Sovereign-Audit je strukturirana revizija, ki ocenjuje vašo odvisnost od ponudnikov storitev v oblaku (zlasti Microsoft 365) in vašo dejansko zmožnost, da prevzamete svoje podatke in zamenjate ponudnika. »Suverenosti« ne potrjujemo: merimo, dokumentiramo in določamo prednostne naloge.
Digitalna odvisnost se le redko meri, tema pa postaja regulativna
Uredba (EU) 2023/2854 (Akt o podatkih) vsebuje poglavje, posvečeno preklopu med storitvami za obdelavo podatkov, z obveznostmi odprave tehničnih in pogodbenih ovir pri zamenjavi ponudnika. Le malo organizacij danes ve, kje so glede tega.
Računi za nujni dostop, federacija identitet, Copilot, izvorno šifriranje, aplikacije Teams po meri: vsaka tehnična izbira ustvari še malo več odvisnosti, ne da bi bila sprejeta izrecna odločitev.
Pogodbe za storitve v oblaku vsebujejo klavzule o vrnitvi podatkov in izstopu, vendar se podpišejo enkrat in nikoli več ne pregledajo glede na dejansko uporabo najemnika.
Akt o podatkih, SecNumCloud in Gaia-X opredeljujejo besedišče in zahteve glede prenosljivosti, vendar prevod v operativno ugotovitev o VAŠEM najemniku zahteva metodo in čas, ki ju notranje skupine IT nimajo.
Strukturirana metoda, ki temelji na katalogu 32 kontrol odvisnosti in prenosljivosti
Pogovor z upravo ali vodjo IT za opredelitev obsega (najemnik M365, subjekti, hčerinske družbe, ključni ponudniki) in vprašanj odvisnosti, značilnih za vašo organizacijo.
Pregled konfiguracije Microsoft 365 (identiteta, varnostno kopiranje, prebivališče podatkov, šifriranje, aplikacije) in pogodbenih klavzul o reverzibilnosti pri vaših ponudnikih.
Vsaka kontrola je ocenjena z jasnim statusom (pokrita, delno pokrita, odsotna, za pogodbeno preverjanje), z ujemanjem z zadevnimi področji Microsoft 365.
Ugotovitve se, kadar je to smiselno, povežejo z zahtevami evropskega akta o podatkih in z referenčnim besediščem SecNumCloud/Gaia-X - tega pa nikoli ne predstavljamo kot pridobljeno certificiranje.
Predaja jasnega poročila upravi, z akcijskim načrtom s prednostnim vrstnim redom za zmanjšanje najbolj kritičnih točk odvisnosti.
Jasen nabor dokumentov, uporabnih za vašo upravo in skupine IT
Dokumentirana ocena 32 kontrol iz kataloga, s statusom za vsako kontrolo.
Celovit pogled na to, kje je skoncentrirana vaša odvisnost od Microsofta.
Podpora za pregled vaših obstoječih pogodb za storitve v oblaku skupaj s pravnimi službami.
Ujemanje med vašimi ugotovitvami in besediščem referenčnih okvirov.
Priporočila, razvrščena po kritičnosti in lahkoti izvedbe.
Dokumenti v oblikah, ki jih lahko uporabljajo vaše skupine.
Sovereign-Audit temelji na obstoječih javnih okvirih - ne izdajamo nobenega certifikata
Evropsko besedilo s poglavjem, posvečenim preklopu med storitvami za obdelavo podatkov (prenosljivost in interoperabilnost v oblaku). Sovereign-Audit se na to poglavje opira pri strukturiranju revizijskih vprašanj, ne da bi posamezen člen predstavil kot obveznost, ki bi že veljala za vašo organizacijo brez pravnega preverjanja.
Organizacijske kontrole, povezane z odnosi z dobavitelji in neprekinjenostjo poslovanja, strukturirajo del analize odvisnosti.
Prostovoljni kvalifikacijski okvir agencije ANSSI. Njegova pogodbena klavzula o reverzibilnosti je tu uporabljena kot bralna mreža, čeprav standardni Microsoft 365 nima kvalifikacije SecNumCloud.
Prostovoljen, nezavezujoč evropski okvir, ki zagotavlja skupno besedišče suverenosti in interoperabilnosti med akterji v oblaku in je tu uporabljen kot bralna mreža.
Vsaka naloga se opredeli s ponudbo, glede na velikost in kompleksnost vašega okolja
MSP, en sam najemnik M365
MSP/srednja podjetja, več subjektov ali hčerinskih družb
Organizacije z načrtom odprave pomanjkljivosti
Na tej strani ni vnaprej določena nobena cena
Natančen obseg (število subjektov, velikost najemnika, globina pogodbene analize) se z vami opredeli pred vsako ponudbo.
Ne le velikih skupin ali »občutljivih« sektorjev: odvisnost od ponudnika storitev v oblaku zadeva zelo različna podjetja, iz različnih razlogov. Tu so uradna merila, brez mešanja pravne obveznosti in dobre prakse.
Ameriški CLOUD Act (zvezni zakon, Public Law 115-141) velja za ameriške »ponudnike storitev elektronskih komunikacij ali storitev računalništva na daljavo« in omogoča, da jih ameriško sodstvo prisili k posredovanju podatkov v njihovi »posesti, hrambi ali nadzoru«, tudi če so ti podatki shranjeni zunaj Združenih držav (določba, kodificirana v 18 U.S.C. § 2713). Konkretno: francosko MSP, ki svojo pošto ali ERP gosti pri ameriškem ponudniku, ali evropska hčerinska družba ameriške skupine je lahko prizadeta že zaradi te povezave nadzora, tudi če so njeni podatki gostovani v Franciji ali v EU. Uradno besedilo (Congress.gov)
Akt o podatkih (Uredba (EU) 2023/2854), ki se uporablja od 12. septembra 2025, je medsektorsko besedilo, ki »se uporablja za vse sektorje«. Njegovo poglavje o preklopu med ponudniki storitev v oblaku vsaki stranki, ne glede na velikost, daje pravico, da »učinkovito zamenja ponudnika storitev za obdelavo podatkov« (prenosljivost, interoperabilnost), brez splošne izjeme za majhna podjetja. Evropska komisija - Akt o podatkih
Direktiva NIS2 zajema 18 sektorjev (energetika, promet, zdravje, finance, upravljanje voda, digitalne infrastrukture, elektronske komunikacije, digitalne platforme, ravnanje z odpadki, proizvodnja kritičnih proizvodov, poštne storitve, vesolje, javna uprava). Za te sektorje bodo morali »praviloma srednje veliki in veliki subjekti sprejeti ustrezne ukrepe za obvladovanje kibernetskih varnostnih tveganj« - kar vključuje obvladovanje tveganja, povezanega z njihovimi dobavitelji, vključno z njihovimi ponudniki storitev v oblaku. Evropska komisija - NIS2
Kvalifikacija SecNumCloud agencije ANSSI »priznava zaupanja vredne ponudbe v oblaku« z varnostnim vizumom. To ni splošna pravna obveznost za zasebna podjetja: gre za prostovoljno kvalifikacijo, priporočeno za zaščito občutljivih podatkov ali za gostovanje občutljivih informacijskih sistemov v oblaku. ANSSI - cyber.gouv.fr
Povzetek: štirje profili, ki jih običajno zadeva
1. MSP, ki svojo pošto, ERP ali CRM gosti pri ameriškem hiperskalarju (ali evropska
hčerinska družba ameriške skupine): prizadet zaradi zakona CLOUD Act, ne glede na velikost.
2. Vsako evropsko podjetje, ne glede na velikost, ki uporablja storitev v oblaku
(SaaS, PaaS ali IaaS): od 12. 9. 2025 zadevajo nove pravice do prenosljivosti iz
Akta o podatkih.
3. Srednje veliko ali veliko podjetje v enem od 18 kritičnih sektorjev NIS2 (energetika,
zdravje, promet, finance, digitalne infrastrukture ...): mora obvladovati tveganje
dobavitelja, vključno z oblakom.
4. Javni organ ali podjetje, ki gosti občutljive podatke: priporočen cilj (ni nujno
obvezen) kvalifikacije SecNumCloud.
Ta merila izhajajo iz zgoraj navedenih uradnih besedil in strani. To ni pravno mnenje: vaš natančen položaj je odvisen od vašega sektorja, velikosti in pogodb - po potrebi ga dajte potrditi pravniku.
Kaj je prava pravna obveznost, kaj je priporočena dobra praksa in kaj prihaja kmalu - preprosto razloženo, z uradnimi viri.
Če vaše podjetje osebne podatke (zaposlenih, strank) gosti pri ponudniku storitev v oblaku s sedežem zunaj Evropske unije, je pravno odgovorno za varstvo teh podatkov po GDPR vaše podjetje - ne ponudnik. Prepričati se morate, da prenos temelji na priznanem jamstvu: ali Evropska unija meni, da je država varna (»odločitev o ustreznosti«), ali s ponudnikom podpišete standardne pogodbene klavzule, ki jih zagotavlja Evropska komisija. To so standardni dokumenti, ki jih je treba vključiti v pogodbo, ne pogajanje, ki bi ga morali izumljati sami.
Vir: CNIL, okvir prenosov podatkov zunaj EU po GDPR (poglavje V, člena 45 in 46) - cnil.fr, pridobljeno 18/07/2026.
Od 12. septembra 2025 evropska uredba (»Akt o podatkih«) ponudnikom storitev v oblaku nalaga, da olajšajo zamenjavo ponudnika: morajo postopno zmanjševati stroške izstopa in zagotoviti vaše podatke v obliki, ki jo lahko ponovno uporabite drugje. Konkretno: če vam ponudnik odgovori, da »to ni mogoče«, ali vam zaračuna nesorazmerne zneske za vrnitev vaših lastnih podatkov, od tega datuma to ni več običajno. Natančen časovni razpored popolne odprave teh stroškov določa regulativno besedilo - naj ga preveri vaš pravnik ali ponudnik, če vam je zaračunan znesek.
Vir: Evropska komisija, »Akt o podatkih« (Uredba (EU) 2023/2854, poglavje VI) - digital-strategy.ec.europa.eu, pridobljeno 18/07/2026.
SecNumCloud je kvalifikacija, ki jo podeljuje ANSSI (francoska agencija za kibernetsko varnost) in omogoča prepoznavanje ponudb v oblaku, ki veljajo za vredne zaupanja za gostovanje občutljivih podatkov. To ni pravna obveznost za zasebno podjetje. Nalaga se predvsem upravam in organom, ki za državo upravljajo občutljive informacijske sisteme. Za MSP je koristno izhodišče za medsebojno primerjavo ponudb v oblaku, ne standard, ki bi ga zakon zahteval.
Vir: ANSSI (cyber.gouv.fr), stran »Oblak« - cyber.gouv.fr, pridobljeno 18/07/2026.
CNIL priporoča - ne da bi šlo za številčno opredeljeno in podrobno obveznost v zakonu - da popišete storitve v oblaku, ki jih v podjetju dejansko uporabljate, preverite raven varnosti ponudnika pred podpisom, v pogodbi črno na belem zapišete, kdo kaj počne glede varnosti, in šifrirate občutljive podatke. Načelo, ki si ga velja zapomniti: ponudnik zavaruje svojo infrastrukturo, vi pa morate pravilno nastaviti dostope in račune svojih skupin. Napačna konfiguracija na vaši strani ni zajeta z varnostjo ponudnika.
Vir: CNIL, »Varnost v oblaku (računalništvo v oblaku)« - cnil.fr, pridobljeno 18/07/2026.
Evropska komisija je dala v razpravo predlog uredbe, »Akt o razvoju oblaka in umetne inteligence«, za krepitev evropskih zmogljivosti na področju oblaka in umetne inteligence ter zmanjšanje odvisnosti od velikih neevropskih ponudnikov. To besedilo še ne velja: gre za predlog v obravnavi, ne za pravilo, ki bi ga bilo treba uporabljati danes. Predvideva sistem ravni zaupanja za ocenjevanje suverenosti ponudbe v oblaku. Za spremljanje, brez takojšnjih operativnih zaključkov.
Vir: Evropska komisija, »Akt o razvoju oblaka in umetne inteligence« - digital-strategy.ec.europa.eu, stran posodobljena 03/06/2026, pridobljena 18/07/2026.
Ta razdelek vam daje jasna izhodišča, ne pravnega mnenja. Za natančen položaj (pogodba v teku, poseben prenos podatkov) naj to potrdi vaša pravna služba ali odvetnik.
Pet vprašanj, ki si jih zastavljajo vodje MSP, vsako z odgovorom v 2 minutah in z uradnim virom
Ti odgovori povzemajo uradne strani, pridobljene julija 2026 (Evropska komisija, CNIL, ANSSI, Gaia-X). Niso pravno mnenje in ne nadomeščajo analize, namenjene vašemu položaju.
Kontaktirajte nas in prejeli boste ponudbo, prilagojeno vašemu obsegu.