CADA og cybersikkerhed: EU’s nye cloud-regler gør Digital Suverænitet til et sikkerhedskrav

EU-Kommissionens forslag til Cloud and AI Development Act, CADA, gør digital suverænitet til et målbart krav i offentlige cloud-indkøb. Det er også et sikkerhedsspørgsmål, fordi forslaget ser på, hvem der reelt har adgang til data, krypteringsnøgler og drift, og hvem der kan afbryde en tjeneste udefra. ICARE Security A/S gennemgår her, hvad de nye krav betyder for it-sikkerhed, risikostyring og forsyningskæder.

Fra datacenterets placering til reel kontrol

I mange år har det været nok at placere data i et europæisk datacenter for at kalde en løsning sikker og suveræn. CADA flytter fokus fra geografi til kontrol. Kommissionen offentliggjorde forslaget den 3. juni 2026 som hjørnestenen i sin Tech Sovereignty Package, og det skal håndtere både manglen på datacenterkapacitet i EU og afhængigheden af få cloud-leverandører uden for EU. Set med sikkerhedsbriller handler det om risikoen for, at en udenlandsk myndighed kan kræve adgang til data, eller at en leverandør uden for EU kan blokere eller afbryde en tjeneste. It-advokat Jesper Løffler Nielsen, associeret partner hos Focus Advokater og ph.d. i it-ret, har over for Computerworld udtrykt overraskelse over, hvor langt forslaget går, og påpeger, at det kan få direkte betydning for offentlige indkøb og hele cloud-markedet.

Risikovurdering bliver obligatorisk

Med CADA skal offentlige myndigheder foretage risikobaserede vurderinger og vælge cloud-tjenester, der opfylder det relevante sikringsniveau. Det minder om den tankegang, mange allerede kender fra NIS2 og DORA, hvor risikoen ved en tjeneste skal vurderes ud fra opgavens kritikalitet. En løsning til en mindre kritisk opgave skal ikke nødvendigvis opfylde de samme krav som systemer bag samfundskritiske funktioner. Ifølge Jesper Løffler Nielsen er det netop meningen, at visse eksisterende løsninger enten udelukkes eller må tilpasse sig. Det er dog ikke et forbud, for CADA vælger en risikobaseret og indkøbsdrevet tilgang, der fortsat giver globale hyperscalere adgang mod skærpede compliance-krav.

SEAL-niveauerne måler sikkerhed, kryptering og jurisdiktion

Kernen i forslaget er fire tillidsniveauer, der bygger på Kommissionens Cloud Sovereignty Framework. Skalaen går fra SEAL-0, der betyder fuldstændig mangel på suverænitet, til SEAL-4, der kræver en fuld EU-forsyningskæde fra chips til software. Rammeværket rummer flere mål, der direkte vedrører sikkerhed. SOV-2 undersøger eksponering over for udenlandske myndigheder, mens SOV-3 undersøger kundens kontrol over kryptografisk adgang. I praksis betyder det krav om kundens egen nøglekontrol via BYOK eller HSM og komplette adgangslogs, og om beskyttelse mod CLOUD Act, FISA og lignende, så der ikke findes juridiske, kontraktuelle eller tekniske kanaler for adgang fra tredjelande. Kommissionen har allerede brugt modellen i sit eget udbud, hvor leverandørerne skulle nå SEAL-2, som betyder, at de overholder EU-reglerne uden at kunden skal tilføje ekstra tekniske foranstaltninger for at beskytte sine data. Jesper Løffler Nielsen ser fælles kriterier som en klar fordel: “Lige nu er det marketingafdelingerne der definerer, hvad suverænitet er.”

Forsyningskæden er det svageste led

For sikkerhedsansvarlige er dette den vigtigste ændring. Vurderingen omfatter underleverandører, leverandører og tekniske lag og stopper ikke ved det byende selskab. En dansk leverandør, der driver et offentligt system på amerikansk cloud-infrastruktur, kan derfor ende på et lavere niveau, end selskabets nationalitet tilsiger. Det samme gælder udenlandsk sikkerhedssoftware, virtualiseringslag, identitets- og loginløsninger, backup og overvågning. Hver komponent kan være en vej ind for en tredjepart eller et punkt, hvor tjenesten kan lukkes ned. Ifølge Jesper Løffler Nielsen må danske leverandører derfor gennemgå deres teknologiske forsyningskæder for at kunne dokumentere, at de opfylder kundernes krav. Det er samme disciplin som et grundigt penetrationstest- og leverandøraudit, blot med jurisdiktion og ejerskab som ekstra parametre.

Eksisterende løsninger, backup og exitplaner

Forslaget indeholder overgangsregler, men konsekvenserne for indgåede aftaler afhænger af den endelige tekst. Jesper Løffler Nielsen fraråder at ændre eksisterende kontrakter alene på baggrund af forslaget, men anbefaler, at man ved større og langvarige cloud-indkøb allerede nu tænker fleksibilitet, exit og leverandørafhængighed ind. Set fra et sikkerhedsperspektiv bør exitplanen være teknisk afprøvet og ikke kun skrevet ned. Det kræver, at backup kan gendannes uden for den oprindelige platform, at krypteringsnøgler ejes af kunden, og at data kan flyttes til en alternativ europæisk løsning, hvis leverandøren ikke længere kan levere. CADA er fortsat kun et forslag, og der kan gå flere år, før reglerne finder anvendelse. Hos DI Digital peger flere medlemmer på, at det stadig er uklart, hvordan kravene konkret skal anvendes på forskellige cloud-løsninger, og hvilke leverandører der kan opfylde dem.

“Dem som sikrer sig WEB3 der inkluderer Digital Suverænitet og Open Source definitivt, har en højere cybersikkerhed. Det er fordi Open Source og Linux er mindre hacket end f.eks. Windows og Android og dermed forbedres sikkerheden generelt efter endt implementering af f.eks. Libre Office og Debian eller SUSE Enterprise Linux.

det siger Jesper Christiansen fra Agil Udvikling.

Sikkerhedstjekliste til it-chefer og CISO’er

Område	Hvad bør gøres nu
Nøglekontrol	Sikr at krypteringsnøgler ejes og styres af jer via BYOK eller HSM
Jurisdiktion	Kortlæg om leverandører og underleverandører er omfattet af CLOUD Act eller FISA
Forsyningskæde	Gennemgå alle tekniske lag fra hosting og virtualisering til login, backup og overvågning
Adgangslogs	Kræv fuld logning af alle administrative og tekniske adgange til data
Backup og exit	Test gendannelse uden for den oprindelige platform og dokumentér exitplanen
Risikovurdering	Klassificér systemer efter kritikalitet og koble dem til det krævede SEAL-niveau
Compliance	Afstem CADA-krav med NIS2, DORA og GDPR, så indsatsen ikke dobbeltarbejdes

ICARE Security A/S er en dansk it-sikkerhedsvirksomhed med kontorer i Herlev, Ringsted og Aarhus, der arbejder med penetrationstest, ransomware-beredskab, kryptering, MFA og sikker hosting via Server Hosting Center A/S. Kontakt info@icare.dk, hvis I vil have kortlagt jeres cloud-afhængigheder og forberedt jer på de kommende suverænitetskrav.

Kilde:	Computerworld, EU-Kommissionen, DI Digital, Hogan Lovells, Agil Udvikling A/S, AORS.DK, Morten Jensen, ICARE Security A/S, ICARE.DK
Kildelinks:	https://agiludvikling.dk/eus-nye-cloud-regler-goer-digital-suveraenitet-til-et-krav-i-dine-it-projekter-bl-a-med-seal2/, https://digital-strategy.ec.europa.eu/en/library/proposal-cloud-and-ai-development-act-cada, https://commission.europa.eu/news-and-media/news/commission-advances-cloud-sovereignty-through-strategic-procurement-2026-04-17_en, https://quality.arc42.org/standards/eu-cloud-sovereignty-framework, https://www.hoganlovells.com/en/publications/the-eus-cloud-and-ai-development-act-cada-towards-a-sovereigntyfocused-framework-for-cloud, https://www.danskindustri.dk/brancher/di-digital/nyhedsarkiv/nyheder/2026/9/cada/, https://www.computerworld.dk
Fotokredit:	stock.adobe.com
Personer/Firmaer/Emner/#:	#Jesper Løffler Nielsen, #Focus Advokater, #Computerworld, #EU-Kommissionen, #DI Digital, #ICARE Security A/S, #Server Hosting Center A/S, #Agil Udvikling A/S, #CADA, #Cloud and AI Development Act, #Cloud Sovereignty Framework, #SEAL, #SEAL2, #Digital suverænitet, #Cybersikkerhed, #CLOUD Act, #FISA, #BYOK, #HSM, #NIS2, #DORA, #Forsyningskæde, #Backup, #Ransomware
Copyrights:	Ⓒ 2026 Copyright by https://icare.dk – kan deles ved aktivt link til denne artikel.

D