Digital suverænitet: du kan ikke forhandle om noget, du ikke kender

Digital suverænitet er blevet et af de ord, der fylder i erhvervsmedierne lige nu. Det handler typisk om ministerier, der ligger på amerikanske cloud-platforme, eller om koncerner, der overvejer at flytte deres drift hjem til Europa. Diskussionen er relevant, men den lyder ikke som noget, der vedrører en virksomhed med 20 ansatte og en travl ejerleder.

Det gør den alligevel. Bare af andre grunde.

Hvad ordet faktisk dækker over

Digital suverænitet er evnen til selv at bestemme over virksomhedens digitale grundlag. Hvilke systemer du bruger. Hvor dine data ligger. Hvem der kan tilgå dem. Og om du reelt kan skifte leverandør, hvis du får brug for det.

Formuleret på ejerledersprog: den, der kender sine systemer, kan flytte, forhandle og prioritere. Den, der ikke gør, er på leverandørens betingelser.

Det er værd at holde fast i, at det sjældent er geopolitik, der gør ondt i en SMV. Det er tre hverdagssituationer, der følger af det samme problem. Leverandøren varsler en prisstigning på 40 %, og du kan ikke vurdere, om alternativet er realistisk. Et system lukker eller bliver opkøbt med tre måneders varsel, og ingen ved, hvor jeres data ligger. Eller en medarbejder stopper, og det viser sig, at kontoen til et driftskritisk system stod i vedkommendes navn.

Ingen af de tre situationer er et juridisk problem. De er et oplysningsproblem.

Hvorfor afhængigheden aldrig blev besluttet

Det interessante ved digital afhængighed i ejerledede virksomheder er, at den næsten aldrig er valgt. Den er vokset frem.

Et regnskabsprogram blev valgt af revisoren for otte år siden. Et projektværktøj blev oprettet af en projektleder, fordi det var praktisk og kostede 70 kr. om måneden. Fildelingen kom med, da I skiftede til en ny mailleverandør. En AI-assistent blev taget i brug i foråret, uden at nogen besluttede noget. Hvert enkelt valg var fornuftigt, da det blev truffet. Der er bare aldrig taget en samlet beslutning, og derfor findes der heller ikke et samlet billede.

Det er ikke sjusk. Det er den normale måde, digitale systemer breder sig på i en virksomhed, der har travlt med at drive forretning. Men det betyder, at kortlægningen skal ske bagudrettet, og at den skal begynde i bogholderiet lige så meget som i it.

De fire lag, du skal kunne svare på

Når du skal danne dig et billede, er der fire lag at gennemgå. De hænger sammen, men de findes sjældent i det samme dokument.

**Hosting og infrastruktur.** Hvor kører hjemmesiden, mailen og de systemer, driften afhænger af? Hos hvem, i hvilken region, og på hvilken aftale? For mange virksomheder er svaret et gammelt webbureau, ingen har talt med i to år.

**Abonnementer og tjenester.** Regnskab, CRM, fildeling, projektstyring, design, nyhedsbreve, AI-værktøjer. Det er her, Shadow IT gemmer sig, og det er her, listen næsten altid bliver længere end forventet.

**Identitet og adgang.** Hvad logger dine medarbejdere ind med? Er systemerne koblet på et fælles login, eller har hvert system sit eget brugernavn og kodeord? Forskellen afgør, hvor hurtigt du kan lukke ned for en medarbejder, der stopper.

**Leverandørerne bag leverandørerne.** De fleste tjenester bruger selv andre tjenester til hosting, support og databehandling. De kaldes underdatabehandlere, og listen ligger som regel offentligt på leverandørens hjemmeside. Det er samtidig det lag, ingen kigger på.

Tre ting, der typisk overrasker

Når man går det igennem første gang, dukker de samme tre ting op.

Den ene er, at underdatabehandlerlisten er længere og mere geografisk spredt, end aftalen umiddelbart antyder. Du har måske valgt en dansk eller europæisk leverandør, men den leverandør bruger selv en amerikansk platform til drift eller support.

Den anden er supportadgang. Mange standardaftaler giver leverandøren ret til at tilgå dine data i forbindelse med fejlsøgning. Det er ofte helt sagligt begrundet, men det er stadig en adgang, du bør kende og have skrevet ned, ikke mindst hvis du behandler personoplysninger eller kundedata af betydning.

Den tredje er den mest oversete: den, der står på fakturaen, er ikke nødvendigvis den, der behandler dine data. Betalingsmodtageren kan være et europæisk salgsselskab, mens driften og databehandlingen ligger et helt andet sted. Du kan derfor ikke aflæse jurisdiktionen af dit kontoudtog. Du skal læse databehandleraftalen.

Tre spørgsmål pr. system

Du behøver ikke et projekt for at komme videre. Du behøver tre spørgsmål, du stiller til hvert system på listen.

Hvem ejer og driver tjenesten, altså hvilket selskab står bag den, og hvor er det registreret? Hvilke underdatabehandlere er involveret? Og hvem har adgang til vores data ud over os selv?

De tre svar er tilsammen det, der gør en liste over abonnementer til et beslutningsgrundlag. Uden dem har du en udgiftsoversigt. Med dem har du et billede af din faktiske afhængighed.

Sådan kommer du i gang i denne uge

Tre skridt kan du tage uden hjælp udefra, og de tager tilsammen nogle timer.

Begynd i regnskabet. Gennemgå fakturaer og kortudtog 12 måneder tilbage, og notér hvert tilbagevendende træk. Det fanger de abonnementer, ingen husker, herunder dem, der ligger på en medarbejders private kort. Tag dernæst jeres fælles login og se, hvilke systemer der reelt er koblet på det, og hvilke der lever deres eget liv ved siden af. Find til sidst kontraktudløb og opsigelsesvarsler for de fem vigtigste systemer. Det er dem, der afgør, hvor hurtigt du kan handle, hvis noget ændrer sig.

Så har du grundlaget. Ikke en strategi, men noget bedre: et faktisk billede af, hvad virksomheden hænger på.

Digital suverænitet og Ejerblik

Ejerblik er bygget til præcis det arbejde. Du registrerer hvert system som et aktiv med leverandør, ejer, ansvarlig, fornyelsesdato og adgangsforhold, og du får et samlet billede frem for spredte oplysninger i mails, regneark og hukommelse. Kontoscanneren tager første skridt for dig ved at læse abonnementerne ud af jeres kontoudtog, så listen ikke skal skrives fra hukommelsen.

Ejerblik træffer ikke leverandørvalget for dig og flytter ikke jeres data. Det er en it-rådgivers arbejde. Ejerblik leverer fortegnelsen og dokumentationen, som gør, at samtalen med rådgiveren, køberen eller forsikringsselskabet kan begynde et fornuftigt sted.

Digital suverænitet lyder stort. I praksis begynder det med en liste, du kan stå inde for.

Kortlæg dine digitale aktiver og find hullerne, inden andre gør det.