Sovereign-Audit este un audit structurat care evaluează dependența dumneavoastră de furnizorii de cloud (în special Microsoft 365) și capacitatea reală de a vă recupera datele și de a schimba furnizorul. Nu certificăm o „suveranitate”: măsurăm, documentăm și stabilim priorități.
Dependența digitală este rareori măsurată, iar subiectul devine reglementar
Regulamentul (UE) 2023/2854 (Regulamentul privind datele) conține un capitol dedicat schimbării între serviciile de prelucrare a datelor, cu obligații de eliminare a obstacolelor tehnice și contractuale în calea schimbării furnizorului. Puține organizații știu astăzi unde se situează în această privință.
Conturi de acces de urgență, federarea identității, Copilot, criptare nativă, aplicații Teams personalizate: fiecare alegere tehnică creează puțin mai multă dependență, fără ca vreo decizie explicită să fi fost luată.
Contractele de cloud conțin clauze de recuperare a datelor și de ieșire, dar sunt semnate o singură dată și nu mai sunt revizuite în lumina utilizării reale a chiriașului.
Regulamentul privind datele, SecNumCloud și Gaia-X definesc un vocabular și cerințe de portabilitate, dar transpunerea lor într-un constat operațional pentru chiriașul DUMNEAVOASTRĂ cere o metodă și un timp pe care echipele IT interne nu le au.
O metodă structurată, sprijinită pe un catalog de 32 de controale de dependență și portabilitate
Discuție cu conducerea sau cu responsabilul IT pentru a stabili domeniul (chiriașul M365, entitățile, filialele, furnizorii-cheie) și mizele de dependență specifice organizației dumneavoastră.
Examinarea configurației Microsoft 365 (identitate, copii de rezervă, rezidența datelor, criptare, aplicații) și a clauzelor contractuale de reversibilitate ale furnizorilor dumneavoastră.
Fiecare control este evaluat conform unui statut clar (acoperit, parțial, absent, de verificat contractual), cu o corespondență către domeniile Microsoft 365 vizate.
Constatările sunt legate, când este pertinent, de cerințele Regulamentului european privind datele și de vocabularul de referință SecNumCloud/Gaia-X - fără a prezenta vreodată acest lucru drept o certificare obținută.
Predarea unui raport clar către conducere, cu un plan de acțiune prioritizat pentru a reduce cele mai critice puncte de dependență.
Un set clar de documente utilizabile de conducerea și de echipele dumneavoastră IT
Evaluare documentată a celor 32 de controale ale catalogului, cu un statut pentru fiecare control.
O imagine de ansamblu a locului în care se concentrează dependența dumneavoastră de Microsoft.
Un suport pentru a reciti contractele de cloud existente împreună cu echipele dumneavoastră juridice.
Corespondență între constatările dumneavoastră și vocabularul referențialelor de referință.
Recomandări clasificate după criticitate și ușurința punerii în aplicare.
Documente în formate utilizabile de echipele dumneavoastră.
Sovereign-Audit se sprijină pe cadre publice existente - nu eliberăm nicio certificare
Text european care conține un capitol dedicat schimbării între serviciile de prelucrare a datelor (portabilitate și interoperabilitate în cloud). Sovereign-Audit se sprijină pe acest capitol pentru a structura întrebările de audit, fără a prezenta un articol precis ca pe o obligație deja opozabilă organizației dumneavoastră în lipsa unei verificări juridice.
Controalele organizaționale privind relațiile cu furnizorii și continuitatea activității structurează o parte a analizei de dependență.
Referențial de calificare voluntară al ANSSI. Clauza sa de reversibilitate contractuală servește aici drept grilă de lectură, chiar dacă Microsoft 365 standard nu este calificat SecNumCloud.
Cadru european voluntar, neconstrângător, care oferă un vocabular comun de suveranitate și interoperabilitate între actorii din cloud, utilizat aici drept grilă de lectură.
Fiecare misiune este stabilită pe bază de ofertă, în funcție de dimensiunea și complexitatea mediului dumneavoastră
IMM, un singur chiriaș M365
IMM/întreprinderi de talie intermediară, mai multe entități sau filiale
Organizații cu un plan de remediere
Pe această pagină nu este stabilit în avans niciun tarif
Domeniul exact (numărul de entități, dimensiunea chiriașului, profunzimea analizei contractuale) este stabilit împreună cu dumneavoastră înainte de orice ofertă.
Nu doar marile grupuri sau sectoarele „sensibile”: dependența de un furnizor de cloud privește întreprinderi foarte diferite, din motive diferite. Iată criteriile oficiale, fără a confunda obligația legală cu buna practică.
Legea federală americană CLOUD Act (Public Law 115-141) se aplică „furnizorilor de servicii de comunicații electronice sau de servicii de calcul la distanță” americani și permite ca aceștia să fie constrânși să transmită justiției americane datele aflate în „posesia, custodia sau controlul” lor, chiar dacă aceste date sunt stocate în afara Statelor Unite (dispoziție codificată la 18 U.S.C. § 2713). Concret: o IMM franceză care își găzduiește mesageria sau ERP-ul la un furnizor american, sau o filială europeană a unui grup american, poate fi vizată prin simplul fapt al acestei legături de control, chiar dacă datele sale sunt găzduite în Franța sau în UE. Textul oficial (Congress.gov)
Regulamentul privind datele (Regulamentul (UE) 2023/2854), aplicabil din 12 septembrie 2025, este un text transversal care „se aplică tuturor sectoarelor”. Capitolul său privind schimbarea furnizorului de cloud conferă oricărui client, indiferent de dimensiune, dreptul de a „schimba efectiv furnizorul de servicii de prelucrare a datelor” (portabilitate, interoperabilitate), fără o exceptare generală pentru întreprinderile mici. Comisia Europeană - Regulamentul privind datele
Directiva NIS2 acoperă 18 sectoare (energie, transport, sănătate, finanțe, gestionarea apei, infrastructuri digitale, comunicații electronice, platforme digitale, gestionarea deșeurilor, fabricarea de produse critice, servicii poștale, spațiu, administrație publică). Pentru aceste sectoare, „ca regulă generală, entitățile mijlocii și mari vor trebui să ia măsuri adecvate de gestionare a riscurilor de securitate cibernetică” - ceea ce include gestionarea riscului legat de furnizorii lor, inclusiv de furnizorii lor de cloud. Comisia Europeană - NIS2
Calificarea SecNumCloud a ANSSI „recunoaște ofertele de cloud de încredere” prin intermediul unei vize de securitate. Nu este o obligație legală generalizată pentru întreprinderile private: este o calificare voluntară, recomandată pentru protejarea datelor sensibile sau pentru găzduirea în cloud a sistemelor informatice sensibile. ANSSI - cyber.gouv.fr
Pe scurt, patru profiluri vizate de regulă
1. O IMM care își găzduiește mesageria, ERP-ul sau CRM-ul la un furnizor american de cloud de foarte mare anvergură (sau o filială europeană a unui grup american): vizată de CLOUD Act, indiferent de dimensiune.
2. Orice întreprindere europeană, de orice dimensiune, utilizatoare a unui serviciu de cloud (SaaS, PaaS sau IaaS): vizată din 12/09/2025 de noile drepturi de portabilitate din Regulamentul privind datele.
3. O întreprindere mijlocie sau mare dintr-unul dintre cele 18 sectoare critice NIS2 (energie, sănătate, transport, finanțe, infrastructuri digitale...): trebuie să gestioneze riscul legat de furnizori, inclusiv de cloud.
4. Un organism public sau o întreprindere care găzduiește date sensibile: țintă recomandată (nu neapărat obligatorie) a calificării SecNumCloud.
Aceste criterii provin din texte și pagini oficiale citate mai sus. Nu este un aviz juridic: situația dumneavoastră exactă depinde de sectorul, de dimensiunea și de contractele dumneavoastră - de confirmat cu un jurist, dacă este nevoie.
Ce este o veritabilă obligație legală, ce este o bună practică recomandată și ce urmează să apară în curând - explicat simplu, cu surse oficiale.
Dacă întreprinderea dumneavoastră găzduiește date cu caracter personal (ale salariaților, ale clienților) la un furnizor de cloud situat în afara Uniunii Europene, întreprinderea dumneavoastră - nu furnizorul - rămâne răspunzătoare juridic, în fața RGPD, pentru protecția acestor date. Trebuie să vă asigurați că acest transfer se bazează pe o garanție recunoscută: fie țara este considerată sigură de Uniunea Europeană („decizie privind caracterul adecvat”), fie semnați cu furnizorul clauzele contractuale standard furnizate de Comisia Europeană. Sunt documente standard de integrat în contractul dumneavoastră, nu o negociere pe care să o inventați singur.
Sursa: CNIL, cadrul transferurilor de date în afara UE prevăzut de RGPD (capitolul V, articolele 45 și 46) - cnil.fr, consultat la 18/07/2026.
Din 12 septembrie 2025, un regulament european („Regulamentul privind datele”) obligă furnizorii de servicii de cloud să faciliteze schimbarea furnizorului: ei trebuie să reducă treptat taxele de ieșire și să vă furnizeze datele într-un format pe care îl puteți reutiliza în altă parte. Concret, dacă un furnizor vă răspunde că „nu este posibil” sau vă facturează sume disproporționate pentru a vă recupera propriile date, acest lucru nu mai este normal de la această dată. Calendarul precis de eliminare totală a acestor taxe este stabilit de textul reglementar - de verificat cu juristul sau cu furnizorul dumneavoastră dacă vi se facturează o sumă.
Sursa: Comisia Europeană, „Regulamentul privind datele” (Regulamentul (UE) 2023/2854, capitolul VI) - digital-strategy.ec.europa.eu, consultat la 18/07/2026.
SecNumCloud este o calificare eliberată de ANSSI (agenția franceză de securitate cibernetică) care permite recunoașterea ofertelor de cloud considerate demne de încredere pentru găzduirea datelor sensibile. Nu este o obligație legală pentru o întreprindere privată. Se impune mai ales administrațiilor și organismelor care gestionează sisteme informatice sensibile pentru stat. Pentru o IMM, este un reper util pentru a compara ofertele de cloud între ele, nu o normă de respectat prin lege.
Sursa: ANSSI (cyber.gouv.fr), pagina „Cloud” - cyber.gouv.fr, consultat la 18/07/2026.
CNIL recomandă - fără ca aceasta să fie o obligație cifrată și detaliată în lege - să listați serviciile de cloud utilizate efectiv în întreprinderea dumneavoastră, să verificați nivelul de securitate al furnizorului înainte de semnare, să scrieți negru pe alb în contract cine ce face în materie de securitate și să criptați datele sensibile. Principiul de reținut: furnizorul își securizează infrastructura, dar vă revine dumneavoastră să configurați corect accesurile și conturile echipelor. O configurare greșită din partea dumneavoastră nu este acoperită de securitatea furnizorului.
Sursa: CNIL, „Securitatea cloudului (informatică în nor)” - cnil.fr, consultat la 18/07/2026.
Comisia Europeană a pus în discuție un proiect de regulament, „Actul privind dezvoltarea cloudului și a inteligenței artificiale”, pentru a consolida capacitățile europene de cloud și de inteligență artificială și a reduce dependența de marii furnizori din afara Europei. Acest text nu este încă în vigoare: este o propunere aflată în curs de examinare, nu o regulă de aplicat astăzi. Prevede un sistem de niveluri de încredere pentru a evalua suveranitatea unei oferte de cloud. De urmărit, fără a trage de aici vreo concluzie operațională imediată.
Sursa: Comisia Europeană, „Actul privind dezvoltarea cloudului și a inteligenței artificiale” - digital-strategy.ec.europa.eu, pagină actualizată la 03/06/2026, consultată la 18/07/2026.
Această secțiune vă oferă repere clare, nu un aviz juridic. Pentru o situație precisă (contract în curs, transfer de date specific), cereți validarea serviciului dumneavoastră juridic sau a unui avocat.
Cinci întrebări pe care și le pun conducătorii de IMM-uri, fiecare cu răspuns în 2 minute și cu sursa sa oficială
Aceste răspunsuri rezumă pagini oficiale consultate în iulie 2026 (Comisia Europeană, CNIL, ANSSI, Gaia-X). Nu constituie un aviz juridic și nu înlocuiesc o analiză dedicată situației dumneavoastră.
Contactați-ne pentru a primi o ofertă adaptată domeniului dumneavoastră.