Kravkatalog för verksamhetssystem¶
I lager 7 byts inte produkter utan villkor: kraven ställs vid varje avtalsförnyelse, systemen byts när de inte kan uppfyllas.
Kravmönstret är generiskt och kan användas i kravkataloger oavsett systemtyp – ärende/diarie, ekonomi/HR, e-tjänster, arkiv, GIS, datalager. Det skrivs in i organisationens arkitekturprinciper i fas 0 och tillämpas löpande i fas 5, som följer avtalscyklerna: vissa system byts därför före klienten, andra långt efter.
De sju kraven¶
| # | Krav | Innebörd |
|---|---|---|
| 1 | Drift utan tredjelandskontroll | Drift i Sverige/EU hos leverantör som inte kontrolleras från tredjeland – eller möjlighet att köra på egen plattform. Fråga: var driftas det, av vem, vem kan stänga av? |
| 2 | SSO mot egen IdP | OIDC/SAML mot organisationens egen identitetsplattform (Keycloak) – inte enbart Entra ID. SCIM-provisionering. |
| 3 | Öppna API:er och exportformat | Dokumenterade API:er, fullständig export i öppna format (ODF, PDF/A, CSV/JSON/XML enligt standard), inga proprietära låsningar. |
| 4 | Inga hårda M365-beroenden | Outlook-add-ins, Teams-appar, Power BI-inbäddning, SharePoint-lagring ska ha öppna motsvarigheter (CalDAV, Matrix, Superset, WebDAV/S3). |
| 5 | Webbklient | Ingen Windows-specifik tjock klient; fungerar i standardwebbläsare på Linux. |
| 6 | Databas och plattform | PostgreSQL eller annan öppen databas; containeriserad drift möjlig (Kubernetes) för egen eller svensk drift. |
| 7 | Exit och kontinuitet | Exitklausul, dataexport vid avtalsslut, escrow/källkod vid konkurs, kontinuitetsplan om leverantören stängs av. |
Så används katalogen¶
- Fas 0: anta kraven som arkitekturprinciper och lägg in dem i organisationens kravkatalog. Från den dagen ställs de i varje upphandling och förnyelse – också i fas 0–4, innan de andra lagren är bytta. Det är detta som stoppar inflödet av nya beroenden (princip 1).
- Vid varje avtalsslut: ställ kraven. Ett system som inte kan uppfylla dem byts. Tills dess hanteras det som nivå 2 med dokumenterat undantag och omprövning (se exitplanen).
- Kravet på egen IdP (krav 2) förutsätter att organisationen har eller planerar ett eget identitetsnav (fas 2). Innan navet finns skrivs kravet som »ska stödja OIDC/SAML mot annan IdP än Entra ID«, så att kopplingen kan flyttas utan byte av system.
- Dokumentera avvikelser. Varje krav som inte uppfylls antecknas i beroendekartan med omprövningsdatum.
Frågor att ställa leverantören¶
Verksamhetssystem från nordiska leverantörer driftas ofta som SaaS på Azure/AWS – beroendet syns inte i avtalet med den svenska leverantören. Nederländerna stoppade 2026 ett amerikanskt uppköp av DigiD-driftleverantören Solvinity av just detta skäl. Fråga därför alltid:
- Var driftas tjänsten – i vilket land, i vilka datacenter, hos vilken underleverantör?
- Vem kan stänga av tjänsten, och under vilket lands lag står den som kan göra det?
- Vilken lag gäller för data i tjänsten, inklusive underleverantörernas?
- Kan tjänsten köras på organisationens egen plattform eller hos en svensk driftleverantör?
- Hur exporteras alla data, i vilka format, och vad kostar det?
- Vad händer med källkod och data om leverantören går i konkurs eller köps upp?
Typiska byten i lagret¶
- SQL Server → PostgreSQL
- Power BI → Apache Superset (rapporter migreras manuellt)
- Power Platform-appar → Baserow/Grist eller riktig utveckling
- Azure-driftad SaaS → EU-drift eller egen plattform
- Esri ArcGIS (US) → QGIS/GeoServer – utanför fokus men samma mönster
- E-arkiv, diarie, e-tjänster: kravställ webbklient, SSO, export
Avgränsning¶
Analysen beaktar inte upphandlingsrätt (LOU/LUF). Kraven ovan är arkitekturkrav och behöver formuleras som ska- eller bör-krav, utvärderingskriterier eller avtalsvillkor i enlighet med upphandlingslagstiftningen innan de används i ett upphandlingsdokument. Erfarenheter av sådana formuleringar är välkomna som bidrag.
Källor¶
- Sveriges molnpolicy 28 maj 2026 (ställningstagande 4–6: portabilitet, kontroll, kravställning)
- Nederländernas rijksbreda molnpolicy 3 juli 2026 (exitplaner obligatoriska)
- NL Times 26 maj 2026 (Solvinity/Kyndryl)
- Presentationens bilaga A6 och bild 18 (risk 6: nordisk leverantör på amerikanskt moln)