En artikkel til IT-ledere i norske kommuner

Tenk deg følgende scenario: En fredag morgen logger fagsystemansvarlig i din kommune seg på for å åpne saksbehandlingssystemet. Det går ikke. E-post, fillagring og samhandlingsverktøy svarer ikke. Ikke fordi noen har hacket dere — men fordi en amerikansk leverandør, etter pålegg fra sitt eget hjemland, har stengt tilgangen.

Dette er ikke science fiction. Det har allerede skjedd — bare ikke i en norsk kommune. Da sjefsanklageren ved Den internasjonale straffedomstolen (ICC) ble sanksjonert av Trump-administrasjonen, mistet han over natten tilgangen til sin egen Microsoft-konto. En av verdens viktigste rettsinstitusjoner ble brått avskåret fra egne data, ikke fordi noe gikk i stykker teknisk, men fordi en amerikansk leverandør var juridisk forpliktet til å følge et politisk vedtak fra sin egen regjering.

Spørsmålet du som IT-leder må stille deg, er ikke om dette kan skje med kommunen din. Spørsmålet er hva som skjer når det gjør det — og hvor godt forberedt du er.

CLOUD Act: Loven som gjør «norske data» til et juridisk spørsmål om amerikansk politikk

CLOUD Act, vedtatt i USA i 2018, gir amerikanske myndigheter rett til å kreve utlevering av data fra amerikanske teknologileverandører — uavhengig av hvor i verden dataene faktisk er lagret. Det hjelper ikke at Microsoft, Google eller Amazon har datasentre i Irland eller Norge. Selskapet er amerikansk, og amerikansk lov følger selskapet, ikke serveren.

Dette er ikke lenger bare en teoretisk bekymring i fagmiljøer. I Stortingets behandling av representantforslaget om digital suverenitet (Innst. 225 S, 2025–2026) pekes det på at Microsoft selv har erkjent at de ikke kan garantere uforstyrret levering av sine tjenester, uavhengig av den amerikanske presidentens politikk. Når leverandøren selv sier de ikke har full kontroll, har heller ikke kommunen det.

Stortinget har bedt regjeringen om en nasjonal exit-strategi for utfasing av store kommersielle IT-plattformer som Microsoft 365 fra statsforvaltningen og samfunnskritiske virksomheter — etter modell fra Danmark, som allerede er i gang med å bytte ut Microsoft med LibreOffice i flere av sine største kommuner.

Norge er ikke forberedt — og det vet myndighetene

Nasjonal sikkerhetsmyndighet (NSM) er tydelig i sin Risikorapport for 2026: Når virksomheter er avhengige av én leverandør, eller leverandører fra samme land, oppstår det NSM kaller konsentrasjonsrisiko. Norsk næringsliv og offentlig sektor er, ifølge NSM, avhengig av altfor få leverandører på altfor mange kritiske områder samtidig — noe som gir disse leverandørene, og landene de er underlagt, uforholdsmessig stor makt over norsk infrastruktur.

Samtidig som EU aktivt jobber for å redusere avhengigheten av amerikanske skyleverandører og bygge europeiske alternativer, inngikk Direktoratet for forvaltning og økonomistyring (DFØ) Norgeshistoriens største skyavtale — med fire amerikanske teknologigiganter. NSMs egne anbefalinger om nasjonale skytjenester er fortsatt ikke fulgt opp.

Datatilsynet har på sin side startet et omfattende tilsyn med samtlige norske kommuner som del av Totalforsvarsåret 2026, og har bedt over hundre utvalgte kommuner dokumentere hvordan de jobber med personvern og beredskap. Budskapet fra myndighetene er samstemt: dette er ikke lenger et IT-anliggende du kan skyve nedover i organisasjonen. Det er et lederansvar — og i ytterste konsekvens et personlig ansvar for deg som leder IT i kommunen, dersom risikoen ikke er kartlagt og håndtert.

Noen har allerede tatt konsekvensen av dette. Oslo kommune utreder hvordan de kan fase ut 70 000 Microsoft-lisenser. Larvik kommune har i lengre tid jobbet aktivt med å sikre reell leverandørkontroll og frigjøre seg fra avhengigheten til de store amerikanske leverandørene. Disse kommunene er ikke prinsippløse skeptikere — de er IT-ledere som har sett risikobildet og handlet før krisen tvang dem til det.

Tre scenarioer du bør stille til ditt eget lederteam

1. Leverandøren legger ned eller endrer vilkår. Et amerikansk selskap kjøpes opp, legges om eller avvikler en tjeneste kommunen er avhengig av. Hva er kommunens reelle exit-tid — uker, måneder, eller har dere ingen plan?
2. Hjemlandet pålegger leverandøren å stenge tilgangen. Som i ICC-saken: en politisk beslutning, ikke en teknisk feil, kutter tilgangen til egne data, fagsystemer og kommunikasjon.
3. Datadelingsavtalen mellom USA og EU kollapser. Da kan overføring av personopplysninger til USA bli ulovlig over natten. Norske virksomheter kan stå i et juridisk og operasjonelt vakuum som lammer kritiske funksjoner — pasientjournaler, barnevernssaker, sosialhjelp, alt som krever fortløpende saksbehandling.

Ingen av disse scenarioene krever et cyberangrep. De krever bare en politisk beslutning i et land kommunen ikke har noen innflytelse over.

Veien ut: Eierskap, ikke bare leie

Det gode med dette risikobildet er at det finnes en løsning som ikke handler om å gamble på fredelige internasjonale relasjoner — det handler om å eie sin egen digitale infrastruktur, juridisk og teknisk.

Det finnes programvare og plattformer som rett og slett ikke er underlagt CLOUD Act, fordi de ikke er amerikanske selskaper. Åpen kildekode og leverandører som HCL Software (som overtok og videreutvikler tidligere IBM-produkter som Notes/Domino) er gode eksempler. Disse løsningene gir kommunen et helt annet utgangspunkt:

• Du velger hvor det installeres — i en europeisk eller norsk sky, i en privat sky, eller helt on-premise i egne datasentre.
• Du eier løsningen, ikke bare lisensen. Ingen tredjepartsregjering kan trekke en bryter og stenge deg ute fra dine egne data.
• Du styrer oppgraderinger og endringer selv, i stedet for å være avhengig av en leverandørs ensidige veikart, prisendringer eller politiske binding.
• Du oppfyller kravene som Stortinget nå ber regjeringen formalisere: at samfunnskritisk informasjon om innbyggere behandles i løsninger under norsk eller europeisk jurisdiksjon, med åpne standarder som reduserer leverandørlåsing.

Dette er ikke et spørsmål om å forlate skyen. Det er et spørsmål om å velge hvilken sky, hvem som har de juridiske nøklene til den, og hvor lett det er å flytte ut den dagen dere må.

Hva bør du gjøre denne uken?

Du trenger ikke en fullstendig exit-strategi klar i morgen. Men du bør kunne svare på dette spørsmålet fra kommunestyret eller kontrollutvalget: Hvilke av våre kritiske systemer er underlagt utenlandsk jurisdiksjon, og hva er vår reelle handlingsfrihet hvis tilgangen forsvinner over natten?

Hvis svaret er usikkert, er det stedet å starte. En kartlegging av avhengigheter, en konkret plan for de mest kritiske systemene, og kunnskap om hvilke alternativer som faktisk finnes — det er forskjellen mellom en kommune som styrer sin egen digitale skjebne, og en kommune som er gissel i en geopolitisk konflikt den ikke er part i.

I Brainworker arbeider vi med nettopp dette: å vise IT-ledere i offentlig sektor hvilke digitale løsninger som gir reell, dokumenterbar suverenitet — teknisk og juridisk — uten å gå på bekostning av funksjonalitet eller brukervennlighet. Vi representerer leverandører og løsninger, blant annet innen HCL Software og åpen kildekode, som ikke er bundet av lover som CLOUD Act, og som lar kommunen selv bestemme hvor og hvordan dataene driftes.

Vil du vite hvor sårbar din kommune faktisk er? Ta kontakt — det er bedre å finne ut av det nå, enn en fredag morgen når systemene ikke svarer.

Kilder: NSM Risikorapport 2026; Stortinget, Innst. 225 S (2025–2026) og Dok. 8:119 S (2025–2026) «Digital suverenitet i en urolig tid»; Datatilsynet, aktuelle nyheter 2026; Altinget.no.