Ferill 549. máls. Aðrar útgáfur af skjalinu: PDF - Word Perfect.
157. löggjafarþing 2025–2026.
Þingskjal 1308 — 549. mál.
Svar
menningar-, nýsköpunar- og háskólaráðherra við fyrirspurn frá Þórdísi Kolbrúnu Reykfjörð Gylfadóttur um stafrænt fullveldi Íslands.
Svar við fyrirspurninni byggist að miklu leyti á upplýsingum frá Umbru – þjónustumiðstöð Stjórnarráðsins sem er ráðuneytisstofnun sem sinnir upplýsingatæknimálum og ýmsum sameiginlegum rekstrarþáttum ráðuneyta og ríkisstofnana. Umbra heyrir undir fjármála- og efnahagsráðuneytið.
1. Hvaða gagnavinnsla og gagnageymsla á vegum ráðuneytisins er í skýjum erlendra fyrirtækja? Óskað er eftir upplýsingum um hvort um er að ræða evrópsk fyrirtæki eða bandarísk.
Sameiginlegar skýjalausnir ráðuneytanna byggjast að verulegu leyti á þjónustu Microsoft. Fyrst og fremst er um að ræða lausnir innan Microsoft 365 skrifstofuhugbúnaðarsvítunnar.
Dæmi um lausnir innan Microsoft 365 eru Outlook, Word, excel, PowerPoint, Teams o.s.frv. sem eru nýttar í daglegum rekstri. Er hér átt við þær lausnir sem ráðuneytið nýtir miðlægt en tilfallandi aðrar lausnir geta verið nýttar tímabundið til reynslu, þjálfunar eða vegna sérhæfingar, má sem dæmi nefna Canva, ChatGPT og Adobe.
Skýjageirar ríkisins fyrir skrifstofuhugbúnað eru níu talsins í rekstri sjö ólíkra aðila samkvæmt upplýsingum frá Umbru. Ráðuneytin eru rekin saman (Umbra), heilbrigðisstofnanir í tveimur (Landspítali og Sjúkrahúsið á Akureyri), löggæsla í einum (ríkislögreglustjóri), dómskerfið í einum (Umbra), ríkisreknir háskólar og menntaskólar í einum (Háskóli Íslands), Landhelgisgæslan í einum (Landhelgisgæslan), Alþingi auk Ríkisendurskoðunar og umboðsmanns Alþingis í einum (Alþingi) og loks eru um 60 stofnanir sameiginlega í einum (Umbra).
Menningar-, nýsköpunar- og háskólaráðuneyti óskaði eftir svörum við fyrirspurninni frá undirstofnunum sínum. Svör voru flokkuð í 13 þjónustuflokka, sjá töflur 1–13. Hver töflufærsla stendur fyrir staka þjónustu hjá tiltekinni stofnun. Þannig getur hver stofnun komið fyrir oftar en einu sinni í hverri töflu, t.d. ef tiltekin stofnun notar fleiri en eitt mannauðskerfi þá kemur sú stofnun fyrir tvisvar í töflu 1.
Tafla 1. Fjárhags- og mannauðskerfi.
| Stofnun | Gögn vistuð |
Heimilisfesti endanlegra eiganda |
| Háskóli Íslands | Ísland | BNA |
| Hugverkastofan | Ísland | BNA |
| KMÍ | Ísland | BNA |
| Menntasjóður námsmanna (MSNM) | EES | EES (Holland) |
| MSNM | Ísland | Ísland |
| Náttúruminjasafn Íslands | Ísland | BNA |
| Samskiptamiðstöð heyrnarlausra og heyrnarskertra | Ísland | BNA |
| Samskiptamiðstöð heyrnarlausra og heyrnarskertra | Ísland | BNA |
| Sinfóníuhljómsveit Íslands | Ísland | BNA |
| Tilraunastöð HÍ – Keldum | Ísland | BNA |
| Þjóðminjasafnið | Ísland | BNA |
| Þjóðskjalasafn Íslands | Ísland | BNA |
Tafla 2. Gagnageymsla og gagnasýsla.
|
Stofnun
|
Gögn vistuð |
Heimilisfesti endanlegra eiganda |
|
Háskólinn á Akureyri
|
EES | BNA |
| Háskólinn á Akureyri | EES | BNA |
| Háskólinn á Akureyri | EES | BNA |
| Hugverkastofan | Ísland | EES (Frakkland) |
| Hljóðbókasafnið | Ísland | Ísland |
| Landsbókasafnið | Ísland | Ísland |
| Landsbókasafnið | ekki tiltekið | ekki tiltekið |
| MSNM | Ísland | ekki tiltekið |
| Samskiptamiðstöð heyrnarlausra og heyrnarskertra | EES (Holland) | EES (Holland) |
| Samskiptamiðstöð heyrnarlausra og heyrnarskertra | Ísland | Ísland |
| Sinfóníuhljómsveit Íslands | BNA | BNA |
Tafla 3. Gervigreind.
|
Stofnun
|
Gögn vistuð |
Heimilisfesti endanlegra eiganda |
| Háskólinn á Akureyri | BNA | BNA |
| Háskólinn á Akureyri | BNA | BNA |
| MSNM | EES | EES (Svíþjóð) |
| MSNM | Ísland | Ísland |
Tafla 4. Geymsla lykilorða.
| Stofnun | Gögn vistuð |
Heimilisfesti endanlegra eiganda |
| MSNM | EES | BNA |
| Þjóðskjalasafn Íslands | EES | ekki tiltekið |
Tafla 5. Lén/rótarföng.
| Stofnun | Gögn vistuð |
Heimilisfesti endanlegra eiganda |
| Háskóli Íslands | Ísland | Ísland |
| Háskólinn á Hólum | Ísland | Ísland |
| Hugverkastofan | Ísland | Ísland |
| Landsbókasafnið | Ísland | Ísland |
| LBHÍ | Ísland | Ísland |
Tafla 6. Þjónustuumhverfi Microsoft.
| Stofnun | Gögn vistuð |
Heimilisfesti endanlegra eiganda |
| Háskóli Íslands | EES | BNA |
| Háskólinn á Akureyri | EES | BNA |
| Háskólinn á Hólum | EES | BNA |
| KMÍ | EES (Írland) | Ekki tiltekið |
| LBHÍ | EES | BNA |
| Miðstöð íslenskra bókmennta | EES | BNA |
| MSNM | EES (Írland) | BNA |
| MSNM | EES (Írland) | BNA |
| MSNM | EES (Írland) | BNA |
| Náttúruminjasafn Íslands | EES (Írland) | Ekki tiltekið |
| Samskiptamiðstöð heyrnarlausra og heyrnarskertra | EES (Holland) | BNA |
| Sinfóníuhljómsveit Íslands | EES (Írland) | BNA |
| Þjóðskjalasafn Íslands | EES (Írland) | BNA |
Tafla 7. Nafnþjónusta (DNS).
| Stofnun | Gögn vistuð |
Heimilisfesti endanlegra eiganda |
| Háskóli Íslands | Ísland | Ísland |
| Hugverkastofan | Ísland | EES (Frakkland) |
| Landsbókasafnið | Ísland | Ísland |
| LBHÍ | Ísland | Ísland |
| Miðstöð íslenskra bókmennta | Innan og utan EES | Ekki tiltekið |
| MSNM | EES (Írland) | BNA |
| MSNM | Ísland | Ekki tiltekið |
Tafla 8. Póstþjónusta.
| Stofnun | Gögn vistuð |
Heimilisfesti endanlegra eiganda |
| Háskóli Íslands | EES (Írland og Holland) | BNA |
| Háskólinn á Akureyri | BNA | BNA |
| Hugverkastofan | EES | BNA |
| KMÍ | EES | BNA |
| Landsbókasafnið | EES | EES |
| LBHÍ | EES | BNA |
| MSNM | EES (Írland) | BNA |
| Þjóðskjalasafn Íslands | BNA | BNA |
Tafla 9. Samskiptaforrit.
| Stofnun | Gögn vistuð |
Heimilisfesti endanlegra eiganda |
| Háskóli Íslands | EES | BNA |
| Háskólinn á Akureyri | EES | EES (Þýskaland) |
| Háskólinn á Akureyri | EES | EES (Danmörk) |
Tafla 10. Tölvuöryggi.
| Stofnun | Gögn vistuð |
Heimilisfesti endanlegra eiganda |
| Háskólinn á Akureyri | EES | BNA |
Tafla 11. Meðhöndlun umsókna.
| Stofnun | Gögn vistuð |
Heimilisfesti endanlegra eiganda |
| Miðstöð íslenskra bókmennta | Ísland | Ekki tiltekið |
Tafla 12. Vefhýsing.
| Stofnun | Gögn vistuð |
Heimilisfesti endanlegra eiganda |
| Hugverkastofan | EES | BNA |
| KMÍ | Ísland | Ísland |
| Landsbókasafnið | Ísland | Ísland |
| LBHÍ | Ísland | Ísland |
| Náttúruminjasafn Íslands | Ísland | Ísland |
| Náttúruminjasafn Íslands | Ísland | Utan EES |
| Þjóðskjalasafn Íslands | Ísland | BNA |
Tafla 13. Önnur vefþjónusta.
|
Stofnun
|
Gögn vistuð |
Heimilisfesti endanlegra eiganda |
| Háskóli Íslands | EES | BNA |
| Háskóli Íslands | EES | BNA |
| Háskóli Íslands | EES | EES (Noregur) |
| Háskóli Íslands | EES | EES (Danmörk) |
| Háskóli Íslands | EES | EES (Noregur) |
| Háskóli Íslands | Ísland | Ísland |
| Háskólinn á Akureyri | BNA | BNA |
| Háskólinn á Akureyri | BNA | BNA |
| Háskólinn á Akureyri | BNA | BNA |
| Háskólinn á Akureyri | BNA | BNA |
| Háskólinn á Akureyri | BNA | BNA |
| Háskólinn á Akureyri | BNA | BNA |
| Háskólinn á Akureyri | EES | EES (Danmörk) |
| Háskólinn á Akureyri | EES | BNA |
| Háskólinn á Akureyri | EES | EES (Pólland) |
| Háskólinn á Akureyri | EES | BNA |
| Háskólinn á Akureyri | EES | EES |
| Háskólinn á Akureyri | EES | EES (Danmörk) |
| Háskólinn á Akureyri | EES | EES (Noregur) |
| Háskólinn á Akureyri | EES | EES |
| Háskólinn á Akureyri | EES | EES (Danmörk) |
| Háskólinn á Akureyri | EES | EES (Þýskaland) |
| Háskólinn á Akureyri | EES | EES (Svíþjóð) |
| Háskólinn á Akureyri | EES | EES (Danmörk) |
| Háskólinn á Akureyri | Bretland | Ekki tiltekið |
| Háskólinn á Akureyri | Bretland | Ekki tiltekið |
| Háskólinn á Akureyri | Bretland | Ekki tiltekið |
| Hugverkastofan | Ísland | Ísland |
| MSNM | EES | EES (Svíþjóð) |
| MSNM | EES | EES (Frakkland) |
| MSNM | EES | Ekki tiltekið |
| MSNM | Ísland | EES (Svíþjóð) |
| MSNM | Ísland | Ekki tiltekið |
| Náttúruminjasafn Íslands | EES (Þýskaland) og Ísland | EES (Þýskaland) |
| Náttúruminjasafn Íslands | Ísland | Ekki tiltekið |
| Náttúruminjasafn Íslands | EES (Þýskaland) | EES |
| Samskiptamiðstöð heyrnarlausra og heyrnarskertra | Bretland | Ísland |
| Samskiptamiðstöð heyrnarlausra og heyrnarskertra | Ísland | Ísland |
| Samskiptamiðstöð heyrnarlausra og heyrnarskertra | EES (Tékkland) | EES (Tékkland) |
| Samskiptamiðstöð heyrnarlausra og heyrnarskertra | BNA | BNA |
| Sinfóníuhljómsveit Íslands | EES | EES (Þýskaland) |
| Þjóðskjalasafn Íslands | BNA | BNA |
| Þjóðskjalasafn Íslands | EES (Belgía) | EES (Slóvenía) |
| Þjóðskjalasafn Íslands | EES | Ekki tiltekið |
Athugasemd frá forstöðumanni Hljóðbókasafnsins:
Við prófanir fyrir um ári síðan kom í ljós að miðlunarkerfi Hljóðbókasafnsins virka vel óháð útlandasambandi, þ.e.a.s. þótt Ísland yrði sambandslaust við útlönd ættu lánþegar að geta hlustað á bækurnar snurðulaust.
Framleiðsla á STEM-bókum í verkefninu „Þróaðra MathCat á íslensku“ fer að einhverju leyti fram á erlendum þjónum sem mjög líklega eru staðsettir í BNA. Þetta er átaksverkefni sem hefur takmarkaðan líftíma og snýr að mjög litlum hluta (< 3%) af þeim bókum sem safnið gerir aðgengilegar á hverju ári.
2. Hvaða gögn á vegum ráðuneytisins eru geymd í skýjum erlendra fyrirtækja? Óskað er eftir upplýsingum um hvort um er að ræða evrópsk fyrirtæki eða bandarísk.
Gögn ráðuneytanna sem hýst eru í skýjalausnum erlendra þjónustuaðila eru fyrst og fremst til komin vegna almennra daglegra starfa. Þetta eru til að mynda tölvupóstar, skjöl, samskiptagögn, dagatöl, skrár og önnur rekstrargögn sem verða til í daglegri starfsemi. Vísað er í yfirlitstöflur varðandi gögn hjá stofnunum á vegum ráðuneytisins.
3. Hefur ráðuneytið skilgreint stafrænt fullveldi í netmiðlun þess?
Ráðuneytið hefur ekki skilgreint „stafrænt fullveldi í netmiðlun“ út af fyrir sig. Hins vegar eru aðgerðir sem snúa að gervigreindarfullveldi (e. sovereign AI), eitt helsta áherslumál ráðuneytisins.
Nánari upplýsingar frá Umbru:
Ekki hefur verið sett fram ein sameiginleg, formleg skilgreining á stafrænu fullveldi í gagna- og upplýsingamálum ráðuneytanna. Hins vegar taka þau í framkvæmd mið af sömu meginsjónarmiðum, svo sem yfirráðum yfir gögnum, öryggi, aðgangsstýringum, staðsetningu vinnslu og geymslu gagna, samræmi í lausnum og því að verða ekki of háð einstökum þjónustuaðilum.
Umræða um stafrænt fullveldi hefur aukist vegna vaxandi óvissu í alþjóðlegum stjórnmálum. Í því samhengi hefur sjónum verið beint að bandarískri löggjöf sem veitir yfirvöldum heimildir til að afla upplýsinga frá þarlendum fyrirtækjum til að rannsaka glæpi og verjast hryðjuverkum. Þessar heimildir hafa m.a. vakið upp spurningar varðandi persónuverndarsjónarmið, þar sem hætta þykir á að bandarísk stjórnvöld geti krafist aðgangs að gögnum evrópskra viðskiptavina.
Persónuverndarfulltrúi Stjórnarráðsins hefur nýlega lokið sérstakri greiningu þar sem lagt var mat á heimildir bandarískra yfirvalda til aðgangs að persónuupplýsingum. Niðurstaða þeirrar greiningar var að ekki þyki þörf á frekari athugunum eða sérstöku mati af hálfu Stjórnarráðsins á þessu stigi. Sú niðurstaða byggist að miklu leyti á og er í fyllsta samræmi við viðamiklar greiningar annarra Evrópuþjóða á þessum sömu áskorunum, ekki síst ítarlegt mat hollenskra stjórnvalda á sambærilegum skýjalausnum.
Önnur Evrópuríki eru í svipaðri eða sömu stöðu gagnvart ríkjandi markaðsstöðu bandarískra hugbúnaðarfyrirtækja. Einna helst hefur verið rætt um þjónustu Microsoft í þessu samhengi (Microsoft 365 og Azure), en Amazon Web Services (AWS) og Oracle eru önnur dæmi.
Þó stjórnvöld séu meðvituð um áhættuna sem fylgir því að eiga í umfangsmiklum viðskiptum við einn stóran þjónustuveitanda er það metið svo að núverandi fyrirkomulag tryggi hærra öryggisstig en væri mögulegt í öðru fyrirkomulagi. Lausnir Microsoft eru í fremstu röð á heimsvísu þegar kemur að öryggisgetu, vöktun og uppfærsluferlum. Val á leyfategundum og útfærslum hefur einnig mótast af ströngum öryggiskröfum og þörf fyrir samræmdar varnir.
Stjórnvöld telja óraunhæft að sinna sambærilegri öryggisvöktun og reglubundnu eftirliti að fullu innan lands. Þar vegur þungt að stórir rekstraraðilar búa yfir getu og sérþekkingu sem nauðsynleg er til að bregðast skjótt við netógnum, t.d. með hröðum uppfærslum og afritun, sem styrkir varnir gegn algengum netárásum. Samhliða þessu er einnig lögð áhersla á mótvægisaðgerðir til að auka seiglu og draga úr líkum á þjónusturofi. Til að tryggja rekstrarsamfellu er m.a. mikilvægt að tryggja staðbundna afritun og skýrar viðbragðsáætlanir.
Bæði Microsoft og Amazon hafa skuldbundið sig til að vista gögn ríkisins eingöngu innan Evrópu. Þetta er gert til að tryggja rekstrarþol og endurheimt við þjónusturof, uppfylla lagaskyldur og takmarka áhættu. Í tilfelli Íslands er það Evrópa. Þessu til viðbótar hafa rekstraraðilar opinberra skýjageira hérlendis framkvæmt eigin öryggisafritanir. Stjórnvöld leggja áherslu á að þessar skuldbindingar endurspeglist að fullu í samningsskilmálum. Sjá nánar:
a. Microsoft Data Protection Addendum 1
b. Microsoft 365 Data Residency 2
c. Viðbrögð Microsoft við viðskiptarofi 3
d. Styrkt gagnaþol hjá Microsoft (e. data resilience) 4
e. Skuldbindingar Microsoft um viðskiptarof á EES 5
f. AWS European Sovereign Cloud 6
Stjórnvöld munu áfram fylgjast grannt með tækniþróun á þessu sviði og taka virkan þátt í samstarfi Evrópuríkja til að mæta þessum sameiginlegu áskorunum.
4. Er rótarfang, vefur, póstþjónn eða nafnaþjónn ráðuneytisins og undirstofnana skráður á Íslandi?
Já, öll lén (rótarföng) ráðuneytisins og undirstofnana eru skráð á Íslandi undir landsléninu .is hjá ISNIC. Hvað varðar vefi, póstþjóna og nafnaþjóna þá lýtur það að rekstri og hýsingu þeirrar tækniþjónustu fremur en formlegri skráningu.
5. Hefur verið tryggt innan ráðuneytisins að tölvupóstur sé virkur ef samband rofnar við útlönd?
Til er viðbragðsáætlun til að tryggja tölvupóstsamskipti ef samband við útlönd rofnar. Meginþorri tölvupóstþjónustu stjórnvalda er í skýjalausnum utan Íslands og viðbragðsáætlunin tekur mið af tveimur meginsviðsmyndum:
Ef hefðbundið netsamband um sæstrengi dettur út hefur Umbra, í samstarfi við Farice, komið á varaleið um gervihnetti sem þegar er komin í prófanir. Þessi leið tryggir að bæði innlend og erlend tölvupóstsamskipti haldi áfram án verulegs rofs. Til lengri tíma litið hefur Ísland einnig tryggt sér aðgang að öruggum fjarskiptatengingum í gegnum gervihnattakerfi Evrópusambandsins sem mun styrkja þessar varnir enn frekar.
Ef allt samband rofnar við útlönd, þ.m.t. gervihnattasamband, fellur tenging við skýjalausnir erlendis niður. Í þeirri sviðsmynd tekur við viðbragðsáætlun um að endurreisa staðbundið póstkerfi sem byggist á gagnaafritum sem hýst eru á Íslandi. Slík endurreisn tryggir innlenda tölvupóstþjónustu milli ráðuneytanna og annarra innlendra aðila.
1 www.microsoft.com/licensing/docs/view/Microsoft-Products-and-Services-Data-Protection-Addendum-DPA
2 www.microsoft.com/en-gb/trust-center/privacy/data-location
3 learn.microsoft.com/en-us/compliance/assurance/assurance-resiliency-and-continuity
4 learn.microsoft.com/en-us/compliance/assurance/assurance-resiliency-and-continuity
5 blogs.microsoft.com/blog/2025/06/16/announcing-comprehensive-sovereign-solutions-empowering-european-organizations/
6 aws.amazon.com/blogs/security/introducing-the-overview-of-the-aws-european-sovereign-cloud-whitepaper/
