EU's regler for open source i offentlige indkøb - og kravene ved udskiftning af legacy-systemer

Hvor omfattende er reglerne?

EU's indsats blev markant skærpet den 3. juni 2026, hvor Kommissionen præsenterede Tech Sovereignty-pakken med en ny EU Open Source Strategy (COM(2026) 503) og et forslag til Cloud and AI Development Act (CADA). Baggrunden er, at EU bruger anslået €264 mia. årligt på IT... overvejende hos ikke-europæiske leverandører (Bird & Bird, AFP).

De vigtigste elementer:

1. "Open source first" som princip... men blødgjort - Open Source-strategiens mål 3 gør open source til en forankret del af offentlig forvaltning: indkøbsvejledning, åbne standarder, fair vurdering af open source-bud og "sovereignty-by-design" i digitale investeringsbeslutninger (EU Digital Strategy, Europa-Kommissionen). - CADAs artikel 41 indfører en "open source first"-pligt for offentlige myndigheder ved indkøb af cloud- og AI-software... første gang princippet står i den operative tekst i en EU-forordning (Knowledge Centre Data & Society, SUSE). - Vigtigt forbehold: I den endelige tekst blev forpligtelsen blødgjort fra et krav til, at medlemsstaterne skal "encourage" open source, og "public money, public code" (artikel 42) blev gjort betinget... så det er reelt et stærkt opfordringsprincip, ikke et absolut krav (Yeandel-analyse). Bemyndigede myndigheder skal altså begrunde, hvorfor de ikke vælger open source, når et velegnet alternativ findes (Qsentinel).

2. Støttende instrumenter - €2 mia. over syv år, Open Source Maintenance Instrument, Open Internet Stack, Digital Commons EDIC og et EU Open Source Solutions Catalogue (artikel 43 i CADA) med genbrugspligt for offentligt udviklet software (Knowledge Centre Data & Society, Interoperable Europe).

3. Fremtidig udbudsreform - Kommissionen har desuden foreslået en generel reform af udbudsreglerne (fra 900 til 200 siders regler), hvor myndigheder kan vægte leveringssikkerhed, bæredygtighed og "europeisk præference" frem for kun pris (AFP).

Krav ved udskiftning af gamle systemer

Når legacy-systemer skal udskiftes, sættes der disse suverænitetskrav:

• Suverænitetsniveauer for cloud/AI: CADA definerer fire assurance-niveauer, som offentlige myndigheder skal anvende ud fra en risikovurdering... fra data behandlet i EU, over uafhængighed af tredjelande og gennemsigtig softwareforsyningskæde, til fuldt EU-ejet og -kontrolleret (EU Digital Strategy). Baggrunden er bl.a. den amerikanske CLOUD Act, der giver USA adgang til data hos amerikanske leverandører uanset opbevaringssted (AFP).
• Fælles indkøbsramme: CADA etablerer en fælles EU-indkøbsramme, så offentlige myndigheder kan trække på samlet købekraft og træffe informerede beslutninger (Europa-Parlamentet OEIL, EU Digital Strategy).
• Open standards og genbrug frem for lock-in: Strategien fremmer åbne standarder og genbrug af software udviklet eller indkøbt af offentlige myndigheder... så man undgår vendor lock-in (Europa-Kommissionen, Interoperable Europe).
• Funktionelle kravspecifikationer: Under udbudsdirektivet 2014/24/EU skal krav defineres funktionelt... ikke med reference til specifikke proprietære produkter... hvilket historisk har disadvantaget open source-bud (Qsentinel). Kommissionen går selv foran med sit Sovereign Cloud-udbud, hvor suverænitet var hovedkriteriet (Europa-Kommissionen).
• Sikkerhed og forsyningskæde: NIS2 artikel 21 og Cyber Resilience Acts SBOM-krav (komponentlister, sårbarhedshåndtering, licensoverholdelse) gøres til evalueringkriterier i udbud (Qsentinel).

Kort sagt: Open source er ikke et absolut lovkrav endnu... CADA er fortsat et kommissorforslag, og "open source first" blev blødgjort i den endelige tekst... men retningen er tydelig: offentlige myndigheder, herunder danske statslige organisationer, skal fremadrettet kunne begrunde valg af proprietære løsninger og risikovurdere suverænitetsniveau ved udskiftning af ældre systemer.

Supplerende primærkilder: - Kommissionens meddelelse: EUR-Lex COM(2026) 503 - CADA-forslaget: EUR-Lex COM(2026) 502 - JRC-rapport om digital suverænitet i offentlige forvaltninger: publications.jrc.ec.europa.eu

Bemærk: De to AFP-citater er nyhedsartikler uden almindelig web-URL så der henvises til Kommissionens pressemeddelelse, som dækker samme indhold.

Airbus flytter sine mest kritiske og følsomme systemer, herunder ERP, produktion, CRM og produktlivscyklus-software, væk fra Amazons AWS til den franske cloud-udbyder Scaleway.

Formålet er at beskytte data mod den amerikanske CLOUD Act, der giver amerikanske myndigheder adgang til data, selvom det opbevares på servere uden for USA. Flytningen omfatter indledningsvis 70 af Airbuss mest vitale applikationer, med planer om at udvide til 900 applikationer for at sikre "digital suverænitet" og holde data under europæisk kontrol.

Beslutningen understreger Europas voksende ønske om at reducere afhængigheden af amerikansk teknologi, især i lyset af skærpede spændinger mellem USA og Europa under Trump-administrationen. Airbus fastholder dog, at de ikke fuldstændig forlader amerikanske løsninger, men balancerer valgene ud fra datakritikalitet. Aftalen med Scaleway, der løber over op til 10 år og er værd over 50 millioner euro, markerer en vigtig milepæl for Europas ambitioner om suveræn cloud-infrastruktur.

https://thenextweb.com/news/airbus-scaleway-aws-sovereign-cloud

Analyse af og resume af flg. fire links om EU’s "Chat Control"-forslag

https://www.ecpmf.eu/press-freedom-at-risk-the-democratic-cost-of-the-eus-chat-control-proposal/

https://www.dw.com/en/eu-plan-to-combat-online-child-abuse-sparks-privacy-concern/a-70387427

https://www.patrick-breyer.de/en/members-of-the-european-parliament-warn-against-commissions-chat-control-mass-surveillance-plans/

https://www.patrick-breyer.de/en/eu-parliament-greenlights-chat-control-1-0-breyer-our-children-lose-out/

Paralleller (fælles temaer og argumenter)

1. Kritik af masseovervågning

Alle fire kilder kritiserer Chat Control for at indføre suspitionsløs masseovervågning af private kommunikationer (e-mails, chats, meddelelser), hvilket:

• Krænker grundlæggende rettigheder (privatsfære, kommunikationshemmelighed, Art. 7 og 8 i EU’s Charter om Grundlæggende Rettigheder).
• Underminerer ende-til-ende-kryptering (E2EE), hvilket svækker IT-sikkerhed for alle brugere, herunder journalister, aktivister og virksomheder.
• Skaber præcedens for yderligere overvågning ("mission creep"), f.eks. til politisk overvågning eller censur.

2. Manglende effektivitet

• Falske positiver: Systemer som client-side scanning genererer mange falske alarmer (f.eks. 48% af anmeldelser i Tyskland er ikke kriminelt relevante, ifølge Patrick Breyer).
• Kriminelle undgår overvågning: Kriminelle vil flytte til platforme, der ikke scannes (f.eks. darknet), mens uskyldige borgere bliver overvåget.
• Ingen dokumentation for effekt: Der er ingen beviser for, at masseovervågning har reddet børn eller ført til flere domfældelser (EU-Kommissionen indrømmer dette).

3. Trussel mod demokrati og pressefrihed

• Journalister og kilder: Masseovervågning gør det usikkert for journalister at kommunikere med kilder fortroligt (ECPMF understreger dette).
• Chilling effect: Borgere, minoriteter, LGBTQI+-personer, dissidenter og ofre for vold kan blive afskrækket fra at søge hjælp eller udtrykke sig frit.
• Magtovertagelse til tech-giganter: Overvågning udliciteres til private virksomheder (Meta, Google), hvilket fjerner retsstatens kontrol.

4. Alternativer til Chat Control

• Målrettet overvågning: Fokus på mistænkte (med retskendelse) i stedet for masseovervågning.
• Fjernelse af kendt materiale: Systematisk fjernelse af kendt misbrugsmateriale fra det åbne internet (f.eks. via et EU-børnebeskyttelsescenter).
• Styrket IT-sikkerhed: "Security by Design" i apps for at forhindre grooming og hacking.
• Bedre politiarbejde: Ressourcer til at efterforske darknet og aktivt forhindre misbrug, i stedet for at spilde tid på falske alarmer.

5. Politisk proces og modstand

• EU-Parlamentet: Flertal af stemmeberettigede MEPer er imod Chat Control (f.eks. 314 mod 276 i juli 2026), men absolut flertal (361) mangler for at stoppe det.
• Tyskland og Danmark: Tysklands holdning er afgørende (ECPMF opfordrer Tyskland til at stemme imod). Danmark (under formandskabet) skubber til forslaget.
• Modstand fra eksperter: Over 470 forskere og 90 organisationer har underskrevet åbne breve mod forslaget.

---

Modsætninger (konfliktpunkter)

---

Kort resume af hvert link

1. Patrick Breyer: "EU Parliament greenlights Chat Control 1.0 – Breyer: Our children lose out"

Dato: 9. juli 2026 Hovedpunkter: - EU-Parlamentet genindførte Chat Control 1.0 (midlertidig regulering) til 2028, på trods af at flertal af MEPer (314 mod 276) var imod. - Kritik: Forslaget er udemokratisk (vedtaget uden absolut flertal) og ineffektivt (99% af Meta’s anmeldelser er kendt materiale, der ikke stopper aktivt misbrug). - Konsekvenser: - US-techgiganter (Meta, Google) må igen scanne private meddelelser uden mistanke. - E2EE-chats (WhatsApp) er undtaget, men kun symbolsk (de scannes ikke alligevel). - Alternativer: Målrettet overvågning, fjernelse af kendt materiale, bedre politiarbejde. - Citater: - "Masseovervågning er ligesom at tøre gulvet, mens hanen løber" (Breyer). - Overlevende (f.eks. Alexander Hanff) siger, at Chat Control ikke hjælper ofrene, men truer deres privatliv. - Næste skridt: Forhandlinger om permanent lov ("Chat Control 2.0") begynder i september 2026.

2. Patrick Breyer: "MEPs warn against Commission’s chat control mass surveillance plans"

Dato: 28. januar 2022 Hovedpunkter: - Åbent brev fra MEPer (på tværs af partier) til EU-Kommissionen: Advarsel mod masseovervågning af alle borgers kommunikation. - Kritik: - Forslaget krænker Art. 7 (kommunikationshemmelighed) i EU’s Charter. - Client-side scanning (scanning før kryptering) svækker E2EE og skaber sikkerhedsrisici. - Chilling effect: Overvågning afskrækkes minoriteter, journalister, ofre for vold. - Falske alarmer: Politiet har ikke kapacitet til at håndtere tusindvis af falske anmeldelser. - Alternativer: - Fokus på fjernelse af kendt materiale, bedre støtte til ofre, målrettet politiarbejde. - Sammenligning: Ligner Apples kontroversielle "SpyPhone"-planer (2021), der blev droppet efter massiv modstand.

3. DW: "EU plan to combat online child abuse sparks privacy concern"

Dato: 2. oktober 2024 Hovedpunkter: - Forslag: EU vil tvinge platforme (WhatsApp, Signal, iMessage) til at scanne meddelelser for børnemisbrugsmateriale. - Kritik fra eksperter: - 344 forskere (fra 34 lande) advarer om, at forslaget ødelægger E2EE og skaber masseovervågning. - Client-side scanning = "stat ser over skulderen, mens folk skriver" (Anja Lehmann, krypteringsekspert). - Juridiske problemer: Krænker Art. 7 og 8 i EU’s Charter (retsikkerhed, privatliv). - Mission creep: Infrastruktur kan senere bruges til politisk overvågning (f.eks. i autoritære regimer). - Politisk status: - Forslaget blev blokeret to gange (2022) pga. privatlivsbekymringer. - Ungarn (formandskab i 2024) prøvede at genoplive det, men Tyskland og Holland stemte imod. - Næste skridt: Lukkede forhandlinger mellem Parlament, Råd og Kommission.

4. ECPMF: "Press Freedom at Risk: The Democratic Cost of the EU’s Chat Control Proposal"

Dato: 10. oktober 2025 Hovedpunkter: - ECPMF’s holdning: Chat Control truer pressefrihed og demokrati. - Kritik: - Masseovervågning af private meddelelser krænker kildesikkerhed for journalister. - 470 forskere advarer om, at forslaget skaber "unprecedented surveillance capabilities" med risiko for function creep. - E2EE svækkes: Scanning før kryptering introducerer sikkerhedsrisici (hacking, datalæk). - Tyskland’s rolle: ECPMF opfordrer Tyskland til at stemme imod (Tysklands stemme er afgørende). - Alternativer: - Respekt for grundlæggende rettigheder (privatsfære, pressefrihed). - Målrettet overvågning af mistænkte (ikke masseovervågning). - Konklusion: Chat Control er uforeneligt med demokrati og bør forkastes.

---

Opsummering: Kernekonflikten