EU namnger sin första suveräna molnlista

Bryssel publicerar sitt första suveränitetsbetyg

EU-kommissionen tilldelade den 17 april 2026 de första kontrakten inom sitt nya Cloud Sovereignty Framework, ett upphandlingsramverk på 180 miljoner euro över sex år inom kommissionens Cloud III Dynamic Purchasing System, som enligt Help Net Securitys rapportering redan lanserades i oktober 2025. Med tilldelningen införde kommissionen en graderad bedömningsskala kallad SEAL, för Sovereignty Effectiveness Assurance Level, som går från SEAL-0 till SEAL-4, där SEAL-0 markerar total avsaknad av suveränitet och SEAL-4 kräver en helt europeisk leverantörskedja, från kisel till mjukvara.

Leverantörer behövde nå minst SEAL-2, av kommissionen beskrivet som en datasuveränitetsnivå, bara för att över huvud taget kunna komma i fråga för ett kontrakt. Den tröskeln spelar roll eftersom den ersätter ett vagt, självdeklarerat påstående om suveränitet med ett konkret hinder som varje anbudsgivare måste klara innan Bryssel ens övervägde budet, bedömt utifrån åtta viktade mål kring strategi, rättsligt skydd, operativ kontroll, miljöansvar, transparens i leverantörskedjan, teknisk öppenhet, säkerhet och efterlevnad av EU-rätt.

Fyra vinnare, två olika suveränitetsnivåer

Fyra konsortier klarade hindret och har nu kontrakt inom ramverket, vart och ett förankrat i ett annat EU-land och vart och ett landat på en annan SEAL-nivå. Post Telecom, med säte i Luxemburg, vann tillsammans med franska OVHcloud och CleverCloud; tyska STACKIT, ägt av Schwarz-koncernen som även äger Lidl och Kaufland, vann på egen hand; franska Scaleway, ägt av Iliad, vann likaså på egen hand; och ett konsortium lett av belgiska Proximus tillsammans med S3NS, Clarence och det franska AI-bolaget Mistral AI vann det fjärde kontraktet.

Post Telecom, STACKIT och Scaleway nådde alla SEAL-3, nivån som kommissionen definierar som immun mot störningar i en leverantörskedja utanför EU. Konsortiet lett av Proximus nådde SEAL-2, precis miniminivån, vilket speglar att dess tekniska miljö bygger på Google Cloud-teknik, även om varje opererande bolag i kedjan har säte inom EU.

En lista att köpa från idag, inte ett löfte för senare

Merparten av EU:s suveränitetspolitik har hittills stannat vid ett måldatum eller ett strategidokument. Det här ramverket är annorlunda: det namnger fyra konkreta leverantörer, anger vilken suveränitetsnivå var och en nådde, och låter varje EU-företag som just nu bedömer sin exponering mot den amerikanska CLOUD Act eller mot en framtida geopolitisk störning av molntillgång köpa redan idag från en bedömd, citerbar lista.

Den omedelbarheten är den verkliga nyheten här, inte upphandlingsmekaniken. Ett företag som oroar sig för att en utländsk regering ska kunna tvinga fram tillgång till dess molndata behöver inte längre vänta på ett framtida regelverk som talar om vem som kvalificerar sig; det kan peka på STACKIT, Scaleway, det OVHcloud-ledda Post Telecom-konsortiet eller den Mistral AI-kopplade Proximus-gruppen, och fråga var och en direkt vilken SEAL-nivå de faktiskt kan dokumentera.

Skillnaden mellan SEAL-2 och SEAL-3 är den verkliga upphandlingssignalen

Tre av de fyra vinnarna nådde SEAL-3 medan en enda nådde SEAL-2, och den gränsen drog kommissionen själv, i stället för att lämna den åt marknadsföringsspråk. En leverantör som kallar sig suverän gör därmed anspråk på en helt specifik nivå på en femstegsskala, och skillnaden mellan SEAL-2 och SEAL-3 markerar skillnaden mellan datasuveränitet och verklig immunitet mot störningar i en leverantörskedja utanför EU.

Varje upphandlingsteam som överväger ett molnkontrakt bör ställa den frågan till sin egen leverantör, oavsett om den kallar sig suverän eller inte: vilken SEAL-nivå skulle den faktiskt nå, och på vilket av de åtta viktade målen skulle den brista. Kommissionen har nu visat att den frågan har ett konkret, bedömbart svar, inte ett från marknadsavdelningen.

Läs vidare: Berlin lär sig suveränitet, Bryssel valde andra  |  Airbus suveränitetsavtal lämnar Skywise hos AWS