O Sovereign-Audit é uma auditoria estruturada que avalia a sua dependência dos fornecedores de serviços na nuvem (em particular do Microsoft 365) e a sua capacidade real de recuperar os seus dados e de mudar de prestador. Não certificamos uma «soberania»: medimos, documentamos e priorizamos.
A dependência digital raramente é medida, e o tema está a tornar-se regulamentar
O Regulamento (UE) 2023/2854 (Regulamento Dados) inclui um capítulo dedicado à mudança entre serviços de tratamento de dados, com obrigações de eliminação dos obstáculos técnicos e contratuais à mudança de prestador. Poucas organizações sabem hoje em que ponto se encontram nesta matéria.
Contas de emergência, federação de identidades, Copilot, cifragem nativa, aplicações Teams personalizadas: cada escolha técnica cria um pouco mais de dependência, sem que tenha sido tomada uma decisão explícita.
Os contratos de serviços na nuvem contêm cláusulas de recuperação dos dados e de saída, mas são assinados uma vez e nunca revistos à luz da utilização real do inquilino.
O Regulamento Dados, o SecNumCloud e o Gaia-X definem um vocabulário e exigências de portabilidade, mas traduzir isso num diagnóstico operacional sobre O SEU inquilino exige um método e um tempo de que as equipas de TI internas não dispõem.
Um método estruturado, apoiado num catálogo de 32 controlos de dependência e de portabilidade
Conversa com a administração ou o responsável de TI para delimitar o âmbito (inquilino M365, entidades, filiais, prestadores principais) e os desafios de dependência próprios da sua organização.
Exame da configuração do Microsoft 365 (identidade, cópia de segurança, residência dos dados, cifragem, aplicações) e das cláusulas contratuais de reversibilidade junto dos seus prestadores.
Cada controlo é avaliado segundo um estado claro (coberto, parcial, ausente, a verificar contratualmente), com uma correspondência com os domínios do Microsoft 365 em causa.
As conclusões são relacionadas, quando pertinente, com as exigências do Regulamento Dados europeu e com o vocabulário de referência do SecNumCloud/Gaia-X - sem nunca o apresentar como uma certificação obtida.
Entrega de um relatório claro à administração, com um plano de ação priorizado para reduzir os pontos de dependência mais críticos.
Um conjunto claro de documentos utilizáveis pela sua administração e pelas suas equipas de TI
Avaliação documentada dos 32 controlos do catálogo, com um estado por controlo.
Uma visão de conjunto de onde se concentra a sua dependência da Microsoft.
Um suporte para reler os seus contratos de serviços na nuvem existentes com as suas equipas jurídicas.
Correspondência entre as suas conclusões e o vocabulário dos referenciais de referência.
Recomendações classificadas por criticidade e facilidade de execução.
Documentos em formatos utilizáveis pelas suas equipas.
O Sovereign-Audit assenta em quadros públicos existentes - não emitimos qualquer certificação
Texto europeu que inclui um capítulo dedicado à mudança entre serviços de tratamento de dados (portabilidade e interoperabilidade na nuvem). O Sovereign-Audit apoia-se nesse capítulo para estruturar as perguntas de auditoria, sem apresentar um artigo preciso como uma obrigação já oponível à sua organização sem verificação jurídica.
Os controlos organizacionais relativos às relações com fornecedores e à continuidade da atividade estruturam uma parte da análise de dependência.
Referencial de qualificação voluntária da ANSSI. A sua cláusula de reversibilidade contratual serve aqui de grelha de leitura, mesmo que o Microsoft 365 padrão não esteja qualificado SecNumCloud.
Quadro europeu voluntário, não vinculativo, que fornece um vocabulário comum de soberania e de interoperabilidade entre os intervenientes na nuvem, utilizado aqui como grelha de leitura.
Cada missão é delimitada mediante orçamento, em função da dimensão e da complexidade do seu ambiente
PME, inquilino M365 único
PME/empresas de média capitalização, várias entidades ou filiais
Organizações com um plano de correção
Nenhuma tarifa é fixada antecipadamente nesta página
O âmbito exato (número de entidades, dimensão do inquilino, profundidade da análise contratual) é definido consigo antes de qualquer orçamento.
Não apenas os grandes grupos nem os setores «sensíveis»: a dependência de um fornecedor de serviços na nuvem diz respeito a empresas muito diferentes, por razões diferentes. Eis os critérios oficiais, sem confundir obrigação legal e boa prática.
O CLOUD Act norte-americano (lei federal, Public Law 115-141) aplica-se aos «prestadores de serviços de comunicações eletrónicas ou de serviços de computação remota» norte-americanos e permite que sejam obrigados a transmitir dados que se encontrem na sua «posse, custódia ou controlo» à justiça norte-americana, mesmo que esses dados estejam armazenados fora dos Estados Unidos (disposição codificada em 18 U.S.C. § 2713). Concretamente: uma PME francesa que aloje o seu correio eletrónico ou o seu ERP num fornecedor norte-americano, ou uma filial europeia de um grupo norte-americano, pode ser abrangida pelo simples facto desse vínculo de controlo, mesmo que os seus dados estejam alojados em França ou na UE. Texto oficial (Congress.gov)
O Regulamento Dados (Regulamento (UE) 2023/2854), aplicável desde 12 de setembro de 2025, é um texto transversal que «se aplica a todos os setores». O seu capítulo sobre a mudança de fornecedor de serviços na nuvem confere a qualquer cliente, seja qual for a sua dimensão, o direito de «mudar efetivamente de fornecedor de serviços de tratamento de dados» (portabilidade, interoperabilidade), sem isenção geral para as pequenas empresas. Comissão Europeia - Regulamento Dados
A Diretiva SRI 2 abrange 18 setores (energia, transportes, saúde, finanças, gestão da água, infraestruturas digitais, comunicações eletrónicas, plataformas digitais, gestão de resíduos, fabrico de produtos críticos, serviços postais, espaço, administração pública). Para esses setores, «em regra, as entidades de média e grande dimensão deverão tomar medidas adequadas de gestão dos riscos de cibersegurança» - o que inclui a gestão do risco associado aos seus fornecedores, entre os quais os seus fornecedores de serviços na nuvem. Comissão Europeia - SRI 2
A qualificação SecNumCloud da ANSSI «reconhece ofertas de nuvem de confiança» através de um Visto de segurança. Não é uma obrigação legal generalizada para as empresas privadas: é uma qualificação voluntária, recomendada para proteger dados sensíveis ou alojar sistemas de informação sensíveis na nuvem. ANSSI - cyber.gouv.fr
Em resumo, quatro perfis tipicamente abrangidos
1. Uma PME que aloja correio eletrónico, ERP ou CRM num hiperescalador norte-americano (ou numa filial
europeia de um grupo norte-americano): abrangida pelo CLOUD Act, independentemente da sua dimensão.
2. Qualquer empresa europeia, de qualquer dimensão, utilizadora de um serviço na nuvem
(SaaS, PaaS ou IaaS): abrangida desde 12/09/2025 pelos novos direitos de portabilidade do
Regulamento Dados.
3. Uma empresa de média ou grande dimensão de um dos 18 setores críticos da SRI 2 (energia, saúde,
transportes, finanças, infraestruturas digitais...): tem de gerir o risco associado aos fornecedores, incluindo os de serviços na
nuvem.
4. Um organismo público ou uma empresa que aloja dados sensíveis: alvo recomendado
(nem sempre obrigatório) da qualificação SecNumCloud.
Estes critérios provêm de textos e páginas oficiais citados acima. Não é um parecer jurídico: a sua situação exata depende do seu setor, da sua dimensão e dos seus contratos - a confirmar por um jurista, se necessário.
O que é uma verdadeira obrigação legal, o que é uma boa prática recomendada e o que vem a caminho - explicado de forma simples, com fontes oficiais.
Se a sua empresa faz alojar dados pessoais (trabalhadores, clientes) junto de um prestador de serviços na nuvem situado fora da União Europeia, é a sua empresa - e não o prestador - que continua juridicamente responsável perante o RGPD pela proteção desses dados. Tem de assegurar-se de que essa transferência assenta numa garantia reconhecida: ou o país é considerado seguro pela União Europeia («decisão de adequação»), ou assina com o prestador as cláusulas contratuais-tipo fornecidas pela Comissão Europeia. São documentos normalizados a integrar no seu contrato, não uma negociação que tenha de inventar sozinho.
Fonte: CNIL, quadro das transferências de dados para fora da UE previsto no RGPD (capítulo V, artigos 45.º e 46.º) - cnil.fr, consultado em 18/07/2026.
Desde 12 de setembro de 2025, um regulamento europeu (o «Regulamento Dados») obriga os fornecedores de serviços na nuvem a facilitar a mudança de prestador: têm de reduzir progressivamente os encargos de saída e de fornecer os seus dados num formato que possa reutilizar noutro local. Concretamente, se um fornecedor lhe responder que «não é possível» ou lhe faturar montantes desproporcionados para recuperar os seus próprios dados, isso deixou de ser normal a partir dessa data. O calendário preciso de supressão total desses encargos é fixado pelo texto regulamentar - a fazer verificar pelo seu jurista ou pelo seu prestador, caso lhe seja faturado algum montante.
Fonte: Comissão Europeia, «Regulamento Dados» (Regulamento (UE) 2023/2854, capítulo VI) - digital-strategy.ec.europa.eu, consultado em 18/07/2026.
O SecNumCloud é uma qualificação concedida pela ANSSI (a agência francesa de cibersegurança) que permite reconhecer as ofertas de nuvem consideradas dignas de confiança para alojar dados sensíveis. Não é uma obrigação legal para uma empresa privada. Impõe-se sobretudo às administrações e aos organismos que gerem sistemas de informação sensíveis para o Estado. Para uma PME, é uma referência útil para comparar ofertas de nuvem entre si, não uma norma a cumprir por força da lei.
Fonte: ANSSI (cyber.gouv.fr), página «Cloud» - cyber.gouv.fr, consultado em 18/07/2026.
A CNIL recomenda - sem que seja uma obrigação quantificada e pormenorizada na lei - que se listem os serviços na nuvem realmente utilizados na sua empresa, que se verifique o nível de segurança do fornecedor antes de assinar, que se escreva preto no branco no contrato quem faz o quê em matéria de segurança e que se cifrem os dados sensíveis. O princípio a reter: o fornecedor protege a sua infraestrutura, mas cabe-lhe a si configurar bem os acessos e as contas das suas equipas. Uma má configuração do seu lado não é coberta pela segurança do fornecedor.
Fonte: CNIL, «Segurança da nuvem (computação em nuvem)» - cnil.fr, consultado em 18/07/2026.
A Comissão Europeia pôs em discussão um projeto de regulamento, o «Cloud and AI Development Act», para reforçar as capacidades europeias de nuvem e de inteligência artificial e reduzir a dependência dos grandes fornecedores não europeus. Este texto ainda não está em vigor: é uma proposta em análise, não uma regra a aplicar hoje. Prevê um sistema de níveis de confiança para avaliar a soberania de uma oferta de nuvem. A acompanhar, sem tirar daí qualquer conclusão operacional imediata.
Fonte: Comissão Europeia, «Cloud and AI Development Act» - digital-strategy.ec.europa.eu, página atualizada em 03/06/2026, consultada em 18/07/2026.
Esta secção dá-lhe referências claras, não um parecer jurídico. Para uma situação concreta (contrato em curso, transferência de dados específica), peça a validação ao seu serviço jurídico ou a um advogado.
Cinco perguntas que os dirigentes de PME colocam, cada uma respondida em 2 minutos com a sua fonte oficial
Estas respostas resumem páginas oficiais consultadas em julho de 2026 (Comissão Europeia, CNIL, ANSSI, Gaia-X). Não constituem um parecer jurídico e não substituem uma análise dedicada à sua situação.
Contacte-nos para receber um orçamento adaptado ao seu âmbito.