Sovereign-Audit on jäsennelty auditointi, joka arvioi riippuvuuttanne pilvipalvelun tarjoajista (erityisesti Microsoft 365:stä) ja todellista kykyänne saada tietonne takaisin ja vaihtaa palveluntarjoajaa. Emme sertifioi ”suvereniteettia”: mittaamme, dokumentoimme ja priorisoimme.
Digitaalista riippuvuutta mitataan harvoin, ja aiheesta on tulossa sääntelyn kohde
Asetuksessa (EU) 2023/2854 (datasäädös) on oma lukunsa datankäsittelypalvelujen välisestä vaihtamisesta, ja siinä säädetään velvoitteista poistaa palveluntarjoajan vaihtamisen tekniset ja sopimukselliset esteet. Harva organisaatio tietää nykyään, missä se on tämän asian kanssa.
Hätäkäyttötilit, identiteettien federointi, Copilot, natiivi salaus, räätälöidyt Teams-sovellukset: jokainen tekninen valinta lisää riippuvuutta hieman, vaikka mitään nimenomaista päätöstä ei ole tehty.
Pilvisopimukset sisältävät tietojen palautus- ja irtautumisehtoja, mutta ne allekirjoitetaan kerran eikä niitä koskaan tarkastella uudelleen vuokraajan todellisen käytön valossa.
Datasäädös, SecNumCloud ja Gaia-X määrittelevät sanastoa ja siirrettävyysvaatimuksia, mutta niiden muuntaminen käytännön havainnoiksi TEIDÄN vuokraajastanne vaatii menetelmän ja aikaa, joita sisäisillä IT-tiimeillä ei ole.
Jäsennelty menetelmä, joka nojaa 32 riippuvuuden ja siirrettävyyden kontrollin luetteloon
Keskustelu johdon tai IT-vastaavan kanssa laajuuden (M365-vuokraaja, yksiköt, tytäryhtiöt, keskeiset palveluntarjoajat) sekä organisaationne omien riippuvuuskysymysten rajaamiseksi.
Microsoft 365 -konfiguraation (identiteetti, varmuuskopiointi, tietojen sijainti, salaus, sovellukset) ja palveluntarjoajienne palautettavuutta koskevien sopimusehtojen tarkastelu.
Jokainen kontrolli arvioidaan selkeän tilan mukaan (katettu, osittainen, puuttuu, sopimuksista varmistettava), ja kontrollille osoitetaan vastaavat Microsoft 365 -alueet.
Havainnot yhdistetään tarvittaessa Euroopan datasäädöksen vaatimuksiin sekä SecNumCloudin ja Gaia-X:n viitesanastoon - esittämättä sitä koskaan saavutettuna sertifiointina.
Johdolle toimitetaan selkeä raportti ja tärkeysjärjestykseen asetettu toimintasuunnitelma kriittisimpien riippuvuuskohtien vähentämiseksi.
Selkeä asiakirjakokonaisuus, jota johtonne ja IT-tiiminne voivat hyödyntää
Luettelon 32 kontrollin dokumentoitu arviointi, jossa jokaisella kontrollilla on oma tilansa.
Kokonaiskuva siitä, mihin Microsoft-riippuvuutenne keskittyy.
Työväline nykyisten pilvisopimustenne uudelleen tarkasteluun yhdessä lakiasiaintiiminne kanssa.
Havaintojenne vastaavuus viitekehysten sanastoon.
Suositukset luokiteltuna kriittisyyden ja toteutuksen helppouden mukaan.
Asiakirjat tiimillenne hyödynnettävissä olevissa muodoissa.
Sovereign-Audit nojaa olemassa oleviin julkisiin kehyksiin - emme myönnä mitään sertifiointia
Eurooppalainen säädös, jossa on oma luku datankäsittelypalvelujen välisestä vaihtamisesta (pilvipalvelujen siirrettävyys ja yhteentoimivuus). Sovereign-Audit käyttää tätä lukua auditointikysymysten jäsentämiseen esittämättä yksittäistä artiklaa organisaatiotanne jo sitovana velvoitteena ilman oikeudellista varmennusta.
Toimittajasuhteisiin ja liiketoiminnan jatkuvuuteen liittyvät organisatoriset kontrollit jäsentävät osaa riippuvuusanalyysista.
ANSSI:n vapaaehtoinen pätevöintiviitekehys. Sen sopimusperusteinen palautettavuusehto toimii tässä tulkintakehyksenä, vaikka tavallinen Microsoft 365 ei ole SecNumCloud-pätevöity.
Vapaaehtoinen, ei-sitova eurooppalainen kehys, joka tarjoaa pilvitoimijoille yhteisen suvereniteetin ja yhteentoimivuuden sanaston ja jota käytetään tässä tulkintakehyksenä.
Jokainen toimeksianto rajataan tarjouksen perusteella ympäristönne koon ja monimutkaisuuden mukaan
Pk-yritys, yksi M365-vuokraaja
Pk- ja keskisuuret yritykset, useita yksiköitä tai tytäryhtiöitä
Organisaatiot, joilla on korjaussuunnitelma
Tällä sivulla ei ole ennalta vahvistettuja hintoja
Tarkka laajuus (yksiköiden määrä, vuokraajan koko, sopimusanalyysin syvyys) määritellään kanssanne ennen tarjousta.
Ei vain suuryrityksiä eikä ”herkkiä” toimialoja: pilvipalvelun tarjoajasta riippuvuus koskee hyvin erilaisia yrityksiä eri syistä. Tässä ovat viralliset kriteerit sekoittamatta lakisääteistä velvoitetta ja hyvää käytäntöä.
Yhdysvaltain CLOUD Act -laki (liittovaltion laki, Public Law 115-141) koskee yhdysvaltalaisia ”sähköisten viestintäpalvelujen tai etälaskentapalvelujen tarjoajia” ja voi velvoittaa ne luovuttamaan niiden ”hallussa, huostassa tai määräysvallassa” olevia tietoja Yhdysvaltain oikeusviranomaisille, vaikka tiedot sijaitsisivat Yhdysvaltojen ulkopuolella (säännös on kodifioitu kohdassa 18 U.S.C. § 2713). Käytännössä: ranskalainen pk-yritys, joka isännöi sähköpostinsa tai ERP-järjestelmänsä yhdysvaltalaisella toimittajalla, tai yhdysvaltalaisen konsernin eurooppalainen tytäryhtiö, voi olla asian piirissä pelkästään tämän määräysvaltasuhteen vuoksi, vaikka sen tiedot isännöitäisiin Ranskassa tai EU:ssa. Virallinen teksti (Congress.gov)
Datasäädös (asetus (EU) 2023/2854), jota sovelletaan 12. syyskuuta 2025 alkaen, on monialainen säädös, joka ”koskee kaikkia aloja”. Sen pilvipalvelun tarjoajan vaihtamista koskeva luku antaa jokaiselle asiakkaalle koosta riippumatta oikeuden ”vaihtaa tosiasiallisesti datankäsittelypalvelun tarjoajaa” (siirrettävyys, yhteentoimivuus) ilman yleistä poikkeusta pienille yrityksille. Euroopan komissio - datasäädös
NIS2-direktiivi kattaa 18 sektoria (energia, liikenne, terveys, rahoitus, vesihuolto, digitaalinen infrastruktuuri, sähköinen viestintä, digitaaliset alustat, jätehuolto, kriittisten tuotteiden valmistus, postipalvelut, avaruus, julkishallinto). Näillä sektoreilla ”pääsääntöisesti keskisuurten ja suurten toimijoiden on toteutettava asianmukaiset kyberturvallisuusriskien hallintatoimet” - mikä sisältää toimittajiin liittyvän riskin hallinnan, myös pilvipalvelun tarjoajat. Euroopan komissio - NIS2
ANSSI:n SecNumCloud-pätevöinti ”tunnustaa luotettavia pilvitarjouksia” turvallisuusviisumin avulla. Se ei ole yleinen lakisääteinen velvoite yksityisille yrityksille: se on vapaaehtoinen pätevöinti, jota suositellaan arkaluonteisten tietojen suojaamiseen tai arkaluonteisten tietojärjestelmien isännöintiin pilvessä. ANSSI - cyber.gouv.fr
Yhteenvetona neljä tyypillisesti asian piirissä olevaa profiilia
1. Pk-yritys, joka isännöi sähköpostin, ERP:n tai CRM:n yhdysvaltalaisella hyperskaalaajalla (tai yhdysvaltalaisen konsernin eurooppalainen tytäryhtiö): CLOUD Act koskee sitä koosta riippumatta.
2. Mikä tahansa eurooppalainen yritys koosta riippumatta, joka käyttää pilvipalvelua (SaaS, PaaS tai IaaS): datasäädöksen uudet siirrettävyysoikeudet koskevat sitä 12.9.2025 alkaen.
3. Keskisuuri tai suuri yritys jollakin NIS2:n 18 kriittisestä sektorista (energia, terveys, liikenne, rahoitus, digitaalinen infrastruktuuri...): sen on hallittava toimittajariskiä, pilvipalvelut mukaan lukien.
4. Julkinen toimija tai yritys, joka isännöi arkaluonteisia tietoja: SecNumCloud-pätevöinnin suositeltu (ei aina pakollinen) kohde.
Nämä kriteerit perustuvat edellä mainittuihin virallisiin teksteihin ja sivuihin. Tämä ei ole oikeudellinen lausunto: tarkka tilanteenne riippuu toimialastanne, koostanne ja sopimuksistanne - pyytäkää tarvittaessa juristia vahvistamaan se.
Mikä on todellinen lakisääteinen velvoite, mikä on suositeltu hyvä käytäntö ja mikä on tulossa pian - selitettynä yksinkertaisesti virallisiin lähteisiin tukeutuen.
Jos yrityksenne isännöi henkilötietoja (työntekijät, asiakkaat) Euroopan unionin ulkopuolella sijaitsevalla pilvipalvelun tarjoajalla, juuri yrityksenne - ei palveluntarjoaja - vastaa oikeudellisesti yleisen tietosuoja-asetuksen mukaan näiden tietojen suojasta. Teidän on varmistettava, että siirto perustuu tunnustettuun suojatoimeen: joko Euroopan unioni katsoo maan turvalliseksi (”riittävyyspäätös”) tai allekirjoitatte palveluntarjoajan kanssa Euroopan komission laatimat vakiosopimuslausekkeet. Ne ovat vakioasiakirjoja, jotka liitetään sopimukseenne, eikä niistä tarvitse keksiä omaa neuvottelua.
Lähde: CNIL, yleisessä tietosuoja-asetuksessa säädetty EU:n ulkopuolelle suuntautuvien tietojensiirtojen kehys (V luku, 45 ja 46 artikla) - cnil.fr, luettu 18.7.2026.
Euroopan unionin asetus (”datasäädös”) velvoittaa 12. syyskuuta 2025 alkaen pilvipalvelujen tarjoajat helpottamaan palveluntarjoajan vaihtamista: niiden on vähennettävä asteittain poistumismaksuja ja toimitettava tietonne muodossa, jota voitte käyttää uudelleen muualla. Käytännössä: jos toimittaja vastaa, että ”se ei ole mahdollista”, tai laskuttaa kohtuuttomia summia omien tietojenne palauttamisesta, se ei ole enää normaalia tämän päivämäärän jälkeen. Näiden maksujen täydellisen poistamisen tarkka aikataulu määrätään säädöstekstissä - pyytäkää juristianne tai palveluntarjoajaanne tarkistamaan se, jos teiltä laskutetaan jokin summa.
Lähde: Euroopan komissio, ”datasäädös” (asetus (EU) 2023/2854, VI luku) - digital-strategy.ec.europa.eu, luettu 18.7.2026.
SecNumCloud on ANSSI:n (Ranskan kyberturvallisuusvirasto) myöntämä pätevöinti, jonka avulla tunnistetaan pilvitarjoukset, joita pidetään luotettavina arkaluonteisten tietojen isännöintiin. Se ei ole lakisääteinen velvoite yksityiselle yritykselle. Se koskee ennen kaikkea hallintoviranomaisia ja valtion arkaluonteisia tietojärjestelmiä hallinnoivia organisaatioita. Pk-yritykselle se on hyödyllinen vertailukohta pilvitarjousten vertailuun, ei lain edellyttämä noudatettava standardi.
Lähde: ANSSI (cyber.gouv.fr), sivu ”Pilvi” - cyber.gouv.fr, luettu 18.7.2026.
CNIL suosittelee - vaikka laissa ei ole tarkkaan määriteltyä velvoitetta - luetteloimaan yrityksessänne todella käytetyt pilvipalvelut, tarkistamaan toimittajan tietoturvatason ennen allekirjoitusta, kirjaamaan sopimukseen mustaa valkoisella, kuka vastaa mistäkin turvallisuudessa, ja salaamaan arkaluonteiset tiedot. Muistettava periaate: toimittaja turvaa oman infrastruktuurinsa, mutta teidän tehtävänne on määrittää tiiminne käyttöoikeudet ja tilit oikein. Teidän puolellanne tapahtunut virhemäärittely ei kuulu toimittajan tietoturvan piiriin.
Lähde: CNIL, ”Pilvipalvelujen turvallisuus” - cnil.fr, luettu 18.7.2026.
Euroopan komissio on tuonut keskusteltavaksi asetusehdotuksen, pilvi- ja tekoälykehityssäädöksen, jolla vahvistetaan Euroopan pilvi- ja tekoälykapasiteettia ja vähennetään riippuvuutta suurista EU:n ulkopuolisista toimittajista. Tämä säädös ei ole vielä voimassa : se on käsittelyssä oleva ehdotus, ei tänään sovellettava sääntö. Siinä ehdotetaan luottamustasojen järjestelmää pilvitarjouksen suvereniteetin arvioimiseksi. Seurattava, vetämättä siitä välittömiä operatiivisia johtopäätöksiä.
Lähde: Euroopan komissio, pilvi- ja tekoälykehityssäädös - digital-strategy.ec.europa.eu, sivu päivitetty 3.6.2026, luettu 18.7.2026.
Tämä osio antaa selkeitä suuntaviivoja, ei oikeudellista lausuntoa. Tarkkaa tilannetta (käynnissä oleva sopimus, tietty tietojensiirto) varten pyytäkää lakiasiainosastoanne tai asianajajaa vahvistamaan asia.
Viisi kysymystä, joita pk-yritysten johtajat pohtivat, kuhunkin vastataan 2 minuutissa virallisen lähteen kanssa
Nämä vastaukset tiivistävät heinäkuussa 2026 luettuja virallisia sivuja (Euroopan komissio, CNIL, ANSSI, Gaia-X). Ne eivät ole oikeudellinen lausunto eivätkä korvaa tilannettanne koskevaa erillistä analyysiä.
Ottakaa yhteyttä saadaksenne laajuuteenne sovitetun tarjouksen.