drives af cybersikkerhedsmyndigheden ANSSI, kræver, at ikke-EU-aktionærer forbliver en minoritetspost i det driftsansvarlige selskab, og angiver sit formål eksplicit: at beskytte operatøren mod en kendelse udstedt af en stat uden for EU, så selskabet kun står til ansvar over for EU-ret. Tysklands C5-katalog, som drives af BSI (den tyske it-sikkerhedsmyndighed), er en helt anden slags ordning: en attestering af sikkerhedskontroller, hvor BSI selv siger klart, at man ikke engang kontrollerer de revisorer, der udsteder C5-rapporter, og der findes intet ejerskabs- eller jurisdiktionskrav noget sted i kriterierne. Den EU-dækkende ordning, der er tænkt til at stå over begge, EUCS, er fortsat formelt ikke vedtaget pr. august 2026. Nationale certificeringsmyndigheder, herunder den hollandske NCCA, bekræfter, at der ikke udstedes certifikater under den.
| Ordning | Jurisdiktionsgaranti | Status, august 2026 |
|---|---|---|
| SecNumCloud (Frankrig, ANSSI) | Ja, ikke-EU-aktionærer er begrænset, ikke-EU-retskendelser blokeres | Aktiv, udsteder kvalifikationer |
| C5 (Tyskland, BSI) | Nej, kun attestering af sikkerhedskontroller | Aktiv, udsteder rapporter |
| EUCS (EU-dækkende) | Omstridt, ville afhænge af det endelige sikringsniveau | Endnu ikke vedtaget |
Hvad det betyder for dig
Et compliance-svar, der lyder 'vi bruger en suveræn cloud', er ikke et fyldestgørende svar, før man ved, hvilken af de to garantier man reelt får for pengene.
Spørg leverandøren direkte, om det driftsansvarlige selskab er retligt immunt over for ikke-EU-jurisdiktion - SecNumCloud-modellen - eller blot revideres for sikkerhedskontroller med data opbevaret i regionen - C5-modellen, som de fleste 'EU-region'-tilbud fra globale udbydere minder om. Hvis det egentlige krav er at holde data uden for en udenlandsk regerings rækkevidde snarere end blot at opfylde et punkt om datalokalitet, er det kun en jurisdiktionsimmun struktur, der opfylder det.
Accepter ikke alene formuleringen 'EU-datagrænse' som bevis på jurisdiktionsimmunitet. Stil leverandørens egen juridiske rådgiver det samme spørgsmål, som det franske senat stillede Microsofts, og forvent det samme ærlige svar, hvis strukturen ikke er ændret.
Læs videre: Europa byggede den digitale euros sky uden USA | Frankrig flytter sin sundhedsdatabase væk fra Azure
