Spørgsmålet er flyttet fra IT til HR
For få år siden var hosting noget, IT svarede på i et bilag til kontrakten. Sådan er det ikke længere.
Et LMS rummer nogle af de mest følsomme oplysninger, I har om jeres medarbejdere: hvem der har gennemført den obligatoriske træning, hvem der mangler, hvilke kompetencer den enkelte har, testresultater og i nogle tilfælde trivselsmålinger. Det er data om mennesker, ikke om processer.
Samtidig er afhængigheden af få udenlandske leverandører blevet et politisk emne herhjemme. Digitaliseringsstyrelsen, KL og Danske Regioner fik i januar 2026 lavet en erfaringsopsamling om digital suverænitet, og regeringen har varslet en national handlingsplan i løbet af 2026. Første punkt på analysens liste over kerneudfordringer er “høj afhængighed af større leverandører og manglende konkurrence”.
Det har en helt praktisk konsekvens. Når HR skal have et nyt læringssystem godkendt, kommer spørgsmålet om data tidligere i processen end før. Og det er som regel HR, der skal kunne svare på det.
“Data i EU” er ikke det samme som data i Danmark
Næsten alle LMS-leverandører skriver i dag, at data ligger i EU. Det lyder beroligende, men dækker over tre vidt forskellige situationer:
- Europæisk serverlokation, amerikansk ejerskab. Data ligger fysisk i Frankfurt eller Dublin, men driften håndteres af et selskab, der er underlagt amerikansk lovgivning.
- Europæisk leverandør på amerikansk infrastruktur. Leverandøren er europæisk, men kører platformen hos en hyperscaler. Det er underleverandøren, der reelt sætter vilkårene.
- Dansk selskab, dansk infrastruktur. Data ligger i Danmark, og både leverandør og drift er kun underlagt dansk og europæisk lovgivning.
Forskellen handler ikke om geografi. Den handler om jurisdiktion, altså hvilket lands myndigheder der kan stille krav til den virksomhed, som har adgang til jeres data.
Læs underleverandørlisten i jeres databehandleraftale, før I konkluderer, hvilken af de tre kategorier jeres nuværende system hører til. En del bliver overraskede.
Hvorfor ejerskab betyder mere end serverens placering
Den amerikanske CLOUD Act giver amerikanske myndigheder mulighed for at kræve data udleveret af amerikansk ejede virksomheder. Også når data ligger i EU. Digitaliseringsstyrelsens analyse siger det lige ud: regulering som CLOUD Act “kan pålægge amerikanske leverandører at udlevere data, selv når de er lagret i EU”.
Oven i det har grundlaget for at overføre persondata til USA været under pres flere gange. Safe Harbor faldt. Privacy Shield faldt. Det nuværende EU-US Data Privacy Framework blev godkendt af EU-Retten i september 2025, men afgørelsen er anket til EU-Domstolen, og diskussionen er langtfra slut.
Pointen er ikke, at det er ulovligt at bruge amerikanske leverandører. Det er det ikke. Pointen er, at grundlaget kan ændre sig, og at det så er jer, der skal bruge tid og penge på at rydde op.
Har I en læringsplatform med ti års historik om tusindvis af medarbejdere, er det ikke en øvelse, I har lyst til at tage hvert tredje år. Ligger data hos en dansk leverandør i danske datacentre, forsvinder spørgsmålet helt. Ikke fordi risikoen er håndteret, men fordi den aldrig opstår.
Danske datacentre, dansk selskab, dansk lovgivning
Plan2learn er udviklet i Danmark og drevet af en dansk virksomhed med hovedkontor i Aarhus. Persondata i Plan2learn hostes udelukkende i datacentre i Danmark.
Det betyder i praksis:
- Persondata forlader ikke Danmark
- Dansk og europæisk lovgivning er det eneste gældende regelsæt
- Ingen tredjelandsoverførsel at risikovurdere i jeres databehandleraftale
- Leverandør og drift kan fanges på dansk, i dansk tidszone
Plan2learn er desuden leverandør til stat og kommuner via SKI 02.19. Løsningen er altså allerede vurderet i en offentlig indkøbsramme. Du kan læse mere om sikkerhed i Plan2learn her.
For private virksomheder er værdien mere jordnær: færre spørgsmål at besvare, når jeres DPO eller koncern-IT skal godkende systemet, og kortere vej fra beslutning til drift.
Hvad en ISAE 3402-erklæring faktisk fortæller jer
Erklæringer bliver tit brugt som logoer på en hjemmeside. De kan meget mere end det, hvis du ved, hvad du kigger efter.
Plan2learn revideres årligt efter ISAE 3000 og ISAE 3402. ISAE 3402-erklæringen for 2024/2025 er fuldt ud bygget på ISO 27001:2022 med fuld dækning af Statement of Applicability.
Det giver jer tre ting:
- En uafhængig revisor har gennemgået kontrollerne. Ikke bare læst en politik, men testet om den bliver fulgt.
- Kontrollerne følger en anerkendt international standard i stedet for leverandørens egen definition af god sikkerhed.
- “Fuld dækning af Statement of Applicability” betyder, at der ikke er plukket enkelte, bekvemme kontroller ud.
Bed altid om selve erklæringen, ikke bare om en bekræftelse på, at den findes. En Type 2-erklæring dækker en periode og siger noget om, hvordan kontrollerne har virket over tid. Det er den, der har værdi i en risikovurdering.
Sikkerhed handler også om, hvem internt der kan se hvad
Diskussionen om datacentre skygger tit for den risiko, der fylder mest i hverdagen: at for mange i organisationen kan se for meget.
I en stor organisation er det ikke nok, at data er sikre mod omverdenen. En kursusadministrator på ét hospital skal ikke kunne se deltagerlister fra et andet. En leder skal kunne følge sine egne medarbejdere, ikke naboafdelingens.
Region Hovedstaden har omkring 60.000 brugere på Plan2learn og har samarbejdet med os i cirka 18 år. Regionen fremhæver netop granuleringen af adgange som værdifuld, fordi rettighederne kan følge regionens egen organisationsstruktur. Det er en forudsætning for at efterleve GDPR i praksis, ikke kun på papiret.
Når I vurderer et LMS, er spørgsmålet derfor ikke kun, hvor data ligger. Det er også, om adgangene kan afspejle, hvordan I faktisk er organiseret.
NIS2: jeres leverandørkæde bliver jeres ansvar
NIS2 har gjort leverandørstyring til et direkte ledelsesansvar for de omfattede organisationer. Er I omfattet, skal I kunne dokumentere, at I har vurderet risikoen ved jeres leverandører. Også dem, der leverer læring og kompetencedokumentation.
Det gør to ting relevante, når I vælger LMS:
- Gennemsigtighed i leverandørkæden. Jo færre led mellem jer og den fysiske server, jo færre vurderinger skal I lave og holde ved lige.
- Dokumentation, I kan genbruge. En revideret erklæring fra leverandøren sparer jer for at bygge vurderingen op fra bunden.
Plan2learn er ikke direkte omfattet af NIS2, men arbejder i løbet af 2026 hen mod fuld NIS2-efterlevelse. Formålet er praktisk: at kunne levere den dokumentation, vores kunder i regioner, kommuner og regulerede brancher får brug for.
8 spørgsmål, I bør stille enhver LMS-leverandør
Brug dem i udbud, i leverandørdialogen eller som intern tjekliste:
- I hvilket land ligger persondata fysisk, og kan I få det dokumenteret?
- Hvilket selskab ejer og driver platformen, og hvilken lovgivning hører det under?
- Hvem er underleverandører på drift og hosting, og hvor hører de hjemme?
- Overføres persondata til tredjelande? Også i forbindelse med support, backup eller logning?
- Hvilke revisionserklæringer findes der, for hvilken periode, og må I se dem?
- Kan adgangsrettigheder afspejle jeres organisation helt ned på afdelings- eller enhedsniveau?
- Hvad sker der med dokumentationen for gennemførte kurser, når en medarbejder fratræder?
- Hvad sker der med jeres data, hvis I opsiger aftalen?
Spørgsmål 3 og 4 er dem, der oftest giver et andet svar end forventet.
Sikkerhed er en forudsætning, ikke et salgsargument
Ingen vælger en læringsplatform, fordi den har et dansk datacenter. Man vælger den, fordi den løser et problem med onboarding, kursusadministration eller kompetencestyring.
Til gengæld fravælger man en platform, fordi sikkerheden ikke kan dokumenteres. Og man bruger urimeligt meget tid på en platform, hvor spørgsmålet om data skal tages op igen, hver gang lovgivningen flytter sig.
Plan2learn er bygget til organisationer, hvor det spørgsmål skal være afklaret, før samtalen om læring overhovedet går i gang. Dansk virksomhed, danske datacentre, revideret årligt.
Vil I se, hvordan det ser ud i praksis? Book en demo, så gennemgår vi både platformen og den dokumentation, jeres IT- og complianceafdeling får brug for.
