När leverantören måste stänga av: jurisdiktionsrisk hos lösenordshanteraren

Tillgänglighet är inte garanterad: ett aktuellt exempel

I juni 2026 blev det påtagligt vad som annars låter abstrakt: ett exportkontrollbeslut från den amerikanska regeringen ålade AI-leverantören Anthropic att stoppa åtkomsten till två av sina mest avancerade modeller för utländska medborgare – oavsett om de befann sig i eller utanför USA. Eftersom användarnas medborgarskap inte kunde kontrolleras tillförlitligt i realtid stängde leverantören av de berörda modellerna förebyggande för alla kunder. Inom några timmar gick en tidigare fritt tillgänglig produkt inte längre att använda – oberoende av löpande avtal, betalda abonnemang eller användarnas fysiska plats.

Fallet är lärorikt av ett skäl: det handlade inte om ett tekniskt avbrott, utan om ett regulatoriskt beslut. Ett avtalsmässigt tillgänglighetsåtagande (SLA) skyddar inte mot detta – om en leverantör måste följa ett myndighetsbeslut går detta före den avtalsmässiga utfästelsen. För okritiska tjänster är det ett irritationsmoment som kan accepteras. För affärskritisk infrastruktur är det en risk som hör hemma i arkitekturbeslutet.

Två dimensioner av jurisdiktionsrisken

Den som anförtor data eller tjänster åt en leverantör under en utländsk rättsordning tar på sig två olika risker:

• Åtkomst: Myndigheter i det aktuella landet kan under vissa omständigheter tvinga leverantören att lämna ut data – även om data fysiskt är lagrad i Europa.
• Tillgänglighet: Sanktioner, exportkontroller eller andra suveräna beslut kan ålägga leverantören att avbryta en tjänst för vissa användargrupper eller regioner.

Båda riskerna är oberoende av tjänstens tekniska kvalitet eller avtalssituationen. De följer enbart av frågan vilken rättsordning leverantören omfattas av.

Varför detta väger särskilt tungt för lösenordshanteraren

En lösenordshanterare är ingen vanlig tjänst. Den innehåller inloggningsuppgifterna till praktiskt taget alla andra system i ett företag – från e-postkonton via servrar och molntjänster till bokföring. Den som komprometterar eller stänger av detta centrala valv når därmed indirekt allt annat.

Det förändrar riskbedömningen: för många applikationer kan avvägningen falla till molnets bekvämlighet. För valvet med företagets huvudnycklar står däremot kontrollen över åtkomst och tillgänglighet högst upp. Här påverkar en jurisdiktionsrisk inte bara ett enskilt system, utan potentiellt hela IT-miljön.

Den juridiska bakgrunden

Jurisdiktionsrisken hos leverantörer under utländsk rättsordning är ingen teoretisk konstruktion, utan finns inbyggd i konkreta lagar. Den är inte begränsad till USA – jämförbara regler finns i andra stater – men för den europeiska marknaden är framför allt tre punkter relevanta:

• CLOUD Act (USA, 2018): Ålägger leverantörer av elektroniska kommunikations- eller fjärrdatortjänster under amerikansk jurisdiktion att lämna ut data som finns i deras ägo, förvar eller kontroll – oavsett om den lagras inom eller utanför USA. Ett europeiskt datacenter hos en amerikansk leverantör utesluter därför inte nödvändigtvis åtkomst.
• Regler för underrättelseåtkomst: Befogenheter som FISA Section 702 avser under vissa förutsättningar riktad inhämtning av kommunikation från icke-amerikanska personer utanför USA via amerikanska kommunikationstjänster. Räckvidden och den rättsliga statusen för sådana befogenheter måste bedömas separat för den konkreta tjänsten.
• Tredjelandsöverföring enligt GDPR: Den som överför personuppgifter till leverantörer i tredjeländer eller låter dem behandlas där måste beakta artiklarna 44 ff. i GDPR. EU-US Data Privacy Framework har sedan 2023 skapat en grund för certifierade amerikanska organisationer, men ersätter inte risk- och leverantörsprövningen för särskilt känsliga data.

Dessa regler gör inte molntjänster generellt otillåtna. Men de flyttar en del av kontrollen utanför företaget – och just denna kontroll är särskilt värdefull när det gäller inloggningsuppgifter.

Vad digital suveränitet konkret innebär

Digital suveränitet missförstås lätt som ett politiskt slagord. I praktiken betyder det helt enkelt att företaget behåller kontrollen över de tre frågor som räknas i ett allvarligt läge.

• Plats: Var finns data fysiskt och logiskt?
• Åtkomst: Vem kan få åtkomst till data – och vem kan tvingas ge åtkomst?
• Tillgänglighet: Vem avgör om tjänsten fortsätter att vara i drift?

Suveränitet betyder inte att molntjänster i princip måste undvikas. Det betyder att man inte lämnar ifrån sig svaret på dessa tre frågor för det känsligaste lagret – inloggningsuppgifterna.

On-Premises som arkitektursvar

Det närliggande svaret på jurisdiktionsrisken är att behålla kontrollen över det kritiska lagret i företaget. En On-Premises-lösenordshanterare håller de krypterade databaserna, användarhanteringen och loggarna helt på infrastruktur som företaget själv kontrollerar.

Här lönar det sig att göra en tydlig åtskillnad, eftersom leverantören av lösenordshanteraren vid egen drift i samtliga fall försvinner som extern utlämnings- eller avstängningspunkt – den återstående frågan gäller enbart infrastrukturen:

• Eget datacenter: Valv, nycklar, säkerhetskopior och drift ligger helt i era egna händer. Här är den digitala suveräniteten som störst – det finns varken en extern lösenordshanterartjänst eller en extern infrastrukturoperatör som skulle kunna tvingas ge åtkomst eller åläggas att stänga av.
• Private Cloud eller egen Azure-Tenant: Även här driver ingen tillverkare lösenordshanterartjänsten. Däremot kommer en infrastrukturoperatör in i bilden – om den omfattas av en utländsk rättsordning måste dess jurisdiktionsrisk bedömas separat. Leverantörsrisken för lösenordshanteraren försvinner, men hostingrisken finns kvar.

För maximal kontroll är drift i eget datacenter därmed det tydligaste valet. Dataskyddsbedömningen förenklas i båda fallen eftersom ingen tredjelandsöverföring uppstår genom lösenordshanterarens leverantör – mer information finns i artikeln GDPR-lösenordshanterare för företag.

Suveränitet efter driftmodell i jämförelse

Molnlösenordshanterare är inte osäkra i sig – för organisationer utan egen infrastruktur och utan särskilda suveränitetskrav kan de vara ett lämpligt val. Frågan är inte ”bra eller dåligt”, utan: vem ska i ett allvarligt läge besluta om åtkomst till och tillgänglighet för de känsligaste uppgifterna?

Kort sagt: där kontroll över åtkomst och tillgänglighet är avgörande är egen drift det konsekventa valet – inte för att moln i princip utesluts, utan för att inloggningsuppgifter är det enda lager där kontrollen bör behållas.

Password Depot: datasuveränitet som princip

Password Depot Enterprise Server är konsekvent byggd för drift i er miljö och tvingar inte fram någon extern molntjänst – datasuveräniteten stannar helt hos er. Tillverkaren är också avgörande för suveränitetsfrågan: Password Depot utvecklas av AceBIT GmbH med säte i Darmstadt – ett tyskt företag under tysk och europeisk rättsordning. Utvecklat sedan 1998, används av över 100 000 kunder.

• Drift i er infrastruktur: On-Premises i ert eget datacenter, i en Private Cloud hos den hostingpartner ni väljer eller i er egen Azure-Tenant – de krypterade databaserna lämnar inte det ansvarsområde ni har valt.
• Tillverkare under EU-rätt: AceBIT omfattas som tyskt företag inte av US CLOUD Act. Om ni använder extern infrastruktur måste dess operatör bedömas separat – valet ligger hos er.
• Verifierbar säkerhetsarkitektur: AES-256 (algoritm enligt FIPS 197) och TLS 1.3, ett SySS-penetrationstest för Password Depot 19 (12/2025) med resultatet ”inga allvarliga säkerhetsbrister konstaterades” samt ett ISMS hos AceBIT GmbH certifierat enligt ISO/IEC 27001:2022 av TÜV NORD CERT.
• Kan drivas GDPR-konformt: Eftersom data vid egen drift ligger kvar på den infrastruktur ni har valt uppstår ingen tredjelandsöverföring genom lösenordshanteraren; roller, loggning och kryptering stöder de tekniska och organisatoriska åtgärderna enligt artikel 32 i GDPR. Den konkreta efterlevnaden beror dessutom på er konfiguration och era processer. Alla intyg finns i Trust Center.

Därmed blir den förmodade nackdelen med egen drift en strategisk fördel: Password Depot är driftmodellen där ingen främmande tillverkartjänst beslutar om åtkomst till era huvudnycklar eller om tillgängligheten för ert valv.

Slutsats: suveränitet är ett arkitekturbeslut

Tillgänglighet och åtkomstskydd kan inte garanteras enbart genom avtal om den underliggande leverantörs- eller infrastrukturkedjan omfattas av en främmande rättsordning – exemplet från juni 2026 visar det tydligt. För de flesta system är detta beroende acceptabelt. För lösenordshanteraren, som förvarar nycklarna till allt annat, är det inte det. Den som vill behålla kontroll över plats, åtkomst och tillgänglighet bör fatta detta beslut på arkitekturnivå – genom egen drift under egen kontroll och med en tillverkare under europeisk rättsordning.

Övertyga er i er egen miljö: testa Enterprise Server kostnadsfritt i 30 dagar, se lösningen i en live-demo eller begär en icke-bindande offert för ert användarantal.

Vanliga frågor om digital suveränitet

Vad betyder digital suveränitet vid lösenordshantering?

Det betyder att företaget behåller kontrollen över tre frågor: var inloggningsuppgifterna finns, vem som kan få åtkomst till dem och vem som beslutar om tjänstens tillgänglighet. Vid egen drift i eget datacenter ligger alla tre svaren hos företaget självt.

Vad är CLOUD Act – och berörs tyska företag av den?

CLOUD Act (USA, 2018) ålägger leverantörer av elektroniska kommunikations- eller fjärrdatortjänster under amerikansk jurisdiktion att lämna ut data som de förvarar eller kontrollerar – oberoende av den fysiska lagringsplatsen. För tyska företag kan detta bli relevant om de använder sådana leverantörer för att hantera känsliga data, även om data ligger i ett europeiskt datacenter.

Skyddar ett europeiskt datacenter hos en amerikansk leverantör mot åtkomst?

Inte nödvändigtvis. Avgörande är inte bara var data lagras, utan också vilken rättsordning leverantören omfattas av. Om leverantören omfattas av amerikansk rätt kan en utlämningsskyldighet även gälla data som lagras utanför USA.

Är molnlösenordshanterare därför i grunden osäkra?

Nej. Det handlar inte om krypteringens tekniska säkerhet, utan om kontroll över åtkomst och tillgänglighet. För organisationer utan särskilda suveränitetskrav kan molnlösningar vara lämpliga. För inloggningsuppgifter – lagret som låser upp alla andra system – faller avvägningen dock ofta till förmån för egen kontroll.

Hur skyddar On-Premises-drift mot jurisdiktionsrisken?

Vid egen drift finns det ingen extern lösenordshanterartjänst som kan tvingas lämna ut data och ingen tillverkardriven tjänst som en främmande myndighet kan stänga av. I eget datacenter ligger lagringsplats, åtkomstvägar och tillgänglighet helt under den egna IT-avdelningens kontroll. Vid extern infrastruktur som Private Cloud eller Azure-Tenant måste även infrastrukturoperatören bedömas.

Omfattas Password Depot av amerikansk rätt?

Nej. Password Depot utvecklas av AceBIT GmbH med säte i Darmstadt – ett tyskt företag under tysk och europeisk rättsordning. Vid On-Premises-drift stannar de krypterade uppgifterna i er egen eller av er vald infrastruktur. Om extern infrastruktur används måste dess leverantör fortfarande bedömas separat.