Sovereign-Audit is een gestructureerde audit die uw afhankelijkheid van cloudleveranciers (met name Microsoft 365) beoordeelt, evenals uw reële vermogen om uw gegevens terug te halen en van aanbieder te veranderen. Wij certificeren geen „soevereiniteit”: wij meten, documenteren en prioriteren.
Digitale afhankelijkheid wordt zelden gemeten, en het onderwerp wordt wettelijk verplicht
Verordening (EU) 2023/2854 (dataverordening) bevat een hoofdstuk over het overstappen tussen gegevensverwerkingsdiensten, met verplichtingen om technische en contractuele belemmeringen voor het overstappen naar een andere aanbieder weg te nemen. Weinig organisaties weten vandaag waar zij op dit punt staan.
Noodtoegangsaccounts, identiteitsfederatie, Copilot, native versleuteling, aangepaste Teams-apps: elke technische keuze creëert een beetje meer afhankelijkheid, zonder dat er een expliciet besluit is genomen.
Cloudcontracten bevatten clausules over het terughalen van gegevens en over de uitstap, maar ze worden eenmaal ondertekend en nooit meer herzien in het licht van het werkelijke gebruik van de tenant.
De dataverordening, SecNumCloud en Gaia-X leggen een vocabulaire en eisen inzake overdraagbaarheid vast, maar om dat te vertalen naar een operationele vaststelling voor UW tenant zijn een methode en tijd nodig die de interne IT-teams niet hebben.
Een gestructureerde methode, gebaseerd op een catalogus van 32 controles op afhankelijkheid en overdraagbaarheid
Gesprek met de directie of de IT-verantwoordelijke om de reikwijdte af te bakenen (M365-tenant, entiteiten, dochterondernemingen, belangrijkste dienstverleners) en de afhankelijkheidskwesties die eigen zijn aan uw organisatie.
Onderzoek van de Microsoft 365-configuratie (identiteit, back-up, gegevensresidentie, versleuteling, apps) en van de contractuele reversibiliteitsclausules bij uw dienstverleners.
Elke controle wordt beoordeeld volgens een duidelijke status (gedekt, gedeeltelijk, ontbrekend, contractueel te verifiëren), met een koppeling naar de betrokken Microsoft 365-domeinen.
De bevindingen worden, waar relevant, gekoppeld aan de eisen van de Europese dataverordening en aan het referentievocabulaire van SecNumCloud/Gaia-X - zonder dit ooit voor te stellen als een behaalde certificering.
Oplevering van een helder rapport voor de directie, met een geprioriteerd actieplan om de meest kritieke afhankelijkheidspunten te verminderen.
Een duidelijke set documenten die uw directie en uw IT-teams direct kunnen gebruiken
Gedocumenteerde beoordeling van de 32 controles van de catalogus, met een status per controle.
Een totaalbeeld van waar uw afhankelijkheid van Microsoft zich concentreert.
Een hulpmiddel om uw bestaande cloudcontracten samen met uw juridische teams te herlezen.
Overeenkomst tussen uw bevindingen en het vocabulaire van de referentiekaders.
Aanbevelingen gerangschikt naar kritiek karakter en haalbaarheid.
Documenten in formaten die uw teams direct kunnen gebruiken.
Sovereign-Audit steunt op bestaande openbare kaders - wij verlenen geen enkele certificering
Europese tekst met een hoofdstuk over het overstappen tussen gegevensverwerkingsdiensten (overdraagbaarheid en interoperabiliteit van de cloud). Sovereign-Audit gebruikt dit hoofdstuk om de auditvragen te structureren, zonder een bepaald artikel voor te stellen als een verplichting die zonder juridische toetsing al voor uw organisatie geldt.
De organisatorische beheersmaatregelen met betrekking tot leveranciersrelaties en bedrijfscontinuïteit vormen een deel van het kader van de afhankelijkheidsanalyse.
Vrijwillig kwalificatiekader van de ANSSI. De contractuele reversibiliteitsclausule ervan dient hier als leesraster, ook al is standaard Microsoft 365 niet SecNumCloud-gekwalificeerd.
Vrijwillig, niet-bindend Europees kader dat een gemeenschappelijk vocabulaire biedt voor soevereiniteit en interoperabiliteit tussen cloudspelers, hier gebruikt als leesraster.
Elke opdracht wordt op offertebasis afgebakend, afhankelijk van de omvang en de complexiteit van uw omgeving
Mkb, één enkele M365-tenant
Mkb/middelgrote ondernemingen, meerdere entiteiten of dochterondernemingen
Organisaties met een herstelplan
Op deze pagina is vooraf geen enkel tarief vastgesteld
De exacte reikwijdte (aantal entiteiten, omvang van de tenant, diepgang van de contractuele analyse) wordt vóór elke offerte met u vastgesteld.
Niet alleen grote concerns of „gevoelige” sectoren: afhankelijkheid van een cloudleverancier raakt zeer uiteenlopende bedrijven, om verschillende redenen. Dit zijn de officiële criteria, zonder wettelijke verplichting en goede praktijk door elkaar te halen.
De Amerikaanse CLOUD Act (federale wet, Public Law 115-141) is van toepassing op Amerikaanse „aanbieders van elektronische-communicatiediensten of diensten voor computerverwerking op afstand” en maakt het mogelijk hen te dwingen gegevens „in hun bezit, onder hun berusting of onder hun controle” over te dragen aan de Amerikaanse justitie, ook wanneer die gegevens buiten de Verenigde Staten zijn opgeslagen (bepaling gecodificeerd in 18 U.S.C. § 2713). Concreet: een Frans mkb-bedrijf dat zijn e-mail of ERP bij een Amerikaanse leverancier host, of een Europese dochteronderneming van een Amerikaanse groep, kan alleen al door die controleband worden geraakt, ook als zijn gegevens in Frankrijk of in de EU worden gehost. Officiële tekst (Congress.gov)
De dataverordening (Verordening (EU) 2023/2854), van toepassing sinds 12 september 2025, is een sectoroverschrijdende tekst die „van toepassing is op alle sectoren”. Het hoofdstuk over het overstappen naar een andere cloudaanbieder geeft elke klant, ongeacht zijn omvang, het recht om „daadwerkelijk over te stappen naar een andere aanbieder van gegevensverwerkingsdiensten” (overdraagbaarheid, interoperabiliteit), zonder algemene vrijstelling voor kleine bedrijven. Europese Commissie - dataverordening
De NIS2-richtlijn omvat 18 sectoren (energie, vervoer, gezondheidszorg, financiën, waterbeheer, digitale infrastructuur, elektronische communicatie, digitale platforms, afvalbeheer, vervaardiging van kritieke producten, post, ruimtevaart, overheidsbestuur). Voor deze sectoren „zullen middelgrote en grote entiteiten in de regel passende maatregelen moeten nemen voor het beheer van cyberbeveiligingsrisico's” - waaronder het beheer van het risico dat verband houdt met hun leveranciers, dus ook hun cloudleveranciers. Europese Commissie - NIS2
De SecNumCloud-kwalificatie van de ANSSI „erkent betrouwbare cloudaanbiedingen” via een beveiligingsvisum. Het is geen algemene wettelijke verplichting voor particuliere bedrijven: het is een vrijwillige kwalificatie, aanbevolen om gevoelige gegevens te beschermen of gevoelige informatiesystemen in de cloud te hosten. ANSSI - cyber.gouv.fr
Samengevat: vier profielen die doorgaans worden geraakt
1. Een mkb-bedrijf dat e-mail, ERP of CRM host bij een grote Amerikaanse cloudaanbieder (of een Europese dochteronderneming van een Amerikaanse groep): geraakt door de CLOUD Act, ongeacht zijn omvang.
2. Elk Europees bedrijf, van welke omvang ook, dat een clouddienst gebruikt (SaaS, PaaS of IaaS): sinds 12/09/2025 geraakt door de nieuwe overdraagbaarheidsrechten van de dataverordening.
3. Een middelgrote of grote onderneming in een van de 18 kritieke NIS2-sectoren (energie, gezondheidszorg, vervoer, financiën, digitale infrastructuur...): moet het leveranciersrisico beheren, inclusief de cloud.
4. Een overheidsinstantie of een bedrijf dat gevoelige gegevens host: aanbevolen doel (niet noodzakelijk verplicht) van de SecNumCloud-kwalificatie.
Deze criteria zijn ontleend aan hierboven genoemde officiële teksten en pagina's. Dit is geen juridisch advies: uw exacte situatie hangt af van uw sector, uw omvang en uw contracten - laat dit zo nodig door een jurist bevestigen.
Wat een echte wettelijke verplichting is, wat een aanbevolen goede praktijk is en wat eraan komt - eenvoudig uitgelegd, met officiële bronnen.
Als uw bedrijf persoonsgegevens (van werknemers, klanten) laat hosten bij een cloudaanbieder buiten de Europese Unie, dan blijft uw bedrijf - niet de aanbieder - juridisch verantwoordelijk voor de bescherming van deze gegevens op grond van de AVG. U moet zich ervan vergewissen dat deze doorgifte berust op een erkende waarborg: ofwel wordt het land door de Europese Unie als veilig beoordeeld („adequaatheidsbesluit”), ofwel sluit u met de aanbieder de standaardcontractbepalingen van de Europese Commissie. Dit zijn standaarddocumenten die in uw contract moeten worden opgenomen, geen onderhandeling die u zelf zou moeten verzinnen.
Bron: CNIL, kader voor doorgiften van gegevens buiten de EU volgens de AVG (hoofdstuk V, artikelen 45 en 46) - cnil.fr, geraadpleegd op 18/07/2026.
Sinds 12 september 2025 verplicht een Europese verordening (de „dataverordening”) aanbieders van clouddiensten om het overstappen naar een andere aanbieder te vergemakkelijken: zij moeten de overstapkosten geleidelijk verlagen en uw gegevens leveren in een formaat dat u elders kunt hergebruiken. Concreet: als een aanbieder u antwoordt dat „dat niet kan” of u onevenredige bedragen in rekening brengt om uw eigen gegevens terug te krijgen, is dat sinds die datum niet langer normaal. Het precieze tijdschema voor de volledige afschaffing van deze kosten ligt vast in de regelgevende tekst - laat dit controleren door uw jurist of uw dienstverlener als u een bedrag wordt gefactureerd.
Bron: Europese Commissie, „dataverordening” (Verordening (EU) 2023/2854, hoofdstuk VI) - digital-strategy.ec.europa.eu, geraadpleegd op 18/07/2026.
SecNumCloud is een kwalificatie van de ANSSI (het Franse agentschap voor cyberbeveiliging) waarmee cloudaanbiedingen kunnen worden erkend die betrouwbaar worden geacht om gevoelige gegevens te hosten. Het is geen wettelijke verplichting voor een particulier bedrijf. Ze geldt vooral voor overheidsdiensten en voor instanties die gevoelige informatiesystemen voor de Staat beheren. Voor een mkb-bedrijf is het een nuttig ijkpunt om cloudaanbiedingen onderling te vergelijken, geen norm die de wet oplegt.
Bron: ANSSI (cyber.gouv.fr), pagina „Cloud” - cyber.gouv.fr, geraadpleegd op 18/07/2026.
De CNIL beveelt aan - zonder dat dit een in de wet gedetailleerde, becijferde verplichting is - om de clouddiensten die in uw bedrijf daadwerkelijk worden gebruikt in kaart te brengen, het beveiligingsniveau van de aanbieder te controleren voordat u tekent, in het contract zwart op wit vast te leggen wie wat doet op het gebied van beveiliging, en gevoelige gegevens te versleutelen. Het principe dat u moet onthouden: de aanbieder beveiligt zijn infrastructuur, maar het is aan u om de toegangen en de accounts van uw teams goed te configureren. Een slechte configuratie aan uw kant wordt niet gedekt door de beveiliging van de aanbieder.
Bron: CNIL, „Beveiliging van de cloud (cloud computing)” - cnil.fr, geraadpleegd op 18/07/2026.
De Europese Commissie heeft een ontwerpverordening ter discussie gesteld, de „Cloud and AI Development Act”, om de Europese capaciteiten voor cloud en kunstmatige intelligentie te versterken en de afhankelijkheid van grote niet-Europese aanbieders te verminderen. Deze tekst is nog niet van kracht: het is een voorstel dat wordt onderzocht, geen regel die vandaag moet worden toegepast. Het voorziet in een stelsel van vertrouwensniveaus om de soevereiniteit van een cloudaanbod te beoordelen. Volgen, zonder er direct operationele conclusies uit te trekken.
Bron: Europese Commissie, „Cloud and AI Development Act” - digital-strategy.ec.europa.eu, pagina bijgewerkt op 03/06/2026, geraadpleegd op 18/07/2026.
Dit gedeelte geeft u duidelijke ijkpunten, geen juridisch advies. Laat een concrete situatie (lopend contract, specifieke gegevensdoorgifte) valideren door uw juridische afdeling of een advocaat.
Vijf vragen die mkb-bestuurders zich stellen, elk in 2 minuten beantwoord met de officiële bron
Deze antwoorden vatten officiële pagina's samen die in juli 2026 zijn geraadpleegd (Europese Commissie, CNIL, ANSSI, Gaia-X). Ze vormen geen juridisch advies en vervangen geen analyse die op uw situatie is toegesneden.
Neem contact met ons op voor een offerte die is afgestemd op uw reikwijdte.