Eurooppalainen keskustelu digitaalisesta suvereniteetista on viime vuosina keskittynyt pilvipalveluihin, toimistosovelluksiin ja datakeskusten sijaintiin. Identiteetinhallinta on jäänyt katveeseen. Nyt se on muuttumassa. Kolme esimerkkiä osoittaa, miten eri puolilla Eurooppaa on siirrytty puheista käytäntöön nimenomaan identiteettitasolla.
Schleswig-Holstein: identiteettihakemiston vaihto ja miljoonasäästöt
Saksan Schleswig-Holsteinin osavaltio on Euroopan näkyvin esimerkki siitä, miten julkinen sektori voi irrottautua yhdysvaltalaisesta identiteettiekosysteemistä. Osavaltio on siirtänyt 80 prosenttia työasemistaan avoimiin ratkaisuihin, mutta merkittävintä on se, mitä tapahtui pinnan alla: identiteettihakemisto korvattiin eurooppalaisella vaihtoehdolla.
Käytännössä tämä tarkoitti yli 40 000 sähköpostilaatikon ja yli 100 miljoonan viestin siirtoa sekä 30 000 työntekijän identiteettiympäristön uudelleenrakentamista avoimille standardeille. Kertaluonteinen investointi oli yhdeksän miljoonaa euroa. Vuotuinen lisenssisäästö on yli 15 miljoonaa euroa. Takaisinmaksuaika jäi alle vuoden.
Schleswig-Holsteinin esimerkki osoittaa, ettei kyse ole pelkästä periaatteesta. Taloudellinen perustelu on vahva, ja se alkaa identiteettitasolta.
Ranska: suvereniteettivaatimus lakiin asti
Ranskassa käännekohta oli kesäkuu 2025, jolloin suuren yhdysvaltalaisen pilvipalveluntarjoajan lakiasiainjohtaja myönsi Ranskan senaatissa valaehtoisesti, ettei yhtiö voi taata ranskalaisten datan suojaa Yhdysvaltain viranomaispyynnöiltä. Poliittinen reaktio oli nopea.
Maan julkishallinto siirtyy kotimaisiin viestintäratkaisuihin. SecNumCloud-sertifiointi edellyttää, että arkaluonteista dataa käsittelevät palveluntarjoajat eivät ole kolmansien maiden lainsäädännön piirissä. Tämä koskee nimenomaan identiteettikerrosta: autentikaatiotietoja, käyttöoikeusrakenteita ja auditointilokeja.
Ranska ei siis ainoastaan suosittele eurooppalaisia vaihtoehtoja, vaan tekee niistä käytännössä pakollisia arkaluonteisen datan käsittelyssä.
Berliinin julistus: poliittinen signaali, joka odottaa toimeenpanoa
Marraskuussa 2025 kaikki EU:n jäsenvaltiot allekirjoittivat Berliinissä julistuksen Euroopan digitaalisesta suvereniteetista. Julistus määrittelee suvereniteetin EU:n kyvyksi toimia itsenäisesti ja tehdä autonomisia päätöksiä digitaalisesta infrastruktuuristaan.
Atlantic Councilin analyysi huomauttaa, että retoriikka on vahvistunut merkittävästi, mutta toimeenpano jää jälkeen. Identiteetinhallintaa julistus ei mainitse erikseen. Se on sekä heikkous että mahdollisuus: organisaatiot, jotka arvioivat IAM-suvereniteettiaan nyt, ovat edellä siinä vaiheessa, kun poliittinen tahto muuttuu sääntelyksi.
Mitä tämä tarkoittaa suomalaiselle organisaatiolle?
Schleswig-Holstein osoittaa, että siirtymä on taloudellisesti perusteltua. Ranska osoittaa, että sääntely-ympäristö kiristyy. Berliinin julistus osoittaa, mihin suunta on.
Suomessakin keskustelu on käynnistynyt: riippuvuus yhdysvaltalaisista palveluista on noussut julkiseen keskusteluun, ja NIS2-implementaatio pakottaa organisaatiot arvioimaan kriittisen infrastruktuurinsa hallintaa uudelleen.
Keskustelu ei kuitenkaan ole vielä ulottunut identiteettitasolle. Juuri siinä on suurin piilevä riski ja samalla suurin mahdollisuus toimia ennen kuin sääntely pakottaa.