Cloud: Klare regler for "skyen"

Adgangen til cloudservices er et konkurrenceparameter

Dansk erhvervsliv – og forsikrings- og pensionsbranchen - er afhængige af en digital infrastruktur, der kan skaleres for effektivt at kunne udnytte de nye teknologiske muligheder ved bl.a. kunstig intelligens og analyse af store mængder data. Brug af cloudservices er et afgørende konkurrenceparameter, da teknologien bl.a. giver mulighed for mere fleksible og skalerbare it-ressourcer, stordriftsfordele og mere operationel effektivitet.

Udfordringer ved cloud outsourcing

Virksomheder i Danmark og EU er i stigende grad afhængige af cloudløsninger, men markedet domineres af især amerikanske techgiganter. Dog tager de nuværende outsourcingregler ikke tilstrækkelig højde for cloudservices, og de store leverandører er i høj grad uregulerede i dag.

Små virksomheder har derfor ofte ikke reel mulighed for aktivt at sikre tilstrækkelig leverandørsikkerhed (compliance), og de juridiske og geopolitiske udfordringer kan ende som en bremse for brugen af cloud, som ellers er en væsentlig forudsætning for den digitale innovation.

Dertil kommer at den nuværende amerikanske politiske udvikling og usikkerhed om databeskyttelsesaftaler (fx Schrems III) øger behovet for digital autonomi i Europa, da den nuværende cloud infrastruktur er sårbar over for denne type usikkerheder.

Der er altså en række udfordringer på området, som kræver handling.

Digital suverænitet

Vi skal selvfølgelig kunne benytte os af andre lande, når de leverer en service af værdi.
Danmark og EU ville aldrig være, hvor vi er i dag uden samhandel. 

Det helt centrale er, at vi skal sikre, at Europa også virker i morgen og i overmorgen. Brugen af de store cloud-udbydere er dog ikke uproblematisk.
Løsningen er ofte omtalt som ”digital suverænitet”, som vi desværre ofte ser oversat direkte til uafhængighed; europæisk selvforsyning.
Men selvforsyning, som afskærer os fra adgangen til de bedste digitale løsninger, er ikke en konkurrencedygtig løsning.

Digital suverænitet bør i stedet handle om at sikre kontrol. Kontrol over hvem, der kan tilgå systemer og vores data. Kontrol over hvem, der kan slukke.

Når vi taler suverænitet i sammenhæng med konkurrenceevne, ligger reel styrke ikke i uafhængighed, men i kontrol og valgmuligheder. At vi kan vælge mellem selvforsyning eller eksterne løsninger alt efter, hvad der giver mest værdi.

I det politiske udspil "Digital simplificering og suverænitet" giver F&P 11 anbefalinger, som skal styrke Danmark og Europas konkurrenceevne ved at understøtte:
1. Simplificering og klare regler.
2. Digital suverænitet og forsyningssikkerhed

F&P arbejder for bedre rammevilkår og høje cybersikkerhedskrav til cloudleverandører

F&P ønsker overordnet, at der skabes en mere robust europæisk cloudinfrastruktur, at afhængigheden af amerikanske udbydere  kan reduceres samt at europæisk teknologisk suverænitet understøttes gennem bl.a. en cloudforordning.

F&P foreslår konkret, at der indføres en EU-cloudforordning, der i højere grad regulerer cloududbyderne ved at:

• Sikre høje krav til cyber- og informationssikkerhed i cloudløsninger
• Standardisere og regulere cloudtjenester for interoperabilitet
• Flytte dokumentations- og sikkerhedskrav fra kunder til cloud-leverandører
• Etablere tilsyn med leverandørerne ift. produktsikkerhed
• Sikre at ydelser leveres fra datacentre i EU for at sikre forsyningssikkerheden
• Styrke alternative europæiske cloudløsninger 

F&P ønsker, at leverandører af software og cloudløsninger får et større ansvar for sikkerheden – ligesom produktansvar i andre brancher – hvilket vil lette byrden for virksomhederne. Dette er i tråd med principperne i GDPR, NIS2 og DORA, men hvor ansvaret i dag i praksis ligger hos kunderne.

For at sikre et højt cybersikkerhedsniveau og fair konkurrencevilkår bør reguleringen foregå på EU-niveau, så cloudleverandører forpligtes til samme standarder på tværs af medlemslandene.

F&P arbejder for, at virksomheder får et mere sikkert marked at operere i, hvor det primære ansvar ligger hos leverandørerne – ligesom produktansvar gør i andre sektorer. Samtidig vil det bidrage til, at leverandører arbejder efter de samme klare vilkår for at operere i markedet.

Da der i dag ikke findes en konkurrencedygtig europæisk cloudinfrastruktur, er det afgørende, at reguleringen af cloududbydere ikke strammes for tidligt.

Først bør der investeres i og styrkes europæiske løsninger, så vi undgår at hæmme digital innovation og svække sikkerheden for europæiske virksomheder.