Digital suverænitet er et relativt nyt koncept, som er opstået særligt på grund af EU's afhængighed af tredjelandes teknologier under monopollignende vilkår. Digital suverænitet handler om at have kontrol over sin egen digitale fremtid, hvilket omfatter den data, software og hardware, som samfundet er afhængig af.
I denne artikel vil vi se på sammenhængen mellem digital suverænitet og de EU-rammelovgivninger, som virksomheder og myndigheder skal efterleve i dag, og som netop kræver beskyttelse af samfundets digitale infrastruktur og vores personlige frihedsrettigheder i en digitaliseret verden.
Hvad er Digital Suverænitet?
Det går hurtigt med den teknologiske udvikling, og store dele af samfundet drager nytte af dette – privatpersoner, virksomheder og offentlige myndigheder. Denne udvikling fører dog også til afhængighed af IT-leverandører, som altid er underlagt den politiske ramme og lovgivning, som finder sted i deres hjemlande.
Når man anvender leverandører i tredjelande, vil der være risiko, som varierer med det politiske landskab i de enkelte lande. Dette kan føre til risici for leveringen af kritiske tjenester i EU – fra hospitalsdrift til betaling af varer i butikken.
Det er alment kendt, at flere af verdens største virksomheder er amerikanske, samt at deres tjenester udgør en betydelig del af den digitale infrastruktur for medlemslandene i EU. Hvis disse virksomheder vælger at hæve priserne eller slukke for en tjeneste, kan dette have alvorlige konsekvenser for de enkelte virksomheder.
Fra et EU-perspektiv vil dette have enorme konsekvenser på tværs af alle lande, og ikke blot for de enkelte virksomheder, myndigheder og privatpersoner. Dette er også grunden til, at samfundsdebatten omkring digital suverænitet har været tiltagende, efterhånden som EU-landene er blevet mere digitaliserede og afhængige af disse leverandører.
Fra Politik til Virkelighed
Digital suverænitet anvendes typisk i en geopolitisk kontekst, som handler om at frigøre sig fra disse digitale afhængigheder til tredjelande. Sådanne politiske målsætninger bliver dog først virkelige, når virksomheder og myndigheder tilrettelægger deres drift herefter.
Meget tyder på, at dette allerede sker gennem de krav, som EU's digitale rammelovgivninger stiller til virksomheder og myndigheder. Ved at efterleve GDPR, NIS2, Dataforordningen, DORA og andre rammelovgivninger bidrager organisationer aktivt til at sikre den digitale suverænitet.
Hvad er Sammenhængen mellem Digital Suverænitet og de Digitale Rammelovgivninger?
Formålet med rammelovgivninger som GDPR, NIS2, Dataforordningen, DORA med flere er at sikre borgernes og produktionsapparatets suverænitet samt et velfungerende marked i EU. Dette er derfor i overensstemmelse med ideen om digital suverænitet.
Ved at efterleve disse digitale rammelovgivninger bidrager man til at sikre den digitale suverænitet, hvilket vi vil komme nærmere ind på i de følgende afsnit.
GDPR og Digital Suverænitet
GDPR-reglerne som helhed understøtter ideen om digital suverænitet, men i det følgende ser vi på nogle af de GDPR-krav, som er mere direkte tilknyttet til digital suverænitet.
Overførsel til Tredjelande
GDPR-reglerne har til formål, at EU-borgernes frihedsrettigheder beskyttes, hvor end deres data behandles – også når de overføres til et tredjeland. Hvis en tredjelandsoverførsel vurderes ikke at kunne efterleve dette krav, vil det være i modstrid med GDPR-reglerne.
Dette var for eksempel tilfældet med Schrems II-dommen, hvor EU-domstolen vurderede, at amerikansk lovgivning ikke var i overensstemmelse med en sikker behandling af EU-borgeres personoplysninger. Dette vanskeliggjorde enhver overførsel af persondata til USA i en periode, indtil et nyt overførselsgrundlag blev etableret med USA.
For organisationer betyder dette, at man skal vurdere risikoen ved at overføre personoplysninger til tredjelande og eventuelt implementere supplerende sikkerhedsforanstaltninger eller vælge en anden leverandør.
Brug af Databehandlere
Ved brug af databehandlere skal man sikre sig, at de behandler ens personoplysninger sikkert og således, at det modsvarer ens risikovurdering. Derudover skal man altid have en databehandleraftale, som opfylder form- og sikkerhedskravene i GDPR-reglerne, samt føre tilsyn med, at aftalen efterleves i praksis.
Disse krav har til formål at sikre hele værdikæden ved behandling af EU-borgeres personoplysninger, så deres frihedsrettigheder ikke kompromitteres. Dette styrker den digitale suverænitet ved at sikre, at data forbliver beskyttet gennem hele behandlingskæden.
NIS2 og Forsyningssikkerhed
NIS2 kræver, at organisationer, der leverer kritiske tjenester til samfundet, beskytter sig mod cybertrusler, så de kontinuerligt kan levere disse tjenester til slutbrugerne. Helt overordnet indebærer dette, at de omfattede organisationer er i stand til at sikre forsyningssikkerheden, hvilket derfor er tæt knyttet til debatten om digital suverænitet.
Sikkerhed i Forsyningskæden
NIS2 indfører et specifikt krav om, at man skal sikre sin egen forsyningskæde, herunder sikkerhedsrelaterede aspekter vedrørende forholdet mellem den enkelte enhed og dens direkte leverandører eller tjenesteudbydere.
Dette kræver, at man laver risikovurderinger af sine leverandørforhold, så man kan vurdere, om der bør indføres yderligere sikkerhedsforanstaltninger for at sikre forsyningssikkerheden, eller om man bør vælge en anden leverandør.
En sådan risikovurdering bør også inkludere eventuelle politiske forhold, som kan føre til øget risiko for leveringen af den kritiske tjeneste. Dette kunne for eksempel være:
- Geopolitiske spændinger mellem EU og tredjeland
- Lovgivning i tredjelandet, der kræver udlevering af data
- Manglende retssikkerhed i tredjeland
- Leverandørens monopollignende markedsposition
- Afhængighed af kritisk infrastruktur i tredjelandet
Ved at håndtere disse risici aktivt gennem leverandørstyring styrker organisationer både deres egen og samfundets digitale suverænitet.
Dataforordningen: Kontrol Over Egne Data
Dataforordningen omfatter både persondata og andre typer data med det formål at give brugere og virksomheder bedre kontrol over de data, der skabes ved brugen af produkter og tjenester.
Deling af Data
Dataforordningen fastsætter regler for brugen af data, som skabes af brugerne selv ved for eksempel at benytte IoT-enheder. Reglerne giver øget kontrol over egne data samt adgang til disse og mulighed for at dele disse data med tredjeparter.
Dette styrker muligheden for virksomheder og privatpersoner til at råde over egne data, deres autonomi og forretningsmuligheder. Det bidrager til digital suverænitet ved at reducere afhængigheden af specifikke platforme og leverandører.
Beskyttelse ved Tredjelandsoverførsler
Tilsvarende kravet i GDPR-reglerne vedrørende overførsel af personoplysninger til tredjelande stiller Dataforordningen også krav til overførslen af ikke-personhenførbare data, da der kan være risici forbundet hermed.
Dette sikrer, at også industridata, forretningshemmeligheder og andre værdifulde data beskyttes mod uautoriseret adgang fra tredjelandsmyndigheder.
Nemmere Leverandørskifte
Dataforordningen gør det desuden nemmere at skifte fra en cloudtjeneste til en anden, hvilket derfor mindsker afhængighedsforholdet til sine leverandører. Dette styrker den digitale suverænitet ved at facilitere øget valgmulighed for eksempel ved ophør af en eksisterende kontrakt eller ved et akut behov for at skifte databehandler.
Leverandører skal levere data i et struktureret, almindeligt anvendt og maskinlæsbart format, hvilket gør migration mellem systemer langt enklere end tidligere.
DORA: Robusthed i Den Finansielle Sektor
Forordningen Digital Operational Resilience Act (DORA) har til formål at styrke modstandsdygtigheden af den finansielle sektor og understøtter også ideen om digital suverænitet.
Finansielle virksomheder skal eksempelvis begrænse risikoen ved brug af leverandører – for eksempel IT-leverandører – så det ikke bringer deres finansielle tjeneste i risiko. Herudover skal der tages hensyn til risici ved brugen af leverandører i tredjelande.
DORA kræver specifikt:
- Omfattende risikovurdering af kritiske IKT-tjenesteudbydere
- Exit-strategier for kritiske leverandører
- Kontraktuelle krav til tredjelandsleverandører
- Rapportering af væsentlige IKT-relaterede hændelser
- Test af digital operationel modstandsdygtighed
Dette sikrer, at finansielle institutioner ikke bliver afhængige af enkelte leverandører på en måde, der kan true den finansielle stabilitet.
Hvad Betyder Det for Din Organisation?
For din organisation betyder det, at du aktivt skal vurdere og dokumentere, om dine IT-leverandører udgør en risiko for din drift og sikkerhed. Det sikrer dermed, at du har nemmere mulighed for at skifte leverandør, hvis det bliver nødvendigt.
Samtidig skal du have styr på reglerne for dataoverførsel til tredjelande og kunne dokumentere over for myndigheder, at du arbejder risikobaseret, som lovgivningen kræver.
Her er en praktisk tjekliste for at styrke din organisations digitale suverænitet gennem compliance:
Praktisk Tjekliste: Digital Suverænitet
☐ Kortlæg dine IT-leverandører – Identificer alle kritiske leverandører og deres placering
☐ Vurder tredjelandsrisici – Evaluer politiske, juridiske og sikkerhedsmæssige risici ved leverandører i tredjelande
☐ Gennemgå databehandleraftaler – Sikr at alle aftaler opfylder GDPR's krav og indeholder exit-klausuler
☐ Implementer leverandørstyring – Etabler processer for løbende tilsyn med databehandlere
☐ Planlæg exit-strategier – Udarbejd konkrete planer for skift af kritiske leverandører
☐ Dokumentér compliance – Sikr dokumentation af risikovurderinger og beslutningsgrundlag
☐ Vurder forsyningskæden – Kortlæg risici i hele forsyningskæden, ikke kun direkte leverandører
☐ Test beredskab – Gennemfør regelmæssige test af evnen til at skifte leverandør
☐ Uddann medarbejdere – Sikr forståelse for betydningen af digital suverænitet
☐ Overvåg udvikling – Hold dig opdateret om ændringer i lovgivning og geopolitiske forhold
Ved at følge EU's digitale rammelovgivninger er du altså med til at styrke både din organisations og samfundets digitale suverænitet.
Hos .legal hjælper vi organisationer med at implementere GDPR, NIS2 og andre compliance-frameworks i ét integreret system. Vores platform giver dig overblik over leverandører, risici og compliance-status, så du kan fokusere på det strategiske arbejde med digital suverænitet.
Læs mere om leverandørstyring og informationssikkerhed, eller book en demo for at se, hvordan .legal kan understøtte din organisations digitale suverænitet.
Konklusion
Digital suverænitet er en politisk debat, som kræver politiske beslutninger, men i praksis bliver dette til virkelighed, når alle virksomheder og myndigheder i EU forholder sig aktivt til emnet i deres daglige drift.
Når du sikrer din organisations digitale compliance og tager en risikobaseret tilgang til din drift og IT-sikkerhed, er du også med til at styrke den digitale robusthed og suverænitet – ikke kun for din egen organisation, men for hele det europæiske digitale økosystem.
Vejen til digital suverænitet går gennem systematisk compliance-arbejde, hvor GDPR, NIS2, Dataforordningen og DORA ikke blot er juridiske forpligtelser, men strategiske værktøjer til at sikre kontrol over din digitale fremtid.
.jpeg)
.jpg)
.jpg)
.jpg)
.png)
.jpeg)
.jpg)
