F-Secure-chefen varnar för USA-beroende

Föreställ dig en sjukhusadministratör som kommer till jobbet en måndagsmorgon. Byggnaden står kvar, nätverkskablarna är hela och servrarna i källaren går som vanligt. Men inloggningen fungerar inte. Inte på grund av en cyberattack eller ett strömavbrott, utan för att det amerikanska bolag som hanterar sjukhusets behörighetssystem har ändrat villkoren för åtkomst. Patientjournalerna finns några meter bort. Hon kommer inte åt dem.

Så ser digitalt beroende ut i praktiken. Det handlar inte i första hand om avklippta kablar eller brinnande datacenter. Det handlar om att någon annan kontrollerar dörrkoden. När F-Secures vd Timo Laaksonen den här månaden varnade för att Europa är djupt beroende av kritiska tjänster som styrs från USA beskrev han just denna tysta, strukturella sårbarhet (Yle).

Dörrkoden finns inte i Europa

Sårbarheten uppstår innan sjukhusadministratören ens ser sin inkorg.

Hon skriver in sina inloggningsuppgifter i ett behörighetssystem. Många europeiska organisationer använder amerikanska identitetstjänster, framför allt Microsofts Entra ID, för att kontrollera vilka anställda som ska få åtkomst. Om leverantören slutar fungera eller stänger tillgången blir alla system bakom samma inloggning otillgängliga samtidigt (Hypergate). En låst dörr räcker för att stänga många rum.

Därefter kommer kontrollpanelen för molninfrastrukturen: den plats där it-avdelningar skapar servrar, administrerar databaser och hanterar de digitala nycklar som skyddar känsliga uppgifter. Ett sjukhus patientjournaler kan rent fysiskt ligga på en server i Frankfurt. Men om kontrollpanelen, betalningskontot och krypteringsnycklarna hanteras av ett amerikanskt moderbolag betyder "lagrat i Europa" inte samma sak som "kontrollerat av Europa" (JRC).

Samma mönster återkommer i e-post, dokumentlagring, programuppdateringar och DNS, internets adressbok som talar om för webbläsare var webbplatser finns. Tysk forskning visar att omkring 96 procent av tyska företag är beroende av importerad digital teknik, medan amerikanska molnleverantörer har över 70 procent av den europeiska marknaden (egovernment.de).

När låset faktiskt vreds om

Tre aktuella fall visar att detta inte är ett teoretiskt problem.

AI-bolaget Anthropic stängde av tillgången till sina senaste modeller för vissa användare för att följa amerikanska exportkontroller. Ingen server drogs ur väggen. En juridisk order gjorde att en digital kapacitet försvann från vissa skärmar (AP, Reuters).

I Nederländerna stoppade en domstol det amerikanska bolaget Kyndryls köp av Solvinity, företaget som driftar DigiD, det digitala id-system som nederländska medborgare använder för skatt och vård. Skälet var att amerikansk lagstiftning, bland annat CLOUD Act och FISA, kan tvinga amerikanskägda bolag att lämna ut data oavsett var uppgifterna lagras. Ett nationellt identitetssystem bedömdes inte kunna ligga under den juridiska risken (Ius Mentis).

I Frankrike slog en utredning i nationalförsamlingen fast att omkring 80 procent av den offentliga sektorns mjukvaruinköp går via amerikanska aktörer, till ett värde av cirka 1,5 miljarder euro per år. Departement, energibolag och transportnät är därmed beroende av leverantörer som i teorin kan begränsa åtkomst under politiskt eller juridiskt tryck (Banque des Territoires, Clubic).

Reservvägar, inte fantasier

Europa kan inte återskapa hela den amerikanska teknikstacken från grunden. Skalfördelarna gör det orealistiskt på kort sikt. Däremot går det att minska hur mycket som slutar fungera när ett åtkomstlager försvinner.

Frankrike kräver numera att molntjänster som certifieras för känslig offentlig användning inte ska kunna tvingas av utländsk lag att lämna ifrån sig kontrollen (CER). Tyskland bygger openDesk, en kontorssvit baserad på öppen källkod. EU-kommissionens Tech Sovereignty Package behandlar frågan samlat: halvledare, AI, molntjänster och öppen källkod (European Commission).

Den finländske cybersäkerhetsforskaren Mikko Hyppönen pekar på en ofta förbisedd del av problemet: även skyddsverktyg kan bli beroenden. En brandvägg som står i Helsingfors men får hotdata, virussignaturer och programuppdateringar från utlandet är fortfarande beroende av obruten åtkomst till en utländsk tjänst. Om flödet bryts blir väggen blind (YouTube / Hyppönen).

Det praktiska testet för ett europeiskt sjukhus, en kommun eller ett departement är enkelt: om ett leverantörskonto, en identitetstjänst eller ett uppdateringsflöde försvinner i morgon bitti, kan personalen fortfarande logga in, hämta journaler och kommunicera? De institutioner som kan svara ja har faktisk handlingsfrihet. De som inte kan det hyr i praktiken sin digitala infrastruktur utan att ha kontrollerat vem som håller i nyckeln.