EU:s digitala suveränitet: Varför det spelar roll

Fallet för europeisk digital suveränitet

Under större delen av de senaste två decennierna har europeiska organisationer byggt sin digitala infrastruktur på plattformar som drivs av amerikanska hyperscalers. Molnlagring, samarbetsverktyg, identitetshantering och kommunikation har alla dragits mot ett fåtal USA-baserade leverantörer. Bekvämligheten var obestridlig. Den strategiska kostnaden är dock först nu på väg att bli tydlig.

Digital suveränitet är principen att nationer, institutioner och företag bör behålla meningsfull kontroll över sina data, sin infrastruktur och den programvara som ligger till grund för kritiska verksamheter. Det handlar inte om isolationism eller protektionism. Det handlar om att säkerställa att de regler som styr europeiska data fastställs av europeisk lagstiftning, genomförs av europeiska domstolar och upprätthålls av infrastruktur som inte kan störas ensidigt av utländska regeringar.

Varför detta spelar roll nu

Flera utvecklingar har fört digital suveränitet från marginalen av politisk debatt in i styrelserummet.

Utländsk lagstiftnings extraterritoriella räckvidd. Den amerikanska CLOUD Act ger amerikanska myndigheter rätt att tvinga USA-baserade leverantörer att lämna ut data som lagras var som helst i världen, oavsett var den registrerade bor. För europeiska organisationer som hanterar känsliga personuppgifter, patientjournaler, juridisk kommunikation eller hemligstämplad myndighetsinformation skapar detta en olöslig konflikt med dataskyddsförordningen (GDPR).

Sårbarhet i leverantörskedjan. Geopolitiska spänningar, handelskonflikter och sanktioner har visat att tillgången till utländskt kontrollerade tjänster kan begränsas med kort varsel. Organisationer som är helt beroende av icke-europeiska plattformar för sin dagliga kommunikation och sitt samarbete bär på en koncentrationsrisk som få styrelser har kvantifierat fullt ut.

Ökande regleringstryck. EU:s dataförordning (Data Act), det europeiska systemet för cybersäkerhetscertifiering och den allt strängare tolkningen av Schrems II-domen skärper kraven på var data får behandlas och vem som får åtkomst till den. Efterlevnad räcker inte längre att garantera genom ett avtalslöfte från en amerikansk leverantör; det krävs i allt högre grad påvisbara tekniska och juridiska kontroller.

Allmänhetens förtroende. Medborgare, patienter och kunder förväntar sig att deras kommunikation och uppgifter skyddas av de rättsliga ramverk de själva har röstat fram. När ett europeiskt sjukhus genomför sina videokonsultationer via infrastruktur som omfattas av utländsk övervakningslagstiftning, bryts denna förväntan i tysthet.

Vad digital suveränitet kräver i praktiken

Att uppnå meningsfull suveränitet är inte en fråga om retorik. Det kräver konkreta arkitektoniska val.

Infrastrukturens jurisdiktion. Servrarna måste vara fysiskt placerade inom EU och drivas av bolag som är registrerade enligt EU-lagstiftning, utan något moderbolag som omfattas av motstridiga utländska skyldigheter.

Att data stannar inom EU. Data måste stanna inom definierade rättsliga gränser i vila, under överföring och under behandling. Detta gäller även metadata, loggar och krypteringsnycklar.

Transparent styrning. Operatörens bolagsstruktur, ägande och juridiska skyldigheter måste gå att granska. Anspråk på suveränitet är aldrig starkare än styrningen bakom dem.

Öppna standarder. Beroende av proprietära protokoll och format skapar en annan form av inlåsning. Suveräna plattformar bör omfamna interoperabilitet så att organisationer fritt kan migrera, integrera och granska.

Kryptering under användarens kontroll. End-to-end-kryptering säkerställer att inte ens plattformsoperatören kan komma åt innehållet i kommunikationen. När krypteringsnycklarna hanteras av kunden utvidgas suveräniteten från infrastrukturen till själva datan.

Mandrakis tillvägagångssätt

Mandraki är utformat från grunden för att uppfylla dessa krav. Plattformen driftas uteslutande hos en europeiskt ägd hyperscaler som ger den kapacitet våra arbetslaster kräver, och all data behandlas och lagras inom EU:s gränser. Det finns inget USA-baserat moderbolag, inget utländskt dotterbolag med åtkomst och ingen juridisk väg för icke-europeiska myndigheter att tvinga fram utlämnande.

Varje lager i stacken – från infrastrukturleverantören till applikationskoden – är anpassat efter principen att europeiska organisationer inte ska behöva välja mellan moderna samarbetsverktyg och verklig kontroll över sina data.

Digital suveränitet är inte en funktion. Det är en grund. Allt Mandraki bygger vilar på den.