Molnpolicyn delegerar besluten

Den riskbaserade bedömning som varje offentlig aktör nu förväntas göra är inte ett administrativt kuggvärv. Den är platsen där politiken sker. Här är elva frågor varje myndighet, region och kommun behöver kunna besvara innan den första bedömningen lämnar e-posten. Detta är den första artikeln i DSI:s svenskspråkiga policyserie.

Vad policyn faktiskt gör

Den 28 maj 2026 publicerade Finansdepartementet "En molnpolicy för Sverige — för ökad säkerhet, effektivitet och innovation i den offentliga förvaltningen" (Fi2026/01233). Policyn omfattar statliga myndigheter under regeringen, kommuner, regioner och privata aktörer som bedriver offentligt finansierad verksamhet. Den definierar molntjänster brett — infrastrukturtjänster, plattformstjänster, allt som levereras med fjärråtkomst — och bygger sin vägledning på sex principer: riskbaserad bedömning, effektiva molnlösningar, ökad verksamhetsnytta, portabilitet, kontroll över data och teknik, samt god kravställning på leverantörerna. Avsnitt 3 lyfter fram fyra konkreta åtgärder regeringen tagit för att underlätta upphandling: forum för bättre it-inköp, dynamiskt inköpssystem för innovativa digitala lösningar, det föreslagna undantaget för tredjelandsleverantörer (Ds 2025:29) och AI-verkstaden hos Försäkringskassan och Skatteverket.

Policyn mandaterar i strikt mening en sak: att varje offentlig aktör ska göra en självständig, riskbaserad bedömning och bära ansvaret för den. Allt övrigt — sökta suveränitetsnivåer, kedjetransparens, exitvillkor, klassificering av data, jurisdiktionsmatris — ligger nedströms den bedömningen. Delegationen är policyn.

Det är ingen kritik av policyns författare. Molnverkligheten är för spretig för att lagstifta centralt åt 290 kommuner, 21 regioner och flera hundra myndigheter. Men det betyder att varje aktör nu bär en last som policyn har namngett utan att dimensionera. De elva frågorna nedan är den lasten konkretiserad. De är inte hypotetiska. Var och en av dem hänger på ett beslut som ligger utanför den enskilda aktörens kontroll — och måste ändå besvaras innan kontraktet skrivs på.

Delegationen — räcker den ner till varje kommun?

Fråga 1. Vem skriver mall-DPIA och mall-DTIA? Policyn säger att varje aktörs självständiga bedömning är styrande. Adda AB, SKR, Digg, MCF och IMY nämns på olika ställen som vägledande organ. Ingen är utpekad som utgivare av en mall för dataskyddskonsekvensbedömningen eller den dataöverföringskonsekvensbedömning (DTIA) som Schrems II-praxis kräver vid överföring av personuppgifter till tredjeland. Utan mall skriver Sjöbo och Stockholm båda från noll. Olika utfall. Olika exponering vid tillsyn. Det troliga är att Adda eller SKR blir den de facto-mallägare för kommunsidan och att Digg gör motsvarande för myndighetssidan, men ingen av dem har tagit ägarskapet offentligt. Bekräfta vilken mall ni utgår från innan ni börjar bedömningen.

Fråga 2. Bär en "självständig bedömning" samma juridiska vikt på alla nivåer? En självbedömning hos en kommun utan CISO-funktion och med fjorton dagars upphandlingsturnaround väger inte samma vid tillsyn som en självbedömning hos en myndighet med en formell CISO-roll och nittio dagars beredningstid. Tills tillsynsmyndigheten klargör golvet — proportionalitet, minimum kontrollset, krav på extern peer review — skiljer sig den juridiska exponeringen med kapaciteten. Vad är den lägsta acceptabla bedömningen vid tillsyn för en organisation av er storlek? Få det skriftligt från IMY, MCF eller Säpo innan ni signerar.

Fråga 3. Var ligger revisionsspåret när en aktör har bedömt fel? Tillsyn under vilken lag — säkerhetsskyddslagen (2018:585), den nya cybersäkerhetslagen (2025:1506), GDPR, eller policyn själv? Var och en av dessa har sin egen sanktionsarkitektur. Policyn läser som om de kan skiktas rent. I praktiken har varje tillsynsmyndighet sitt eget mandat och aktören behöver veta vilken som anländer först om bedömningen visar sig vara felaktig. Den ordningsföljden bestämmer också vilka belägg ni behöver kunna producera vid en eventuell granskning.

FISA 702 och CLOUD Act — frågan policyn namnger men inte löser

Avsnitt 2.2.1 av policyn namnger uttryckligen problemet: "företag i vissa länder enligt respektive lands regelverk under vissa förutsättningar måste lämna ut data till sina berörda nationella myndigheter, även om dessa data hanteras och lagras utanför dessa länder." Det är FISA 702 namngett med försiktig ordval. Det är också CLOUD Act, Investigatory Powers Act i Storbritannien, och liknande regler i Kina, Indien och en växande lista över andra jurisdiktioner. Policyn drar därefter undan sig bakom den 2023 antagna EU-US Data Privacy Framework-adekvansbeslutet och en hänvisning till IMY för aktuella adekvansbedömningar.

Fråga 4. Vad är beredskapsplanen om Data Privacy Framework upphävs (Schrems III)? NOYB:s utmaning av adekvansbeslutet är aktiv. Två tidigare ramverk för USA-överföringar — Safe Harbor och Privacy Shield — ogiltigförklarades av EU-domstolen. Schrems III har en icke-trivial sannolikhet att gå samma väg. Molnpolicyn antar att Data Privacy Framework består. Vad är beredskapsplanen för den dag det inte gör det? Migrationsfönster? En tillåten-med-villkor-lista? Reservarkitektur baserad på kundhållna nycklar och end-to-end-kryptering där leverantören aldrig ser data i klartext? Om beredskapsplanen inte finns dokumenterad innan kontraktet skrivs på, blir varje långsiktigt åtagande till en USA-fronted molntjänst en bet på att Schrems III inte landar.

Fråga 5. Hur ser jurisdiktionsmatrisen ut för icke-USA-leverantörer? Storbritanniens Investigatory Powers Act ger brittiska myndigheter extraterritoriell åtkomst till data hanterad av brittiska företag. Schweiz har federala bestämmelser om åtkomst som inte är helt likvärdiga med EU-skyddet. Norge är inte EU-medlem men EES-bundet, med egna regler om e-förvaltningsdata. Indiens DPDPA innehåller åtkomstklausuler. Inget av detta är adekvansbeslut — det är reella extraterritoriella åtkomstkanaler. Policyn nämner EU-belägen datacenter med EU-medborgerlig personal som en suveränitetsförstärkare. Håller den förstärkaren när leverantören är ett brittiskhögkvarteret företag som driver ett EU-datacenter under brittisk extraterritoriell tillsyn? Policyn förutsätter ja. Praktikerna behöver ett dokumenterat ja eller ett dokumenterat undantag — per leverantör, per workload.

Säkerhetsskyddet — undantaget som inte finns

Molnpolicyn vinkar åt säkerhetsskyddslagen (2018:585) och säkerhetsskyddsförordningen (2021:955) utan att lösa motsägelsen. Säkerhetsskyddsklassificerade uppgifter och en kommersiell publik molntjänst är svåra att kombinera. Policyn säger inte "kommersiellt moln är uteslutet för klass X-uppgifter." Den säger inte heller vilka kompenserande kontroller som skulle göra kommersiellt moln tillåtet för dessa uppgifter. Den lämnar frågan öppen och hänvisar till Säpos vägledning, som i sin tur är begränsat tillgänglig.

Fråga 6. Vilka användningsfall förbjuder policyn implicit i kommersiell molntjänst — och vilka kräver vilka kompenserande kontroller? Tills Säpo och respektive sektors tillsynsmyndighet klargör måste varje aktör besluta för sig, i skrift, innan kontraktet signeras. Dokumentera beslutet, motivera valet av kontroller, och säkerställ att det går att försvara mot en framtida tillsynsbedömning som inte fanns när bedömningen skrevs.