F-Secure advarer om Europas digitale afhængighed

Forestil dig en hospitalssekretær, der møder ind mandag morgen. Bygningen står der endnu, netværkskablerne er ikke klippet over, og serverne i kælderen kører. Men login-skærmen afviser hendes adgangskode. Ikke på grund af et hackerangreb eller et strømsvigt, men fordi det amerikanske selskab, der styrer hospitalets adgangssystem, har ændret vilkårene. Patientjournalerne ligger få meter væk. Hun kan bare ikke komme ind.

Det er sådan digital afhængighed ser ud i praksis. Ikke nødvendigvis som ødelagte kabler eller brændende datacentre, men som en udlejer, der skifter dørkoden om natten. Da F-Secures finske topchef, Timo Laaksonen, denne måned advarede om, at Europa er dybt afhængigt af amerikansk-kontrollerede kritiske tjenester, pegede han på netop den stille, strukturelle sårbarhed (Yle).

Dørkoden ligger ikke i Europa

Sårbarheden begynder, før hospitalssekretæren overhovedet når sin indbakke.

Hun skriver sine loginoplysninger ind i et adgangssystem. Mange europæiske organisationer bruger amerikansk-drevne identitetstjenester, især Microsofts Entra ID, til at kontrollere, hvem medarbejderne er. Hvis leverandøren går ned eller lukker for adgangen, bliver alle de systemer, der ligger bag samme login, utilgængelige på én gang (Hypergate). Én låst dør kan lukke mange rum.

Dernæst kommer fjernbetjeningen til cloud-infrastrukturen: det kontrolpanel, hvor it-afdelinger opretter servere, styrer databaser og håndterer de digitale nøgler, der beskytter følsomme oplysninger. Et hospitals patientjournaler kan fysisk ligge på en server i Frankfurt. Men hvis kontrolpanelet, betalingskontoen og krypteringsnøglerne styres af et amerikansk moderselskab, betyder "hostet i Europa" ikke nødvendigvis "kontrolleret af Europa" (JRC).

Mønsteret går igen i e-mail, dokumentlagring, softwareopdateringer og selv internettets adressebog, DNS, som fortæller browseren, hvor en hjemmeside findes. Tysk forskning viser, at omkring 96 % af tyske virksomheder er afhængige af importerede digitale teknologier, mens amerikanske cloudleverandører sidder på mere end 70 % af det europæiske marked (egovernment.de).

Da låsen faktisk blev drejet

Tre nyere sager viser, at det ikke er en teoretisk bekymring.

AI-selskabet Anthropic lukkede adgangen til sine nyeste modeller for visse brugere for at overholde amerikanske eksportregler. Ingen server blev slukket. En juridisk beslutning fik bare en digital funktion til at forsvinde fra nogle brugeres skærme (AP, Reuters).

I Holland blokerede en domstol det amerikanske selskab Kyndryls køb af Solvinity, som hoster DigiD, det digitale identitetssystem, hollandske borgere bruger til skat og sundhed. Begrundelsen var, at amerikansk ejede selskaber efter amerikansk ret, blandt andet CLOUD Act og FISA, kan pålægges at udlevere data, uanset hvor data fysisk ligger. Et nationalt identitetssystem kan ikke uden videre placeres under den juridiske paraply (Ius Mentis).

I Frankrig konkluderede en undersøgelse i Nationalforsamlingen, at cirka 80 % af det offentliges softwareindkøb går gennem amerikanske aktører, svarende til omkring 1,5 mia. euro om året. Ministerier, energiselskaber og transportnet er dermed afhængige af leverandører, som i princippet kan begrænse adgang under politisk eller juridisk pres (Banque des Territoires, Clubic).

Nødspor, ikke fantasier

Europa kan ikke bygge hele den amerikanske teknologistak fra bunden. Stordriftsfordelene gør det urealistisk på kort sigt. Men Europa kan godt reducere skaden, hvis ét adgangslag forsvinder.

Frankrig kræver nu, at cloudtjenester, der certificeres til følsom offentlig brug, ikke må kunne tvinges af fremmed lovgivning til at opgive kontrollen (CER). Tyskland bygger openDesk, en open source-baseret kontorpakke. EU-Kommissionens Tech Sovereignty Package behandler chips, kunstig intelligens, cloud og open source som dele af samme problem (European Commission).

Den finske cybersikkerhedsforsker Mikko Hyppönen peger på en ofte overset pointe: Selv forsvarsværktøjer kan blive afhængigheder. En firewall installeret i Helsinki, men fodret med trusselsdata, virussignaturer og softwareopdateringer fra udlandet, kræver stadig uafbrudt adgang til en udenlandsk tjeneste. Bliver den forsyning afbrudt, bliver muren blind (YouTube / Hyppönen).

Den praktiske test for et europæisk hospital, en kommune eller et ministerium er derfor enkel: Hvis én leverandørkonto, én identitetsudbyder eller ét opdateringsfeed forsvinder i morgen tidlig, kan medarbejderne så stadig logge ind, hente journaler og kommunikere? De institutioner, der kan svare ja, har reel handlefrihed. De andre er lejere, der endnu ikke har undersøgt, hvem der ligger inde med nøglen.