Geopolitik och EU-regler: så anpassar ni er molnstrategi

Geopolitiska risker i molnleverantörskedjan

Det har väl inte undgått någon att det råder ett kallare säkerhetsläge både i Europa och globalt. Detta har förstås lett till geopolitisk osäkerhet, sanktionsrisker och störningar i leveranskedjor som påverkar både IT-strategiska val och leverantörsberoende även på hemmaplan. Svenska företag har blivit mer restriktiva när det kommer till samarbetspartners i USA och Kina, samtidigt som förtroendet för nordiska och EU-baserade partners ökar.

Detta har resulterat i att ni som företag inte längre kan se er molnlösning som endast en teknisk plattform, utan som en del av en försörjningskedja med flera geopolitiska beroenden i form av dataflöden, underleverantörer och infrastruktur. Att ha kontroll, flexibilitet och en hållbar strategi framåt är avgörande för att kunna anpassa sig till hur situationen utvecklar sig.

EU-regelverk som styr er molnstrategi

Det oroliga omvärldsläget har redan idag lett till regelverk och restriktioner som påverkar vilka molninvesteringar vi vill, och får, göra särskilt inom AI-området.

EU:s satsningar på sovereign cloud, GAIA-X och regelverk som NIS2, DORA, AI Act och Data Act har ökat kraven på styrning, incidentrapportering, leverantörskontroll och datalagring inom EU. Men det blir också ett tydligt ramverk för säkerhet och transparens som kan hjälpa er med strukturerad efterlevnad och starkare skydd mot externa hot. 

Regelverken syftar också till att minska vårt beroende av utomeuropeiska molnaktörer och att stimulera en inre digital marknad med gemensamma standarder. För dig som företagare innebär detta att molnstrategin behöver innehålla en tydlig EU-dimension. Inte bara för compliance, utan för tillgång till framtida samarbeten och dataflöden inom EU.

Många regler att hålla koll på? Läs mer i vår molnrapport.

Så anpassar ni er molnstrategi

• Gör leverantörs- och kedjerisk till en ledningsfråga, inte bara IT. Organisationens val av molnleverantör, region och dirftsmodell ska vara en fråga för ledning och styrelse då det påverkar affärskritiska risker vid plötsliga regeländringar, sanktioner eller konflikter.

• Inför en geopolitisk medveten placeringspolicy. Definiera era förstahandsval för varje informationsklass. För särskilt känsliga data kan svenska datacenter eller privata moln vara att föredra. För annan drift kan en publik lösning som Azure vara rätt val. För vissa organisationer är det bara Sverige som gäller. Öva på scenarier för geopolitiska störningar och planera för att snabbt kunna flytta drift eller datalagring till en annan geografisk plats

• Bygg ett systematiskt efterlevnadsflöde. Kartlägg vilka tjänster som är kritiska. Det kan vara identitet, åtkomst, backup eller kund- och affärssystem. Utse ansvariga och skapa rutiner för incidentrapportering, leverantörsgranskning och spårbarhet. Koppla kraven i relevanta regelverk till drift, automatisera kontroller och förankra kontinuitetsplaner.

• Addera suveränitets- och portabilitetsvillkor i avtal. Avtala om var data får lagras och behandlas rent fysiskt för garanterad bearbetning inom EU. Ha exitvillkor för dataexport och tydliga tidslinjer om plattform eller leverantör måste bytas p.g.a. regeländring eller risk.

• Rätt sak på rätt plats genom standardisering. Standardisera gränssnitt, format och deploymentsätt för att minska inlåsning och säkra portabilitet. Konsolidera gärna kring en huvudleverantör när det ger lägre risk och kostnad, men se till att kritiska komponenter och data kan flyttas och köras i alternativa miljöer vid behov.

Genom att göra placeringsval per informationsklass, stärka efterlevnad och kontinuitet samt bygga portabilitet och handlingsfrihet kan ni innovera säkert i en allt mer osäker omvärld.