Sovereign-Audit je strukturirana revizija koja procjenjuje vašu ovisnost o pružateljima usluga u oblaku (osobito o usluzi Microsoft 365) i vašu stvarnu sposobnost da povratite svoje podatke i prijeđete na drugog pružatelja. Ne certificiramo „suverenost“: mjerimo, dokumentiramo i određujemo prioritete.
Digitalna ovisnost rijetko se mjeri, a ta tema sve više podliježe propisima
Uredba (EU) 2023/2854 (Akt o podacima) sadržava poglavlje posvećeno prelasku između usluga obrade podataka, s obvezama uklanjanja tehničkih i ugovornih prepreka prelasku na drugog pružatelja usluga. Malo organizacija danas zna na čemu je u tom pogledu.
Računi za hitni pristup, federacija identiteta, Copilot, izvorno šifriranje, prilagođene aplikacije za Teams: svaki tehnički izbor stvara još malo ovisnosti, a da nije donesena izričita odluka.
Ugovori o uslugama u oblaku sadržavaju odredbe o povratu podataka i izlasku, ali se potpisuju jednom i nikada se ne preispituju u svjetlu stvarne uporabe zakupca.
Akt o podacima, SecNumCloud i Gaia-X definiraju rječnik i zahtjeve prenosivosti, no pretvaranje toga u operativan nalaz na VAŠEM zakupcu zahtijeva metodu i vrijeme kojih interni IT timovi nemaju.
Strukturirana metoda, oslonjena na katalog od 32 kontrole ovisnosti i prenosivosti
Razgovor s upravom ili voditeljem IT-a radi utvrđivanja opsega (zakupac M365, subjekti, društva kćeri, ključni pružatelji usluga) i pitanja ovisnosti svojstvenih vašoj organizaciji.
Pregled konfiguracije usluge Microsoft 365 (identitet, sigurnosna kopija, rezidentnost podataka, šifriranje, aplikacije) i ugovornih klauzula o reverzibilnosti kod vaših pružatelja usluga.
Svaka se kontrola procjenjuje prema jasnom statusu (pokriveno, djelomično, ne postoji, za ugovornu provjeru), s povezanošću s dotičnim područjima usluge Microsoft 365.
Nalazi se, kada je to relevantno, povezuju sa zahtjevima europskog Akta o podacima i s referentnim rječnikom SecNumCloud/Gaia-X - pri čemu se to nikada ne predstavlja kao stečen certifikat.
Predaja jasnog izvješća upravi, s planom djelovanja s određenim prioritetima radi smanjenja najkritičnijih točaka ovisnosti.
Jasan skup dokumenata koje mogu iskoristiti vaša uprava i vaši IT timovi
Dokumentirana procjena 32 kontrole iz kataloga, sa statusom za svaku kontrolu.
Cjelovit pregled toga gdje je koncentrirana vaša ovisnost o Microsoftu.
Podloga za ponovni pregled vaših postojećih ugovora o uslugama u oblaku s vašim pravnim timovima.
Povezanost vaših nalaza s rječnikom referentnih okvira.
Preporuke razvrstane prema kritičnosti i lakoći provedbe.
Dokumenti u formatima koje vaši timovi mogu iskoristiti.
Sovereign-Audit oslanja se na postojeće javne okvire - ne izdajemo nikakav certifikat
Europski propis koji sadržava poglavlje posvećeno prelasku između usluga obrade podataka (prenosivost i interoperabilnost u oblaku). Sovereign-Audit oslanja se na to poglavlje radi strukturiranja pitanja revizije, a da pritom ne predstavlja pojedini članak kao obvezu koja je već primjenjiva na vašu organizaciju bez pravne provjere.
Organizacijske kontrole koje se odnose na odnose s dobavljačima i kontinuitet poslovanja strukturiraju dio analize ovisnosti.
Referentni okvir za dobrovoljnu kvalifikaciju agencije ANSSI. Njegova ugovorna klauzula o reverzibilnosti ovdje služi kao okvir za tumačenje, iako standardni Microsoft 365 nije kvalificiran prema SecNumCloud.
Dobrovoljni, neobvezujući europski okvir koji pruža zajednički rječnik suvereniteta i interoperabilnosti među dionicima na tržištu usluga u oblaku, ovdje korišten kao okvir za tumačenje.
Svaka se misija utvrđuje na temelju ponude, prema veličini i složenosti vašeg okruženja
Mala i srednja poduzeća, jedan zakupac M365
Mala i srednja poduzeća te poduzeća srednje veličine, više subjekata ili društava kćeri
Organizacije s planom otklanjanja nedostataka
Na ovoj stranici nijedna cijena nije unaprijed utvrđena
Točan opseg (broj subjekata, veličina zakupca, dubina ugovorne analize) utvrđuje se s vama prije svake ponude.
Ne samo velike grupacije ni „osjetljivi“ sektori: ovisnost o pružatelju usluga u oblaku tiče se vrlo različitih poduzeća, iz različitih razloga. Evo službenih kriterija, bez miješanja zakonske obveze i dobre prakse.
Američki CLOUD Act (savezni zakon, Public Law 115-141) primjenjuje se na američke „pružatelje usluga elektroničkih komunikacija ili usluga računalstva na daljinu“ i omogućuje da ih se prisili da američkom pravosuđu dostave podatke koje imaju u „posjedu, pohrani ili pod kontrolom“, čak i ako su ti podaci pohranjeni izvan Sjedinjenih Američkih Država (odredba kodificirana u 18 U.S.C. § 2713). Konkretno: malo ili srednje francusko poduzeće koje svoj sustav razmjene poruka ili ERP smješta kod američkog dobavljača, ili europsko društvo kći američke grupe, može biti obuhvaćeno samo zbog te veze kontrole, čak i ako su njegovi podaci smješteni u Francuskoj ili u EU-u. Službeni tekst (Congress.gov)
Akt o podacima (Uredba (EU) 2023/2854), koji se primjenjuje od 12. rujna 2025., horizontalni je propis koji se „primjenjuje na sve sektore“. Njegovo poglavlje o prelasku na drugog pružatelja usluga u oblaku svakom klijentu, bez obzira na njegovu veličinu, daje pravo da „učinkovito prijeđe na drugog pružatelja usluga obrade podataka“ (prenosivost, interoperabilnost), bez opće iznimke za mala poduzeća. Europska komisija - Akt o podacima
Direktiva NIS 2 obuhvaća 18 sektora (energetika, promet, zdravstvo, financije, upravljanje vodama, digitalna infrastruktura, elektroničke komunikacije, digitalne platforme, gospodarenje otpadom, proizvodnja kritičnih proizvoda, poštanske usluge, svemir, javna uprava). Za te sektore „u pravilu će srednji i veliki subjekti morati poduzeti odgovarajuće mjere upravljanja kibersigurnosnim rizicima“ - što uključuje upravljanje rizikom povezanim s njihovim dobavljačima, među njima i s pružateljima usluga u oblaku. Europska komisija - NIS 2
Kvalifikacija SecNumCloud agencije ANSSI „priznaje pouzdane ponude usluga u oblaku“ putem sigurnosne vize. To nije opća zakonska obveza za privatna poduzeća: riječ je o dobrovoljnoj kvalifikaciji, preporučenoj za zaštitu osjetljivih podataka ili za smještaj osjetljivih informacijskih sustava u oblaku. ANSSI - cyber.gouv.fr
Ukratko, četiri tipična obuhvaćena profila
1. Malo ili srednje poduzeće koje sustav razmjene poruka, ERP ili CRM smješta kod američkog pružatelja usluga u oblaku velikih razmjera (ili europsko društvo kći američke grupe): obuhvaćeno je CLOUD Actom, neovisno o svojoj veličini.
2. Svako europsko poduzeće, bilo koje veličine, koje koristi uslugu u oblaku (SaaS, PaaS ili IaaS): obuhvaćeno je od 12/09/2025 novim pravima na prenosivost iz Akta o podacima.
3. Srednje ili veliko poduzeće iz jednog od 18 kritičnih sektora NIS 2 (energetika, zdravstvo, promet, financije, digitalna infrastruktura...): mora upravljati rizikom povezanim s dobavljačima, uključujući usluge u oblaku.
4. Javno tijelo ili poduzeće koje smješta osjetljive podatke: preporučeni cilj (ne nužno obvezan) kvalifikacije SecNumCloud.
Ovi kriteriji potječu iz službenih tekstova i stranica navedenih gore. Ovo nije pravno mišljenje: vaša točna situacija ovisi o vašem sektoru, vašoj veličini i vašim ugovorima - po potrebi je dajte potvrditi pravniku.
Što je prava zakonska obveza, što je preporučena dobra praksa i što uskoro stiže - objašnjeno jednostavno, uz službene izvore.
Ako vaše poduzeće daje na pohranu osobne podatke (zaposlenika, klijenata) kod pružatelja usluga u oblaku sa sjedištem izvan Europske unije, vaše poduzeće - a ne pružatelj - ostaje pravno odgovorno prema Općoj uredbi o zaštiti podataka za zaštitu tih podataka. Morate se uvjeriti da se taj prijenos temelji na priznatom jamstvu: ili Europska unija smatra zemlju sigurnom („odluka o primjerenosti“), ili s pružateljem potpisujete standardne ugovorne klauzule koje donosi Europska komisija. To su standardni dokumenti koje treba ugraditi u ugovor, a ne pregovaranje koje biste sami morali smišljati.
Izvor: CNIL, okvir za prijenose podataka izvan EU-a predviđen Općom uredbom o zaštiti podataka (poglavlje V., članci 45. i 46.) - cnil.fr, pregledano 18/07/2026.
Od 12. rujna 2025. jedna europska uredba („Akt o podacima“) obvezuje pružatelje usluga u oblaku da olakšaju prelazak na drugog pružatelja: moraju postupno smanjivati naknade za izlazak i dostaviti vaše podatke u formatu koji možete ponovno upotrijebiti drugdje. Konkretno, ako vam pružatelj odgovori da „to nije moguće“ ili vam naplati nerazmjerne iznose za povrat vaših vlastitih podataka, to od tog datuma više nije uobičajeno. Točan raspored potpunog ukidanja tih naknada određen je regulatornim tekstom - neka to provjeri vaš pravnik ili vaš pružatelj ako vam se naplaćuje neki iznos.
Izvor: Europska komisija, „Akt o podacima“ (Uredba (EU) 2023/2854, poglavlje VI.) - digital-strategy.ec.europa.eu, pregledano 18/07/2026.
SecNumCloud je kvalifikacija koju izdaje ANSSI (francuska agencija za kibernetičku sigurnost) i koja omogućuje prepoznavanje ponuda usluga u oblaku koje se smatraju dostojnima povjerenja za smještaj osjetljivih podataka. To nije zakonska obveza za privatno poduzeće. Nameće se ponajprije javnim upravama i tijelima koja upravljaju osjetljivim informacijskim sustavima za državu. Za malo ili srednje poduzeće to je koristan orijentir za međusobnu usporedbu ponuda usluga u oblaku, a ne norma koju treba poštovati po zakonu.
Izvor: ANSSI (cyber.gouv.fr), stranica „Oblak“ - cyber.gouv.fr, pregledano 18/07/2026.
CNIL preporučuje - iako to nije brojčano i detaljno određena obveza u zakonu - da popišete usluge u oblaku koje se doista koriste u vašem poduzeću, da prije potpisivanja provjerite razinu sigurnosti pružatelja, da u ugovoru crno na bijelo napišete tko što radi u pogledu sigurnosti te da šifrirate osjetljive podatke. Načelo koje valja zapamtiti: pružatelj osigurava svoju infrastrukturu, ali na vama je da pravilno konfigurirate pristupe i račune svojih timova. Loša konfiguracija s vaše strane nije pokrivena sigurnošću pružatelja.
Izvor: CNIL, „Sigurnost oblaka (računalstvo u oblaku)“ - cnil.fr, pregledano 18/07/2026.
Europska komisija pokrenula je raspravu o nacrtu uredbe, „Akt o razvoju oblaka i umjetne inteligencije“, radi jačanja europskih kapaciteta u području oblaka i umjetne inteligencije te smanjenja ovisnosti o velikim neeuropskim dobavljačima. Taj tekst još nije na snazi: riječ je o prijedlogu koji je u razmatranju, a ne o pravilu koje se danas primjenjuje. Predviđa sustav razina povjerenja za ocjenu suvereniteta ponude usluga u oblaku. Treba ga pratiti, bez izvlačenja neposrednog operativnog zaključka.
Izvor: Europska komisija, „Akt o razvoju oblaka i umjetne inteligencije“ - digital-strategy.ec.europa.eu, stranica ažurirana 03/06/2026, pregledana 18/07/2026.
Ovaj odjeljak daje vam jasne orijentire, a ne pravno mišljenje. Za konkretnu situaciju (ugovor koji je na snazi, poseban prijenos podataka) neka to potvrdi vaša pravna služba ili odvjetnik.
Pet pitanja koja si postavljaju čelnici malih i srednjih poduzeća, na svako se odgovara u 2 minute uz službeni izvor
Ovi odgovori sažimaju službene stranice pregledane u srpnju 2026. (Europska komisija, CNIL, ANSSI, Gaia-X). Nisu pravno mišljenje i ne zamjenjuju analizu posvećenu vašoj situaciji.
Obratite nam se kako biste dobili ponudu prilagođenu vašem opsegu.