Diskussionen om digital suveränitet fastnar ofta i en falsk motsättning. Antingen ska allt ligga i egna serverhallar, eller så spelar det ingen roll var det ligger. Kapitlet argumenterar för att båda positionerna missar den fråga som faktiskt betyder något, alltså vad organisationen kan fortsätta göra den dag ett beroende faller bort. En bank i Europa tvingades stänga verksamheten när sanktioner mot moderbolaget fick molnleverantörer att avbryta e-post och grundsystem över en natt. Banken hade följt varje regel. Det den saknade var en väg vidare.
Kapitlet börjar med att definiera begreppet och skilja det från närliggande idéer som datalokalisering, som ofta förväxlas med suveränitet men löser en annan sak. Sedan kartläggs Sveriges beroenden, alltså vilka funktioner i samhället och näringslivet som vilar på ett fåtal utländska leverantörer. Juridikens gråzon får ett stort avsnitt, eftersom det är där de svåra frågorna bor. Vad händer när en leverantör lyder under lagstiftning som står i konflikt med svensk rätt, och vem avgör vilken som väger tyngst? Därefter behandlas suveränitet inom totalförsvaret, EU:s ambitioner på området, och den dubbla risken av prismakt och driftstörning, som är två uttryck för samma beroende. De senare avsnitten är de mest praktiska. Vad en organisation faktiskt kan göra, varför pragmatism slår purism och vad en realistisk exitplan innehåller. Öppen källkod behandlas som strategisk förutsättning snarare än ideologiskt val. Hur beroenden hanteras i leverantörsledet fördjupas i kapitel 18 om leveranskedjans säkerhet.
Frågan har flyttat från principdiskussion till driftfråga. Sanktioner, ändrade licensvillkor och plötsliga prisförändringar har visat att beroendet får konsekvenser långt innan någon konflikt uppstår. För verksamhetsutövare enligt cybersäkerhetslagen blir det dessutom en kontinuitetsfråga, eftersom förmågan att fortsätta leverera är ett av lagens kravområden och tillsynen kan komma att fråga hur den är säkrad.
Sidan visar vad kapitlet omfattar och varför beroendena bör kartläggas. Bedömningsmodellen, de juridiska gränsdragningarna och de konkreta alternativen finns i kapitel 7 i boken.
Suveränitet mäts inte i vad du äger, utan i vad du kan fortsätta göra när en leverantör faller bort.
Nyckelinsikter
- Suveränitet är en fråga om handlingsutrymme, inte om ägande. Frågan är vad ni kan göra om leverantören faller bort.
- Beroenden uppstår sällan genom ett stort beslut, utan genom många små som ingen har summerat.
- Prismakt och driftrisk är två sidor av samma beroende och bör hanteras i samma analys.
- Öppen källkod är en strategisk förutsättning snarare än ett ideologiskt val, eftersom den ger möjlighet att byta.
- Purism är dyrt och ofta orealistiskt. Pragmatism med kända exitvägar är den hållbara vägen.
Verktyg som hör till kapitlet
Mallarna och de interaktiva verktygen finns i Verktygsboxen, kostnadsfritt.
Suveränitetsbedömningen
Bedöm en tjänst eller leverantör mot suveränitetsdimensionerna, ur bilaga E.
Systemverktyg
Verktygskategorier och alternativ, med svenska och europeiska val.
Läs vidare
Nästa steg
Var står din organisation?
Självskattningen ger dig en mognadsprofil mot cybersäkerhetslagens tio kravområden på några minuter, direkt på skärmen.