Sovereign-Audit huwa awditu strutturat li jevalwa d-dipendenza tagħkom mill-fornituri tal-cloud (Microsoft 365 b'mod partikolari) u l-kapaċità reali tagħkom li terġgħu tieħdu d-dejta tagħkom u tbiddlu l-fornitur. Aħna ma niċċertifikawx "sovranità": aħna nkejlu, niddokumentaw u nistabbilixxu l-prijoritajiet.
Id-dipendenza diġitali rarament titkejjel, u s-suġġett qed isir regolatorju
Ir-Regolament (UE) 2023/2854 (l-Att dwar id-Dejta) fih kapitolu ddedikat għall-bidla bejn is-servizzi ta' pproċessar tad-dejta, b'obbligi li jneħħu l-ostakli tekniċi u kuntrattwali għall-bidla tal-fornitur. Ftit organizzazzjonijiet jafu llum fejn jinsabu f'dan ir-rigward.
Kontijiet ta' emerġenza, federazzjoni tal-identità, Copilot, ċifrar nattiv, applikazzjonijiet Teams personalizzati: kull għażla teknika toħloq ftit aktar dipendenza, mingħajr ma tkun ittieħdet deċiżjoni espliċita.
Il-kuntratti tal-cloud fihom klawsoli dwar l-irkupru tad-dejta u l-ħruġ, iżda jiġu ffirmati darba u qatt ma jiġu eżaminati mill-ġdid fid-dawl tal-użu reali tat-tenant.
L-Att dwar id-Dejta, SecNumCloud u Gaia-X jiddefinixxu vokabularju u rekwiżiti ta' portabbiltà, iżda t-traduzzjoni ta' dan f'konstatazzjoni operattiva fuq it-tenant TAGĦKOM teħtieġ metodu u ħin li t-timijiet tal-IT interni m'għandhomx.
Metodu strutturat, ibbażat fuq katalgu ta' 32 kontroll ta' dipendenza u portabbiltà
Skambju mad-direzzjoni jew mar-responsabbli tal-IT biex jiġu ddefiniti l-ambitu (tenant M365, entitajiet, sussidjarji, fornituri ewlenin) u l-isfidi ta' dipendenza speċifiċi għall-organizzazzjoni tagħkom.
Eżami tal-konfigurazzjoni ta' Microsoft 365 (identità, kopji ta' riserva, residenza tad-dejta, ċifrar, applikazzjonijiet) u tal-klawsoli kuntrattwali ta' riversibbiltà ma' dawk li jipprovdulkom is-servizzi.
Kull kontroll jiġi evalwat skont status ċar (kopert, parzjali, nieqes, li jrid jiġi vverifikat kuntrattwalment), b'korrispondenza mal-oqsma ta' Microsoft 365 kkonċernati.
Il-konstatazzjonijiet jiġu rabtin, meta jkun rilevanti, mar-rekwiżiti tal-Att Ewropew dwar id-Dejta u mal-vokabularju ta' referenza SecNumCloud/Gaia-X - mingħajr ma jiġi ppreżentat qatt bħala ċertifikazzjoni miksuba.
Konsenja ta' rapport ċar lid-direzzjoni, b'pjan t'azzjoni skont il-prijorità biex jitnaqqsu l-punti ta' dipendenza l-aktar kritiċi.
Sett ċar ta' dokumenti li d-direzzjoni u t-timijiet tal-IT tagħkom jistgħu jużaw
Evalwazzjoni dokumentata tat-32 kontroll tal-katalgu, b'status għal kull kontroll.
Veduta ġenerali ta' fejn tikkonċentra d-dipendenza tagħkom minn Microsoft.
Għajnuna biex terġgħu taqraw il-kuntratti tal-cloud eżistenti tagħkom mat-timijiet legali tagħkom.
Korrispondenza bejn il-konstatazzjonijiet tagħkom u l-vokabularju tal-oqfsa ta' referenza.
Rakkomandazzjonijiet ikklassifikati skont il-kritiċità u s-sempliċità tal-implimentazzjoni.
Dokumenti f'formati li t-timijiet tagħkom jistgħu jużaw.
Sovereign-Audit jiddependi fuq oqfsa pubbliċi eżistenti - ma nagħtu ebda ċertifikazzjoni
Test Ewropew li fih kapitolu ddedikat għall-bidla bejn is-servizzi ta' pproċessar tad-dejta (portabbiltà u interoperabbiltà tal-cloud). Sovereign-Audit jibbaża fuq dan il-kapitolu biex jistruttura l-mistoqsijiet tal-awditu, mingħajr ma jippreżenta artikolu speċifiku bħala obbligu li diġà japplika għall-organizzazzjoni tagħkom mingħajr verifika legali.
Il-kontrolli organizzattivi marbutin mar-relazzjonijiet mal-fornituri u mal-kontinwità tal-attività jistrutturaw parti mill-analiżi tad-dipendenza.
Qafas ta' kwalifika volontarja tal-ANSSI. Il-klawsola kuntrattwali ta' riversibbiltà tiegħu taqdi hawnhekk bħala gwida ta' qari, anke jekk Microsoft 365 standard mhuwiex ikkwalifikat SecNumCloud.
Qafas Ewropew volontarju, mhux vinkolanti, li jipprovdi vokabularju komuni ta' sovranità u interoperabbiltà bejn l-atturi tal-cloud, użat hawnhekk bħala gwida ta' qari.
Kull missjoni tiġi ddefinita permezz ta' kwotazzjoni, skont id-daqs u l-kumplessità tal-ambjent tagħkom
SMEs, tenant M365 uniku
SMEs/ETI, diversi entitajiet jew sussidjarji
Organizzazzjonijiet b'pjan ta' rimedju
Ebda tariffa ma hija stabbilita minn qabel f'din il-paġna
L-ambitu eżatt (numru ta' entitajiet, daqs tat-tenant, fond tal-analiżi kuntrattwali) jiġi ddefinit miegħek qabel kwalunkwe kwotazzjoni.
Mhux biss il-gruppi l-kbar jew is-setturi "sensittivi": id-dipendenza minn fornitur tal-cloud tikkonċerna negozji differenti ħafna, għal raġunijiet differenti. Hawn il-kriterji uffiċjali, mingħajr ma jiġu mħawda l-obbligu legali u l-prattika tajba.
Il-CLOUD Act Amerikan (liġi federali, Public Law 115-141) japplika għal "fornituri ta' servizzi ta' komunikazzjoni elettronika jew ta' servizzi ta' kompjuting mill-bogħod" Amerikani u jippermetti li jiġu mġiegħla jittrasmettu lill-ġustizzja Amerikana dejta fil- "pussess, kustodja jew kontroll" tagħhom, anke jekk din id-dejta tkun maħżuna barra mill-Istati Uniti (dispożizzjoni kodifikata fil-18 U.S.C. § 2713). Konkretament: SME Franċiża li tospita l-posta elettronika jew l-ERP tagħha ma' fornitur Amerikan, jew sussidjarja Ewropea ta' grupp Amerikan, tista' tkun ikkonċernata minħabba biss dik ir-rabta ta' kontroll, anke jekk id-dejta tagħha tkun ospitata fi Franza jew fl-UE. Test uffiċjali (Congress.gov)
L-Att dwar id-Dejta (Regolament (UE) 2023/2854), applikabbli mit-12 ta' Settembru 2025, huwa test trasversali li "japplika għas-setturi kollha". Il-kapitolu tiegħu dwar il-bidla tal-fornitur tal-cloud jagħti lil kull klijent, ikun xi jkun id-daqs tiegħu, id-dritt li "jbiddel effettivament il-fornitur ta' servizzi ta' pproċessar tad-dejta" (portabbiltà, interoperabbiltà), mingħajr eżenzjoni ġenerali għall-impriżi żgħar. Kummissjoni Ewropea - Att dwar id-Dejta
Id-Direttiva NIS2 tkopri 18-il settur (enerġija, trasport, saħħa, finanzi, ġestjoni tal-ilma, infrastrutturi diġitali, komunikazzjonijiet elettroniċi, pjattaformi diġitali, ġestjoni tal-iskart, manifattura ta' prodotti kritiċi, servizzi postali, spazju, amministrazzjoni pubblika). Għal dawn is-setturi, "bħala regola ġenerali, l-entitajiet medji u kbar ikollhom jieħdu miżuri xierqa ta' ġestjoni tar-riskji tas-sigurtà ċibernetika" - li tinkludi l-ġestjoni tar-riskju marbut mal-fornituri tagħhom, inkluż il-fornituri tal-cloud tagħhom. Kummissjoni Ewropea - NIS2
Il-kwalifika SecNumCloud tal-ANSSI "tirrikonoxxi offerti tal-cloud ta' fiduċja" permezz ta' Viża ta' sigurtà. Mhijiex obbligu legali ġenerali għall- impriżi privati: hija kwalifika volontarja, rakkomandata biex tiġi protetta dejta sensittiva jew biex jiġu ospitati sistemi ta' informazzjoni sensittivi fil-cloud. ANSSI - cyber.gouv.fr
Fil-qosor, erba' profili tipikament ikkonċernati
1. SME li tospita l-posta elettronika, l-ERP jew is-CRM ma' fornitur kbir Amerikan tal-cloud (jew sussidjarja
Ewropea ta' grupp Amerikan): ikkonċernata mill-CLOUD Act, indipendentement mid-daqs tagħha.
2. Kwalunkwe impriża Ewropea, ta' kwalunkwe daqs, li tuża servizz tal-cloud
(SaaS, PaaS jew IaaS): ikkonċernata mit-12/09/2025 mid-drittijiet il-ġodda ta' portabbiltà
tal-Att dwar id-Dejta.
3. Impriża medja jew kbira f'wieħed mit-18-il settur kritiku NIS2 (enerġija, saħħa,
trasport, finanzi, infrastrutturi diġitali...): trid tamministra r-riskju tal-fornituri, inkluż
il-cloud.
4. Entità pubblika jew impriża li tospita dejta sensittiva: mira rakkomandata
(mhux sistematikament obbligatorju) tal-kwalifika SecNumCloud.
Dawn il-kriterji joħorġu minn testi u paġni uffiċjali msemmija hawn fuq. Mhijiex opinjoni legali: is-sitwazzjoni eżatta tagħkom tiddependi mis-settur, mid-daqs u mill- kuntratti tagħkom - li għandhom jiġu kkonfermati minn ġurista jekk ikun meħtieġ.
X'inhu obbligu legali veru, x'inhi prattika tajba rakkomandata, u x'inhu dieħel dalwaqt - spjegat sempliċement, b'sorsi uffiċjali.
Jekk l-impriża tagħkom tospita dejta personali (impjegati, klijenti) ma' fornitur tal-cloud li jinsab barra mill-Unjoni Ewropea, hija l-impriża tagħkom - mhux il-fornitur - li tibqa' legalment responsabbli quddiem ir-RGPD mill-protezzjoni ta' din id-dejta. Intom għandkom tiżguraw li dan it-trasferiment jistrieħ fuq garanzija rikonoxxuta: jew il-pajjiż huwa meqjus sikur mill-Unjoni Ewropea ("deċiżjoni ta' adegwatezza"), jew tiffirmaw mal-fornitur klawsoli kuntrattwali standard ipprovduti mill-Kummissjoni Ewropea. Dawn huma dokumenti standard li jridu jiddaħħlu fil-kuntratt tagħkom, mhux negozjar li għandkom tivvintaw intom stess.
Sors: CNIL, qafas tat-trasferimenti ta' dejta barra mill-UE previst mir-RGPD (kapitolu V, artikoli 45 u 46) - cnil.fr, ikkonsultat fit-18/07/2026.
Mit-12 ta' Settembru 2025, regolament Ewropew (l-"Att dwar id-Dejta") jobbliga lill-fornituri ta' servizzi tal-cloud jiffaċilitaw il-bidla tal-fornitur: huma jridu jnaqqsu gradwalment l-ispejjeż tal-ħruġ u jipprovdu d-dejta tagħkom f'format li tistgħu terġgħu tużaw x'imkien ieħor. Konkretament, jekk fornitur iweġibkom li "dan mhuwiex possibbli" jew jiffatturakom somom sproporzjonati biex terġgħu tieħdu d-dejta tagħkom stess, dan m'għadux normali minn dik id-data. L-iskeda eżatta għat-tneħħija sħiħa ta' dawn l-ispejjeż hija stabbilita mit-test regolatorju - biex tiġi vverifikata mill- ġurista jew mill-fornitur tagħkom jekk jiġi fatturat ammont.
Sors: Kummissjoni Ewropea, "Att dwar id-Dejta" (Regolament (UE) 2023/2854, kapitolu VI) - digital-strategy.ec.europa.eu, ikkonsultat fit-18/07/2026.
SecNumCloud hija kwalifika mogħtija mill-ANSSI (l-aġenzija Franċiża tas-sigurtà ċibernetika) li tippermetti li jiġu rikonoxxuti l-offerti tal-cloud meqjusa denji ta' fiduċja biex jospitaw dejta sensittiva. Mhijiex obbligu legali għal impriża privata. Tapplika l-aktar għall-amministrazzjonijiet u għall-entitajiet li jamministraw sistemi ta' informazzjoni sensittivi għall-Istat. Għal SME, huwa punt ta' referenza utli biex jitqabblu l-offerti tal-cloud bejniethom, mhux standard li jrid jiġi rispettat bil-liġi.
Sors: ANSSI (cyber.gouv.fr), paġna "Cloud" - cyber.gouv.fr, ikkonsultat fit-18/07/2026.
Is-CNIL tirrakkomanda - mingħajr ma jkun obbligu ddettaljat u kwantifikat fil-liġi - li jiġu elenkati is-servizzi tal-cloud li fil-fatt jintużaw fl-impriża tagħkom, li jiġi vverifikat il-livell ta' sigurtà tal-fornitur qabel ma tiffirmaw, li jinkiteb b'mod ċar fil-kuntratt min jagħmel x'inhu f'termini ta' sigurtà, u li tiġi ċifrata d-dejta sensittiva. Il-prinċipju li għandu jinżamm: il-fornitur jiżgura l-infrastruttura tiegħu, iżda intom li għandkom tikkonfiguraw sew l-aċċessi u l-kontijiet tat- timijiet tagħkom. Konfigurazzjoni ħażina min-naħa tagħkom mhijiex koperta mis-sigurtà tal-fornitur.
Sors: CNIL, "Sigurtà tal-cloud (informatika fis-sħab)" - cnil.fr, ikkonsultat fit-18/07/2026.
Il-Kummissjoni Ewropea tat bidu għal diskussjoni dwar abbozz ta' regolament, il-"Cloud and AI Development Act", biex isaħħaħ il-kapaċitajiet Ewropej tal-cloud u tal-intelliġenza artifiċjali u jitnaqqas id-dipendenza mill-fornituri l-kbar mhux Ewropej. Dan it-test għadu mhux fis-seħħ: huwa proposta li qed tiġi eżaminata, mhux regola li għandha tiġi applikata llum. Jipprevedi sistema ta' livelli ta' fiduċja biex tiġi evalwata s-sovranità ta' offerta tal-cloud. Biex jiġi segwit, mingħajr ma jittieħdu konklużjonijiet operattivi immedjati.
Sors: Kummissjoni Ewropea, "Cloud and AI Development Act" - digital-strategy.ec.europa.eu, paġna aġġornata fit-03/06/2026, ikkonsultata fit-18/07/2026.
Din it-taqsima tagħtikom punti ta' referenza ċari, mhux opinjoni legali. Għal sitwazzjoni speċifika (kuntratt attwali, trasferiment speċifiku ta' dejta), ivvalidawha mas-servizz legali tagħkom jew ma' avukat.
Ħames mistoqsijiet li jistaqsu d-diretturi tal-SMEs, kull waħda mweġba f'2 minuti bis-sors uffiċjali tagħha
Dawn it-tweġibiet jiġbru fil-qosor paġni uffiċjali kkonsultati f'Lulju 2026 (Kummissjoni Ewropea, CNIL, ANSSI, Gaia-X). Ma jikkostitwixxux opinjoni legali u ma jissostitwixxux analiżi ddedikata għas-sitwazzjoni tagħkom.
Ikkuntattjawna biex tirċievu kwotazzjoni adattata għall-ambitu tagħkom.