Sovereign-Audit je štruktúrovaný audit, ktorý posudzuje vašu závislosť od poskytovateľov cloudu (najmä Microsoft 365) a vašu skutočnú schopnosť získať späť svoje údaje a prejsť k inému poskytovateľovi. Nepotvrdzujeme „suverenitu“: meriame, dokumentujeme a určujeme priority.
Digitálna závislosť sa meria len zriedka a téma sa stáva regulačnou
Nariadenie (EÚ) 2023/2854 (akt o údajoch) obsahuje osobitnú kapitolu o prechode medzi službami spracúvania údajov s povinnosťami odstraňovať technické a zmluvné prekážky prechodu k inému poskytovateľovi. Len málo organizácií dnes vie, v akej situácii sa v tejto veci nachádza.
Núdzové účty, federácia identít, Copilot, natívne šifrovanie, vlastné aplikácie Teams: každé technické rozhodnutie vytvára o niečo väčšiu závislosť, bez toho, aby sa prijalo nejaké výslovné rozhodnutie.
Zmluvy o cloudových službách obsahujú ustanovenia o vrátení údajov a o ukončení spolupráce, no podpisujú sa raz a nikdy sa nepreskúmajú vo svetle skutočného využívania tenantu.
Akt o údajoch, SecNumCloud a Gaia-X vymedzujú slovník a požiadavky na prenosnosť, no preložiť ich do praktického zistenia o VAŠOM tenante vyžaduje metódu a čas, ktoré interné tímy IT nemajú.
Štruktúrovaná metóda opretá o katalóg 32 kontrol závislosti a prenosnosti
Rozhovor s vedením alebo zodpovedným pracovníkom IT na vymedzenie rozsahu (tenant M365, subjekty, dcérske spoločnosti, kľúčoví poskytovatelia) a otázok závislosti špecifických pre vašu organizáciu.
Preskúmanie konfigurácie Microsoft 365 (identita, zálohovanie, rezidencia údajov, šifrovanie, aplikácie) a zmluvných ustanovení o reverzibilite u vašich poskytovateľov.
Každá kontrola sa hodnotí podľa jasného stavu (pokrytá, čiastočná, chýbajúca, na zmluvné overenie) so vzťahom k dotknutým oblastiam Microsoft 365.
Zistenia sa, ak je to relevantné, prepájajú s požiadavkami európskeho aktu o údajoch a s referenčným slovníkom SecNumCloud/Gaia-X - nikdy sa to neprezentuje ako získaná certifikácia.
Odovzdanie jasnej správy vedeniu s akčným plánom s určenými prioritami na zníženie najkritickejších bodov závislosti.
Jasný súbor dokumentov využiteľných vaším vedením a vašimi tímami IT
Zdokumentované vyhodnotenie 32 kontrol katalógu so stavom pri každej kontrole.
Celkový pohľad na to, kde sa sústreďuje vaša závislosť od spoločnosti Microsoft.
Podklad na opätovné preskúmanie vašich existujúcich zmlúv o cloudových službách spolu s právnymi tímami.
Vzájomné priradenie vašich zistení a slovníka referenčných rámcov.
Odporúčania zoradené podľa kritickosti a jednoduchosti realizácie.
Dokumenty vo formátoch, ktoré vaše tímy dokážu využiť.
Sovereign-Audit vychádza z existujúcich verejných rámcov - nevydávame žiadnu certifikáciu
Európsky predpis s osobitnou kapitolou o prechode medzi službami spracúvania údajov (prenosnosť a interoperabilita cloudu). Sovereign-Audit sa o túto kapitolu opiera pri štruktúrovaní auditných otázok, bez toho, aby konkrétny článok prezentoval ako povinnosť, ktorá sa už voči vašej organizácii dá uplatniť bez právneho overenia.
Organizačné opatrenia týkajúce sa vzťahov s dodávateľmi a kontinuity činností štruktúrujú časť analýzy závislosti.
Dobrovoľný kvalifikačný rámec agentúry ANSSI. Jeho zmluvné ustanovenie o reverzibilite tu slúži ako pomôcka na čítanie, hoci štandardný Microsoft 365 nie je kvalifikovaný podľa SecNumCloud.
Dobrovoľný, nezáväzný európsky rámec, ktorý poskytuje spoločný slovník suverenity a interoperability medzi aktérmi v oblasti cloudu a ktorý sa tu používa ako pomôcka na čítanie.
Každá zákazka sa vymedzuje na základe ponuky podľa veľkosti a zložitosti vášho prostredia
Malé a stredné podniky, jediný tenant M365
Malé a stredné podniky a podniky strednej veľkosti, viacero subjektov alebo dcérskych spoločností
Organizácie s plánom nápravy
Na tejto stránke nie je vopred stanovená žiadna cena
Presný rozsah (počet subjektov, veľkosť tenantu, hĺbka analýzy zmlúv) sa s vami určuje pred každou ponukou.
Nielen veľkých skupín ani „citlivých“ odvetví: závislosť od poskytovateľa cloudu sa týka veľmi rôznych podnikov, z rôznych dôvodov. Tu sú oficiálne kritériá, bez zamieňania zákonnej povinnosti a osvedčeného postupu.
Americký zákon CLOUD Act (federálny zákon, Public Law 115-141) sa vzťahuje na amerických „poskytovateľov služieb elektronických komunikácií alebo služieb vzdialeného spracúvania“ a umožňuje, aby boli nútení odovzdať americkej justícii údaje „vo svojom vlastníctve, úschove alebo pod svojou kontrolou“, aj keď sú tieto údaje uložené mimo Spojených štátov (ustanovenie kodifikované v 18 U.S.C. § 2713). Konkrétne: francúzsky malý alebo stredný podnik, ktorý hostuje svoju poštu alebo svoj ERP u amerického poskytovateľa, alebo európska dcérska spoločnosť americkej skupiny sa ho môže týkať už len na základe tohto vzťahu kontroly, aj keď sú jeho údaje hostované vo Francúzsku alebo v EÚ. Oficiálne znenie (Congress.gov)
Akt o údajoch (nariadenie (EÚ) 2023/2854), uplatniteľný od 12. septembra 2025, je prierezový predpis, ktorý „sa vzťahuje na všetky odvetvia“. Jeho kapitola o prechode k inému poskytovateľovi cloudu dáva každému zákazníkovi, bez ohľadu na jeho veľkosť, právo „účinne prejsť k inému poskytovateľovi služieb spracúvania údajov“ (prenosnosť, interoperabilita), bez všeobecnej výnimky pre malé podniky. Európska komisia - akt o údajoch
Smernica NIS2 pokrýva 18 odvetví (energetika, doprava, zdravotníctvo, financie, vodné hospodárstvo, digitálna infraštruktúra, elektronické komunikácie, digitálne platformy, nakladanie s odpadom, výroba kritických výrobkov, poštové služby, vesmír, verejná správa). Pre tieto odvetvia „stredné a veľké subjekty budú spravidla musieť prijať primerané opatrenia na riadenie kybernetických bezpečnostných rizík“ - čo zahŕňa riadenie rizika súvisiaceho s ich dodávateľmi, vrátane ich poskytovateľov cloudu. Európska komisia - NIS2
Kvalifikácia SecNumCloud agentúry ANSSI „uznáva dôveryhodné cloudové ponuky“ prostredníctvom bezpečnostného víza. Nie je to všeobecná zákonná povinnosť pre súkromné podniky: je to dobrovoľná kvalifikácia, odporúčaná na ochranu citlivých údajov alebo na hostovanie citlivých informačných systémov v cloude. ANSSI - cyber.gouv.fr
Stručne, štyri typické dotknuté profily
1. Malý alebo stredný podnik, ktorý hostuje poštu, ERP alebo CRM u amerického hyperskálera
(alebo európska dcérska spoločnosť americkej skupiny): týka sa ho zákon CLOUD Act bez ohľadu
na veľkosť.
2. Akýkoľvek európsky podnik akejkoľvek veľkosti, ktorý používa cloudovú službu (SaaS, PaaS
alebo IaaS): od 12. 9. 2025 sa ho týkajú nové práva na prenosnosť podľa aktu o údajoch.
3. Stredný alebo veľký podnik z jedného z 18 kritických odvetví NIS2 (energetika, zdravotníctvo,
doprava, financie, digitálna infraštruktúra...): musí riadiť riziko súvisiace s dodávateľmi,
vrátane cloudu.
4. Verejný orgán alebo podnik, ktorý hostuje citlivé údaje: odporúčaný (nie nevyhnutne
povinný) cieľ kvalifikácie SecNumCloud.
Tieto kritériá pochádzajú z oficiálnych predpisov a stránok uvedených vyššie. Nejde o právne stanovisko: vaša presná situácia závisí od vášho odvetvia, veľkosti a zmlúv - v prípade potreby ju nechajte potvrdiť právnikom.
Čo je skutočná zákonná povinnosť, čo je odporúčaný osvedčený postup a čo sa čoskoro pripravuje - vysvetlené jednoducho, s oficiálnymi zdrojmi.
Ak vaša spoločnosť nechá hostovať osobné údaje (zamestnancov, zákazníkov) u poskytovateľa cloudu so sídlom mimo Európskej únie, je to vaša spoločnosť - nie poskytovateľ - kto zostáva právne zodpovedný podľa GDPR za ochranu týchto údajov. Musíte sa uistiť, že tento prenos spočíva na uznanej záruke: buď Európska únia považuje danú krajinu za bezpečnú („rozhodnutie o primeranosti“), alebo s poskytovateľom podpíšete štandardné zmluvné doložky, ktoré poskytuje Európska komisia. Ide o štandardné dokumenty, ktoré treba zapracovať do zmluvy, nie o rokovanie, ktoré by ste si mali vymyslieť sami.
Zdroj: CNIL, rámec prenosov údajov mimo EÚ podľa GDPR (kapitola V, články 45 a 46) - cnil.fr, konzultované 18. 7. 2026.
Od 12. septembra 2025 európske nariadenie („akt o údajoch“) ukladá poskytovateľom cloudových služieb povinnosť uľahčiť prechod k inému poskytovateľovi: musia postupne znižovať poplatky za ukončenie a poskytnúť vaše údaje vo formáte, ktorý môžete znova použiť inde. Konkrétne, ak vám poskytovateľ odpovie, že „to nie je možné“, alebo vám za vrátenie vašich vlastných údajov účtuje neprimerané sumy, od tohto dátumu to už nie je normálne. Presný kalendár úplného zrušenia týchto poplatkov stanovuje regulačný text - nechajte ho overiť svojím právnikom alebo poskytovateľom, ak vám je nejaká suma účtovaná.
Zdroj: Európska komisia, „akt o údajoch“ (nariadenie (EÚ) 2023/2854, kapitola VI) - digital-strategy.ec.europa.eu, konzultované 18. 7. 2026.
SecNumCloud je kvalifikácia, ktorú udeľuje ANSSI (francúzska agentúra pre kybernetickú bezpečnosť) a ktorá umožňuje uznať cloudové ponuky považované za dôveryhodné na hostovanie citlivých údajov. Pre súkromný podnik nejde o zákonnú povinnosť. Vzťahuje sa predovšetkým na správne orgány a organizácie, ktoré spravujú citlivé informačné systémy pre štát. Pre malý a stredný podnik je to užitočný orientačný bod na vzájomné porovnávanie cloudových ponúk, nie norma, ktorú treba dodržiavať zo zákona.
Zdroj: ANSSI (cyber.gouv.fr), stránka „Cloud“ - cyber.gouv.fr, konzultované 18. 7. 2026.
CNIL odporúča - bez toho, aby to bola číselne vyjadrená a podrobne zakotvená povinnosť v zákone - urobiť zoznam cloudových služieb, ktoré sa vo vašej spoločnosti skutočne používajú, pred podpisom overiť úroveň bezpečnosti poskytovateľa, čierne na bielom zapísať do zmluvy, kto čo robí v oblasti bezpečnosti, a šifrovať citlivé údaje. Zásada, ktorú si treba zapamätať: poskytovateľ zabezpečuje svoju infraštruktúru, ale je na vás, aby ste správne nakonfigurovali prístupy a účty svojich tímov. Zlá konfigurácia na vašej strane nie je krytá bezpečnosťou poskytovateľa.
Zdroj: CNIL, „Sécurité du cloud (informatique en nuage)“ - cnil.fr, konzultované 18. 7. 2026.
Európska komisia dala do diskusie návrh nariadenia, „akt o rozvoji cloudu a umelej inteligencie“, ktorý má posilniť európske kapacity v oblasti cloudu a umelej inteligencie a znížiť závislosť od veľkých mimoeurópskych poskytovateľov. Tento text zatiaľ neplatí: je to návrh, ktorý sa posudzuje, nie pravidlo, ktoré treba dnes uplatňovať. Počíta so systémom úrovní dôvery na hodnotenie suverenity cloudovej ponuky. Treba ho sledovať, bez vyvodzovania okamžitých praktických záverov.
Zdroj: Európska komisia, „akt o rozvoji cloudu a umelej inteligencie“ - digital-strategy.ec.europa.eu, stránka aktualizovaná 3. 6. 2026, konzultovaná 18. 7. 2026.
Táto časť vám dáva jasné orientačné body, nie právne stanovisko. Pre konkrétnu situáciu (prebiehajúca zmluva, osobitný prenos údajov) si ju nechajte overiť vaším právnym oddelením alebo advokátom.
Päť otázok, ktoré si kladú vedúci pracovníci malých a stredných podnikov, každá zodpovedaná za 2 minúty s oficiálnym zdrojom
Tieto odpovede zhrňujú oficiálne stránky konzultované v júli 2026 (Európska komisia, CNIL, ANSSI, Gaia-X). Nie sú právnym stanoviskom a nenahrádzajú analýzu určenú pre vašu situáciu.
Kontaktujte nás a dostanete cenovú ponuku prispôsobenú vášmu rozsahu.