Digital suveränitet blir en fråga för styrelserummet

Kritisk digital infrastruktur behandlas allt oftare som ett verksamhetsberoende, inte som en stödfunktion inom IT. En Capgemini-undersökning med 1 300 chefer från stora organisationer och offentliga verksamheter i elva länder visar att geopolitiska spänningar, exportkontroller och cyberhot får beslutsfattare att granska sitt beroende av teknikleverantörer som kan vara svåra att ersätta. 5

Från IT-beroende till risk för verksamhetskontinuiteten

Molnplattformar, datacenter, telekommunikationsnät och specialiserade teknikleverantörer bär upp den dagliga verksamheten. Om tillgången till en kritisk leverantör störs, begränsas eller komprometteras kan följderna bli betydligt större än ett vanligt IT-avbrott.

Därför närmar sig styrelser i allt högre grad digital infrastruktur på samma sätt som energiförsörjning och fysiska leveranskedjor: med styrning, reservplaner och investeringar i motståndskraft. Undersökningen pekar på ökad uppmärksamhet på styrelsenivå när organisationer omprövar beroenden som tidigare togs för givna. 5

Den avgörande frågan är praktisk: kan verksamheten fortsätta om en kritisk leverantör blir otillgänglig?

Digital suveränitet handlar om att behålla handlingsfriheten

Digital suveränitet beskrivs ofta som en fråga om nationell eller regional teknik. För organisationer är en mer användbar definition förmågan att utöva valfrihet, kontroll och styrning över data, drift, teknik och juridik – samtidigt som man kan använda globala teknikpartners. 8

I praktiken handlar det om utbytbarhet:

• att kunna flytta en kritisk arbetslast vid behov,
• att undvika tekniska lösningar som gör migrering orimligt svår,
• att förstå vem som kontrollerar åtkomsten till data och system, och
• att kunna bygga upp eller driftsätta tjänster på nytt om en viss miljö slutar fungera.

Capgemini beskriver suveränitet redan i designen som portabilitet, valmöjligheter och förmågan att byta lösning eller snabbt bygga upp en teknikplattform på nytt när det behövs. 37

Det är alltså inte nödvändigtvis ett krav på att ersätta varje internationell leverantör. Det är ett sätt att undvika en situation där företaget saknar ett fungerande alternativ.

Vad företagen vill ha kontroll över

De mest riskfyllda beroendena rör ofta tillgångar som är svåra att återställa, återskapa eller flytta. Det kan handla om egenutvecklade och känsliga data, AI-modeller, immateriella rättigheter och verksamhetskritiska arbetslaster.

Kontroll har flera dimensioner: var data lagras, vem som kan komma åt den, vem som driver miljön, vilken arkitektur som används och vilka rättsordningar som gäller. 31 En beredskapsplan som enbart hanterar var data finns, men inte operativ eller teknisk portabilitet, kan därför lämna ett väsentligt beroende olöst.

Airbus visar hur riskerna kan spridas

Airbus är ett exempel på hur ett företag kan minska koncentrationsrisken för känsliga arbetslaster utan att likställa digital suveränitet med total isolering. Flyg- och rymdföretaget har tecknat ett flerårigt avtal med Iliad-ägda Scaleway om molninfrastruktur för känsliga industri- och försvarstillämpningar, inklusive AI-verktyg som utvecklats tillsammans med Mistral. Infrastrukturen är avsedd för kritiska tillämpningar inom flygplansdesign, teknik, industriell produktion och företagsverksamhet. 18

Airbus har också beskrivit sin strategi utifrån driftskontinuitet, kontroll över dataåtkomst, minskad leverantörsinlåsning och teknisk förmåga. 24 Grundtanken är diversifiering: identifiera de system där beroendet innebär en oacceptabel risk och säkra ett alternativ som uppfyller tekniska, säkerhetsmässiga och juridiska krav.

Fem frågor för styrelsen

För ledningsgrupper är prioriteten inte en allmän suveränitetsdeklaration, utan ett testbart program för digital motståndskraft:

1. Kartlägg kritiska beroenden. Identifiera leverantörer, tjänster, dataflöden och arbetslaster där ett avbrott skulle stoppa eller påtagligt försämra verksamheten.
2. Klassificera tillgångarna. Skilj mellan rutinmässiga system och känsliga data, immateriella rättigheter, AI-tillgångar och verksamhetskritiska processer.
3. Bedöm utbytbarheten. Fastställ om varje kritisk arbetslast kan flyttas, återställas eller byggas upp på nytt – och under vilka förutsättningar.
4. Skapa trovärdiga planer för exit och kontinuitet. En avtalsklausul är inte i sig en exitplan; det krävs genomförbara tekniska, operativa och juridiska arrangemang.
5. Testa planen. Portabilitet har bara värde om migrering och återställning kan genomföras inom en tidsram som verksamheten kan acceptera.

Den centrala lärdomen är enkel: digital suveränitet håller på att bli en förmåga för motståndskraft. Organisationer som behåller kontroll och realistiska alternativ står bättre rustade vid leverantörsavbrott, cyberincidenter, rättsliga begränsningar och geopolitiska chocker. 58