CADA: EU’s nye cloud-regler gør digital suverænitet til et juridisk krav

EU-Kommissionens forslag til Cloud and AI Development Act, CADA, ændrer digital suverænitet fra et politisk mål til et konkret krav i offentlige cloud-indkøb. Det får betydning for myndigheder, leverandører og ejere af it-virksomheder, også når ejerskabet ligger uden for EU. Advokat og Revisor Samvirket gennemgår her de juridiske og kommercielle konsekvenser, som virksomheder og investorer bør forholde sig til nu. Det skriver Advokat g Revisor Samvirket A/S der bistår med omlægning til Digital Suverænitet og Agil udvikling A/S med projekter indenfor WEB3 og Open Source.

Fra politisk ambition til bindende forordning

Kommissionen offentliggjorde forslaget til CADA den 3. juni 2026 som hjørnestenen i sin Tech Sovereignty Package, og forslaget skal håndtere både manglen på datacenterkapacitet i EU og afhængigheden af få cloud-leverandører uden for EU. Juridisk er det værd at bemærke, at CADA er foreslået som en direkte gældende forordning, der skal sikre ensartet gennemførelse i medlemslandene og undgå national fragmentering. Reglerne skal altså ikke først implementeres i dansk lov, og de vil gælde på samme måde i hele EU, når de er vedtaget. It-advokat Jesper Løffler Nielsen, associeret partner hos Focus Advokater og ph.d. i it-ret, har over for Computerworld udtrykt overraskelse over, hvor langt forslaget går, og peger på, at det kan få direkte betydning for både offentlige indkøb og cloud-markedet som helhed.

Udbudsretten får et nyt suverænitetskrav

Hidtil har kommuner, regioner og statslige myndigheder frit kunnet vælge mellem europæiske og amerikanske cloud-løsninger, så længe de overholdt de gældende regler. Med CADA skal offentlige myndigheder foretage risikobaserede vurderinger og vælge cloud-tjenester, der opfylder det relevante sikringsniveau. Det betyder, at udbudsmateriale og kontraktkrav fra tidligere cloud-udbud ikke kan genbruges ukritisk, fordi den konkrete opgave afgør, hvilket niveau der kræves. Ifølge Jesper Løffler Nielsen er det netop formålet, at visse eksisterende løsninger enten udelukkes eller må tilpasse sig. Det er dog ikke et forbud, og i stedet for at udelukke leverandører uden for EU vælger CADA en risikobaseret og indkøbsdrevet tilgang, der fortsat giver globale hyperscalere adgang mod skærpede compliance-krav.

Fire niveauer måler ejerskab, drift og kontrol

Kernen i forslaget er fire tillidsniveauer, hvor kravene til ejerskab, drift, teknologi og beskyttelse mod udenlandsk indblanding skærpes fra niveau 1 til niveau 4. Offentlige cloud-indkøb skal som udgangspunkt mindst opfylde niveau 1, mens samfundskritiske opgaver kan kræve mere. Niveauerne bygger på Kommissionens Cloud Sovereignty Framework, hvor skalaen går fra SEAL-0, der betyder fuldstændig mangel på suverænitet, til SEAL-4, der kræver en fuld EU-forsyningskæde fra chips til software. Kommissionen har allerede brugt modellen i sit eget udbud, hvor leverandørerne skulle nå SEAL-2, et niveau for datasuverænitet, som betyder, at de overholder EU-reglerne uden at kunden skal tilføje ekstra tekniske foranstaltninger for at beskytte sine data. Jesper Løffler Nielsen ser fælles kriterier som en klar fordel og formulerer det sådan: “Lige nu er det marketingafdelingerne der definerer, hvad suverænitet er.”

Ejerskab og koncernstruktur bliver en del af vurderingen

For internationale ejere og investorer er dette den mest interessante del. Vurderingen ser ikke kun på, hvor data ligger, men på hvem der reelt kontrollerer selskabet, driften og teknologien. Vurderingen omfatter underleverandører, leverandører og tekniske lag og stopper ikke ved det byende selskab. På de højeste niveauer gælder ifølge en gennemgang fra Greenbone, at leverandøren skal være baseret i EU, EU-ejet og under EU-kontrol, herunder med krav til personalets statsborgerskab. En dansk virksomhed, der driver et offentligt system på amerikansk cloud-infrastruktur, kan derfor blive placeret lavere, end selskabets nationalitet tilsiger. Omvendt kan en europæisk it-virksomhed med ejere i Dubai, Singapore eller USA opleve, at koncernstrukturen, aktionæroverenskomster og kontrolrettigheder pludselig indgår i kundernes leverandørvurdering. Ved køb, salg eller omstrukturering af it-virksomheder, der sælger til den offentlige sektor i EU, bør suverænitetsniveauet derfor indgå i due diligence og værdiansættelse.

Eksisterende kontrakter, overgangsregler og exitklausuler

Forslaget indeholder overgangsregler, men konsekvenserne for allerede indgåede aftaler afhænger af den endelige tekst. Har en myndighed en langvarig cloud-kontrakt om en løsning, der ikke lever op til de kommende krav, kan det blive nødvendigt at vurdere, om løsningen skal tilpasses eller udskiftes. Jesper Løffler Nielsen fraråder at genforhandle eksisterende aftaler alene på baggrund af forslaget, men anbefaler, at man ved større og langvarige cloud-indkøb allerede nu indbygger fleksibilitet, exitmuligheder og hensyn til leverandørafhængighed. For leverandører betyder det, at kontrakter bør indeholde klare regler for dokumentation af underleverandører, ændring af kravniveau undervejs i kontraktperioden, dataportabilitet og ophør, så ingen af parterne står med en aftale, der ikke længere kan opfyldes. CADA er fortsat kun et forslag, og der kan gå flere år, før reglerne finder anvendelse. Hos DI Digital peger flere medlemmer på, at det stadig er uklart, hvordan kravene konkret skal anvendes på forskellige cloud-løsninger, og hvilke leverandører der kan opfylde dem.

Juridisk tjekliste til virksomheder og investorer

Område	Hvad bør vurderes nu
Kontrakter	Indbyg exit, dataportabilitet og ændringsklausuler i nye, langvarige cloud-aftaler
Udbud	Forbered dokumentation for SEAL-niveau og suverænitetskrav i tilbud til offentlige kunder
Forsyningskæde	Kortlæg ejerskab og jurisdiktion for alle underleverandører og tekniske lag
Koncernstruktur	Vurder om ejerskab og kontrolrettigheder uden for EU påvirker opnåeligt niveau
Transaktioner	Lad suverænitetsniveau indgå i due diligence og værdiansættelse ved køb og salg
Overvågning	Følg trilogforhandlingerne om CADA og læs Kommissionens Cloud Sovereignty Framework

Artiklen er generel information og erstatter ikke konkret rådgivning. Advokat og Revisor Samvirket A/S bistår med kontraktgennemgang, udbudsforhold og strukturering af internationale it-virksomheder i lyset af de kommende krav. Kravene er her Server Hosting af data i EU eller Danmark.

Kilde:	AGIL UDVIKLING A/S, EU-Kommissionen, DI Digital, Hogan Lovells, Greenbone, Agil Udvikling A/S, Jesper Christiansen, Morten Jensen, Advokat og Revisor Samvirket, AORS.DK
Kildelinks:	https://agiludvikling.dk/eus-nye-cloud-regler-goer-digital-suveraenitet-til-et-krav-i-dine-it-projekter-bl-a-med-seal2/, https://digital-strategy.ec.europa.eu/en/library/proposal-cloud-and-ai-development-act-cada, https://commission.europa.eu/news-and-media/news/commission-advances-cloud-sovereignty-through-strategic-procurement-2026-04-17_en, https://www.hoganlovells.com/en/publications/the-eus-cloud-and-ai-development-act-cada-towards-a-sovereigntyfocused-framework-for-cloud, https://www.greenbone.net/en/blog/cada-sovereignty-levels/, https://www.danskindustri.dk/brancher/di-digital/nyhedsarkiv/nyheder/2026/9/cada/, https://www.computerworld.dk
Fotokredit:	stock.adobe.com, agiludvikling.dk, aors.dk
Personer/Firmaer/Emner/#:	#Jesper Løffler Nielsen, #Focus Advokater, #Computerworld, #EU-Kommissionen, #DI Digital, #Agil Udvikling A/S, #Advokat og Revisor Samvirket, #CADA, #Cloud and AI Development Act, #Cloud Sovereignty Framework, #SEAL, #SEAL2, #Digital suverænitet, #Udbudsret, #It-kontrakter, #Due diligence, #Koncernstruktur, #Cloud, #Open Source, #WEB3
Copyrights:	Ⓒ 2026 Copyright by https://AORS.DK/cada-eu-cloud-regler-digital-suveraenitet-juridisk-krav-kontrakter-udbud – kan deles ved aktivt link til denne artikel.