Digital suverænitet bliver en bestyrelsesopgave

Kritisk digital infrastruktur er ikke længere kun en opgave for it-afdelingen. Cloudplatforme, datacentre, telenet og specialiserede teknologileverandører er blevet så centrale for den daglige drift, at et udfald kan ramme hele forretningen.

En Capgemini-undersøgelse blandt 1.300 ledere fra store organisationer og offentlige myndigheder i 11 lande viser, at geopolitiske spændinger, eksportkontrol og cybertrusler får virksomheder til at undersøge deres afhængighed af digitale leverandører langt mere kritisk. Digital infrastruktur behandles i stigende grad på linje med energi og fysiske forsyningskæder: som et område, der kræver bestyrelsestilsyn, beredskabsplaner og investeringer i robusthed. 5

Fra it-afhængighed til driftsrisiko

Når adgangen til en afgørende leverandør bliver afbrudt, begrænset eller kompromitteret, er konsekvensen ikke nødvendigvis blot langsomme systemer eller utilgængelige filer. Det kan påvirke produktion, kundeservice, udvikling, kommunikation og adgang til centrale virksomhedsdata.

Derfor bør det afgørende spørgsmål for ledelse og bestyrelse være konkret: Kan virksomheden fortsat fungere, hvis en kritisk digital leverandør pludselig ikke er tilgængelig?

Det ændrer fokus fra almindelig it-drift til forretningskontinuitet. En kontrakt med en cloudleverandør er ikke i sig selv en beredskabsplan, hvis virksomheden hverken kan flytte data, genetablere systemer eller operere i et alternativt miljø inden for en acceptabel tidshorisont.

Suverænitet er evnen til at vælge

Digital suverænitet bliver ofte fremstillet som et spørgsmål om nationale eller regionale teknologiløsninger. For den enkelte organisation er den mest anvendelige betydning dog evnen til at udøve valg, kontrol og styring på tværs af data, drift, teknik og jura – samtidig med at man fortsat kan bruge globale teknologipartnere. 8

Det handler altså ikke nødvendigvis om at udskifte enhver international leverandør. Det handler om ikke at havne i en situation, hvor der reelt ikke findes et brugbart alternativ.

I praksis betyder det blandt andet:

• at et forretningskritisk workload kan flyttes til et andet miljø;
• at systemarkitekturen ikke gør migration urealistisk dyr eller langsom;
• at virksomheden ved, hvem der har adgang til data og systemer;
• at centrale tjenester kan genopbygges eller genudrulles, hvis et bestemt driftsmiljø svigter.

Capgemini beskriver denne tilgang som suverænitet indbygget i designet: portabilitet, valgfrihed og mulighed for at skifte løsning eller hurtigt genopbygge teknologistakken, hvis et miljø fejler. 37

Hvad skal virksomheden bevare kontrollen over?

De mest følsomme afhængigheder knytter sig typisk til aktiver, der er vanskelige at genskabe, flytte eller sikre efter et brud. Det gælder eksempelvis proprietære og følsomme data, AI-modeller, immaterielle rettigheder og andre forretningskritiske workloads.

Kontrol har flere lag. Det omfatter, hvor data befinder sig, hvordan de anvendes, hvem der har adgang, hvem der driver miljøet, hvilken teknisk arkitektur der bruges, og hvilke lovgivninger der gælder. 31

En plan, der kun tager stilling til, hvor data fysisk ligger, løser derfor ikke nødvendigvis den centrale sårbarhed. Data kan være lokalt placeret, mens den praktiske kontrol over drift, adgang eller mulighed for at skifte platform stadig er begrænset.

Airbus vælger diversificering frem for isolation

Airbus er et eksempel på, hvordan en virksomhed kan mindske koncentrationsrisikoen omkring følsomme systemer uden at gøre digital suverænitet til ensbetydende med fuld teknologisk isolation.

Fly- og forsvarskoncernen har indgået en flerårig aftale med Iliad-ejede Scaleway om cloudinfrastruktur til følsomme industrielle og forsvarsrelaterede applikationer, herunder AI-værktøjer udviklet sammen med Mistral. Infrastrukturens formål er at hoste kritiske applikationer inden for flydesign, ingeniørarbejde, industriel produktion og koncernfunktioner. 18

Airbus fremhæver selv driftskontinuitet, kontrol med dataadgang, begrænsning af leverandørlåsning og teknologisk kapacitet som centrale elementer i sin strategi. 24 Pointen er ikke, at alle systemer skal placeres ét bestemt sted, men at virksomheden identificerer de områder, hvor afhængigheden er uacceptabel, og etablerer et alternativ, som opfylder de tekniske, sikkerhedsmæssige og juridiske krav.

Fem spørgsmål til bestyrelsen

Et brugbart program for digital robusthed bør kunne testes i praksis. Bestyrelser og direktioner kan begynde med fem spørgsmål:

1. Hvilke digitale afhængigheder er kritiske? Kortlæg leverandører, tjenester, dataflows og workloads, hvis bortfald vil standse eller væsentligt forringe driften.
2. Hvilke aktiver er mest udsatte? Skeln mellem almindelige systemer og følsomme data, immaterielle rettigheder, AI-aktiver og forretningskritiske processer.
3. Kan systemerne reelt erstattes? Vurder, om hvert kritisk workload kan flyttes, gendannes eller genopbygges – og under hvilke betingelser.
4. Er exit- og kontinuitetsplanerne troværdige? Der skal være tekniske, operationelle og juridiske ordninger, der faktisk kan bruges, ikke blot kontraktformuleringer.
5. Er planerne afprøvet? Portabilitet har først værdi, når migration og genopretning kan gennemføres inden for den tid, forretningen kan acceptere.

Den centrale læring er enkel: Digital suverænitet er ved at blive en robusthedskapacitet. Organisationer, der bevarer kontrol og har realistiske alternativer, står stærkere ved leverandørudfald, cyberhændelser, juridiske begrænsninger og geopolitiske chok. 58