Hva er digital suverenitet ifølge artikkelen?

Digital suverenitet handler ikke bare om hvor leverandøren eller datasenteret befinner seg, men om hvor mye reell kontroll virksomheten har dersom en kritisk digital tjeneste svikter.

Hvorfor er gjenopprettingstid viktig for digital suverenitet?

Gjenopprettingstid viser hvor raskt virksomheten kan få en kritisk tjeneste tilbake i drift, også dersom leverandøren ikke kan eller vil bidra.

Hvorfor er ikke en norsk leverandør eller et norsk datasenter nødvendigvis nok?

Nasjonalitet og datalokasjon sier ikke nødvendigvis noe om virksomheten faktisk kan eksportere data, gjenopprette systemene eller drive videre uten leverandørens hjelp.

Hva er leverandøravhengighet?

Leverandøravhengighet oppstår når virksomheten er avhengig av en bestemt leverandørs teknologi, kompetanse, dataformater eller tjenester for å kunne opprettholde eller gjenopprette driften.

Hvordan kan virksomheter teste leverandøravhengigheten sin?

De kan blant annet teste om kritiske tjenester kan gjenopprettes uten leverandøren, om privilegerte tilganger kan gjenopprettes, og om data og konfigurasjon kan eksporteres til et format som fungerer i et annet miljø.

Må virksomheter fjerne all leverandøravhengighet?

Nei. Artikkelen argumenterer for at målet er å forstå hvilke avhengigheter virksomheten har akseptert og sørge for at tiltakene står i forhold til hvor kritisk tjenesten er.

Hva bør en exit-plan fra en leverandør inneholde?

Virksomheten bør vite hvordan data og konfigurasjoner kan flyttes, hvilken kompetanse som kreves for å overta driften, og hvordan avhengigheten kan avsluttes dersom leverandøren ikke lenger kan brukes.

Hva bør styret vite om virksomhetens digitale avhengigheter?

Styret bør vite hvilke digitale tjenester virksomheten ikke kan fungere uten, hvem som kontrollerer dem og hvor raskt driften kan gjenopprettes dersom tjenestene faller bort.

Hvordan kan leverandørbinding påvirke kostnadene?

En løsning som er billig å innføre kan bli kostbar dersom data, kompetanse og arbeidsprosesser blir sterkt bundet til én leverandør. En løsning med bedre portabilitet og gjenoppretting kan derfor ha større langsiktig verdi.

Hvorfor er digital suverenitet relevant for KI-tjenester?

KI-tjenester kan være raske og rimelige å innføre, men når data, arbeidsflyter og beslutningslogikk bygges inn i én plattform, kan det bli kostbart og komplisert å bytte leverandør senere.

Digital suverenitet må måles i gjenopprettingstid, ikke i flagget på leverandørens nettside

Vi jobbet nylig med en virksomhet som hadde gjort alt riktig på papiret. De hadde en norsk leverandør, et datasenter i Norge og en avtale med krav om at data kunne eksporteres. Da de testet eksporten, fikk de en fil som ingen av deres egne systemer kunne lese. De fikk også beskjed om at den eneste som kunne gjenopprette miljøet var på ferie i to uker. Flagget var norsk, men kontrollen var ikke der.

Digital suverenitet reduseres ofte til hvilket land leverandøren kommer fra og hvor datasenteret er lokalisert. Det er relevant, men sier lite om hva virksomheten kan gjøre når en kritisk tjeneste stopper. NSM-direktør Arne Christian Haugstøyl rådet i februar til å ikke legge alle eggene i én kurv, uansett hvem som eier kurven. Det handler om konsentrasjonsrisiko, ikke nasjonalitet.

Utfallene hos AWS og Azure i oktober 2025 stoppet norske virksomheter i timevis, uavhengig av hvor dataene var lagret. Adressene til datasentrene hjalp ikke. Det som hjalp, var å vite hva som stoppet, hvem som kunne gjøre noe og hvor lang tid det ville ta før tjenestene var oppe igjen.

Slik tester du leverandøravhengigheten

En leverandør kan svikte på to måter. Den kan være nede, som AWS og Azure. Eller den kan slutte å levere til deg på grunn av sanksjoner, endrede vilkår, konkurs eller et pålegg fra myndighetene i landet leverandøren hører hjemme i.

Et mål omfatter begge hendelsene: Hvor lang tid tar det før den viktigste tjenesten er i drift igjen, uten at leverandøren bidrar? De fleste har en plan for sikkerhetskopiering. Færre har testet om de faktisk får tjenesten tilbake.

Målet er ikke å fjerne all avhengighet, men å vite hvilken avhengighet man har akseptert og sørge for at tiltakene står i forhold til hvor kritisk tjenesten er. Kan dere sperre og gjenopprette privilegerte tilganger uten leverandøren? Har dere testet gjenoppretting av den mest kritiske tjenesten? Vet dere hvor lang tid det vil ta? Kan data og konfigurasjon eksporteres i et format som kan brukes i et annet miljø? Er dette prøvd i praksis? Finnes det kompetanse til å overta og en plan for å avslutte avhengigheten til en leverandør?

Styret må kjenne de kritiske avhengighetene

I april ba Stortinget regjeringen om å kartlegge Norges digitale avhengigheter løpende, med første rapport innen utgangen av 2026. Forslagene om statlig sky og en exit-strategi fra Microsoft 365 fikk ikke flertall. Det er en fornuftig rekkefølge: først forstå avhengighetene, så ta en beslutning. Styrene bør gjøre det samme for egen virksomhet.

Styret skal ikke velge teknisk arkitektur. Men styret bør vite hvilke digitale tjenester virksomheten ikke kan fungere uten, hvem som har kontroll over dem og hvor raskt driften kan gjenopprettes. Da blir investeringsbeslutningene bedre. En billig løsning blir dyr hvis data, kompetanse og arbeidsprosesser låses til en aktør. En dyrere løsning kan være riktig hvis den gir bedre innsyn, enklere gjenoppretting og har en troverdig plan for leverandørbytte.

Samme logikk gjelder for KI-tjenester, og der går det hurtigere. De er raske å innføre og billige i starten. Men når data, arbeidsflyt og beslutningslogikk bygges inn i en plattform, kan det fort bli veldig dyrt om dere vil bytte KI-leverandør eller -plattform.

Les saken i TechWatch: Digital suverenitet må måles i gjenopprettingstid