Datormolnet vad är det, vad kan det ge mig och hur kan EU ta vara på dess möjligheter?

EUROPEISKA KOMMISSIONEN MEMO Bryssel den 27 september 2012 Datormolnet vad är det, vad kan det ge mig och hur kan EU ta vara på dess möjligheter? Se även IP/12/1025 Vad är datormolnet? Datormolnet innebär att data lagras, bearbetas och används på distans, via internet, på datorer som befinner sig långt från användaren. I dag använder många datormolnet utan att egentligen vara medvetna om det. Tjänster som webb-baserad e-post eller sociala nätverk kan baseras på molnteknik. För professionella IT-användare innebär molnet stor flexibilitet i fråga om hur mycket datorkapacitet som behövs. Om en tjänst till exempel plötsligt utnyttjas med är det mycket enkelt att öka kapaciteten, något som skulle ta mycket längre tid om företaget skulle behöva installera nya datorer i sin egen datorcentral. Hur fungerar datormolnet? Användaren kopplar upp sin dator mot molnplattformen med hjälp av särskild programvara. I molnet tillhandahålls datorkapaciteten från stora datorcentraler med hundratals servrar och datalagringssystem som kan hantera praktiskt taget all programvara (från databehandling till videospel) som kunderna kan tänkas använda. Ibland erbjuds tjänsterna gratis (till exempel webbposterbjudanden), men oftast betalar kunderna flexibelt per användning, eller en fast månadsavgift. Var lagras mina uppgifter när jag använder molnet? I en datorcentral någonstans på jorden. Om den fysiska belägenheten är viktig kan användarna se till att detta anges i deras datormoln-avtal. Till exempel föreskrivs det i dataskyddsdirektivet att tredjepersoners personuppgifter ska lagras antingen inom Europeiska ekonomiska samarbetsområdet (EES) eller på något territorium som omfattas av likvärdiga lagar om skydd av personuppgifter. Vilka fördelar har datormolnet för användarna? Användarna behöver inte skaffa programvara eller köpa och upprätthålla dyra servrar och datalagringssystem. Det spar pengar, kontorsutrymme och egen it-stödpersonal. Användarna får också nästan obegränsad flexibilitet i fråga om det lagringsutrymme och de verktyg de vill använda. MEMO/12/713

Varför behöver vi en EU-strategi för att ta vara på datormolnets möjligheter? De ekonomiska fördelarna blir mycket större om vi agerar på EU-nivå: 160 miljarder euro per år, eller cirka 300 euro per person och år. I dag gör lapptäcket av olika bestämmelser i medlemsländerna att företagen är osäkra om sina rättsliga skyldigheter, vilket bromsar införandet av datormolnet. Det är naturligtvis välkommet med molninitiativ i medlemsländerna, som Andromède i Frankrike, G-Cloud i Storbritannien och Trusted Cloud i Tyskland, men det räcker inte, och är inte så effektivt för att få marknaden att växa till allas nytta. Vilka ekonomiska fördelar och sysselsättningsvinster medför en EU-strategi för datormolnet? Nya beräkningar tyder på att datormolnet kan ge intäkter på närmare 80 miljarder euro i EU fram till 2020 om strategierna är framgångsrika (det skulle mer än fördubbla sektorns tillväxt). Därför handlar den här strategin om att skapa en ny bransch och att förstärka vår konkurrensposition, inte minst gentemot Förenta staterna. Mer allmänt väntar vi en årlig nettovinst på 160 miljarder euro för EU:s BNP till år 2020 (eller sammanlagt nästan 600 miljarder euro mellan 2015 och 2020) om EU:s hela strategi för datormolnet genomförs. I annat fall kan vinsterna bli två tredjedelar mindre. Vinsterna uppstår främst genom att företagen kan spara pengar eller få tillgång till teknik som gör dem mer produktiva. I fråga om sysselsättning väntar vi oss att 3,8 miljoner arbetstillfällen ska uppstå om strategin genomförs helt. Om man däremot inte tar itu med de olika hinder som lagstiftning och politik ger upphov till skulle sysselsättningsökningen bara uppgå till 1,3 miljoner arbetstillfällen. 1 Vilket tidsschema gäller för åtgärderna? Hur lång tid kommer det att ta innan vi upplever konkreta förändringar? Kommissionen har lovat att under 2013 vidta de nyckelåtgärder som anges i meddelandet, bland annat i fråga om standardisering och certifiering för datormolnet, utveckling av säkra och rättvisa avtalsregler och avtalsvillkor samt det europeiska partnerskapet för molntjänster. En verksamhetsrapport i slutet av 2013 ska visa om det behövs ytterligare strategiska eller rättsliga initiativ. Vem har nytta av datormolnet? Alla internetanvändare kan ha nytta av molnet, och det skulle kunna revolutionera många områden. Undersökningar visar att 80 % av företagen som redan utnyttjar molnet kunde rapporter minskade it-kostnader med 10 %-20 %, medan 20 % av dessa företag rapporterade besparingar på 30 % eller mer. 1 Se: IDC, Quantitative Estimates of the demand for cloud Computing in Europe and the likely barriers to takeup, februari 2012. 2

Många konsumenter använder redan datormolnet (t.ex. för internetbaserade e- postkonton). Stor lagringskapacitet gratis eller till låga kostnader, enkel åtkomst överallt, minskade kostnader: det är bara en del av de fördelar som molnet erbjuder. Datormolnet kan medföra stora vinster för den offentliga sektorn genom att göra det enklare att erbjuda samordnade, effektiva och prisvärda tjänster. Datormolnet kan också främja forskningen eftersom forskningsinstitutioner kan komplettera sin interna, specifika datorinfrastruktur med molnleverantörernas, så att de kan lagra stora mängder data och behandla dem mycket snabbare. Molnet kan också främja innovation eftersom det blir så mycket lättare och billigare att testa nya idéer för it-produkter och it-tjänster. Hur kan datormolnet bidra till att skydda miljön? Datoranvändningen ökar rasande snabbt, och precis som luftfarten blir den därmed en av de snabbast växande källorna till koldioxidutsläpp. Samtidigt är datormolnet bästa sättet att göra datoranvändningen mer koldioxideffektiv. Stora molnrelaterade investeringar kan nämligen lättare planeras med lågenergiservrar och gröna energikällor än det är att få hundratals miljoner enskilda datoranvändare att göra miljövänliga val. Dessutom kan hårdvaran optimeras så att antalet maskiner som krävs för att utföra ett visst antal uppgifter minskar. Europeiska kommissionen finansierar ett forskningsprojekt projektet Eurocloud server vars första resultat visar att man skulle kunna minska energianvändningen för datormolnets datorcentraler med 90 %, utöver de effektiviseringar som redan gjorts genom övergången från stationära persondatorer och servrar till molnlösningar. Hur kan datormolnet påverka IKT-sektorn? Om alla hinder för datormolnet avlägsnades visar en undersökning av 1 000 europeiska företag att över 98 % av företagen i EU skulle inleda eller bygga ut sin användning av datormolnet, datormolnet skulle dra till sig nya användare: 96 % av de företag i EU som ännu inte använder datormolnet men funderar på det skulle börja investera konkret, behovet av it-kompetens skulle öka, inte bara på de direkt berörda områdena som förvaltning av datorcentraler, utan också inom exempelvis digital marknadsföring, utveckling av appar, sociala nätverk och sunda finanser. 3

Redogörelse för det europeiska partnerskapet för molntjänster (ECP) Vad är europeiska partnerskapet för molntjänster, och vad kommer det att göra? Europeiska partnerskapet för molntjänster (ECP) kommer att bestå av upphandlande tjänstemän på hög nivå från europeiska offentliga organ, och viktiga representanter för itoch telekombranschen. ECP kommer att ledas av en styrelse och ska samla offentliga upphandlingsmyndigheter och näringslivssammanslutningar för att vidta upphandlingsåtgärder före det kommersiella steget. Därmed har de möjlighet att fastställa den offentliga sektorns datormolnbehov, ta fram kravspecifikationer för it-upphandling och referenstillämpningar. Det skulle kunna möjliggöra enhetlig och till och med gemensam upphandling av datormolntjänster för offentliga myndigheter, utgående från gemensamma användarkrav. ECP har inte för avsikt att skapa faktisk, konkret infrastruktur för datormolnet. I stället vill man med hjälp av upphandlingskrav som främjas av deltagande medlemsländer och myndigheter se till att det kommersiella utbudet av datormolntjänster i EU, både i den offentliga och i den privata sektorn, är anpassat till behoven i EU. Hur kommer det europeiska partnerskapet för molntjänster att fungera? En styrelse ska ge råd om strategisk inriktning, bland annat i fråga om den offentliga sektorns införande av molntjänster på ett sätt som formar marknaden till alla molnanvändares fördel. ECP:s övriga huvudelement berör genomförandenivån: en ursprunglig budget på 10 miljoner euro har avsatts för upphandlingsprojekt före det kommersiella steget inom sjunde forskningsramprogrammets IKT-temaområde 2. Detta projekt kommer att behöva kräva god samordning och gemensamma satsningar mellan olika aktörer inom den offentliga sektorn i flera medlemsstater så att den offentliga sektorns upphandlingskrav och användning av datormolntjänster kan konsolideras. Vilken huvuduppgift har styrelsen i det europeiska partnerskapet för molntjänster (ECP)? Styrelsens huvuduppgifter omfattar rådgivning om strategiska prioriteringar för positionering av datormolntjänster i EU som en drivkraft för ekonomisk tillväxt, innovation och kostnadseffektiva offentliga tjänster, med hjälp av det europeiska partnerskapet för molntjänster, utfärdande av rekommendationer om strategier för säker och samstämmig användning av datormolnet som kan bidra till skapandet av EU:s digitala inre marknad. 2 Se mål 11.3 i http://cordis.europa.eu/fp7/ict/docs/ict-wp2013-10-7-2013.pdf 4

Vilka driftsvillkor gäller för ECP:s styrelse? Styrelsemedlemmarna och styrelsens ordförande utses av kommissionären med ansvar för den digitala agendan, och ska handla i sin personliga egenskap. Styrelsen sammanträder två till tre gånger per år. Den kan samråda med organ och experter inom näringslivet, universiteten och förvaltningen. Styrelsens inledande möte planeras äga rum under sista kvartalet 2012. Uppgiftsskydd, säkerhet, skydd av privatlivet och användarrättigheter Hur kommer strategin att hjälpa mig att ta vara på mina rättigheter som användare av datormolntjänster? En av strategins viktigaste punkter är utvecklingen av standardvillkor för avtal och att behandla frågor som inte omfattas av den gemensamma europeiska köplagen, till exempel: bevarande av data efter avslutandet av avtalet, utlämnande av data, datalokalisering och dataöverföring, äganderätten till data samt direkt och indirekt ansvar. Genom att fastställa och utveckla samstämmig lösningar för avtalsvillkor kan man öka konsumenternas förtroende och på så sätt främja utnyttjandet av datormolntjänster. Hur förhåller sig denna strategi till kommissionens förslag om uppgiftsskydd? I samband med att den förordning om skydd av personuppgifter som kommissionen förslog i januari 2012 utarbetades beaktades de synpunkter som framförts av leverantörer och användare av datormolntjänster noga. Den föreslagna förordningen ger en god allmän grund för en framtida utveckling av datormolnet. Eftersom farhågor kring skyddet av personuppgifter identifierades som ett av de största hindren för datormolnet är det ytterst viktigt att ministerrådet och Europaparlamentet skyndar sig att anta den föreslagna förordningen så snart som möjligt under 2013. När den föreslagna förordningen väl är antagen kommer kommissionen att utnyttja de nya mekanismerna för att ge sådan ytterligare vägledning om tillämpningen av EU:s lagstiftning om skydd av personuppgifter på datormolntjänster som då kan behövas. Vad görs konkret på global nivå för att se till att lagstiftningen blir samstämmig? Datormolnet är en global fråga som kräver en intensiv internationell dialog om säker och skarlös anvöndning över gränserna. Europeiska kommissionen försöker med hjälp av internationella dialoger om handel, brottsbekämpning, säkerhet och it-brottslighet att till fullo beakta de nya problem som datormolnet medför. Dessa dialoger förs i multilaterala forum som Världshandelsorganisationen (WTO) och OECD för att uppnå gemensamma mål för datormolntjänster. De förs också bilateralt med USA, Japan och andra länder. 5

Hur kan jag veta om mina uppgifter lagras i Europa eller någon annan stans? I avtalsvillkoren bör frågan om uppgifternas lokalisering ingå. Men de vanliga kontrakt av typen take-it-or-leave-it som många leverantörer av datormolntjänster använder kanske inte innehåller sådana uppgifter. I strategin betonas det att standardavtalsvillkor måste utvecklas som tar upp frågor som inte omfattas av den gemensamma europeiska köplagen, till exempel var uppgifterna bevaras. Vad händer med mina uppgifter om det datormolnföretag jag använder läggs ned? Detta omfattas normalt sett av avtalsvillkoren. Eftersom det finns behov av klarare skydd kommer kommissionen att utarbeta standardavtalsvillkor som tar upp de frågor som inte omfattas av den gemensamma europeiska köplagen. Standarder, certifiering och avtal Varför kan vi inte själva utveckla de standarder som behövs, varför måste vi vänta på att näringslivet gör det? Standardisering fungerar bäst om näringslivet får styra processen. Näringslivet satsar redan enormt på att utveckla standarder som förbättrar datormolnets driftskompatibilitet. Standarder håller på att utvecklas, men för närvarande finns det ingen enighet om vilka standarder som skulle garantera den driftskompatibilitet, uppgiftsportabilitet och reverserbarhet som krävs. Kommissionen vill identifiera samstämmiga uppsättningar av användbara standarder för att underlätta för utbuds- och efterfrågesidan att organisera sig själva. När förväntas certifieringssystemet komma i gång? Kommissionen kommer att bistås av Enisa och andra berörda organ när den bidrar till utvecklingen av ett EU-omfattande frivilligt certifieringssystem för datormolnet (inbegripet skydd av personuppgifter). En förteckning över sådana system ska läggas fram till 2014. Om systemet är frivilligt, vad händer då om företag inte ansluter sig? Vi ska fortsätta att samarbeta med näringslivet för att göra systemet attraktivt. Vi får ofta höra att folk vill ha dessa uppgifter, och man måste komma ihåg att certifiering inte är ett straff för företagen. Det är tvärt om ett redskap för att signalera deras kvalitet och att de överensstämmer med potentiella kunders krav. Går EU-strategin för datormolnet ut på att skapa ett europeiskt supermoln? Nej, strategin handlar inte om att skapa fysisk infrastruktur. Däremot vill vi se offentligt tillgängliga molnerbjudanden som uppfyller EU-normerna, inte bara på lagstiftningsområdet, utan också i fråga om konkurrenskraft, öppenhet och säkerhet. 6

Är molnet säkert? Datormolnspecifika säkerhetsrisker har att göra med det delade ägande och den resursdelning som kännetecknar datormolnet (samma fysiska infrastruktur används ofta av många olika kunder till en viss leverantör av molntjänster). I molnet överlåter kunden i viss mån kontrollen över säkerhetsfrågor till tjänsteleverantören, vilket gör det viktigt att man kan se om leverantören av datormolntjänster uppfyller säkerhetskraven. Det är därför som certifieringssystem kommer att vara så viktiga, eftersom de hjälper tjänsteleverantörerna att på ett tillförlitligt sätt signalera till potentiella kunder att de efterlever kraven. Å andra sidan kan det faktiskt öka säkerheten om de som inte är experter på it-säkerhet överlåter sådana frågor till it-proffs som arbetar för molntjänstleverantörerna. Är datormoln driftskompatibla? Är det lätt att byta mellan leverantörer av datormolntjänster? Än är datormolnerbjudandena inte så anpassade till varandra som de skulle kunna vara. Tjänsteleverantörerna använder ofta olika operativsystem eller gränssnitt för sina tillämpningar som inte fungerar med varandra, så att programvara som tagits fram för en molntjänstleverantör inte alltid så lätt fungerar med en annan. Det kan skapa beroendesituationer gentemot en tjänsteleverantör, eftersom det inte alltid är lätt att flytta uppgifter från ett moln till ett annat (kunden blir inlåst). Tar strategin för datormolnet upp mer allmänna säkerhetsfrågor? Strategin tar inte upp säkerhetsfrågor som har att göra med internet och onlinemiljön som sådan. Under de kommande månaderna kommer kommissionen att ta upp allmänna it-säkerhetsfrågor i sin strategi för it-säkerhet. Den strategin ska beröra alla leverantörer inom informationssamhället, bland annat dem som levererar datormolntjänster. Strategin ska även innehålla lämpliga tekniska och organisatoriska åtgärder för att hanera sökerhetsrisker. Den innehåller också krav på behöriga myndigheter att rapportera allvarliga incidenter. Kommer strategin för datormolnet att begränsa internationella molnleverantörers verksamhet i Europa? Nej. Strategin ska underlätta EU:s deltagande i den globala utvecklingen av datormolnet genom en översyn av standardavtalsvillkor för överföring av personuppgifter till tredjeländer och vid behov en anpassning av dessa villkor till datormolntjänster, och genom att nationella dataskyddsmyndigheter uppmanas att godkänna bindande företagsbestämmelser för leverantörer av datormolntjänster. 3 Dessutom kommer kommissionen att bygga vidare på sina pågående internationella dialoger med Förenta staterna, Japan och andra länder i frågor som rör datormolnet. 3 Yttrandena från arbetsgruppen enligt artikel 29 (se: WP 195 och WP 153) kommer att läggas till grund för ett kommissionsutkast. Bindande företagsbestämmelser är en möjlighet att tillåta laglig internationell uppgiftsöverföring. Sådana bestämmelser kan på ett kontrollerbart sätt styra hur olika delar av ett företag hanterar personuppgifter, oberoende av var i världen den delen av företaget är belägen. 7