Sovereign-Audit yra struktūrizuotas auditas, kuriuo įvertinama jūsų priklausomybė nuo debesijos paslaugų teikėjų (visų pirma Microsoft 365) ir realus gebėjimas susigrąžinti duomenis bei pakeisti paslaugų teikėją. Mes nesertifikuojame „suvereniteto“: mes matuojame, dokumentuojame ir nustatome prioritetus.
Skaitmeninė priklausomybė retai matuojama, o ši tema tampa reglamentuojama
Reglamente (ES) 2023/2854 (Duomenų akte) yra skyrius, skirtas perėjimui tarp duomenų tvarkymo paslaugų, kuriame nustatyti įpareigojimai šalinti techninius ir sutartinius paslaugų teikėjo keitimo trukdžius. Šiandien nedaug organizacijų žino, kokioje padėtyje jos šiuo klausimu yra.
Avarinės paskyros, tapatybių federacija, Copilot, integruotasis šifravimas, pritaikytos Teams programos: kiekvienas techninis pasirinkimas sukuria šiek tiek daugiau priklausomybės, nors niekas aiškiai to nėra nusprendęs.
Debesijos sutartyse yra duomenų susigrąžinimo ir išėjimo sąlygų, tačiau jos pasirašomos vieną kartą ir niekada neperžiūrimos atsižvelgiant į realų nuomininko naudojimą.
Duomenų aktas, SecNumCloud ir Gaia-X apibrėžia perkeliamumo žodyną ir reikalavimus, tačiau paversti tai veiklos išvada JŪSŲ nuomininke reikia metodikos ir laiko, kurių vidinės IT komandos neturi.
Struktūrizuota metodika, pagrįsta 32 priklausomybės ir perkeliamumo kontrolės priemonių katalogu
Pokalbis su vadovybe arba IT vadovu, siekiant apibrėžti apimtį (M365 nuomininkas, subjektai, dukterinės įmonės, pagrindiniai paslaugų teikėjai) ir jūsų organizacijai būdingus priklausomybės klausimus.
Microsoft 365 konfigūracijos (tapatybė, atsarginės kopijos, duomenų buvimo vieta, šifravimas, programos) ir grąžinamumo sutartinių sąlygų pas jūsų paslaugų teikėjus nagrinėjimas.
Kiekviena kontrolės priemonė vertinama pagal aiškią būseną (padengta, iš dalies padengta, nėra, tikrintina pagal sutartį), nurodant atitiktį susijusioms Microsoft 365 sritims.
Išvados, kai tai tinkama, susiejamos su Europos Duomenų akto reikalavimais ir SecNumCloud/Gaia-X atskaitos žodynu - niekada nepateikiant to kaip gauto sertifikato.
Vadovybei įteikiama aiški ataskaita su prioritetiniu veiksmų planu, kuriuo mažinami kritiškiausi priklausomybės taškai.
Aiškus dokumentų rinkinys, kurį gali naudoti jūsų vadovybė ir IT komandos
Dokumentuotas 32 katalogo kontrolės priemonių vertinimas, nurodant kiekvienos būseną.
Bendras vaizdas, kur koncentruojasi jūsų priklausomybė nuo Microsoft.
Priemonė, padedanti kartu su teisininkais peržiūrėti esamas debesijos sutartis.
Jūsų išvadų atitikimas atskaitos sistemų žodynui.
Rekomendacijos, suskirstytos pagal kritiškumą ir įgyvendinimo paprastumą.
Dokumentai jūsų komandoms tinkamais naudoti formatais.
Sovereign-Audit remiasi esamomis viešomis sistemomis - mes neišduodame jokių sertifikatų
Europos teisės aktas su skyriumi, skirtu perėjimui tarp duomenų tvarkymo paslaugų (debesijos perkeliamumas ir sąveikumas). Sovereign-Audit šiuo skyriumi remiasi struktūrizuodamas audito klausimus ir nepateikia konkretaus straipsnio kaip jūsų organizacijai jau privalomo reikalavimo be teisinio patikrinimo.
Organizacinės kontrolės priemonės, susijusios su santykiais su tiekėjais ir veiklos tęstinumu, sudaro dalį priklausomybės analizės pagrindo.
Savanoriško ANSSI kvalifikavimo sistema. Jos sutartinė grąžinamumo sąlyga čia naudojama kaip vertinimo gairės, nors standartinis Microsoft 365 nėra kvalifikuotas pagal SecNumCloud.
Savanoriška, neįpareigojanti Europos sistema, pateikianti bendrą suvereniteto ir sąveikumo žodyną debesijos dalyviams; čia naudojama kaip vertinimo gairės.
Kiekviena užduotis apibrėžiama pasiūlyme, atsižvelgiant į jūsų aplinkos dydį ir sudėtingumą
MVĮ, vienas M365 nuomininkas
MVĮ ir vidutinės įmonės, keli subjektai ar dukterinės įmonės
Organizacijos, turinčios taisomųjų veiksmų planą
Šiame puslapyje iš anksto nenustatomas joks įkainis
Tikslią apimtį (subjektų skaičių, nuomininko dydį, sutarčių analizės gylį) su jumis suderiname prieš teikiant bet kokį pasiūlymą.
Ne tik didelėms grupėms ir ne tik „jautriems“ sektoriams: priklausomybė nuo debesijos paslaugų teikėjo aktuali labai skirtingoms įmonėms, dėl skirtingų priežasčių. Štai oficialūs kriterijai, nesumaišant teisinės prievolės ir gerosios praktikos.
JAV CLOUD Act (federalinis įstatymas, Public Law 115-141) taikomas JAV „elektroninių ryšių paslaugų arba nuotolinio skaičiavimo paslaugų teikėjams“ ir leidžia juos įpareigoti perduoti JAV teisingumo institucijoms duomenis, kuriuos jie „valdo, saugo ar kontroliuoja“, net jei tie duomenys saugomi ne Jungtinėse Amerikos Valstijose (nuostata kodifikuota 18 U.S.C. § 2713). Konkrečiai: Prancūzijos MVĮ, kuri savo elektroninį paštą ar ERP laiko pas Amerikos tiekėją, arba Amerikos grupės Europos dukterinė įmonė gali būti paveikta vien dėl šio kontrolės ryšio, net jei jos duomenys talpinami Prancūzijoje ar ES. Oficialus tekstas (Congress.gov)
Duomenų aktas (Reglamentas (ES) 2023/2854), taikomas nuo 2025 m. rugsėjo 12 d., yra horizontalus teisės aktas, kuris „taikomas visiems sektoriams“. Jo skyrius apie debesijos paslaugų teikėjo keitimą suteikia kiekvienam klientui, nepaisant jo dydžio, teisę „veiksmingai pakeisti duomenų tvarkymo paslaugų teikėją“ (perkeliamumas, sąveikumas), be bendros išimties mažosioms įmonėms. Europos Komisija - Duomenų aktas
NIS 2 direktyva apima 18 sektorių (energetika, transportas, sveikata, finansai, vandens tvarkymas, skaitmeninė infrastruktūra, elektroniniai ryšiai, skaitmeninės platformos, atliekų tvarkymas, kritinių gaminių gamyba, pašto paslaugos, kosmosas, viešasis administravimas). Šiems sektoriams „paprastai vidutinio dydžio ir didelės įmonės turės imtis tinkamų kibernetinio saugumo rizikos valdymo priemonių“ - tai apima su jų tiekėjais, įskaitant debesijos paslaugų teikėjus, susijusios rizikos valdymą. Europos Komisija - NIS 2
ANSSI SecNumCloud kvalifikacija „pripažįsta patikimus debesijos pasiūlymus“ per saugumo vizą. Tai nėra visuotinė teisinė prievolė privačioms įmonėms: tai savanoriška kvalifikacija, rekomenduojama siekiant apsaugoti jautrius duomenis arba debesyje talpinti jautrias informacines sistemas. ANSSI - cyber.gouv.fr
Apibendrinant: keturi paprastai paveikiami profiliai
1. MVĮ, kuri savo elektroninį paštą, ERP ar CRM laiko pas Amerikos hiperskalės debesijos tiekėją (arba Amerikos grupės Europos dukterinė įmonė): jai taikomas CLOUD Act, nepriklausomai nuo jos dydžio.
2. Bet kuri Europos įmonė, nepriklausomai nuo dydžio, naudojanti debesijos paslaugą (SaaS, PaaS ar IaaS): nuo 12/09/2025 jai taikomos naujos Duomenų akto perkeliamumo teisės.
3. Vidutinė ar didelė įmonė iš vieno iš 18 kritinių NIS 2 sektorių (energetika, sveikata, transportas, finansai, skaitmeninė infrastruktūra...): turi valdyti tiekėjo riziką, įskaitant debesiją.
4. Viešoji įstaiga ar įmonė, talpinanti jautrius duomenis: rekomenduojamas (ne visada privalomas) SecNumCloud kvalifikavimo tikslas.
Šie kriterijai paimti iš pirmiau nurodytų oficialių tekstų ir puslapių. Tai nėra teisinė išvada: jūsų tiksli padėtis priklauso nuo sektoriaus, dydžio ir sutarčių - prireikus ją reikia patvirtinti pas teisininką.
Kas yra tikra teisinė prievolė, kas rekomenduojama gerosios praktikos priemonė, ir kas netrukus bus - paaiškinta paprastai, remiantis oficialiais šaltiniais.
Jei jūsų įmonė asmens duomenis (darbuotojų, klientų) patalpina pas debesijos paslaugų teikėją, esantį už Europos Sąjungos ribų, už šių duomenų apsaugą pagal BDAR teisiškai ir toliau atsako jūsų įmonė, o ne paslaugų teikėjas. Turite užtikrinti, kad šis perdavimas grindžiamas pripažinta garantija: arba Europos Sąjunga laiko šalį saugia („sprendimas dėl tinkamumo“), arba su paslaugų teikėju pasirašote Europos Komisijos pateiktas standartines sutarčių sąlygas. Tai standartiniai dokumentai, kuriuos reikia įtraukti į sutartį, o ne derybos, kurias turėtumėte susigalvoti patys.
Šaltinis: CNIL, BDAR numatyta duomenų perdavimo už ES ribų sistema (V skyrius, 45 ir 46 straipsniai) - cnil.fr, žiūrėta 18/07/2026.
Nuo 2025 m. rugsėjo 12 d. Europos reglamentas („Duomenų aktas“) įpareigoja debesijos paslaugų teikėjus sudaryti palankesnes sąlygas keisti paslaugų teikėją: jie turi palaipsniui mažinti išėjimo mokesčius ir pateikti jūsų duomenis formatu, kurį galite pakartotinai naudoti kitur. Konkrečiai, jei paslaugų teikėjas jums atsako, kad „tai neįmanoma“, arba už jūsų pačių duomenų atgavimą ima neproporcingas sumas, nuo tos datos tai nebėra normalu. Tikslus visiško šių mokesčių panaikinimo tvarkaraštis nustatytas reglamentiniame tekste - jei jums išrašoma suma, paprašykite savo teisininko ar paslaugų teikėjo tai patikrinti.
Šaltinis: Europos Komisija, „Duomenų aktas“ (Reglamentas (ES) 2023/2854, VI skyrius) - digital-strategy.ec.europa.eu, žiūrėta 18/07/2026.
SecNumCloud yra ANSSI (Prancūzijos kibernetinio saugumo agentūros) suteikiama kvalifikacija, leidžianti pripažinti debesijos pasiūlymus, laikomus verta pasitikėti jautriems duomenims talpinti. Privačiai įmonei tai nėra teisinė prievolė. Ji pirmiausia taikoma administracijoms ir įstaigoms, valdančioms valstybei jautrias informacines sistemas. MVĮ tai naudingas orientyras debesijos pasiūlymams palyginti tarpusavyje, o ne įstatymu privaloma laikytis norma.
Šaltinis: ANSSI (cyber.gouv.fr), puslapis „Debesija“ - cyber.gouv.fr, žiūrėta 18/07/2026.
CNIL rekomenduoja - nors tai nėra įstatyme išsamiai nustatyta kiekybinė prievolė - surašyti jūsų įmonėje realiai naudojamas debesijos paslaugas, prieš pasirašant patikrinti tiekėjo saugumo lygį, sutartyje juodu ant balto užrašyti, kas už ką atsako saugumo srityje, ir šifruoti jautrius duomenis. Reikia atsiminti principą: tiekėjas saugo savo infrastruktūrą, tačiau jūsų pareiga tinkamai sukonfigūruoti savo komandų prieigas ir paskyras. Jūsų pusėje padaryta bloga konfigūracija netenka tiekėjo saugumo apsaugos.
Šaltinis: CNIL, „Debesijos (kompiuterijos debesyje) sauga“ - cnil.fr, žiūrėta 18/07/2026.
Europos Komisija pradėjo svarstyti reglamento projektą - „Debesijos ir DI plėtros aktą“ - Europos debesijos ir dirbtinio intelekto pajėgumams stiprinti ir priklausomybei nuo didžiųjų ne Europos tiekėjų mažinti. Šis tekstas dar negalioja: tai nagrinėjamas pasiūlymas, o ne taisyklė, taikytina šiandien. Jame numatyta pasitikėjimo lygių sistema debesijos pasiūlymo suverenumui įvertinti. Verta sekti, bet nedarant iš to jokių neatidėliotinų veiklos išvadų.
Šaltinis: Europos Komisija, „Debesijos ir DI plėtros aktas“ - digital-strategy.ec.europa.eu, puslapis atnaujintas 03/06/2026, žiūrėta 18/07/2026.
Šiame skyriuje pateikiami aiškūs orientyrai, o ne teisinė išvada. Konkrečiai situacijai (galiojanti sutartis, konkretus duomenų perdavimas) patvirtinimo kreipkitės į savo teisės tarnybą ar advokatą.
Penki klausimai, kuriuos kelia MVĮ vadovai, kiekvienas atsakomas per 2 minutes su oficialiu šaltiniu
Šie atsakymai apibendrina 2026 m. liepos mėn. peržiūrėtus oficialius puslapius (Europos Komisija, CNIL, ANSSI, Gaia-X). Jie nėra teisinė išvada ir nepakeičia specialios jūsų situacijos analizės.
Susisiekite su mumis, kad gautumėte jūsų apimtį atitinkantį pasiūlymą.