AWS åpnet i januar sin egen europeiske sky-partisjon, fysisk og juridisk atskilt fra resten av Amazons globale infrastruktur. Seks måneder senere er bildet klart: hyperskalerne kappes om å bevise at europeiske data kan holdes unna amerikansk innsyn, mens analytikere fortsatt stiller det ubehagelige spørsmålet ingen leverandør helt kan svare på. Kan et amerikansk selskap noensinne garantere at amerikanske myndigheter aldri får tilgang, uansett hvor serverne står?
For norske virksomheter, som opererer i EØS men utenfor EU, er svaret ikke bare akademisk. Det avgjør hvilken sky offentlig sektor, bank og helse kan bruke de neste ti årene.
Hva er AWS European Sovereign Cloud
AWS European Sovereign Cloud (ESC) ble formelt åpnet 15. januar 2026, med første region i den tyske delstaten Brandenburg. I motsetning til vanlige AWS-regioner er ESC bygget som en egen partisjon i kontoarkitekturen, med intern betegnelse aws-eusc og regionnavn eusc-de-east-1. Ved lansering var rundt 90 AWS-tjenester tilgjengelige, blant dem EC2, Lambda, S3, Aurora, DynamoDB, EKS, ECS, KMS, GuardDuty, SageMaker og Bedrock.
AWS selv beskriver løsningen slik: “The AWS European Sovereign Cloud is an independent cloud for Europe entirely located within the European Union (EU), designed to help you meet your most stringent sovereignty requirements” (AWS, offisiell produktside). Selskapet lover også at all kundedata og tilhørende metadata, som roller, tillatelser og ressursmerker, blir værende i EU: “The AWS European Sovereign Cloud will allow customers to keep all customer data and the metadata they create (such as the roles, permissions, resource labels, and configurations they use to run AWS) in the EU” (AWS-blogg).
Investeringen som følger med er ikke liten. AWS har lovet 7,8 milliarder euro til infrastruktur, arbeidsplasser og kompetanseheving knyttet til ESC, med Brandenburg som første region og planer om å utvide til Belgia, Nederland og Portugal. Selskapet driver regionen gjennom et tysk GmbH-selskap med EU-baserte ansatte, en struktur som skal gi kundene en juridisk enhet å forholde seg til innenfor EUs grenser.
Bakgrunnen: hvorfor sky-suverenitet plutselig ble kritisk
Debatten om hvor europeiske data lagres, og hvem som kan få tilgang til dem, har pågått siden Schrems II-dommen i 2020 slo fast at overføring av persondata til USA ikke automatisk var trygt under GDPR. Det som har endret seg er tempoet. EUs Data Act, som regulerer ikke-personlige data, har vært i kraft siden september 2025 og krever at skyleverandører støtter bytte av leverandør samt blokkerer ulovlig tilgang fra myndigheter i tredjeland til data lagret i EU.
Samtidig har den amerikanske CLOUD Act-loven fortsatt å skape uro. Loven pålegger amerikanske selskaper å utlevere data på pålegg fra amerikanske myndigheter, uavhengig av hvor dataene fysisk befinner seg. Så lenge AWS, Microsoft og Google har amerikanske morselskaper, mener flere jurister at denne plikten ikke forsvinner bare fordi en regional partisjon er bygget i Tyskland eller Frankrike.
Denne spenningen er selve drivkraften bak alle de tre store skyleverandørenes nye suverenitetsprodukter i 2025 og 2026. Ingen av dem løser konflikten fullt ut. Alle prøver likevel å redusere risikoen så mye som mulig, både for å berolige regulatorer og for å beholde markedsandeler i en region der etterspørselen etter lokal kontroll vokser raskt.
Microsofts svar: EU Data Boundary og Norge som EFTA-land
Microsoft var tidligere ute enn AWS. Selskapet fullførte sin EU Data Boundary for Microsoft Cloud allerede 26. februar 2025. Fra den datoen kan europeiske kunder i offentlig og privat sektor lagre og behandle kundedata og pseudonymisert persondata for Microsoft 365, Dynamics 365, Power Platform og de fleste Azure-tjenester innenfor EU og EFTA-området.
Det siste er det som gjør Microsofts modell spesielt relevant for norske lesere. EFTA-landene, altså Norge, Sveits, Island og Liechtenstein, er inkludert i grensen for hvor data kan lagres og behandles. GitHub, som eies av Microsoft, kunngjorde 31. mars 2026 at deres EU-region for dataresidens utvides til å inkludere nettopp Norge og Sveits, i tillegg til Frankrike, Sverige, Tyskland og Nederland. Microsoft understreker dette i egen dokumentasjon: “Azure addresses this need by offering the EU Data Boundary to help ensure data for in-scope services stays within the EU jurisdiction” (Microsoft Learn).
I november 2025 utvidet Microsoft løftet til å gjelde AI-databehandling, slik at data som behandles av AI-tjenester for europeiske kunder også blir værende innenfor grensen. Selskapet har også lagt til tekniske kontroller for åpenhet, blant annet et krav om at all fjerntilgang fra Microsoft-ingeniører logges sporbart: “All remote access by Microsoft engineers will be recorded in a tamper-evident log” (Azure-blogg).
Microsoft har i tillegg bygget ut en lagdelt modell med tre nivåer: sovereign public, sovereign private og nasjonale partnerskyer, samt produkter som Azure Local og Microsoft 365 Local for kunder som trenger enda mer kontroll enn standard sky gir.
Google Cloud: partnerskap fremfor egen infrastruktur
Google har valgt en tredje vei. I stedet for å bygge en helt separat sky-partisjon, som AWS, eller en grense rundt eksisterende infrastruktur, som Microsoft, satser Google på partnerskap med lokale, europeisk-eide selskaper. I Frankrike driftes Googles suverene sky av S3NS, en frittstående fransk enhet etablert sammen med forsvarskonsernet Thales, bygget for å møte de strenge SecNumCloud-standardene. Løsningen tilbyr blant annet GPU-støtte for AI-arbeidslaster og finnes i to varianter: en tilkoblet versjon med lav ventetid og lokal dataresidens, og en luftgapet versjon som er helt isolert fra det offentlige internett.
Per mai 2026 tilbyr Google “Sovereign Controls by Partners” i sju europeiske regioner: Belgia (europe-west1) via S3NS, Tyskland (europe-west3) via T-Systems, Nederland (europe-west4) via S3NS, Milano (europe-west8) og Torino (europe-west12) via PSN, Paris (europe-west9) via S3NS, samt Madrid (europe-southwest1) via SIA/Minsait. Google selv formulerer løftet enkelt: “Customize your data residency and access controls within the public cloud environment” (Google Cloud).
Ingen av de sju regionene ligger i Norden, men Google fremhever at europeiske datasentre driftes under styrer som opererer under lokal lovgivning, og at tjenestene følger NIS2 og DORA, EUs regelverk for digital operasjonell motstandskraft.
Sammenligning av de tre suverenitetsmodellene
De tre store leverandørene har valgt fundamentalt ulike arkitekturer for å svare på samme regulatoriske press. Tabellen under oppsummerer de viktigste forskjellene per august 2026.
| Leverandør | Modell | Første/nøkkelregion | Lanseringsdato | Dekker Norge (EFTA) |
|---|---|---|---|---|
| AWS | Egen partisjon (aws-eusc), tysk driftsselskap | Brandenburg, Tyskland | 15. januar 2026 | Ikke eksplisitt nevnt i ESC-materiale |
| Microsoft Azure | Databoundary rundt eksisterende regioner | EU + EFTA-regioner, inkl. Norge | 26. februar 2025 (fullført) | Ja, eksplisitt inkludert |
| Google Cloud | Partnerdrevne suverene kontroller | 7 regioner, bl.a. Belgia, Tyskland, Frankrike | Løpende utvidelse 2025-2026 | Ikke blant de sju listede regionene |
Det som skiller seg mest ut, er at Microsoft er den eneste av de tre som eksplisitt nevner Norge og de andre EFTA-landene som del av sitt suverenitetsløfte. Det gir Azure et fortrinn i norske anbud der dataresidens er et hardt krav, i alle fall inntil AWS eller Google utvider sine egne løfter til å dekke EØS-området spesifikt.
Markedet vokser raskere enn noen forventet
Tallene bak denne bevegelsen er blant de mest oppsiktsvekkende i hele skybransjen akkurat nå. Gartner anslår at europeisk forbruk på suveren IaaS (infrastruktur som tjeneste) vokser fra 6,9 milliarder dollar i 2025 til 12,6 milliarder dollar i 2026, en økning på 83 prosent på ett år. Innen 2027 ventes tallet å nå 23,1 milliarder dollar, et nivå der Europa for første gang forventes å gå forbi Nord-Amerika i suverent sky-forbruk.
Global suveren sky-bruk samlet, altså ikke bare Europa, ventes å nå 80 milliarder dollar i 2026, opp 35,6 prosent fra året før. Et eget markedsrapport-anslag for europeisk suveren skyinfrastruktur setter markedsverdien til 12,6 milliarder dollar i 2025, med en forventet vekst til 111,8 milliarder dollar innen 2034, tilsvarende en årlig vekstrate på 31,4 prosent. Konsulentselskapet Broadcom har publisert et enda mer optimistisk anslag: fra drøyt 20 milliarder euro i årlig omsetning i dag til over 100 milliarder euro innen 2031.
| Kilde | Marked | 2025/i dag | Fremtidig anslag | Vekstrate |
|---|---|---|---|---|
| Gartner | Europeisk suveren IaaS | 6,9 mrd. dollar (2025) | 23,1 mrd. dollar (2027) | 83% vekst 2025-2026 |
| Bransjeanslag | Global suveren sky | ca. 59 mrd. dollar (2025) | 80 mrd. dollar (2026) | 35,6% på ett år |
| Markedsrapport | Europeisk suveren infrastruktur | 12,6 mrd. dollar (2025) | 111,8 mrd. dollar (2034) | 31,4% CAGR |
| Broadcom | Europeisk suveren sky, samlet | drøyt 20 mrd. euro | over 100 mrd. euro (2031) | Ikke oppgitt CAGR |
Uansett hvilket anslag man legger til grunn, peker alle i samme retning: europeiske kunder er villige til å betale en premie for å vite nøyaktig hvor dataene deres befinner seg og hvem som i teorien kan få tilgang til dem.
Hva betyr dette for Norge og Norden
Norge står i en litt spesiell posisjon. Som EØS-land er norske virksomheter underlagt GDPR, men landet er ikke EU-medlem, noe som gjør det viktig å følge nøye med på hvordan de ulike suverenitetsproduktene definerer sitt geografiske dekningsområde. Microsofts EU Data Boundary, som eksplisitt inkluderer EFTA, gir norske offentlige etater og bedrifter et konkret alternativ der data kan holdes innenfor Norge selv, i tillegg til andre EFTA- og EU-land.
AWS European Sovereign Cloud har foreløpig ikke navngitt Norge spesifikt i sitt materiale, og med kun én operativ region i Brandenburg pluss planlagt utvidelse til Belgia, Nederland og Portugal, er det ingen indikasjon på en norsk ESC-region med det første. Google, som mangler nordiske regioner i sin liste over partnerdrevne suverene kontroller, er i samme situasjon.
Dette betyr i praksis at norske virksomheter som krever streng dataresidens innenfor landegrensen, i dag har færre alternativer enn kunder i for eksempel Tyskland eller Frankrike. Samtidig er den regulatoriske retningen tydelig nok til at flere leverandører trolig vil utvide sitt EØS-dekningsområde i løpet av det neste året, drevet av samme etterspørsel som får Gartner-tallene til å vokse med over 80 prosent årlig.
Kritikken: løser ikke AWS egentlig CLOUD Act-problemet
Ikke alle er overbevist om at de nye suverenitetsproduktene faktisk løser det juridiske problemet de er designet for å adressere. En kritisk analyse publisert i slutten av januar 2026 hevder at AWS’ påstand om suverenitet gjennom operasjonell atskillelse er mangelfull, fordi eierskap, ikke drift, avgjør jurisdiksjon. Så lenge Amazon.com Inc. forblir det ultimate morselskapet, mener kritikerne at CLOUD Act fortsatt gjelder, uavhengig av hvor serverne fysisk står eller hvilket tysk datterselskap som formelt drifter dem.
En analyse fra august 2026 går enda lengre og konkluderer med at en egen tysk region “fortsatt ikke lukker CLOUD Act-gapet”, selv med et tysk GmbH-selskap, EU-baserte ansatte og en investering på 7,8 milliarder euro. Vurderingen er at materielle avhengigheter til USA fortsatt består, ganske enkelt fordi det ultimate morselskapet er en amerikansk aktør.
Det mest konkrete usikkerhetsmomentet er juridisk: per mai 2026 har ingen amerikansk domstol avgjort om en CLOUD Act-stevning rettet mot Amazon.com Inc. faktisk kan tvinge frem tilgang til data lagret i AWS European Sovereign Cloud. Inntil et slikt presedens finnes, forblir dette et åpent spørsmål som ingen av leverandørene kan gi et endelig svar på, uansett hvor mange tekniske og organisatoriske tiltak de legger til.
EUs nye lovforslag kan endre spillereglene helt
Mens leverandørene bygger tekniske løsninger, jobber EU-kommisjonen parallelt med regelverk som kan gjøre debatten om “god nok” suverenitet langt mer konkret. Cloud and AI Development Act (CADA) ble lagt frem 3. juni 2026 og introduserer et rammeverk med fire suverenitetsnivåer, fra enkel EU-dataplassering til full kontroll over hele leverandørkjeden uten innblanding fra tredjeland.
De to høyeste nivåene i CADA vil trolig utestenge amerikanske hyperskalere fra de mest sensitive offentlige arbeidslastene i EU, nettopp fordi amerikansk lov krever at selskapene etterkommer amerikanske datapålegg uavhengig av hvor dataene ligger. Bransjeorganisasjonen CCIA har kalt rammeverket “a dangerous recipe for progressive market shutdown” og hevder de strenge kravene innfører lukkede markedskrav som internasjonale leverandører ikke kan oppfylle.
Om CADA vedtas i sin nåværende form, vil det trolig tvinge AWS, Microsoft og Google til enda mer omfattende omstrukturering enn det vi har sett så langt, eller alternativt akseptere at de mister tilgang til de mest lukrative offentlige kontraktene i Europa. Les mer om det regulatoriske bakteppet hos EU-kommisjonens digitale strategi og i DORA-forordningen på EUR-Lex.
Historisk kontekst: fra Schrems II til dagens sky-kappløp
Det er lett å glemme hvor raskt dette har utviklet seg. Schrems II-dommen i juli 2020 slo hull i Privacy Shield-avtalen mellom EU og USA og skapte flere år med juridisk usikkerhet om lovligheten av dataoverføringer. Frem til 2023 og 2024 handlet svarene fra skyleverandørene stort sett om kontraktsklausuler og krypteringsløfter, ikke om fysisk atskilt infrastruktur.
Skiftet kom for alvor i 2025, da EUs Data Act trådte i kraft i september og tvang leverandørene til å tilby reell portabilitet og beskyttelse mot ulovlig tredjelandstilgang. Microsofts fullførte EU Data Boundary i februar samme år var det første konkrete beviset på at “suverenitet” hadde gått fra markedsføringsord til et produkt kunder faktisk kunne kjøpe. AWS fulgte etter elleve måneder senere med en langt mer radikal løsning: en helt separat sky-partisjon. Google har i mellomtiden bygget videre på sin partnermodell, som opprinnelig startet i Frankrike gjennom samarbeidet med Thales.
Det som startet som en reaksjon på én rettsavgjørelse, har på seks år blitt et eget forretningssegment verdt titalls milliarder dollar, med egne produktnavn, egne regnskapslinjer og egne salgsteam hos alle de tre store leverandørene. Se AWS’ egen kunngjøring av lanseringen på AWS-bloggen og en gjennomgang fra Amazons europeiske pressesider.
Markedskonsekvenser for norske skykunder og leverandører
For norske IT-avdelinger betyr dette flere praktiske ting. For det første blir dataresidens og suverenitet et eget punkt i alle fremtidige anbud, uavhengig av bransje, fordi Gartners tall viser at kundene faktisk er villige til å betale for det. For det andre vil valget av skyleverandør i økende grad avhenge av hvilken juridisk struktur som passer best med organisasjonens risikoprofil, ikke bare pris eller funksjonalitet.
Norske skyintegratorer og konsulentselskaper, deriblant partnere til Microsoft, Google og AWS, vil trolig se økt etterspørsel etter rådgivning om nettopp dette temaet fremover. Samtidig kan det oppstå et press på norske myndigheter om å tydeliggjøre hvordan norsk lovgivning forholder seg til de nye EU-rammeverkene, gitt at Norge følger GDPR gjennom EØS-avtalen, men ikke er direkte part i alle nye EU-forordninger som CADA.
Fem prediksjoner for resten av 2026 og 2027
- AWS vil utvide ESC til minst én ny region innen utgangen av 2026, mest sannsynlig Belgia eller Nederland, i tråd med tidligere annonserte planer.
- Microsoft vil forsterke sitt EFTA-budskap og markedsføre norsk dataresidens mer aktivt mot offentlig sektor, gitt at selskapet allerede har det klareste løftet til Norge blant de tre store.
- CADA vil møte hard motstand fra amerikanske hyperskalere og trolig bli justert eller forsinket før endelig vedtak, gitt CCIAs sterke reaksjon i juni 2026.
- Ingen amerikansk domstol vil avgjøre CLOUD Act-spørsmålet i 2026, noe som betyr at usikkerheten rundt ESCs reelle juridiske uavhengighet vil forbli et åpent tema inn i 2027.
- Gartners vekstprognose på 23,1 milliarder dollar for 2027 vil trolig holde eller overgås, gitt at 83 prosent vekst allerede er observert fra 2025 til 2026 og at CADA-debatten øker presset ytterligere.
Ofte stilte spørsmål
Hva er forskjellen på AWS European Sovereign Cloud og en vanlig AWS-region i Europa?
ESC er en egen partisjon, adskilt fra AWS’ globale kontostruktur, med eget driftsselskap i Tyskland og egne ansatte i EU. En vanlig AWS-region i Europa, som Frankfurt eller Stockholm, er fortsatt del av samme globale AWS-konto og -struktur som resten av verden.
Dekker AWS European Sovereign Cloud Norge?
Foreløpig har AWS ikke navngitt Norge spesifikt i sitt ESC-materiale. Den eneste operative regionen er i Brandenburg, Tyskland, med planlagt utvidelse til Belgia, Nederland og Portugal.
Løser suveren sky problemet med amerikansk CLOUD Act?
Ikke fullt ut, ifølge flere analytikere. Så lenge morselskapet er amerikansk, mener kritikere at CLOUD Act i teorien fortsatt gjelder. Ingen amerikansk domstol har avgjort spørsmålet konkret for AWS European Sovereign Cloud per august 2026.
Hvorfor er Microsofts EU Data Boundary relevant for norske virksomheter?
Fordi Microsoft eksplisitt inkluderer EFTA-landene, deriblant Norge, i sin databoundary. Det gir norske kunder et konkret løfte om at data kan holdes innenfor EU/EFTA-området, inkludert i norske Azure-regioner.
Hva er CADA og hvordan påvirker det skyvalg i Norge?
Cloud and AI Development Act er et EU-lovforslag fra 3. juni 2026 som innfører fire suverenitetsnivåer for offentlige anskaffelser. De strengeste nivåene kan i praksis utelukke amerikanske skyleverandører fra de mest sensitive offentlige kontraktene, noe som også vil påvirke norske virksomheter som samhandler med EU-institusjoner eller opererer under tilsvarende krav.
Hvor mye vokser markedet for suveren sky i Europa?
Gartner anslår at europeisk suveren IaaS-bruk vokser fra 6,9 milliarder dollar i 2025 til 12,6 milliarder dollar i 2026, en økning på 83 prosent, med videre vekst til 23,1 milliarder dollar i 2027.
Tilbyr Google Cloud suveren sky i Norden?
Ikke per august 2026. Googles sju regioner med “Sovereign Controls by Partners” ligger i Belgia, Tyskland, Nederland, Italia, Frankrike og Spania, ingen i Norden.
Koster suveren sky mer enn vanlig sky?
AWS har ikke publisert eksplisitte prislister eller prisforskjeller for ESC sammenlignet med standard AWS-regioner. Analytikere omtaler suveren sky som et premiumsegment, men konkrete prismultiplikatorer er ikke offentliggjort av noen av de tre store leverandørene.
