Sovereign-Audit er et struktureret audit, der vurderer din afhængighed af cloududbydere (især Microsoft 365) og din reelle evne til at hente dine data tilbage og skifte leverandør. Vi certificerer ikke en »suverænitet«: vi måler, dokumenterer og prioriterer.
Digital afhængighed bliver sjældent målt, og emnet er ved at blive reguleret
Forordning (EU) 2023/2854 (dataforordningen) indeholder et særskilt kapitel om skift mellem databehandlingstjenester med forpligtelser til at fjerne tekniske og kontraktuelle hindringer for skift af leverandør. Få organisationer ved i dag, hvor de står på dette punkt.
Nødkonti, identitetsføderation, Copilot, indbygget kryptering, tilpassede Teams-apps: hvert teknisk valg skaber lidt mere afhængighed, uden at der er truffet en udtrykkelig beslutning.
Cloudkontrakter indeholder klausuler om tilbagehentning af data og exit, men de underskrives én gang og gennemgås aldrig i lyset af lejerens faktiske brug.
Dataforordningen, SecNumCloud og Gaia-X definerer et vokabular og krav til portabilitet, men at omsætte det til operationelle konstateringer på DIN lejer kræver en metode og tid, som de interne it-teams ikke har.
En struktureret metode baseret på et katalog med 32 kontroller af afhængighed og portabilitet
Samtale med ledelsen eller den it-ansvarlige for at afgrænse omfanget (M365-lejer, enheder, datterselskaber, nøgleleverandører) og de afhængighedsspørgsmål, der er specifikke for din organisation.
Gennemgang af Microsoft 365-konfigurationen (identitet, backup, dataresidens, kryptering, applikationer) og af de kontraktuelle klausuler om reversibilitet hos dine leverandører.
Hver kontrol vurderes efter en klar status (dækket, delvis, mangler, skal kontrolleres kontraktuelt) med en sammenhæng til de berørte Microsoft 365-områder.
Konstateringerne knyttes, når det er relevant, til kravene i EU's dataforordning og til referencevokabularet i SecNumCloud/Gaia-X - uden nogensinde at fremstille det som en opnået certificering.
Aflevering af en klar rapport til ledelsen med en prioriteret handlingsplan, der nedbringer de mest kritiske afhængighedspunkter.
Et klart sæt dokumenter, som din ledelse og dine it-teams kan bruge
Dokumenteret vurdering af de 32 kontroller i kataloget med en status pr. kontrol.
Et samlet overblik over, hvor din afhængighed af Microsoft er koncentreret.
Et støtteredskab til at genlæse dine eksisterende cloudkontrakter sammen med dine jurister.
Overensstemmelse mellem dine konstateringer og vokabularet i referencerammerne.
Anbefalinger rangeret efter kritikalitet og lethed ved gennemførelse.
Dokumenter i formater, som dine teams kan bruge.
Sovereign-Audit bygger på eksisterende offentlige rammer - vi udsteder ingen certificering
EU-tekst med et særskilt kapitel om skift mellem databehandlingstjenester (portabilitet og interoperabilitet i cloud). Sovereign-Audit bygger på dette kapitel til at strukturere auditspørgsmålene, uden at fremstille en bestemt artikel som en forpligtelse, der allerede kan gøres gældende over for din organisation uden juridisk kontrol.
De organisatoriske kontroller vedrørende leverandørforhold og forretningskontinuitet strukturerer en del af afhængighedsanalysen.
ANSSI's frivillige kvalificeringsramme. Dens kontraktuelle reversibilitetsklausul tjener her som læseguide, selv om standard-Microsoft 365 ikke er kvalificeret til SecNumCloud.
Frivillig, ikke-bindende europæisk ramme, der giver et fælles vokabular for suverænitet og interoperabilitet mellem cloudaktører, her brugt som læseguide.
Hver opgave afgrænses på tilbud efter størrelsen og kompleksiteten af dit miljø
SMV, enkelt M365-lejer
SMV/mellemstor virksomhed, flere enheder eller datterselskaber
Organisationer med en afhjælpningsplan
Ingen pris er fastsat på forhånd på denne side
Det præcise omfang (antal enheder, lejerens størrelse, dybden af den kontraktuelle analyse) fastlægges sammen med dig før ethvert tilbud.
Ikke kun store koncerner eller »følsomme« sektorer: afhængighed af en cloududbyder berører meget forskellige virksomheder af forskellige årsager. Her er de officielle kriterier, uden at forveksle retlig forpligtelse og god praksis.
Den amerikanske CLOUD Act (føderal lov, Public Law 115-141) gælder for amerikanske »providers of electronic communication services or remote computing services« og gør det muligt at pålægge dem at udlevere data i deres »possession, custody, or control« til amerikansk retsvæsen, selv om disse data er lagret uden for USA (bestemmelse kodificeret i 18 U.S.C. § 2713). Konkret: en fransk SMV, der hoster sin mail eller sit ERP hos en amerikansk leverandør, eller et europæisk datterselskab af en amerikansk koncern, kan være berørt alene på grund af dette kontrolforhold, selv om dens data hostes i Frankrig eller i EU. Officiel tekst (Congress.gov)
Dataforordningen (forordning (EU) 2023/2854), der finder anvendelse siden 12. september 2025, er en tværgående tekst, der »gælder for alle sektorer«. Dens kapitel om skift af cloududbyder giver enhver kunde, uanset størrelse, ret til »effektivt at skifte udbyder af databehandlingstjenester« (portabilitet, interoperabilitet), uden en generel undtagelse for små virksomheder. Europa-Kommissionen - dataforordningen
NIS2-direktivet dækker 18 sektorer (energi, transport, sundhed, finans, vandforvaltning, digital infrastruktur, elektronisk kommunikation, digitale platforme, affaldshåndtering, fremstilling af kritiske produkter, post, rummet, offentlig forvaltning). For disse sektorer skal »mellemstore og store enheder som hovedregel træffe passende foranstaltninger til styring af cybersikkerhedsrisici« - hvilket omfatter styring af risikoen hos deres leverandører, herunder deres cloududbydere. Europa-Kommissionen - NIS2
ANSSI's SecNumCloud-kvalificering »anerkender troværdige cloudtilbud« via et sikkerhedsvisum. Det er ikke en generel retlig forpligtelse for private virksomheder: det er en frivillig kvalificering, der anbefales til at beskytte følsomme data eller hoste følsomme informationssystemer i cloud. ANSSI - cyber.gouv.fr
Sammenfattende fire typisk berørte profiler
1. En SMV, der hoster mail, ERP eller CRM hos en amerikansk hyperskalaudbyder (eller et
europæisk datterselskab af en amerikansk koncern): berørt af CLOUD Act uanset størrelse.
2. Enhver europæisk virksomhed, uanset størrelse, der bruger en cloudtjeneste (SaaS, PaaS eller
IaaS): berørt siden 12/09/2025 af dataforordningens nye portabilitetsrettigheder.
3. En mellemstor eller stor virksomhed i en af de 18 kritiske NIS2-sektorer (energi, sundhed,
transport, finans, digital infrastruktur...): skal styre leverandørrisikoen, cloud
inklusive.
4. En offentlig organisation eller en virksomhed, der hoster følsomme data: anbefalet mål for
SecNumCloud-kvalificeringen (ikke systematisk obligatorisk).
Disse kriterier stammer fra officielle tekster og sider, der er nævnt ovenfor. Det er ikke juridisk rådgivning: din præcise situation afhænger af din sektor, din størrelse og dine kontrakter - lad den om nødvendigt bekræfte af en jurist.
Hvad der er en reel retlig forpligtelse, hvad der er anbefalet god praksis, og hvad der snart kommer - forklaret enkelt med officielle kilder.
Hvis din virksomhed lader personoplysninger (medarbejdere, kunder) hoste hos en cloududbyder uden for Den Europæiske Union, er det din virksomhed - ikke udbyderen - der fortsat er juridisk ansvarlig over for GDPR for beskyttelsen af disse data. Du skal sikre dig, at overførslen hviler på en anerkendt garanti: enten anses landet for sikkert af Den Europæiske Union (»tilstrækkelighedsafgørelse«), eller du indgår med udbyderen de standardkontraktbestemmelser, som Europa-Kommissionen stiller til rådighed. Det er standarddokumenter, der skal indarbejdes i din kontrakt, ikke en forhandling, du selv skal opfinde.
Kilde: CNIL, rammen for overførsel af data uden for EU i henhold til GDPR (kapitel V, artikel 45 og 46) - cnil.fr, konsulteret den 18/07/2026.
Siden 12. september 2025 forpligter en europæisk forordning (»dataforordningen«) udbydere af cloudtjenester til at lette skift af leverandør: de skal gradvist nedbringe gebyrer for exit og levere dine data i et format, som du kan genbruge andetsteds. Konkret: hvis en udbyder svarer, at »det er ikke muligt«, eller fakturerer uforholdsmæssige beløb for at udlevere dine egne data, er det ikke længere normalt siden denne dato. Tidsplanen for den fuldstændige afskaffelse af disse gebyrer er fastsat i regelteksten - lad din jurist eller din leverandør kontrollere det, hvis der faktureres et beløb.
Kilde: Europa-Kommissionen, »dataforordningen« (Forordning (EU) 2023/2854, kapitel VI) - digital-strategy.ec.europa.eu, konsulteret den 18/07/2026.
SecNumCloud er en kvalificering udstedt af ANSSI (Frankrigs cybersikkerhedsagentur), som gør det muligt at anerkende cloudtilbud, der anses for troværdige til at hoste følsomme data. Det er ikke en retlig forpligtelse for en privat virksomhed. Den gælder først og fremmest for forvaltninger og organisationer, der forvalter følsomme informationssystemer for staten. For en SMV er det et nyttigt pejlemærke til at sammenligne cloudtilbud indbyrdes, ikke en norm, der skal overholdes ved lov.
Kilde: ANSSI (cyber.gouv.fr), siden »Cloud« - cyber.gouv.fr, konsulteret den 18/07/2026.
CNIL anbefaler - uden at det er en detaljeret, talmæssigt fastlagt forpligtelse i loven - at kortlægge de cloudtjenester, der reelt bruges i din virksomhed, at kontrollere leverandørens sikkerhedsniveau før underskrift, at skrive sort på hvidt i kontrakten, hvem der gør hvad med hensyn til sikkerhed, og at kryptere følsomme data. Princippet at huske: udbyderen sikrer sin infrastruktur, men det er dig, der skal konfigurere adgange og konti for dine teams korrekt. En dårlig konfiguration på din side er ikke dækket af udbyderens sikkerhed.
Kilde: CNIL, »Cloudsikkerhed (it i skyen)« - cnil.fr, konsulteret den 18/07/2026.
Europa-Kommissionen har sat et forslag til forordning, »Cloud and AI Development Act«, til debat for at styrke de europæiske kapaciteter inden for cloud og kunstig intelligens og mindske afhængigheden af de store ikke-europæiske leverandører. Denne tekst er endnu ikke i kraft: det er et forslag under behandling, ikke en regel, der skal anvendes i dag. Den indeholder et system med tillidsniveauer til at vurdere suveræniteten af et cloudtilbud. Noget at følge, uden at drage en umiddelbar operationel konklusion.
Kilde: Europa-Kommissionen, »Cloud and AI Development Act« - digital-strategy.ec.europa.eu, side opdateret den 03/06/2026, konsulteret den 18/07/2026.
Dette afsnit giver dig klare pejlemærker, ikke en juridisk rådgivning. For en konkret situation (løbende kontrakt, specifik dataoverførsel) bør du få den valideret af din juridiske afdeling eller en advokat.
Fem spørgsmål, som SMV-ledere stiller sig, hver besvaret på 2 minutter med sin officielle kilde
Disse svar opsummerer officielle sider konsulteret i juli 2026 (Europa-Kommissionen, CNIL, ANSSI, Gaia-X). De udgør ikke juridisk rådgivning og erstatter ikke en analyse dedikeret til din situation.
Kontakt os for at modtage et tilbud tilpasset dit omfang.