Datasoevereiniteit verwijst naar het recht en de feitelijke mogelijkheid van een organisatie of overheid om zelfstandig te bepalen waar data wordt opgeslagen, wie er toegang toe heeft en welk rechtsstelsel van toepassing is. Voor Europese overheids- en zorginstellingen is dit begrip de afgelopen jaren van academische notie uitgegroeid tot een operationele vereiste, mede door aanhoudende spanning tussen EU-privacywetgeving en extraterritoriale Amerikaanse wetgeving.
Waarom datasoevereiniteit nu urgent is voor overheid en zorg
Europese instellingen die data opslaan bij Amerikaanse hyperscalers zijn blootgesteld aan juridische risico’s die losstaan van technische beveiligingsmaatregelen.
De kern van het probleem ligt in de CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) en de eerder ingevoerde Patriot Act (2001). De CLOUD Act verplicht Amerikaanse bedrijven, waaronder Microsoft, Google en Amazon Web Services, om op vordering van Amerikaanse autoriteiten klantdata te verstrekken, ongeacht of die data fysiek in de VS, in Nederland of in Duitsland staat. Een datacentrum in Frankfurt dat eigendom is van Microsoft valt daardoor binnen de jurisdictie van de VS.
“The CLOUD Act allows US authorities to compel American companies to hand over data stored anywhere in the world, regardless of where the servers are physically located.”
Jennifer Daskal, hoogleraar rechtswetenschappen aan de American University Washington College of Law, in Just Security
Voor een ziekenhuis met patiëntdossiers, een rechtbank met strafdossiers of een gemeentelijke instelling met burgergegevens is dit geen theoretisch risico. Het raakt direct aan de verplichtingen onder de AVG (Algemene Verordening Gegevensbescherming, Verordening EU 2016/679) en de NIS-2-richtlijn (Richtlijn EU 2022/2555), die beide van organisaties eisen dat zij passende technische en organisatorische maatregelen nemen.
Het Zwitserse juridische kader als alternatief voor EU-hyperscalers
Zwitserland biedt een combinatie van grondwettelijke bescherming, moderne privacywetgeving en geopolitieke neutraliteit die het onderscheidt van zowel Amerikaanse als EU-gebaseerde cloudaanbieders.
Grondwettelijke en wettelijke basis
De Zwitserse Bondsgrondwet, artikel 13, verankert het recht op bescherming van de persoonlijke sfeer, inclusief het recht op bescherming van persoonsgegevens. Dit is een grondwettelijk recht, niet enkel een beleidsregel. Bovendien trad op 1 september 2023 het herziene Zwitserse gegevensbeschermingsrecht, het revDSG (revidiertes Datenschutzgesetz), in werking. Het revDSG is inhoudelijk grotendeels afgestemd op de AVG en introduceert vergelijkbare beginselen voor doelbinding, transparantie en beveiligingsplicht.
Het cruciale verschil met EU-hyperscalers is jurisdictioneel: Zwitserse bedrijven vallen niet onder de CLOUD Act, tenzij zij zelf een substantiële Amerikaanse aanwezigheid hebben. Aanbieders zoals Proton AG (gevestigd in Genève) en Tresorit (mede gevestigd in Zürich) zijn Zwitsers-rechtelijke entiteiten zonder Amerikaanse moedermaatschappij, wat de juridische blootstelling aan US-vorderingen sterk beperkt.
| Kenmerk | EU-hyperscaler (bijv. Microsoft Azure EU) | Zwitserse soevereine cloud (bijv. Proton, Tresorit) | On-premise eigen infrastructuur |
|---|---|---|---|
| Blootstelling CLOUD Act | Hoog (Amerikaanse moedermaatschappij) | Laag (geen Amerikaanse entiteit) | Geen (eigen beheer) |
| Privacywetgeving | AVG van toepassing | revDSG, adequaatheidsbesluit EU | AVG van toepassing op verwerking |
| Schaalbaarheid | Zeer hoog | Hoog | Beperkt door eigen capex |
| Beheerslast IT | Laag | Laag tot gemiddeld | Hoog |
| Certificering | ISO/IEC 27001, SOC 2 | ISO/IEC 27001 | Afhankelijk van eigen investeringen |
On-premise opslag: wanneer soevereine cloud niet volstaat
On-premise opslag is te verkiezen boven elke cloudoptie wanneer de gevoeligheid van data, wettelijke vereisten of operationele continuïteitseisen het rechtvaardigen.
Concrete scenario’s waarin on-premise de voorkeur verdient:
- Staatsgeheimen en bijzondere persoonsgegevens: Inlichtingendiensten en defensie-instellingen zijn in veel lidstaten wettelijk verplicht gerubriceerde informatie op eigen infrastructuur te houden.
- Air-gapped systemen: Kritieke infrastructuur zoals energienetwerken of watersystemen vereist volledige netwerkseparatie die geen cloudprovider kan garanderen.
- Volledige auditcontrole: Organisaties die elke toegangshandeling tot data forensisch moeten kunnen reconstrueren, hebben baat bij volledige eigendom van de loginfrastructuur.
De keerzijde is substantieel. Volledige on-premise infrastructuur brengt hoge kapitaaluitgaven mee voor hardware, redundante stroomvoorziening, fysieke beveiliging en klimaatbeheersing. Daarnaast vereist het structureel gekwalificeerd IT-personeel voor patch management, back-upbeheer en incidentrespons. Organisaties zonder volwassen IT-afdeling lopen het risico dat hun on-premise omgeving minder goed beveiligd is dan een gecertificeerde cloudoplossing. Sophos registreerde in 2023 dat 66 procent van ondervraagde organisaties werd getroffen door ransomware, een aanval die zowel cloud- als on-premise omgevingen raakt maar bijzonder verwoestend is wanneer back-ups niet offline zijn opgeslagen (bron: Sophos State of Ransomware Report 2023).
Gevoeligheidsclassificatie als leidraad voor het opslagmodel
Het juiste opslagmodel begint bij een gestructureerde classificatie van data op basis van vertrouwelijkheid, beschikbaarheidseisen en wettelijke verplichtingen.
Een praktisch raamwerk hanteert doorgaans vier niveaus:
- Openbaar: Persberichten, gepubliceerde beleidsdocumenten. Geschikt voor elke cloudoplossing.
- Intern: Interne correspondentie, projectplanning. Geschikt voor gecertificeerde soevereine cloud met end-to-end encryptie.
- Vertrouwelijk: Persoonsgegevens, juridische dossiers, medische data. Vereist soevereine cloud (Zwitsers of EU-jurisdictie zonder US-koppeling) of on-premise, gecertificeerd conform ISO/IEC 27001 of BSI Grundschutz.
- Staatsgeheim of bijzonder vertrouwelijk: Rubricering vereist on-premise, air-gapped systemen met aanvullende fysieke beveiligingsmaatregelen.
BSI Grundschutz, uitgegeven door het Duitse Bundesamt für Sicherheit in der Informationstechnik, biedt modulaire implementatierichtlijnen die bijzonder bruikbaar zijn voor overheidsinstanties. ISO/IEC 27001 (herziening 2022) is de internationaal erkende norm voor informatiebeveiliging en vormt de basis voor onafhankelijke certificering door geaccrediteerde auditors.
“Organisations that process personal data must implement appropriate technical and organisational measures to ensure a level of security appropriate to the risk.”
European Data Protection Board (EDPB), Guidelines 01/2021 on Examples regarding Personal Data Breach Notification
Quantumveilige encryptie en lokale AI: de volgende beveiligingslaag
Encryptie die vandaag veilig is, kan over vijf tot tien jaar kwetsbaar zijn voor cryptografisch relevante quantumcomputers, wat organisaties met langlevende vertrouwelijke data nu al dwingt tot actie.
Het Amerikaanse National Institute of Standards and Technology (NIST) publiceerde in 2024 zijn eerste definitieve post-kwantum cryptografiestandaarden: FIPS 203 (ML-KEM, gebaseerd op Kyber), FIPS 204 (ML-DSA) en FIPS 205 (SLH-DSA). Organisaties die data beheren met een vertrouwelijkheidshorizon van tien jaar of meer, zoals juridische archieven, medische dossiers of nationale registers, dienen nu een hybride encryptiestrategie te implementeren die zowel klassieke als post-kwantum algoritmen combineert.
Parallel hieraan wint de inzet van lokaal gehoste AI aan belang. Cloudgebaseerde AI-diensten, waaronder grote taalmodellen van Amerikaanse aanbieders, verwerken ingevoerde prompts op externe servers en gebruiken die data in sommige gevallen voor modelverbetering. Voor juridische en medische organisaties is dit juridisch problematisch. Private, lokaal gehoste AI-modellen (bijvoorbeeld via open-sourceplatformen als Ollama of privé-gedeployde modellen) garanderen dat klant- en cliëntdata de eigen infrastructuur nooit verlaat en nooit bijdraagt aan externe modeltraining.
Migratie van Microsoft 365 naar een soevereine Nextcloud-werkomgeving
Een gestructureerde migratie van Microsoft 365 naar Nextcloud is technisch haalbaar en biedt een directe vermindering van de juridische blootstelling aan US-wetgeving.
Nextcloud is open-source samenwerkingssoftware die op eigen servers of bij een soevereine hostingpartner kan worden geïnstalleerd. De suite omvat bestandsopslag en synchronisatie, agenda en contactenbeheer (CalDAV/CardDAV), videovergaderen via Nextcloud Talk, en documentbewerking via Collabora Online of OnlyOffice. Voor de meeste kantoor- en overheidstaken is de functionele dekking vergelijkbaar met Microsoft 365, zonder de afhankelijkheid van een Amerikaanse moedermaatschappij.
Een migratietraject verloopt doorgaans in vier fasen:
- Inventarisatie en classificatie: Breng in kaart welke data in Microsoft 365 staat en classificeer op gevoeligheid.
- Infrastructuurkeuze: Besluit op basis van classificatie voor on-premise, Zwitserse hostingpartner (gecertificeerd conform ISO/IEC 27001) of een EU-gebaseerde soevereine cloudaanbieder zonder US-binding.
- Pilots en gebruikersacceptatie: Start met een pilotgroep, train gebruikers en documenteer afwijkingen in werkprocessen.
- Gefaseerde uitrol en decommissioning: Migreer afdelingen sequentieel en sluit Microsoft 365-licenties pas af nadat volledige dataoverdracht is geverifieerd en logging is ingericht.
NIS-2, AVG en de complianceverplichtingen in de praktijk
Zowel NIS-2 als de AVG leggen directe verplichtingen op aan organisaties in de overheids-, zorg- en rechtssector die onlosmakelijk verbonden zijn met de keuze voor een opslagmodel.
NIS-2 verplicht essentiële en belangrijke entiteiten tot het treffen van risicogebaseerde cybersecuritymaatregelen, het melden van significante incidenten binnen 24 uur (eerste melding) en het aansprakelijk stellen van bestuurders voor structurele nalatigheid. De AVG vereist een verwerkersovereenkomst met elke cloudprovider en eist dat bij internationale datatransfers buiten de EER een adequaatheidsbesluit, standaardcontractbepalingen of bindende bedrijfsregels van toepassing zijn. Zwitserland beschikt over een adequaatheidsbesluit van de Europese Commissie, wat datatransfers naar Zwitserse aanbieders vereenvoudigt. Voor de VS bestaat een dergelijk adequaatheidsbesluit (het EU-VS Data Privacy Framework) maar dit heeft een bewogen juridische geschiedenis en kan worden aangevochten, zoals eerdere mechanismen (Safe Harbour, Privacy Shield) hebben aangetoond.
Veelgestelde vragen
Valt Zwitserse cloudopslag automatisch buiten het bereik van de AVG?
Nee. Zwitserland is geen EU-lidstaat, maar de Europese Commissie heeft Zwitserland aangemerkt als land met een adequaat beschermingsniveau voor datatransfers vanuit de EU. Het verwerken van persoonsgegevens van EU-burgers door Zwitserse bedrijven moet ook voldoen aan de AVG-beginselen als het aanbod gericht is op de EU-markt.
Wat is het verschil tussen de CLOUD Act en de Patriot Act voor Europese organisaties?
De Patriot Act (2001) gaf Amerikaanse inlichtingendiensten brede bevoegdheden om data op te vragen bij bedrijven met een Amerikaanse aanwezigheid, ook als de data buiten de VS was opgeslagen. De CLOUD Act (2018) moderniseerde dit en maakte duidelijk dat Amerikaanse bedrijven verplicht zijn data af te geven ongeacht de serverlocatie, tenzij een bilateraal verdrag iets anders bepaalt. Beide wetten vormen een risico voor Europese organisaties die data opslaan bij Amerikaanse cloudproviders.
Is Nextcloud een volledig alternatief voor Microsoft 365?
Nextcloud biedt bestandsopslag, agenda, contacten, videovergaderen via Talk en documentbewerking via Collabora of OnlyOffice. Voor specifieke Microsoft-toepassingen zoals gespecialiseerde Power Platform-tools of diep geïntegreerde Exchange-functies kan aanvullende software nodig zijn. Voor de meeste overheidstaken en gereguleerde sectoren dekt Nextcloud echter de kernbehoefte.
Wat zijn quantumveilige algoritmen en wanneer zijn ze nodig?
Quantumveilige of post-kwantum algoritmen zijn cryptografische methoden die bestand zijn tegen aanvallen van een quantumcomputer. Het Amerikaanse NIST publiceerde in 2024 zijn eerste definitieve post-kwantum standaarden (FIPS 203, 204 en 205). Organisaties met data die tientallen jaren vertrouwelijk moet blijven, zoals juridische dossiers of staatsgeheimen, doen er verstandig aan nu al te migreren of een hybride encryptiestrategie te hanteren.
Wanneer is BSI Grundschutz relevanter dan ISO/IEC 27001?
BSI Grundschutz, uitgegeven door het Duitse Bundesamt für Sicherheit in der Informationstechnik, biedt zeer gedetailleerde technische implementatierichtlijnen voor de Duitse overheidssector en is wettelijk verankerd voor veel Bundesbehörden. ISO/IEC 27001 is een internationale, sectoronafhankelijke norm die breed erkend wordt voor certificering. Voor Duitse overheidsinstanties is Grundschutz vaak een harde vereiste; voor internationale of private organisaties is ISO/IEC 27001 meestal de praktischere keuze.
