Datasuverenitet

I en verden der digitale verdikjeder strekker seg fra halvlederfabrikker til globale skytjenester, er kontrollen over egne data blitt et spørsmål om selvbestemmelse. Geopolitiske lover med ekstraterritoriell rekkevidde, leverandørlåsing i proprietære plattformer og en voksende avhengighet av utenlandsk infrastruktur gjør at alt fra myndigheter til små virksomheter kan miste reell styring. Hendelser som e-postnekt for en dommer ved Den internasjonale domstolen (ICJ) og store databrudd i 2025 viser at tilgang, integritet og innsyn i praksis kan styres av aktører utenfor vår jurisdiksjon.

Rammeverk for datasuverenitet

Avhengighet av et komplekst nettverk av teknologileverandører utgjør en betydelig hindring for organisasjoners behov for kontroll over egne data. I kjernen av denne utfordringen finner vi Big Tech-plattformer som Microsoft 365 (M365), Amazon Web Services (AWS), Google Cloud og Microsoft Azure, som utgjør ryggraden i den daglige driften for utallige offentlige og private virksomheter. Ved siden av disse gigantene spiller mindre tredjepartsleverandører og globale aktører som Snowflake en kritisk rolle, og introduserer ofte ytterligere risikoelementer. Disse avhengighetene utsetter organisasjoner for tre hovedkategorier av sårbarhet:

1. jurisdiksjonelle risikoer der data kan være underlagt utenlandske lover og ekstraterritoriell tilgang

2. operasjonelle risikoer inkludert driftsstans, datainnbrudd og tap av kontroll

3. økonomiske risikoer som leverandørlåsing, proprietære økosystemer og økende kostnader.

Nylige hendelser har tydeliggjort disse sårbarhetene. Ransomware-angrepet mot Extend AS i Norge forstyrret kommunal drift og eksponerte sensitiv informasjon. Videre, det globale Snowflake-datainnbruddet i 2025 kompromitterte over 160 organisasjoner, inkludert AT&T, Santander Bank og Ticketmaster, og berørte millioner av brukere. Disse hendelsene illustrerer skjørheten i tredjepartsforhold. Den nåværende fragmenterte tilnærming til digital autonomi etterlatt hull i håndhevelse og tilsyn, noe som gjør land som Norge spesielt sårbare for utenlandsk innblanding og datautnyttelse.

Alvoret i disse utfordringene ble ytterligere understreket i juli 2025, da en kritisk zero-day-sårbarhet (CVE-2025-53770) i Microsoft SharePoint Server ble utnyttet i en omfattende kampanje. Over 85 servere på tvers av 29 organisasjoner inkludert multinasjonale selskaper og offentlige etater ble kompromittert. Denne hendelsen viste at selv lokale installasjoner av Big Tech-programvare ikke er immune mot alvorlige jurisdiksjonelle og operasjonelle trusler. Lokal datalagring gir ingen garanti for kontroll når proprietære arkitekturer, uklare sikkerhetsrutiner og forsinket informasjonsdeling fortsatt er normen.

Bransjestandardens dype avhengigheter låser organisasjoner inn i proprietære økosystemer, og utsetter dem for jurisdiksjonelle risikoer, datautnyttelse og sårbarheter som løsepengevirusangrep. Som svar på disse økende risikoene foreslår vi et nytt selvregulerende rammeverk for datasuverenitet. Vi analyserer systematisk lagene av organisatorisk avhengighet, og foreslår konkrete tiltak for å sikre jurisdiksjonell kontroll, operasjonell autonomi, åpenhet og ansvarlighet. Med andre ord, selvbestemmelse. Rammeverket tar til orde for en Data Sovereignty Transparency Standard (DSTS) som krever full åpenhet om sikkerhetshendelser, håndtering av kryptografiske nøkler og myndighetsforespørsler, samtidig som det fremmer bruk av åpne, interoperable alternativer for å redusere systemiske sårbarheter.

Ekte datasuverenitet

Ekte datasuverenitet er evnen til at en nasjon, organisasjon eller individ kan opprettholde absolutt kontroll over sine egne data, slik at de lagres, behandles og forvaltes innenfor egen jurisdiksjon, underlagt lokale lover, og beskyttet mot ekstern innblanding eller utnyttelse. Dette krever uavhengighet fra utenlandsk-kontrollert infrastruktur og proprietære systemer som prioriterer selskaps- eller fremmede myndigheters interesser fremfor lokal autonomi. Sentrale prinsipper inkluderer:

Prinsipp	Beskrivelse
Jurisdiksjonell kontroll	Data må forbli underlagt de juridiske og regulatoriske rammene der de har sitt opphav, og være beskyttet mot ekstraterritoriell tilgang (for eksempel gjennom den amerikanske CLOUD Act).
Teknologisk uavhengighet	Organisasjoner må ta i bruk åpen kildekode eller lokalt utviklede løsninger for å unngå leverandørlåsing og sikre full kontroll over sin digitale infrastruktur.
Åpenhet og ansvarlighet	Tydelig innsyn i dataflyt, behandling og tredjepartstilgang er avgjørende for å bygge tillit og sikre etterlevelse.

Avhengighetsfellen og tredjeparts sårbarheter

Moderne virksomheter er i praksis totalt avhengige av Big Tech for å få gjort jobben. Fra kontor- og administrasjonsfunksjoner som e-post, samhandling og dokumenthåndtering i M365, til teknisk drift, utvikling og data/AI på skyleverandører som AWS, Azure og Google Cloud. På toppen kommer kritiske tredjepartstjenester fra både lokale aktører (som Extend AS) og globale plattformer (som Snowflake), tett koblet til kjerneprosessene. Resultatet er en kjede av avhengigheter der ett leverandørbrudd, en policyendring eller en sikkerhetssvikt kan påvirke hele virksomheten som samlet skape systemiske sårbarheter, og undergraver datasuvereniteten, forårsaker driftstans og selvfølgelig, virksomhetens produktivitet.

I skarp kontrast står penn-og-papir-modellen som er leverandøruavhengig og fungerer når som helst, hvor som helst og for hvem som helst. I den moderne skyen styres alt av leverandørens rammer, region og datalokasjon, tenant og abonnement, lisenstyper og kvoter, brukerprofiler og policyer, samt API-begrensninger, SLA-er og compliance-krav. Med andre ord har vi gått fra universell tilgjengelighet og selvbestemmelse til en plattformstyrt virkelighet der tilgang, funksjon og risiko bestemmes utenfor virksomhetens kontroll.

Ryggraden i organisatorisk avhengighet er backoffice

Microsoft er hjørnesteinen i moderne drift, fra kommunikasjon (Outlook, Teams), dokumenthåndtering (Word, Excel, SharePoint) og samarbeid. Gevinsten i effektivitet er åpenbar, men avhengigheten innebærer betydelige risikoer som undergraver datasuverenitet og operasjonell motstandskraft:

• Jurisdiksjonelle risikoer: Den Big Tech arkitekturen betyr at vanlig kontorprosedyrer er avhengiig av regelverk som den amerikanske CLOUD Act. For en norsk virksomhet kan dette åpne for myndighetstilgang i strid med lokale personvernregler og GDPR, med påfølgende risiko for både rettighetsbrudd og tjenesteavbrudd, dvs, forstyrrelse i de normale kontorrutinene og saksbehandlingen. Et illustrerende eksempel er saken der en dommer ved Den internasjonale domstolen (ICJ) fikk e-posttilgang holdt tilbake av leverandøren på grunn av eksterne juridiske/politiske føringer. Det var et tydelig bilde på hvordan kontrollen over kritisk kommunikasjon i praksis kan ligge utenfor virksomhetens (eller institusjonens) hender.

  
  

• Leverandørlåsing: Proprietære formater (.docx, .xlsx) og tett økosystemintegrasjon gjør migrasjon til alternativer som LibreOffice eller Nextcloud kostbar og kompleks. Det forsterker avhengigheten, øker forhandlingsasymmetrien, og gjør virksomheten mer sårbar for prisendringer, funksjonskutt eller endrede vilkår.

  
  

• Datautnyttelse: Plattformleverandøren kan bruke M365-data til sekundære formål, som trening av AI-modeller (for eksempel Copilot), ofte med begrenset transparens. Dette flytter økonomisk verdi ut av virksomheten og kan skape nye angrepsflater og regulatorisk risiko.

  
  

• Behov for åpenhet: For å dempe avhengigheten må det være tydelighet om datalagringssted, myndighetsforespørsler, sekundærbruk og interoperabilitet. Konkrete «exit»-mekanismer (datauttrekk i åpne formater, portabilitet på bruker- og tenant-nivå) er nødvendig for å redusere risiko for utnyttelse, utpressing og tjenestenekt ved leverandørendringer eller hendelser.

  
  

Microsoft er både motoren i kontorhverdagen og en teknologifelle. Uten eksplisitte krav til åpenhet, interoperabilitet og reelle exit-strategier blir virksomheter sittende fast i en sårbar posisjon der leverandøren kontrollerer region, tenant, lisenser og i praksis tilgangen til egen arbeidsrutiner og dermed verdiskaping.

Skyen setter ramme: Ikke din organisasjon

Globale skyer flytter data på tvers av grenser og lever i komplekse forsyningskjeder. Dette gir tre hovedutfordringer. For det første svekkes suverenitet når data behandles i andre land: en norsk kommune som legger smartby‑data i Azure kan få disse lagret i Irland eller USA, med risiko for svakere vern, utenlandsk myndighetstilgang og potensielle driftsavbrudd. For det andre øker forsyningskjedesårbarheter når underleverandører håndterer lagring, drift og telemetri; kjedens uklarhet gjør det vanskelig å vurdere hvem som faktisk har tilgang, slik Snowflake‑innbruddet demonstrerte. For det tredje skaper proprietære tjenester økonomisk lock‑in som binder budsjetter og begrenser muligheten til å flytte til lokale eller alternative løsninger.

Snowflake‑eksemplet illustrerer konsekvensene. I 2025 ble den skybaserte dataplattformen rammet av et massivt innbrudd som påvirket over 160 organisasjoner, blant annet AT&T, Santander, Advance Auto Parts og Ticketmaster. Angripere stjal sensitive data som kundenavn, kontaktinformasjon og delvis betalingsopplysninger; for Ticketmaster ble over 560 millioner brukere berørt. Manglende MFA hos enkelte kunder og uklare sikkerhetsrutiner forsterket skaden. Siden Snowflake behandler data i globale datasentre, ble informasjonen samtidig eksponert for regelverk som den amerikanske CLOUD Act der underleverandører kan være involvert. Utenlandske lover med myndighetstilgang er noe som speiler bekymringene fra Extend AS‑saken.

Veien videre krever reell åpenhet: leverandører må dokumentere dataflyt og behandlingssteder, identifisere alle underleverandører, beskrive gjeldende sikkerhetstiltak (inkludert obligatorisk MFA) og støtte standardiserte, interoperable formater som muliggjør migrasjon uten uforholdsmessige kostnader. Dette reduserer jurisdiksjonsrisiko, avhengighet og konsekvensene av fremtidige brudd.

Fagtekniske sårbarheter

Det store bildet er en dyp spesialisering gjennom hele verdikjeden: fra transistor- og maskinvareøkosystemet, via industrielt utstyr og operativteknologi, til programvareplattformer og utviklingsmetodikk som DevOps som er ofte tett knyttet til leverandørspesifikke økosystemer som Azure, Atlassian (Jira/Confluence), GitHub og flere CI/CD-, observability- og ITSM-verktøy. Hver spesialisert brikke leverer effektivitet og tempo, men introduserer også nye tillitsforhold, flere integrasjonspunkter og dermed flere angrepsflater. Resultatet er en fragmentert, men tett sammenvevd leverandørkjede der feil, misbruk eller vilkårs- og policyendringer ett sted kan forplante seg raskt og bredt.

I denne konteksten blir sårbarhetene mer strukturelle enn enkeltstående. Små, høyt spesialiserte leverandører (for eksempel fagsystemleverandører i offentlig sektor) og globale plattformer (for eksempel dataplattformer i skyen) representerer begge kritiske noder i kjeden. Når slike noder svikter, ser vi mønstre som går igjen: manglende segmentering og minste privilegium, svak autentisering eller fravær av MFA i integrasjoner, uklare ansvarsforhold mellom kunde–leverandør–underleverandør, og begrenset innsyn i hvor og hvordan data faktisk behandles. Nylige hendelser som et norsk fagsystemmiljø, Extend AS, utsatt for løsepengeangrep, eller et stort internasjonalt databrudd hos en skybasert dataplattform, illustrerer at både lokale nisjeaktører og globale giganter kan bli enkeltpunkter for systemisk risiko. Her er noen eksempler.

Kontroll over spesialiserte systemer og firmware

7. juli 2025 ble Extend AS rammet av et ransomware-angrep som eksponerte kommunale dokumenter. Overført til domener med spesialiserte systemer og firmware viser hendelsen hvor sårbar infrastrukturen blir når grunnlagskomponenter som brannmurer, rutere, BMC/iLO/iDRAC, lagringskontrollere, PLC/SCADA-enheter og medisinsk utstyr er avhengig av tredjeparts firmware og leverandørkjeder. Kompromittert eller utdatert firmware på slike enheter kan brukes til å omgå autentisering, persistere under gjenoppretting og eksfiltrere konfigurasjoner, logger, beredskapsplaner og sårbarhetsanalyser og dermed forsterke konsekvensene av et ellers “rent” programvareangrep.

LoJax UEFI-rootkit (avdekket av ESET i 2018) utnyttet sårbarheter i hovedkortets UEFI-firmware til å skrive en vedvarende bootkit som lastet før operativsystemet. Fordi koden bodde i firmware, overlevde den formatering og OS‑reinstallasjon, ga angriperen lavnivåkontroll og mulighet til å deaktivere sikkerhetsverktøy og hente ut data i det skjulte. Dette illustrerer hvordan kompromittert firmware i “spesialiserte” komponenter kan gi varig fotfeste og total omgåelse av tradisjonelle forsvar.

• Jurisdiksjonelle risikoer: Selv om en tjenesteleverandør er norsk, kan tilhørende maskinvare, firmware, oppdateringskanaler og telemetri styres eller bygges av utenlandske aktører. Uklare svar på hvor oppdateringsservere, signeringsnøkler og diagnostikkdata befinner seg og hvilke underleverandører som er involvert, skaper usikkerhet om jurisdiksjon og myndighetstilgang. Dersom utenlandske underleverandører (for eksempel kinesiske selskaper) inngår i kjeden, øker risikoen på grunn av regelverk som National Intelligence Law (2017), som pålegger organisasjoner og borgere å støtte og samarbeide med etterretningsmyndigheter, Cybersecurity Law (2017), som kan kreve lagring av data i Kina og teknisk bistand til sikkerhetsorganer, samt Data Security Law (2021) og PIPL (2021), som kan pålegge utlevering av data når loven krever det. For spesialiserte systemer betyr dette at signerte firmwarebilder, crash-dumps, telemetri og eksterne administrasjonskanaler i praksis kan bli gjenstand for utenlandsk rett og tilgang, med direkte implikasjoner for kommunal beredskap og kritisk infrastruktur.

• Operasjonell påvirkning: Bruddet forstyrret kommunal drift, og berørte kommuner som Ringsaker arbeider med å kartlegge skadeomfanget. Fraværet av sensitive personopplysninger i bruddet var heldig, men tapet av kritisk driftsdata (f.eks. beredskapsplaner) truer offentlig sektor sin robusthet.

• Åpenhetsmangel: Extend AS’ innledende motvilje mot å oppgi hvilke kommuner som var rammet (kun bekreftet av Kristiansand, Drammen, Ringsaker og Bergen selv) viser mangel på proaktiv åpenhet, noe som forsinket responsen og svekket tilliten.

• Behov for åpenhet: Tredjepartsleverandører må gi sanntidsinformasjon om hvor data behandles, underleverandører og sikkerhetstiltak, samt umiddelbare varsler om brudd til berørte kunder. Dette inkluderer klarhet om eventuelle utenlandske underleverandører som kan være underlagt lover som de nevnte kinesiske reguleringene, som potensielt kan kompromittere dataintegritet og sikkerhet.

Operasjonelle risikoer fra integrerte økosystemer

Big Tech-plattformer og mindre tredjepartsleverandører skaper integrerte økosystemer som, selv om de er effektive, introduserer enkeltpunkter for feil.

• Systemisk risiko: Et brudd eller driftsstans i M365, AWS, Snowflake eller en leverandør som Extend AS kan lamme driften. Angrepet på Extend AS kompromitterte kritiske kommunale systemer, og kunne forstyrre tjenester som beredskapsplanlegging, mens Snowflake-innbruddet forstyrret globale selskaper som Ticketmaster, og truet kundesikkerhet og økonomiske operasjoner. Dersom leverandører eller deres underleverandører opererer under jurisdiksjoner med strenge datatilgangslover, som National Intelligence Law of the People’s Republic of China (2017), kan dette ytterligere forsterke risikoen. Artikkel 7 i denne loven pålegger organisasjoner og borgere å støtte, assistere og samarbeide med statens etterretningsarbeid og holde det hemmelig, noe som innebærer at kinesiske selskaper kan være juridisk forpliktet til å utlevere brukerdata.

• Shadow IT-risiko: Ansatte kan ta i bruk uautoriserte verktøy (f.eks. Google Drive, Dropbox) for å omgå restriktive IT-policyer, noe som introduserer uovervåkede dataflyter. Denne risikoen forsterkes når leverandører som Extend AS eller Snowflake ikke håndhever strenge tilgangskontroller. Ytterligere komplikasjoner oppstår dersom data håndteres av underleverandører underlagt lover som Cybersecurity Law of the People’s Republic of China (2017), som krever at nettverksoperatører lagrer visse data i Kina og gir teknisk støtte til sikkerhetsmyndigheter, eller Data Security Law (2021), som styrker myndighetenes tilgang til data i nasjonale sikkerhets- og kriminaletterforskningssaker.

• Overvåkningsrisiko: Big Tech-økosystemer muliggjør omfattende telemetri, ofte uten tydelig informasjon. M365 samler for eksempel inn bruksdata som kan deles med tredjeparter, mens leverandører som Extend AS og Snowflake kan mangle robuste datavernstiltak. Risikoen forsterkes dersom data behandles i jurisdiksjoner med lover som Personal Information Protection Law (PIPL, 2021), som, til tross for sitt fokus på personvern, også krever at selskaper utleverer data til myndigheter når loven krever det.

• Behov for åpenhet: Leverandører må oppgi telemetripraksis, risiko for driftsstans og shadow IT, og tilby verktøy for å overvåke og begrense uautoriserte dataflyter. Dette inkluderer klarhet om eventuelle underleverandører som opererer under jurisdiksjoner med lover som de nevnte kinesiske reguleringene, som potensielt kan kompromittere dataintegritet og sikkerhet.

Ansvarliggjøring og åpenhetsbasert perspektiv

Å stemple Big Tech som utenlandske agenter innebærer risiko for overtramp og handelskonflikter. I stedet bør en Data Sovereignty Transparency Standard (DSTS) gjelde både for Big Tech og tredjepartsleverandører som Extend AS og Snowflake, med krav om:

• Offentlig rapportering av hvor data behandles: Leverandører må tydelig rapportere hvilke datasentre og jurisdiksjoner som er involvert i databehandling. Dette er særlig viktig i lys av lover som National Intelligence Law of the People’s Republic of China (2017), hvor artikkel 7 pålegger organisasjoner og borgere å støtte, assistere og samarbeide med statens etterretningsarbeid og holde det hemmelig, noe som kan innebære at kinesiske selskaper må utlevere brukerdata.

• Åpenhet om alle myndighetsforespørsler: Leverandører må offentliggjøre alle forespørsler om datatilgang fra myndigheter (f.eks. under CLOUD Act, Cybersecurity Law of the People’s Republic of China (2017), som krever at nettverksoperatører lagrer visse data i Kina og gir teknisk støtte til sikkerhetsmyndigheter, eller Data Security Law (2021), som styrker myndighetenes tilgang til data i nasjonale sikkerhets- og kriminaletterforskningssaker) og resultatene av disse forespørslene.

• Dokumentasjon av retningslinjer for databruk: Leverandører må tydelig dokumentere hvordan data brukes, inkludert til AI-trening, telemetri eller kommersiell utnyttelse. Dette inkluderer overholdelse av lover som Personal Information Protection Law (PIPL, 2021), som, til tross for sitt fokus på personvern, krever at selskaper utleverer data til myndigheter når loven krever det.

• Interoperable formater og tydelige exit-strategier: Leverandører må tilby interoperable dataformater og klare strategier for migrering til lokale eller åpne alternativer for å sikre fleksibilitet og uavhengighet.

• Umiddelbar varsling ved brudd: Ved datainnbrudd må leverandører gi umiddelbare varsler med full åpenhet om hvilke data og jurisdiksjoner som er berørt, inkludert potensielle risikoer knyttet til utenlandske lover som de nevnte kinesiske reguleringene, som kan kompromittere dataintegritet og sikkerhet.

Fordeler:

• Styrker ansvarlighet uten å stigmatisere selskaper, og unngår handelskrig eller tariffer.

• Støtter suverenitet ved å sikre innsyn i leverandørpraksis.

• Fremmer konkurranse ved å gjøre det mulig for lokale aktører å konkurrere på åpenhet og tillit.

Unngå overtramp:

• Begrens DSTS til kritiske sektorer (f.eks. helse, offentlige tjenester) for å unngå å overbelaste mindre virksomheter.

• Tilpass til internasjonale standarder (f.eks. ISO, GDPR) for å sikre konsistens og unngå handelskonflikter.

Løsning:

Norge bør arbeide for en norsk datasuverenitetspakt som prioriterer norske juridiske og kulturelle hensyn. En slik pakt vil stille strenge krav til åpenhet for alle leverandører, tilpasset for å redusere avhengighet og dempe risikoer som de som ble avdekket i ICJ, Extend AS- og Snowflake-sakene.

Redusert avhengighet og datasuverenitet

For å oppnå ekte datasuverenitet og redusere risikoen fra Big Tech og tredjepartsleverandører, bør Norge og lignende land ta i bruk følgende rammeverk:

1. Nasjonal datainfrastruktur:

   • Invester i lokalt eide datasentre drevet av Norges fornybare energi for å lagre og behandle kritiske data, og dermed redusere avhengigheten av AWS, Azure, Google Cloud, Snowflake eller sårbare leverandører som Extend AS.

     
     

   • Frem promotering av åpne plattformer (f.eks. Nextcloud for samarbeid, Kubernetes for skyadministrasjon) som alternativer til M365 for å sikre teknologisk uavhengighet.

     
     

2. Lovmessige sikkerhetsmekanismer:

   • Innfør lover som krever datalokalisering for sensitive sektorer (f.eks. helse, offentlige tjenester) og pålegg alle leverandører å følge Data Sovereignty Transparency Standard (DSTS).

     
     

   • Etabler et nasjonalt datatilsyn som reviderer leverandørers etterlevelse, overvåker dataflyt og ilegger sanksjoner ved manglende åpenhet, med lærdom fra Extend AS- og Snowflake-innbruddene.

     
     

3. Åpenhetskrav for leverandører:

   • Pålegg leverandører å gi:

     • Sanntidsinformasjon om hvor data behandles, underleverandører og sikkerhetstiltak.

     • Årlige rapporter om myndighetsforespørsler, databruk (f.eks. AI-trening) og hendelser med databrudd.

     • Interoperable formater og exit-strategier for å forhindre låsing, slik at migrering til lokale eller åpne alternativer er mulig.

       
       

   • Krev offentlige registre for alle leverandører i kritiske sektorer, med detaljer om deres etterlevelse av suverenitetsstandarder.

     
     

4. Strategisk internasjonalt samarbeid:

   • Inngå allianser med ikke-EU-land som Sveits eller Island for å utvikle felles standarder for leverandøroppfølging, og dermed unngå EUs byråkratiske fragmentering.

     
     

   • Delta selektivt i EU-initiativer som Gaia-X, men prioriter nordiske interesser for å opprettholde autonomi.

     
     

5. Organisatorisk robusthet og bevissthet:

   • Start opplæringsprogrammer for å bevisstgjøre organisasjoner om risikoene ved M365, Snowflake og tredjepartsleverandører som Extend AS, og fremme åpne alternativer som LibreOffice eller Nextcloud.

     
     

   • Sertifiser leverandører som følger kravene med et "Sovereign Data Seal" for å motivere til åpenhet og suverenitet.

     
     

   • Utvikle verktøy for å oppdage og motvirke shadow IT, slik at all dataflyt er i tråd med suverenitetskrav.

     
     

   • Innfør obligatoriske backup- og gjenopprettingsprotokoller, da Extend AS- og Snowflake-innbruddene viste behovet for robuste beredskapsplaner mot løsepengevirus og andre trusler.

Den utbredte avhengigheten av Big Tech-plattformer som M365, skytjenester som Snowflake og et økosystem av spesialiserte tredjepartsleverandører (som eksempelvis Extend AS) utgjør en alvorlig trussel mot både organisatorisk og nasjonal datasuverenitet. Hendelser i 2025 har gjort dette håndfast: ransomware mot en norsk fagleverandør som rammet flere kommuner og eksponerte kritisk driftsinformasjon, og det massive Snowflake-innbruddet som berørte over 160 organisasjoner globalt med påfølgende risiko for misbruk, utpressing og tjenesteavbrudd. I tillegg viser saken der en dommer ved Den internasjonale domstolen (ICJ) fikk e-posttilgang holdt tilbake av leverandøren hvordan selve kontrollen over grunnleggende kommunikasjon kan glippe når jurisdiksjonelle og politiske føringer virker gjennom plattformene.

Fra jurisdiksjonelle risikoer (som ekstraterritoriell tilgang under CLOUD Act og tilsvarende lover) til leverandørlåsing, utydelig dataflyt og sekundærbruk av data, undergraver denne avhengigheten virksomheters autonomi og eksponerer dem for systemiske sårbarheter. For å bryte ut av fellen må vi etablere en Data Sovereignty Transparency Standard, investere i lokal infrastruktur, og prioritere åpne standarder og åpen kildekode som gir reelle exit-muligheter. Et slikt rammeverk sikrer jurisdiksjonell kontroll, åpenhet og ansvarlighet og beskytter digitale verdier samtidig som vi balanserer innovasjon og sikkerhet i en stadig tettere sammenkoblet verden.