Beslutsunderlag för ledning¶
Fem beslut behövs innan tekniken. Utan dem blir varje upphandling en ny förhandling, och beroendet växer av sig självt.
Mallen är en disposition för ett beslutsärende till ledning, nämnd eller styrelse. Hakparenteser fylls i av organisationen; den löpande texten är hämtad ur analysen och kan användas som den är, med källhänvisning. Stryk det som inte behövs – ett bra beslutsunderlag är kort.
[Organisationens namn]: Från beroende till rådighet – beslut om målnivå, principer och finansiering¶
Sammanfattning¶
[Två–tre meningar: vad som föreslås, vad det kostar de första åren, vad det ger.]
Beroendet av Microsoft, Google och hyperscalers är inte längre en teknikfråga – det är en fråga om handlingsfrihet, beredskap och ekonomi. Testfrågan lyder: kan vi fortsätta fungera i morgon om leverantören stänger av, höjer priset eller tvingas lyda ett annat lands lag? Oberoende betyder kontroll, inte renhet. Målet är inte noll beroende, utan att inget enskilt beroende kan stoppa verksamheten.
Bakgrund¶
[Varför frågan är aktuell för organisationen just nu: avtal som löper ut, incidenter, lagkrav, kostnadsutveckling. Analysens kapitel Varför frågan är aktuell just nu och Sverige 2026 ger den nationella och europeiska bilden.]
Sveriges molnpolicy (28 maj 2026) definierar digital suveränitet och kräver exitvillkor och portabilitet – som »bör«, och som vägledning för kommuner och regioner. Ingen nationell instans kommer att bestämma åt organisationen; målnivå och takt är ett eget beslut. Cybersäkerhetslagen (i kraft 15 januari 2026) och CER-lagen (i kraft 1 januari 2027) gör dock beroendekartan och kontinuitetsplanen obligatoriska oavsett.
Nuläge¶
[Sammanfattning av organisationens beroendekarta: vilka lager som är beroende, var kill-switch-risken är högst, vilka avtal som löper ut när. Använd beroendekartan.]
I en typisk svensk offentlig organisation finns Microsoft i alla lager utom hårdvarulagret. Det dolda beroendet är större än det synliga, och det sitter i identiteten: Active Directory och Entra ID bär varje inloggning, behörighet och SSO-koppling. Identitet & katalog är det enda lagret med kritisk risk vid avstängning – utan katalog och inloggning stannar allt samtidigt.
Förslag till beslut¶
1. Målnivå. [Organisationen] antar nivå 3 – europeisk kontroll: leverantören kontrolleras inte från tredjeland – som målnivå för mjukvara och moln, med nivå 4 (hela kedjan inklusive hårdvara) som horisont. Nivåerna följer EU-kommissionens förslag till Cloud and AI Development Act. Där nivå 3 saknas accepteras nivå 2 (ingen tredjelandsåtkomst, ingen fjärravstängning) som dokumenterat undantag med årlig omprövning.
2. Principer och arkitekturstyrning. Öppna standarder, öppen källkod först, drift i Sverige/EU, exitvillkor i varje avtal – och stopp för nya beroenden från beslutsdagen: inget nytt system kopplas till Entra ID som enda identitetskälla, inga nya Copilot- eller Power Platform-beroenden byggs in utan dokumenterat undantag. Kravkatalogen antas som arkitekturprincip och tillämpas i varje upphandling och avtalsförnyelse.
3. Finansiering av fas 0–1. [Belopp] avsätts för kartläggning, exitplaner och flytt av drift från hyperscaler till svensk/europeisk leverantör eller egen plattform – det som inte syns för medarbetarna men avgör allt som kommer sedan. Organisationen räknar med dubbla kostnader i två till tre år: befintliga licenser löper parallellt med ny plattform, utbildning, migreringsprojekt och ny driftkompetens. Besparingen realiseras först när licenserna faktiskt sägs upp, i fas 3.
4. Kompetens. [Organisationen] inrättar ett kompetenscenter/OSPO [eller ansluter sig till ett gemensamt], tecknar driftavtal med svenska partners och avsätter utbildningsbudget. Schleswig-Holstein öppnade sitt OSPO i juni 2025; Frankrike har DINUM som central kompetens.
5. Gör det tillsammans. [Organisationen] söker samverkan om gemensam identitetsplattform, gemensam samarbetssvit och gemensam kravställning mot leverantörer av verksamhetssystem – [med vilka: kommuner, region, kommunalförbund, Sambruk, Sunet, statlig it-drift]. Tyskland byggde openDesk centralt (ZenDiS) och Frankrike La Suite (DINUM) just för att ingen enskild myndighet ska göra allt själv.
Om vi inte beslutar¶
- Beroendet växer av sig självt – varje nytt system kopplas till Entra, varje ny Copilot-funktion byggs in.
- Licenskostnaden stiger vid varje förnyelse (Västra Götalandsregionens nya Microsoftavtal: +43,5 %).
- Cybersäkerhetslagen och CER-lagen kräver ändå beroendekartan och kontinuitetsplanen.
- Kompetensen att ta över byggs aldrig upp – avståndet växer för varje år.
Ekonomi¶
[Organisationens egna siffror. Analysens J-kurva är en illustrativ profil, inte en prognos; fyll i: licenskostnad per år (M365 E3/E5, Windows, Server CAL, Azure), driftkostnad hos hyperscaler, konsult- och utbildningsbudget för migrering, ökad egen driftkapacitet. Se Vad kostar det – och vad ger det?.]
Referenspunkter från Europa: Schleswig-Holstein uppger ~15 M€/år i sparade licenser för ~30 000 arbetsplatser mot 9 M€ i engångskostnad 2026; Aarhus flyttade 60 system från Azure till Hetzner till ungefär en tredjedel av kostnaden. Värden utanför kalkylen: handlingsfrihet, beredskap (drift i Sverige under kris), egen kompetens, lokal och europeisk leverantörsmarknad, minskad prisrisk vid avtalsförnyelse.
Risker¶
Ingen av riskerna är ny – alla har hanterats i Kiel, Berlin, Paris och Haag. Skillnaden ligger i förändringsledning och egen kompetens. [Välj de som är relevanta; se Risker och fallgropar.]
| Risk | Hantering |
|---|---|
| Windows-bundna verksamhetssystem | Kravställ webbklient vid avtalsslut; VDI/webb som brygga; dokumenterad restgrupp med omprövning |
| Funktionsluckor (villkorad åtkomst, Outlook-finesser, stora videomöten, makrotunga Excel-flöden) | Kartlägg verkliga behov före byte; pilot med kravtunga grupper |
| Användarmotstånd och produktivitetsdipp | Förändringsledning, utbildning, superanvändare, gå förvaltningsvis, tydlig tidsplan |
| Kompetens och drift | Kompetenscenter/OSPO, svenska driftpartners, dela tjänster med andra organisationer |
| »Europeiskt på pappret« | Granska juridisk kontroll, licens och forkbarhet vid varje val; föredra stiftelseprojekt |
| Nordisk leverantör på amerikanskt moln | Fråga var driften sker och vem som kan stänga av; kräv EU-drift eller egen plattform |
Tidsplan¶
[Organisationens plan. Analysens färdplan omfattar sex faser över typiskt fem år för en medelstor organisation: fas 0 styrning och kartläggning (0–6 månader, upprepas årligen), fas 1 grunden under huven (6–18), fas 2 identitet och katalog (12–24), fas 3 samarbetsplattformen (18–36), fas 4 klienten (30–48), fas 5 verksamhetssystem, data och AI (löpande, 24–60). Se Färdplanen.]
Nästa steg efter beslut¶
Fas 0: inventera system, avtal, dataflöden och integrationer; klassa varje beroende (direkt/dolt, kill-switch-risk, avtalsslut); upprätta exitplan per kritisk tjänst; fastställ arkitekturprinciper; stoppa nya beroenden; etablera kompetenscenter; välj samverkanspartners. Klart när beroendekartan med prioriterad lista finns, målnivån är beslutad, planen för fas 1–2 är finansierad och kravkatalogen är antagen.
Källor¶
- Presentationens bild 20 (fem beslut), bild 3 (nivåerna), bild 12 och A8 (färdplanen), bild 17 (ekonomi), bild 18 (risker), bild 16 (Sverige 2026)
- regeringen.se 28 maj 2026 – molnpolicy (Fi2026/01233)
- riksdagen.se – Cybersäkerhetslag (2025:1506); prop. 2025/26:303 (CER)
- The Register 15 okt 2025; State Chancellery 4 dec 2025 (via Borncity) – Schleswig-Holstein
- HK 22 okt 2025 – Aarhus/Hetzner
- GP – Västra Götalandsregionens Microsoftavtal