AWS första molnleverantör med NATO-godkännande för känslig alliansdata – väcker frågor om europeiskt digitalt beroende

Amazon tar ett historiskt steg in i försvarsvärlden

Det har aldrig hänt förut. Amazon Web Services (AWS) har, enligt Defense One, som första molntjänstleverantör i världen fått ett generellt godkännande från NATO att hantera information klassad som NATO RESTRICTED – en skyddsnivå som visserligen inte är hemligstämplad, men som ställer skarpa krav på säkerhetsåtgärder och åtkomstkontroll.

Godkännandet är resultatet av ett flerårs samarbete med Spaniens nationella kryptograficentrum, CCN, som metodiskt testade AWS tjänster mot NATO:s säkerhetsdirektiv och sedan delade sina slutsatser med samtliga medlemsländer. Det är en process som säger en hel del om hur NATO fungerar i praktiken: ett land tar på sig testarbetet, och om det håller sprider sig förtroendet.

AWS slog i det här fallet ut konkurrenterna – däribland Microsoft och andra amerikanska aktörer – i kampen om alliansens första generella godkännande. Det är inte ett litet prejudikat.

Varför detta sker just nu

Bakgrunden är konkret och militärt motiverad. Europeiska försvarsmakter sammanväver i allt högre grad data från radar, satelliter och akustiska sensorer för att snabbare kunna identifiera hot – ryska drönare är ett av de mest citerade exemplen. Det kräver snabbt, tillförlitligt och godkänt informationsutbyte mellan alliansmedlemmar. Molninfrastruktur är inte längre ett IT-bekvämlighetsval; det är en operativ förutsättning.

AWS hade redan foten inom dörren. Bolaget hanterar sedan tidigare känslig militär- och underrättelseinformation för flera NATO-medlemmar. Det generella godkännandet är i den meningen inte en chock – det är en formalisering av ett förhållande som vuxit fram organiskt under åren.

Som systemutvecklare är det lätt att förstå den tekniska dragningskraften. AWS erbjuder en mognadsgrad, en global räckvidd och ett ekosystem av säkerhetsverktyg som det tagit decennier att bygga upp. Att bygga ett likvärdigt europeiskt alternativ från scratch är ingen trivial uppgift – det handlar inte om att skriva kod, utan om att bygga upp förtroende, certifieringsprocesser, fysisk infrastruktur och kompetens i en skala som Europa ännu inte riktigt nått.

Den besvärliga frågan om digital självständighet

Men det är precis där skon klämmer. EU antog 2024 en dataskyddslag som uttryckligen ålägger molntjänstleverantörer att skydda europeisk data från utländska myndigheters åtkomst – inklusive amerikanska domstolsbeslut. Det är en lagstiftning med rätt ambition. Problemet är att ambitionen och verkligheten ännu inte möts.

När NATO nu formellt lägger sin känsligaste icke-hemligstämplade data i ett amerikanskt bolags infrastruktur, skickar det en tydlig signal: Europa är ännu inte redo att klara sig utan amerikansk teknisk kapacitet på det här området. Det är inte en anklagelse – det är ett konstaterande.

Frågan är vad som händer i ett läge där geopolitiken skiftar ännu mer dramatiskt. Vad händer om relationen mellan EU och USA försämras? Vad händer om ett amerikanskt domstolsbeslut kolliderar med europeisk lag på ett sätt som berör just den här typen av data? De frågorna är inte hypotetiska – de är en naturlig del av riskbilden för varje säkerhetsanalytiker som gör sitt jobb.

Europas väg framåt

Det finns europeiska initiativ på gång – GAIA-X är det mest kända, men projektet har haft svårt att leva upp till sina ambitioner i praktiken. Initiativen finns, viljan finns, men skalbarhet och hastighet saknas fortfarande.

Som systemutvecklare ser jag ändå möjligheten snarare än dödläget. Det faktum att AWS godkändes för NATO RESTRICTED – och inte för högre klassificerad information – visar att det finns en medveten gränsdragning. Det är ett pragmatiskt beslut, inte ett naivt sådant. Och den processen, med CCN som teknisk granskare och NATO-länderna som gemensamma mottagare av slutsatserna, är faktiskt en hyfsad modell för hur man kan bygga förtroende systematiskt.

Men det är ett skäl till, inte ett argument för att stanna där.