I januar 2024 erklærede Digitaliseringsstyrelsen i sin opdaterede skymigreringspolitik, at statslige myndigheder skal stille krav om dataopsiddelsesgarantier og juridisk jurisdiktion, inden de ingår cloud-aftaler med leverandører underlagt udenlandsk ret — direkte adresseret mod US CLOUD Act-eksponeringen hos de tre dominerende hyperscalers. Samme måned publicerede Center for Cybersikkerhed en vejledning om post-kvante kryptografi med en klar opfordring: virksomheder, hvis data har fortrolighedshorisont ud over 2030, er allerede i farezonen for 'store-now-decrypt-later'-angreb. For Meridian Invest A/S, der forvalter 4,3 mia. kr. i pensionsklienternes formue, er krypteret kundedatakommunikation fra 2019-2024 allerede potentielt i hænderne på statslige aktører, der venter på, at kvantekapaciteten modnes. Digital suverænitet er ikke et europæisk begreb for danske CTO'er — det er en konkret handlingsplan med frist.
Digital Suverænitet
Evnen hos en organisation eller nation til at kontrollere sine data, sin teknologiinfrastruktur og sine digitale værdikæder uden uforholdsmæssig udenlandsk juridisk, politisk eller kommerciel indblanding. For danske organisationer koncentrerer suverænitetsproblematikken sig om tre pres: US CLOUD Act §2713-tvangsdekretrisikoen for US-hjemmehørende cloud-udbydere uanset dataopsiddelsessted; databeskyttelseslovens og GDPR's krav om gyldige overførselsgrundlag for tredjelandsoverførsler; og afhængighed af ikke-EU-hyperscalers for kritisk national infrastruktur. Digitaliseringsstyrelsen adresserer dekretrisikoen direkte i sin skyvejledning fra 2024.
Post-Kvante Kryptografi (PQC)
En familie af kryptografiske algoritmer konstrueret til at modstå angreb fra kvantecomputere, der kan bryde RSA og elliptisk kurvekryptografi (ECC) via Shors algoritme. NIST færdiggjorde tre PQC-standarder i august 2024: FIPS 203 (ML-KEM, nøgleindkapsling), FIPS 204 (ML-DSA, digitale signaturer) og FIPS 205 (SLH-DSA, tilstandsløse hashbaserede signaturer). CFCS anbefaler danske organisationer at påbegynde kryptografisk inventarisering nu og planlægge migration til PQC-algoritmer for alle langlivede data og systemer inden 2030. Truslen er ikke akademisk: aktører gemmer krypterede data i dag til fremtidig kvanteafkryptering — en angrebsvektor CFCS omtaler som 'store-now-decrypt-later'.
Danmarks Kvante-Flagskib under Danmarks Frie Forskningsfond koordinerer den nationale kvanteforskning og giver danske organisationer adgang til migration-ekspertise. Digitaliseringsstyrelsen tilbyder desuden en gratis kryptografisk risikovurderingstjeneste for statslige myndigheder — et naturligt udgangspunkt for enhver CTO, der bygger en post-kvante migreringsplan med krav til tredjepartsudbydere.
| Suverænitetrisiko | Begrænsning | Dansk myndighed / standard |
|---|---|---|
| US CLOUD Act-eksponering | EU/DK-retlig udbyder eller BYOK med kundestyrede nøgler | CFCS Cyberfundamentals / Digitaliseringsstyrelsen skyvejledning 2024 |
| GDPR-tredjelandsoverførselsrisiko | Standardkontraktbestemmelser (SCC) + risikovurdering | Datatilsynet / GDPR artikel 46 |
| Kvanteafkryptering (2030-2035) | PQC-migrering + kryptografisk inventarisering | CFCS PQC-vejledning 2024 / NIST FIPS 203-205 |
| Hyperscaler-koncentrationsrisiko | Multi-cloud-arkitektur + portabilitetskontrakter | Finanstilsynet outsourcingvejledning / DORA art. 28 |
Meridian Invest A/S, en dansk kapitalforvalter med 280 ansatte og 4,3 mia. kr. i forvaltet formue, holder 18 års krypteret klientporteføljekommunikation — et 'store-now-decrypt-later'-mål for statslige aktører med kvantereserver efter 2030. CTO Camilla Vestergaard igangsætter en kryptografisk inventarisering i samarbejde med CFCS-vejledning og identificerer 920 certifikater, der anvender RSA-2048 eller ECC-256. Migreringsplanen prioriterer klientdatakryptering og autentifikationscertifikater til PQC-udskiftning inden 2027, mens intern produktivitetsinfrastruktur udskydes til 2029. Finanstilsynet anerkender planen i det efterfølgende DORA-tilsyn som en valid demonstration af fremadrettet robusthedsplanlægning under DORA artikel 5.
⚠️Antage at 'dansk datacenter' svarer til digital suverænitet
→ En US-hjemmehørende hyperscaler med dansk datacenter forbliver underlagt US CLOUD Act. Reel datasuverænitet kræver enten en EU/DK-retlig udbyder eller en teknisk arkitektur med kundestyrede krypteringsnøgler, der forhindrer udbyderen i at efterkomme tvangsdekret uden kundens medvirken. Digitaliseringsstyrelsen er eksplicit om denne distinktion i skyvejledningen fra 2024.
⚠️Behandle kvantecomputere som en fjern fremtidig trussel
→ Statslige aktører lagrer allerede krypterede data til fremtidig kvanteafkryptering — en angrebsvektor CFCS dokumenterer i sin PQC-vejledning. Data med fortrolighedshorisont ud over 2030 er allerede i risikozonen. Påbegynd kryptografisk inventarisering og PQC-plan nu; migrering i stor skala tager 3-5 år for en mellemstor organisation.
⚠️Overse den kommercielle gevinst ved suverænitetsprofilen
→ Dataopsiddelsesgarantier og suverænitetsattestationer er i stigende grad et krav i danske offentlige udbud og fra institutionelle investorer under ESG due diligence. Behandl suværænitedsarkitektur som en markedsadgangskompetence — ikke som en omkostning — der åbner kontrakter, der er utilgængelige for konkurrenter med ikke-suveræn cloud-infrastruktur.