Rättslig och policymässig kontext¶
Sidorna under juridik återger vad presentationen »Rådig – från beroende till rådighet« säger om de regelverk, policyer och leverantörsutfästelser som ramar in frågan om beroende av Microsoft, Google och hyperscalers. Uppgifterna är hämtade enbart ur presentationens bilder och talarmanus, framför allt bilagans tabell över rättslig och policymässig kontext. Upphandlingsrätt (LOU/LUF) är utelämnad enligt beställning. Faktaläget är september 2026.
Presentationens slutsats för ledningen är att ingen nationell instans kommer att bestämma åt organisationen – målnivå och takt är ett eget beslut – men att lagkraven (cybersäkerhetslagen, CER-lagen, säkerhetsskyddslagen) ändå gör beroendekartan obligatorisk. Hur det används i analysen beskrivs i Sverige 2026 och Vad är oberoende.
| Regelverk | Vad det innebär | Status / datum | Betydelse för analysen |
|---|---|---|---|
| US CLOUD Act (2018) | Amerikanska leverantörer måste lämna ut data de kontrollerar – oavsett var den lagras | Gällande | »EU-datacenter« räcker inte: nivå 1 ≠ nivå 3 |
| FISA 702 | Riktad underrättelseinhämtning mot icke-amerikaner via amerikanska leverantörer | Löpte ut 12–13 juni 2026; insamling fortsätter under befintliga certifieringar till ca mars–april 2027; ingen ny lag per 30 juli 2026 | Grunden för Schrems II-problematiken kvarstår |
| EU–US Data Privacy Framework | Adekvansbeslut 10 juli 2023 | Tribunalen ogillade Latombe 3 sep 2025 (T-553/23); överklagat till EU-domstolen (C-703/25 P), pågår; PCLOB utan beslutsförhet sedan jan 2025 | Överföringsgrunden vilar på amerikanska presidentdekret |
| EU Cloud and AI Development Act | Fyra suveränitetsnivåer för offentliga molnköp i känsliga sektorer; öppen källkod först | Förslag 3 juni 2026; rapportör utsedd sep 2026; plenum mitten av 2027 | Nivåtrappan i denna analys |
| Sveriges molnpolicy | Sex ställningstaganden: riskbaserat, portabilitet, kontroll, kravställning | Regeringsbeslut 28 maj 2026; »bör«; vägledning för kommuner/regioner | Ingen bindande styrning – målnivå är eget beslut |
| Cybersäkerhetslagen (2025:1506) | NIS2: riskhantering, incidentrapportering, ledningsansvar, leverantörskedjor | I kraft 15 jan 2026; säkerhetsåtgärder och ledningsutbildning 1 okt 2026 | Beroendekartan (fas 0) blir i praktiken obligatorisk |
| CER-lag | Motståndskraft hos kritiska verksamhetsutövare, 11 sektorer inkl. offentlig förvaltning | I kraft 1 jan 2027 | Kontinuitet vid leverantörsbortfall måste kunna visas |
| Säkerhetsskyddslagen | Skärpta tillsyns- och ingripandebefogenheter; anmälningsplikt vid utkontraktering | 1 juli 2026 resp. 1 jan 2027 | Säkerhetskänslig verksamhet: nivå 3–4 i praktiken krav |
| OSL 10 kap. 2 a § | Sekretessgenombrott för teknisk bearbetning/lagring hos leverantör »om det inte är olämpligt« | I kraft 1 juli 2023 | Leverantörens jurisdiktion och underleverantörer vägs in |
Kompletterande¶
Utöver tabellen tar presentationen upp två kompletterande underlag:
- Leverantörsutfästelser – Microsofts egna medgivanden i franska senaten (10 juni 2025) och brittiska underhuset (10 feb 2026), Microsofts European Digital Commitments och AWS European Sovereign Cloud.
- eSam – eSams grundhållning om röjande, vägledningen om utkontraktering 2023 och rapporten om exit-planering mars 2025, samt Sambruks nätverk »Digital suveränitet« i samverkan med eSam.
Källor¶
Presentationen anger följande källor för tabellen; källor per regelverk finns på respektive sida.
- EUR-Lex C-703/25 P (Latombe-överklagande)
- Brennan Center & EFF juni–juli 2026 (FISA 702)
- digital-strategy.ec.europa.eu 3 juni 2026 – Tech Sovereignty Package / CADA
- regeringen.se 28 maj 2026 – molnpolicy (Fi2026/01233)
- riksdagen.se – Cybersäkerhetslag (2025:1506); prop. 2025/26:303 (CER); prop. 2022/23:97 (OSL 10:2a)