Sovereign-Audit ist ein strukturiertes Audit, das Ihre Abhängigkeit von Cloud-Anbietern (insbesondere Microsoft 365) und Ihre tatsächliche Fähigkeit bewertet, Ihre Daten zurückzuholen und den Anbieter zu wechseln. Wir zertifizieren keine „Souveränität“: Wir messen, dokumentieren und priorisieren.
Die digitale Abhängigkeit wird selten gemessen, und das Thema wird zum Regulierungsgegenstand
Die Verordnung (EU) 2023/2854 (Datenverordnung) enthält ein eigenes Kapitel zum Wechsel zwischen Datenverarbeitungsdiensten, mit Pflichten zur Beseitigung technischer und vertraglicher Hindernisse beim Anbieterwechsel. Nur wenige Organisationen wissen heute, wo sie in dieser Frage stehen.
Notfallkonten, Identitätsföderation, Copilot, native Verschlüsselung, individuell entwickelte Teams-Apps: Jede technische Entscheidung schafft ein Stück mehr Abhängigkeit, ohne dass eine ausdrückliche Entscheidung getroffen wurde.
Cloud-Verträge enthalten Klauseln zur Datenrückgabe und zum Ausstieg, doch sie werden einmal unterzeichnet und nie im Licht der tatsächlichen Nutzung des Mandanten überprüft.
Die Datenverordnung, SecNumCloud und Gaia-X definieren ein Vokabular und Portabilitätsanforderungen, aber die Übersetzung in einen operativen Befund für IHREN Mandanten erfordert eine Methode und Zeit, die internen IT-Teams fehlen.
Eine strukturierte Methode, gestützt auf einen Katalog von 32 Kontrollen zu Abhängigkeit und Portabilität
Austausch mit der Geschäftsleitung oder der IT-Leitung, um den Umfang (Microsoft-365-Mandant, Einheiten, Tochtergesellschaften, Schlüsseldienstleister) und die für Ihre Organisation spezifischen Abhängigkeitsfragen einzugrenzen.
Prüfung der Microsoft-365-Konfiguration (Identität, Sicherung, Datenresidenz, Verschlüsselung, Anwendungen) und der vertraglichen Reversibilitätsklauseln bei Ihren Dienstleistern.
Jede Kontrolle wird nach einem klaren Status bewertet (abgedeckt, teilweise, fehlend, vertraglich zu prüfen), mit einer Zuordnung zu den betroffenen Microsoft-365-Bereichen.
Die Feststellungen werden, wo sinnvoll, mit den Anforderungen der europäischen Datenverordnung und dem Referenzvokabular von SecNumCloud/Gaia-X verknüpft - ohne dies jemals als erlangte Zertifizierung darzustellen.
Übergabe eines klaren Berichts an die Geschäftsleitung, mit einem priorisierten Maßnahmenplan zur Verringerung der kritischsten Abhängigkeitspunkte.
Ein klarer Satz von Dokumenten, den Ihre Geschäftsleitung und Ihre IT-Teams nutzen können
Dokumentierte Bewertung der 32 Kontrollen des Katalogs, mit einem Status je Kontrolle.
Ein Gesamtüberblick darüber, wo sich Ihre Abhängigkeit von Microsoft konzentriert.
Eine Arbeitsunterlage, um Ihre bestehenden Cloud-Verträge gemeinsam mit Ihren Rechtsteams erneut durchzugehen.
Zuordnung Ihrer Feststellungen zum Vokabular der Referenzrahmen.
Empfehlungen, geordnet nach Kritikalität und Umsetzbarkeit.
Dokumente in Formaten, die Ihre Teams nutzen können.
Sovereign-Audit stützt sich auf bestehende öffentliche Rahmenwerke - wir vergeben keinerlei Zertifizierung
Europäischer Rechtstext mit einem eigenen Kapitel zum Wechsel zwischen Datenverarbeitungsdiensten (Portabilität und Interoperabilität von Cloud-Diensten). Sovereign-Audit stützt sich auf dieses Kapitel, um die Prüffragen zu strukturieren, ohne einen bestimmten Artikel als bereits für Ihre Organisation verbindliche Pflicht darzustellen, solange dies nicht rechtlich geprüft wurde.
Die organisatorischen Kontrollen zu Lieferantenbeziehungen und zur Geschäftskontinuität strukturieren einen Teil der Abhängigkeitsanalyse.
Freiwilliger Qualifizierungsrahmen der ANSSI. Seine vertragliche Reversibilitätsklausel dient hier als Lesehilfe, auch wenn Microsoft 365 in der Standardausführung nicht nach SecNumCloud qualifiziert ist.
Freiwilliger, nicht verbindlicher europäischer Rahmen, der ein gemeinsames Vokabular für Souveränität und Interoperabilität zwischen Cloud-Akteuren bereitstellt und hier als Lesehilfe dient.
Jeder Auftrag wird per Angebot festgelegt, je nach Größe und Komplexität Ihrer Umgebung
KMU, einzelner Microsoft-365-Mandant
KMU/Mittelstand, mehrere Einheiten oder Tochtergesellschaften
Organisationen mit einem Behebungsplan
Auf dieser Seite wird im Voraus kein Preis festgelegt
Der genaue Umfang (Anzahl der Einheiten, Größe des Mandanten, Tiefe der Vertragsanalyse) wird vor jedem Angebot gemeinsam mit Ihnen festgelegt.
Nicht nur Großkonzerne oder „sensible“ Branchen: Die Abhängigkeit von einem Cloud-Anbieter betrifft ganz unterschiedliche Unternehmen, aus unterschiedlichen Gründen. Hier die offiziellen Kriterien, ohne gesetzliche Pflicht und bewährte Praxis zu vermischen.
Der amerikanische CLOUD Act (Bundesgesetz, Public Law 115-141) gilt für US-amerikanische „Anbieter elektronischer Kommunikationsdienste oder Cloud-Rechendienste“ und erlaubt es, sie zur Herausgabe von Daten in ihrem „Besitz, ihrer Obhut oder ihrer Kontrolle“ an die US-Justiz zu verpflichten, selbst wenn diese Daten außerhalb der Vereinigten Staaten gespeichert sind (kodifizierte Bestimmung 18 U.S.C. § 2713). Konkret: ein französisches KMU, das seine Messaging-Umgebung oder sein ERP bei einem amerikanischen Anbieter hostet, oder eine europäische Tochtergesellschaft eines amerikanischen Konzerns kann allein aufgrund dieser Kontrollbeziehung betroffen sein, auch wenn ihre Daten in Frankreich oder in der EU gehostet werden. Amtlicher Text (Congress.gov)
Die Datenverordnung (Verordnung (EU) 2023/2854), anwendbar seit dem 12. September 2025, ist ein sektorübergreifender Rechtstext, der „für alle Sektoren gilt“. Ihr Kapitel zum Wechsel des Cloud-Anbieters gibt jedem Kunden, unabhängig von seiner Größe, das Recht, „effektiv den Anbieter von Datenverarbeitungsdiensten zu wechseln“ (Portabilität, Interoperabilität), ohne generelle Ausnahme für kleine Unternehmen. Europäische Kommission - Datenverordnung
Die NIS-2-Richtlinie erfasst 18 Sektoren (Energie, Verkehr, Gesundheit, Finanzwesen, Wasserwirtschaft, digitale Infrastruktur, elektronische Kommunikation, digitale Plattformen, Abfallbewirtschaftung, Herstellung kritischer Produkte, Postdienste, Weltraum, öffentliche Verwaltung). Für diese Sektoren müssen „in der Regel mittlere und große Einrichtungen geeignete Maßnahmen zum Management von Cybersicherheitsrisiken ergreifen“ - dazu gehört das Management der Risiken aus ihren Lieferanten, darunter ihre Cloud-Anbieter. Europäische Kommission - NIS-2-Richtlinie
Die SecNumCloud-Qualifizierung der ANSSI „erkennt vertrauenswürdige Cloud-Angebote an“ und vergibt dazu ein Sicherheitsvisum. Sie ist keine allgemeine gesetzliche Pflicht für Privatunternehmen: Es handelt sich um eine freiwillige Qualifizierung, empfohlen zum Schutz sensibler Daten oder zum Hosten sensibler Informationssysteme in der Cloud. ANSSI - cyber.gouv.fr
Zusammengefasst: vier typischerweise betroffene Profile
1. Ein KMU, das Messaging, ERP oder CRM bei einem amerikanischen Hyperscaler hostet (oder eine europäische Tochtergesellschaft eines amerikanischen Konzerns): betroffen vom CLOUD Act, unabhängig von seiner Größe.
2. Jedes europäische Unternehmen jeder Größe, das einen Cloud-Dienst nutzt (SaaS, PaaS oder IaaS): seit dem 12.09.2025 betroffen von den neuen Portabilitätsrechten der Datenverordnung.
3. Ein mittleres oder großes Unternehmen eines der 18 kritischen NIS-2-Sektoren (Energie, Gesundheit, Verkehr, Finanzwesen, digitale Infrastruktur ...): muss das Lieferantenrisiko managen, einschließlich Cloud.
4. Eine öffentliche Stelle oder ein Unternehmen, das sensible Daten hostet: empfohlenes (nicht zwingend verpflichtendes) Ziel der SecNumCloud-Qualifizierung.
Diese Kriterien stammen aus den oben genannten offiziellen Texten und Seiten. Dies ist keine Rechtsberatung: Ihre genaue Situation hängt von Ihrer Branche, Ihrer Größe und Ihren Verträgen ab - im Zweifel von einer Juristin oder einem Juristen bestätigen lassen.
Was eine echte gesetzliche Pflicht ist, was eine empfohlene bewährte Praxis ist und was demnächst kommt - einfach erklärt, mit amtlichen Quellen.
Lässt Ihr Unternehmen personenbezogene Daten (von Beschäftigten, Kunden) bei einem Cloud-Dienstleister außerhalb der Europäischen Union hosten, so bleibt Ihr Unternehmen - nicht der Dienstleister - nach der DSGVO rechtlich für den Schutz dieser Daten verantwortlich. Sie müssen sicherstellen, dass diese Übermittlung auf einer anerkannten Garantie beruht: Entweder gilt das Land nach Einschätzung der Europäischen Union als sicher („Angemessenheitsbeschluss“), oder Sie schließen mit dem Dienstleister die von der Europäischen Kommission bereitgestellten Standardvertragsklauseln ab. Das sind Standarddokumente, die in Ihren Vertrag aufzunehmen sind, keine Verhandlung, die Sie selbst erfinden müssten.
Quelle: CNIL, Rahmen für Datenübermittlungen außerhalb der EU nach der DSGVO (Kapitel V, Artikel 45 und 46) - cnil.fr, abgerufen am 18.07.2026.
Seit dem 12. September 2025 verpflichtet eine europäische Verordnung (die „Datenverordnung“) Anbieter von Cloud-Diensten, den Anbieterwechsel zu erleichtern: Sie müssen die Ausstiegsentgelte schrittweise senken und Ihre Daten in einem Format bereitstellen, das Sie anderswo weiterverwenden können. Konkret: Antwortet ein Anbieter, „das sei nicht möglich“, oder berechnet er unverhältnismäßige Beträge für die Herausgabe Ihrer eigenen Daten, ist das seit diesem Datum nicht mehr normal. Der genaue Zeitplan für den vollständigen Wegfall dieser Entgelte ist im Verordnungstext festgelegt - lassen Sie ihn von Ihrer Rechtsabteilung oder Ihrem Dienstleister prüfen, wenn Ihnen ein Betrag berechnet wird.
Quelle: Europäische Kommission, „Datenverordnung“ (Verordnung (EU) 2023/2854, Kapitel VI) - digital-strategy.ec.europa.eu, abgerufen am 18.07.2026.
SecNumCloud ist eine von der ANSSI (der französischen Cybersicherheitsbehörde) vergebene Qualifizierung, die es erlaubt, Cloud-Angebote zu erkennen, die als vertrauenswürdig für das Hosten sensibler Daten gelten. Für ein Privatunternehmen ist sie keine gesetzliche Pflicht. Sie gilt vor allem für Verwaltungen und Einrichtungen, die sensible Informationssysteme für den Staat betreiben. Für ein KMU ist sie ein nützlicher Anhaltspunkt, um Cloud-Angebote miteinander zu vergleichen, keine gesetzlich einzuhaltende Norm.
Quelle: ANSSI (cyber.gouv.fr), Seite „Cloud“ - cyber.gouv.fr, abgerufen am 18.07.2026.
Die CNIL empfiehlt - ohne dass dies eine im Gesetz bezifferte und detaillierte Pflicht wäre -, die tatsächlich im Unternehmen genutzten Cloud-Dienste aufzulisten, das Sicherheitsniveau des Anbieters vor Vertragsabschluss zu prüfen, im Vertrag schwarz auf weiß festzuhalten, wer was für die Sicherheit tut, und sensible Daten zu verschlüsseln. Das Prinzip, das man sich merken sollte: Der Anbieter sichert seine Infrastruktur, aber Sie müssen die Zugriffe und die Konten Ihrer Teams richtig konfigurieren. Eine fehlerhafte Konfiguration auf Ihrer Seite ist durch die Sicherheit des Anbieters nicht abgedeckt.
Quelle: CNIL, „Sicherheit der Cloud (Cloud-Computing)“ - cnil.fr, abgerufen am 18.07.2026.
Die Europäische Kommission hat einen Verordnungsentwurf zur Diskussion gestellt, das „Cloud- und KI-Entwicklungsgesetz“, um die europäischen Kapazitäten in den Bereichen Cloud und künstliche Intelligenz zu stärken und die Abhängigkeit von großen außereuropäischen Anbietern zu verringern. Dieser Text ist noch nicht in Kraft : Es ist ein Vorschlag in Prüfung, keine Regel, die heute anzuwenden wäre. Er sieht ein System von Vertrauensstufen vor, um die Souveränität eines Cloud-Angebots zu bewerten. Beobachten, ohne daraus sofort operative Schlüsse zu ziehen.
Quelle: Europäische Kommission, „Cloud- und KI-Entwicklungsgesetz“ - digital-strategy.ec.europa.eu, Seite aktualisiert am 03.06.2026, abgerufen am 18.07.2026.
Dieser Abschnitt gibt Ihnen klare Orientierungspunkte, keine Rechtsberatung. Lassen Sie bei einer konkreten Situation (laufender Vertrag, bestimmte Datenübermittlung) die Einschätzung von Ihrer Rechtsabteilung oder einer Rechtsanwältin bzw. einem Rechtsanwalt bestätigen.
Fünf Fragen, die sich Geschäftsführende von KMU stellen, jeweils in 2 Minuten beantwortet, mit amtlicher Quelle
Diese Antworten fassen im Juli 2026 abgerufene amtliche Seiten zusammen (Europäische Kommission, CNIL, ANSSI, Gaia-X). Sie stellen keine Rechtsberatung dar und ersetzen keine auf Ihre Situation zugeschnittene Analyse.
Kontaktieren Sie uns, um ein auf Ihren Umfang zugeschnittenes Angebot zu erhalten.