Så tar ni fram en molnstrategi

En molnstrategi avgör vilken information och vilka system som får köras i vilken typ av moln, och hur mycket rådighet varje del kräver. Den planerar också hur ni lämnar en leverantör. I maj 2026 publicerade regeringen en molnpolicy för den offentliga förvaltningen med sex principer för just de här valen. Policyn riktar sig till statliga myndigheter, kommuner och regioner. Ändå är den det närmaste ett officiellt svenskt svar på hur en strategi för molntjänster bör se ut. Varje verksamhet med skyddsvärd information kan använda den som ram.

Texten är allmän information. Pröva ert eget fall mot källorna vi länkar till.

Vad säger regeringens molnpolicy?

Finansdepartementet publicerade policyn den 29 maj 2026. Den är ett icke-bindande stöd. Varje aktör gör sin egen bedömning. Aktören ansvarar också själv för sin användning av molntjänster. Statliga myndigheter under regeringen, kommuner och regioner är målgruppen, och privata aktörer som bedriver offentligt finansierad verksamhet kan också använda den.

Policyn listar sex principer.

• Arbeta riskbaserat inför molnanvändning.
• Välj effektiva molnlösningar.
• Öka verksamhetsnyttan.
• Främja portabilitet och en väl fungerande marknad.
• Upprätthåll relevant kontroll över data, drift och teknik.
• Säkerställ god kravställning på leverantörerna.

Leverantörer utanför EU finns kvar som alternativ. Med ett riskbaserat angreppssätt kan den offentliga förvaltningen fortsätta att använda marknadsledande tjänster från sådana företag, skriver regeringen. Valet bör styras av verksamhetens egna krav på funktion, säkerhet, rådighet, suveränitet, robusthet och kostnadseffektivitet. Policyn konstaterar också att molnbaserade lösningar ger skalfördelar och ofta kan ha en högre säkerhetsnivå än lokala it-lösningar.

Var börjar en molnstrategi?

Med er information. Policyn säger att informationen ska vara bedömd utifrån sitt skyddsvärde innan den hanteras i en molntjänst. Information med höga skyddsvärden och kritiska funktioner med höga krav på tillgänglighet bör hanteras i lösningar med hög rådighet.

Öppen webbinformation, internt samarbete, personuppgifter, sekretessbelagda handlingar och säkerhetsskyddsklassificerade uppgifter kan därför behöva olika lösningar. I de molnstrategier vi har tagit fram har ungefär fyra av fem system kunnat köras i ett publikt moln. Undantagen var främst identitet, nyckelhantering och säkerhetsskyddsklassificerade uppgifter.

Vad betyder digital suveränitet i praktiken?

Digital suveränitet är rådighet över era data och system. Enligt policyn handlar det om att ingen utomstående part ska kunna påverka, få tillgång till eller neka tillgång till data eller nödvändig funktionalitet. Policyn ser suveränitet som en skala. Högre krav bör gälla där riskerna är störst, till exempel för kritiska data och samhällsviktig verksamhet.

Kryptering som hindrar leverantören från att läsa lagrad information räknas som en teknisk åtgärd, liksom separation mellan kunder. Med icke-tekniska åtgärder avses ofta datacenter i EU, personal som är EU-medborgare och uppfyller säkerhetskraven, och svensk eller europeisk jurisdiktion.

Varför jurisdiktion? Vissa länder kan tvinga sina företag att lämna ut data, även data som lagras utomlands, och det mest kända exemplet är den amerikanska CLOUD Act. En europeisk leverantör kan ha samma problem, påpekar policyn, om hemlandet ger myndigheter rätt till åtkomst till data.

För att jämföra leverantörer hänvisar policyn till EU-kommissionens Cloud Sovereignty Framework, som bedömer en molntjänst mot åtta suveränitetsmål. Nivåerna går från SEAL-0 (ingen suveränitet) till SEAL-4 (full europeisk kontroll, från chip till mjukvara). När kommissionen själv köpte molntjänster krävde den minst SEAL-2, nivån för datasuveränitet.

När är hybridmoln rätt val?

Ett hybridmoln passar verksamheter vars information har mycket olika skyddsvärden. NIST definierar hybridmoln som två eller fler separata molninfrastrukturer (privata, gemensamma eller publika) som binds samman av teknik. Data och applikationer kan då flyttas mellan dem.

I staten är blandade driftsformer redan vanliga: myndigheter kombinerar it-drift i egen regi, utkontraktering till privata leverantörer och samordnad drift med andra myndigheter, enligt policyn. Regeringens planerade AI-verkstad för den offentliga förvaltningen bedöms kunna byggas som en hybridlösning, ett gemenskapsmoln med hög rådighet. Det molnet kan samverka med privata aktörers infrastruktur.

Hybrid kostar en miljö till. Båda måste skyddas, övervakas och bemannas, och merkostnaden lönar sig när uppdelningen följer en verklig skillnad i skyddsvärde. Data och applikationer går bara att flytta mellan dem om systemen är byggda för det.

Hur planerar ni att byta molnleverantör?

Planera utträdet innan ni skriver avtalet. Policyn säger att det är viktigt att offentliga aktörer vid behov skyndsamt kan flytta data och system till en annan leverantör eller till egen regi. Avtalen bör innehålla villkor för utträde. För proprietära tjänster kan det behövas en på förhand bestämd strategi för hur de byts ut.

Sedan den 12 september 2025 kräver EU:s dataförordning (Data Act) att avtal om molntjänster låter kunden byta leverantör eller flytta till egen infrastruktur.

• Uppsägningstiden är högst två månader.
• Övergångsperioden är högst 30 dagar. Under den ska leverantören hjälpa till och hålla tjänsten igång.
• Efter övergången har kunden minst 30 dagar på sig att hämta ut data.

Leverantören får förlänga övergångsperioden till högst sju månader, och bara om 30 dagar är tekniskt ogenomförbart. Kunden kan också själv förlänga den en gång.

Avgifterna för byte försvinner den 12 januari 2027. Fram till dess får avgiften för byte inte överstiga leverantörens kostnader som är direkt kopplade till bytet. Tjänster som till största delen är specialbyggda för en enda kund, och som inte erbjuds i bred kommersiell skala, omfattas inte av avgiftsreglerna.

Villkor för utträde hjälper bara när systemen faktiskt går att flytta, och containrar, infrastruktur som kod och öppna dataformat gör det möjligt. I en plattformskonsolidering som vi ledde gick ett SaaS-bolag från tre hyperscalers till en.

Får sekretessbelagd information ligga i molnet?

För myndigheter ja, under vissa villkor. Säkerhetsskyddsklassificerade uppgifter kräver en egen bedömning.

För myndigheter finns regeln i 10 kap. 2 a § offentlighets- och sekretesslagen. Den gäller sedan den 1 juli 2023. En myndighet får lämna sekretessbelagda uppgifter till ett företag som enbart bearbetar eller lagrar dem tekniskt åt myndigheten. Undantaget gäller inte om det är olämpligt med hänsyn till omständigheterna.

För säkerhetsskyddsklassificerade uppgifter gäller säkerhetsskyddslagen (2018:585), och enligt policyn ska kraven säkerställas i varje enskilt fall. För personuppgifter gäller dessutom dataskyddsförordningens regler om överföring till länder utanför EU. Policyn noterar att ramverket för dataskydd mellan EU och USA, med adekvansbeslutet från 2023, tillåter överföring till amerikanska företag som har anslutit sig.

Var ska ni börja?

Saknar ni en molnstrategi, börja här:

1. Lista era system och den information som varje system innehåller.
2. Klassa informationen efter skyddsvärde.
3. Bestäm för varje klass hur mycket rådighet den kräver och vilka typer av moln som duger.
4. Pröva varje klass mot lagen, med juridisk rådgivning: sekretess, säkerhetsskydd, överföring av personuppgifter och, om ni omfattas, cybersäkerhetslagen.
5. Skriv in villkor för utträde i varje molnavtal och jämför dem med dataförordningen.
6. Testa en export, så att ni vet hur lång tid en flytt skulle ta.
7. Ställ frågorna i Cloud Sovereignty Framework till leverantörerna, och ställ krav på deras leveranskedjor.
8. Planera hur arbetet fortsätter om en molntjänst slutar fungera. Policyn säger att det är viktigt.
9. Se över strategin varje år, och när hotbilden eller ägandet hos en leverantör förändras.

Hur vi hjälper till

Vi tar fram molnstrategier som håller mot säkerhets- och regelkrav, och bygger och driver sedan plattformarna bakom dem. Arbetet sträcker sig från klassning av information och valet mellan hyperscaler, europeisk leverantör, egen drift och hybridmoln, till planen för utträde. Vår bakgrund finns i försvarsindustrin och i reglerad SaaS. Sidan om vår molninfrastruktur beskriver arbetet mer i detalj, eller hör av er för ett första, förtroligt samtal.