Sovereign-Audit ir strukturēts audits, kas novērtē jūsu atkarību no mākoņpakalpojumu sniedzējiem (īpaši no Microsoft 365) un jūsu reālo spēju atgūt savus datus un mainīt pakalpojumu sniedzēju. Mēs neapliecinām „suverenitāti“: mēs mērām, dokumentējam un nosakām prioritātes.
Digitālā atkarība tiek mērīta reti, un šī tēma kļūst par regulējuma jautājumu
Regulā (ES) 2023/2854 (Datu akts) ir paredzēta atsevišķa nodaļa par pāreju starp datu apstrādes pakalpojumiem, tostarp pienākumi novērst tehniskos un līgumiskos šķēršļus pakalpojumu sniedzēja maiņai. Šobrīd maz organizāciju zina, kādā stāvoklī tās šajā jautājumā ir.
Rezerves konti, identitātes federācija, Copilot, iebūvētā šifrēšana, pielāgotas Teams lietotnes: katra tehniskā izvēle rada nedaudz lielāku atkarību, lai gan neviens skaidrs lēmums nav pieņemts.
Mākoņpakalpojumu līgumos ir datu atgūšanas un izstāšanās klauzulas, taču tās tiek parakstītas vienu reizi un nekad netiek pārskatītas, ņemot vērā nomnieka faktisko lietojumu.
Datu akts, SecNumCloud un Gaia-X nosaka terminoloģiju un pārnesamības prasības, taču to pārvēršana operatīvā konstatējumā JŪSU nomnieka vidē prasa metodi un laiku, kura iekšējām IT komandām nav.
Strukturēta metode, kuras pamatā ir 32 atkarības un pārnesamības kontroļu katalogs
Saruna ar vadību vai IT vadītāju, lai noteiktu apjomu (M365 nomnieks, vienības, meitasuzņēmumi, galvenie pakalpojumu sniedzēji) un jūsu organizācijai raksturīgos atkarības riskus.
Microsoft 365 konfigurācijas (identitāte, rezerves kopēšana, datu atrašanās vieta, šifrēšana, lietotnes) un jūsu pakalpojumu sniedzēju atgriezeniskuma līguma klauzulu izskatīšana.
Katra kontrole tiek novērtēta pēc skaidra statusa (nodrošināta, daļēja, nav, jāpārbauda līgumā), norādot atbilstību attiecīgajām Microsoft 365 jomām.
Konstatējumi, ja tas ir lietderīgi, tiek sasaistīti ar Eiropas Datu akta prasībām un SecNumCloud/Gaia-X atsauces terminoloģiju - nekad neuzrādot to kā iegūtu sertifikātu.
Skaidra ziņojuma nodošana vadībai kopā ar prioritizētu rīcības plānu, lai samazinātu kritiskākos atkarības punktus.
Skaidrs dokumentu kopums, ko var izmantot jūsu vadība un IT komandas
Dokumentēts kataloga 32 kontroļu novērtējums ar statusu katrai kontrolei.
Kopskats par to, kur koncentrējas jūsu atkarība no Microsoft.
Atbalsta materiāls, lai kopā ar jūsu juristiem pārlasītu esošos mākoņpakalpojumu līgumus.
Atbilstība starp jūsu konstatējumiem un atsauces standartu terminoloģiju.
Ieteikumi, sakārtoti pēc kritiskuma un īstenošanas viegluma.
Dokumenti formātos, ko var izmantot jūsu komandas.
Sovereign-Audit balstās uz esošiem publiskiem ietvariem - mēs neizsniedzam nekādus sertifikātus
Eiropas tiesību akts, kurā ir atsevišķa nodaļa par pāreju starp datu apstrādes pakalpojumiem (mākoņpakalpojumu pārnesamība un sadarbspēja). Sovereign-Audit izmanto šo nodaļu, lai strukturētu audita jautājumus, neuzrādot konkrētu pantu kā pienākumu, kas jūsu organizācijai jau ir piemērojams bez juridiskās pārbaudes.
ISO/IEC 27001 A pielikuma organizatoriskās kontroles, kas attiecas uz attiecībām ar piegādātājiem un darbības nepārtrauktību, veido daļu no atkarības analīzes.
ANSSI brīvprātīgas kvalifikācijas standarts. Tā līgumiskā atgriezeniskuma klauzula šeit kalpo kā lasīšanas matrica, lai gan standarta Microsoft 365 nav kvalificēts pēc SecNumCloud.
Brīvprātīgs, nesaistošs Eiropas ietvars, kas nodrošina kopīgu suverenitātes un sadarbspējas terminoloģiju starp mākoņpakalpojumu dalībniekiem un šeit tiek izmantots kā lasīšanas matrica.
Katra misija tiek noteikta ar cenu piedāvājumu, ņemot vērā jūsu vides lielumu un sarežģītību
MVU, viens M365 nomnieks
MVU / vidēji lieli uzņēmumi, vairākas vienības vai meitasuzņēmumi
Organizācijas ar korektīvo pasākumu plānu
Šajā lapā iepriekš netiek noteikta nekāda cena
Precīzs apjoms (vienību skaits, nomnieka lielums, līgumu analīzes dziļums) tiek noteikts kopā ar jums pirms jebkura cenu piedāvājuma.
Ne tikai lielie koncerni vai „jutīgās“ nozares: atkarība no mākoņpakalpojumu sniedzēja skar ļoti dažādus uzņēmumus dažādu iemeslu dēļ. Šeit ir oficiālie kritēriji, nesajaucot juridisku pienākumu ar labu praksi.
ASV CLOUD Act (federāls likums, Public Law 115-141) attiecas uz ASV „elektronisko sakaru pakalpojumu vai attālinātās skaitļošanas pakalpojumu sniedzējiem“ un ļauj piespiest tos nodot ASV tiesu varai datus, kas ir to „valdījumā, glabājumā vai kontrolē“, pat ja šie dati tiek glabāti ārpus Amerikas Savienotajām Valstīm (norma kodificēta 18 U.S.C. § 2713). Konkrēti: Francijas MVU, kas savu e-pastu vai ERP mitina pie amerikāņu piegādātāja, vai amerikāņu koncerna Eiropas meitasuzņēmums var būt skarts vienīgi šīs kontroles saiknes dēļ, pat ja tā dati tiek mitināti Francijā vai ES. Oficiālais teksts (Congress.gov)
Datu akts (Regula (ES) 2023/2854), kas piemērojams kopš 2025. gada 12. septembra, ir horizontāls akts, kas „attiecas uz visām nozarēm“. Tā nodaļa par mākoņpakalpojumu sniedzēja maiņu piešķir ikvienam klientam neatkarīgi no tā lieluma tiesības „efektīvi mainīt datu apstrādes pakalpojumu sniedzēju“ (pārnesamība, sadarbspēja), bez vispārīga izņēmuma mazajiem uzņēmumiem. Eiropas Komisija - Datu akts
NIS2 direktīva aptver 18 nozares (enerģētika, transports, veselība, finanses, ūdens apsaimniekošana, digitālā infrastruktūra, elektroniskie sakari, digitālās platformas, atkritumu apsaimniekošana, kritisko produktu ražošana, pasts, kosmoss, valsts pārvalde). Šajās nozarēs „parasti vidējiem un lielajiem subjektiem būs jāveic atbilstoši kiberdrošības risku pārvaldības pasākumi“ - tas ietver ar to piegādātājiem, tostarp mākoņpakalpojumu sniedzējiem, saistīto risku pārvaldību. Eiropas Komisija - NIS2
ANSSI SecNumCloud kvalifikācija „atzīst uzticamus mākoņpakalpojumu piedāvājumus“, izmantojot drošības vīzu. Tas nav vispārīgs juridisks pienākums privātiem uzņēmumiem: tā ir brīvprātīga kvalifikācija, ko iesaka jutīgu datu aizsardzībai vai jutīgu informācijas sistēmu mitināšanai mākonī. ANSSI - cyber.gouv.fr
Kopsavilkumā: četri tipiskie skartie profili
1. MVU, kas e-pastu, ERP vai CRM mitina pie amerikāņu hipermēroga mākoņpakalpojumu sniedzēja (vai amerikāņu koncerna Eiropas meitasuzņēmums): to skar CLOUD Act neatkarīgi no lieluma.
2. Jebkurš Eiropas uzņēmums neatkarīgi no lieluma, kas izmanto mākoņpakalpojumu (SaaS, PaaS vai IaaS): kopš 12/09/2025 to skar jaunās Datu akta pārnesamības tiesības.
3. Vidējs vai liels uzņēmums vienā no 18 NIS2 kritiskajām nozarēm (enerģētika, veselība, transports, finanses, digitālā infrastruktūra...): tam jāpārvalda piegādātāju risks, ieskaitot mākoni.
4. Publiska iestāde vai uzņēmums, kas mitina jutīgus datus: ieteicamais (ne vienmēr obligātais) SecNumCloud kvalifikācijas mērķis.
Šie kritēriji ir iegūti no iepriekš minētajiem oficiālajiem tekstiem un lapām. Tas nav juridisks atzinums: jūsu precīzā situācija ir atkarīga no jūsu nozares, lieluma un līgumiem - vajadzības gadījumā to apstiprināt jālūdz juristam.
Kas ir patiess juridisks pienākums, kas ir ieteicama laba prakse un kas drīz stāsies spēkā - izskaidrots vienkārši, atsaucoties uz oficiāliem avotiem.
Ja jūsu uzņēmums personas datus (darbinieku, klientu) mitina pie mākoņpakalpojumu sniedzēja ārpus Eiropas Savienības, tieši jūsu uzņēmums - nevis pakalpojumu sniedzējs - paliek juridiski atbildīgs saskaņā ar VDAR par šo datu aizsardzību. Jums jāpārliecinās, ka šī nosūtīšana balstās uz atzītu garantiju: vai nu Eiropas Savienība valsti uzskata par drošu („atbilstības lēmums“), vai arī jūs ar pakalpojumu sniedzēju parakstāt Eiropas Komisijas piedāvātās līguma standartklauzulas. Tie ir standarta dokumenti, kas jāiekļauj jūsu līgumā, nevis sarunas, kas jums pašiem jāizdomā.
Avots: CNIL, VDAR paredzētais datu nosūtīšanas ārpus ES regulējums (V nodaļa, 45. un 46. pants) - cnil.fr, skatīts 18/07/2026.
Kopš 2025. gada 12. septembra Eiropas regula („Datu akts“) uzliek mākoņpakalpojumu sniedzējiem pienākumu atvieglot pakalpojumu sniedzēja maiņu: tiem pakāpeniski jāsamazina izstāšanās maksas un jānodod jūsu dati formātā, ko varat izmantot citur. Konkrēti, ja piegādātājs jums atbild, ka „tas nav iespējams“, vai pieprasa nesamērīgas summas par jūsu pašu datu atgūšanu, kopš minētā datuma tas vairs nav normāli. Šo maksu pilnīgas atcelšanas precīzs grafiks ir noteikts regulējošajā tekstā - lūdziet to pārbaudīt jūsu juristam vai pakalpojumu sniedzējam, ja jums tiek izrakstīts rēķins par kādu summu.
Avots: Eiropas Komisija, „Datu akts“ (Regula (ES) 2023/2854, VI nodaļa) - digital-strategy.ec.europa.eu, skatīts 18/07/2026.
SecNumCloud ir ANSSI (Francijas kiberdrošības aģentūras) piešķirta kvalifikācija, kas ļauj atpazīt mākoņpakalpojumu piedāvājumus, kurus uzskata par uzticamiem jutīgu datu mitināšanai. Tas nav juridisks pienākums privātam uzņēmumam. Tā galvenokārt ir obligāta pārvaldes iestādēm un struktūrām, kas pārvalda valstij jutīgas informācijas sistēmas. MVU tas ir noderīgs orientieris mākoņpakalpojumu piedāvājumu salīdzināšanai, nevis ar likumu ievērojams standarts.
Avots: ANSSI (cyber.gouv.fr), lapa „Mākonis“ - cyber.gouv.fr, skatīts 18/07/2026.
CNIL iesaka - lai gan likumā tas nav skaitliski izteikts un detalizēts pienākums - uzskaitīt jūsu uzņēmumā faktiski izmantotos mākoņpakalpojumus, pirms parakstīšanas pārbaudīt piegādātāja drošības līmeni, līgumā melns uz balta ierakstīt, kam kas jādara drošības jomā, un šifrēt jutīgus datus. Svarīgākais princips: piegādātājs nodrošina savu infrastruktūru, bet jums pašam pareizi jānokonfigurē piekļuves un jūsu komandu konti. Nepareiza konfigurācija jūsu pusē nav segta ar piegādātāja drošību.
Avots: CNIL, „Mākoņa drošība (mākoņdatošana)“ - cnil.fr, skatīts 18/07/2026.
Eiropas Komisija ir izvirzījusi apspriešanai regulas projektu - „Mākoņdatošanas un mākslīgā intelekta attīstības aktu“ -, lai stiprinātu Eiropas mākoņdatošanas un mākslīgā intelekta spējas un samazinātu atkarību no lielajiem ārpus Eiropas esošajiem piegādātājiem. Šis teksts vēl nav spēkā : tas ir priekšlikums, kas tiek izskatīts, nevis noteikums, kas jāpiemēro šodien. Tajā ir paredzēta uzticamības līmeņu sistēma, lai novērtētu mākoņpakalpojuma piedāvājuma suverenitāti. Jāseko līdzi, taču no tā nevajag izdarīt tūlītējus operatīvus secinājumus.
Avots: Eiropas Komisija, „Mākoņdatošanas un mākslīgā intelekta attīstības akts“ - digital-strategy.ec.europa.eu, lapa atjaunināta 03/06/2026, skatīta 18/07/2026.
Šajā sadaļā ir sniegti skaidri orientieri, nevis juridisks atzinums. Konkrētā situācijā (spēkā esošs līgums, īpaša datu nosūtīšana) lūdziet apstiprinājumu jūsu juridiskajam dienestam vai advokātam.
Pieci jautājumi, ko uzdod MVU vadītāji, uz katru atbild 2 minūtēs ar tā oficiālo avotu
Šīs atbildes apkopo oficiālas lapas, kas skatītas 2026. gada jūlijā (Eiropas Komisija, CNIL, ANSSI, Gaia-X). Tās nav juridisks atzinums un neaizstāj jūsu situācijai veltītu analīzi.
Sazinieties ar mums, lai saņemtu jūsu apjomam pielāgotu cenu piedāvājumu.