Suveren sky
Suveren sky er infrastruktur der dataenes plassering, jurisdiksjonen som gjelder for disse dataene, og aktøren som drifter systemene, alle er underlagt én definert myndighet – vanligvis et land eller en økonomisk union – i stedet for å være overlatt til en utenlandsk leverandørs brukervilkår. Det handler om hvem som kan tvinges til å utlevere data, ikke bare hvor serverne fysisk befinner seg.
Tre separate ting blir slått sammen under betegnelsen «suveren sky», og mesteparten av forvirringen oppstår nettopp fordi de blandes sammen: dataresidens (hvilket land bitene fysisk befinner seg i), juridisk jurisdiksjon (hvilket lands domstoler og myndigheter som kan tvinge frem tilgang til dataene, uansett hvor de befinner seg), og operasjonell suverenitet (hvem – hvilket selskap, under hvilken selskapsstruktur – som faktisk drifter infrastrukturen og kan legges under press, kjøpes opp eller sanksjoneres). En hyperscaler som åpner et datasenter i EU, oppfyller bare det første kriteriet. Det løser ikke det andre: et selskap med hovedkontor i USA er fortsatt underlagt amerikansk lovgivning – inkludert lover med ekstraterritoriell rekkevidde – uansett hvor serverne fysisk befinner seg. Dette er grunnen til at «suveren sky»-tilbud fra amerikanske hyperscalere, uansett hvor reelt EU-drevet deres lokale datterselskaper er strukturert til å være, granskes annerledes enn infrastruktur som driftes fra ende til annen av et selskap som er stiftet og har hovedkontor i den aktuelle jurisdiksjonen.
I praksis er suverenitet et spekter av valg, ikke en sertifisering man enten har eller ikke har. En regulert organisasjon kan velge å holde sine mest sensitive arbeidslaster on-premise eller hos en bare-metal-leverandør fysisk lokalisert i landet, kjøre mindre sensitive arbeidslaster hos en skyleverandør med hovedkontor i EU (Hetzner, OVHcloud, Scaleway og UpCloud er ofte nevnte eksempler), og akseptere en amerikansk hyperscaler for arbeidslaster der residens betyr mindre enn funksjonsparitet. Det som teller for et reelt suverenitetskrav, er at kunden konkret kan navngi hvilken aktør som holder krypteringsnøklene, hvilken domstol som har jurisdiksjon over en stevning, og hvem som ensidig kan tilbakekalle tilgang. «Suveren» brukt som en funksjonsetikett uten å besvare disse tre spørsmålene, er som regel markedsføringsspråk lånt fra et begrep som opprinnelig beskrev en spesifikk, reviderbar ordning.
Hvorfor det er viktig
For regulerte bransjer og offentlige organer som opererer under GDPR, NIS2 eller bransjespesifikke regler, er suverenitet ikke en abstrakt preferanse – det avgjør hvilket rettssystem som faktisk vil behandle en tvist, hvilken myndighet som kan tvinge frem utlevering av data, og om en utenlandsk lov kan nå data som aldri fysisk har forlatt EU. Det påvirker også kontraktens håndhevbarhet: en databehandleravtale underlagt EU-rett og som behandles i en EU-domstol, er en vesentlig annerledes garanti enn det samme dokumentet plassert inne i en global leverandørs amerikansk-styrte hovedavtale. NIS2 hever spesielt listen for dokumentasjon – hendelsesregistreringer, tilgangslogger og opplysninger om underleverandører må alle tåle regulatorisk gjennomgang, noe som er lettere å garantere når operatøren selv befinner seg i samme jurisdiksjon som regelverket.
Hvordan Sencai passer inn
Sencai er bygget og drives av Sencai Tech s.r.o. i Praha, under EU-rett – ikke som et regionalt datterselskap av et morselskap utenfor EU. Bring-your-own-cloud-modellen sørger for at kontoen, kontrakten og faktureringen for hver tilkoblede leverandør – inkludert alternativer med hovedkontor i EU som Hetzner, OVHcloud, Scaleway og UpCloud – forblir hos kunden; ingenting migreres, og tilgangen kan når som helst tilbakekalles hos leverandøren. Der Sencai selv tildeler og fakturerer kapasitet direkte, ligger den kontrakten under tsjekkisk rett og EU-rett. Sencai har verken ISO 27001 eller SOC 2, og sier det rett ut; i stedet gir selskapet fra seg dokumentasjonen en suverenitetsgjennomgang ber om – en eksporterbar, hash-kjedet revisjonslogg, behandlingsprotokoller, et register over underleverandører, en erklæring om dataresidens, og en publisert databehandleravtale.
Se plattformens sikkerhets- og compliance-modell →