Ferill 548. máls. Aðrar útgáfur af skjalinu: PDF - Word Perfect.
157. löggjafarþing 2025–2026.
Þingskjal 1480 — 548. mál.
Svar
atvinnuvegaráðherra við fyrirspurn frá Þórdísi Kolbrúnu Reykfjörð Gylfadóttur um stafrænt fullveldi Íslands.
1. Hvaða gagnavinnsla og gagnageymsla á vegum ráðuneytisins er í skýjum erlendra fyrirtækja? Óskað er eftir upplýsingum um hvort um er að ræða evrópsk fyrirtæki eða bandarísk.
Sameiginlegar skýjalausnir ráðuneytanna byggjast að verulegu leyti á þjónustu Microsoft. Fyrst og fremst er um að ræða lausnir innan Microsoft 365 skrifstofuhugbúnaðarsvítunnar. Dæmi um lausnir innan Microsoft 365 eru Outlook, Word, Excel, PowerPoint, Teams o.s.frv. sem eru nýttar í daglegum rekstri.
Skýjageirar ríkisins fyrir skrifstofuhugbúnað eru níu talsins í rekstri sjö ólíkra aðila. Ráðuneytin eru rekin saman (Umbra).
Á vegum atvinnuvegaráðuneytisins er vefsvæðið tollkvoti.is sem úthlutar tollkvóta fyrir landbúnaðarvörur og er hýst hjá Amazon Web Services sem er bandarískt fyrirtæki. Þar eru að auki hýstar upplýsingar um umsækjendur tollkvóta, umsóknir, tilboð og úthlutanir.
Einnig er kerfið afurð.is rekið á vegum atvinnuvegaráðuneytisins. Gögn fyrir vefsvæðið eru geymd í Oracle Cloud@Customer skýinu. Afurð.is er stafrænt stjórnsýslukerfi atvinnuvegaráðuneytisins og heldur utan um framkvæmd búvörusamninga. Oracle er bandarískt fyrirtæki. Þessi lausn Oracle er hins vegar frábrugðin hefðbundnu skýi að því leyti að vélbúnaðurinn undir skýinu er í eigu Advania og hýstur hjá Advania í Hafnarfirði og á Akureyri og er búnaðurinn og gögnin þar með í íslenskri lögsögu. Oracle hefur ekki aðgang að gögnunum sjálfum en hefur það hlutverk að stýra undirliggjandi vélbúnaði í gegnum örugga gátt hjá Advania. Advania kemur að gagnavinnslu í formi afritunar á gögnum og annast aðra gagnagrunnsstjórnun en Oracle kemur ekki að gagnavinnslu. Afrit eru hýst í Hafnarfirði og á Akureyri. Öll gögn í umhverfinu eru dulkóðuð bæði í gagnagrunnum og afritum.
2. Hvaða gögn á vegum ráðuneytisins eru geymd í skýjum erlendra fyrirtækja? Óskað er eftir upplýsingum um hvort um er að ræða evrópsk fyrirtæki eða bandarísk.
Vísað er til svars við 1. tölul. fyrirspurnarinnar.
3. Hefur ráðuneytið skilgreint stafrænt fullveldi í netmiðlun þess?
Innan atvinnuvegaráðuneytisins starfar teymi um stafræna þróun. Stafrænt fullveldi er eitt þeirra álitamála sem teymið hefur tekið fyrir og haldin hefur verið kynning í ráðuneytinu um stafrænt fullveldi.
Ekki hefur verið sett fram ein sameiginleg og formleg skilgreining á stafrænu fullveldi í gagna- og upplýsingamálum ráðuneytanna, endanleg skilgreining hugtaksins verður unnin í samvinnu ráðuneyta fyrir Stjórnarráðið í heild.
Hafa þarf til hliðsjónar meginsjónarmið, svo sem yfirráð yfir gögnum, öryggi, aðgangsstýringar, staðsetningu vinnslu og geymslu gagna, samræmi í lausnum og það að verða ekki of háð einstökum þjónustuaðilum.
Umræða um stafrænt fullveldi hefur aukist vegna vaxandi óvissu í alþjóðlegum stjórnmálum. Í því samhengi hefur sjónum verið beint að bandarískri löggjöf sem veitir yfirvöldum heimildir til að afla upplýsinga frá þarlendum fyrirtækjum til að rannsaka glæpi og verjast hryðjuverkum.
Þessar heimildir hafa m.a. vakið upp spurningar varðandi persónuverndarsjónarmið, þar sem hætta þykir á að bandarísk stjórnvöld geti krafist aðgangs að gögnum evrópskra viðskiptavina.
Persónuverndarfulltrúi Stjórnarráðsins hefur nýlega lokið sérstakri greiningu þar sem lagt var mat á heimildir bandarískra yfirvalda til aðgangs að persónuupplýsingum. Niðurstaða þeirrar greiningar var að ekki þyki þörf á frekari athugunum eða sérstöku mati af hálfu Stjórnarráðsins á þessu stigi. Sú niðurstaða byggist að miklu leyti á og er í fyllsta samræmi við viðamiklar greiningar annarra Evrópuþjóða á þessum sömu áskorunum, ekki síst ítarlegt mat hollenskra stjórnvalda á sambærilegum skýjalausnum.
Önnur Evrópuríki eru í svipaðri eða sömu stöðu gagnvart ríkjandi markaðsstöðu bandarískra hugbúnaðarfyrirtækja. Einna helst hefur verið rætt um þjónustu Microsoft í þessu samhengi (Microsoft 365 og Azure), en Amazon Web Services (AWS) og Oracle eru önnur dæmi.
Þó stjórnvöld séu meðvituð um áhættuna sem fylgir því að eiga í umfangsmiklum viðskiptum við einn stóran þjónustuveitanda er það metið svo að núverandi fyrirkomulag tryggi hærra öryggisstig en væri mögulegt í öðru fyrirkomulagi. Lausnir Microsoft eru í fremstu röð á heimsvísu þegar kemur að öryggisgetu, vöktun og uppfærsluferlum. Val á leyfategundum og útfærslum hefur einnig mótast af ströngum öryggiskröfum og þörf fyrir samræmdar varnir.
Stjórnvöld telja óraunhæft að sinna sambærilegri öryggisvöktun og reglubundnu eftirliti að fullu innan lands. Þar vegur þungt að stórir rekstraraðilar búa yfir getu og sérþekkingu sem nauðsynleg er til að bregðast skjótt við netógnun, til dæmis með hröðum uppfærslum og afritun, sem styrkir varnir gegn algengum netárásum. Samhliða þessu er einnig lögð áhersla á mótvægisaðgerðir til að auka seiglu og draga úr líkum á þjónusturofi. Til að tryggja rekstrarsamfellu er m.a. mikilvægt að tryggja staðbundna afritun og skýrar viðbragðsáætlanir.
Bæði Microsoft og Amazon hafa skuldbundið sig til að vista gögn ríkisins eingöngu innan Evrópu. Þetta er gert til að tryggja rekstrarþol og endurheimt við þjónusturof, uppfylla lagaskyldur og takmarka áhættu. Þessu til viðbótar hafa rekstraraðilar opinberra skýjageira hérlendis framkvæmt eigin öryggisafritanir. Stjórnvöld leggja áherslu á að þessar skuldbindingar endurspeglist að fullu í samningsskilmálum fyrir Ísland.
Sjá nánar:
a. Microsoft Data Protection Addendum 1
b. Microsoft 365 Data Residency 2
c. Viðbrögð Microsoft við viðskiptarofi 3
d. Styrkt gagnaþol hjá Microsoft (e. data resilience) 4
e. Skuldbindingar Microsoft um viðskiptarof á EES 5
f. AWS EuropeanSovereign Cloud 6
Stjórnvöld munu áfram fylgjast grannt með tækniþróun á þessu sviði og taka virkan þátt í samstarfi Evrópuríkja til að mæta þessum sameiginlegu áskorunum.
4. Er rótarfang, vefur, póstþjónn eða nafnaþjónn ráðuneytisins og undirstofnana skráður á Íslandi?
Öll lén (rótarföng) ráðuneytisins og undirstofnana eru skráð á Íslandi undir landsléninu .is hjá ISNIC.
Hvað varðar vefi, póstþjóna og nafnaþjóna þá lýtur það að rekstri og hýsingu þeirrar tækniþjónustu fremur en formlegri skráningu. Eins og rakið er í svörum við 1. og 2. tölul. fyrirspurnarinnar er sú undirliggjandi þjónusta ýmist vistuð hér á landi eða í skýjalausnum þjónustuaðila innan Evrópska efnahagssvæðisins.
Ferðamálastofa: Tölvukerfi Ferðamálastofu, þ.m.t. póstur og skjalakerfi, er hluti af 365 umhverfi ríkisins (skýjageira) í gegnum Umbru – þjónustumiðstöð stjórnarráðsins. Í skýjageiranum eru einnig hýstir gagnagrunnar fyrir Mælaborð ferðaþjónustunnar og gagnagrunnur yfir ferðaþjónustuaðila. Landfræðileg gögn eru hýst á landupplýsingaþjóni hjá Náttúrufræðistofnun.
Ferðamálastofa: Vefir hýstir í skýjaþjónustu hjá AWS á Írlandi fyrir milligöngu Stefnu Hugbúnaðarhúss.
Rótarlénið ferdamalastofa.is er keypt í gegnum ISNIC – Internet á Íslandi ehf. Það er hýst hjá Wise ehf. og eru nafnaþjónar ns1.thekking.is og ns2.thekking.is. Samkvæmt upplýsingum er ns1 á Íslandi ns2 í Evrópu.
Fiskistofa: Rótarfang, vefur, nafnaþjónn og póstþjónn Fiskistofu eru skráð og hýst á Íslandi. Hið sama gildir um Verðslagsstofu skiptaverðs.
Hafrannsóknastofnun: Rótarfang, vefur og nafnaþjónar eru skráð og hýst á Íslandi. Póstþjónn stofnunarinnar er í skýi Microsoft og hýstur erlendis.
Matís: Rótarfang, vefur og nafnaþjónar Matís eru skráð og hýst á Íslandi.
Matvælastofnun: Vefur og póstþjónn eru skráð og hýst á Íslandi. Eftirlitsgrunnur stofnunarinnar er vistaður hjá Amazon sem er bandarískt fyrirtæki.
Neytendastofa: Rótarfang, nafnaþjónar, vefur og póstþjónusta sem vefurinn notar til að senda póst frá sér er allt hýst á Íslandi. Neytendastofa notar Office 365 frá Umbru.
Neytendastofa er einnig með ábendingakerfi sem er hýst erlendis (Írlandi) en mun hætta notkun þess í vor.
Samkeppniseftirlit: Rótarlén er skráð á Íslandi. Vefsíðan er hýst í Evrópu af bandarísku fyrirtæki. Póstþjónar eru hýstir í Evrópu af bandarísku fyrirtæki. Nafnaþjónar eru bandarískir.
5. Hefur verið tryggt innan ráðuneytisins að tölvupóstur sé virkur ef samband rofnar við útlönd?
Til er viðbragðsáætlun til að tryggja tölvupóstsamskipti ef samband við útlönd rofnar. Meginþorri tölvupóstþjónustu stjórnvalda er í skýjalausnum utan Íslands og viðbragðsáætlunin tekur mið af tveimur meginsviðsmyndum:
– Ef hefðbundið netsamband um sæstrengi dettur út hefur Umbra, í samstarfi við Farice, komið á varaleið um gervihnetti sem þegar er komin í prófanir. Þessi leið tryggir að bæði innlend og erlend tölvupóstsamskipti haldi áfram án verulegs rofs. Til lengri tíma litið hefur Ísland einnig tryggt sér aðgang að öruggum fjarskiptatengingum í gegnum gervihnattakerfi Evrópusambandsins sem mun styrkja þessar varnir enn frekar.
– Ef allt samband rofnar við útlönd, þ.m.t. gervihnattasamband, fellur tenging við skýjalausnir erlendis niður. Í þeirri sviðsmynd tekur við viðbragðsáætlun um að endurreisa staðbundið póstkerfi sem byggist á gagnaafritum sem hýst eru á Íslandi. Slík endurreisn tryggir innlenda tölvupóstþjónustu milli ráðuneytanna og annarra innlendra aðila.
1 www.microsoft.com/licensing/docs/view/Microsoft-Products-and-Services-Data-Protection-Addendum-DPA
2 www.microsoft.com/en-gb/trust-center/privacy/data-location
3 learn.microsoft.com/en-us/compliance/assurance/assurance-resiliency-and-continuity
4 learn.microsoft.com/en-us/compliance/assurance/assurance-resiliency-and-continuity
5 blogs.microsoft.com/blog/2025/06/16/announcing-comprehensive-sovereign-solutions-empowering-european-organizations/
6 aws.amazon.com/blogs/security/introducing-the-overview-of-the-aws-european-sovereign-cloud-whitepaper/
