Det virker å være forskjellige tanker om både hva en nasjonal skyløsning skal være, hvem som skal bruke den, og hvorfor. Som advokater skal vi ikke mene altfor mye om dette, men fra et juridisk synspunkt er det nok først og fremst sikkerhetslovgivningen og anskaffelsesreglene som vil være aktuelle problemstillinger for en nasjonal skyløsning.
Innen offentlig sektor, og for mange private leverandører av samfunnskritisk infrastruktur, vil anskaffelser av skyløsninger (utenfor de såkalte sikkerhetsanskaffelsene) svært ofte være underlagt anskaffelsesregelverket. Man kan da stille krav om at skyløsningen er basert i Norge, og konkrete krav til sikkerheten, men anskaffelsesregelverket gir ikke mulighet for å utforme konkurransen slik at det i realiteten bare er én bestemt skyløsning som kan tilbys, enten den er drevet av det offentlige eller private. Det synes derfor klart at en nasjonal skyløsning enten vil kunne skape friksjon mot anskaffelsesregelverket, eller at den vil måtte konkurrere mot kommersielle tilbydere.
Fra et sikkerhetsregulatorisk perspektiv kan vi fastslå at mange typer virksomheter vil ha behov for digitale løsninger med høyt sikkerhetsnivå lokalisert her i Norge. Kravene er ganske absolutte, og virksomheter som omfattes av regelverket må forholde seg til disse ved enhver bruk av skytjenester. Det kan også synes som at en del av kravene er utformet slik at bruk av skyløsninger i praksis fremstår som umulig, uansett.
Som advokater kan vi vanskelig ta stilling til hvilket alternativ som gir best sikkerhet, men det er legitimt å spørre om sikkerheten i en nasjonal skyløsning reelt sett vil være høyere enn i kommersielle løsninger. Å legge mange samfunnskritiske systemer i én nasjonal skyløsning fremstår samtidig som et paradoksalt tiltak dersom man ønsker å forhindre konsentrasjonsrisiko hos kommersielle tilbydere.
Det er ikke mange år siden vi hadde en lignende diskusjon i Norge, knyttet til Nødnettet. Også der gikk diskusjonen i stor grad på om man skulle benytte kommersielle nett eller bygge et eget nett. Valget falt på sistnevnte alternativ, og det har i etterkant vært en rekke utfordringer ved Nødnettet, både som prosjekt og som teknisk løsning. Trenden både nasjonalt og internasjonalt går nå i retning av at man benytter kommersielle nett og tjenester som basis også for nødnett. Analogien er selvsagt ikke perfekt, men man kan i hvert fall ha dette i bakhodet når man gjør ytterligere vurderinger av en nasjonal skyløsning.
Regjeringen går i sin nye stortingsmelding (Meld. St. 5 (2020 -2021) Samfunnssikkerhet i en usikker verden) inn for å opprette en offentlig drevet markedsplass for det som i utgangspunktet er kommersielle skytjenester, der tilbyderne i noen grad har gjennomgått en kvalifikasjonsprosess for å kunne levere tilbud på markedsplassen. Dessuten legges det opp til at det utarbeides standardkrav for ulike typetilfeller av bruk av skytjenester, og tilbys veiledning til blant annet gjennomføring av anskaffelsesprosesser, risikoanalyser og sikkerhetsvurderinger. Anskaffelsesrettslig vil nok dette være en langt mindre utfordrende enn en offentlig drevet skyløsning.
Det gjenstår selvsagt å se hvordan begge deler tenkes gjennomført, og forholdet mellom en markedsplass for skyløsninger og en nasjonal skyløsning er etter hva vi kan se ikke diskutert. Det kan godt hende det er både plass til å behov for begge, men etter vår erfaring og vurdering vil nok markedsplass-tilnærmingen være bedre for de fleste formål. Så får man eventuelt se om det er nødvendig med en offentlig drevet skyløsning for å ivareta krav til sikkerhet i særlige tilfeller.
Rapport om KI i staten: – Samordningen er mangelfull
