Sovereign-Audit on struktureeritud audit, mis hindab teie sõltuvust pilveteenuse pakkujatest (eelkõige Microsoft 365-st) ja teie tegelikku suutlikkust oma andmed tagasi saada ning teenusepakkujat vahetada. Me ei sertifitseeri „suveräänsust“: me mõõdame, dokumenteerime ja seame tähtsuse järjekorda.
Digitaalset sõltuvust mõõdetakse harva ning teema muutub regulatiivseks
Määrus (EL) 2023/2854 (andmeakt) sisaldab eraldi peatükki andmetöötlusteenuste vahelise ülemineku kohta, millega kehtestatakse kohustus kõrvaldada teenusepakkuja vahetamise tehnilised ja lepingulised takistused. Vähesed organisatsioonid teavad praegu, kus nad selles küsimuses seisavad.
Hädajuurdepääsukontod, identiteedi föderatsioon, Copilot, natiivne krüpteerimine, kohandatud Teamsi rakendused: iga tehniline valik loob veidi suurema sõltuvuse, ilma et keegi oleks seda selgesõnaliselt otsustanud.
Pilvelepingud sisaldavad andmete tagasisaamise ja teenusest väljumise klausleid, kuid need allkirjastatakse üks kord ning neid ei vaadata kunagi üle rentniku tegeliku kasutuse valguses.
Andmeakt, SecNumCloud ja Gaia-X määratlevad teisaldatavuse sõnavara ja nõuded, kuid nende tõlkimine praktiliseks tõdemuseks TEIE rentniku kohta nõuab meetodit ja aega, mida ettevõttesisestel IT-meeskondadel ei ole.
Struktureeritud meetod, mis tugineb 32 sõltuvuse ja teisaldatavuse kontrolli kataloogile
Vestlus juhtkonna või IT-juhiga, et piiritleda ulatus (M365 rentnik, üksused, tütarettevõtted, võtmetähtsusega teenusepakkujad) ning teie organisatsioonile omased sõltuvusriskid.
Microsoft 365 konfiguratsiooni (identiteet, varundus, andmete asukoht, krüpteerimine, rakendused) ja teie teenusepakkujatega sõlmitud pöörduvusklauslite läbivaatus.
Iga kontrolli hinnatakse selge staatuse alusel (kaetud, osaline, puudub, vajab lepingulist kontrolli), seostades selle asjakohaste Microsoft 365 valdkondadega.
Tõdemused seostatakse asjakohasel juhul Euroopa andmeakti nõuete ning SecNumCloudi ja Gaia-X võrdlussõnavaraga - ilma et seda kunagi esitataks saadud sertifikaadina.
Selge aruande üleandmine juhtkonnale koos tähtsuse järjekorda seatud tegevuskavaga kõige kriitilisemate sõltuvuskohtade vähendamiseks.
Selge dokumendikomplekt, mida teie juhtkond ja IT-meeskonnad saavad kasutada
Kataloogi 32 kontrolli dokumenteeritud hindamine, igale kontrollile oma staatus.
Ülevaade sellest, kus teie sõltuvus Microsoftist koondub.
Tugimaterjal olemasolevate pilvelepingute läbivaatamiseks koos teie õigusmeeskonnaga.
Teie tõdemuste vastavus võrdlusraamistike sõnavarale.
Soovitused, mis on järjestatud kriitilisuse ja elluviimise lihtsuse järgi.
Dokumendid vormingutes, mida teie meeskonnad saavad kasutada.
Sovereign-Audit tugineb olemasolevatele avalikele raamistikele - me ei väljasta ühtegi sertifikaati
Euroopa õigusakt, mis sisaldab eraldi peatükki andmetöötlusteenuste vahelise ülemineku kohta (pilveteenuste teisaldatavus ja koostalitlusvõime). Sovereign-Audit tugineb sellele peatükile auditiküsimuste struktureerimisel, ilma et esitaks mõnda konkreetset artiklit teie organisatsioonile juba kohustuslikuna, kui seda ei ole õiguslikult kontrollitud.
Tarnijasuhteid ja tegevuspidevust käsitlevad organisatsioonilised kontrollimeetmed kujundavad osa sõltuvusanalüüsist.
ANSSI vabatahtlik kvalifitseerimise raamistik. Selle lepingulist pöörduvusklauslit kasutatakse siin lugemisjuhendina, kuigi tavaline Microsoft 365 ei ole SecNumCloudi kvalifikatsiooniga.
Vabatahtlik, siduv jõuta Euroopa raamistik, mis annab pilveteenuse osalejatele ühise suveräänsuse ja koostalitlusvõime sõnavara; siin kasutatakse seda lugemisjuhendina.
Iga töö piiritletakse hinnapakkumise alusel, sõltuvalt teie keskkonna suurusest ja keerukusest
VKE, üks M365 rentnik
VKE/keskmise turukapitalisatsiooniga ettevõte, mitu üksust või tütarettevõtet
Organisatsioonid, kellel on parandusmeetmete kava
Sellel lehel ei ole ühtegi hinda ette kindlaks määratud
Täpne ulatus (üksuste arv, rentniku suurus, lepinguanalüüsi sügavus) määratakse teiega koos enne iga hinnapakkumist.
Mitte ainult suurkontserne ega „tundlikke“ sektoreid: sõltuvus pilveteenuse pakkujast puudutab väga erinevaid ettevõtteid erinevatel põhjustel. Siin on ametlikud kriteeriumid, ajamata segi õiguslikku kohustust ja head tava.
USA CLOUD Act (föderaalseadus, Public Law 115-141) kehtib Ameerika „elektroonilise side teenuste või kaugandmetöötlusteenuste pakkujatele“ ja võimaldab kohustada neid andma USA justiitsasutustele oma „valduses, hoiul või kontrolli all“ olevaid andmeid, isegi kui need andmed on salvestatud väljaspool Ameerika Ühendriike (säte on kodifitseeritud 18 U.S.C. § 2713). Konkreetselt: Prantsuse VKE, kes majutab oma e-posti või ERP-süsteemi Ameerika teenusepakkuja juures, või Ameerika kontserni Euroopa tütarettevõte võib olla puudutatud ainuüksi selle kontrollisuhte tõttu, isegi kui tema andmeid majutatakse Prantsusmaal või ELis. Ametlik tekst (Congress.gov)
Andmeakt (määrus (EL) 2023/2854), mida kohaldatakse alates 12. septembrist 2025, on valdkondadeülene õigusakt, mis „kehtib kõigis sektorites“. Selle pilveteenuse pakkuja vahetamist käsitlev peatükk annab igale kliendile, olenemata tema suurusest, õiguse „tegelikult vahetada andmetöötlusteenuse pakkujat“ (teisaldatavus, koostalitlusvõime), ilma väikeettevõtete üldise erandita. Euroopa Komisjon - andmeakt
NIS2 direktiiv hõlmab 18 sektorit (energeetika, transport, tervishoid, rahandus, veemajandus, digitaristu, elektrooniline side, digitaalsed platvormid, jäätmekäitlus, kriitiliste toodete tootmine, postiteenused, kosmos, avalik haldus). Nende sektorite puhul „peavad üldjuhul keskmise suurusega ja suured üksused võtma asjakohaseid küberturvalisuse riskijuhtimise meetmeid“ - mis hõlmab riskijuhtimist nende tarnijate osas, sealhulgas pilveteenuse pakkujate osas. Euroopa Komisjon - NIS2
ANSSI SecNumCloudi kvalifikatsioon „tunnustab usaldusväärseid pilvelahendusi“ turvaviisa kaudu. See ei ole eraettevõtetele üldine õiguslik kohustus: see on vabatahtlik kvalifikatsioon, mida soovitatakse tundlike andmete kaitsmiseks või tundlike infosüsteemide majutamiseks pilves. ANSSI - cyber.gouv.fr
Kokkuvõttes neli tüüpilist puudutatud profiili
1. VKE, kes majutab e-posti, ERP- või CRM-süsteemi Ameerika hüperskaalapakkuja juures (või
Ameerika kontserni Euroopa tütarettevõte): puudutatud CLOUD Actist, olenemata oma suurusest.
2. Iga Euroopa ettevõte, olenemata suurusest, kes kasutab pilveteenust (SaaS, PaaS või IaaS):
puudutatud alates 12.09.2025 andmeakti uutest teisaldatavuse õigustest.
3. Üks 18 NIS2 kriitilise sektori keskmise suurusega või suur ettevõte (energeetika,
tervishoid, transport, rahandus, digitaristu...): peab juhtima tarnijariski, sealhulgas
pilveteenuste oma.
4. Avalik-õiguslik asutus või ettevõte, kes majutab tundlikke andmeid: SecNumCloudi
kvalifikatsiooni soovitatav (mitte alati kohustuslik) sihtrühm.
Need kriteeriumid pärinevad eespool viidatud ametlikest tekstidest ja lehtedelt. See ei ole õigusnõu: teie täpne olukord sõltub teie sektorist, suurusest ja lepingutest - vajaduse korral laske seda õigusjuristil kinnitada.
Mis on tegelik õiguslik kohustus, mis on soovitatav hea tava ja mis on varsti tulemas - selgitatud lihtsalt, ametlike allikatega.
Kui teie ettevõte laseb isikuandmeid (töötajad, kliendid) majutada väljaspool Euroopa Liitu asuva pilveteenuse pakkuja juures, vastutab IKÜM-i ees nende andmete kaitse eest õiguslikult teie ettevõte, mitte teenusepakkuja. Peate veenduma, et see edastamine põhineb tunnustatud tagatisel: kas Euroopa Liit peab riiki turvaliseks („piisavusotsus“) või allkirjastate teenusepakkujaga Euroopa Komisjoni pakutavad standardsed lepingutingimused. Need on standarddokumendid, mis tuleb oma lepingusse lisada, mitte läbirääkimine, mille peaksite ise välja mõtlema.
Allikas: CNIL, IKÜM-is sätestatud ELi-välise andmeedastuse raamistik (V peatükk, artiklid 45 ja 46) - cnil.fr, vaadatud 18.07.2026.
Alates 12. septembrist 2025 kohustab Euroopa määrus („andmeakt“) pilveteenuste pakkujaid hõlbustama teenusepakkuja vahetamist: nad peavad järk-järgult vähendama väljumistasusid ja esitama teie andmed vormingus, mida saate mujal taaskasutada. Konkreetselt: kui teenusepakkuja vastab teile, et „see ei ole võimalik“, või nõuab teie enda andmete tagasisaamise eest ebaproportsionaalseid summasid, ei ole see sellest kuupäevast alates enam normaalne. Nende tasude täieliku kaotamise täpne ajakava on sätestatud õigusakti tekstis - laske oma juristil või teenusepakkujal kontrollida, kui teilt nõutakse mingit summat.
Allikas: Euroopa Komisjon, „andmeakt“ (määrus (EL) 2023/2854, VI peatükk) - digital-strategy.ec.europa.eu, vaadatud 18.07.2026.
SecNumCloud on ANSSI (Prantsusmaa küberturvalisuse amet) väljastatav kvalifikatsioon, mis võimaldab tunnustada pilvelahendusi, mida peetakse usaldusväärseks tundlike andmete majutamiseks. See ei ole eraettevõttele õiguslik kohustus. See on kohustuslik eelkõige haldusasutustele ja organisatsioonidele, kes haldavad riigi jaoks tundlikke infosüsteeme. VKE jaoks on see kasulik võrdluspunkt pilvelahenduste omavaheliseks võrdlemiseks, mitte seadusega nõutav norm.
Allikas: ANSSI (cyber.gouv.fr), leht „Pilv“ - cyber.gouv.fr, vaadatud 18.07.2026.
CNIL soovitab - ilma et see oleks seaduses arvuliselt ja üksikasjalikult sätestatud kohustus - koostada loetelu pilveteenustest, mida teie ettevõttes tegelikult kasutatakse, kontrollida teenusepakkuja turvataset enne allkirjastamist, kirjutada lepingusse must valgel, kes mida turvalisuse osas teeb, ning krüpteerida tundlikud andmed. Meelde tuleb jätta põhimõte: teenusepakkuja kaitseb oma infrastruktuuri, kuid teie asi on oma meeskondade juurdepääsud ja kontod õigesti seadistada. Teie poolel tehtud vale seadistus ei ole teenusepakkuja turvalisusega kaetud.
Allikas: CNIL, „Pilve turvalisus (pilvandmetöötlus)“ - cnil.fr, vaadatud 18.07.2026.
Euroopa Komisjon on arutlusele võtnud määruse eelnõu, „pilve- ja tehisintellekti arendamise õigusakti“, et tugevdada Euroopa pilve- ja tehisintellektivõimekust ning vähendada sõltuvust suurtest mitte-Euroopa teenusepakkujatest. See tekst ei ole veel jõus: see on läbivaatamisel olev ettepanek, mitte reegel, mida tuleks täna kohaldada. See näeb ette usaldustasemete süsteemi pilvelahenduse suveräänsuse hindamiseks. Jälgida, ilma et sellest kohe operatiivseid järeldusi tehtaks.
Allikas: Euroopa Komisjon, „pilve- ja tehisintellekti arendamise õigusakt“ - digital-strategy.ec.europa.eu, leht ajakohastatud 03.06.2026, vaadatud 18.07.2026.
See jaotis annab selged juhised, mitte õigusnõu. Konkreetse olukorra (kehtiv leping, kindel andmeedastus) puhul laske see kinnitada oma õigusosakonnal või advokaadil.
Viis küsimust, mida VKE juhid esitavad, igaüks vastatud 2 minutiga koos ametliku allikaga
Need vastused võtavad kokku 2026. aasta juulis vaadatud ametlikud lehed (Euroopa Komisjon, CNIL, ANSSI, Gaia-X). Need ei ole õigusnõu ega asenda teie olukorrale pühendatud analüüsi.
Võtke meiega ühendust, et saada teie ulatusele kohandatud hinnapakkumine.