Sovereign-Audit to ustrukturyzowany audyt, który ocenia Państwa zależność od dostawców usług w chmurze (w szczególności Microsoft 365) oraz rzeczywistą zdolność odzyskania danych i zmiany dostawcy. Nie certyfikujemy „suwerenności”: mierzymy, dokumentujemy i ustalamy priorytety.
Zależność cyfrowa jest rzadko mierzona, a temat staje się przedmiotem regulacji
Rozporządzenie (UE) 2023/2854 (akt w sprawie danych) zawiera rozdział poświęcony zmianie usług przetwarzania danych, z obowiązkami usuwania technicznych i umownych przeszkód utrudniających zmianę dostawcy. Niewiele organizacji wie dziś, na jakim są w tym zakresie etapie.
Konta awaryjne, federacja tożsamości, Copilot, szyfrowanie natywne, spersonalizowane aplikacje Teams: każdy wybór techniczny tworzy odrobinę więcej zależności, choć nikt nie podjął w tej sprawie wyraźnej decyzji.
Umowy chmurowe zawierają klauzule dotyczące odzyskiwania danych i wyjścia z usługi, ale podpisuje się je raz i nigdy nie weryfikuje w świetle rzeczywistego użytkowania dzierżawy.
Akt w sprawie danych, SecNumCloud i Gaia-X określają słownictwo i wymogi dotyczące przenoszalności, ale przełożenie ich na operacyjne ustalenia dla PAŃSTWA dzierżawy wymaga metody i czasu, jakich wewnętrzne zespoły IT nie mają.
Ustrukturyzowana metoda oparta na katalogu 32 kontroli zależności i przenoszalności
Rozmowa z zarządem lub kierownikiem IT w celu określenia zakresu (dzierżawa M365, podmioty, spółki zależne, kluczowi dostawcy) oraz kwestii zależności właściwych Państwa organizacji.
Przegląd konfiguracji Microsoft 365 (tożsamość, kopie zapasowe, lokalizacja danych, szyfrowanie, aplikacje) oraz klauzul umownych o odwracalności u Państwa dostawców.
Każda kontrola jest oceniana według jasnego statusu (spełniona, częściowo, brak, do weryfikacji w umowie), wraz z odniesieniem do właściwych obszarów Microsoft 365.
Ustalenia są powiązane, tam gdzie to zasadne, z wymogami europejskiego aktu w sprawie danych oraz ze słownictwem referencyjnym SecNumCloud/Gaia-X - bez przedstawiania tego jako uzyskanej certyfikacji.
Przekazanie zarządowi czytelnego raportu wraz z planem działań z ustalonymi priorytetami, który pozwala ograniczyć najbardziej krytyczne punkty zależności.
Przejrzysty zestaw dokumentów, z których może korzystać zarząd i zespoły IT
Udokumentowana ocena 32 kontroli katalogu, ze statusem każdej kontroli.
Całościowy obraz tego, gdzie koncentruje się Państwa zależność od Microsoft.
Pomoc w ponownym przeczytaniu obowiązujących umów chmurowych wspólnie z Państwa działem prawnym.
Zestawienie Państwa ustaleń ze słownictwem standardów referencyjnych.
Zalecenia uszeregowane według krytyczności i łatwości wdrożenia.
Dokumenty w formatach, z których mogą korzystać Państwa zespoły.
Sovereign-Audit opiera się na istniejących publicznych ramach - nie wydajemy żadnej certyfikacji
Tekst europejski zawierający rozdział poświęcony zmianie usług przetwarzania danych (przenoszalność i interoperacyjność chmury). Sovereign-Audit opiera się na tym rozdziale, aby uporządkować pytania audytowe, nie przedstawiając żadnego konkretnego artykułu jako obowiązku już wiążącego Państwa organizację bez weryfikacji prawnej.
Kontrole organizacyjne dotyczące relacji z dostawcami i ciągłości działania porządkują część analizy zależności.
Dobrowolny standard kwalifikacji ANSSI. Jego umowna klauzula o odwracalności służy tu jako siatka lektury, mimo że standardowy Microsoft 365 nie jest kwalifikowany w SecNumCloud.
Dobrowolne, niewiążące ramy europejskie, które dostarczają wspólnego słownictwa suwerenności i interoperacyjności między podmiotami z branży chmurowej, używane tu jako siatka lektury.
Każda misja jest ustalana na podstawie wyceny, zależnie od wielkości i złożoności Państwa środowiska
MŚP, jedna dzierżawa M365
MŚP/przedsiębiorstwa średniej wielkości, wiele podmiotów lub spółek zależnych
Organizacje posiadające plan naprawczy
Na tej stronie nie ustalono z góry żadnej ceny
Dokładny zakres (liczba podmiotów, wielkość dzierżawy, głębokość analizy umów) jest ustalany z Państwem przed wystawieniem jakiejkolwiek wyceny.
Nie tylko wielkich grup ani „wrażliwych” sektorów: zależność od dostawcy usług w chmurze dotyczy bardzo różnych przedsiębiorstw, z różnych powodów. Oto oficjalne kryteria, bez mylenia obowiązku prawnego z dobrą praktyką.
Amerykański CLOUD Act (ustawa federalna, Public Law 115-141) ma zastosowanie do amerykańskich „dostawców usług łączności elektronicznej lub usług zdalnego przetwarzania danych” i pozwala zobowiązać ich do przekazania amerykańskiemu wymiarowi sprawiedliwości danych będących w ich „posiadaniu, pieczy lub kontroli”, nawet jeśli dane te są przechowywane poza Stanami Zjednoczonymi (przepis skodyfikowany w 18 U.S.C. § 2713). W praktyce: francuskie MŚP, które hostuje pocztę lub system ERP u amerykańskiego dostawcy, albo europejska spółka zależna grupy amerykańskiej, może podlegać tym przepisom już z powodu samego powiązania kontrolnego, nawet jeśli jej dane są hostowane we Francji lub w UE. Tekst urzędowy (Congress.gov)
Akt w sprawie danych (rozporządzenie (UE) 2023/2854), stosowany od 12 września 2025 r., jest tekstem przekrojowym, który „ma zastosowanie we wszystkich sektorach”. Jego rozdział o zmianie dostawcy usług w chmurze daje każdemu klientowi, niezależnie od jego wielkości, prawo do „skutecznej zmiany dostawcy usług przetwarzania danych” (przenoszalność, interoperacyjność), bez ogólnego wyłączenia dla małych przedsiębiorstw. Komisja Europejska - akt w sprawie danych
Dyrektywa NIS2 obejmuje 18 sektorów (energia, transport, zdrowie, finanse, gospodarka wodna, infrastruktura cyfrowa, łączność elektroniczna, platformy cyfrowe, gospodarka odpadami, produkcja produktów krytycznych, usługi pocztowe, przestrzeń kosmiczna, administracja publiczna). Dla tych sektorów „co do zasady średnie i duże podmioty będą musiały stosować odpowiednie środki zarządzania ryzykiem w cyberbezpieczeństwie” - co obejmuje zarządzanie ryzykiem związanym z ich dostawcami, w tym z dostawcami usług w chmurze. Komisja Europejska - NIS2
Kwalifikacja SecNumCloud ANSSI „uznaje zaufane oferty chmurowe” za pośrednictwem wizy bezpieczeństwa. Nie jest to powszechny obowiązek prawny dla przedsiębiorstw prywatnych: jest to dobrowolna kwalifikacja, zalecana do ochrony danych wrażliwych lub hostowania wrażliwych systemów informatycznych w chmurze. ANSSI - cyber.gouv.fr
Podsumowując, cztery typowe profile podmiotów, których to dotyczy
1. MŚP, które hostuje pocztę, system ERP lub CRM u amerykańskiego dostawcy chmury hiperskalowej (lub europejska
spółka zależna grupy amerykańskiej): podlega CLOUD Act, niezależnie od swojej wielkości.
2. Każde przedsiębiorstwo europejskie, dowolnej wielkości, korzystające z usługi w chmurze
(SaaS, PaaS lub IaaS): objęte od 12/09/2025 nowymi prawami do przenoszalności
wynikającymi z aktu w sprawie danych.
3. Średnie lub duże przedsiębiorstwo z jednego z 18 sektorów krytycznych NIS2 (energia, zdrowie,
transport, finanse, infrastruktura cyfrowa...): musi zarządzać ryzykiem związanym z dostawcami, w tym
z usługami w chmurze.
4. Podmiot publiczny lub przedsiębiorstwo, które hostuje dane wrażliwe: zalecany cel
(niekoniecznie obowiązkowy) kwalifikacji SecNumCloud.
Kryteria te pochodzą z oficjalnych tekstów i stron cytowanych powyżej. Nie jest to opinia prawna: Państwa dokładna sytuacja zależy od sektora, wielkości i umów - w razie potrzeby należy ją potwierdzić u prawnika.
Co jest prawdziwym obowiązkiem prawnym, co zalecaną dobrą praktyką, a co nadchodzi wkrótce - wyjaśnione prosto, z oficjalnymi źródłami.
Jeśli Państwa przedsiębiorstwo powierza hostowanie danych osobowych (pracowników, klientów) dostawcy chmury znajdującemu się poza Unią Europejską, to Państwa przedsiębiorstwo - a nie dostawca - pozostaje prawnie odpowiedzialne przed RODO za ochronę tych danych. Muszą Państwo upewnić się, że transfer opiera się na uznanej gwarancji: albo kraj jest uznany przez Unię Europejską za bezpieczny („decyzja stwierdzająca odpowiedni stopień ochrony”), albo podpisują Państwo z dostawcą standardowe klauzule umowne przygotowane przez Komisję Europejską. Są to dokumenty standardowe, które należy włączyć do umowy, a nie negocjacje, które trzeba samodzielnie wymyślać.
Źródło: CNIL, ramy transferów danych poza UE przewidziane w RODO (rozdział V, artykuły 45 i 46) - cnil.fr, dostęp: 18/07/2026.
Od 12 września 2025 r. rozporządzenie europejskie („akt w sprawie danych”) zobowiązuje dostawców usług w chmurze do ułatwiania zmiany dostawcy: muszą oni stopniowo obniżać opłaty za wyjście i udostępniać Państwa dane w formacie, który można ponownie wykorzystać gdzie indziej. W praktyce, jeśli dostawca odpowiada Państwu, że „to niemożliwe”, albo żąda niewspółmiernych kwot za odzyskanie Państwa własnych danych, od tej daty nie jest to już normalne. Dokładny harmonogram całkowitego zniesienia tych opłat określa tekst rozporządzenia - należy go zweryfikować u prawnika lub dostawcy, jeśli naliczana jest jakakolwiek kwota.
Źródło: Komisja Europejska, „akt w sprawie danych” (Rozporządzenie (UE) 2023/2854, rozdział VI) - digital-strategy.ec.europa.eu, dostęp: 18/07/2026.
SecNumCloud to kwalifikacja przyznawana przez ANSSI (francuską agencję cyberbezpieczeństwa), która pozwala wskazać oferty chmurowe uznawane za godne zaufania do hostowania danych wrażliwych. Nie jest to obowiązek prawny dla przedsiębiorstwa prywatnego. Dotyczy ona przede wszystkim administracji i podmiotów zarządzających wrażliwymi systemami informatycznymi dla państwa. Dla MŚP jest to przydatny punkt odniesienia do porównywania ofert chmurowych między sobą, a nie norma, której przestrzegania wymaga prawo.
Źródło: ANSSI (cyber.gouv.fr), strona „Cloud” - cyber.gouv.fr, dostęp: 18/07/2026.
CNIL zaleca - choć nie jest to obowiązek szczegółowo określony liczbowo w przepisach - sporządzenie wykazu usług w chmurze faktycznie używanych w Państwa przedsiębiorstwie, sprawdzenie poziomu bezpieczeństwa dostawcy przed podpisaniem umowy, wyraźne zapisanie w umowie, kto za co odpowiada w zakresie bezpieczeństwa, oraz szyfrowanie danych wrażliwych. Zasada do zapamiętania: dostawca zabezpiecza swoją infrastrukturę, ale to Państwo odpowiadają za właściwą konfigurację dostępów i kont Państwa zespołów. Błędna konfiguracja po Państwa stronie nie jest objęta zabezpieczeniami dostawcy.
Źródło: CNIL, „Bezpieczeństwo chmury (przetwarzanie w chmurze)” - cnil.fr, dostęp: 18/07/2026.
Komisja Europejska poddała pod dyskusję projekt rozporządzenia, „akt w sprawie rozwoju chmury i sztucznej inteligencji”, mający wzmocnić europejskie zdolności w zakresie chmury i sztucznej inteligencji oraz ograniczyć zależność od wielkich dostawców spoza Europy. Ten tekst nie jest jeszcze w mocy: to propozycja w trakcie rozpatrywania, a nie reguła do stosowania już dziś. Przewiduje system poziomów zaufania do oceny suwerenności oferty chmurowej. Warto śledzić, bez wyciągania z niego natychmiastowych wniosków operacyjnych.
Źródło: Komisja Europejska, „akt w sprawie rozwoju chmury i sztucznej inteligencji” - digital-strategy.ec.europa.eu, strona zaktualizowana 03/06/2026, dostęp: 18/07/2026.
Ta sekcja daje Państwu jasne punkty odniesienia, a nie opinię prawną. W konkretnej sytuacji (umowa w toku, szczególny transfer danych) należy skonsultować się z działem prawnym lub adwokatem.
Pięć pytań, które zadają sobie szefowie MŚP, każde z odpowiedzią w 2 minuty i oficjalnym źródłem
Odpowiedzi te streszczają oficjalne strony skonsultowane w lipcu 2026 r. (Komisja Europejska, CNIL, ANSSI, Gaia-X). Nie stanowią opinii prawnej i nie zastępują analizy dostosowanej do Państwa sytuacji.
Prosimy o kontakt, aby otrzymać wycenę dostosowaną do zakresu Państwa potrzeb.