EU's regler for open source i offentlige indkøb - og kravene ved udskiftning af legacy-systemer

Hvor omfattende er reglerne?

EU's indsats blev markant skærpet den 3. juni 2026, hvor Kommissionen præsenterede Tech Sovereignty-pakken med en ny EU Open Source Strategy (COM(2026) 503) og et forslag til Cloud and AI Development Act (CADA). Baggrunden er, at EU bruger anslået €264 mia. årligt på IT... overvejende hos ikke-europæiske leverandører (Bird & Bird, AFP).

De vigtigste elementer:

1. "Open source first" som princip... men blødgjort - Open Source-strategiens mål 3 gør open source til en forankret del af offentlig forvaltning: indkøbsvejledning, åbne standarder, fair vurdering af open source-bud og "sovereignty-by-design" i digitale investeringsbeslutninger (EU Digital Strategy, Europa-Kommissionen). - CADAs artikel 41 indfører en "open source first"-pligt for offentlige myndigheder ved indkøb af cloud- og AI-software... første gang princippet står i den operative tekst i en EU-forordning (Knowledge Centre Data & Society, SUSE). - Vigtigt forbehold: I den endelige tekst blev forpligtelsen blødgjort fra et krav til, at medlemsstaterne skal "encourage" open source, og "public money, public code" (artikel 42) blev gjort betinget... så det er reelt et stærkt opfordringsprincip, ikke et absolut krav (Yeandel-analyse). Bemyndigede myndigheder skal altså begrunde, hvorfor de ikke vælger open source, når et velegnet alternativ findes (Qsentinel).

2. Støttende instrumenter - €2 mia. over syv år, Open Source Maintenance Instrument, Open Internet Stack, Digital Commons EDIC og et EU Open Source Solutions Catalogue (artikel 43 i CADA) med genbrugspligt for offentligt udviklet software (Knowledge Centre Data & Society, Interoperable Europe).

3. Fremtidig udbudsreform - Kommissionen har desuden foreslået en generel reform af udbudsreglerne (fra 900 til 200 siders regler), hvor myndigheder kan vægte leveringssikkerhed, bæredygtighed og "europeisk præference" frem for kun pris (AFP).

Krav ved udskiftning af gamle systemer

Når legacy-systemer skal udskiftes, sættes der disse suverænitetskrav:

• Suverænitetsniveauer for cloud/AI: CADA definerer fire assurance-niveauer, som offentlige myndigheder skal anvende ud fra en risikovurdering... fra data behandlet i EU, over uafhængighed af tredjelande og gennemsigtig softwareforsyningskæde, til fuldt EU-ejet og -kontrolleret (EU Digital Strategy). Baggrunden er bl.a. den amerikanske CLOUD Act, der giver USA adgang til data hos amerikanske leverandører uanset opbevaringssted (AFP).
• Fælles indkøbsramme: CADA etablerer en fælles EU-indkøbsramme, så offentlige myndigheder kan trække på samlet købekraft og træffe informerede beslutninger (Europa-Parlamentet OEIL, EU Digital Strategy).
• Open standards og genbrug frem for lock-in: Strategien fremmer åbne standarder og genbrug af software udviklet eller indkøbt af offentlige myndigheder... så man undgår vendor lock-in (Europa-Kommissionen, Interoperable Europe).
• Funktionelle kravspecifikationer: Under udbudsdirektivet 2014/24/EU skal krav defineres funktionelt... ikke med reference til specifikke proprietære produkter... hvilket historisk har disadvantaget open source-bud (Qsentinel). Kommissionen går selv foran med sit Sovereign Cloud-udbud, hvor suverænitet var hovedkriteriet (Europa-Kommissionen).
• Sikkerhed og forsyningskæde: NIS2 artikel 21 og Cyber Resilience Acts SBOM-krav (komponentlister, sårbarhedshåndtering, licensoverholdelse) gøres til evalueringkriterier i udbud (Qsentinel).

Kort sagt: Open source er ikke et absolut lovkrav endnu... CADA er fortsat et kommissorforslag, og "open source first" blev blødgjort i den endelige tekst... men retningen er tydelig: offentlige myndigheder, herunder danske statslige organisationer, skal fremadrettet kunne begrunde valg af proprietære løsninger og risikovurdere suverænitetsniveau ved udskiftning af ældre systemer.

Supplerende primærkilder: - Kommissionens meddelelse: EUR-Lex COM(2026) 503 - CADA-forslaget: EUR-Lex COM(2026) 502 - JRC-rapport om digital suverænitet i offentlige forvaltninger: publications.jrc.ec.europa.eu

Bemærk: De to AFP-citater er nyhedsartikler uden almindelig web-URL så der henvises til Kommissionens pressemeddelelse, som dækker samme indhold.