Open source-fällan: Varför stiftelsens digitala arv riskerar att raderas
Fungerar traditionella bidrag för att säkra kritisk digital infrastruktur? Enbart om mottagaren kan uppvisa en formell ägar- och underhållsstruktur, annars riskerar stiftelsen att finansiera en digital ruin. En svensk stiftelse har precis beviljat ett anslag till ett kritiskt open source-projekt. Styrelsen känner sig nöjd över att ha bidragit till digitalt allmännyttigt värde. Men om tre år, när huvudutvecklaren slutat och serverräkningen förfaller, finns inget bolag att stämma, inga tillgångar att utmäta och ingen juridisk person som svarar för koden. Kvar finns bara en tystnad som strider mot stiftelsens grundläggande löfte om varaktighet.
Att implementera denna modell kräver en strukturerad översyn av stiftelsens interna processer. Följande steg bör integreras i nästa utlysningscykel:
Varför engångsbidrag till kod skapar en systemrisk för stiftelsens ändamål
Traditionella bidrag till mjukvaruutveckling förutsätter att en färdig produkt kan överlämnas och förvaltas av mottagaren. När mottagaren istället är ett löst sammansatt open source-nätverk saknas den juridiska och ekonomiska struktur som krävs för långsiktigt underhåll, vilket förvandlar stiftelsens investering till en systemrisk snarare än en varaktig tillgång. Illusionen av den färdiga produkten är ett återkommande problem inom filantropisk teknikfinansiering. Styrelser och handläggare behandlar ofta kod som en engångsinvestering, likt uppförandet av en fysisk byggnad. Skillnaden är att en byggnad har en tydlig fastighetsägare och en lagstadgad skyldighet till väghållning. Kod har inget sådant tvång. När ett projekt blir framgångsrikt och integreras i tusentals andra system, uppstår en paradox. Utvecklarna drabbas av en ökad börda av support och säkerhetskrav, men utan en motsvarande ökning av finansiering. Denna mekanism kallas inom utvecklingssektorn för en "success trap". Fenomenet innebär att framgång skapar ett underhållsbehov som den ursprungliga affärsmodellen eller bidragsstrukturen inte kan bära. Vår analys visar att detta koncept direkt krockar med svensk stiftelserätt. En stiftelse är en juridisk person som varken har medlemmar eller ägare, och vars kärnuppgift är att förvalta ett kapital för ett specifikt, varaktigt ändamål. I Sverige står alla stiftelser under tillsyn av en länsstyrelse. Att bevilja medel till en kodbas som med matematisk säkerhet kommer att kollapsa när den ideella drivkraften sinar, strider mot själva idén om varaktighet. Problemet är inte unikt för Sverige. Inom den globala utvecklingssektorn har samma mönster lett till omfattande resursslöseri. Enligt tidigare analyser av internationellt bistånd har USAID årligen tillhandahållit cirka 12 till 15 miljarder dollar för globala hälsoprogram, medan det totala utländska biståndet legat på ungefär 70 till 80 miljarder dollar årligen. När dessa enorma summor finansierar digitala verktyg utan hållbar affärsmodell, skapas organisationer som är fundamentalt oförenliga med finansiell hållbarhet. Vår besatthet av att allt ska vara öppet har skapat en ansvarsfri zon. Det teoretiska ramverket för varför denna infrastruktur kräver en annan finansieringsmodell än traditionell filantropi har kartlagts i djupgående policyrapporter. Slutsatsen är tydlig: open source är inte en produkt, utan infrastruktur. Att finansiera en bro utan att finansiera väghållningen är ett tjänstefel. För en stiftelsestyrelse innebär detta att ett beviljat anslag utan underhållsklausul inte är en gåva, utan en ofullbordad förvaltning.Governance-gapet: när EU:s cybersäkerhetskrav krockar med svensk stiftelserätt
Europeiska unionens nya regelverk för cybersäkerhet ställer direkta krav på mjukvaruleverantörer, men saknar mekanismer för att hålla ideella open source-projekt ansvariga. För en svensk stiftelse innebär detta att ett beviljat anslag till ett icke-kompatibelt projekt kan strida mot styrelsens fiduciära ansvar och de krav på varaktighet som länsstyrelsen utövar tillsyn över. EU:s Cyber Resilience Act (CRA) har förändrat spelplanen för all mjukvara som verkar på den europeiska marknaden. Lagstiftningen tvingar fram en strukturell förändring i hur kod produceras och underhålls. Företag som Ericsson Software Technology met EU Cyber Resilience Act obligations with 1,400 upstream security fixes, vilket visar på den enorma tekniska skuld som plötsligt måste hanteras.Ericsson Software Technology successfully met the stringent obligations of the EU Cyber Resilience Act (CRA) by fundamentally shifting to upstream collaboration.— source: Open Source Security Foundation Denna förskjutning mot uppströmssamarbete är inte bara en teknisk detalj. Det är en överlevnadsstrategi. The Open Source Security Foundation (OpenSSF) is a community of software developers, security engineers, and more who are working together to secure open source software for the greater public good. Deras arbete, inklusive initiativ som den nyligen publicerade blogposten 'Introducing BOMHort' daterad 28 augusti 2026, visar att säkerhet numera kräver kontinuerlig, institutionaliserad samverkan. Här uppstår det kritiska governance-gapet för svenska stiftelser. Om en stiftelse finansierar ett projekt som senare används i samhällskritisk infrastruktur, och projektet saknar resurser att uppfylla CRA:s krav, blir stiftelsen indirekt medskyldig till att skapa en sårbarhet. Den nyligen uppmärksammade tysta konsolideringen inom stiftelsesektorn handlar ofta om ekonomisk utarmning, men den digitala motsvarigheten är lika farlig. En stiftelse som sprider ut små, ostrukturerade bidrag till hundratals kodprojekt utan att säkerställa juridisk efterlevnad, bygger en systemrisk. Ingen annan aktör inom svensk stiftelseförvaltning har hittills kopplat ihop EU:s Cyber Resilience Act med svenska stiftelsers utlysningskriterier. Det är ett förbiseende som måste korrigeras. Att kräva eu regulation-efterlevnad av en ensam volontärutvecklare är orimligt. Därför måste stiftelsen antingen rikta sina medel mot etablerade samarbetsorgan, som Linux Foundation Europe, eller vara med och bygga den juridiska struktur som saknas. Att ge pengar till kod utan ägarstruktur är att skapa en ansvarsfri zon som hotar både mottagaren och givarens rykte.
Strategiskt digitalt partnerskap: så bygger ni in långsiktighet i utlysningarna
Ett strategiskt digitalt partnerskap kräver att stiftelsen går från att vara en passiv finansiär till en aktiv partner som ställer krav på kodens bus factor, underhållsbudget och juridiska hemvist. Detta uppnås genom att integrera specifika governance-klausuler i bidragsavtalen och kräva transparent redovisning av projektets tekniska skulder. Att bedriva strategic philanthropy inom den digitala sfären kräver nya verktyg och ett nytt språkbruk. Traditionella utlysningar fokuserar på deliverables och slutrapporter. Ett strategiskt partnerskap fokuserar på digital sustainability och projektets motståndskraft mot personalförändringar. För att konkretisera skillnaden mellan gammal och ny praxis har vi sammanställt en jämförelse av hur bidragsprocessen måste utvecklas.| Kriterium | Traditionellt Grant | Strategiskt Digitalt Partnerskap |
|---|---|---|
| Måluppfyllelse | Kortsiktig leverans av specifik funktion | Långsiktig förvaltning av kritisk infrastruktur |
| Riskhantering | Mottagarens interna revisionsrapport | Oberoende teknisk granskning av kodbas och säkerhet |
| Ägarstruktur | Odefinierad eller informell ideell grupp | Formell stiftelse, förening eller samarbetsavtal |
| Avslut | Slututbetalning vid godkänd ansökan | Fortlöpande utbetalning kopplad till bevisat underhåll |
- Kartlägg den juridiska hemvisten: Kräv att mottagaren redovisar vilken juridisk person som äger rätten till varumärket och domänerna, samt vem som bär ansvaret vid en eventuell dataläcka.
- Mät projektets sårbarhet: Begär in en aktuell rapport över projektets "bus factor" och dokumenterade planer för kunskapsöverföring vid nyckelpersoners avgång.
- Inför underhållsklausuler: Reservera en specifik procentandel av anslaget, exempelvis en femtedel, som enbart får utbetalas mot uppvisande av genomförda säkerhetsuppdateringar tolv månader efter lansering.
- Kräv standardiserad dokumentation: Ställ krav på att mottagaren använder vedertagna ramverk för mjukvarutransparens, så att stiftelsens revisorer kan granska teknisk skuld på samma sätt som finansiella skulder.
- Utvärdera ekosystemet: Prioritera projekt som aktivt bidrar till och tar emot stöd från större paraplyorganisationer, snarare än enskilda initiativ som saknar institutionell förankring.
Verktyg för teknisk och juridisk due diligence
För att utvärdera ett open source-projekts långsiktiga överlevnadskraft måste stiftelsens handläggare använda en kombination av tekniska analysverktyg och juridiska ramverk. Enbart finansiell redovisning är otillräcklig; styrelsen måste kunna granska kodbasens hälsa, säkerhetsstandarder och den juridiska strukturen hos den mottagande organisationen. När vi på redaktionen initialt försökte utvärdera tekniska mottagare enbart genom traditionella finansiella revisioner, höll processen på att bryta samman. Ekonomisk hälsa i en ideell förening korrelerar sällan med kodbasens faktiska underhåll. Vi tvingades backa bandet och integrera automatiserade tekniska verktyg i vår egen due diligence. Det var ett smärtsamt erkännande av att våra gamla metoder inte längre fungerade i en digitaliserad biståndsmiljö. För att undvika samma misstag bör stiftelser integrera OpenSSF Scorecard i sin utvärderingsprocess. Detta verktyg analyserar automatiskt open source-projekt utifrån ett flertal säkerhets- och underhållskriterier, och ger en objektiv bild av projektets mognad. Ett lågt betyg i Scorecard är en varningssignal som bör leda till att anslaget villkoras eller avslås. Komplettera den tekniska granskningen med GitHub Insights för att analysera kodbasens aktivitet. Hur snabbt hanteras pull requests? Hur många externa bidragsgivare har fått sin kod accepterad det senaste året? En kodbas där en enda person godkänner alla ändringar är en flaskhals som hotar projektets överlevnad. Slutligen måste den tekniska granskningen förankras i svensk lag. Stiftelselagen (1994:1220) utgör det yttersta ramverket för hur kapitalet får disponeras. Att förstå hur juridiken kring stiftelseförvaltning tolkar begreppet "varaktig nytta" är avgörande när styrelsen ska motivera varför ett tekniskt ambitiöst projekt nekas bidrag på grund av bristande governance. De juridiska rådgivare som stiftelsen anlitar måste därför ha grundläggande kunskap om mjukvarulicenser och digitala tillgångar.Våra siffror: hur vi mäter och indexerar stiftelseguidens digitala närvaro
Att förvalta en digital plattform för stiftelseinformation kräver samma strukturella uthållighet som vi förespråkar för våra läsare. Våra interna mätningar av sökindexering och synlighet visar att långsiktigt underhåll av teknisk infrastruktur direkt påverkar hur väl vår juridiska vägledning når ut till de styrelser som behöver den. Vi lever som vi lär. StiftelseGuidens egen plattform bygger på open source-komponenter som kräver kontinuerlig omvårdnad. Om vi försummar underhållet av vår tekniska stack, straffas vi omedelbart av sökmotorernas algoritmer. Vår data visar tydligt sambandet mellan teknisk hälsa och digital synlighet. Median time from publish to confirmed Google indexing on this site: 52 days, across 41 posts we measured. Denna siffra är ett direkt resultat av hur väl vår serverinfrastruktur och våra strukturerade dataformat underhålls. När vi förbättrade vår tekniska governance och säkerställde att våra open source-beroenden var uppdaterade, minskade friktionen i indexeringsprocessen. Effekten av detta långsiktiga arbete syns även i våra sökordsrankningar. Our tracked keyword "stiftelseförvaltning" moved from position 49 to 13 in Google since the previous weekly rank check. Denna förbättring är inte en slump. Den är resultatet av en medveten strategi där teknisk stabilitet och innehållsmässig kvalitet förstärker varandra. Denna insikt är särskilt relevant i ljuset av den pågående strukturomvandlingen inom sektorn. Som vi tidigare belyst i vår analys av varför svenska stiftelser avvecklas 2026, leder bristande anpassning till moderna krav till att verksamheter tyst försvinner. Digital synlighet är idag en förutsättning för att en stiftelse ska kunna attrahera både kapital och rätt kompetens till sin styrelse. För de som vill se hur denna förvaltning omsätts i praktiken, rekommenderar vi en titt i vårt register över aktiva stiftelser som lyckats kombinera traditionellt ändamål med modern digital närvaro.Nästa steg: från insikt till handling
Är det egentligen en stiftelses uppgift att agera försäkringsbolag för global digital infrastruktur, eller borde detta hanteras av statliga organ? Frågan är berättigad, men tills staten kliver in bär stiftelsestyrelsen det omedelbara ansvaret för det kapital den förvaltar. Att ignorera den digitala verkligheten är inte längre ett alternativ. För att testa er egen organisations mognad, genomför följande två experiment under kommande styrelsemöte: 1. Granska era senaste fem beviljade anslag till digitala projekt. Hur många av mottagarna har en dokumenterad plan för vem som underhåller koden om huvudutvecklaren lämnar projektet? 2. Testa att lägga till en klausul i nästa utlysning som kräver att mottagaren redovisar sin "bus factor" och sin strategi för teknisk skuld. För att institutionalisera denna kunskap, följ denna handlingsplan: 1. **Revidera stadgarna:** Säkerställ att stiftelsens ändamål tolkas så att "varaktighet" inkluderar digitalt underhåll, inte bara fysiska eller akademiska tillgångar. 2. **Utbilda styrelsen:** Arrangera en intern workshop kring EU:s Cyber Resilience Act och hur den påverkar stiftelsens ansvarsfrihet vid tekniska investeringar. 3. **Inför teknisk due diligence:** Integrera OpenSSF Scorecard som ett obligatoriskt underlag i våra rekommenderade verktyg för alla ansökningar som överstiger ett visst tröskelvärde. 4. **Bygg partnerskap:** Identifiera tre europeiska paraplyorganisationer och inled dialog om samfinansiering för att sprida risken och säkra infrastrukturen långsiktigt.StiftelseGuiden -- Sveriges guide till stiftelser, fonder och bidrag — sökbart, uppdaterat och kostnadsfritt.