Domstol prøver stop for DigiD-opkøb

Når en hollænder indberetter skat, tjekker en offentlig ydelse eller logger ind på en digital myndighedstjeneste, går adgangen gennem DigiD, landets nationale login-system. De færreste tænker over, hvem der driver teknikken bag. Det er netop problemet.

DigiD kører på en platform, som den private virksomhed Solvinity driver (AG Connect). Da det amerikansk baserede IT-selskab Kyndryl ville købe Solvinity, blokerede den hollandske regering handlen med henvisning til national sikkerhed. I juni indbragte Solvinity beslutningen for en domstol i Rotterdam. En del af retsmødet foregik for lukkede døre (Tweakers). Sagen gør et politisk yndlingsbegreb, digital suverænitet, til et konkret juridisk spørgsmål: Hvem må eje de virksomheder, der holder staten kørende online?

Kontrolrummet bag elnettet

Digitale offentlige tjenester fungerer lidt som et elnet. Staten fastsætter reglerne og lægger navn til brugerfladen. Men en privat leverandør kan sidde med nøglerne til kontrolrummet: driftsmanualer, krypteringsnøgler og den tekniske viden, der skal til for at holde systemet oppe under pres (policyreview.info). Solvinity havde den rolle for en del af den hollandske digitale stat.

Den 26. maj 2026 blokerede statssekretær Willemijn Aerdts formelt opkøbet (Logius). Den fulde risikovurdering er ikke offentliggjort. Parlamentet fik fortrolige oplysninger, og retten gennemførte en lukket del af høringen, hvor parterne drøftede følsomt materiale uden pressens adgang (Tweede Kamer).

Det offentligt kendte grundlag er, at medlemmer af parlamentet frygtede, at amerikansk ejerskab kunne give Washington mulighed for at kræve data udleveret eller i værste fald forstyrre adgangen til tjenester, som borgerne bruger hver dag (NOS). Den amerikanske CLOUD Act fyldte meget i debatten.

CLOUD Act er reel, men den bliver let gjort større, end den er. Amerikansk lov kan pålægge en udbyder under amerikansk jurisdiktion at udlevere data, som virksomheden har i sin "possession, custody, or control", når der foreligger en lovlig kendelse, også hvis data ligger i Europa (Cornell LII). Det er en faktisk juridisk eksponering.

Loven giver derimod ikke Washington en fjernbetjening til at gennemse systemer eller lukke en tjeneste på kommando. Frygten for en såkaldt kill switch hører til en anden kategori: afhængighed af leverandører, kontraktkonflikter, tab af administratoradgang eller det praktiske besvær ved at udskifte en leverandør midt i en krise. De risici er alvorlige. Men de er ikke det samme som CLOUD Act. Når de blandes sammen, lyder argumentet mere konspiratorisk end strukturelt.

Det strukturelle argument er stærkt nok i sig selv. Når svaret lyder, at "data bliver i Europa", besvarer det kun en del af spørgsmålet. Datalokation er ét lag. Kontrol er et dybere lag: Hvem kan administrere systemerne, rulle opdateringer ud og holde tjenesten i live, hvis det kommercielle forhold bryder sammen?

Tre lande, tre modeller

Frankrig har forsøgt at gøre suverænitet kedeligt og håndhæveligt. Hvis en cloudleverandør vil levere følsomme statslige tjenester, skal den opnå certificeringen SecNumCloud, som kræver dokumentation for, at udenlandsk lovgivning ikke uden videre kan række ind i tjenesten (Alliancy). Det gør et politisk slagord til et indkøbskrav: Enten kvalificerer man sig, eller også byder man ikke.

Sverige går en anden vej. I stedet for at screene hver enkelt leverandør forsøger staten at bevare kontrollen med roden til den digitale identitet. Justitsministeriet har foreslået et nyt statsligt ID-kort med biometri og indbygget elektronisk identifikation (Dagens.se), og Sverige har spillet en ledende rolle i arbejdet med certificeringen af EU's kommende digitale identitetstegnebog (Digg). Private virksomheder kan stå for rørene. Staten beholder hovednøglen.

Holland fremstår mere reaktivt. Hollandske parlamentsdokumenter viser, at der tænkes bredere over suveræne cloudtjenester (1848.nl), men Solvinity-sagen handler om en konkret handel, blokeret efter en fortrolig risikovurdering og nu forsvaret i retten.

Hvad retten faktisk skal afgøre

EU forsøger ikke at bygge et separat internet. Unionen bygger værktøjer, der giver regeringer mulighed for at granske opkøb, kræve cybersikkerhed og gøre cloudleverandører lettere at udskifte. Regler om screening af udenlandske investeringer giver medlemslandene mulighed for at vurdere opkøb i følsomme sektorer (Paul Weiss). NIS2-direktivet skærper sikkerheds- og forsyningskædekravene til operatører af kritisk infrastruktur (European Commission). Dataforordningen behandler skift mellem cloudleverandører og beskyttelse mod ulovlige udenlandske dataanmodninger (EUR-Lex). Hver for sig løser de ikke problemet. Tilsammen flytter de spørgsmålet fra "hvor står serveren?" til "hvem styrer afhængigheden?"

Sagen i Rotterdam vil gøre det spørgsmål skarpere. Hvis regeringen vinder, styrkes princippet om, at ejerskifte i offentlig digital infrastruktur kan blokeres, også når den fulde risikovurdering forbliver klassificeret. Hvis Solvinity vinder, kan staten blive tvunget til at vise, at den har overvejet mindre indgribende løsninger: kontraktlige kontrolmekanismer, adskillelse af følsom drift fra det udenlandske moderselskab eller obligatoriske exitplaner.

Retten skal dermed afgøre, hvor meget dokumentation en stat skal lægge frem, når den blokerer et opkøb for at beskytte en tjeneste, borgerne reelt ikke kan fravælge. For de millioner af hollændere, der logger ind med DigiD uden at tænke videre over det, er det den praktiske kerne i sagen.