Med forslaget til Cloud and AI Development Act, CADA, vil EU-Kommissionen gøre digital suverænitet målbar og bindende ved offentlige cloud-indkøb. Det rammer ikke kun myndigheder. Det rammer også de udviklingshuse, SaaS-leverandører og agile teams, der bygger løsningerne oven på cloud-platformene. Her er fem ændringer, som it-chefer og arkitekter bør kende allerede nu. Det skriver Agil Udvikling A/S, der er Open Source leverandør og fortaler for Digital Suverænitet, der er en WEB3 bestandel.
Fra marketingbegreb til målbart krav
I mange år har en løsning kunnet kalde sig suveræn, blot fordi data lå i et europæisk datacenter, selv om både platform, drift og ejerskab lå i USA. Den praksis vil EU-Kommissionen nu gøre op med. Kommissionen offentliggjorde forslaget til CADA den 3. juni 2026 som hjørnestenen i sin Tech Sovereignty Package, og det skal adressere både manglen på datacenterkapacitet i EU og afhængigheden af en håndfuld cloud-leverandører uden for EU. Det skriver Agil Udvikling A/S.
Forslaget har fået it-advokat Jesper Løffler Nielsen, associeret partner hos Focus Advokater og ph.d. i it-ret, til at reagere med overraskelse over, hvor langt EU vil gå. Over for Computerworld peger han på, at debatten indtil nu mest har handlet om politiske ambitioner, mens forslaget kan få direkte betydning for både offentlige indkøb og hele cloud-markedet.
Myndighedernes frie valg af leverandør bliver indsnævret
Den mest langtrækkende ændring er ifølge Jesper Løffler Nielsen, at kommuner, regioner og statslige myndigheder ikke længere frit kan vælge mellem europæiske og amerikanske cloud-løsninger, så længe de blot overholder de gældende regler. Offentlige myndigheder skal foretage risikobaserede vurderinger og vælge cloud-tjenester, der opfylder det relevante sikringsniveau. For udviklingsorganisationer betyder det, at kravspecifikationen fra sidste udbud ikke kan genbruges ukritisk.
Den konkrete opgave afgør kravene, og leverandøren skal kunne dokumentere, hvem der ejer teknologien, styrer driften og leverer de underliggende tjenester. Jesper Løffler Nielsen lægger ikke skjul på, at hensigten netop er, at visse eksisterende løsninger enten udelukkes eller må tilpasse sig. Det betyder dog ikke et automatisk farvel til Microsoft, Amazon eller Google, fordi kravene afhænger af løsningen og myndighedens risikovurdering. Der er ikke tale om et forbud mod leverandører uden for EU.
Fire tillidsniveauer gør suverænitet sammenlignelig
Kernen i forslaget er et system med fire niveauer, hvor kravene til ejerskab, drift, teknologi og beskyttelse mod udenlandsk indblanding skærpes fra niveau 1 til niveau 4. Offentlige cloud-indkøb skal som udgangspunkt mindst opfylde niveau 1, mens samfundskritiske aktiviteter kan kræve mere. Niveauerne bygger på Kommissionens eget Cloud Sovereignty Framework, som allerede er afprøvet i praksis. Rammeværket indfører Sovereignty Effectiveness Assurance Levels fra SEAL-0, der betyder fuldstændig mangel på suverænitet, til SEAL-4, der kræver en fuld EU-forsyningskæde fra chips til software. Jesper Løffler Nielsen ser det som en fordel, at begrebet endelig får fælles kriterier, for som han udtrykker det: “Lige nu er det marketingafdelingerne der definerer, hvad suverænitet er.” Fælles kriterier gør det lettere at sammenligne løsninger og stille ensartede krav, og det er præcis den slags klarhed, et agilt team har brug for, når arkitekturbeslutninger skal tages tidligt i et projekt. Det skriver Europakommissionen: europa
Dansk leverandør er ikke nok, når stakken er amerikansk
For danske softwarehuse er dette måske den vigtigste pointe. En dansk virksomhed kan sagtens drive et kommunalt fagsystem, men hvis systemet kører på Microsoft Azure, kan netop den afhængighed blive afgørende for, hvilket niveau løsningen kan opnå. Det samme gælder udenlandsk sikkerhedssoftware, virtualiseringslag og andre komponenter i stakken. Vurderingen omfatter underleverandører, leverandører og tekniske lag og stopper ikke ved det byende selskab. Jesper Løffler Nielsen forventer derfor, at danske leverandører må gennemgå deres teknologiske forsyningskæder for at kunne dokumentere, at de lever op til kundernes krav. I praksis bør suverænitet blive en del af teamets Definition of Done for arkitekturen, så afhængigheder registreres løbende i stedet for at blive opdaget, når tilbuddet skal skrives. Det skriver tillige arc42
Risikovurdering afgør kravene, også i den private sektor
Kravene bliver ikke ens for alle offentlige opgaver. Medlemslandene skal gennemføre risikovurderinger, som fastlægger det nødvendige niveau, så en løsning til en mindre kritisk opgave ikke nødvendigvis skal opfylde samme krav som systemer bag samfundskritiske funktioner. Jesper Løffler Nielsen forventer samtidig, at rammeværket får betydning langt uden for den offentlige sektor, fordi it-chefer i større virksomheder kan bruge det til at kortlægge deres afhængighed af udenlandske leverandører og tage stilling til, hvilke risici de vil acceptere. Kommissionen har allerede vist, hvordan det fungerer i et rigtigt udbud. I april tildelte EU-Kommissionen sit Sovereign Cloud-udbud, hvorigennem EU-institutionerne kan indkøbe suveræne cloud-tjenester for op til 180 mio. euro over seks år. For at komme i betragtning skulle leverandørerne nå SEAL-2, et niveau for datasuverænitet.
Eksisterende kontrakter og næste skridt
Et praktisk spørgsmål er, hvad der sker med de cloud-aftaler, myndighederne allerede har indgået. Har en kommune en langvarig kontrakt om en løsning, som ikke lever op til de kommende krav, kan det blive nødvendigt at vurdere, om løsningen skal tilpasses eller udskiftes. Forslaget indeholder overgangsregler, men konsekvenserne afhænger af den endelige tekst.
Jesper Løffler Nielsen fraråder dog at genforhandle eksisterende aftaler alene på baggrund af forslaget, men anbefaler, at man ved større og langvarige cloud-indkøb allerede nu tænker fleksibilitet, exitmuligheder og leverandørafhængighed ind. Det flugter med god agil praksis, hvor man undgår at låse sig fast og bevarer evnen til at skifte retning. CADA er endnu ikke vedtaget, og der kan gå flere år, før reglerne finder anvendelse.
Hos DI Digital peger flere medlemmer på, at det stadig er uklart, hvordan kravene konkret skal anvendes på forskellige cloud-løsninger, og hvilke leverandører der vil kunne opfylde dem. Den mest konkrete anbefaling fra it-advokaten er at læse Kommissionens Cloud Sovereignty Framework nu. Det er kun seks sider og giver et klart billede af de principper, EU vil bygge videre på. Se danskindustri.
Hvad betyder det for dit udviklingsteam
| Område | Hvad du bør gøre nu |
|---|---|
| Arkitektur | Kortlæg alle lag i stakken, fra hosting og virtualisering til sikkerhedssoftware og AI-tjenester |
| Forsyningskæde | Dokumentér ejerskab og jurisdiktion for hver underleverandør |
| Udbud og tilbud | Forbered svar på suverænitetskrav efter SEAL-niveauer |
| Kontrakter | Indbyg exit, dataportabilitet og fleksibilitet i nye, langvarige aftaler |
| Backlog | Gør suverænitetskrav til en fast del af Definition of Done for arkitekturbeslutninger |
| Viden | Læs EU-Kommissionens Cloud Sovereignty Framework og følg CADA-forhandlingerne |
| Deklaration, Certificering | Der kan udstedes en certificering for projekter, for verificering af koncepter og standarder af Advokat og Revisor Samvirket A/S. |
Hvem er agil Udvikling A/S?
Agil Udvikling A/S er en dansk software- og it-virksomhed med 34 års erfaring siden 1992, som udvikler, drifter og moderniserer digitale løsninger for virksomheder og organisationer. Virksomheden arbejder efter agile metoder som Scrum, Prince2 og Lean og kombinerer danske udviklere og konsulenter med offshore-udvikling, så kunderne kan skalere kapaciteten efter behov, med priser fra 99 kr. i timen på årsabonnement.
Ydelserne spænder fra AI softwareudvikling, app-udvikling, web- og webshopdesign til migrering mellem CMS-systemer og programmeringssprog, test via TestTeam, NoSQL-løsninger, embedded Linux og RTOS. Hosting sker gennem Server Hosting Center A/S med dansk colocation, NVIDIA GPU-hosting og hybrid cloud, så data og drift kan holdes i Danmark.
Open Source, web3 og digital suverænitet er centrale fokusområder, og netop derfor følger Agil Udvikling A/S EU’s CADA-forslag tæt, da de nye krav vil påvirke, hvordan kunderne vælger arkitektur, platform og leverandører. Agil Udvikling A/S kan kontaktes på telefon +45 77 77 00 27 eller på info@agiludvikling.dk.
| Kilde: | Computerworld, EU-Kommissionen, DI Digital, Jesper Christiansen, Advokat og Revisor Samvirket, AGILUDVIKLING.DK |
| Kildelinks: | https://digital-strategy.ec.europa.eu/en/library/proposal-cloud-and-ai-development-act-cada, https://commission.europa.eu/news-and-media/news/commission-advances-cloud-sovereignty-through-strategic-procurement-2026-04-17_en, https://www.danskindustri.dk/brancher/di-digital/nyhedsarkiv/nyheder/2026/9/cada/, https://www.computerworld.dk |
| Fotokredit: | Agil Udvikling A/S. |
| Personer/Firmaer/Emner/#: | #Jesper Løffler Nielsen, #Focus Advokater, #Computerworld, #EU-Kommissionen, #DI Digital, #Microsoft, #Amazon, #Google, #CADA, #Cloud and AI Development Act, #Cloud Sovereignty Framework, #SEAL, #Digital suverænitet, #Cloud, #Offentlige udbud, #It-arkitektur, #Agil udvikling, #Leverandørafhængighed |
| Copyrights: | Ⓒ 2026 Copyright by agiludvikling.dk – kan deles ved aktivt link til denne artikel. |