Stiftelsen som Open Source-steward: Varför K3-reglerna missar digitalt arv

Noll kronor i balansräkningen trots kritisk samhällsfunktion

En svensk stiftelse kan idag äga och underhålla kodrepositoryn som är fundamentala för europeisk digital infrastruktur, samtidigt som dessa tillgångar värderas till exakt noll kronor i årsredovisningen. Detta bokföringsmässiga blindspår uppstår eftersom traditionella redovisningsregler inte har någon mekanism för att kapitalisera immateriell infrastruktur som inte genererar direkt kassaflöde, vilket skapar en paradox där stiftelsens verkliga samhällsvärde är omvänt proportionellt mot dess synliga finansiella styrka. När styrelsen följer regelverket till punkt och pricka producerar de en rapport som aktivt vilseleder läsaren om organisationens faktiska resurser och riskexponering. Problemet är inte bara teoretiskt utan får direkta konsekvenser för hur stiftelser drivs i praktiken. Utan en tillgångspost att luta sig mot blir varje satsning på kodunderhåll en ren kostnad som måste försvaras mot principen om kapitalbevarande, snarare än en investering i ändamålsuppfyllelse. Styrelser tvingas därmed välja mellan att följa redovisningens logik och låta kritisk kod förfalla, eller att bryta mot konventionell praxis för att rädda infrastruktur som samhället är beroende av. Denna spänning mellan juridisk form och teknisk realitet utgör kärnan i dagens förvaltningsdilemma.

Definitionen av open source-steward och det regulatoriska glappet

Open source stewards är organisationer, såsom stiftelser, ideella föreningar eller företag, som stödjer open source-projekt utan att direkt kommersialisera dem. Denna definition, framtagen inom ramen för arbetet med EU:s Cyber Resilience Act (CRA), placerar svenska stiftelser i centrum för en ny europeisk säkerhetsarkitektur. Enligt Open Regulatory Compliance Working Group skrevs CRA ursprungligen med tanke på traditionell tillverkning och mjukvaruleveranskedjor, inte den kollaborativa och decentraliserade natur som kännetecknar open source, vilket skapar en friktion när lagen ska appliceras på icke-vinstdrivande aktörer. Det regulatoriska glappet uppstår eftersom svensk stiftelselag aldrig designades för att hantera denna typ av infrastrukturbärande roll. Lagstiftningen fokuserar på att skydda kapitalets köpkraft över tid, medan CRA kräver aktiva insatser för att upprätthålla säkerheten i mjukvara som ständigt förändras. Stiftelsen hamnar därmed i ett ingenmansland: den förväntas axla ansvaret som "steward" enligt EU-rätten, men saknar de inhemska juridiska verktygen för att finansiera och redovisa detta uppdrag på ett sätt som tillfredsställer både länsstyrelse och marknadsövervakningsmyndigheter. Konsekvensen av detta glapp är att **digitalt arv** riskerar att klassificeras som driftkostnad istället för strategisk tillgång. När EU-lagstiftningen träder i kraft fullt ut kommer stiftelser som inte kan bevisa sin kapacitet att hantera sårbarheter potentiellt att drabbas av sanktioner, trots att deras oförmåga beror på inhemska redovisningshinder snarare än bristande vilja. Det mönster vi ser här är att europeisk harmonisering sker snabbare än nationell anpassning, vilket lämnar svenska stiftelser i en position där efterlevnad av en lag (CRA) potentiellt strider mot tolkningen av en annan (stiftelselagen).

Komponenttänkande som brygga mellan fastighet och kod

K3-regelverkets krav på komponentuppdelning av byggnader erbjuder en direkt analogi för hur digital infrastruktur bör värderas i stiftelser. Precis som en fastighet består av tak, fasad och installationer med olika livslängd, består ett open source-projekt av moduler, dokumentation, testsviter och community-strukturer som har skilda underhållscykler och värden. Att behandla ett mjukvaruprojekt som en enda odelbar post är lika felaktigt som att bokföra en hel fastighet utan att särredovisa dess beståndsdelar, och det är precis detta misstag som görs systematiskt idag. > "Samtliga bostadsrättsföreningar och bostadsföreningar ska från och med det räkenskapsår som inleds efter den 31 december 2025 upprätta årsredovisning enligt K3." — source: BFN Även om citatet specifikt rör bostadsrättsföreningar signalerar det en tydlig normförskjutning i svensk redovisning mot mer detaljerad värdering av komplexa tillgångar. För en stiftelse som vill vara proaktiv innebär detta att man borde kunna applicera samma logik på sina digitala innehav. Istället för att dölja koden under "övriga immateriella anläggningstillgångar" eller helt utelämna den, kan styrelsen i notform beskriva projektets komponenter: kärnkod med lång livslängd, säkerhetsmoduler som kräver täta uppdateringar, och dokumentation som möjliggör adoption. Detta synliggör **förvaltning** av digitalt arv på ett sätt som nuvarande klumpsummor inte tillåter. Vi måste dock vara ärliga med begränsningarna i denna jämförelse. Medan en byggnads komponenter har fysiska gränser och etablerade avskrivningstabeller, är gränserna i mjukvara flytande och beroende av mänskligt engagemang snarare än fysiskt slitage. Vi har själva brottats med att definiera var en "komponent" börjar och slutar i ett levande repository, och insikten är att definitionen måste vara funktionell snarare än teknisk. En komponent i redovisningssyfte är den minsta enhet som kan underhållas eller ersättas oberoende av andra delar, inte nödvändigtvis en mappstruktur i koden. Denna distinktion är avgörande för att analogin inte ska bli en tvångströja.

Balansakten mellan kapitalbevarande och digital investering

Styrelsens primära dilemma är att rättfärdiga utgifter för mjukvaruunderhåll gentemot stiftelselagens strikta krav på att kapitalet ska bevaras. Traditionell **samhällsnytta** mäts ofta i antal stipendier eller forskningsbidrag, medan värdet av att upprätthålla en säker digital plattform är preventivt och därmed svårt att kvantifiera i en resultaträkning. Om koden fungerar märks den inte; om den fallerar kan konsekvenserna bli katastrofala, men denna asymmetri syns inte i traditionella nyckeltal. Lösningen ligger i att omdefiniera vad "kapitalbevarande" innebär i en digital kontext. Att låta bli att investera i säkerhetsuppdateringar för en kritisk kodbas är inte att bevara kapital, utan att acceptera en latent skuld som förr eller senare kommer att kräva inlösen till en högre kostnad. Genom att explicit koppla underhållskostnader till risken för värdeminskning i stiftelsens övriga tillgångar eller dess anseende, kan styrelsen argumentera för att digitalt stewardship är en nödvändig försäkringspremie snarare än en valfri utgift. Detta kräver dock att man frångår den passiva tolkningen av stadgarna och aktivt dokumenterar riskbedömningen i förvaltningsberättelsen. Tabellen nedan illustrerar hur perspektivet måste skifta för att fånga verkligheten: | Aspekt | Traditionell Stiftelseförvaltning | Open Source Stewardship | | :--- | :--- | :--- | | Värderingsgrund | Historiskt anskaffningsvärde | Nuvärde av samhällskritisk funktion | | Riskhantering | Diversifiering av finansiella placeringar | Aktivt underhåll och sårbarhetshantering | | Rapportering | Finansiell ställning och resultat | Teknisk hälsa, adoption och säkerhetsstatus | Denna jämförelse visar att gapet inte bara handlar om siffror utan om hela synsättet på vad en stiftelse *är*. I den traditionella modellen är stiftelsen en behållare för pengar; i stewardship-modellen är den en aktör i ett tekniskt ekosystem. Att försöka tvinga in det senare i den förras mall leder oundvikligen till informationsförlust. Vi ser att de stiftelser som lyckas bäst är de som vågar skriva parallella narrativ i årsredovisningen: ett för revisorn och ett för omvärlden, även om det skaver mot principen om enhetlig presentation.

Verktyg och ramverk för digital tillgångsförvaltning

Att operationalisera digitalt stewardship kräver konkreta verktyg som överbryggar klyftan mellan teknik och juridik, utan att falla in i marknadsföringsspråk. För repository-inventering och teknisk hälsokontroll fungerar plattformar som GitHub eller GitLab som grundläggande register, där metadata om aktivitet, bidragsgivare och licenser kan extraheras automatiskt för att understödja värderingsarbetet. Dessa plattformar är inte redovisningssystem, men de innehåller de rådata som krävs för att bygga en trovärdig bild av det digitala arvet. På regelsidan är EU:s Cyber Resilience Act det centrala referensramverket som styr vilka processer som måste finnas på plats för sårbarhetshantering och dokumentation. BFN:s allmänna råd om K3 tjänar som den inhemska motsvarigheten för strukturen på tillgångsvärdering, även om innehållet måste adapteras. För strategisk inriktning och gemensamma standarder erbjuder Linux Foundation Europe en institutionell kontext som hjälper svenska stiftelser att kalibrera sina insatser mot europeisk nivå, särskilt inför evenemang som Open Source Summit Europe i Prag oktober 2026. Det är viktigt att notera vad dessa verktyg *inte* gör. Ingen av dem löser automatiskt konflikten med stiftelselagen eller skriver noterna åt er. De är stödstrukturer som kräver mänsklig tolkning och beslutsfattande. Att tro att installationen av ett verktyg per se skapar efterlevnad är ett misstag vi sett många göra. Verktygen ger data, men det är styrelsens ansvar att ge datan juridisk och ekonomisk mening i en svensk kontext.

Våra mätningar av sökintresse och indexering

Vår tracked keyword "stiftelselag" har klättrat från position 9 till 6 i Google sedan förra veckans rank-check. Denna rörelse indikerar ett ökande intresse för just skärningspunkten mellan lagstiftning och modern förvaltning, snarare än bara grundläggande fakta om hur man startar en stiftelse. Sökvolymen speglar en mognad hos målgruppen som börjar ställa frågor om komplexa förvaltningssituationer snarare än enkel administration. Google Search Console har registrerat 34 005 sökimpressioner och 764 klick för denna sajt under de senaste 15 veckorna. Datamängden bekräftar att nischen för kvalificerad information om stiftelsejuridik och digital förvaltning är levande och växande, trots att ämnet kan upplevas som smalt. Användarna söker inte bara svar på "vad", utan alltmer på "hur" och "varför" i relation till nya externa krav som CRA. Median tiden från publicering till bekräftad indexering i Google för denna sajt är 52 dagar, baserat på mätningar av 41 inlägg. Denna tröghet i indexeringen understryker vikten av att publicera analysartiklar av denna typ i god tid innan regelförändringar slår igenom fullt ut. Att vänta med att adressera digitalt arv tills lagen är helt implementerad innebär i praktiken att man ligger två månader efter i synlighet vid lanseringsögonblicket, vilket för en guide som StiftelseGuiden är en strategisk nackdel vi aktivt arbetar för att minimera genom tidig publicering.

Fem steg för att integrera digitalt arv i förvaltningen

Att gå från insikt till handling kräver en strukturerad process som respekterar både tekniska och juridiska realiteter. Följande steg är konkreta åtgärder som en styrelse kan initiera omedelbart för att börja sluta gapet mellan redovisning och verklighet. 1. **Genomför en digital inventering.** Lista alla kodrepositoryn eller digitala projekt stiftelsen finansierar eller äger, och uppskatta deras årliga underhållskostnad kontra ersättningsvärde om de skulle försvinna. Dokumentera detta i ett separat protokollbilaga som grund för framtida beslut. 2. **Simulera en K3-inspirerad not.** Skriv en frivillig not till nästa årsredovisning som beskriver värdet av stiftelsens digitala engagemang med samma språkbruk som används för materiella anläggningstillgångar. Testa formuleringen mot revisorn i god tid före bokslutet för att säkerställa att den inte strider mot god redovisningssed. 3. **Uppdatera riskpolicyn.** Inkludera explicit "digital infrastrukturkollaps" som en riskkategori i stiftelsens riskanalys, jämte finansiella och operativa risker. Beskriv vilka mitigeringar som finns och vad konsekvensen blir om dessa brister, för att skapa mandat för förebyggande investeringar. 4. **Formalisera stewardship-rollen.** Se över stadgarna eller interna instruktioner för att tydliggöra att underhåll av digitalt arv ryms inom ändamålet. Om formuleringen är för snäv, förbered en ansökan om permutation eller kompletterande tolkning från tillsynsmyndigheten innan nästa räkenskapsår inleds. 5. **Anslut till europeiska nätverk.** Etablera kontakt med Linux Foundation Europe eller liknande organ för att benchmarka era processer mot CRA-kraven. Att vara del av en erkänd struktur ger tyngd åt styrelsens bedömningar vid eventuell granskning och minskar risken för isolerade feltolkningar. Kan en svensk stiftelse juridiskt motivera utdelning av medel till underhåll av global open source-kod utan att bryta mot principen om ändamålsenlighet om mottagaren inte är en svensk ideell organisation? Frågan är öppen och saknar prejudikat, men genom att dokumentera det svenska samhällets beroende av koden kan man bygga ett starkt indicium för att internationellt underhåll är en förutsättning för nationell nytta.

StiftelseGuiden -- Sveriges guide till stiftelser, fonder och bidrag — sökbart, uppdaterat och kostnadsfritt.

1. Identifiera stiftelsens 'digitala footprint': Kartlägg vilka open source-projekt ni finansierar, äger eller hostar, och klassificera dem efter kriticitet för samhällsfunktioner.
2. Analysera stewardship-ansvar enligt CRA: Granska om era projekt faller under EU:s Cyber Resilience Act och vilka specifika skyldigheter detta innebär för er som organisation.
3. Utveckla en intern värderingsmodell: Skapa en metod för att kvantifiera underhållsbehov och ersättningsvärde för kritisk kod, även om det inte bokförs som en traditionell tillgång.
4. Uppdatera stadgarna och förvaltningsplanen: Integrera begreppet 'digitalt arv' och 'tekniskt underhåll' explicit i stiftelsens ändamål och långsiktiga förvaltningsstrategi.
5. Implementera transparensrapportering: Inför frivilliga noter i årsredovisningen som beskriver det immateriella värdet och riskerna kopplade till stiftelsens digitala engagemang.