Sovereign-Audit е структуриран одит, който оценява зависимостта ви от доставчиците на облачни услуги (по-специално Microsoft 365) и реалната ви способност да си възвърнете данните и да смените доставчика. Не сертифицираме „суверенитет“: измерваме, документираме и приоритизираме.
Цифровата зависимост рядко се измерва, а темата става регулаторна
Регламент (ЕС) 2023/2854 (Регламент за данните) съдържа глава, посветена на превключването между услуги за обработване на данни, със задължения за премахване на техническите и договорните пречки пред смяната на доставчик. Малко организации днес знаят докъде са стигнали по този въпрос.
Акаунти за спешен достъп, федерация на идентичностите, Copilot, вградено криптиране, персонализирани приложения за Teams: всеки технически избор създава още малко зависимост, без да е взето изрично решение.
Облачните договори съдържат клаузи за връщане на данните и за напускане, но се подписват веднъж и никога не се преглеждат с оглед на реалното използване на наемателя.
Регламентът за данните, SecNumCloud и Gaia-X определят речник и изисквания за преносимост, но превръщането им в оперативна констатация за ВАШИЯ наемател изисква метод и време, с които вътрешните ИТ екипи не разполагат.
Структуриран метод, основан на каталог от 32 контрола за зависимост и преносимост
Разговор с ръководството или с ИТ отговорника за определяне на обхвата (наемател на M365, структури, дъщерни дружества, ключови доставчици) и на проблемите със зависимостта, специфични за вашата организация.
Преглед на конфигурацията на Microsoft 365 (идентичност, архивиране, местоположение на данните, криптиране, приложения) и на договорните клаузи за обратимост при вашите доставчици.
Всеки контрол се оценява по ясен статус (покрит, частичен, липсващ, за договорна проверка), със съответствие към засегнатите области на Microsoft 365.
Констатациите се свързват, когато е уместно, с изискванията на Регламента за данните на ЕС и с референтния речник на SecNumCloud/Gaia-X - без никога да се представя това като получена сертификация.
Предаване на ясен доклад на ръководството, с приоритизиран план за действие за намаляване на най-критичните точки на зависимост.
Ясен набор от документи, използваеми от ръководството и от вашите ИТ екипи
Документирана оценка на 32-та контрола от каталога, със статус за всеки контрол.
Общ поглед върху това къде е съсредоточена зависимостта ви от Microsoft.
Помощен материал за повторен преглед на съществуващите ви облачни договори заедно с вашите юридически екипи.
Съответствие между вашите констатации и речника на референтните рамки.
Препоръки, подредени по критичност и лекота на изпълнение.
Документи във формати, използваеми от вашите екипи.
Sovereign-Audit се основава на съществуващи публични рамки - не издаваме никакви сертификати
Европейски текст, съдържащ глава, посветена на превключването между услуги за обработване на данни (преносимост и оперативна съвместимост в облака). Sovereign-Audit се опира на тази глава, за да структурира въпросите на одита, без да представя конкретен член като задължение, вече приложимо към вашата организация без правна проверка.
Организационните контроли, свързани с отношенията с доставчици и с непрекъснатостта на дейността, структурират част от анализа на зависимостта.
Референтна рамка за доброволна квалификация на ANSSI. Договорната ѝ клауза за обратимост служи тук като ръководство за четене, дори стандартният Microsoft 365 да не е квалифициран по SecNumCloud.
Доброволна, необвързваща европейска рамка, която предоставя общ речник за суверенитет и оперативна съвместимост между облачните участници и се използва тук като ръководство за четене.
Всяка поръчка се определя по оферта, според размера и сложността на вашата среда
МСП, един наемател на M365
МСП/средноголеми предприятия, няколко структури или дъщерни дружества
Организации с план за отстраняване
На тази страница не е определена предварително никаква цена
Точният обхват (брой структури, размер на наемателя, дълбочина на договорния анализ) се определя с вас преди всяка оферта.
Не само големите групи или „чувствителните“ сектори: зависимостта от доставчик на облачни услуги засяга много различни предприятия, по различни причини. Ето официалните критерии, без да се смесват правното задължение и добрата практика.
Американският CLOUD Act (федерален закон, Public Law 115-141) се прилага за американските „доставчици на услуги за електронни съобщения или услуги за отдалечени изчисления“ и позволява те да бъдат задължени да предоставят на американското правосъдие данни, намиращи се в тяхно „притежание, попечителство или контрол“, дори когато тези данни се съхраняват извън Съединените щати (разпоредба, кодифицирана в 18 U.S.C. § 2713). Конкретно: френско МСП, което хоства пощата или ERP системата си при американски доставчик, или европейско дъщерно дружество на американска група, може да бъде засегнато единствено поради тази връзка на контрол, дори данните му да се хостват във Франция или в ЕС. Официален текст (Congress.gov)
Регламентът за данните (Регламент (ЕС) 2023/2854), приложим от 12 септември 2025 г., е хоризонтален текст, който „се прилага във всички сектори“. Неговата глава за смяната на доставчик на облачни услуги дава на всеки клиент, независимо от размера му, правото „ефективно да сменя доставчика на услуги за обработване на данни“ (преносимост, оперативна съвместимост), без общо изключение за малките предприятия. Европейска комисия - Регламент за данните
Директивата NIS 2 обхваща 18 сектора (енергетика, транспорт, здравеопазване, финанси, управление на водите, цифрова инфраструктура, електронни съобщения, цифрови платформи, управление на отпадъците, производство на критични продукти, пощенски услуги, космос, публична администрация). За тези сектори „по правило средните и големите субекти ще трябва да предприемат подходящи мерки за управление на рисковете за киберсигурността“ - което включва управлението на риска, свързан с техните доставчици, в това число облачните доставчици. Европейска комисия - NIS 2
Квалификацията SecNumCloud на ANSSI „признава надеждни облачни предложения“ чрез Виза за сигурност. Това не е общо правно задължение за частните предприятия: това е доброволна квалификация, препоръчана за защита на чувствителни данни или за хостване на чувствителни информационни системи в облака. ANSSI - cyber.gouv.fr
Накратко, четири типични засегнати профила
1. МСП, което хоства пощата, ERP или CRM системата си при американски хиперскейлър (или европейско дъщерно дружество на американска група): засегнато от CLOUD Act, независимо от размера си.
2. Всяко европейско предприятие, независимо от размера, ползващо облачна услуга (SaaS, PaaS или IaaS): засегнато от 12/09/2025 от новите права за преносимост на Регламента за данните.
3. Средно или голямо предприятие от един от 18-те критични сектора по NIS 2 (енергетика, здравеопазване, транспорт, финанси, цифрова инфраструктура...): трябва да управлява риска от доставчици, включително облачните.
4. Публичен орган или предприятие, което хоства чувствителни данни: препоръчана (не непременно задължителна) цел на квалификацията SecNumCloud.
Тези критерии произтичат от официални текстове и страници, цитирани по-горе. Това не е правно становище: вашата точна ситуация зависи от вашия сектор, от размера ви и от договорите ви - при нужда да се потвърди от юрист.
Кое е истинско правно задължение, кое е препоръчана добра практика и кое предстои скоро - обяснено просто, с опора на официални източници.
Ако вашето предприятие хоства лични данни (на служители, клиенти) при доставчик на облачни услуги, намиращ се извън Европейския съюз, вашето предприятие - а не доставчикът - остава правно отговорно по ОРЗД за защитата на тези данни. Трябва да се уверите, че този трансфер се основава на призната гаранция: или държавата се счита за сигурна от Европейския съюз („решение относно адекватното ниво на защита“), или подписвате с доставчика стандартните договорни клаузи, предоставени от Европейската комисия. Това са стандартни документи, които се включват във вашия договор, а не преговори, които трябва да измисляте сами.
Източник: CNIL, рамката за предаване на данни извън ЕС, предвидена в ОРЗД (глава V, членове 45 и 46) - cnil.fr, посетено на 18/07/2026.
От 12 септември 2025 г. европейски регламент („Регламентът за данните“) задължава доставчиците на облачни услуги да улесняват смяната на доставчик: те трябва постепенно да намалят таксите за напускане и да предоставят данните ви във формат, който можете да използвате повторно другаде. Конкретно, ако доставчик ви отговори, че „това не е възможно“, или ви начисли непропорционални суми за връщането на собствените ви данни, това вече не е нормално от тази дата. Точният график за пълното премахване на тези такси е определен от регулаторния текст - да се провери от вашия юрист или от вашия доставчик, ако ви бъде начислена сума.
Източник: Европейска комисия, „Регламент за данните“ (Регламент (ЕС) 2023/2854, глава VI) - digital-strategy.ec.europa.eu, посетено на 18/07/2026.
SecNumCloud е квалификация, издавана от ANSSI (френската агенция за киберсигурност), която позволява да се разпознават облачни предложения, смятани за достойни за доверие за хостване на чувствителни данни. Това не е правно задължение за частно предприятие. Тя се налага най-вече на администрациите и на организациите, които управляват чувствителни информационни системи за държавата. За едно МСП това е полезен ориентир за сравняване на облачни предложения помежду им, а не норма, която трябва да се спазва по закон.
Източник: ANSSI (cyber.gouv.fr), страница „Облак“ - cyber.gouv.fr, посетено на 18/07/2026.
CNIL препоръчва - без това да е количествено определено и подробно описано задължение в закона - да се изброят облачните услуги, които действително се ползват във вашето предприятие, да се провери нивото на сигурност на доставчика преди подписване, да се запише черно на бяло в договора кой какво прави по отношение на сигурността и да се криптират чувствителните данни. Принципът, който трябва да запомните: доставчикът защитава своята инфраструктура, но вие сте тези, които трябва да конфигурирате правилно достъпа и акаунтите на вашите екипи. Лоша конфигурация от ваша страна не се покрива от сигурността на доставчика.
Източник: CNIL, „Сигурност на облака (облачни изчисления)“ - cnil.fr, посетено на 18/07/2026.
Европейската комисия е предложила за обсъждане проект на регламент, „Акт за развитие на облачните технологии и изкуствения интелект“, за укрепване на европейските способности в областта на облака и изкуствения интелект и за намаляване на зависимостта от големите неевропейски доставчици. Този текст все още не е в сила : това е предложение, което се разглежда, а не правило, което да се прилага днес. Той предвижда система от нива на доверие за оценка на суверенитета на облачно предложение. Да се следи, без да се правят от него незабавни оперативни изводи.
Източник: Европейска комисия, „Акт за развитие на облачните технологии и изкуствения интелект“ - digital-strategy.ec.europa.eu, страница, актуализирана на 03/06/2026, посетена на 18/07/2026.
Този раздел ви дава ясни ориентири, а не правно становище. За конкретна ситуация (текущ договор, специфичен трансфер на данни) я потвърдете чрез вашия правен отдел или адвокат.
Пет въпроса, които си задават ръководителите на МСП, всеки с отговор за 2 минути и с официалния му източник
Тези отговори обобщават официални страници, посетени през юли 2026 г. (Европейска комисия, CNIL, ANSSI, Gaia-X). Те не представляват правно становище и не заместват специален анализ на вашата ситуация.
Свържете се с нас, за да получите оферта, съобразена с вашия обхват.