EU har precis definierat det suveräna molnet, här är vårt resultat

Daniel Melin

Business Development Manager

Texten är automatiskt översatt för din bekvämlighet, du kan läsa texten på:

Den 20 oktober 2025 publicerade Europeiska kommissionen en referens för att gradera europeiska moln: Cloud Sovereignty Framework.

Inspirerad av initiativ från Frankrike¹, Tyskland² och europeiska regelverk³, liksom internationell praxis inom exportkontroller, resiliens i leveranskedjor och säkerhetsrevision, erbjuder detta ramverk⁴ ett nytt sätt att objektifiera ett ämne som har varit svårt att kvantifiera och jämföra.

Detta nya ramverk ligger i linje med den vitbok som branschinitiativet EuroStack publicerade bara veckor tidigare, med titeln ”Ett föreslaget ramverk för en ”Buy European”-reglering av strategisk digital upphandling”⁵.

Åtta kriterier för att mäta moln med

Ramverket definierar åtta mål för molnsuveränitet, vart och ett graderat från 0 till 4 (SEAL‑nivån – Sovereignty Effectiveness Assurance Level). Kriterierna täcker alla nyckeldimensioner av digitalt oberoende.

Ramverket omfattar strategiska, juridiska, operativa och miljömässiga aspekter, men också transparens i leveranskedjan, teknologisk öppenhet, säkerhet och efterlevnad av EU‑lag.

I grunden bedömer det hur djupt en molnleverantör är inbäddad i det europeiska ekosystemet (ägande, styrning, anpassning till EU:s prioriteringar), under europeisk jurisdiktion (minimalt exponerad för icke‑EU‑lag), i vilken utsträckning data och tjänster kontrolleras lokalt, samt om verksamheten drivs autonomt utan kritiska beroenden utanför EU. Ytterligare kriterier rör leveranskedjan, teknikstacken, säkerhet och efterlevnad samt molnverksamhetens miljömässiga hållbarhet.

Motivet bakom ramverket

Europeiska kommissionen använder ramverket för sin egen molnupphandling. En upphandling på €180 miljoner lanserades 2025 för att välja ut upp till fyra leverantörer över sex år, som var och en uppfyller minimikrav inom alla åtta målen. Alla anbud som inte uppfyller en minimnivå för ett kriterium kommer automatiskt att avvisas. Tanken är att skapa lika villkor genom att driva marknaden mot gemensamma standarder och minska beroendet av icke‑europeiska tjänster genom att ge beslutsfattare ett opartiskt jämförelseverktyg.

Det är ett direkt svar på det kinesiska och amerikanska maktspelet där europeisk rätt inte följs och på den kontinuerliga övervakningen av Europa. En annan aspekt är att Europas marknadsandel inom global IT krymper i oroande takt.

Safesprings självutvärdering baserad på ramverket

Safespring använde kriterierna i Cloud Sovereignty Framework och genomförde en ärlig och transparent självutvärdering för att ta reda på hur suveräna vi är i dagsläget och var vi kan förbättra oss.

Suveränitetspoäng
Safespring når 86.25% enligt vår egen bedömning av EU:s Cloud Sovereignty Framework.

hur vi bedömer oss själva

Så här bedömer vi oss själva utifrån de åtta suveränitetsmålen (SEAL‑poäng från 0 till 4):

SOV-1 Strategisk suveränitet, poäng: 4.
Safespring är till 100 % ett svenskt bolag med enbart svensk styrning. Vi ägs av medarbetarna och styrelsen. Vi har inget beroende av icke‑europeiskt kapital och alla medarbetare är europeiska medborgare som bor inom EU/EES. Domstolsbeslut från länder utanför EU/EES gentemot oss är inte giltiga och vi bedriver inte verksamhet i länder utanför EU/EES. Vår teknikstack består av öppen källkod som inte kan stängas av av ett annat land eller en leverantör.
SOV-2 Juridisk och jurisdiktionell suveränitet, poäng: 4.
Endast svensk rätt och EU‑rätt gäller för våra avtal, tjänster och vår verksamhet. Våra datacenter finns i Sverige och Norge. Vi har ingen exponering mot rättssystem utanför EU/EES. All IPR‑skapande sker inom EU/EES.
SOV-3 Data- och AI‑suveränitet, poäng: 4
Vi ser inte, loggar inte och använder inte våra kunders data på något sätt. Vi använder kryptering och andra säkerhetsåtgärder för att skydda våra kunder, men de kan också fritt använda egen kryptering med nycklar som endast de har tillgång till. All data lagras i det datacenter kunden valt att använda och kan inte exporteras till länder utanför Sverige och Norge eftersom vi inte har datacenter där.
SOV-4 Operativ suveränitet, poäng: 4
Vi äger, driver och kontrollerar hela vår teknikstack, från serverhårdvara till Kubernetes-plattform. Vi minimerar tekniskt beroende av icke‑europeiska leverantörer. Denna operativa autonomi gör att vi kan utveckla eller migrera tjänsten vid behov, utan proprietär inlåsning.
SOV-5 Leveranskedjesuveränitet, poäng: 2
Server- och nätverkshårdvara är omöjlig att köpa utan kinesiska, koreanska och/eller amerikanska komponenter och firmware. Eftersom marknaden ser ut så är vi i hög grad beroende av hårdvara utanför EU/EES. Programvaran vi använder är öppen källkod och därmed global. Vi är inte beroende av något företag eller land för den programvarustack vi använder. De datacenter vi använder ägs och drivs av företag och personal från EU/EES.
SOV-6 Teknisk suveränitet, poäng: 3
Vi använder endast komponenter med öppen källkod, öppna API:er och öppna protokoll. Hela vår stack kan tekniskt och juridiskt distribueras hos kund, där kunden kan vidareutveckla stacken utan Safespring. Alla komponenter, arkitektur och beroenden är dokumenterade och öppna. Vi saknar serverhårdvara, CPU:er, GPU:er och switchar från leverantörer inom EU/EES.
SOV-7 Säkerhets- och regelefterlevnadssuveränitet, poäng: 4
Vi uppfyller all relevant svensk och EU‑lagstiftning som GDPR, NIS2 och OSL. Vi är certifierade enligt FR2000 och mycket snart ISO 27001. All säkerhetsverksamhet sker inom EU/EES. Vi är helt transparenta gentemot våra kunder kring buggar, säkerhetsincidenter och åtgärder. Våra kunder kan granska våra datacenter, vår drift och våra efterlevnadsåtgärder.
SOV-8 Miljömässig hållbarhet, poäng: 4
Alla våra datacenter har låg PUE, återanvänder värmen som genereras och använder 100 % grön elektricitet. Våra datacenteroperatörer kan tillhandahålla data och certifieringar om alla relevanta hållbarhetsparametrar. Vi använder vår hårdvara tills den inte längre kan användas och återvinner den ansvarsfullt.

Referenser

Trusted Cloud Referential av CIGREF och ANSSI:s Cloud de Confiance ↩︎
Souveräner Cloud ↩︎
Europeiska regelverk som ENISA, NIS2 och DORA. ↩︎
Europeiska kommissionens Ramverk för molnsuveränitet ↩︎
Eurostacks publikation, Ett föreslaget ramverk för en ”Buy European”-reglering av strategisk digital upphandling ↩︎