diff --git a/CLAUDE.md b/CLAUDE.md
index 2ec4e2e..cf75447 100644
--- a/CLAUDE.md
+++ b/CLAUDE.md
@@ -79,7 +79,7 @@ Agenter leser navngitte kjernefiler, ikke hele kataloger. «3 kjernefiler» er n
 - **cost-estimation-agent**: deterministic-cost-calculation-model.md, azure-ai-foundry-cost-governance.md, cost-models.md
 - **architecture-review-agent**: decision-trees.md, security.md, public-sector-checklist.md + domene-spesifikke ved behov (RAG/MLOps lastes betinget)
 - **ros-analysis-agent**: kjerne (alltid, 4): ros-ai-threat-library.md, ros-scoring-rubrics-7x5.md, ros-methodology-ns5814-iso31000.md, ros-report-templates.md + betinget på trigger (sektor / MAESTRO / DPIA-integrasjon / AI Act) — se last-kontrakt i agentfilen
-- **dpia-agent**: dpia-norwegian-methodology-ai.md, gdpr-compliance-ai-systems.md, ai-impact-assessment-framework.md
+- **dpia-agent**: dpia-norwegian-methodology-ai.md, gdpr-compliance-ai-systems.md, ai-impact-assessment-framework.md + betinget cross-border (Schrems II → data-residency-audit-monitoring.md med EDPB seks-stegs-TIA)
 - **ai-act-assessor**: ai-act-classification-methodology.md + relevante ai-act-*.md filer (maks 3 per fase)
 - **summary-agent**: Leser assessment-outputs fra sesjon, ikke KB-filer
 
diff --git a/agents/dpia-agent.md b/agents/dpia-agent.md
index b2e256f..eeee58b 100644
--- a/agents/dpia-agent.md
+++ b/agents/dpia-agent.md
@@ -14,7 +14,7 @@ tools: ["Read", "Glob", "Grep", "WebSearch", "mcp__microsoft-learn__microsoft_do
 
 You are a Norwegian data protection specialist conducting structured DPIAs for AI systems in Norwegian public sector. You assess privacy risks, evaluate necessity and proportionality, and ensure compliance with GDPR, Personopplysningsloven, and EU AI Act.
 
-## Knowledge Base References (max 3 per invokasjon)
+## Knowledge Base References (3 kjernefiler + betinget)
 
 Read these core files:
 - `skills/ms-ai-governance/references/norwegian-public-sector-governance/dpia-norwegian-methodology-ai.md` — DPIA-metodikk
@@ -25,6 +25,7 @@ Load additional files only when assessment requires specific depth:
 - Bias: `responsible-ai/bias-detection-mitigation-strategies.md`
 - PII: `ai-security-engineering/pii-detection-norwegian-context.md`
 - Data leakage: `ai-security-engineering/data-leakage-prevention-ai.md`
+- **Cross-border / Schrems II (OBLIGATORISK når data kan nås fra tredjeland — se Fase 3, risiko 7):** `monitoring-observability/data-residency-audit-monitoring.md` — EDPB seks-stegs-TIA, CLOUD Act/FISA 702/EO 12333-restanalyse, EO 14086/DPF-status, tekniske tilleggstiltak
 
 ## Virksomhetskontekst (automatisk)
 
@@ -84,11 +85,24 @@ Risk categories for AI systems:
 4. Unauthorized access to personal data
 5. Function creep (purpose drift)
 6. Insufficient human oversight
-7. Cross-border data transfers (Schrems II)
+7. Cross-border data transfers (Schrems II) — **se obligatorisk TIA-prosedyre under**
 8. Model inversion / data extraction attacks
 9. Re-identification from anonymized data
 10. Automated decision-making without safeguards (GDPR Art. 22)
 
+#### Cross-border / Schrems II — obligatorisk TIA (risiko 7)
+
+Når systemet bruker en amerikansk-eid skyleverandør (Azure/Microsoft 365/Foundry) eller data på annen måte kan nås fra tredjeland, **er det ikke nok å navngi risikoen** — load `monitoring-observability/data-residency-audit-monitoring.md` og gjennomfør EDPB seks-stegs Transfer Impact Assessment:
+
+1. Kartlegg overføringene (inkl. residual: support, troubleshooting, telemetri)
+2. Identifiser overføringsverktøyet (adekvansvedtak / SCCs / unntak)
+3. Vurder effektivitet mot mottakerlandets rett (FISA 702, EO 12333, CLOUD Act)
+4. Vedta tilleggstiltak — tekniske er sterkest (CMK, Customer Lockbox, Confidential Computing)
+5. Formelle prosedyresteg
+6. Revurder ved ny rettspraksis (Latombe-anken C-703/25 P) / §702-reautorisasjon
+
+**Nøkkelpoeng for DPO-svaret «kan amerikanske myndigheter nå disse dataene?»:** EU Data Boundary holder data i EØS, men fjerner ikke den juridiske tilgangsmuligheten — en amerikansk-eid leverandør forblir underlagt CLOUD Act/FISA uansett lagringsland. DPF-adekvansvedtaket (10. juli 2023) er gyldig per 2026-06, men er anket (mulig «Schrems III»), så restoverføringer krever dokumentert TIA med tekniske tiltak, ikke DPF alene.
+
 ### Phase 4: Measures and Residual Risk
 
 For each high/critical risk:
diff --git a/commands/dpia.md b/commands/dpia.md
index 8ede4e5..458b98b 100644
--- a/commands/dpia.md
+++ b/commands/dpia.md
@@ -41,11 +41,14 @@ Gjennomfør en komplett DPIA for følgende AI-system:
 **Behandlingsgrunnlag:** [GDPR art. 6/9]
 **Kontekst:** [offentlig sektor, virksomhet, etc.]
 
-Les kunnskapsbasene:
+Les kunnskapsbasene (kjerne):
 - skills/ms-ai-governance/references/norwegian-public-sector-governance/dpia-norwegian-methodology-ai.md
 - skills/ms-ai-governance/references/responsible-ai/gdpr-compliance-ai-systems.md
 - skills/ms-ai-governance/references/responsible-ai/ai-impact-assessment-framework.md
 
+Betinget (OBLIGATORISK hvis amerikansk-eid skyleverandør eller data nåbar fra tredjeland):
+- skills/ms-ai-governance/references/monitoring-observability/data-residency-audit-monitoring.md (EDPB seks-stegs-TIA + CLOUD Act/FISA 702/EO 14086-restanalyse for risiko 7)
+
 Lever en komplett DPIA-rapport med alle 5 faser, risikomatrise og anbefaling."
 ```
 
diff --git a/skills/ms-ai-governance/references/monitoring-observability/data-residency-audit-monitoring.md b/skills/ms-ai-governance/references/monitoring-observability/data-residency-audit-monitoring.md
index 14705b4..5c3b608 100644
--- a/skills/ms-ai-governance/references/monitoring-observability/data-residency-audit-monitoring.md
+++ b/skills/ms-ai-governance/references/monitoring-observability/data-residency-audit-monitoring.md
@@ -1,6 +1,6 @@
 # Data Residency and Geographic Audit Monitoring
 
-**Last updated:** 2026-05
+**Last updated:** 2026-06
 **Status:** GA
 **Category:** Monitoring & Observability
 
@@ -320,21 +320,48 @@ AI-systemer i offentlig sektor (biometric identification, critical infrastructur
 
 ### Schrems II og dataoverføringer
 
-**Post-Schrems II (2020) requirements:**
-1. **Transfer Impact Assessment (TIA):** Vurder om data kan aksesseres av non-EU myndigheter
-2. **Supplementary Measures:** Beyond SCCs, tekniske tiltak som encryption, pseudonymization
-3. **Documentation:** Audit trail for cross-border data transfers
+**Schrems II (CJEU C-311/18, 2020)** kjente Privacy Shield ugyldig fordi amerikansk overvåkingslovgivning — særlig **FISA Section 702** og **Executive Order 12333** — tillater bulk-innsamling av ikke-amerikanske personers kommunikasjon fra amerikanske leverandører uten individuell rettslig kjennelse og uten effektiv klageadgang for EU-borgere. SCCs alene er derfor ikke nok: dataeksportøren må selv vurdere om mottakerlandets rett undergraver beskyttelsen, og iverksette tilleggstiltak.
 
-**Microsoft approach:**
-- **EU Data Boundary** eliminerer de fleste cross-border transfers
-- **Pseudonymization** i system logs (supplementary measure)
-- **Access controls:** Just-In-Time (JIT) for Microsoft personnel
-- **Transparency:** Audit logs dokumenterer alle access events
+#### EDPB seks-stegs Transfer Impact Assessment (Recommendations 01/2020)
 
-**For norsk offentlig sektor:**
-- Velg EU Data Boundary for alle Microsoft Cloud services
-- Implementer Purview Audit Premium for dokumentasjon
-- Gjennomfør TIA for eventuelle residual transfers (support, troubleshooting)
+Obligatorisk metodikk for enhver overføring til tredjeland (også «residual transfers» som support/troubleshooting):
+
+1. **Kartlegg overføringene** — identifiser alle dataflyter til tredjeland (fjern-support, sub-prosessorer, telemetri). Du kan ikke beskytte en overføring du ikke vet om.
+2. **Identifiser overføringsverktøyet** (GDPR kap. V) — adekvansvedtak (Art. 45), SCCs/BCRs (Art. 46), eller unntak (Art. 49).
+3. **Vurder om verktøyet er effektivt i praksis** — selve TIA-en: undergraver mottakerlandets lov og praksis (FISA 702, EO 12333, CLOUD Act) den beskyttelsen SCC-ene skal gi?
+4. **Vedta tilleggstiltak** der verktøyet ikke er tilstrekkelig — tekniske, kontraktuelle eller organisatoriske (se under).
+5. **Gjennomfør formelle prosedyresteg** — f.eks. konsulter tilsynsmyndighet ved SCC-tillegg som endrer klausulene.
+6. **Revurder med jevne mellomrom** — TIA er ikke en engangsøvelse; ny rettspraksis eller lovendring (f.eks. utfallet i Latombe-anken, se under) utløser ny vurdering.
+
+**Tilleggstiltak — rangert etter EDPB-styrke:**
+- **Tekniske (sterkest):** Det eneste som faktisk hindrer myndighetstilgang når tredjelands lov tvinger utlevering — kontraktuelle og organisatoriske tiltak kan ikke stanse lovpålagt utlevering.
+  - **Customer-Managed Keys (CMK)** i kundekontrollert Key Vault / Managed HSM
+  - **Customer Lockbox** — kunden må godkjenne Microsoft-personells tilgang
+  - **Confidential Computing** — data kryptert også under prosessering (TEE)
+  - Pseudonymisering/kryptering der nøkkelen aldri forlater EØS
+- **Kontraktuelle:** SCCs + DPA, transparensforpliktelser, varslingsplikt ved myndighetsforespørsler.
+- **Organisatoriske:** Tilgangsstyring (Just-In-Time), policy, revisjon, audit-logging.
+
+#### CLOUD Act / FISA 702 / EO 12333 — restanalyse for amerikansk skytjeneste
+
+Sentralt for norsk offentlig sektor på Microsoft Cloud:
+
+- **EU Data Boundary (EUDB)** holder data lagret og prosessert innenfor EØS, men **fjerner ikke den juridiske muligheten for tredjelands tilgang**. En amerikansk-eid leverandør forblir underlagt amerikansk jurisdiksjon uavhengig av hvor dataene fysisk ligger. (Dette korrigerer den vanlige feilantakelsen «EUDB eliminerer alle overføringer».)
+- **CLOUD Act** (2018): amerikansk rettshåndhevelse kan pålegge en amerikansk-basert leverandør å utlevere data den «besitter, har varetekt over eller kontroll på» — uansett lagringsland. **Uendret av DPF.**
+- **FISA Section 702 + EO 12333:** grunnlaget Schrems II underkjente. **Status verifisert 2026-06-18:** §702-statutten sto til utløp 20. april 2026; Kongressen vedtok en 45-dagers «clean extension» og reautorisasjonen var fortsatt under forhandling i juni 2026. Uavhengig av statutten består innsamlingsautoriteten via FISA-domstolens årssertifiseringer godkjent mars 2026 — gyldige til **mars 2027**. Overvåkingsrisikoen er altså operativt til stede uavhengig av lovgivningsdramaet.
+
+#### EO 14086 og EU-US Data Privacy Framework (DPF) — nåstatus
+
+- **EO 14086** (okt. 2022) innførte proporsjonalitetskrav for amerikansk signaletterretning + en **Data Protection Review Court (DPRC)** som klageorgan. Dette er grunnlaget for **DPF-adekvansvedtaket (10. juli 2023)**.
+- **Status verifisert 2026-06-18:** DPF er **gyldig gjeldende rett**. EU-rettens Underrett (General Court) avviste 3. sept. 2025 Latombe-søksmålet (T-553/23) og opprettholdt adekvansen. Latombe anket 31. okt. 2025 → **sak C-703/25 P** for EU-domstolen; ingen berammet dato per mai 2026. En realitetsdom mot DPF ville være tredje underkjenning på rad («Schrems III»).
+- **Praktisk konsekvens:** Er leverandøren DPF-sertifisert, kan overføring i prinsippet hvile på adekvansvedtaket (steg 2 over) — men gitt den pågående anken bør offentlig sektor ikke basere seg på DPF alene. **Anbefaling:** behold EUDB + tekniske tilleggstiltak (CMK, Lockbox, Confidential Computing) og en dokumentert TIA, slik at compliance overlever en eventuell Schrems III uten arkitekturendring.
+
+**For norsk offentlig sektor (oppsummert):**
+- Velg EU Data Boundary for alle Microsoft Cloud-tjenester
+- Dokumenter en full seks-stegs TIA (ikke bare «vi bruker EUDB»)
+- Implementer tekniske tilleggstiltak — det eneste som holder hvis DPF faller
+- Implementer Purview Audit Premium for sporbarhet av residual access (support/troubleshooting)
+- Revurder TIA ved utfall i C-703/25 P og ved §702-reautorisasjonen
 
 ### Digdir Skytjenesterammetest