Sovereign-Audit je strukturovaný audit, který hodnotí vaši závislost na poskytovatelích cloudu (zejména Microsoft 365) a vaši skutečnou schopnost získat zpět svá data a změnit poskytovatele. Neosvědčujeme „suverenitu“: měříme, dokumentujeme a stanovujeme priority.
Digitální závislost se měří jen zřídka a téma se stává předmětem regulace
Nařízení (EU) 2023/2854 (akt o datech) obsahuje samostatnou kapitolu o přechodu mezi službami zpracování dat, která ukládá povinnost odstranit technické a smluvní překážky změny poskytovatele. Jen málo organizací dnes ví, jak na tom v této oblasti jsou.
Nouzové účty, federace identit, Copilot, nativní šifrování, vlastní aplikace Teams: každá technická volba vytváří o něco větší závislost, aniž by padlo výslovné rozhodnutí.
Cloudové smlouvy obsahují doložky o zpětném získání dat a o ukončení spolupráce, ale podepíší se jednou a už nikdy se nepřezkoumají ve světle skutečného využívání tenantu.
Akt o datech, SecNumCloud a Gaia-X definují slovník a požadavky na přenositelnost, ale převést je do provozního zjištění na VAŠEM tenantu vyžaduje metodu a čas, které interní IT týmy nemají.
Strukturovaná metoda opřená o katalog 32 kontrol závislosti a přenositelnosti
Rozhovor s vedením nebo vedoucím IT, při kterém se vymezí rozsah (tenant M365, subjekty, dceřiné společnosti, klíčoví poskytovatelé) a rizika závislosti specifická pro vaši organizaci.
Prověření konfigurace Microsoft 365 (identita, zálohování, umístění dat, šifrování, aplikace) a smluvních doložek o reverzibilitě u vašich poskytovatelů.
Každá kontrola se hodnotí jasným stavem (pokryto, částečně, chybí, k ověření ve smlouvě) a je přiřazena k příslušným oblastem Microsoft 365.
Zjištění se, je-li to relevantní, vážou na požadavky evropského aktu o datech a na referenční slovník SecNumCloud/Gaia-X – aniž by se to kdy prezentovalo jako získaná certifikace.
Předání srozumitelné zprávy vedení spolu s prioritizovaným akčním plánem ke snížení nejkritičtějších bodů závislosti.
Přehledná sada dokumentů použitelných pro vaše vedení i IT týmy
Zdokumentované vyhodnocení 32 kontrol katalogu se stavem u každé kontroly.
Celkový pohled na to, kde se soustřeďuje vaše závislost na Microsoftu.
Podklad pro přezkoumání vašich stávajících cloudových smluv spolu s právními týmy.
Přiřazení vašich zjištění ke slovníku referenčních rámců.
Doporučení seřazená podle kritičnosti a snadnosti provedení.
Dokumenty ve formátech použitelných pro vaše týmy.
Sovereign-Audit vychází z existujících veřejných rámců – nevydáváme žádnou certifikaci
Evropský předpis s kapitolou věnovanou přechodu mezi službami zpracování dat (přenositelnost a interoperabilita cloudu). Sovereign-Audit z této kapitoly vychází při strukturování auditních otázek, aniž by konkrétní článek prezentoval jako povinnost, která je pro vaši organizaci již vymahatelná bez právního ověření.
Organizační opatření týkající se vztahů s dodavateli a kontinuity činností strukturují část analýzy závislosti.
Dobrovolný kvalifikační rámec agentury ANSSI. Jeho smluvní doložka o reverzibilitě zde slouží jako vodítko ke čtení, i když standardní Microsoft 365 kvalifikaci SecNumCloud nemá.
Dobrovolný, nezávazný evropský rámec, který poskytuje společný slovník suverenity a interoperability mezi aktéry cloudu a je zde použit jako vodítko ke čtení.
Každá zakázka se vymezuje na základě nabídky podle velikosti a složitosti vašeho prostředí
Malé a střední podniky, jeden tenant M365
Malé, střední i větší střední podniky, více subjektů nebo dceřiných společností
Organizace s plánem nápravy
Na této stránce není předem stanovena žádná cena
Přesný rozsah (počet subjektů, velikost tenantu, hloubka analýzy smluv) se s vámi stanoví před každou nabídkou.
Nejen velké skupiny a „citlivá“ odvětví: závislost na poskytovateli cloudu se týká velmi různých podniků, a to z různých důvodů. Zde jsou oficiální kritéria, bez záměny právní povinnosti a osvědčeného postupu.
Americký zákon CLOUD Act (federální zákon, Public Law 115-141) se vztahuje na americké „poskytovatele služeb elektronických komunikací nebo služeb vzdáleného zpracování dat“ a umožňuje, aby byli nuceni předat americké justici data, která mají ve své „držbě, úschově nebo kontrole“, i když jsou tato data uložena mimo Spojené státy (ustanovení kodifikované jako 18 U.S.C. § 2713). Konkrétně: francouzský malý či střední podnik, který hostuje svou poštu nebo ERP u amerického poskytovatele, nebo evropská dceřiná společnost americké skupiny se může dotýkat už jen kvůli tomuto vztahu kontroly, i když jsou její data hostována ve Francii nebo v EU. Oficiální znění (Congress.gov)
Akt o datech (nařízení (EU) 2023/2854), použitelný od 12. září 2025, je průřezový předpis, který se „vztahuje na všechna odvětví“. Jeho kapitola o změně poskytovatele cloudu přiznává každému zákazníkovi, bez ohledu na jeho velikost, právo „skutečně změnit poskytovatele služeb zpracování dat“ (přenositelnost, interoperabilita), bez obecné výjimky pro malé podniky. Evropská komise – akt o datech
Směrnice NIS2 pokrývá 18 odvětví (energetika, doprava, zdravotnictví, finance, vodní hospodářství, digitální infrastruktura, elektronické komunikace, digitální platformy, nakládání s odpady, výroba kritických produktů, poštovní služby, vesmír, veřejná správa). V těchto odvětvích „budou muset střední a velké subjekty zpravidla přijmout vhodná opatření k řízení rizik v oblasti kybernetické bezpečnosti“ – což zahrnuje řízení rizik spojených s jejich dodavateli, včetně poskytovatelů cloudu. Evropská komise – NIS2
Kvalifikace SecNumCloud agentury ANSSI „uznává důvěryhodné cloudové nabídky“ prostřednictvím bezpečnostního víza. Pro soukromé podniky nejde o obecnou právní povinnost: je to dobrovolná kvalifikace, doporučená k ochraně citlivých dat nebo k hostování citlivých informačních systémů v cloudu. ANSSI – cyber.gouv.fr
Shrnutí: čtyři typicky dotčené profily
1. Malý či střední podnik, který hostuje poštu, ERP nebo CRM u velkého amerického poskytovatele cloudu (nebo evropská dceřiná společnost americké skupiny): dotčen zákonem CLOUD Act, bez ohledu na svou velikost.
2. Jakýkoli evropský podnik jakékoli velikosti, který používá cloudovou službu (SaaS, PaaS nebo IaaS): dotčen od 12/09/2025 novými právy na přenositelnost podle aktu o datech.
3. Střední nebo velký podnik z jednoho z 18 kritických odvětví NIS2 (energetika, zdravotnictví, doprava, finance, digitální infrastruktura...): musí řídit riziko spojené s dodavateli, včetně cloudu.
4. Veřejný orgán nebo podnik, který hostuje citlivá data: doporučený cíl (ne vždy povinný) kvalifikace SecNumCloud.
Tato kritéria vycházejí z oficiálních předpisů a stránek citovaných výše. Nejde o právní posouzení: vaše přesná situace závisí na vašem odvětví, velikosti a smlouvách – v případě potřeby ji nechte potvrdit právníkem.
Co je skutečná právní povinnost, co je doporučený osvědčený postup a co se blíží – vysvětleno jednoduše, s oporou v oficiálních zdrojích.
Pokud vaše firma nechává osobní údaje (zaměstnanců, zákazníků) hostovat u poskytovatele cloudu usazeného mimo Evropskou unii, pak právně odpovídá za jejich ochranu podle GDPR vaše firma – nikoli poskytovatel. Musíte zajistit, aby tento přenos stál na uznané záruce: buď Evropská unie považuje danou zemi za bezpečnou („rozhodnutí o odpovídající ochraně“), nebo s poskytovatelem podepíšete standardní smluvní doložky poskytnuté Evropskou komisí. Jsou to standardní dokumenty, které se začlení do vaší smlouvy, nikoli jednání, které byste si měli vymýšlet sami.
Zdroj: CNIL, rámec pro předávání údajů mimo EU stanovený GDPR (kapitola V, články 45 a 46) – cnil.fr, zobrazeno dne 18/07/2026.
Od 12. září 2025 ukládá evropské nařízení („akt o datech“) poskytovatelům cloudových služeb povinnost usnadnit změnu poskytovatele: musí postupně snižovat poplatky za odchod a poskytnout vaše data ve formátu, který můžete použít jinde. Konkrétně, pokud vám poskytovatel odpoví, že „to není možné“, nebo vám za získání vašich vlastních dat účtuje nepřiměřené částky, není to od tohoto data již normální. Přesný harmonogram úplného zrušení těchto poplatků stanoví samotný právní předpis – nechte jej ověřit svým právníkem nebo poskytovatelem, pokud vám je nějaká částka účtována.
Zdroj: Evropská komise, „akt o datech“ (nařízení (EU) 2023/2854, kapitola VI) – digital-strategy.ec.europa.eu, zobrazeno dne 18/07/2026.
SecNumCloud je kvalifikace udělovaná agenturou ANSSI (francouzskou agenturou pro kybernetickou bezpečnost), která umožňuje rozpoznat cloudové nabídky považované za důvěryhodné pro hostování citlivých dat. Pro soukromý podnik nejde o právní povinnost. Uplatňuje se zejména u správních orgánů a organizací, které spravují citlivé informační systémy pro stát. Pro malý či střední podnik je to užitečné vodítko k porovnání cloudových nabídek mezi sebou, nikoli norma, kterou by bylo nutné dodržovat ze zákona.
Zdroj: ANSSI (cyber.gouv.fr), stránka „Cloud“ – cyber.gouv.fr, zobrazeno dne 18/07/2026.
CNIL doporučuje – aniž by šlo o povinnost vyčíslenou a podrobně stanovenou v zákoně – sepsat cloudové služby, které ve vaší firmě skutečně používáte, před podpisem ověřit úroveň zabezpečení poskytovatele, ve smlouvě černé na bílém uvést, kdo má v oblasti bezpečnosti jaké povinnosti, a šifrovat citlivá data. Zásada k zapamatování: poskytovatel zabezpečuje svou infrastrukturu, ale správně nastavit přístupy a účty vašich týmů je na vás. Chybná konfigurace na vaší straně není kryta zabezpečením poskytovatele.
Zdroj: CNIL, „Bezpečnost cloudu (informatika v oblaku)“ – cnil.fr, zobrazeno dne 18/07/2026.
Evropská komise předložila k diskusi návrh nařízení, „akt o rozvoji cloudu a umělé inteligence“, který má posílit evropské kapacity v oblasti cloudu a umělé inteligence a snížit závislost na velkých neevropských poskytovatelích. Tento předpis dosud nevstoupil v platnost: je to návrh, který se projednává, nikoli pravidlo, které by se dnes mělo uplatňovat. Počítá se systémem úrovní důvěry pro hodnocení suverenity cloudové nabídky. Je třeba jej sledovat, aniž by se z něj okamžitě vyvozovaly provozní závěry.
Zdroj: Evropská komise, „akt o rozvoji cloudu a umělé inteligence“ – digital-strategy.ec.europa.eu, stránka aktualizována 03/06/2026, zobrazena dne 18/07/2026.
Tato část vám dává jasná vodítka, nikoli právní posouzení. Pro konkrétní situaci (probíhající smlouva, konkrétní předávání dat) si to nechte potvrdit svým právním oddělením nebo advokátem.
Pět otázek, které si kladou vedoucí pracovníci malých a středních podniků, každá zodpovězená do 2 minut s oficiálním zdrojem
Tyto odpovědi shrnují oficiální stránky zobrazené v červenci 2026 (Evropská komise, CNIL, ANSSI, Gaia-X). Nepředstavují právní posouzení a nenahrazují analýzu zaměřenou na vaši situaci.
Kontaktujte nás a obdržíte nabídku přizpůsobenou vašemu rozsahu.