瑞典政府於2026年6月發布《瑞典雲端政策》（A cloud policy for Sweden），旨在透過雲端服務提升公共行政部門的安全性、運作效率與創新能力。該政策主要為瑞典中央政府機關使用雲端服務提供指引，並期望同時為市鎮、區域政府及執行公共資金補助業務的私人機構提供參考。
一、雲端服務的使用原則
雲端服務可提供運算、儲存、網路及應用程式等資訊科技資源，協助公共行政部門發展數位服務、整合系統及調整資訊科技資源的使用規模。然而，雲端服務的採用仍須考量資訊安全、成本效益、資料控制及業務持續運作等需求。
各公共行政機關應依自身業務、資訊敏感程度及風險評估，決定是否採用雲端服務及適合的部署方式，並對相關決策負責。面對地緣政治情勢變化及資訊科技供應鏈依賴等風險，各機關亦須確保對系統、服務及功能具備足夠的控制能力。
瑞典政府同時重視歐洲的數位自主性及科技競爭力，並支持與國際市場持續合作。數位自主性並不代表排除非歐洲供應商，而是應依風險及安全需求選擇服務，確保供應商與相關服務符合必要條件。
二、公共行政部門使用雲端服務的政策指引
（一）依風險評估決定雲端服務的使用方式
瑞典政府的政策指引強調，公共行政部門在使用雲端服務時，應依據所處理資訊的防護需求及相關資訊安全考量進行評估，並系統性落實資訊安全與網路安全工作，同時規劃在不利條件下維持業務持續運作的措施。
在資訊安全方面，瑞典政府指出，部分國家的法規可能要求企業向該國主管機關提供資料，即使相關資料是在該國境外處理或儲存，仍可能受到該國法規影響。因此，瑞典公共部門在使用雲端服務時，須考量資訊安全及個人資料跨境傳輸的合規要求，確保相關傳輸符合歐盟《一般資料保護規則》（General Data Protection Regulation, GDPR）。
另，歐盟與美國於2022年就《資料隱私框架》（EU-US Data Privacy Framework, EU-US DPF）達成協議，歐盟執委會並於2023年據此作成適足性認定。依該認定，個人資料可在符合適用條件下傳輸至列入 EU-US DPF 名單的美國組織；符合相關條件的傳輸，無須額外採取保障措施。
（二）兼顧成本效益與服務需求
瑞典政府指出，相較於設於機關內部的資訊科技（IT）解決措施，雲端服務可透過規模經濟，以及更快速開發並推出民眾服務，提升成本效益，且通常亦能提供較高的安全性。因此，在許多情況下，雲端及標準化解決措施可能較適合瑞典公共行政部門使用。新應用程式及服務可透過雲端服務開發與部署，既有系統亦可在適當情況下遷移至雲端。
在 IT 產品與服務的採購方面，瑞典國家採購服務中心（National Procurement Services）負責政府機關的集中採購，市鎮及區域政府亦可透過其資訊科技領域的框架協議下單。此外，瑞典地方政府與區域協會（Swedish Association of Local Authorities and Regions, SALAR）的成員，可透過集中採購機構 Adda AB 採購相關產品與服務。
在瑞典中央政府 IT 維運方面，瑞典政府依據《協調且安全的中央政府 IT 維運條例》，指定瑞典社會保險局（Swedish Social Insurance Agency）擔任協調主管機關及服務供應主管機關。該局並與瑞典測繪、地籍與土地登記局（Swedish Mapping, Cadastral and Land Registration Authority）、瑞典稅務局（Swedish Tax Agency）及瑞典交通管理局（Swedish Transport Administration）等機關合作，在中央政府協調服務的架構下提供 IT 維運服務，包括雲端服務，並協助其他政府機關選擇適當的 IT 維運方案。
（三）依不同需求提高雲端服務效益
瑞典政府指出，公共行政部門的不同業務對雲端服務有不同需求。有些業務需要依自身需求客製化調整服務，有些則重視能夠迅速開始使用服務。因此，公共行政部門可能需要採用不同類型的雲端解決措施，以有效且安全地達成良好成果，提高雲端服務對業務的效益。
在資料保護方面，瑞典數位政府局（Swedish Agency for Digital Government, DIGG）已制定資料保護相關方法指引，可應用於數位化及數位業務發展工作。此外，瑞典公共部門行動者也可透過參與合作計畫，例如瑞典數位基礎設施 Ena，分享數位基礎設施相關經驗。
（四）提升系統可攜性，降低供應商綁定風險
瑞典政府認為，雲端服務市場應保持活躍並有效運作。雖然雲端服務有助於公共行政部門處理資料，但若機關因使用特定雲端服務而受制於特定供應商，亦可能產生相關風險。因此，公共部門行動者應確保在有需要時，能夠迅速將資料移轉至其他供應商，或改由內部自行管理相關系統。
為降低對特定供應商的依賴，瑞典政府支持採用有助於提升可移轉性的標準與解決措施。公共行政部門開發新應用程式時，必須確保應用程式及資料可以在不同系統之間移轉。使用無法自由取得原始碼的專有服務時，亦可能需要預先規劃替代方案。此外，雲端服務合約應納入退出條款，確保機關在有需要時，能將應用程式及資料移轉至其他供應商，或自行接管相關系統的管理工作。
瑞典政府亦強調公共行政部門與雲端服務供應商維持良好溝通的重要性。政府機關、市鎮及區域政府若能清楚向市場表達需求，有助於提升市場滿足相關需求的能力。在公共採購方面，瑞典政府亦鼓勵採購機關及組織接洽更多供應商，並確保供應商了解招標機會，以利不同規模的企業參與公共採購。
在歐盟層級，歐盟《資料法》（Data Act）於2025年9月12日生效，訂定資料公平存取與使用的統一規則。該法亦旨在便利使用者更換雲端服務供應商，並促進歐盟內部的資料共享及互通性。
（五）強化對資料、資訊科技運作及技術的控制
瑞典政府將強化數位自主性、降低戰略性依賴，以及提升公共行政部門選擇不同數位解決方案的能力，列為重要政策目標。公共部門使用雲端服務時，應依據資訊所需的保護程度、服務功能及相關風險，決定所需的資料掌控程度，並選擇符合安全及法規要求的解決措施。
瑞典公共行政部門處理的資訊包括個人資料、列為高度機密的資訊及其他經分類的資訊。透過雲端服務處理這些資訊時，必須採用依據業務需求、風險及資訊保護程度設計的安全措施。此外，公共部門行動者必須依據瑞典《保護安全法》（Protective Security Act）及《保護安全條例》（Protective Security Ordinance），逐案確認符合適用的保護安全要求。
數位自主性是指對資料及系統具有掌控能力，並確保外部第三方無法影響資料或核心功能、存取相關資料，或阻止他人存取資料與核心功能。相關措施可分為技術及非技術措施。技術措施包括資料加密，以及防止不同使用者存取彼此資料的機制；非技術措施則可包括將雲端服務設於歐盟境內的資料中心、確保服務人員為符合必要安全要求的歐盟公民，以及使服務受到瑞典或歐盟司法管轄。
瑞典政府亦指出，即使將 IT 維運委外給歐洲供應商，仍可能因相關國家的法規賦予主管機關存取資料的權利，而影響數位自主性。因此，相關控制措施應依風險程度調整；涉及需要高度保護的資訊，以及對可用性有高度要求的關鍵服務時，應使用能提供高度掌控能力的解決措施，並確保在地緣政治事件或網路安全事故等危機情況下，仍能維持必要服務，並在有需要時更換服務供應商。
在法規配套方面，瑞典《資訊公開與保密法》（Public Access to Information and Secrecy Act）第10章第2a條，允許政府機關將機密資訊交由私人，或交由另一政府機關代表該機關進行技術處理或儲存。此項規定旨在改善政府機關委外或協調 IT維運的條件，並加強 IT 維運委外時交由私人處理之資料的保護。此外，歐盟執委會制定的《雲端自主性架構》（Cloud Sovereignty Framework），可協助採購機關及組織向雲端服務供應商提出相關問題，以確保所選服務具備適當程度的數位自主性。
（六）明確規範供應商及資訊科技供應鏈要求
瑞典公共部門應持續向雲端服務供應商提出明確要求，確保整個供應鏈中，資料的處理、儲存、傳輸及保護均有清楚規範。
在網路安全方面，瑞典政府已指派隸屬瑞典國防無線電機構（FRA）的國家網路安全中心（NCSC），負責制定公共採購相關的網路安全要求，以及資訊與通訊科技（ICT）產品與服務供應鏈的網路安全指引。相關報告最遲須於2026年12月11日提交。
此外，瑞典政府於2025年委託瑞典民防與韌性局制定數位供應鏈監督模式，以補充公共行政部門既有的系統化資訊安全管理監督架構。該項委託工作已提出報告。