Två olika löften säljs som ett ord
Suverän molntjänst används för att beskriva minst två orelaterade garantier, och otydligheten gör mycket av säljjobbet åt en leverantör: var dina data fysiskt befinner sig, och vilket lands domstolar som kan tvinga en leverantör att lämna ut dem. Det här är inte samma fråga, och en produkt kan besvara den första bra samtidigt som den lämnar den andra vidöppen.
Datalokalisering är ett faktum om plats. Juridisk jurisdiktion är en fråga om vilket lands domstolar och myndigheter som har makt över det bolag som driver servrarna, oavsett var dessa servrar står. En molnregion fysiskt belägen i Frankfurt eller Paris besvarar i sig inte jurisdiktionsfrågan alls.
Vad CLOUD Act faktiskt säger
Den amerikanska CLOUD Act från 2018 avgjorde jurisdiktionsfrågan för varje leverantör med huvudkontor i, eller med tillräcklig verksamhet i, USA. Dess operativa text, kodifierad i 18 U.S.C. 2713, kräver att en omfattad leverantör efterlever ett rättsligt krav på att bevara, säkerhetskopiera eller lämna ut data "oavsett om sådan kommunikation, sådant register eller annan information finns inom eller utanför USA."
Microsofts egen beskrivning av sina åtaganden kring EU Data Boundary täcker datalokalisering och var behandlingen sker i detalj, men tar inte upp exponeringen mot CLOUD Act någonstans i den beskrivningen. Gapet blev tydligt under ed: i juni 2025 sade Microsoft Frankrikes chefsjurist, Anton Carniaux, till en kommitté i franska senaten som granskade suveränitet vid offentlig upphandling, att han inte kunde garantera att EU-lagrad kunddata aldrig skulle nå amerikanska myndigheter, och tillade bara att det ännu inte hade hänt.
Bara vissa suveränitetssystem berör den faktiska jurisdiktionsfrågan
Tre europeiska certifieringsnamn används nästan synonymt, och bara ett av dem begränsar faktiskt vem som juridiskt kan tvingas lämna ut dina data.
Frankrikes SecNumCloud, som drivs av cybersäkerhetsmyndigheten ANSSI, kräver att aktieägare utanför EU förblir en minoritetsandel i det drivande bolaget och anger sitt syfte uttryckligen: att skydda operatören från ett beslut utfärdat av en stat utanför EU, så att bolaget bara svarar inför EU-rätt. Tysklands C5-katalog, som drivs av BSI, är ett helt annat slags system: ett intyg om säkerhetskontroller, där BSI klart och tydligt anger att myndigheten inte ens granskar de revisorer som utfärdar C5-rapporter, och det finns inget ägar- eller jurisdiktionskrav någonstans i kriterierna. Det EU-omfattande systemet som är tänkt att stå över båda, EUCS, är fortfarande formellt inte antaget i augusti 2026. Nationella certifieringsmyndigheter, däribland den nederländska NCCA, bekräftar att inga certifikat utfärdas under det.
| System | Jurisdiktionsgaranti | Status, augusti 2026 |
|---|---|---|
| SecNumCloud (Frankrike, ANSSI) | Ja, aktieägare utanför EU begränsas, juridiska beslut utanför EU blockeras | Aktiv, utfärdar kvalificeringar |
| C5 (Tyskland, BSI) | Nej, endast intyg om säkerhetskontroller | Aktiv, utfärdar rapporter |
| EUCS (EU-omfattande) | Omtvistad, skulle bero på slutlig försäkringsnivå | Ännu inte antaget |
Vad detta betyder för dig
Ett efterlevnadssvar som säger "vi använder en suverän molntjänst" är inte ett fullständigt svar förrän du vet vilken av de två garantierna det faktiskt ger dig.
Fråga leverantören direkt om det drivande bolaget är juridiskt immunt mot jurisdiktion utanför EU, SecNumCloud-modellen, eller bara granskat för säkerhetskontroller med data lagrad i regionen, C5-modellen som de flesta "EU-region"-erbjudanden från globala leverantörer liknar. Om ditt egentliga krav är att hålla data utom räckhåll för en utländsk regering snarare än att uppfylla en punkt om datalokalisering, är det bara en jurisdiktionsimmun struktur som uppfyller det.
Acceptera inte "EU data boundary"-språk ensamt som bevis på jurisdiktionsimmunitet. Ställ samma fråga till leverantörens egen juridiska rådgivare som franska senaten ställde till Microsofts, och förvänta dig samma ärliga svar om strukturen inte har ändrats.
Läs vidare: Europa byggde den digitala eurons moln utan USA | Frankrike flyttar sin hälsodatabas bort från Azure
