FedRAMP Ready devine Legacy: ce arată tranziția despre dovezile de securitate ale serviciilor cloud
Din 28 iulie 2026, FedRAMP Ready devine Legacy. Contextul programului SUA și lecții practice despre evaluarea dovezilor de securitate ale unui furnizor cloud.
Astăzi, 28 iulie 2026, programul american FedRAMP marchează tranziția statutului FedRAMP Ready către Legacy: nu mai sunt acceptate noi nominalizări Ready, iar furnizorii de servicii cloud sunt direcționați către traseul FedRAMP 20x Class A. Este o schimbare de program din SUA, nu o regulă UE sau românească și nu stabilește vreo certificare pentru Learning Awarely. Totuși, este un exemplu util despre cum se schimbă în timp criteriile prin care clienții publici evaluează dovezile de securitate ale furnizorilor cloud.
Ce se schimbă în programul FedRAMP
Potrivit calendarului oficial FedRAMP, 28 iulie este data la care FedRAMP Ready devine Legacy și nu mai sunt acceptate nominalizări noi. Programul indică 3 august 2026 pentru deschiderea pipeline-ului FedRAMP 20x Class A, iar adoptarea obligatorie a Consolidated Rules for 2026 este planificată pentru 1 ianuarie 2027, cu aplicabilitate în condițiile stabilite de program. Aceste date privesc ecosistemul federal al SUA și nu se transferă automat către clienți comerciali sau autorități europene.
De ce contează și pentru cumpărătorii de servicii cloud din Europa
Orice organizație care cumpără SaaS, hosting, platforme de securitate sau servicii gestionate se bazează parțial pe dovezile furnizorului. O certificare sau o atestare poate reduce efortul de due diligence, dar nu rezolvă automat întrebări esențiale: ce versiune sau regiune este acoperită, ce servicii sunt excluse, cine operează controalele, ce subprocesatori sunt implicați și ce se întâmplă la incident sau la ieșirea din contract.
Checklist scurt pentru evaluarea unei afirmații de securitate
- Identifică schema, emitentul, data, nivelul de asigurare și statutul actual; nu te baza pe logo-uri sau afirmații fără o referință verificabilă.
- Confirmă entitatea juridică, produsul, versiunea, regiunea și serviciile efectiv incluse în domeniul de aplicare.
- Cere documente operaționale relevante: rezumat de audit unde este disponibil, politici, proces de incident, continuitate, managementul vulnerabilităților și dovezi de testare potrivite contextului.
- Evaluează contractual accesul, confidențialitatea, subprocesatorii, localizarea datelor, notificarea incidentelor, exportul datelor și încetarea serviciului.
- Reevaluează periodic: statutul, produsul, proprietarul și regulile programelor de certificare se pot modifica.
Ce nu demonstrează automat o certificare
O certificare nu garantează că un furnizor nu va suferi un incident, nu acoperă neapărat toate integrările clientului și nu transferă responsabilitatea organizației pentru configurare, controlul accesului sau deciziile privind datele. În special pentru obligațiile din UE sau România, analiza trebuie să pornească de la legislația aplicabilă, contract, risc și sector, nu de la echivalarea automată cu un program federal american.