Fyra krav som avgör TMS - juridik och hållbarhet
I en tid då prislappen inte längre är ensamt avgörande, granskas åkeriers digitala infrastruktur allt hårdare. US CLOUD Act, FISA 702, CSRD Scope 3 och automatiserad cabotagekontroll har blivit obligatoriska krav i upphandlingar. Denna djupanalys reder ut vad som faktiskt krävs och hur Navichain erb
CLOUD Act, FISA 702,
CSRD Scope 3 och cabotage:
Fyra krav som avgör
vilket TMS du får välja
Storföretag och kommuner exkluderar redan idag åkerier vars digitala infrastruktur inte klarar juridisk granskning. Den här artikeln är den fullständiga referensguiden — exakt vad varje krav innebär, varför GDPR inte räcker, och hur navichain är byggt för att möta alla fyra utan tillägg.
Det är inte längre prislappen per kilometer som avgör om ett åkeri vinner en upphandling. Under 2026 har fyra regulatoriska krav förflyttats från juridikavdelningens notiser till inköpsformulärens obligatoriska fält: immunitet mot US CLOUD Act, immunitet mot FISA Section 702, automatiserad CSRD Scope 3-rapportering och inbyggd cabotagekontroll i realtid.
Dessa krav är strukturellt annorlunda än tidigare regulatoriska utmaningar som GDPR eller yrkestrafiktillstånden. De är antingen uppfyllda per design — i hur systemet är ägt, byggt och integrerat — eller inte alls. Det räcker inte att leverantören lovar att "titta på det" eller hänvisar till ett tredjepartscertifikat som inte täcker just dessa lagar.
Den här artikeln är den fullständiga referensguiden. Vi reder ut exakt vad varje krav innebär i juridisk och praktisk mening, vilka missuppfattningar som sprids av TMS-leverantörer som inte klarar kraven, och hur navichain är konstruerat för att möta alla fyra utan workarounds.
01 /US CLOUD Act & FISA 702: Två lagar som hotar din affärsdata — oavsett var servrarna står
Den vanligaste missuppfattningen i TMS-branschen är att frågan om datasuveränitet handlar om serverplacering. Leverantörer marknadsför "EU-servrar" och "GDPR-compliance" som om det vore ett svar på CLOUD Act och FISA 702. Det är inte fel — men det är inte hela sanningen. Den rätta frågan är inte var servrarna befinner sig. Det är vem som äger bolaget som driftar dem.
Vad är US CLOUD Act?
Clarifying Lawful Overseas Use of Data Act (CLOUD Act, Pub.L. 115–141) trädde i kraft 2018 och skapar ett tydligt prejudikat: amerikanska federala myndigheter — FBI, DOJ, DHS — har rätt att tvinga US-registrerade bolag att lämna ut lagrad data oavsett var i världen den fysiskt befinner sig. Det krävs ett domstolsbeslut i USA, men det behövs inget EU-domstolsgodkännande. Varken Schrems II-domen, GDPR eller dataöverföringsavtal (SCCs) upphäver denna skyldighet för det US-ägda bolaget.
I praktiken innebär det att ett åkeri som lagrar ruttdata, kundkontrakt, prissättning och planeringsinformation hos ett TMS driftat av Microsoft Azure, AWS eller Google Cloud — oavsett om servern fysiskt befinner sig i Frankfurt eller Stockholm — har all den datan exponerad mot ett potentiellt CLOUD Act-krav. Det US-ägda bolaget är rättsligt skyldigt att svara på begäran, utan rätt att vänta på EU-domstolsbeslut.
FISA Section 702 — den mer svårfångade lagen
Foreign Intelligence Surveillance Act, Section 702 (50 U.S.C. § 1881a) tillåter något fundamentalt annorlunda: proaktiv, storskalig och hemlig insamling av kommunikation och data som tillhör icke-amerikanska medborgare via US-baserade tjänsteleverantörer — utan att ett brott behöver misstänkas, utan domstolsbeslut och utan att den drabbade informeras eller kan bestrida det.
Det var FISA 702 som låg bakom NSA:s PRISM-program, avslöjat av Edward Snowden 2013. PRISM gav NSA direkt tillgång till data hos bolag som Google, Microsoft, Apple och Facebook — information som tillhörde icke-amerikaner och aldrig hade begärts ut via formella processer. Programmet är fortfarande aktivt. Den amerikanska kongressen förlängde FISA 702 år 2024.
Skillnaden mot CLOUD Act: CLOUD Act kräver (åtminstone) ett domstolsförfarande för en namngiven person eller organisation. FISA 702 tillåter precisionsinriktad massövervakning utan alla dessa krav — riktad mot kategorier av utländsk kommunikation, inte mot specifika individer med namngivna brott.
Varför GDPR-compliance inte räcker som svar
En TMS-leverantör kan vara fullt GDPR-certifierad och ändå juridiskt skyldig att svara på ett CLOUD Act-krav eller lämna data tillgänglig för FISA 702-program. Det beror på att dessa tre juridiska ramverk — GDPR, CLOUD Act, FISA 702 — existerar parallellt och reglerar olika saker.
GDPR reglerar hur data får samlas in, behandlas, lagras och raderas. CLOUD Act och FISA 702 reglerar vem som har rätt att kräva ut data, och via vilken process. En leverantör kan perfekt uppfylla GDPR-kraven och ändå vara skyldig att lämna ut din rutthistorik till FBI. Det är inte en hypotetisk risk — det är en juridisk skyldighet inbyggd i det US-ägda bolagets existens som rättssubjekt under amerikansk lag.
Varningssignaler från TMS-leverantörer
"Vi har EU-servrar och är GDPR-compliant" som svar på CLOUD Act-frågan är ett starkt tecken på att leverantören antingen inte förstår lagstiftningen — eller förstår den och hoppas att du inte gör det. Begär skriftlig bekräftelse på att ingen del av infrastrukturen ägs eller driftas av ett US-registrerat bolag, och att inga tjänster från hyperscalers (AWS, Azure, GCP) ingår i leveransen.
"Att ha servrar i EU är nödvändigt men inte tillräckligt. CLOUD Act når din data via ägarkedjan. FISA 702 når den via tjänsteleverantören. Båda kringgår europeisk rätt — och GDPR-certifikatet skyddar dig mot ingendera."
— Navichain juridisk analys, Q1 2026Navichains konstruktion: immun mot båda lagarna
Navichain ägs och driftas av Navilog Solutions AB — ett renodlat svenskt bolag utan amerikanska ägarband, utan US-noterade moderbolag och utan tekniska tjänster från hyperscalers som lyder under CLOUD Act eller FISA 702. Systemet körs på egna dedikerade servrar i Sverige, under uteslutande svensk och europeisk jurisdiktion.
Det innebär att det inte finns någon juridisk mekanism — varken CLOUD Act eller FISA 702 — via vilken en amerikansk federal myndighet kan nå din data. Det finns inget US-registrerat bolag att rikta ett krav mot. Det är inte ett certifikat, en policy eller en SLA-klausul som skyddar dig. Det är strukturen på ägandet och infrastrukturen.
US-ägda molnplattformar (Azure, AWS, GCP)
Servrarna kan stå i EU. Men bolaget som äger och driftar dem lyder under CLOUD Act och är exponerat mot FISA 702-program. Din ruttdata, kundavtal och prissättning kan begäras ut — eller hemlighållet inhämtas — av US-myndigheter utan EU-domstolens godkännande och utan att du informeras.
Navichain — immun mot båda lagarna per konstruktion
Ägt och driftat av Navilog Solutions AB. Inga amerikanska ägarband. Inga US-tjänsteleverantörer i infrastrukturen. Egna servrar i Sverige. Data lyder uteslutande under svensk lag och GDPR. Det finns ingen juridisk ingång för CLOUD Act eller FISA 702.
02 /CSRD Scope 3: Dina utsläpp är nu kundens juridiska skyldighet
EU:s Corporate Sustainability Reporting Directive (CSRD, Direktiv 2022/2464/EU) är den mest genomgripande förändringen av krav på affärsrapportering sedan introduktionen av IFRS-redovisning. Den kräver att en ökande krets av bolag — som 2026 inkluderar de flesta medelstora och stora europeiska företag — redovisar sin hållbarhetsprestanda med samma precision och revisionsbarhet som finansiell redovisning.
Vad är Scope 3 och varför är det ett problem för åkerier?
GHG Protocol delar utsläpp i tre kategorier. Scope 1 är egna direkta utsläpp. Scope 2 är köpt energi. Scope 3 är alla indirekta utsläpp i värdekedjan — inklusive kategori 4, uppströms transporter och distribution. Det är kategorin som direkt adresserar alla godstransporter som ett industribolag köper externt.
I praktiken innebär det: varje körning ditt åkeri utför för en CSRD-skyldig kund genererar en hållbarhetsskuld hos den kunden som måste kvantifieras, dokumenteras och verifieras av extern revisor. Kunden kan inte välja bort det. Det är en legal skyldighet med böter för bristfällig rapportering. Och din förmåga — eller oförmåga — att leverera denna data avgör om du ens kommer i fråga för deras upphandlingar.
Varför schablonvärden inte längre räcker
Till och med 2023–2024 accepterade många transportköpare emissionsfaktorer från generiska tabeller: ett genomsnittsvärde per tonkilometer för en genomsnittlig lastbil med genomsnittligt diesel. Den eran är nu förbi. Revisorer och upphandlare kräver i allt fler sammanhang data baserad på faktiska kördata: faktisk rutt, faktisk fordonstyp, faktisk last och framför allt faktisk bränsleblandning.
Det sista punkten är kritisk: HVO100 (hydrotreated vegetable oil) ger upp till 90 % lägre CO₂-utsläpp per liter jämfört med fossilt diesel. LBG (liquefied biogas) är nära koldioxidneutralt i ett livscykelperspektiv. Ett åkeri som kör med HVO100 men rapporterar schablonvärden för fossil diesel stödjer underskattning av sin verkliga miljöprestanda — och ett TMS som inte kan skilja på bränsletyper per fordon är ett verktyg som aktivt missgynnar ekologiskt ansvarsfulla åkerier.
| Krav från transportköpare (CSRD) | Äldre TMS | Navichain |
|---|---|---|
| CO₂-beräkning per sändning | Via dataexport + BI-verktyg | Inbyggt i realtid |
| Stöd för HVO100 som bränsletyp | Saknas vanligtvis | Ja, per fordonstyp |
| Stöd för LBG och biogasblandningar | Saknas vanligtvis | Ja, konfigurerbara faktorer |
| Revisionsklar CSRD-rapport | Kräver tilläggssystem | Genereras med ett klick |
| Historik per kund (24 månader) | Begränsad eller manuell | Automatisk arkivering |
| Faktisk rutt vs schablonvärde | Schablonvärden | Faktisk rutt via HERE Maps |
| Kundportal för självservice-rapporter | Saknas | Kunden hämtar själv |
Scope 3-data är ett inträdesbevis — inte ett mervärde
Den viktigaste insikten om CSRD Scope 3 är att det inte längre är ett sätt att differentiera sig i en upphandling. Det är ett hygienkrav för att överhuvudtaget delta i prekvalificeringsfasen. Industriella transportköpare — Volvo, IKEA, Sandvik, Astra, kommunala upphandlingsenheter — kräver verifierbar CO₂-data som en binär passage: du levererar det, eller du utesluts.
I navichain är hållbarhetsmotorn arkitekturellt integrerad med prismotorn och ruttplaneringen. Det är inte ett separat tillägg du aktiverar i efterhand. Varje order beräknar koldioxidpåverkan automatiskt, baserat på faktisk rutt från HERE Maps, fordonsspecifikation och bränsletyp — och data är tillgänglig för din kund via en självserviceportal, redo för revision.
03 /Cabotageregler och körtidsövervakning: Det digitala skyddsnätet som förhindrar — inte dokumenterar
EU:s cabotagereglering (förordning EG 1072/2009, senast reviderad via mobilitetspaketet 2022) tillåter utländskregistrerade fordon att utföra begränsad inrikestrafik i ett EU-land — men bara under strikta förutsättningar gällande antal körningar och tidsfönster. Regelverket varierar i detaljer mellan länder och har skärpts i Sverige, Danmark och Norge efter utbredda systematiska överträdelser.
Varför manuell kontroll inte räcker i en skalad operation
I teorin är cabotage-räkning enkel: du vet hur många gränsöverskridande körningar fordonet gjort och hur många inrikeskörningar som är tillåtna inom det aktuella tidsfönstret. I praktiken, med ett flöde av order, flera fordon och förare som opererar i realtid, är det en omöjlig uppgift för en manuell trafikledare att hålla löpande koll på varje fordons status per land.
Konsekvensen är att oavsiktliga överträdelser inträffar — inte av ond vilja, utan på grund av informationsbrist i en pressad situation. Boten är kännbar: i genomsnitt 40 000–60 000 EUR per allvarlig incident i Skandinavien. Men den faktiska affärsrisken är svartlistning hos ett storkundföretag efter en vägkontroll som hamnar i branschpressen.
Passivt system: dokumenterar i efterhand
Äldre TMS loggar körningar men saknar logik för att beräkna och presentera cabotagestatus per fordon och land i realtid. Trafikledaren måste manuellt räkna tillåtna körningar — en uppgift som är omöjlig att upprätthålla i hög operativ belastning.
Navichain: förhindrar innan det händer
Via Teltonika FMC650-integration räknar navichain automatiskt varje fordons kvarvarande tillåtna inrikeskörningar per land och tidsfönster. Order som skulle bryta cabotagegränsen kan inte tilldelas utan manuell överstyrning med godkännande-log.
Körtidsövervakning: manuell rapportering
Utan direktintegration mot fordonsdatorer tvingas trafikledaren förlita sig på manuella rapporter från föraren — information som alltid är inaktuell vid kritiska tilldelningsbeslut och som inte håller för en EU-inspektion.
Realtidsvy av körtid i planeringsmodulen
Chaufförens återstående körtid visas live direkt i ordertilldelningsvyn. Systemet varnar automatiskt — och kan konfigureras att blockera — order som skulle generera en vilotidsöverträdelse. Allt dokumenterat för EU-inspektion.
Teltonika FMC650-integration: hårdvaran som möjliggör realtidskontroll
Navichains telematikintegration bygger på Teltonika FMC650 — en robust OBD-II/CAN-bus-ansluten enhet som levererar GPS-position, körtidsdata och motorstatus i realtid. I navichains HaaS-erbjudande (Hardware-as-a-Service) kan åkeriet hyra hårdvaran för 199 kr per fordon och månad med ett 24-månadersavtal, utan att investera i hårdvara och utan IT-installation.
Det betyder att ett åkeri som väljer navichain kan gå från noll telematik till fullständig cabotagekontroll och körtidsövervakning i realtid — inom ett dygn — för en förutsägbar månadskostnad utan investeringsbehov.
04 /Upphandlingschecklista: Fyra frågor att ställa varje TMS-leverantör
När du utvärderar ett TMS för att möta 2026 års regulatoriska krav, ställ dessa fyra frågor — och kräv skriftliga svar. En leverantör som inte kan svara tydligt och konkret på var och en av dem uppfyller troligen inte kraven.
- Ägarkedja och infrastruktur: Ägs eller driftas någon del av systemets infrastruktur av ett US-registrerat bolag, eller är någon tjänst från AWS, Microsoft Azure eller Google Cloud inblandad? Om svaret är ja — eller om leverantören hänvisar till "EU-servrar" och GDPR utan att besvara ägarfrågan direkt — är systemet inte immunt mot CLOUD Act eller FISA 702.
- CO₂-beräkningsmetod: Baseras CO₂-beräkningen per sändning på faktisk rutt och faktisk bränsleblandning — inklusive HVO100 och LBG — eller på schablonvärden per tonkilometer? Be om en live-demonstration med ett verkligt flöde. Revisorer accepterar i allt färre fall schablonvärden i CSRD-rapportering.
- Cabotagekontroll: Spårar systemet cabotagestatus automatiskt per fordon och land, och blockerar det ordertilldelning som bryter mot gränsen — eller loggar det bara i efterhand? Fråga om kontrollen är kopplad till realtidstelematik eller till manuella inmatningar.
- Skriftlig juridisk bekräftelse: Kan leverantören ge ett skriftligt intyg om att inga amerikanska ägarband, inga US-tjänsteleverantörer och inga hyperscalers ingår i infrastrukturen för just den produkt du köper? Ett seriöst suveränt erbjudande levereras med dokumentation — inte med försäkringar.
Vanliga frågor — CLOUD Act, FISA 702, CSRD och cabotageregler för svenska åkerier
Vad innebär US CLOUD Act för ett åkeri som använder molnbaserat TMS?
US CLOUD Act (2018) ger amerikanska federala myndigheter rätt att tvinga US-registrerade molnbolag att lämna ut lagrad data, oavsett om servrarna befinner sig i Sverige eller EU. Det räcker alltså inte att servern fysiskt finns i Frankfurt — avgörande är vilket bolag som äger och driftar infrastrukturen. Om ditt TMS körs på Microsoft Azure, AWS eller Google Cloud är din ruttdata, kundkontrakt och prissättning exponerad för denna lagstiftning. Det enda fullständiga skyddet är att välja ett TMS utan amerikanska ägarband i infrastrukturen.
Vad är FISA Section 702 och hur skiljer den sig från CLOUD Act?
De är relaterade men juridiskt skilda instrument. CLOUD Act reglerar brottsutredande myndigheters rätt att begära ut specifik, namngiven data via ett (begränsat) domstolsförfarande. FISA 702 är bredare: den tillåter proaktiv, storskalig och hemlig insamling av kommunikation och data från icke-amerikanska medborgare i underrättelsesyfte — utan att ett brott behöver misstänkas, utan domstolsbeslut och utan att den drabbade informeras eller kan bestrida det. Det var FISA 702 som låg bakom NSA:s PRISM-program. Programmet förnyas regelbundet och är fortfarande aktivt.
Räcker det att ha GDPR-compliance för att skydda sin transportdata mot CLOUD Act och FISA 702?
Nej — och det är den mest spridda missuppfattningen i branschen. GDPR reglerar hur data behandlas och skyddas internt. CLOUD Act och FISA 702 är amerikanska federala lagar som reglerar vem som kan kräva ut data, via vilken process och utan EU-domstolens inblandning. En TMS-leverantör kan vara GDPR-certifierad och ändå juridiskt skyldig att lämna ut din data till amerikanska myndigheter. Det enda skyddet är att ägarleddet och infrastrukturen inte har några amerikanska bindningar.
Vad kräver CSRD av åkerier som levererar till stora transportköpare?
CSRD kräver att stora bolag rapporterar Scope 3-utsläpp, vilket inkluderar alla transporter de köper externt. Det innebär att varje körning ditt åkeri utför för en CSRD-skyldig kund genererar ett rapporteringskrav hos kunden. CO₂-beräkningen måste baseras på faktisk rutt, faktisk fordonstyp och faktisk bränsleblandning inklusive förnybara bränslen som HVO100 och LBG. Schablonvärden godtas inte av revisorer i allt fler upphandlingar. Åkerier utan ett TMS med inbyggd miljömotor riskerar att exkluderas i prekvalificeringsfasen.
Hur fungerar automatisk cabotagekontroll i ett TMS?
Ett TMS med inbyggd cabotagekontroll spårar varje fordons gränspassager via realtidstelematik och räknar av tillåtna inrikeskörningar mot regelverkets gränser per land och tidsfönster. När gränsen är nådd blockeras automatisk ordertilldelning till det fordonet. I navichain sker detta via Teltonika FMC650-integration — planeringsmodulen visar cabotagestatus i realtid och blockerar order som skulle bryta mot regelverket. Händelsen loggas med tidsstämpel och användar-ID för EU-inspektion.
Hur stora böter riskerar ett åkeri vid cabotagöverträdelser?
Böterna varierar mellan länder men är i Skandinavien generellt 40 000–60 000 EUR per allvarlig incident. Fordonet kan immobiliseras på plats, vilket innebär stilleståndskostand och försenad leverans. Den affärsmässiga risken är ofta mer skadlig: storkundföretag svartlistar åkerier efter uppmärksammade vägkontroller, och branschpressbevakning kan påverka verksamheten långt mer än boten i sig.
Vilket TMS klarar CLOUD Act-immunitet, CSRD Scope 3 och cabotagekontroll utan tilläggssystem?
Navichain är konstruerat för att möta alla tre krav i en och samma plattform utan tilläggssystem eller externa BI-lager. Systemet driftas av Navilog Solutions AB — ett renodlat svenskt bolag utan amerikanska ägarband — på egna servrar i Sverige. CSRD Scope 3-rapportering med faktiska kördata och bränsletyper är inbyggd i prismotorn. Cabotagekontroll i realtid sker via Teltonika FMC650-integration. Priset börjar på 199 kr per användare och månad.
Kostar navichain något att prova?
Nej. Navichain är helt gratis upp till två användare och ungefär 50 bokningar per månad — utan tidsbegränsning och utan kreditkort. Det inkluderar all kärnfunktionalitet: ruttplanering med HERE Maps, orderhantering, förarapp, CSRD-rapportmodul och cabotagekontroll. Betald plan börjar på 199 kr per användare och månad. HaaS-telematik tillkommer med 199 kr per fordon och månad (24 månaders bindningstid per enhet).
