Om arbeidet med rapporten

I norsk offentlig sektor har det de siste ti årene vært en sterk bevegelse i retning av å ta i bruk skytjenester. I lys av den usikre internasjonale politiske situasjonen har det imidlertid blitt stilt spørsmål ved norsk offentlig sektors endringsevne i bruken av skytjenester. Blant annet har Datatilsynet uttrykt bekymring for at offentlige virksomheter ikke er forberedt på en eventuell exit fra store IT-leverandører. Norsk offentlig sektor er i dag tett koblet til noen få leverandører som har sterke incentiver til å skape innlåsingseffekter, er underlagt andre lands jurisdiksjon, og kan påvirkes av interesser som ikke er forenlig med våre egne. Offentlige virksomheter bør ikke være avhengige av enkeltaktører for å levere tjenestene sine.

Manglende eller svært begrensede muligheter for flytting av tjenester mellom ulike skytjenester, såkalt interoperabilitet, representerer et stort hinder for å bytte skytjenesteleverandør. Store avhengigheter til enkeltleverandører kan vise seg nærmest umulig å bryte opp på kort sikt. Til nå har det vært lav oppmerksomhet om virksomhetenes evne og/eller mulighet for å flytte mellom skytjenester. Offentlige virksomheter bør derfor i større grad arbeide ut fra prinsipper om endringsevne, for å ivareta langsiktig kontinuitet i tjenestetilbudet og sikre reell konkurranse blant skytjenesteleverandørene.

Dette er arbeidsgruppen nedsatt av Skate

Arbeidsgruppen ble nedsatt av SKATE i desember 2025. Gruppen har bestått av:

• Frode Alne Bolin (Digdir) Prosjektleder
• Edvin Tengs Leirvåg (Digdir) Juridisk kompetanse
• Erling Solberg (Skatteetaten) Juridisk kompetanse
• Thorstein Sjursen (Skatteetaten) Juridisk kompetanse
• Suhail Mushtaq (KS) Strategisk kompetanse
• Tore Andre Mikalsen (Norsk Helsenett) Teknisk kompetanse
• Eirik Mikkelsen (Digdir) Teknisk kompetanse
• Magnus Dahl Mortensen (Larvik kommune) Teknisk kompetanse
• Torkjell Dahl (Ringerike kommune) Teknisk kompetanse

Arbeidsgruppen har hatt en referansegruppe, som har bestått av representanter fra NSM, Politiet, Lånekassen, KS, SIKT, SSB, Helsedirektoratet, Kartverket, NAV og Oslo kommune.

Arbeidsgruppens mandat og leveranser tar utgangspunkt i hvordan virksomheter kan planlegge for å møte utfordringene beskrevet over. Siden arbeidsgruppen ble etablert, har det vært økende oppmerksomhet om digital suverenitet, forstått som nasjonal kontroll på det digitale området. Det ligger imidlertid utenfor arbeidsgruppens mandat å mene noe om behovet for nasjonal kontroll med skytjenester i streng forstand. Ønsket om nasjonal kontroll er ofte begrunnet i sikkerhetshensyn, og slike vurderinger ligger først og fremst til Justis- og beredskapsdepartementet og deres underliggende virksomheter.

På disse premissene har Skate bedt arbeidsgruppen om å levere følgende:

1. Ferdigstille prinsipper for dataportabilitet mellom skytjenester
2. Rapportere om relevant utvikling i EU
3. Ferdigstille prinsipper for å vurdere exit-kostnader fra skytjenester
4. Ferdigstille veiledning til kommende EU-regulering på området
5. Vurdere om det er behov for tiltak som ikke allerede er dekket opp på området

Punktene 1, 2 og 3 er gitt leveransefrist 30. juni 2026, mens punktene 4 og 5 er gitt leveransefrist 30. september 2026.

Arbeidsgruppen har vurdert at det vil være mest hensiktsmessig å svare ut alle bestillingspunktene i ett samlet dokument med leveranse 30. juni 2026.

Situasjonen har tilspisset seg siden mandatet først ble foreslått i SKATE. Ved opprettelsen av arbeidsgruppen var faktorene regulatorisk risiko, Europas fokus på suverenitet og risiko for geopolitisk innflytelse nevnt som begrunnelse for å bedre muligheter for endring mellom skytjenesteleverandører. Siden har fokuset i større grad blitt flyttet mot konsentrasjonsrisiko hos enkelte store leverandører og nasjonal suverenitet. Arbeidsgruppen konstaterer at verden er inne i en urolig periode, der spesielt folkeretten virker svekket. Arbeidsgruppen erfarer at det er mange som arbeider med spørsmål om mulig endring av skytjenesteleverandører. Dette er naturlig, da det offentlige er forventet å lyse ut tjenesteavtaler. Uten evne til å flytte mellom skyleverandører vil virksomhetene ikke kunne benytte seg av markedet.

Som allerede påpekt, er våren 2026 preget av store endringer internasjonalt, både politisk og teknologisk. Utviklingen skjer raskt, og tar stadig uventede retninger. Det er derfor viktig å understreke at de anbefalingene som gis i denne rapporten, er i tråd med skytjenestelandskapet slik det fremstår i første halvdel av 2026.

Leseveiledning

Denne rapporten har en bred målgruppe, og både beslutningstakere, byråkrater, jurister, IT-strateger og teknologer (på både nasjonalt og lokalt nivå) vil kunne ha nytte av analyser og anbefalinger. Noen deler av dokumentet vil være særlig interessante for enkelte grupper, og tilsvarende vanskelig tilgjengelig for andre. Derfor følger her en leseveiledning for dokumentet:

"Sammendrag" og "Innledning" er beregnet å kunne gi utbytte til alle grupper av lesere.

Kapitlet om kort perspektiv og langt- og mellomlangt perspektiv er knyttet opp mot ulike scenarioer, der man har underkapitler som ser på strategiske og tekniske valg:

- Kapitlene om de strategiske valgene er relativt overordnede, og kan særlig være relevante for beslutningstakere og IT-strateger.

- Kapitlene om tekniske valg er detaljerte og er i hovedsak relevant for teknologer.

Kapitlet om exit-kostnader og -gevinster vil særlig være interessant for beslutningstakere.

Kapitlet om juridisk – veiledning til kommende EU-regelverk, vil særlig være relevant for jurister, beslutningstakere og byråkrater.

"Behov for videre tiltak" er et sentralt kapittel for dem som skal vurdere videre arbeid med tematikken skytjenester, nasjonalsuverenitet og kontroll overdata, da særlig politikere og ansatte i embetsverket.

Skytjenester – avgrensninger

Begrepet "skytjenester" står sentralt i dette dokumentet. Arbeidsgruppen ser at det er stort spenn i forståelsen av begrepet, og vil derfor tydeliggjøre hva dokumentet favner og ikke favner. Dette er også nødvendig av hensyn til arbeidsgruppens kapasitet og tidsrammer. Arbeidsgruppen har i sitt arbeid forholdt seg til definisjonene av begreper om skytjenester som er fastsatt i ISO/IEC 22123.

Plassering av skytjenestene (allmenn, hybrid eller privat) vil ikke ha innvirkning på prinsippene som beskrives og vil derfor ikke omtales nærmere.

Sikkerhet og krav til sertifiseringer i skytjenester kan være viktig for enkeltkunder, men faller utenfor leveransen.

Skytjenester som er omfattet

Infrastructure as a Service, Iaas

• En skytjenestekategori der skyleverandøren tilbyr grunnleggende infrastrukturkapasitet, som virtuelle maskiner, lagring, nettverk og andre databehandlingsressurser.
• Kunden har kontroll over operativsystemer, lagring, applikasjoner, mellomvare og virtuelle nettverkskonfigurasjoner, men ikke den underliggende fysiske infrastrukturen.
• Brukes til å bygge, teste og drifte applikasjoner og systemer med god kontroll over den virtuelle infrastrukturen.

Platform as a Service, PaaS

• En skytjenestekategori der skyleverandøren tilbyr en plattform for utvikling og drift av applikasjoner, inkludert runtime-miljø, utviklingsverktøy, biblioteker og tilhørende tjenester.
• Kunden har kontroll over applikasjoner og applikasjonskonfigurasjon, men ikke over operativsystem, runtime eller underliggende infrastruktur (f.eks. nettverk, servere og lagring).
• Brukes til utvikling, testing og drift av applikasjoner uten å måtte administrere infrastruktur eller plattformkomponenter.

Software as a Service, SaaS

• En skytjenestekategori der skyleverandøren tilbyr ferdige programvareapplikasjoner som leveres over nettverk og brukes via nettleser eller andre klientgrensesnitt.
• Kunden bruker applikasjonen uten kontroll over underliggende infrastruktur, plattform eller applikasjonsarkitektur, men kan gjøre begrenset konfigurasjon gjennom brukerinnstillinger og applikasjonsspesifikke valg.
• Brukes til å levere fullstendige applikasjoner til sluttbrukere, der leverandøren håndterer drift, vedlikehold, oppdateringer og sikkerhet.

Skytjenester som ikke er omfattet

Noen skytjeneste-typer er helt utelatt eller får begrenset omtale av hensyn til tids- og kapasitetsbegrensninger. Arbeidsgruppen anbefaler at disse vurderes nærmere på et senere tidspunkt, se punkt 6, nedenfor.

Skytjenester for kontorstøtte

Skybaserte kontorstøtteapplikasjoner som leveres som SaaS (Software as a Service). Applikasjonene brukes direkte via nettleser eller dedikerte klienter, uten lokal installasjon.

Skytjenester for klientoperativsystem

Et operativsystem som kjører på en lokal enhet, men er optimert for å koble seg til og bruke skytjenester. Operativsystemet kan være såkalt tynt (thin client) eller fullverdig, men er avhengig av skyinfrastruktur for lagring, applikasjoner og databehandling.

Skytjenester for IoT

Internet of Things, en skytjenestekategori for et bredt spekter av enheter som sensorer, wearables og smart hjemmeutstyr, med fokus på skalerbarhet, datainnsamling, lagring og grunnleggende analyse for forbruker- eller virksomhetsapplikasjoner. Favner også varianter som Industrial-IoT og Medical- IoT.

Skytjenester for OT

Operational Technology, en skytjenestekategori for industrielle miljøer. Integrerer operasjonell maskinvare med programvare som overvåker og kontrollerer fysiske prosesser, enheter og infrastrukturindustrielle kontrollsystemer og prosesser.

Tilgjengelig tid som valgt tilnærming

Arbeidsgruppens fremstilling tar utgangspunkt i to forskjellige scenarioer for endring. Forskjellen mellom dem er hvor lang tid som er tilgjengelig for å utføre endringene.

Perspektiver for skytjenester og portabilitet når man har dårlig tid: kort tid for endring

I dette perspektivet vil behovet for konkrete endringer aktualisere seg innenfor et tidsrom på 0 – 6 måneder. Dette perspektivet kan i praksis betraktes som krisehåndtering.

Dette scenariet gir ikke rom for kontraktstilpasninger, samt lite rom for juridiske avklaringer og tilrettelegging av tekniske løsninger for å understøtte skytjenesteportabilitet.

Perspektiver for skytjenester og portabilitet når man har god tid: Lang og mellomlang tid for endring

I dette perspektivet vil behovet for konkrete endringer aktualisere seg innenfor et tidsrom på mellom 6 måneder og 10 år. For å få frem nyansene er dette perspektivet todelt:

Lang tid for endring: Behovet for konkrete endringer aktualiserer seg innenfor et tidsrom på 3 - 10 år. Dette scenariet gir stort rom for kontraktstilpasninger, juridiske avklaringer og tilrettelegging av tekniske løsninger for å understøtte skytjeneste portabilitet.

Middels lang tid for endring: Behovet for konkrete endringer aktualiserer seg innenfor et tidsrom på 6 måneder - 3 år. Dette scenario gir lite rom for kontraktstilpasninger, men noe rom for juridiske avklaringer og tilrettelegging av tekniske løsninger for å understøtte skytjeneste portabilitet.