Tillitsverdig sky, akt II: fra Microsoft 365 til SecNumCloud — rettspraksisen som deler ut kortene på nytt

Digital suverenitet avgjøres sjelden i de store talene; den avgjøres i rettstvistene. To saker minnet oss om det denne våren. I Østerrike slo datatilsynet fast at bruken av Microsoft 365 Education brøt GDPR, særlig fordi de behandlingsansvarlige umulig kan ha reell kontroll over dataflyten og underleverandørkjeden. I Frankrike kom saken om Polytechniques valg av Microsoft tilbake i forgrunnen tidlig i juni, der fagpressen så en presedens som kan dele ut kortene på nytt for hele offentlig sektor. Samtidig — og det er hele paradokset — ble rammeavtalen mellom det nasjonale utdanningsvesenet og den amerikanske utgiveren forlenget.

Hva disse avgjørelsene egentlig sier

Fellesnevneren for disse sakene er ikke den anti-amerikanismen man iblant tillegger dem. Det er et spørsmål om effektiv kontroll: hvem kan få tilgang til dataene, under hvilken rett, med hvilke garantier som kan gjøres gjeldende? Siden ugyldiggjøringen av Privacy Framework på Schrems-vis hviler hver eneste overføringskonstruksjon på konsekvensanalyser som myndighetene nå gransker linje for linje. Amerikansk rett — FISA 702, CLOUD Act — gjelder fortsatt for amerikanske leverandører uansett hvor dataene er hostet. Ingen avtaleklausul nøytraliserer en utenlandsk inngrepslov: det er denne rent juridiske erkjennelsen regulatorene begynner å trekke helt ut.

SecNumCloud, fra doktrine til innkjøpskriterium

På fransk side vinner ANSSIs SecNumCloud-kvalifisering gradvis frem som skillelinjen: utover de tekniske kravene pålegger den et krav om immunitet mot ekstraterritoriell lovgivning via eier- og styringsbetingelser. Doktrinen «cloud au centre» forbeholder i prinsippet statens sensitive data for kvalifiserte tilbud. Det som endrer seg i 2026, er spredningen utover staten: regulerte operatører, helse, utdanning, kommuner — og, som en følge, leverandørene deres. For et programvarehus blir det å kunne rulles ut hos en kvalifisert vert, eller on-premise, et førsteklasses salgsargument, ikke en avkrysningsboks for samsvar.

Hva IT-direktørene kan gjøre uten å vente

For det første, kartlegge etter kritikalitet fremfor etter bekvemmelighet: hvilke data, hvilke behandlinger krever egentlig immunitet mot ekstraterritoriell lovgivning? Det ærlige svaret er sjelden «alt», men det er aldri «ingenting». For det andre, kreve reverserbarhet allerede i kontrakten: åpne formater, dokumentert eksport, tak på uttakskostnader. For det tredje, kryptere med egne, selvforvaltede nøkler når arbeidslasten blir værende hos en hyperskalerer — samtidig som man har i mente at kryptering ikke beskytter data under behandling. For det fjerde, bygge «suverene lommer»: heller enn en illusorisk fullstendig migrasjon, isolere de kritiske bruksområdene på kvalifiserte tilbud eller on-premise, og akseptere det hybride for resten.

Akt II av den tillitsverdige skyen blir ingen revolusjon over natten. Det blir en opphopning av avgjørelser, anbud og kontraktsfornyelser der spørsmålet om effektiv kontroll, sak etter sak, vil veie litt tyngre. Organisasjonene som har forberedt sine suverene lommer, vil ta valgene med ro. De andre vil måtte tåle regulatorenes tidsplan.