Molnstrategin börjar inte med molnet, den börjar med kontinuitet.

Sedan regeringen publicerade sin molnpolicy den 29 maj 2026 har frågorna avlöst varandra. Får vi använda publikt moln? Måste vi flytta allt till suveräna lösningar? Vad innebär det egentligen att ha "rådighet"? Min erfarenhet efter att ha arbetat med moln- och IT-frågor i offentlig sektor i många år är att de här frågorna ofta ställs i fel ordning. Policyn handlar inte om att välja ett visst moln; den handlar om att ha kontroll och kontinuitet oavsett vilken lösning man väljer.

"Molnpolicyn förändrar inte svaret på frågan om vilket moln ni ska använda. Den förändrar vad ni behöver förstå, dokumentera och kunna hantera; vad ni har, vilka beroenden som finns och vad som händer om något slutar fungera."

Vad policyn betyder i praktiken

Policyn har ett ovanligt tydligt geopolitiskt fokus. Den pekar på att beroenden av aktörer utanför EU kan få strategiska konsekvenser och lyfter behovet av att staten "i alla lägen" har tillgång till och rådighet över samhällsviktiga system, tjänster och funktioner. Frågorna blir särskilt viktiga vid höjd beredskap och krig.

Men policyn säger inte att molnet är farligt. Den säger att användningen av molntjänster måste vara medveten, riskbaserad och försedd med kontinuitetsplaner, alltså en tydlig och dokumenterad plan för hur verksamheten ska agera om identifierade risker eller störningar faktiskt inträffar. Det är en viktig distinktion, och en som lätt går förlorad när debatten reduceras till frågan om vilket moln som är "tillåtet".

En annan sak som är värd att notera: policyn är tydlig på att varje aktör bär det egna ansvaret. Det finns centrala stöd- och samordningsfunktioner, men respektive aktör ansvarar fortsatt för sina egna bedömningar och beslut. För kommuner och regioner fungerar policyn som stöd och vägledning, medan bindande skyldigheter följer av tillämplig lagstiftning.

Hybridansatsen: inte en kompromiss, utan en strategi

För offentlig verksamhet handlar molnfrågan inte om att välja en modell för allt, utan om att matcha varje system mot rätt nivå av rådighet, skyddsvärde och kontinuitetskrav. Avgörande är att kontinuitetstänket omfattar all IT, inte bara det som ligger i publikt moln. Vi brukar omsätta detta i tre kontrollnivåer:

Basnivå: standardiserade molntjänster

För system, samarbetsverktyg och information med lägre skyddsvärde.

Förstärkt kontrollnivå: rättsligt och operativt utredd molninfrastruktur

För system där jurisdiktion, åtkomst, supportkedja, loggning och datahantering behöver vara tydligt klarlagda.

Hög kontrollnivå: suveräna eller särskilt kontrollerade lösningar

För samhällsviktig verksamhet där lagring, drift, åtkomst, personal, beroenden och återställningsförmåga måste kunna styras, granskas och övas.

"Kontinuitetstänket måste gälla all IT, inte bara de delar som ligger i publikt moln. Det är här vi ofta ser ett betydande gap."

Tre mönster som skapar sårbarhet

På CGI möter vi offentlig sektor över hela bredden, från strategi och upphandling till implementation och långsiktig drift. Vi ser tre återkommande mönster som gör molnstrategier onödigt sårbara:

Leverantörsvalet föregår klassningen.

Organisationer som väljer molnplattform innan informationsklassningen är färdig bygger lösningar som sedan kan behöva rättas till — ofta till hög kostnad. Policyn är tydlig med att informationens skyddsvärde behöver vara bedömt och att valet av lösning bör utgå från verksamhetens samlade krav på bland annat säkerhet, rådighet, robusthet, funktion och kostnadseffektivitet.

Avtalet förväxlas med exitberedskap.

EU Data Act, som började tillämpas den 12 september 2025, stärker förutsättningarna för att byta mellan leverantörer av databehandlingstjänster och minska hinder för sådana byten. Men formella rättigheter och avtalsvillkor är inte samma sak som operativ förmåga att faktiskt genomföra en flytt när det väl behövs. I praktiken räcker det inte med exitklausuler. Vår rekommendation är att organisationen också säkerställer att den vet hur data, tjänster och beroenden kan flyttas om förutsättningarna förändras. Den förmågan behöver dessutom övas. När krisen väl är ett faktum är det betydligt svårare att börja ta reda på hur en exit ska genomföras.

Kontinuitetsplaneringen täcker inte leverantörsförfall.

Många organisationer planerar för egna driftsavbrott men inte för scenariot att en leverantör, oavsett typ av moln eller driftmodell, inte kan leverera som förväntat. Det är inte ett molnspecifikt problem: det är ett kontinuitetsproblem som gäller all IT, och som molnpolicyn adresserar genom sitt fokus på bland annat robusthet, kontinuitetsplanering, portabilitet och möjligheten att byta leverantör.

Vad en välgrundad hybridstrategi faktiskt ger er

När hybridansatsen är grundad i verksamhetens faktiska behov och risknivåer ser vi tre tydliga nyttor:

Bättre riskhantering och förutsättningar för regelefterlevnad.

Rätt information på rätt nivå av rådighet minskar sårbarheten och skapar bättre förutsättningar för att möta tillämpliga regelverk. Det blir också lättare att visa tillsynsmyndigheter, politisk ledning och andra beslutsfattare hur organisationens vägval ligger i linje med molnpolicyns principer och relevanta rättsliga krav.

Högre kvalitet i upphandlingen.

Organisationer som kartlagt sina krav kan ställa skarpare frågor, får bättre förutsättningar för jämförbara anbud och minskar risken för inlåsningseffekter. Det kan ge direkt ekonomiskt värde och en starkare förhandlingsposition mot leverantörer.

Försprång inför AI-verkstaden.

AI-verkstadens försöksverksamhet inleddes i juli 2026. Ambitionen är att stegvis bygga upp gemensamma AI-förmågor för offentlig förvaltning. Min bedömning är att organisationer som redan har ordning på informationsklassning, datahantering, åtkomst, integration och kontinuitet har bättre förutsättningar att snabbt dra nytta av gemensamma AI-förmågor när de blir tillgängliga i större skala. De organisationer som ännu inte har löst grundfrågorna riskerar i stället att behöva göra det under större tidspress.

Tre frågor värda att besvara innan nästa upphandling

En hybridstrategi som ligger i linje med molnpolicyns principer behöver inte vara komplex, men den behöver vara medveten och dokumenterad. Här är tre frågor som jag rekommenderar att varje organisation besvarar före nästa molnrelaterade upphandling:

• Har vi en aktuell informationsklassning som täcker informationen och systemen i hela vår IT-miljö, inte bara det som planeras till molnet och är den beslutad på rätt organisatorisk nivå?
• Har vi en testad kontinuitetsplan som täcker scenariot att en leverantör inte kan leverera, oavsett om det rör sig om publikt moln, europeisk infrastruktur eller egna datacenter?
• Kan vi idag visa att våra mest kritiska system hanteras på en rådighetsnivå som är i linje med deras skyddsvärde, och att det är dokumenterat och beslutat?

Har ni svaren på de frågorna är ni väl positionerade. Har ni inte det är det ett bra ställe att börja.

Vad betyder molnpolicyn för era nästa beslut? Vi hjälper er att välja rätt molnstrategi utifrån skyddsvärde, rådighet, kontinuitet och exit — inte utifrån teknik först. Kontakta mig gärna direkt eller läs mer om CGI:s molntjänster och hybridlösningar.

Läs mer om våra molntjänster och hybridlösningar