Opsigtsvækkende Microsoft‑indrømmelse gør at danske virksomheder til Open Source i danske datacentre

Europa har fået en sjælden, men afgørende afklaring: Microsoft har under ed forklaret i det franske senat, at selskabet ikke kan garantere, at amerikanske myndigheder aldrig vil få adgang til europæiske borgeres data hos Microsoft. Det bekræfter en retlig realitet, som compliance‑ansvarlige længe har kæmpet med. Det skriver the Register og Microsoft.

En af de seneste meldinger fra Microsoft er, at standardlagring vil ske online. Det er sådanne tiltag der skaber masseflugt fra Microsoft.

Samtidig oplever franske OVHcloud og andre europæiske udbydere mærkbar interesse fra offentlige myndigheder og virksomheder, der vil mindske afhængigheden af amerikanske hyperscalere. Microsoft har da også sendt et gratis værk på gaden, der kan flytte VMWARE til Microsoft på få timer.

Hvad skete der i senatshøringen i paris

« Non, je ne peux pas le garantir ».

Kilde: Frandroids dækning af høringen (udtalelse af Microsoft Frankrigs juridiske direktør, Anton Carniaux, under ed i det franske senat).

The Register beskriver samme pointe og knytter den eksplicit til Cloud Act: Microsoft “cannot guarantee” datasuverænitet, og anerkender at lovligt pålæg fra USA kan gennemtvinges over for amerikanske selskaber.

Microsoft har parallelt lanceret “EU Data Boundary”, der indsnævrer hvor i verden data behandles og lagres for europæiske kunder. Ordningen er nu erklæret komplet og omfatter bl.a. Microsoft 365, Dynamics 365, Power Platform og det meste af Azure, men med dokumenterede undtagelser i særlige tilfælde. Det skriver Microsoft, men flere kritikkere har påstået at Microsoft ikke kan garantere dette.

Cloud act, GDPR og Schrems: den retlige ramme forklaret

“A provider of electronic communication service or remote computing service shall comply with the obligations of this chapter … regardless of whether such communication, record, or other information is located within or outside of the United States.”

Kilde: 18 U.S.C. § 2713 (CLOUD Act‑ændringen i 2018).

Cloud Act er ikke i sig selv et “direkte rør” ind i europæiske datacentre, men en jurisdiktionsregel, der kan forpligte amerikanske udbydere til at efterkomme gyldige retskendelser også for data i EU.

Det er præcis den begrænsning Microsofts repræsentanter beskrev over for det franske senat. Dette kan føre til massesøgsmål og kollektive søgsmål og dertil kommer at danske virksomheder søger danske datacentre, der som udgangspunkt kan garantere at data forbliver i Danmark.

På EU‑siden definerer GDPR kapitel V (art. 44‑49) reglerne for overførsel til tredjelande. EU‑Domstolens “Schrems I” og “Schrems II” domme (C‑362/14 og C‑311/18) tilsidesatte først Safe Harbor og siden Privacy Shield, netop fordi amerikansk efterretningsret kunne indebære uforholdsmæssige indgreb. Det udløste EDPB’s detaljerede krav om supplerende foranstaltninger ved tredjelandsoverførsler.

I 2023 vedtog Kommissionen en ny tilstrækkelighedsafgørelse: EU‑US Data Privacy Framework (DPF). Afgørelsen tillader overførsler til certificerede amerikanske organisationer, men ændrer ikke ved, at Cloud Act fortsat gælder for amerikanske selskaber.

“The applicable standard … was further clarified by the [CJEU] in … C‑311/18 (Schrems II), which invalidated … Privacy Shield.”
Kilde: EU‑Kommissionens afgørelse om DPF, præmisserne.

Hvad Microsofts EU data boundary kan og ikke kan

EU Data Boundary er et væsentligt forbedret datalokationsløfte og omfatter nu opbevaring og behandling af kundedata og personoplysninger inden for EU/EFTA på tværs af Microsoft 365, Azure, Dynamics 365 og Power Platform. Microsoft dokumenterer også de konkrete undtagelser, bl.a. ved sikkerhedshændelser eller enkelte tjenester uden for grænsen.

TechRepublic og Microsofts egne blogindlæg beskriver fuldførelsen i februar 2025 og efterfølgende europæiske “Data Guardian”‑tiltag om EU‑baseret kontrol med remote access. Men hverken geografi eller interne politikker ændrer amerikansk jurisdiktion for et amerikansk moderselskab. Det er kernen i senat‑udsagnet.

OVHclouds reaktion og den europæiske bevægelse mod “suveræn” it

The Register refererer, at datacenter udbyderen OVHcloud taler om øget kundedialog med EU‑institutioner om alternativer, netop for at mindske eksterritorial risiko.

Frankrigs sikkerhedsmyndighed ANSSI’s SecNumCloud‑krav er samtidig blevet de facto kvalitetsmærke for “suveræn” cloud. Flere offentlige myndigheder bruger kravsættet i udbud for at sikre tekniske og organisatoriske garantier.

Flere lande, delstater, kommuner og regioner skifter til open source og lokale datacenter løsninger

Tyskland: delstater prioriterer åbne platforme baseret på lokale datacentre med Open Source

Schleswig‑Holstein gennemfører en stor omlægning væk fra Microsoft på op mod 30.000 arbejdspladser med Linux‑desktop, LibreOffice, Thunderbird, Nextcloud m.v., begrundet med digital suverænitet.

For sikre beskedtjenester anvender den føderale it‑leverandør BWI “BwMessenger” og “BundesMessenger”, baseret på Matrix/Element, udbredt i Bundeswehr og bredere offentlig administration. Koden publiceres på OpenCoDE.

ICARE A/S har medvirket til mange dataoverførsler fra alle typer af CLOUD til vores danske datacenter. Dertil kommer vi har omfattende kendskab til Tyskland gennem 40 år, da Michael Rasmussen har boet der i 15 år og der har været dansk repræsentation i hele 40 år via dennes broder samt med samarbejder med mange Open Source leverandører.

made-in-germany

Frankrig: statslig chat og politiets linux

Den franske stats “Tchap” er en Matrix‑baseret, statshostet chat/teams‑løsning, nu indført som officiel beskedplatform i ministerierne. Den bruges af hundrede‑tusinder af offentligt ansatte.

Politiet har i årevis anvendt “GendBuntu” og LibreOffice bredt i korpset. LibreOffice er den platform vi anbefaler og den er direkte kompatibel med Microsoft 365 applikationerne.

Spanien: regioner og kommuner

Valencian Community driver LliureX Linux på uddannelsesområdet i stor skala. Vil vil dog anbefale Debian eller
Barcelona Kommune satte tidligt open source på dagsordenen med politik for åbne systemer og fællesskabsløsninger som Decidim. (Nextcloud)

Golland: “open, tenzij” og OSPO

Den hollandske stat arbejder efter “Open, tenzij” – software fra det offentlige skal som udgangspunkt være open source – og har oprettet et Open Source Program Office (OSPO) til at fjerne interne barrierer.

indien og brasilien: systemiske satsninger

Delstaten Kerala driver et omfattende FOSS‑program i skolerne (KITE GNU/Linux), som erstatter licenssoftware og reducerer omkostninger markant.
Brasilien vedligeholder “Software Público” som genbrugelige, åbne byggeklodser til forvaltningen og har en national digital strategi med fokus på digital infrastruktur og åbne komponenter.

Hvorfor open source vinder frem i den offentlige sektor

  • Juridisk forudsigelighed og kontrol: Lokal hosting hos udbydere uden amerikansk moderselskab minimerer Cloud Act‑risiko og letter Schrems‑efterlevelse. EDPB’s anbefalinger for supplerende foranstaltninger lægger vægt på risikovurdering af tredjelandslovgivning, nøglehåndtering og effektiv end‑to‑end‑kryptering.
  • Åben standard og reversibilitet: Projekter som Matrix, Nextcloud, LibreOffice og OX App Suite kan selvdriftes eller købes som tjeneste hos EU‑leverandører, og giver reelle exit‑muligheder.
  • Sikkerhed og suverænitet: Nationale løsninger som Tchap og BundesMessenger viser, at open source kan skaleres sikkert til hundredtusindvis af brugere, med fuld kontrol over metadata.

Sådan indretter du dig: Digital Suverænitet, governance og compliance i praksis

Kortlægning og klassifikation

  • Identificér systematisk data pr. behandling: persondata, fortrolige forretningsdata, offentlige dokumenter.
  • Klassificér “EU‑lås‑krævende” data, hvor tredjelandsadgang vil være problematisk.

Overførselsgrundlag og supplerende foranstaltninger

  • Brug DPF kun for certificerede modtagere i USA og efter en transfer impact assessment. Husk at DPF ikke ophæver Cloud Act‑risiko for amerikanske moderselskaber.
  • Implementér EDPB’s supplerende foranstaltninger: stærk kryptering med kundeeksklusive nøgler, pseudonymisering, logs og aftaler om gennemsigtighed.

Indkøb og kontrakter

  • Indfør vendor‑neutral kravspecifikationer med åbne standarder, datatilbagelevering i åbne formater og dokumenteret reversibilitet.
  • Efterspørg nationale certificeringer og kontrolmiljøer, f.eks. ANSSI SecNumCloud for franske myndigheder.

Teknisk målarkitektur

  • Fil, mail, kalender og chat: Nextcloud, OX App Suite/Zimbra/grommunio/SOGo, Matrix/Element, Jitsi.
  • Kontorsuite: LibreOffice/Collabora eller ONLYOFFICE, evt. kombineret med web‑redigering.
  • Dev/Team server: GitLab CE, Gitea/Forgejo, OpenProject/Taiga, Redmine, Wikier (XWiki/Wiki.js).

Ændringsledelse

  • Lær af Nantes’ LibreOffice‑migrering: change management er nøglen til adoption.
  • Planlæg uddannelse, makro‑analyse, skabeloner og makro‑remediering.

Migrationsplan i 10 konkrete skridt

  1. Etabler juridisk og teknisk programstyre med mandat og milepæle.
  2. Udfør data‑ og applikationsinventar med risikoklassifikation pr. system.
  3. Udbud i lot‑pakker: samarbejde, mail, kontorsuite, besked/telefon, projektstyring.
  4. Pilot på lavrisiko‑domæner, der kan flytte først; parallel “coexistence” for mail og kalender.
  5. Kryds‑walk: kør åben og proprietær platform parallelt i en definert overgangsperiode for at sikre forretningens kontinuitet.
  6. Dokument‑ og skabelonprogram: konverteringsregler, skabelonbanken i ODF, makro‑reimplementering hvor nødvendigt.
  7. Single sign‑on og IdM: OpenID Connect/SAML på tværs af nye tjenester.
  8. Governance for ændringsledelse: superbrugere, e‑learning, spørgetimer, KPI’er for adoption.
  9. Sikkerhedsarkitektur: klient‑ og serverside‑kryptering med kundestyrede nøgler, DLP, audit‑logs, backup i anden lokation.
  10. Exit‑test: dokumentér reversibilitet ved at genskabe tjenesten hos alternativ udbyder eller on‑prem, før endelig cut‑over.

Kortlægning: faktiske cases og offentlige initiativer

  • Frankrig: Tchap som obligatorisk, statslig beskedtjeneste; stats‑drift på Matrix/Element.
  • Tyskland: BundesMessenger/BwMessenger på Matrix; kildekode på OpenCoDE; stor udbredelse i forvaltningen.
  • Schleswig‑Holstein: driftig omlægning til Linux/LibreOffice/Nextcloud begrundet i digital suverænitet.
  • Spanien: LliureX i Valencia; uddannelses‑distribution i stor skala.
  • Holland: “Open, tenzij”‑politikken og OSPO under BZK.
  • Indien (Kerala): KITE GNU/Linux, systematisk FOSS i undervisningen.
  • Brasilien: “Software Público” til genbrug på tværs af forvaltningen.

Top20: åbne alternativer til office, exchange/outlook, team server og copilot‑lignende værktøjer

Nedenfor er eksempler på modne open‑source‑løsninger, der hyppigt anvendes i suveræn‑arkitekturer i EU. Bemærk: valg afhænger af krav, governance og driftsmodel.

ProduktKategoriErstatterKort note
LibreOfficeKontorsuiteMicrosoft OfficeODF‑standard, bred enterprise‑support via Collabora
Collabora OnlineWeb‑redigeringOffice OnlineServerbaseret LibreOffice til browser
ONLYOFFICE DocsWeb‑redigeringOffice OnlineGod OOXML‑kompatibilitet, integreres i Nextcloud
ThunderbirdMail/kalender‑klientOutlookExchange‑kompatible protokoller via add‑ons
Zimbra OSEGroupware‑serverExchange/OutlookModen open source‑suite, stor offentlig udbredelse (Amazon Web Services, Inc.)
Open‑Xchange App SuiteGroupware‑serverExchange/OutlookAnvendes i europæisk offentlig sektor og hos udbydere (open-xchange.com)
grommunioGroupware‑serverExchange Server“Drop‑in” Exchange‑kompatibilitet inkl. MAPI/EWS (ADMIN Magazine, GitHub)
SOGoGroupware‑serverExchange/OutlookSkalerbar CalDAV/CardDAV/IMAP groupware (sogo.nu)
EGroupwareGroupware/kalenderExchange/SharePointKomplett gruppevaresuite, on‑prem/cloud
Nextcloud HubFilsync, samarbejdeOneDrive/SharePoint/TeamsSelf‑hosted platform, AI‑assistant modul (Nextcloud, Nextcloud)
Matrix + ElementChat/TeamsTeams/SlackÅben standard, federation, udbredt i EU‑myndigheder (Element)
JitsiVideomøderTeams/ZoomEgen drift, WebRTC, integration i Nextcloud
GitLab CEDev/ALM “Team Server”Azure DevOps/TFSIssue, CI/CD, SCM i én platform
Gitea / ForgejoGit‑platformAzure DevOps/GitHubLet, selvhostet Git‑forvaltning
OpenProjectProjektstyringAzure Boards/JiraRoadmaps, work packages, on‑prem/community
TaigaAgile‑boardsAzure Boards/JiraScrum/Kanban, API‑venlig
RedmineProjekt/bugAzure Boards/JiraRobust klassiker med mange plugins
Wiki.js / XWikiVidensbaseConfluenceModerne wiki med rettighedsstyring
TabbyMLKodnings‑assistentGitHub CopilotSelvhostet AI‑code assistant til IDE’er (GitHub, tabbyml.com)
Continue.dev / Aider / Nextcloud Assistant / Haystack“Copilot”‑alternativerCopilot for M365/IDEÅbne assistenter og RAG‑frameworks til skrive‑ og kodeopgaver, selvhostet (AlternativeTo, GitHub, Nextcloud, deepset.ai)

Særligt om exchange‑erstatninger: tre udbredte arketyper

  • Zimbra OSE: klassisk multi‑tenant groupware med webmail, kalender, kontakter og S/MIME. Udbredt i den offentlige sektor globalt.
  • Open‑Xchange App Suite: modulær platform, ofte leveret via europæiske udbydere og i kombination med openDesk/dPhoenix‑initiativer.
  • Grommunio: sigter mod “drop‑in” kompatibilitet inkl. MAPI/HTTP, EWS, ActiveSync, hvilket letter “coexistence” under migrering.

Risikovurdering: hvad betyder indrømmelsen i praksis for indkøb i eu

  • Cloud Act‑eksponering: For amerikanske koncerner kan lovlige kendelser gennemtvinges uanset datalokalitet. Det er præcist, hvad senat‑høringen tydeliggjorde.
  • DPF som overførselsmekanisme: Brugbar for certificerede modtagere, men kræver løbende due diligence; overvåg domstolspraksis og EDPB‑vejledninger.
  • EU Data Boundary: Giver bedre datalokation og transparens, men erstatter ikke juridisk jurisdiktionsrisiko. Vurder om kundeeksklusive nøgler og “hold self”‑kryptering kan neutralisere residualrisiko.

Tjekliste til offentlige organisationer

  • Politisk beslutning om “open by default” for nye systemer – med undtagelser begrundet skriftligt. Inspirér af Hollands “Open, tenzij”.
  • Kræv dokumenteret reversibilitet i udbud og verifikationsprøve før idriftsættelse.
  • For “teams/kommunikation”: vurder Matrix/Element eller Tchap‑lignende driftsmodeller.
  • For “besked/vidensdeling”: fastlæg ODF som standard og udbred LibreOffice/Collabora, suppleret med web‑redigering.
  • For mail/groupware: vælg en af de tre arketyper (Zimbra, OX App Suite eller grommunio) og planlæg coexistence i 6‑12 måneder.
  • For “AI/copilot”: prioriter selvhostede alternativer og RAG‑arkitektur med egne datakilder (TabbyML, Continue, Aider, Haystack).

Appendix: udvalgte henvisninger til yderligere læsning

De 10 mest udbredte linux‑operativsystemer

Der findes ikke én global, autoritativ måling, fordi Linux bruges i mange forskellige sammenhænge. Den mest gennemgående, løbende statistik for servere på nettet kommer fra W3Techs, mens den mest synlige desktop‑måling i praksis er Valves Steam Hardware Survey for Linux‑brugere. Nedenfor får du derfor to top‑10 lister

Servere og webhotel måles som andel af Linux‑websites hos W3Techs
Desktop og gaming måles som andel af Linux‑brugere på Steam den seneste måned, som GamingOnLinux udtrækker direkte fra Valve

Servere og web hosting, global top‑10 blandt linux‑websites

Kilden viser fordelinger inden for Linux, altså andele af websites der i forvejen kører Linux. Tallene opdateres dagligt hos W3Techs.

DistributionPlaceringAndel af Linux‑websites
Ubuntu114,1%
Debian27,5%
CentOS32,0%
AlmaLinux40,3%
Red Hat50,2%
CloudLinux60,1%
Gentoo70,1%
Fedora80,1%
SuSE9< 0,1%
Raspberry Pi OS10< 0,1%

Bemærk at W3Techs måler “af alle websites hvor operativsystemet er kendt” og viser en særskilt underopdeling for Linux. Samme kilde estimerer, at Linux samlet bruges af cirka 57,5% af alle websites med kendt operativsystem. (W3Techs)

Kilde: ICARE.DK
Fotokredit: Emnefirma
Personer/Firmaer/Emner/#: #OVHcloud, #Microsoft, #CLOUDAct, #GDPR, #SchremsII, #EDPB, #DataPrivacyFramework, #EUDatapolitik, #SecNumCloud, #EUCS, #DigitalSuverænitet, #SchleswigHolstein, #Tchap, #BundesMessenger, #Nextcloud, #LibreOffice, #Zimbra, #OpenXchange, #grommunio, #Matrix, #GitLab, #Gitea, #OpenProject, #Taiga, #TabbyML, #ContinueDev, #Aider, #Haystack
Copyrights: Ⓒ 2025 Copyright by https://AORS.DK – kan deles ved aktivt link til denne artikel.

Cybersikkerhed & Nyheder