Sovereign-Audit är en strukturerad revision som utvärderar ert beroende av molnleverantörer (särskilt Microsoft 365) och er verkliga förmåga att återfå era data och byta leverantör. Vi certifierar ingen "suveränitet": vi mäter, dokumenterar och prioriterar.
Digitalt beroende mäts sällan, och frågan blir alltmer reglerad
Förordning (EU) 2023/2854 (dataförordningen) innehåller ett särskilt kapitel om byte mellan databehandlingstjänster, med skyldigheter att undanröja tekniska och avtalsmässiga hinder för byte av leverantör. Få organisationer vet i dag hur långt de har kommit på denna punkt.
Nödåtkomstkonton, identitetsfederation, Copilot, inbyggd kryptering, anpassade Teams-appar: varje tekniskt val skapar lite mer beroende, utan att något uttryckligt beslut har fattats.
Molnavtal innehåller klausuler om återlämning av data och utträde, men de undertecknas en gång och ses aldrig över i ljuset av klientorganisationens faktiska användning.
Dataförordningen, SecNumCloud och Gaia-X definierar ett ordförråd och krav på portabilitet, men att omsätta detta till ett operativt konstaterande för ER klientorganisation kräver en metod och en tid som de interna IT-teamen inte har.
En strukturerad metod, byggd på en katalog med 32 kontroller av beroende och portabilitet
Samtal med ledningen eller IT-ansvarig för att avgränsa omfattningen (M365-klientorganisation, enheter, dotterbolag, nyckelleverantörer) och de beroendefrågor som är specifika för er organisation.
Granskning av Microsoft 365-konfigurationen (identitet, säkerhetskopiering, dataresidens, kryptering, appar) och av de avtalsklausuler om utträde som gäller hos era leverantörer.
Varje kontroll utvärderas enligt en tydlig status (täckt, delvis, saknas, ska kontrolleras avtalsmässigt), med en koppling till de berörda Microsoft 365-områdena.
Iakttagelserna kopplas, när det är relevant, till kraven i EU:s dataförordning och till referensordförrådet i SecNumCloud/Gaia-X - utan att det någonsin presenteras som en erhållen certifiering.
Överlämning av en tydlig rapport till ledningen, med en prioriterad åtgärdsplan för att minska de mest kritiska beroendepunkterna.
En tydlig uppsättning dokument som kan användas av ledningen och IT-teamen
Dokumenterad utvärdering av katalogens 32 kontroller, med en status per kontroll.
En helhetsbild av var ert beroende av Microsoft är koncentrerat.
Ett underlag för att tillsammans med era jurister gå igenom era befintliga molnavtal.
Överensstämmelse mellan era iakttagelser och ordförrådet i referensramverken.
Rekommendationer rangordnade efter kritikalitet och hur lätta de är att genomföra.
Dokument i format som era team kan använda.
Sovereign-Audit bygger på befintliga offentliga ramverk - vi utfärdar ingen certifiering
EU-rättsakt med ett särskilt kapitel om byte mellan databehandlingstjänster (portabilitet och interoperabilitet i molnet). Sovereign-Audit utgår från detta kapitel för att strukturera revisionsfrågorna, utan att presentera en enskild artikel som en skyldighet som redan gäller för er organisation utan juridisk kontroll.
De organisatoriska kontrollerna för leverantörsrelationer och verksamhetskontinuitet strukturerar en del av beroendeanalysen.
ANSSI:s ramverk för frivillig kvalificering. Dess avtalsmässiga utträdesklausul fungerar här som läsguide, även om standardversionen av Microsoft 365 inte är SecNumCloud-kvalificerad.
Europeiskt frivilligt ramverk utan bindande verkan, som ger ett gemensamt ordförråd för suveränitet och interoperabilitet mellan molnaktörer, och som här används som läsguide.
Varje uppdrag avgränsas på offert, efter storleken på och komplexiteten i er miljö
SMF, en enda M365-klientorganisation
SMF och medelstora företag, flera enheter eller dotterbolag
Organisationer med en åtgärdsplan
Inget pris är fastställt i förväg på den här sidan
Den exakta omfattningen (antal enheter, klientorganisationens storlek, djupet i den avtalsmässiga analysen) fastställs tillsammans med er före varje offert.
Inte bara stora koncerner eller "känsliga" sektorer: beroendet av en molnleverantör berör mycket olika företag, av olika skäl. Här är de officiella kriterierna, utan att blanda ihop rättslig skyldighet och god praxis.
Den amerikanska lagen CLOUD Act (federal lag, Public Law 115-141) gäller amerikanska "leverantörer av elektroniska kommunikationstjänster eller distansbehandlingstjänster" och gör att de kan tvingas lämna över data i deras "besittning, förvar eller kontroll" till amerikansk rättskipning, även om uppgifterna lagras utanför USA (bestämmelse kodifierad i 18 U.S.C. § 2713). Konkret: ett franskt SMF som har sin e-post eller sitt ERP-system hos en amerikansk leverantör, eller ett europeiskt dotterbolag till en amerikansk koncern, kan beröras enbart på grund av denna kontrollrelation, även om dess data lagras i Frankrike eller i EU. Officiell text (Congress.gov)
Dataförordningen (förordning (EU) 2023/2854), tillämplig sedan den 12 september 2025, är en övergripande rättsakt som "gäller alla sektorer". Dess kapitel om byte av molnleverantör ger varje kund, oavsett storlek, rätt att "effektivt byta leverantör av databehandlingstjänster" (portabilitet, interoperabilitet), utan något generellt undantag för små företag. Europeiska kommissionen - dataförordningen
NIS 2-direktivet omfattar 18 sektorer (energi, transport, hälsa, finans, vattenförvaltning, digital infrastruktur, elektronisk kommunikation, digitala plattformar, avfallshantering, tillverkning av kritiska produkter, post, rymden, offentlig förvaltning). För dessa sektorer ska "som huvudregel medelstora och stora enheter vidta lämpliga åtgärder för riskhantering inom cybersäkerhet" - vilket omfattar hanteringen av risken kopplad till deras leverantörer, däribland deras molnleverantörer. Europeiska kommissionen - NIS 2
ANSSI:s kvalificering SecNumCloud "erkänner pålitliga molnerbjudanden" genom ett säkerhetsvisum. Det är ingen generell rättslig skyldighet för privata företag: det är en frivillig kvalificering, rekommenderad för att skydda känsliga data eller för att lagra känsliga informationssystem i molnet. ANSSI - cyber.gouv.fr
Sammanfattningsvis, fyra profiler som typiskt berörs
1. Ett SMF som har sin e-post, sitt ERP-system eller CRM-system hos en amerikansk hyperskalare
(eller ett europeiskt dotterbolag till en amerikansk koncern): berörs av CLOUD Act, oberoende
av storlek.
2. Vilket europeiskt företag som helst, av valfri storlek, som använder en molntjänst
(SaaS, PaaS eller IaaS): berörs sedan 12/09/2025 av dataförordningens nya
portabilitetsrättigheter.
3. Ett medelstort eller stort företag i en av de 18 kritiska NIS 2-sektorerna (energi, hälsa,
transport, finans, digital infrastruktur...): ska hantera leverantörsrisk, molnet
inbegripet.
4. En offentlig organisation eller ett företag som lagrar känsliga data: rekommenderat mål
(inte systematiskt obligatoriskt) för SecNumCloud-kvalificeringen.
Dessa kriterier härrör från de officiella texter och sidor som anges ovan. Det är inget juridiskt utlåtande: er exakta situation beror på er sektor, er storlek och era avtal - låt en jurist bekräfta vid behov.
Vad som är en verklig rättslig skyldighet, vad som är en rekommenderad god praxis och vad som kommer inom kort - förklarat enkelt, med officiella källor som stöd.
Om ert företag låter personuppgifter (anställda, kunder) lagras hos en molnleverantör utanför Europeiska unionen är det ert företag - inte leverantören - som fortsatt är rättsligt ansvarigt enligt GDPR för skyddet av dessa uppgifter. Ni måste se till att överföringen vilar på en erkänd garanti: antingen bedöms landet som säkert av Europeiska unionen ("beslut om adekvat skyddsnivå"), eller så undertecknar ni med leverantören de standardavtalsklausuler som tillhandahålls av Europeiska kommissionen. Det är standarddokument som ska införlivas i ert avtal, inte en förhandling som ni själva ska hitta på.
Källa: CNIL, ramverket för överföringar av data utanför EU enligt GDPR (kapitel V, artiklarna 45 och 46) - cnil.fr, hämtad den 18/07/2026.
Sedan den 12 september 2025 ålägger en europeisk förordning (dataförordningen) leverantörerna av molntjänster att underlätta byte av leverantör: de ska successivt sänka utträdesavgifterna och tillhandahålla era data i ett format som ni kan återanvända någon annanstans. Konkret: om en leverantör svarar att "det är inte möjligt" eller fakturerar oproportionerliga belopp för att ni ska få ut era egna data, är det inte längre normalt sedan detta datum. Tidsplanen för det fullständiga avskaffandet av dessa avgifter fastställs i rättsakten - låt er jurist eller er leverantör kontrollera detta om ett belopp fakturerats er.
Källa: Europeiska kommissionen, "Dataförordningen" (förordning (EU) 2023/2854, kapitel VI) - digital-strategy.ec.europa.eu, hämtad den 18/07/2026.
SecNumCloud är en kvalificering som utfärdas av ANSSI (Frankrikes cybersäkerhetsmyndighet) och som gör det möjligt att känna igen de molnerbjudanden som anses pålitliga för att lagra känsliga data. Det är ingen rättslig skyldighet för ett privat företag. Den gäller framför allt förvaltningar och organ som förvaltar känsliga informationssystem åt staten. För ett SMF är den ett användbart riktmärke för att jämföra molnerbjudanden med varandra, inte en norm som lagen kräver att man följer.
Källa: ANSSI (cyber.gouv.fr), sidan "Moln" - cyber.gouv.fr, hämtad den 18/07/2026.
CNIL rekommenderar - utan att det är en siffersatt och detaljerad skyldighet i lagen - att förteckna de molntjänster som faktiskt används i ert företag, att kontrollera leverantörens säkerhetsnivå innan ni undertecknar, att svart på vitt skriva i avtalet vem som gör vad i fråga om säkerhet och att kryptera känsliga data. Principen att komma ihåg: leverantören säkrar sin infrastruktur, men det är er sak att konfigurera åtkomsterna och kontona för era team korrekt. En dålig konfiguration på er sida omfattas inte av leverantörens säkerhet.
Källa: CNIL, "Säkerhet i molnet (molnbaserad databehandling)" - cnil.fr, hämtad den 18/07/2026.
Europeiska kommissionen har lagt fram ett förslag till förordning, "rättsakten om utveckling av moln och artificiell intelligens", för att stärka europeiska moln- och AI-kapaciteter och minska beroendet av de stora icke-europeiska leverantörerna. Denna text är ännu inte i kraft: det är ett förslag under behandling, inte en regel att tillämpa i dag. Den föreskriver ett system med förtroendenivåer för att bedöma suveräniteten hos ett molnerbjudande. Att följa, utan att dra någon omedelbar operativ slutsats.
Källa: Europeiska kommissionen, "Rättsakten om utveckling av moln och artificiell intelligens" - digital-strategy.ec.europa.eu, sidan uppdaterad 03/06/2026, hämtad den 18/07/2026.
Det här avsnittet ger er tydliga riktmärken, inte ett juridiskt utlåtande. För en specifik situation (pågående avtal, särskild dataöverföring) bör ni låta er juridiska avdelning eller en advokat validera.
Fem frågor som ledare för SMF ställer sig, var och en besvarad på 2 minuter med sin officiella källa
Dessa svar sammanfattar officiella sidor som lästes i juli 2026 (Europeiska kommissionen, CNIL, ANSSI, Gaia-X). De utgör inget juridiskt utlåtande och ersätter inte en analys som är särskilt inriktad på er situation.
Kontakta oss för att få en offert anpassad till er omfattning.