AWS får första NATO‑omfattande godkännandet för RESTRICTED‑molnarbetsbelastningar

Amazon Web Services är den första molnleverantören vars molnkapacitet har godkänts för användning av alla NATO‑medlemsländer när de hanterar information på NATO RESTRICTED (NR)-nivå, företaget annonserade den 22 september 2026.

NATO, dess försvarsindustri‑partners och alla NATO‑medlemsländer kan nu använda godkända AWS‑tjänster för att hantera NATO RESTRICTED‑arbetsbelastningar i vilken AWS‑region som helst som ligger i ett NATO‑medlemsland. AWS har för närvarande 15 regioner i NATO‑medlemsländer, varav sju ligger på det europeiska fastlandet.

Godkännandeprocessen enligt NATOs D32‑direktiv

För att få godkännandet dokumenterade AWS sin efterlevnad av D32, NATOs tekniska direktiv som fastställer säkerhetskraven för hantering av NR‑information i den offentliga molnet. Som en del av processen utvärderades AWS:s kapabiliteter av Spaniens nationella kryptografiska centrum (CCN), och NATO godkände och publicerade dem till alla NATO‑allierade.

För NR‑ackreditering delegerar NATO processen till ett NATO‑medlemsland och/eller NATO Communications and Information Agency (NCIA) som värdland. AWS‑tjänster kan nu användas vid byggande av NR‑kompatibla system i vilken AWS‑region som helst som ligger i ett NATO‑medlemsland.

AWS säger att med godkännandet nu publicerat för hela alliansen får NATO‑medlemmar och partners ett gemensamt, förutvärderat säkerhetsbaslinje som hjälper till att minska tid, ansträngning och kostnad för att uppfylla säkerhets- och efterlevnadskrav. Företaget uppger att NATO‑allierade också kommer att ha en accelererad väg för att ackreditera AWS genom deras officiella nationella process.

Dylan Browne, general manager för NCIA, sade att förstärkning av NATOs förmåga att säkert utnyttja kommersiell teknik är nyckeln till att bygga en mer motståndskraftig och agil allians. “Tillgängligheten av kommersiella produkter som uppfyller NATOs säkerhetskrav utökar de tekniska alternativ som finns tillgängliga för alliansen och stödjer vår förmåga att anta modern teknik samtidigt som vi upprätthåller den säkerhet och motståndskraft som våra operationer bygger på,” sade Browne.

David Appel, tillförordnad vice president för Worldwide Public Sector på AWS, kallade det ett förstahands‑godkännande och “kulmenationen av en ihållande, flerårig insats.” Appel sade att beslutet speglar AWS:s engagemang för att hjälpa försvar, offentlig sektor och NATO‑anslutna kunder och partners att uppnå sina kritiska uppdrag, och att AWS kommer att fortsätta arbeta för att tillhandahålla den interoperabilitet som allierade nationer behöver för att stärka sin motståndskraft och skydda sina medborgare.

Trusted Secure Enclave‑arkitektur

AWS identifierade AWS Trusted Secure Enclave – Sensitive Edition (TSE-SE) som grunden för tillkännagivandet och hänvisade nationella säkerhets‑ och försvarskunder till arkitekturen.

Enligt AWS:s publicerade vägledning är TSE-SE en flerkontodesign på AWS för känsliga arbetsbelastningar inom nationell säkerhet, försvar och nationell brottsbekämpning. Vägledningen behandlar central identitets‑ och åtkomsthantering, styrning, datasäkerhet, omfattande loggning samt nätverksdesign och segmentering.

I designen grupperas flera AWS‑konton som styrs av en enda kundentity inom AWS Organizations, och service control policies fungerar som skyddsräcken som nekar specifika eller hela kategorier av API‑operationer på konto‑, organisations‑ eller organisationsnivå. Policyn kan användas för att säkerställa att arbetsbelastningar endast distribueras i föreskrivna AWS‑regioner eller för att neka åtkomst till specifika AWS‑tjänster.

AWS Key Management Service, som använder kundhanterade nycklar, krypterar data i vila med FIPS 140‑2‑validerad kryptering över lagringstjänster inklusive Amazon Simple Storage Service‑hinkar, Amazon Elastic Block Store‑volymer och Amazon Relational Database Service‑databaser, och skyddar data under överföring med TLS 1.2 eller högre. Centraliserad single sign‑on tillhandahålls via IAM Identity Center, med multifaktorautentisering som stöder autentiseringsappar, säkerhetsnycklar samt WebAuthn, FIDO2‑ och Universal 2nd Factor‑(U2F)‑enheter.

Arkitekturen föreskriver omfattande logginsamling och centralisering över AWS‑tjänster och konton. AWS CloudTrail fungerar organisationsomfattande för att ge full audit‑möjlighet på kontrollplanet, medan Amazon CloudWatch samlar in loggar från operativsystem, applikationer, VPC‑flöde och domännamnssystem som centraliseras och endast görs tillgängliga för definierad säkerhetspersonal. Detektiva säkerhetskontroller aktiveras i varje konto, inklusive Amazon GuardDuty, AWS Security Hub, AWS Config, AWS Firewall Manager, Amazon Macie, IAM Access Analyzer och CloudWatch‑larm, med synlighet delegerad till ett enda centralt säkerhetsverktygskonto. Säkerhetskontot får endast läsbehörighet över hela organisationen för att stödja utredning vid en incident.

Nätverksisolering byggs med virtuella privata moln som distribueras via Amazon Virtual Private Cloud (Amazon VPC) och centraliseras i ett delat nätverkskonto. Anslutning till lokala miljöer, internetutträde, delade resurser och AWS API:er medieras på en central punkt via AWS Transit Gateway, AWS Site-to-Site VPN och AWS Direct Connect där det är tillämpligt. Designen omsluter varje instans eller komponent med en tillståndsbaserad brandvägg som verkställs i hårdvaran i AWS Nitro System, vilket förhindrar sidledes rörelse mellan applikationer, lager inom en applikation och noder inom ett lager om det inte uttryckligen tillåts, och routing förhindras mellan utvecklings-, test- och produktionsmiljöer.

AWS uppgav att mer än 15,000 statliga kunder använder dess tjänster. Företaget sade att kunder inom nationell säkerhet och försvar kan få direkt åtkomst till TSE-SE, och att kunder kan samarbeta med sina AWS‑kontoteam för att förstå hur NR‑godkännandet och arkitekturen gäller för deras användningsfall.