Digital suverenitet blir en styresak for beredskap

Kritisk digital infrastruktur blir i stadig større grad håndtert som en operativ avhengighet, ikke som en ren støttefunksjon for IT-avdelingen. En Capgemini-undersøkelse blant 1 300 ledere i store virksomheter og offentlige organer i 11 land viser at geopolitiske spenninger, eksportrestriksjoner og cybertrusler får ledere til å granske avhengigheten av teknologileverandører som kan være vanskelige å erstatte. 5

Fra IT-avhengighet til risiko for driftskontinuitet

Skyplattformer, datasentre, telenett og spesialiserte teknologileverandører understøtter den daglige driften. Dersom tilgangen til en kritisk leverandør blir avbrutt, begrenset eller kompromittert, kan konsekvensene gå langt utover et vanlig IT-nedetid.

Derfor behandler stadig flere styrer digital infrastruktur på samme måte som energi og fysiske forsyningskjeder: med styring, beredskapsplaner og investeringer i robusthet. Undersøkelsen peker mot større oppmerksomhet på styrenivå når virksomheter vurderer avhengigheter som tidligere i stor grad ble tatt for gitt. 5

Det sentrale spørsmålet er konkret: Kan virksomheten fortsette å operere dersom en kritisk leverandør blir utilgjengelig?

Digital suverenitet handler om å beholde handlingsrommet

Digital suverenitet blir ofte fremstilt som en debatt om nasjonal eller regional teknologi. For virksomheter er en mer nyttig definisjon evnen til å utøve valgfrihet, kontroll og styring på tvers av data-, drifts-, tekniske og juridiske lag – samtidig som man kan bruke globale teknologipartnere. 8

I praksis handler dette om erstattbarhet:

• å ha mulighet til å flytte en kritisk arbeidslast;
• å unngå teknologiske løsninger som gjør migrering uforholdsmessig vanskelig;
• å forstå hvem som kontrollerer tilgangen til data og systemer; og
• å kunne gjenoppbygge eller ta i bruk tjenester på nytt dersom ett bestemt miljø svikter.

Capgemini beskriver «suverenitet by design» som portabilitet, valgmuligheter og evnen til å bytte løsninger eller raskt bygge opp teknologistakken på nytt ved behov. 37

Dette er ikke nødvendigvis et krav om å erstatte alle internasjonale leverandører. Det er et krav om å unngå en situasjon der virksomheten ikke har noe praktisk gjennomførbart alternativ.

Hva virksomhetene ønsker å holde kontroll på

De mest alvorlige avhengighetene gjelder gjerne verdier som er vanskelige å hente tilbake, gjenskape eller flytte. Det kan være proprietære og sensitive data, KI-modeller, immaterielle rettigheter og forretningskritiske arbeidslaster.

Kontroll har flere dimensjoner: hvor data befinner seg, hvem som har tilgang, hvem som drifter miljøet, hvilken arkitektur som ligger under, og hvilket rettsregime som gjelder. 31 En beredskapsplan som bare tar for seg datalagringssted, men ikke driftsmessig eller teknisk flyttbarhet, kan dermed la en vesentlig avhengighet stå uløst.

Airbus viser en strategi for diversifisering

Airbus er et eksempel på hvordan et selskap kan redusere konsentrasjonsrisikoen for sensitive arbeidslaster uten å gjøre digital suverenitet til full isolasjon. Fly- og forsvarskonsernet inngikk en flerårig avtale med Iliad-eide Scaleway om skyinfrastruktur for sensitive industrielle applikasjoner og forsvarsapplikasjoner, inkludert KI-verktøy utviklet sammen med Mistral. Infrastrukturen skal drifte kritiske applikasjoner innen flydesign, ingeniørarbeid, industriproduksjon og konsernfunksjoner. 18

Airbus har også beskrevet sin strategi rundt driftskontinuitet, kontroll over datatilgang, reduksjon av leverandørbinding og teknologisk kapasitet. 24 Grunntanken er diversifisering: Identifiser systemene der avhengigheten skaper uakseptabel risiko, og etabler et alternativ som oppfyller nødvendige tekniske, sikkerhetsmessige og juridiske krav.

En nyttig styreagenda for digital robusthet

For ledergrupper er ikke hovedprioriteten en overordnet erklæring om suverenitet, men et beredskapsprogram som kan testes:

1. Kartlegg kritiske avhengigheter. Identifiser leverandører, tjenester, dataflyter og arbeidslaster der avbrudd vil stanse eller vesentlig svekke driften.
2. Klassifiser verdiene som står på spill. Skill rutinesystemer fra sensitive data, immaterielle rettigheter, KI-ressurser og virksomhetskritiske prosesser.
3. Vurder erstattbarhet. Avklar om hver kritiske arbeidslast kan flyttes, gjenopprettes eller bygges opp igjen – og på hvilke vilkår.
4. Lag troverdige planer for exit og kontinuitet. En kontraktsklausul er ikke alene en exit-plan; virksomheten trenger fungerende tekniske, operative og juridiske ordninger.
5. Test planen. Portabilitet har først verdi når migrerings- og gjenopprettingsprosedyrene kan gjennomføres innenfor en tidsramme virksomheten kan leve med.

Hovedpoenget er enkelt: Digital suverenitet er i ferd med å bli en beredskapsevne. Virksomheter som beholder kontroll og reelle alternativer, står bedre rustet mot leverandørutfall, cyberhendelser, juridiske begrensninger og geopolitiske sjokk. 58