Färdplanen: sex faser över fem år

Fas 0–1 syns inte för medarbetarna men avgör allt som kommer sedan. Fas 3 är den fas medarbetarna kommer att minnas – och den ekonomiska vändpunkten.

Färdplanen består av sex faser och en horisont. Tiderna är typiska för en medelstor organisation och faserna överlappar.

Sex faser och en horisont

Fas	Typisk tid	Resultat
Fas 0 · Styrning & kartläggning	0–6 mån, upprepas årligen	Karta, målnivå, exitplaner
Fas 1 · Grunden under huven	6–18 mån	Ingen kritisk drift kvar i hyperscaler
Fas 2 · Identitet & katalog	12–24 mån	Egen IdP – Entra avvecklad
Fas 3 · Samarbetsplattformen	18–36 mån	M365-licenserna kan sägas upp
Fas 4 · Klienten	30–48 mån	> 80 % Linux-klienter
Fas 5 · Verksamhetssystem, data & AI	löpande, 24–60 mån	Inga kritiska data under tredjelandskontroll – byt vid avtalsslut
Horisont · Hårdvara	4 år +	EU-hårdvara i utbytestakt

Fas 0 – Styrning & kartläggning (0–6 mån): inventering av system, avtal och dataflöden; beroendekarta med kill-switch-risk; exitplan per kritisk tjänst; arkitekturprinciper; stopp för nya beroenden; kompetenscenter/OSPO; samverkanspartners. Upprepas årligen.

Fas 1 – Grunden under huven (6–18 mån): flytta drift från Azure/AWS/GCP till svensk/europeisk leverantör eller egen Proxmox/OpenStack/Kubernetes; PostgreSQL som standard; Forgejo/GitLab + CI; backup, övervakning, logg; DNS/CDN/certifikat; öppna format (ODF, PDF/A); webbens grunder. Resultat: ingen kritisk drift kvar i hyperscaler.

Fas 2 – Identitet & katalog (12–24 mån): UCS/Nubus + Keycloak + MFA + PKI; Samba AD i samexistens med befintligt AD; koppla verksamhetssystem via OIDC/SAML till egen IdP; enhetshantering (opsi/Relution); avveckla Entra som IdP. Resultat: egen IdP – alla SSO-integrationer går via den.

Fas 3 – Samarbetsplattformen (18–36 mån): e-post/kalender (Open-Xchange/grommunio), filer (Nextcloud), kontor (Collabora/LibreOffice), chatt/video (Element + OpenTalk), intranät/projekt; pilotgrupper → förvaltningar; utbildning. Resultat: M365-/Workspace-licenser kan sägas upp (utom dokumenterad restgrupp).

Fas 4 – Klienten (30–48 mån): Linux-standardklient med opsi; Linux-bärbara ersätter Chromebooks; VDI/webb för Windows-bundna appar; mobil-MDM. Resultat: >80 % Linux, resten dokumenterat undantag.

Fas 5 – Verksamhetssystem, data & AI (löpande, 24–60 mån): kravställ vid varje avtalsslut (EU-drift, öppna API, exit, webbklient, SSO mot egen IdP); byt system som inte kan uppfylla; BI → Superset; integrationsplattform; AI-plattform på svensk GPU. Resultat: inga kritiska data under tredjelandskontroll.

Horisont – hårdvara: EU-tillverkade klienter och nätverksutrustning vid naturlig utbytestakt; processorer/GPU följer EU-initiativ (Chips Act 2.0, EPI/RISC-V).

Jämförelse: Schleswig-Holstein startade 2024 med mål att vara klart 2026; Nederländernas nya molnpolicy ger fyra års övergång; schweiziska förbundskansliet 2025→2027; tyska förbundsförvaltningen siktar på okt 2028.

Vad byts i varje fas – och vad märker medarbetaren?

Tabellen svarar på ledningens vanligaste fråga: vad märker medarbetarna, och när?

Fas	Vad byts	Vad märker medarbetaren	Beroende som löses
Fas 0 Styrning & kartläggning	Inventering, beroendekarta, exitplaner, arkitekturprinciper, stopp för nya beroenden	Ingenting – men nya verktyg börjar väljas annorlunda	Överblick: vi vet vad vi är beroende av och vad som kan stängas av
Fas 1 Grunden under huven	Moln och drift, virtualisering, databaser, backup, övervakning, DNS/CDN/certifikat, kodhosting, öppna format	Ingenting – om det görs rätt	Hyperscaler-beroendet i driften; leverantörens fakturor och jurisdiktion
Fas 2 Identitet & katalog	Katalog, SSO/IdP, MFA, PKI, enhetshantering	Ny inloggning och ny MFA-nyckel eller app – en gång	Navet: Entra/AD som gemensam felpunkt och låsning
Fas 3 Samarbetsplattformen	E-post & kalender, filer, kontor, chatt & video, intranät, projekt	Mest: nya verktyg i webbläsaren, utbildning, migrerade brevlådor	Microsoft 365 / Google Workspace – licenserna kan sägas upp
Fas 4 Klienten	Klient-OS, bärbara, mobil-MDM, utskrift; Windows-bundna appar via webb eller VDI	Ny dator eller nytt skrivbord; vissa appar via webben	Windows, ChromeOS och Intune
Fas 5 Verksamhetssystem, data & AI	Verksamhetssystem vid avtalsslut, BI, integration, AI-plattform	Systembyten i takt med avtalen – som vanligt, men med nya krav	Dold drift på Azure/AWS, SQL Server, Copilot- och Power BI-beroenden

Fas 0 och 1 är osynliga för medarbetarna – men avgör allt som kommer sedan. Det är också här budgeten ofta saknas, eftersom »ingenting syns«.

Fas 2 märks en gång: ny inloggning, ny MFA-nyckel eller app. Rätt gjort är det en engångshändelse per medarbetare (byt nyckel, registrera om). Här avgörs om Entra kan avvecklas.

Fas 3 är den fas medarbetarna kommer att minnas: ny e-postklient (Thunderbird/webb), Nextcloud i stället för OneDrive/SharePoint, Collabora/LibreOffice i stället för Office, Element i stället för Teams. Utbildning, superanvändare och tid för övergång är avgörande. Schleswig-Holsteins lärdom: kör e-post först (klart okt 2025), kontorspaket parallellt, och ge tydlig tidsplan för när Outlook/Office släcks.

Fas 4 märks som »ny dator« eller nytt skrivbord. När allt annat redan är webb blir bytet mindre dramatiskt; Windows-bundna specialapplikationer nås via webb eller VDI.

Fas 5 märks som vanliga systembyten vid avtalsslut – inget nytt för verksamheten, men kraven i upphandlingarna ändras.

Varför just den ordningen?

1. Drift & grund först (fas 1). Det egna identitetsnavet ska inte driftas i Azure. Alltså måste plattformen (svensk/europeisk drift eller egen) finnas innan identiteten flyttar. Dessutom är driftflytten osynlig för medarbetarna – låg friktion, snabb riskminskning.
2. Identitet före samarbete (fas 2). Allt som byggs efteråt ska kopplas till det nya navet – inte till Entra. Om samarbetsplattformen införs före den egna IdP:n kopplas den till Entra – och man har byggt in beroendet i sin egen ersättning.
3. Samarbete i webbläsaren före klienten (fas 3). När kontor, e-post, filer och chatt fungerar i webbläsaren slutar operativsystemet spela roll för det dagliga arbetet. Först då kan Windows bytas med rimlig friktion.
4. Klienten sist (fas 4). Störst påverkan på människor, men minst risk när allt annat redan är webb. Windows-bundna specialapplikationer blir en dokumenterad restgrupp (VDI/webb).
5. Verksamhetssystem styrs av avtalscykler (fas 5). Byten sker vid avtalsslut, därför löper fas 5 parallellt med allt annat – men kraven måste in redan i fas 0.

Om man gör tvärtom

Det vanligaste misstaget är att börja med kontorspaketet (»byt Office«). Då sitter organisationen kvar med Entra, Exchange och Windows – medarbetarna får all friktion utan att beroendet minskar nämnvärt. Inför man samarbetsplattformen före det egna navet kopplas den till Entra – och låsningen består. Danmarks digitaliseringsministerium fick i juni 2025 förtydliga att LibreOffice-bytet var en begränsad pilot och att Windows och Microsoft finns kvar – ett exempel på hur ett synligt byte utan underliggande arkitekturarbete blir symboliskt.

Två spår löper hela vägen

Styrning (fas 0) upprepas årligen med uppdaterad beroendekarta. Kravställning på verksamhetssystem (fas 5) börjar dag 1 och följer avtalscyklerna – vissa system byts därför före klienten, andra långt efter.

Fasplan i detalj

Mål, aktiviteter och exitkriterier per fas. Tiderna är typiska för en medelstor organisation; faserna överlappar.

Fas 0 · Styrning & kartläggning (0–6 mån, upprepas årligen)

Mål: beslutad målnivå, beroendekarta och styrning på plats.

Aktiviteter:

• Inventera system, avtal, dataflöden och integrationer
• Klassa varje beroende: direkt/dolt, kill-switch-risk, avtalsslut – mall: Beroendekarta
• Exitplan per kritisk tjänst – mall: Exitplan
• Arkitekturprinciper (öppna standarder, öppen källkod först, drift i SE/EU, exit i varje avtal)
• Stopp för nya beroenden
• Kompetenscenter/OSPO
• Välj samverkanspartners

Klart när:

• Beroendekarta med prioriterad lista finns
• Målnivå beslutad
• Finansierad plan för fas 1–2
• Kravkatalog för verksamhetssystem antagen – mall: Kravkatalog för verksamhetssystem

Fas 0 är inte ett projekt utan en styrningsrutin: beroendekartan uppdateras årligen (cybersäkerhetslagen och CER-lagen kräver i praktiken samma underlag).

Fas 1 · Grunden under huven (6–18 mån)

Mål: drift och grundtjänster utan hyperscaler – osynligt för medarbetarna.

Aktiviteter:

• Flytta IaaS/Kubernetes till svensk/europeisk leverantör eller egen Proxmox/OpenStack
• PostgreSQL som standard
• Forgejo/GitLab + CI, Harbor
• Backup, övervakning, logg
• DNS/CDN/certifikat (egen PKI)
• Öppna format: ODF, PDF/A
• Webbens grunder (typsnitt, analys, kartor, captcha)

Klart när:

• Ingen kritisk drift kvar i Azure/AWS/GCP
• Formatstandard beslutad och införd
• Kod och pipelines i egen kontroll

Fas 2 · Identitet & katalog (12–24 mån)

Mål: eget identitetsnav som allt efterföljande kopplas till.

Aktiviteter:

• UCS/Nubus (OpenLDAP) + Keycloak + privacyIDEA/FIDO2 + PKI
• Samba AD i samexistens med befintligt AD
• Koppla verksamhetssystem via OIDC/SAML till egen IdP
• SCIM-provisionering
• Enhetshantering (opsi, Relution)
• Policyer som ersätter villkorad åtkomst
• Avveckla Entra som IdP

Klart när:

• Alla SSO-integrationer går via egen IdP
• MFA utan Microsoft-appar
• AD isolerat eller avvecklat
• Enheter hanteras utan Intune

Fas 3 · Samarbetsplattformen (18–36 mån)

Mål: samarbete utan Microsoft 365 / Google Workspace.

Aktiviteter:

• E-post/kalender till Open-Xchange eller grommunio (migrera brevlådor förvaltningsvis)
• Nextcloud för filer
• Collabora/LibreOffice
• Element + OpenTalk/Jitsi
• Intranät (XWiki), projekt (OpenProject)
• Pilotgrupper → förvaltningar
• Utbildning, superanvändare, tidsplan för släckning av Outlook/Teams

Klart när:

• M365-/Workspace-licenser kan sägas upp utom dokumenterad restgrupp
• Brevlådor, filer och kalendrar migrerade
• Mötesrum fungerar

Samarbetsplattformen är den ekonomiska vändpunkten: först när M365-licenserna sägs upp realiseras besparingen (se kapitel 11).

Fas 4 · Klienten (30–48 mån)

Mål: klienten fri från Windows/ChromeOS/Intune.

Aktiviteter:

• Linux-standardklient med opsi
• Linux-bärbara ersätter Chromebooks
• VDI/webb för Windows-bundna appar
• Mobil-MDM (Relution), hårdning
• Utskrift (CUPS)
• Windows i dokumenterad restgrupp

Klart när:

• 80 % Linux-klienter

• Restgrupp dokumenterad med omprövningsdatum
• Ingen Intune-/Entra-beroende enhetshantering

Fas 5 · Verksamhetssystem, data & AI (löpande, 24–60 mån)

Mål: inga kritiska data eller processer under tredjelandskontroll.

Aktiviteter:

• Kravkatalogen för verksamhetssystem i varje upphandling/förnyelse
• Byt system som inte kan uppfylla
• BI → Superset
• Integrationsplattform (Frends/Camel)
• AI-plattform (Eneo/LibreChat) på svensk GPU
• Datalager i PostgreSQL

Klart när:

• Alla kritiska system: EU-drift, SSO mot egen IdP, exportformat, exitklausul
• Copilot/Azure OpenAI ersatt

Horisont · Hårdvara (4 år +)

Mål: minska hårdvaruberoendet i naturlig utbytestakt.

Aktiviteter:

• EU-tillverkade bärbara (Tuxedo, Slimbook), Fairphone-piloter, nätverk från Ericsson/Nokia/Lancom/MikroTik, OPNsense, säkerhetsnycklar (Yubico, Nitrokey)
• Följ Chips Act 2.0/EPI

Klart när:

• Dokumenterat undantag för processorer/GPU, mobil-OS, webbläsarmotor med årlig omprövning

Jämförelsetider

Schleswig-Holstein 2024→2026, Nederländerna fyra års övergång (2026), schweiziska förbundskansliet 2025→2027, tyska förbundsförvaltningen mål okt 2028.

Källor

• Talarmanuset anger inga särskilda källor för detta kapitel. Jämförelsefallen (Schleswig-Holstein, Nederländerna, Schweiz, tyska förbundsförvaltningen, Danmarks digitaliseringsministerium) har källor i kapitel 09; se även den samlade källförteckningen i Källor.