Vad italienska offentliga köpare faktiskt granskar vid molnupphandling

Bakom 'suveränitets'-slagord lutar sig italienska centralförvaltningars molnupphandlingar som Consips AQ 2860 mot konkreta krav: ACN-kvalificeringsnivåer, datalokalisering inom EU/EES och avtalsenliga utträdesvillkor.

I den här artikeln

Kvalificeringsribban som ständigt dyker upp
Datalokalisering och utträdesvillkor väger tyngre än etiketten
Vad man bör kontrollera innan ett slagord behandlas som ett svar

Italienska offentliga köpare talar mindre om "sovranità" än marknadsföringen kring det antyder. Det som faktiskt förekommer i centralförvaltningens molnupphandlingar – inklusive Consips ramavtal för molnapplikationstjänster, ID 2860, publicerat i december 2025 för de centrala offentliga förvaltningarna – är en uppsättning konkreta, kontrollerbara krav snarare än ett slagord.

Den nyklassicistiska fasaden på Palazzo Chigi, den italienska regeringens säte, i Rom — Foto: Blackcat (CC BY-SA 4.0), Wikimedia Commons.

Kvalificeringsribban som ständigt dyker upp

I flera av Consips senaste ramavtal för molntjänster är ett återkommande krav att tjänsterna ska vara kvalificerade av Italiens nationella cybersäkerhetsmyndighet, ACN, åtminstone på kvalificeringsnivå 1, vanligen skrivet som QC1 för molntjänster som hanterar ordinarie data, eller AI1 för motsvarande infrastrukturnivå. ACN:s egna publicerade kriterier för nivå 1 kräver självcertifierad överensstämmelse med kvalitetsledningsstandarden ISO 9001, tillsammans med egenskaper för säkerhet, prestanda, skalbarhet, interoperabilitet och portabilitet enligt regleringen för molntjänster inom offentlig förvaltning. Detta är en specifik, granskningsbar kvalificering, inte en synonym för "kompatibel".

Datalokalisering och utträdesvillkor väger tyngre än etiketten

Två andra ribbor återkommer gång på gång i denna typ av upphandling: var data och säkerhetskopior fysiskt lagras, vanligtvis med krav på plats inom EU eller EES, och hur en leverantör styrker detta, samt avtalsvillkor för att avsluta relationen utan att förlora tillgång till data eller möta oöverkomliga kostnader för att lämna. En leverantörs marknadsföringspåstående om att vara ett "suveränt moln" ersätter inte att något av dessa krav uppfylls direkt.

Vad man bör kontrollera innan ett slagord behandlas som ett svar

Innan ett anbudssvar upprepar formuleringar som "suveränt moln" eller hänvisar till en certifiering som om den vore självklar, är arbetsfrågorna: täcker kvalificeringen faktiskt den ACN-nivå som just denna upphandling kräver, är bevisen för datalokalisering och katastrofåterställning aktuella, och vad säger avtalet om utträdesvillkor och tidsplan. Kontrollera alltid mot den aktuella upphandlingsdokumentationen på Consips egen webbplats innan du förlitar dig på en sammanfattning – upphandlingstext ändras genom förtydliganderundor, och en äldre läsning kan vara inaktuell när anbudet ska lämnas in.

Källor: Consip – ID 2860, ACN – kvalificeringskrav för QC1.