A Sovereign-Audit egy strukturált audit, amely felméri a felhőszolgáltatóktól (különösen a Microsoft 365-től) való függőségét, valamint azt, hogy valójában mennyire képes visszanyerni az adatait és szolgáltatót váltani. Nem tanúsítunk „szuverenitást”: mérünk, dokumentálunk és fontossági sorrendbe állítunk.
A digitális függőséget ritkán mérik fel, és a téma szabályozási kérdéssé válik
Az (EU) 2023/2854 rendelet (Data Act) külön fejezetet tartalmaz az adatfeldolgozási szolgáltatások közötti váltásról, amely a szolgáltatóváltás technikai és szerződéses akadályainak megszüntetésére vonatkozó kötelezettségeket állapít meg. Ma kevés szervezet tudja, hol tart ebben a kérdésben.
Vészhozzáférési fiókok, identitásföderáció, Copilot, natív titkosítás, egyedi Teams-alkalmazások: minden technikai döntés egy kicsivel nagyobb függőséget teremt anélkül, hogy bárki kifejezett döntést hozott volna.
A felhőszerződések tartalmaznak adat-visszanyerési és kilépési záradékokat, de ezeket egyszer aláírják, és a bérlő tényleges használatának fényében soha nem vizsgálják felül.
A Data Act, a SecNumCloud és a Gaia-X szókincset és hordozhatósági követelményeket határoz meg, de ennek működési megállapítássá fordítása az ÖN bérlőjére vonatkozóan olyan módszert és időt igényel, amellyel a belső informatikai csapatok nem rendelkeznek.
Strukturált módszer, amely 32 függőségi és hordozhatósági kontrollt tartalmazó katalógusra épül
Egyeztetés a vezetéssel vagy az informatikai vezetővel a hatókör (M365-bérlő, szervezeti egységek, leányvállalatok, kulcsfontosságú szolgáltatók) és a szervezetére jellemző függőségi tétek meghatározásához.
A Microsoft 365 konfigurációjának (identitás, biztonsági mentés, adattárolási hely, titkosítás, alkalmazások) és a szolgáltatóinál érvényes szerződéses visszafordíthatósági záradékoknak a vizsgálata.
Minden kontrollt egyértelmű státusz szerint értékelünk (lefedett, részleges, hiányzik, szerződésileg ellenőrizendő), az érintett Microsoft 365-területekhez rendelve.
A megállapításokat, ahol releváns, összekapcsoljuk az európai Data Act követelményeivel és a SecNumCloud/Gaia-X referenciaszókincsével, anélkül, hogy ezt valaha megszerzett tanúsításként mutatnánk be.
Világos jelentés átadása a vezetésnek, fontossági sorrendbe állított cselekvési tervvel a legkritikusabb függőségi pontok csökkentésére.
Dokumentumok világos csomagja, amelyet a vezetése és az informatikai csapatai használni tudnak
A katalógus 32 kontrolljának dokumentált értékelése, kontrollonkénti státusszal.
Áttekintés arról, hol koncentrálódik a Microsofttól való függősége.
Eszköz a meglévő felhőszerződések átnézéséhez a jogi csapataival.
Megfeleltetés a megállapításai és a referenciakeretek szókincse között.
Kritikusság és megvalósítási könnyedség szerint rangsorolt javaslatok.
Az Ön csapatai által felhasználható formátumú dokumentumok.
A Sovereign-Audit meglévő nyilvános keretekre épül, nem adunk ki tanúsítványt
Európai jogszabály, amely külön fejezetet tartalmaz az adatfeldolgozási szolgáltatások közötti váltásról (felhő-hordozhatóság és -interoperabilitás). A Sovereign-Audit erre a fejezetre támaszkodva strukturálja az auditkérdéseket, anélkül, hogy egy konkrét cikket jogi ellenőrzés nélkül olyan kötelezettségként mutatna be, amely már érvényesíthető az Ön szervezetével szemben.
A szállítói kapcsolatokra és az üzletmenet-folytonosságra vonatkozó szervezeti kontrollok a függőségi elemzés egy részét strukturálják.
Az ANSSI önkéntes minősítési keretrendszere. Szerződéses visszafordíthatósági záradéka itt értelmezési keretként szolgál, annak ellenére, hogy a hagyományos Microsoft 365 nem SecNumCloud-minősítésű.
Önkéntes, nem kötelező erejű európai keret, amely közös szuverenitási és interoperabilitási szókincset biztosít a felhős szereplők között, és itt értelmezési keretként szolgál.
Minden megbízást árajánlat alapján határozunk meg, a környezete méretétől és összetettségétől függően
KKV, egyetlen M365-bérlő
KKV/közepes vállalat, több szervezeti egység vagy leányvállalat
Javítási tervvel rendelkező szervezetek
Ezen az oldalon előre semmilyen díj nincs rögzítve
A pontos hatókört (szervezeti egységek száma, a bérlő mérete, a szerződéses elemzés mélysége) az árajánlat előtt Önnel közösen határozzuk meg.
Nem csak a nagy csoportokat vagy az „érzékeny” ágazatokat: a felhőszolgáltatótól való függés nagyon különböző vállalkozásokat érint, különböző okokból. Íme a hivatalos szempontok, a jogi kötelezettség és a jó gyakorlat összekeverése nélkül.
Az amerikai CLOUD Act (szövetségi törvény, Public Law 115-141) az amerikai „providers of electronic communication services or remote computing services” szolgáltatókra vonatkozik, és lehetővé teszi, hogy arra kötelezzék őket, hogy a „possession, custody, or control” alatt álló adatokat átadják az amerikai igazságszolgáltatásnak, még akkor is, ha ezeket az adatokat az Egyesült Államokon kívül tárolják (a 18 U.S.C. § 2713 alatt kodifikált rendelkezés). Konkrétan: az a francia KKV, amely a levelezését vagy az ERP-jét amerikai szolgáltatónál üzemelteti, vagy egy amerikai csoport európai leányvállalata pusztán e ellenőrzési kapcsolat miatt érintett lehet, még akkor is, ha az adatai Franciaországban vagy az EU-ban találhatók. Hivatalos szöveg (Congress.gov)
A 2025. szeptember 12. óta alkalmazandó Data Act ((EU) 2023/2854 rendelet) horizontális jogszabály, amely „minden ágazatra vonatkozik”. A felhőszolgáltató-váltásról szóló fejezete minden ügyfélnek, mérettől függetlenül, megadja a jogot arra, hogy „ténylegesen szolgáltatót váltson az adatfeldolgozási szolgáltatások területén” (hordozhatóság, interoperabilitás), a kisvállalkozásokra vonatkozó általános kivétel nélkül. Európai Bizottság - Data Act
Az NIS2-irányelv 18 ágazatot fed le (energia, közlekedés, egészségügy, pénzügy, vízgazdálkodás, digitális infrastruktúrák, elektronikus hírközlés, digitális platformok, hulladékgazdálkodás, kritikus termékek gyártása, postai szolgáltatások, űr, közigazgatás). Ezekben az ágazatokban „főszabály szerint a közepes méretű és nagy szervezeteknek megfelelő kiberbiztonsági kockázatkezelési intézkedéseket kell hozniuk”, ami magában foglalja a szállítóikhoz, köztük a felhőszolgáltatóikhoz kapcsolódó kockázat kezelését is. Európai Bizottság - NIS2
Az ANSSI SecNumCloud-minősítése biztonsági vízum révén „megbízható felhőajánlatokat ismer el”. Ez nem általános jogi kötelezettség a magánvállalkozások számára: önkéntes minősítés, amelyet érzékeny adatok védelmére vagy érzékeny információs rendszerek felhőben történő üzemeltetésére ajánlanak. ANSSI - cyber.gouv.fr
Összefoglalva: négy tipikusan érintett profil
1. Egy KKV, amely a levelezését, ERP-jét vagy CRM-jét amerikai hiperskálázónál (vagy egy amerikai csoport európai leányvállalatánál) üzemelteti: mérettől függetlenül érinti a CLOUD Act.
2. Bármely európai vállalkozás, mérettől függetlenül, amely felhőszolgáltatást (SaaS, PaaS vagy IaaS) használ: 2025. 09. 12. óta érintik a Data Act új hordozhatósági jogai.
3. Az NIS2 18 kritikus ágazatának egyikében működő közepes vagy nagyvállalat (energia, egészségügy, közlekedés, pénzügy, digitális infrastruktúrák...): kezelnie kell a szállítói kockázatot, a felhőt is beleértve.
4. Közintézmény vagy érzékeny adatokat tároló vállalkozás: a SecNumCloud-minősítés ajánlott (nem feltétlenül kötelező) célcsoportja.
Ezek a szempontok a fent hivatkozott hivatalos szövegekből és oldalakból származnak. Ez nem jogi vélemény: a pontos helyzete az ágazatától, a méretétől és a szerződéseitől függ, szükség esetén jogásszal erősíttesse meg.
Mi a valódi jogi kötelezettség, mi az ajánlott jó gyakorlat, és mi érkezik hamarosan, egyszerűen elmagyarázva, hivatalos forrásokkal alátámasztva.
Ha a vállalkozása személyes adatokat (munkavállalók, ügyfelek) az Európai Unión kívül található felhőszolgáltatónál tároltat, a GDPR szerint ezek védelméért jogilag nem a szolgáltató, hanem a vállalkozása felel. Gondoskodnia kell arról, hogy ez az adattovábbítás elismert garancián alapuljon: vagy az Európai Unió biztonságosnak ítéli az országot („megfelelőségi határozat”), vagy Ön az Európai Bizottság által rendelkezésre bocsátott általános adatvédelmi kikötéseket írja alá a szolgáltatóval. Ezek a szerződésébe beillesztendő szabványdokumentumok, nem olyan tárgyalás, amelyet Önnek kell kitalálnia.
Forrás: CNIL, a GDPR által előírt, az EU-n kívüli adattovábbításokra vonatkozó keret (V. fejezet, 45. és 46. cikk) - cnil.fr, megtekintve: 2026. 07. 18..
2025. szeptember 12. óta egy európai rendelet (a „Data Act”) arra kötelezi a felhőszolgáltatókat, hogy megkönnyítsék a szolgáltatóváltást: fokozatosan csökkenteniük kell a kilépési díjakat, és az adatait olyan formátumban kell átadniuk, amelyet máshol újra felhasználhat. Konkrétan: ha egy szolgáltató azt válaszolja, hogy „ez nem lehetséges”, vagy aránytalan összeget számláz a saját adatai visszaszerzéséért, az e dátum óta már nem normális. E díjak teljes megszüntetésének pontos ütemezését a szabályozási szöveg rögzíti, ellenőriztesse a jogászával vagy a szolgáltatójával, ha összeget számláznak Önnek.
Forrás: Európai Bizottság, „Data Act” ((EU) 2023/2854 rendelet, VI. fejezet) - digital-strategy.ec.europa.eu, megtekintve: 2026. 07. 18..
A SecNumCloud az ANSSI (a francia kiberbiztonsági ügynökség) által kiadott minősítés, amely lehetővé teszi, hogy felismerjék azokat a felhőajánlatokat, amelyeket megbízhatónak tartanak érzékeny adatok tárolására. Magánvállalkozás számára ez nem jogi kötelezettség. Elsősorban a közigazgatási szervekre és az állam számára érzékeny információs rendszereket kezelő szervezetekre nézve kötelező. Egy KKV számára hasznos viszonyítási pont a felhőajánlatok összehasonlításához, nem törvény által előírt szabvány.
Forrás: ANSSI (cyber.gouv.fr), „Cloud” oldal - cyber.gouv.fr, megtekintve: 2026. 07. 18..
A CNIL azt ajánlja, anélkül, hogy ez a jogszabályban számszerűsített és részletezett kötelezettség lenne, hogy listázza fel a vállalkozásában ténylegesen használt felhőszolgáltatásokat, aláírás előtt ellenőrizze a szolgáltató biztonsági szintjét, a szerződésben fekete-fehéren rögzítse, ki mit vállal a biztonság terén, és titkosítsa az érzékeny adatokat. A megjegyzendő elv: a szolgáltató a saját infrastruktúráját védi, de a hozzáférések és a csapatai fiókjainak megfelelő beállítása az Ön dolga. Az Ön oldalán történő hibás konfigurációra a szolgáltató biztonsága nem terjed ki.
Forrás: CNIL, „Sécurité du cloud (informatique en nuage)” - cnil.fr, megtekintve: 2026. 07. 18..
Az Európai Bizottság vitára bocsátott egy rendelettervezetet, a „Cloud and AI Development Act”-et, az európai felhő- és mesterségesintelligencia-kapacitások megerősítésére és a nem európai nagy szolgáltatóktól való függés csökkentésére. Ez a szöveg még nem hatályos: vizsgálat alatt álló javaslat, nem ma alkalmazandó szabály. Bizalmi szintek rendszerét irányozza elő a felhőajánlatok szuverenitásának értékelésére. Érdemes követni, de azonnali operatív következtetést nem érdemes levonni belőle.
Forrás: Európai Bizottság, „Cloud and AI Development Act” - digital-strategy.ec.europa.eu, az oldal frissítésének dátuma: 2026. 06. 03., megtekintve: 2026. 07. 18.
Ez a rész világos eligazítást ad, nem jogi véleményt. Konkrét helyzet esetén (folyamatban lévő szerződés, egyedi adattovábbítás) a jogi osztályával vagy egy ügyvéddel hagyassa jóvá.
Öt kérdés, amelyet a KKV-vezetők feltesznek, mindegyikre 2 perc alatt választ kap, hivatalos forrással
Ezek a válaszok 2026 júliusában megtekintett hivatalos oldalakat foglalnak össze (Európai Bizottság, CNIL, ANSSI, Gaia-X). Nem minősülnek jogi véleménynek, és nem helyettesítik a helyzetére szabott elemzést.
Vegye fel velünk a kapcsolatot, hogy a hatóköréhez igazított árajánlatot kapjon.