Domstol prövar stoppad DigiD-affär

Varje gång en nederländsk medborgare deklarerar på nätet, kontrollerar ett bidrag eller loggar in i en offentlig e-tjänst passerar inloggningen DigiD, landets nationella system för digital identifiering. För de flesta är det osynlig infrastruktur. Det är också skälet till att ägandet bakom systemet nu har blivit en rättsfråga.

DigiD drivs på en plattform som hanteras av det privata bolaget Solvinity (AG Connect). När det amerikanskägda IT-bolaget Kyndryl ville köpa Solvinity stoppade den nederländska regeringen affären med hänvisning till nationell säkerhet. I juni överklagade Solvinity beslutet till domstol i Rotterdam. Delar av förhandlingen hölls bakom stängda dörrar (Tweakers). Därmed har det politiska begreppet "digital suveränitet" blivit något mer konkret: en juridisk prövning av vem som får äga de bolag som håller staten i gång på nätet.

Kontrollrummet bakom elnätet

Digitala myndighetstjänster kan liknas vid ett offentligt elnät. Staten sätter reglerna och står för gränssnittet mot medborgaren. Men ofta är det en privat leverantör som sitter på kontrollrummet: driftkunskapen, krypteringsnycklarna, underhållsrutinerna och förmågan att hålla systemen uppe när trycket ökar (policyreview.info). Solvinity hade den rollen för delar av den nederländska digitala staten.

Den 26 maj 2026 stoppade statssekreteraren Willemijn Aerdts formellt uppköpet (Logius). Den fullständiga riskbedömningen har inte offentliggjorts. Parlamentet har fått konfidentiell information, och domstolsförhandlingen innehöll ett slutet avsnitt där parterna gick igenom känsligt material utan press på plats (Tweede Kamer).

Det som är känt är att ledamöter i parlamentet oroade sig för att amerikanskt ägande skulle kunna ge Washington möjlighet att begära ut data eller, i värsta fall, påverka tillgången till tjänster som medborgare använder varje dag (NOS). Den amerikanska CLOUD Act fick en central plats i debatten.

CLOUD Act är en reell rättslig faktor, men den offentliga diskussionen riskerar att göra lagen större än den är. Amerikansk rätt kan tvinga en leverantör under amerikansk jurisdiktion att lämna ut data som bolaget har i sin "possession, custody, or control", även om uppgifterna lagras i Europa (Cornell LII). Det är en faktisk exponering. Lagen ger däremot inte Washington en fjärrkontroll för att bläddra i system eller stänga ned en tjänst på beställning.

Rädslan för en "kill switch" hör hemma i en annan kategori: beroenderisk. Det kan handla om avtalstvister, förlorad administrativ åtkomst, bristande insyn eller svårigheten att byta leverantör under en kris. Sådana risker är allvarliga, men de är inte samma sak som CLOUD Act. När de blandas ihop blir argumentet svagare, eftersom ett strukturellt problem börjar låta som en konspiration.

Den strukturella poängen räcker långt. När svaret blir att "datan stannar i Europa" besvaras bara en del av frågan. Dataplatsen är ett lager. Kontroll är ett djupare lager: vem kan administrera systemen, rulla ut uppdateringar och hålla tjänsten i drift om den kommersiella relationen spricker?

Tre länder, tre modeller

Frankrike har försökt göra digital suveränitet mätbar och upphandlingsbar. Molnleverantörer som vill hantera känsliga statliga uppdrag måste klara certifieringen SecNumCloud, där en central fråga är om utländsk lagstiftning enkelt kan nå tjänsten (Alliancy). Därmed blir ett politiskt slagord ett upphandlingskrav: antingen kvalificerar sig leverantören eller så får den inte lämna anbud.

Sverige har valt en annan väg. I stället för att pröva varje leverantör på samma sätt försöker staten behålla kontrollen över identitetens rot. Justitiedepartementet har föreslagit ett nytt statligt id-kort med biometriska uppgifter och inbyggd e-legitimation (Dagens.se). Sverige har också lett arbetet med certifieringssystemet för EU:s kommande digitala identitetsplånbok (Digg). Privata bolag kan sköta delar av rördragningen, men staten vill behålla huvudnyckeln.

Nederländerna framstår i Solvinity-fallet som mer reaktivt. Parlamentariska dokument visar att landet diskuterar suveräna molntjänster i bredare mening (1848.nl). Men den aktuella frågan gäller ett enskilt uppköp som stoppades efter en hemlig riskbedömning och nu försvaras i domstol.

Vad domstolen faktiskt ska avgöra

EU försöker inte bygga ett separat internet. Unionen bygger verktyg som gör det möjligt för regeringar att granska uppköp, kräva cybersäkerhet och minska inlåsningen hos molnleverantörer. Granskning av utländska direktinvesteringar ger medlemsländer möjlighet att pröva förvärv i känsliga sektorer (Paul Weiss). NIS2-direktivet skärper säkerhets- och leverantörskraven för aktörer inom kritisk infrastruktur (European Commission). Dataförordningen, Data Act, tar upp byte mellan molnleverantörer och skydd mot olagliga dataförfrågningar från tredjeland (EUR-Lex). Inget av dessa instrument löser frågan ensamt. Tillsammans flyttar de fokus från "var står servern?" till "vem kontrollerar beroendet?"

Målet i Rotterdam kommer att skärpa den frågan. Om regeringen vinner stärks principen att ägarförändringar i offentlig digital infrastruktur kan stoppas även när hela riskanalysen förblir hemlig. Om Solvinity vinner kan staten tvingas visa att mindre ingripande alternativ prövades: avtalskrav, avskiljning av känslig drift från den utländska ägaren eller obligatoriska exitplaner.

Domstolen ska i praktiken avgöra hur mycket bevisning en stat måste lägga fram när den stoppar ett uppköp för att skydda en tjänst som medborgarna inte realistiskt kan välja bort. För de miljoner människor som loggar in med DigiD utan att tänka på det är det den avgörande frågan.