Årsagen er compliance: hvad kravet reelt kræver

Et compliance-krav kræver sjældent, at I skifter alle amerikanske leverandører ud. De fleste krav handler om, hvor data ligger, hvem der kan få adgang, og hvad aftalen siger, og mange kan dækkes uden et skifte. Det er kun, når kravet nævner ejer, jurisdiktion eller et bestemt sted for data og drift, at det reelt udelukker produkter.

Spørgsmålet om GDPR og en amerikansk leverandør er det mest almindelige. I Dansk Erhvervs medlemsundersøgelse fra 2025 om cloud uden for Europa kom databeskyttelse og compliance ind som andet hyppigste motiv og som det hyppigste hos virksomheder med 250 ansatte eller flere. Tallene dækker cloud og foreningens medlemmer. Den viser, at compliance fylder. Hvad kravene faktisk siger, må I læse jer til selv.

Læs kravet ord for ord

Find det dokument, kravet står i: loven, bekendtgørelsen, branchevejledningen eller kundens kontrakt. Sæt derefter kravet i én af fire grupper.

Krav om aftale og sikkerhed. Fx en databehandleraftale, en risikovurdering eller sikkerhedsforanstaltninger. Kravet kan dækkes hos de fleste leverandører, også den, I har i dag. Det udelukker intet produkt i sig selv.

Krav om, hvor data ligger. Fx at en kopi skal ligge i EU eller EØS. Kravet udelukker produkter, der ikke kan placere data der. Leverandører med amerikansk ejer, som tilbyder europæisk hosting, kan godt opfylde det.

Krav om overførsel. Overførsel af persondata til et land uden for EU og EØS kræver et grundlag efter GDPR. Amerikanske leverandører kan bruges, når overførslen er dækket.

Krav om ejer eller jurisdiktion. Fx at leverandøren skal være europæisk ejet, eller at ingen stat uden for EU må kunne kræve data udleveret. I de regler, sitet har læst, står det ikke sådan. Det findes oftere i kundekontrakter. Det er den eneste gruppe, der reelt udelukker en del af markedet.

Grupperne er vores inddeling og en forenkling. Hvad et konkret krav betyder for jer, er et spørgsmål til den, der stiller kravet, eller til en advokat.

Et eksempel fra dansk lov

Bogføringsreglerne er et af de få steder, hvor dansk lov nævner placeringen af data. Bekendtgørelsen om registrerede bogføringssystemer kræver efter en ændring i september 2026, at mindst den seneste fulde sikkerhedskopi og de efterfølgende kopier ligger på en server i et land i EU eller EØS. Det er udbyderens ansvar. Bruger I et system uden for fortegnelsen, kræver en anden bekendtgørelse, at virksomheden selv har en fuld kopi hver uge hos en part uden nær tilknytning til virksomheden, og kopien skal ligge i EU eller EØS, med undtagelser for finansielle virksomheder. Ingen af reglerne siger noget om ejerens nationalitet. De kræver et sted for kopien, og det kan mange leverandører opfylde.

Schweiz, Storbritannien og Norge

Kravet “i EU” rejser ofte spørgsmålet om nabolandene. Storbritannien har en afgørelse fra Europa-Kommissionen om tilstrækkeligt beskyttelsesniveau, som efter fornyelsen i december 2025 udløber 27. december 2031. Schweiz har en afgørelse fra 2000 uden udløbsdato, bekræftet ved Kommissionens revision i januar 2024. Norge har ingen sådan afgørelse, fordi GDPR gælder dér gennem EØS-aftalen. At overførsel til Norge derfor behandles som inden for EU og EØS, er vores læsning. Status kan ændre sig og skal slås op, før I bruger den i et valg. Et krav om EU-hosting i en kundekontrakt kan stadig udelukke alle tre; læs ordlyden.

Fra krav til valg

Når kravet er læst og placeret i en gruppe, ved I, hvad et alternativ skal kunne:

Gruppe 1: kravet er dækket med en aftale. Intet skifte nødvendigt.
Gruppe 2: alternativet skal kunne dokumentere, hvor data og kopier ligger.
Gruppe 3: alternativet skal enten undgå overførsel eller have et dækkende grundlag.
Gruppe 4: alternativet skal være europæisk på de led, kravet nævner. Her skal I bruge målestokken med ejer, kontraktpart, hosting, drift og kode.

Mange ender med at skifte ét eller to systemer, fordi de falder i gruppe 4, og beholde resten med bedre aftaler.

Hvad det kræver, og hvad det koster at lade være

Arbejdet kræver, at nogen finder kravene frem, læser dem og placerer dem. For en virksomhed med få krav er det et par dage. Har I mange kundekontrakter, er det mere, men listen kan bruges igen ved hvert nyt valg. Sæt timer på læsning, en samtale med de kunder, hvis krav er uklare, og en kort vurdering pr. system.

Uden læsningen risikerer I to ting: at skifte uden at det var nødvendigt, eller at blive, selv om en kundekontrakt reelt kræver noget andet. Begge koster mere end læsningen.

Det skal I lade være med

At tolke et krav bredere end ordlyden · et krav om en aftale siger intet om ejeren.
At skifte for at dække et krav, der kan dækkes med en aftale · overgangen koster mere end aftalen.
At bruge en afgørelses status uden at slå den op · tilstrækkelighedsafgørelser kan ændres.

Det skal valget kunne vise

☐ Hvert krav med kilde og ordlyd.
☐ Kravene placeret i de fire grupper.
☐ De systemer, der ikke opfylder et krav i gruppe 2 til 4.
☐ For hvert af dem, om et alternativ opfylder kravet på de nævnte led.

Kilder

Senest gennemgået: november 2026.

Næste skridt

Find de tre vigtigste krav frem, og placér dem i grupperne. Det viser, om compliance faktisk peger på et skifte.

Læs også: Schweiz, Storbritannien og Norge · Europæisk ejer, amerikansk drift

→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT

Skrevet af John Nielsen, indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Om John Nielsen · LinkedIn

Overvejer I et europæisk alternativ?

Skriv kort, hvilket system I overvejer at skifte, og hvad der sætter spørgsmålet i gang. Så vender jeg tilbage. Rådgivningen er uvildig og uafhængig, og Nielco IT har ingen forhandleraftaler.