Molntjänster: avtal, säkerhet och kostnadsmodeller

Molntjänster är tre beslut i ett: avtal, säkerhet och kostnad

Molntjänster är ett strategiskt val där juridik, informationssäkerhet och ekonomi hänger samman. För svenska verksamheter – från små företag till myndigheter och regioner – styr leverantörsval och avtalsvillkor både regelefterlevnad och kostnader.

Avtal och ansvarsfördelning: delat ansvar, SCC och utländsk jurisdiktion

I molntjänster delas ansvaret: leverantören sköter plattformens säkerhet, kunden skyddar data och applikationer. Säkerhetsveteranen Andy Ellis anser att modellen ser enkel ut på papper men är svår att granska i praktiken, eftersom kopplingarna mellan plattform och applikationer är komplexa.

Kundens egen konfiguration avgör applikationssäkerheten. Flera leverantörer talar nu hellre om partnerskap än om en skarp ansvarsgräns.

Avtalet bör därför tydligt reglera ansvarsgränser, incidenthantering, datatillgång, radering, revision och underleverantörer.

För personuppgifter utanför EU/EES krävs en överföringsmekanism. Standard Contractual Clauses (SCC) är en sådan, men efter Schrems II-domen 2020 ogiltigförklarades Privacy Shield och den juridiska osäkerheten består.

Även med SCC kan amerikanska myndigheter begära åtkomst enligt utländsk åtkomstlagstiftning, oavsett var data lagras. EU-US Data Privacy Framework från 2023 har förbättrat läget, men IMY rekommenderar fortfarande försiktighet.

Svenska organisationer bör avtala om vilken jurisdiktion som gäller, var data får lagras och vilka rättsliga medel leverantören kan tvingas till. Det gäller särskilt känsliga uppgifter eller verksamhet med höga sekretesskrav.

Säkerhet i praktiken: kryptering, nyckelhantering och återställning

Kryptering har två huvudformer: i transit via TLS/SSL och i vila, oftast med AES-256. De flesta seriösa leverantörer erbjuder båda som standard.

Kryptering i vila med leverantörens egna nycklar skyddar inte om leverantören komprometteras, får ett myndighetsbeslut om att lämna ut data eller om en anställd med systemåtkomst agerar illojalt.

För riktigt känslig data krävs end-to-end-kryptering (E2EE), där leverantören aldrig kommer åt dina nycklar. Tresorit och Proton Drive är exempel med E2EE och zero-knowledge-arkitektur.

Cryptomator och Boxcryptor kan läggas ovanpå befintliga molnlagringstjänster som Google Drive eller OneDrive. Med E2EE ansvarar du själv för att nycklar och lösenord inte tappas bort – det finns ingen ”glömt lösenord”-funktion.

Större organisationer bör överväga en central nyckelhanteringslösning (KMS) och dokumenterade processer för nyckelrotation och escrow. Testa också att återställning från backup fungerar med den valda krypteringslösningen; krypteringsproblem är en av de vanligaste orsakerna till misslyckade återställningar.

Datasuveränitet: när svensk eller europeisk lagring krävs

GDPR kräver att du vet var data lagras och kan garantera att den skyddas enligt EU-standard. Överföring av personuppgifter till länder utan adekvat dataskyddsnivå är som huvudregel förbjuden. Svensk eller europeisk datalagring är därför det tryggaste valet för många organisationer.

Amerikanska tjänster är problematiska efter Schrems II-domen 2020, som ogiltigförklarade Privacy Shield. Även med SCC kvarstår risken att amerikanska myndigheter kräver åtkomst enligt CLOUD Act och FISA 702, oberoende av var data fysiskt lagras.

Offentlig sektor och sjukvård har dessutom krav på datalokalisering och sekretess. Patientdatalagen (PDL) och Offentlighets- och sekretesslagen (OSL) ställer krav som går längre än GDPR.

Flera svenska myndigheter och regioner har fått kritik av IMY för användning av amerikanska molntjänster. eSAM har publicerat vägledningar som rekommenderar svenska eller europeiska lösningar för att uppfylla kraven.

En svensk molntjänst kan hålla data inom Sveriges gränser, utanför utländska lagar som CLOUD Act. Det kan vara avgörande för myndigheter, kommuner och regioner med höga sekretesskrav.

Ett exempel är Secure Meeting, framtaget i samarbete med Safespring och Pexip, som lagrar all data i Sverige. Även andra leverantörer kan erbjuda svensk datalagring, men kraven bör alltid verifieras i avtal och tekniska lösningar.

Kostnadsmodeller: compute, lagring, nätverk och AI

Molnpriser skiljer sig mellan tjänstetyper. Compute prissätts oftast per sekund eller timme, beroende på instanstyp och region.

Lagring prissätts per gigabyte och månad, ofta i klasser för frekvent respektive sällan använd data. Nätverk kan kosta när data överförs ut från molnet (egress), medan intern trafik inom en region ofta är billigare eller gratis. AI-tjänster prissätts ofta per anrop, per token eller per beräkningstimme.

Regionen påverkar kostnaden. En EU-region kan ha andra priser än en amerikansk region på grund av lokala kostnader, skatter och energipriser.

För svenska företag kan nordiska regioner vara relevanta: AWS har Stockholm (eu-north-1), Azure har Sweden Central (Gävle/Sandviken) och Google Cloud har Finland (europe-north1). Lokala regioner kan minska latensen och underlätta datasuveränitet, men priset per tjänst kan variera.

Det räcker inte att jämföra prislistor. Rabatter för långsiktiga åtaganden, reserverade instanser och sparplaner kan sänka kostnaden men låser samtidigt upp dig.

Dolda kostnader som egress, support och hanterade tjänster kan bli betydande. Ta därför fram en egen kostnadsmodell utifrån verklig användning.

Licenser, prestanda och TCO: så räknar du hem molnkostnaden

Befintliga Microsoft-licenser kan påverka molnkostnaden. Enligt Microsoft kan du använda befintliga Windows Server- och SQL Server-kärnlicenser med Software Assurance eller en prenumeration för att spara på molntjänster – den så kallade Azure Hybrid-förmånen. Det kan göra Azure särskilt kostnadseffektivt för organisationer med stora Microsoft-investeringar.

Microsoft publicerar också prestandajämförelser. På sin egen webbplats uppger de att Azure SQL Managed Instance presterar upp till 5 gånger snabbare och kostar upp till 93 procent mindre än AWS RDS.

De uppger också att SQL Server på Azure Virtual Machines presterar upp till 57 procent snabbare och kostar upp till 54 procent mindre än AWS EC2. Siffrorna kommer från Microsoft och bör verifieras med egna tester eller oberoende benchmark.

TCO (total ägandekostnad) bör omfatta licenser, drift, utbildning, migrering, support och eventuella kostnader för att lämna molnet. Jämför inte bara timpriser utan räkna på hela livscykeln.

För organisationer med tunga databas- och Windows-arbetsbelastningar kan licensvillkoren bli avgörande.

Leverantörsval för svenska verksamheter: hyperscaler eller svensk aktör?

Valet står ofta mellan globala hyperscalers – AWS, Microsoft Azure och Google Cloud – och svenska eller europeiska aktörer. Hyperscalerna erbjuder breda tjänsteportföljer, globala regioner och AI-tjänster som Amazon Bedrock, Azure OpenAI Service och Vertex AI.

De har också nordiska regioner: AWS i Stockholm, Azure i Gävle/Sandviken och Google Cloud i Finland. Marknadsmässigt dominerar de: AWS hade cirka 28 procent av den globala molninfrastrukturmarknaden Q4 2025, Azure cirka 21 procent och Google Cloud cirka 14 procent.

Svenska och europeiska leverantörer lyfter ofta datasuveränitet, lokal drift och att data inte omfattas av utländsk lagstiftning som CLOUD Act. Exempel är Secure Meeting, en svensk videoplattform framtagen med Safespring och Pexip, där all data lagras och hanteras i Sverige.

Andra exempel är Tresorit och Proton Drive för krypterad lagring. Dessa aktörer kan passa verksamheter med höga sekretesskrav, medan hyperscalerna kan passa bredare behov och AI-satsningar.

Gör en behovsanalys: Vilka data hanteras? Vilka krav ställer PDL, OSL eller andra regelverk? Vilken prestanda och vilka tjänster behövs?

Ofta kan en hybridlösning vara aktuell, där känslig data ligger hos en svensk aktör och mindre känslig data hos hyperscaler.

Beslutsunderlag: så väljer du molntjänst utan att fastna i avtal, risk eller kostnad

Valet av molntjänst är en avvägning mellan avtal, säkerhet och kostnad. Börja med att kartlägga vilka data som ska hanteras och vilka regelverk som gäller. Offentlig sektor och sjukvård måste särskilt beakta PDL, OSL och eSAM:s vägledningar.

I avtalsgranskningen: kontrollera ansvarsfördelning, överföringsmekanismer (SCC), jurisdiktion, datatillgång, radering och revision. Var medveten om riskerna med amerikansk åtkomstlagstiftning. IMY rekommenderar försiktighet.

I säkerhetskraven: kräv kryptering i transit och i vila. För känslig data, överväg E2EE med egen nyckelhantering (KMS), dokumenterad nyckelrotation och escrow. Testa backupåterställning.

I kostnadsuppföljningen: jämför compute, lagring, nätverk och AI-kostnader. Ta hänsyn till region, licenser (t.ex. Azure Hybrid-förmån) och TCO. Följ upp faktisk förbrukning och håll koll på egress-kostnader.

Praktisk checklista: 1) Identifiera dataklassning och lagkrav. 2) Granska avtal och överföringsmekanismer. 3) Verifiera kryptering och nyckelhantering. 4) Beräkna TCO med licenser och drift. 5) Följ upp kostnader och säkerhet löpande.