Da CLOUD Act ble vedtatt i 2018, behandlet de fleste europeiske CTO-er det som en juridisk abstraksjon - noe for compliance-teamet å bekymre seg for, et sted mellom cookie-bannere og printerinnkjøp. Åtte år senere, med Schrems II-dommen, NIS2 innført i nasjonal lov over hele EU, DORA i kraft for finanssektoren, og Data Act sine bestemmelser om utgangsavgifter (egress-fees) like rundt hjørnet, er det blitt en sak for styrerommet. Ikke fordi advokater vant en diskusjon, men fordi risikoen sluttet å være teoretisk.

La oss definere begrepene, for «suveren sky» har blitt markedsført til grøt. Reell suverenitet betyr tre separate ting: datalagring i EU-jurisdiksjon, operativ kontroll av selskaper med hovedkontor i EU, og juridisk beskyttelse mot ekstraterritoriale rettslige pålegg. Markedsavdelingene til de amerikanske hyperscalerne vil fortelle deg at de europeiske regionene deres krysser av for det første punktet. De har rett. De to andre er vanskeligere - og det er de to som betyr noe når ting går galt.

Slik ser det ut i praksis: et sykehus i München kjører PACS-bildediagnostikk på AWS Frankfurt. Dataene forlater aldri Tyskland. Kryptering i hvile, EU-basert supportpersonell, hele compliance-pakken. Men driftsselskapet er et amerikansk Delaware-selskap, underlagt amerikansk lov. En amerikansk rettskjennelse kan tvinge frem utlevering, uansett hvor bytene fysisk befinner seg. Sykehusets advokater vet dette. Sykehusets styre vet det, i økende grad, også. Dette er gapet NIS2 og Data Act nå tetter - sakte, ufullkomment, men i én tydelig retning.

Det regulatoriske tidsløpet forteller historien. Schrems II (2020) gjorde Privacy Shield ugyldig og satte enhver dataoverføring fra EU til USA på juridisk ustøtt grunn. NIS2 (nasjonale innføringer i 2024-2025) gjorde ansvarlighet i leverandørkjeden til en styreforpliktelse med personlig ansvar - du er nå ansvarlig ikke bare for din egen sikkerhet, men for leverandørenes. DORA (januar 2025) gjorde det samme for finanssektoren, med tenner. Data Act (med bestemmelser om utgangsavgifter fra 2027) angriper lock-in direkte: utgangskostnadene som gjorde «vi migrerer senere» til en fantasi, blir nå regulert bort.

Ingenting av dette betyr «slutt å bruke AWS». Det er stråmannsversjonen av suverenitetsargumentet, og den mislykkes i møte med virkeligheten - hyperscalerne er utmerkede i det de gjør, og de fleste europeiske selskaper vil beholde arbeidsbelastninger hos dem i årevis. Den seriøse versjonen handler om valgfrihet: å vite nøyaktig hvilke av arbeidsbelastningene dine som kan flyttes, hvor de kan flyttes til, og hva det vil koste - før en tilsynsmyndighet, en kundes innkjøpsavdeling, eller en geopolitisk overraskelse tvinger spørsmålet frem på noen andres tidsplan.

Det er der det europeiske leverandørlandskapet blir interessant, for det er reelt godt nå og stort sett ukjent. Hetzner tilbyr pris-ytelse som får amerikanske sky-regninger til å se ut som en spøk. OVHcloud drifter et av de største fotavtrykkene i Europa med egen fiber og egne datasentre. Scaleway leverer en moderne, utviklervennlig stack fra Frankrike. UpCloud leverer pålitelig compute fra Finland. Ingen av dem er en direkte erstatning for AWS på tvers av alle tjenester - men for compute-, lagrings- og nettverkslagene der mesteparten av infrastrukturkostnadene faktisk befinner seg, er de troverdige, ofte billigere, og svarer utelukkende til EU-lov.

Den ærlige hindringen er ikke evne. Det er drift. Hver leverandør betyr en ny konsoll, et nytt API, en ny faktureringseksport, et nytt sett med sikkerhetseksentrisiteter å lære seg. Et selskap med 30 ansatte kan ikke bemanne et plattformteam per sky - så de samler seg om én hyperscaler, og suverenitet blir stille noe man skal ta opp igjen «neste år», hvert år.

Dette er det faktiske problemet Sencai finnes for å løse. En multi-cloud-strategi - inkludert en suverenitetsstrategi - er bare reell hvis et lite team kan drifte den uten å drukne. Én kontrollplan på tvers av hyperscalere og EU-native leverandører, ett sted å se hver ressurs og hver euro, ett revisjonsspor som holder når NIS2-bevis etterspørres: det er det som gjør «vi burde se på europeiske leverandører» om fra en presentasjonsslide til en migreringsplan.

Så her er den praktiske sjekklisten vi ville gitt enhver EU-CTO for 2026. Én: kartlegg hvilke av arbeidsbelastningene dine som er jurisdiksjonssensitive - persondata, helse, finans, offentlig sektor-tilknyttet - og hvilke som er commodity-compute som kan kjøre hvor som helst. To: spør leverandørene dine hvem som juridisk driver hver tjeneste, ikke hvor serverne står; svarene vil overraske deg. Tre: prissett en exit for dine tre viktigste arbeidsbelastninger, for Data Act er i ferd med å gjøre det tallet forhandlingsbart. Fire: kjør én reell arbeidsbelastning hos én EU-leverandør i år - ikke som en markering, men som et alternativ du faktisk har utøvd, med overvåking og backup og alt du ville krevd hvor som helst ellers.

Sencais posisjon er enkel: vi leverer en kontrollplan som fungerer på tvers av hyperscalere og EU-native leverandører (Hetzner, OVHcloud, Scaleway, UpCloud), og lar deg bestemme hvor hver arbeidsbelastning skal bo. Selve kontrollplanen kjører i EU, driftet av et EU-selskap, uten amerikanske avhengigheter i den kritiske stien. Det er hva suverenitet som standard ser ut som: ikke et merke på en presentasjonsslide, men friheten til å plassere hver arbeidsbelastning nøyaktig der den hører hjemme - og å bevise det.