Veel organisaties gaan ervan uit dat het opslaan van hun data in de Europese Unie voldoende is om digitale soevereiniteit te garanderen. De redenering lijkt intuïtief: als de servers in Amsterdam, Frankfurt of Dublin staan, zou de Europese wetgeving van toepassing moeten zijn. In de praktijk is de situatie echter complexer. Dataresidentie bepaalt waar data wordt opgeslagen, maar niet wie uiteindelijk de wettelijke bevoegdheid of operationele controle over die data heeft. Voor organisaties die kritieke systemen in de cloud beheren, is dat onderscheid van belang.

In dit artikel gaan wij dieper in op de volgende punten:

• Waarom dataresidentie niet gelijk staat aan cloudsoevereiniteit
• Hoe wetten zoals de Amerikaanse CLOUD Act van toepassing kunnen zijn, ongeacht waar de gegevens worden opgeslagen.
• Vier praktische vragen die organisaties zichzelf zouden moeten stellen om hun soevereiniteitsrisico te beoordelen.
• Welke technische en architecturele keuzes kunnen de langetermijnafhankelijkheid van cloudproviders verminderen?

Een veranderend geopolitiek landschap

Wij leven in een periode van toenemende geopolitieke spanning tussen de Verenigde Staten en hun bondgenoten. Handelsgeschillen, sancties en de agressieve extraterritoriale reikwijdte van de Amerikaanse wetgeving hebben Europese regeringen en organisaties zich terdege bewust gemaakt van hun afhankelijkheid van de Amerikaanse technologische infrastructuur. Dit is geen abstract gegeven. Begin 2025 verloor de hoofdaanklager van het Internationaal Strafhof de toegang tot zijn Microsoft-e-mailaccount nadat de Amerikaanse regering sancties tegen het ICC had ingesteld – een levendig, concreet voorbeeld dat toegang tot clouddiensten van de ene op de andere dag een geopolitiek instrument kan worden [2].

In onze samenwerking met grote organisaties zien wij vaak hoe misvattingen over dataresidentie de cloudstrategie beïnvloeden. Als reactie op de groeiende onrust grijpen organisaties bijvoorbeeld naar een vertrouwd geruststellend argument: “onze data wordt in de EU opgeslagen.” Dat klinkt redelijk. Helaas is het niet voldoende.

De misvatting: locatie als soevereiniteit

De intuïtie achter dataresidentie is begrijpelijk. Als data fysiek in Amsterdam of Dublin wordt opgeslagen, kunnen wij ervan uitgaan dat de Europese wetgeving erop van toepassing is. Dit is echter de kern van de misvatting.

Op grond van de Amerikaanse CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) kunnen Amerikaanse autoriteiten technologiebedrijven in de VS dwingen om gegevens openbaar te maken, ongeacht waar die gegevens fysiek zijn opgeslagen [1], [6]. Het doorslaggevende criterium is controle, niet geografie. Een Amerikaans bedrijf dat een datacenter in Frankfurt exploiteert, blijft een Amerikaans bedrijf. Wanneer het Ministerie van Justitie een geldig juridisch verzoek indient, is de locatie in Frankfurt juridisch irrelevant.

Dit is geen theorie. In juni 2025 werd Anton Carniaux, directeur publieke en juridische zaken van Microsoft Frankrijk, onder ede voor de Franse Senaat gevraagd of hij kon garanderen dat gegevens van Franse burgers die in de cloud van Microsoft worden opgeslagen, nooit zonder toestemming van de Franse regering aan de Amerikaanse autoriteiten zouden worden doorgegeven. Zijn antwoord was ondubbelzinnig: “Non, je ne peux pas le garantir.” “Nee, dat kan ik niet garanderen.” [3] Afzonderlijk erkende Microsoft schriftelijk aan de Schotse politieautoriteiten dat het “de gegevenssoevereiniteit voor M365 niet kan garanderen.” [4]

Standaardcontractbepalingen, gegevensverwerkingsovereenkomsten en EU-gegevensgrensafspraken zijn contractuele instrumenten. Ze hebben geen rechtskracht tegenover een geldig Amerikaans gerechtelijk bevel gericht tegen de aanbieder. Gegevensresidentie regelt de locatie . Het regelt niet de zeggenschap of de wettelijke bevoegdheid.

De vier vragen die de soevereiniteit moet beantwoorden

Als soevereiniteit betekent dat men kan opereren zonder onnodige externe controle, dan schiet alleen dataresidentie op elk belangrijk vlak tekort. In oktober 2025 formaliseerde de Europese Commissie dit inzicht in haar Cloud Sovereignty Framework, dat aanbieders beoordeelt op basis van acht Sovereignty Objectives, van rechtsmacht en operationele controle tot transparantie in de supply chain en technologische onafhankelijkheid [7].

Het raamwerk is ontworpen voor de evaluatie van cloudproviders, maar voor organisaties die clouddiensten afnemen, komen de kerndimensies neer op vier praktische vragen:

Wie heeft de wettelijke bevoegdheid? De bevoegdheid volgt de aanbieder, niet de server. Zolang het bedrijf dat uw gegevens beheert is gevestigd in, of materieel onderworpen is aan, een rechtsstelsel buiten de EU, kan die jurisdictie uw gegevens bereiken. De bedrijfsstructuur is net zo belangrijk als de locatie van de server.

Wie heeft de operationele controle? Zelfs wanneer de infrastructuur lokaal is gevestigd, kan de operationele controle nog steeds bij de leverancier liggen. De partij die de identiteitssystemen, beheerlagen en administratieve toegang beheert, heeft in feite de controle over de omgeving, ongeacht waar de hardware zich bevindt.

Wie beheert het technische platform? Moderne cloudplatforms zijn complexe ecosystemen van software-updates, platformservices en eigen afhankelijkheden. Als een provider de updates, kernservices of onderliggende platformfunctionaliteiten beheert, bepalen zij de technische omgeving waarin uw workloads draaien. Je bent een huurder, geen eigenaar.

Wie kun je realistisch gezien verlaten? Soevereiniteit hangt ook af van de mogelijkheid voor een organisatie om van leverancier te wisselen. Als dataformaten, architecturen of platformafhankelijkheden migratie extreem kostbaar of tijdrovend maken, is de praktische mogelijkheid om te vertrekken beperkt. Vendor lock-in is een risico voor de soevereiniteit.

Wat echte soevereiniteit vereist

De vier bovenstaande vragen zijn niet retorisch. Ze wijzen elk op een concrete vereiste.

Jurisdictionele soevereiniteit betekent dat de aanbieder zelf, en niet alleen zijn datacenters, buiten het bereik van niet-EU-rechtelijke verplichtingen moet vallen. Een Europese dochteronderneming van een Amerikaans moederbedrijf voldoet hier niet aan; het moederbedrijf blijft onderworpen aan de Amerikaanse wetgeving en een rechterlijk bevel kan door de hele bedrijfsstructuur heen werken. De aanbieder moet daadwerkelijk onafhankelijk zijn van buitenlandse rechtsgebieden, en niet slechts lokaal gevestigd zijn.

Operationele soevereiniteit betekent dat de sleutels tot het koninkrijk – identiteitsbeheer, administratieve toegang, beheerlagen – in handen moeten zijn van partijen die onder het EU-recht vallen. Een cloudomgeving waar alleen de engineers van de provider toegang hebben tot de onderliggende infrastructuur is niet operationeel soeverein, ongeacht waar de hardware zich bevindt. Daarom zijn door de klant beheerde encryptiesleutels belangrijk: als alleen jij de sleutels bezit, kan een provider die een verzoek op grond van de CLOUD Act ontvangt, de gegevens wel produceren, maar niets leesbaars.

Technische soevereiniteit betekent dat je daadwerkelijk controle hebt over wat er in je omgeving draait. Bij een hyperscaler heb je die controle niet. Updates, patches en wijzigingen in services worden volgens het schema van de provider geïmplementeerd, zonder jouw goedkeuring. Proprietäre cloudinfrastructuur is grotendeels een black box; je kunt niet controleren wat er onder je workloads draait, noch onafhankelijk de integriteit van het platform waar je van afhankelijk bent verifiëren. Dat is een vorm van vertrouwen, en soevereiniteit mag niet alleen op vertrouwen gebaseerd zijn.

Praktische soevereiniteit gaat uiteindelijk over keuzemogelijkheden: de geloofwaardige, gedocumenteerde mogelijkheid om te vertrekken. Dit is niet zomaar een theoretische architectuuroefening. De Digital Operational Resilience Act (DORA) vereist expliciet gedocumenteerde en periodiek geteste exitstrategieën voor ICT-diensten die kritieke of belangrijke functies ondersteunen, op grond van artikel 28 [5]. Dit beschouwen als een afvinklijstje is de kern van de zaak missen. Een realistische exitstrategie dwingt organisaties om onder ogen te zien hoe afhankelijk ze precies zijn geworden, en die confrontatie is vaak ongemakkelijk.

Wat organisaties nu kunnen doen

De meeste organisaties kunnen en zouden ook op korte termijn geen grootschalige migratie moeten uitvoeren. De hyperscalers zijn diep ingeburgerd, hun tools zijn volwassen en hun engineers zijn overal. Juist daarom is het nu de tijd om erover na te denken, en niet pas wanneer een crisis je daartoe dwingt.

Een nuttige eerste stap is een soevereiniteitsaudit van uw meest kritieke workloads. Stel uzelf voor elk systeem de volgende vier vragen: wie heeft de jurisdictie, wie heeft de operationele controle, wie beheert het platform en kunnen wij vertrekken? De antwoorden zullen snel duidelijk maken waar uw risico’s geconcentreerd zijn. Niet elke workload vereist actie, maar je moet wel weten welke dat wel vereisen.

In de praktijk leidt het beantwoorden van deze vragen vaak tot architectuurkeuzes: het verminderen van onnodige afhankelijkheden van propriëtaire services, het ontwerpen van workloads die in verschillende omgevingen kunnen draaien en het waarborgen dat organisaties operationele controle behouden over identiteit, toegang en encryptie. Dit is waar een engineeringcultuur essentieel wordt.

Voor nieuwe implementaties geldt een eenvoudige discipline: als je nog niet in staat bent om op een soeverein platform te draaien, kies dan in ieder geval voor technologieën die een toekomstige migratie mogelijk maken. Geef de voorkeur aan open standaarden boven propriëtaire diensten. Gebruik containerorkestratie die niet gebonden is aan één enkele aanbieder. Sla gegevens op in formaten die jij zelf beheert, niet in formaten die alleen binnen één ecosysteem zinvol zijn. Deze keuzes kosten vandaag weinig en behouden opties voor de toekomst.

Het geopolitieke klimaat kan verbeteren. Regeringen wisselen, verdragen worden gesloten en de EU werkt actief aan kaders om de digitale soevereiniteit te versterken. Maar beleidstijdlijnen zijn lang en onzeker. Het bouwen van een architectuur die werkt ongeacht het politieke klimaat is simpelweg betere engineering – en het is zelden op te lossen met één enkele architectuurwijziging. Het vereist een weloverwogen aanpak van platformontwerp, dependency management en operationele controle. Bij Navara helpen wij organisaties deze strategische overwegingen te vertalen naar concrete engineeringbeslissingen.

Moet iedereen in actie komen?

Nee, en het is belangrijk om hier duidelijk over te zijn. Een gesprek over soevereiniteit kan snel ontaarden in een alles-of-niets-denken dat eerder verlamt dan motiveert.

Een persoonlijke website hoeft niet verplaatst te worden. Een klein bedrijf dat zijn e-commerceplatform op een Amerikaanse hyperscaler draait, is geen relevant doelwit voor juridische dwang vanuit de staat, en de kosten van een soevereiniteitsgerichte aanpak zouden de risico’s ruimschoots overtreffen. Hetzelfde geldt voor een breed scala aan gewone commerciële toepassingen waarbij de betrokken gegevens, hoewel potentieel persoonlijk, niet gevoelig genoeg zijn om de aandacht van de overheid te trekken.

De afweging verandert fundamenteel voor organisaties waarvan de toegang tot gegevens grote gevolgen zou hebben. Overheidsinstanties die burgergegevens verwerken. Ziekenhuizen en zorgnetwerken. Beheerders van energienetten, watersystemen en financiële marktinfrastructuur. Defensieaannemers en veiligheidsdiensten. Rechtshandhaving en de rechterlijke macht. Voor deze organisaties is de vraag niet of ze soevereiniteit serieus moeten nemen, maar hoe ze de werkzaamheden moeten plannen gezien de reële beperkingen op het gebied van tijd, budget en beschikbare alternatieven.

Een handig mentaal model is om in lagen te denken. Laag één omvat uw meest gevoelige systemen met de grootste gevolgen. Deze vereisen onmiddellijke aandacht en, waar mogelijk, een migratieplan. Laag twee omvat belangrijke, maar niet kritieke systemen. Deze moeten worden onderworpen aan een soevereiniteitsaudit en een gedocumenteerde exitstrategie, zelfs als migratie niet direct aanstaande is. Laag drie omvat al het overige. Voer het uit waar het operationeel en commercieel zinvol is, en herzie de situatie wanneer de omstandigheden veranderen.

Het doel is niet zuiverheid, maar duidelijkheid: weten wat je runt, waar, onder wiens jurisdictie en wat er nodig is om dat te veranderen. Organisaties die hierover hebben nagedacht, zullen in een veel sterkere positie verkeren dan organisaties die nog steeds naar een kaart wijzen en ervan uitgaan dat Frankfurt voldoende is.

Bronnen

Geschreven door:
Olaf Schüsler, Principal Consultant Digitale Soevereiniteit, Navara