Microsoft dienstverlening opschorting voor internationale organisaties is geen theoretisch risico meer: het is een gedocumenteerde realiteit waarmee compliance officers en IT-beslissers in overheid, rechtspraak en gereguleerde sectoren direct rekening moeten houden. Wie kritieke werkprocessen baseert op infrastructuur die juridisch onder Amerikaans recht valt, aanvaardt een continuïteitsrisico dat buiten de eigen organisatie ligt en buiten de werking van Europees recht.
Het ICC-incident van mei 2025: wat er precies is gebeurd
In mei 2025 schortte Microsoft Corporation de e-maildiensten op die het kantoor van de aanklager van het Internationaal Strafhof (ICC) in Den Haag gebruikte. De opschorting volgde op een executive order van de Amerikaanse regering, waarbij gebruik werd gemaakt van de bevoegdheden onder de US International Emergency Economic Powers Act (IEEPA). De ICC-aanklager, Karim Khan, stond op dat moment onder Amerikaanse sancties vanwege de door het ICC uitgevaardigde arrestatiebevelen tegen Israëlische functionarissen.
Concreet betekende dit dat medewerkers van de aanklager geen toegang meer hadden tot hun zakelijke e-mail, agenda en mogelijk andere Microsoft 365-diensten. Het ICC is een intergouvernementele organisatie gevestigd in Nederland, met verdragsrechtelijke immuniteit op grond van het Verdrag van Rome (1998). Die immuniteit bood echter geen enkele bescherming zodra de cloudinfrastructuur zelf onder Amerikaans recht viel.
Welk precedent dit schept voor internationale en Europese organisaties
Dit incident is niet de eerste keer dat een Amerikaanse technologieonderneming diensten beperkt op grond van sanctieregels, maar het is wel de meest zichtbare toepassing op een internationaal rechtsorgaan. Dat maakt het bijzonder instructief.
Ten eerste bevestigt het dat de fysieke locatie van servers er in juridische zin nauwelijks toe doet. Microsoft’s datacenters in Amsterdam en Dublin vallen onder Amerikaans recht omdat Microsoft Corporation een Amerikaans bedrijf is. De CLOUD Act (2018) versterkt dit: Amerikaanse autoriteiten kunnen data opeisen die op servers buiten de VS staan, zolang de aanbieder Amerikaans is. Sanctieregels werken andersom maar langs dezelfde juridische logica.
Ten tweede toont het incident dat contractuele afspraken in de servicevoorwaarden van hyperscalers standaard een sanitaire clausule bevatten: dienstverlening kan worden opgeschort wanneer naleving van toepasselijk recht dit vereist. Microsoft, Google en Amazon Web Services formuleren dit in hun algemene voorwaarden als een overmachts- of nalevingsbepaling. Er bestaat geen contractueel mechanisme waarmee een klant dit kan blokkeren.
Voor NGO’s die in conflictgebieden werken, voor internationale rechtsinstellingen, voor Europese overheidsorganen met gevoelige politieke functies en voor advocatenkantoren met internationale praktijken is dit geen abstracte dreiging. Het is een operationeel risico dat nu aantoonbaar is gematerialiseerd.
“The use of digital infrastructure controlled by a foreign power creates an existential vulnerability for any organization whose independence is legally guaranteed.” (Marietje Schaake, voormalig Europarlementariër en internationaal technologiebeleiddeskundige, Atlantic Council)
Contractuele garanties: wat hyperscalers wel en niet bieden
Het is belangrijk om te begrijpen wat Microsofts Enterprise Agreement en Microsoft 365-servicevoorwaarden wél en niet garanderen. Microsofts productvoorwaarden voor overheden en internationale organisaties bevatten bepalingen over gegevenslocatie en EU-gegevensgrens. Maar geen van deze bepalingen beschermt tegen opschorting op grond van een Amerikaans sanctiebesluit.
| Garantie | Microsoft 365 (standaard) | On-premise of soevereine cloud |
|---|---|---|
| Gegevens fysiek in Europa | Optioneel via EU Data Boundary | Ja, volledig controleerbaar |
| Bescherming tegen CLOUD Act-verzoeken | Nee (Amerikaans recht van toepassing) | Ja, indien Europese rechtspersoon host |
| Bescherming tegen IEEPA-opschorting | Nee | Ja, geen Amerikaanse jurisdictie |
| Contractueel recht op continuïteit | Beperkt (overmachtsclausule) | Afhankelijk van hostingcontract |
| Volledige controle over encryptie | Alleen met Customer Key-add-on | Ja, standaard mogelijk |
NIS-2 en DORA: de regelgevende dimensie van operationele discontinuïteit
Europese regelgeving maakt de businesscase voor soevereine infrastructuur inmiddels ook juridisch afdwingbaar.
De NIS-2-richtlijn (artikel 21, risicobeheermaatregelen) verplicht essentiële en belangrijke entiteiten, waaronder overheidsorganisaties, energiebedrijven, financiële infrastructuur en zorgaanbieders, tot aantoonbaar risicobeheer voor hun toeleveringsketen en ICT-dienstverleners. Een scenario waarbij een externe cloudleverancier diensten eenzijdig opschort, valt direct onder de scope van dit artikel. Organisaties moeten kunnen aantonen dat zij alternatieve maatregelen hebben getroffen en dat de hersteltijd binnen de eigen vastgelegde normen valt.
DORA (Verordening 2022/2554, artikel 28, ICT-derdepartijrisico) legt financiële instellingen aanvullend de plicht op om contractueel te bedingen dat ICT-leveranciers medewerking verlenen aan toezicht, dat er exitstrategieën bestaan en dat afhankelijkheidsrisico’s worden gedocumenteerd. Een cloudleverancier die niet bereid of niet in staat is continuïteit te garanderen bij regulatorische druk, voldoet niet aan de eisen die DORA stelt aan kritieke ICT-derdepartijen.
“Organisations must treat third-party ICT dependencies as a source of systemic risk, not merely an operational convenience.” (Europese Bankautoriteit, in het kader van DORA-implementatieguidance)
De boetebevoegdheid onder de GDPR voegt een derde dimensie toe. De Europese Gegevensbeschermingsraad (EDPB) heeft bevestigd dat verwerking door een Amerikaans bedrijf, ook bij gebruik van Standard Contractual Clauses, aanvullende waarborgen vereist wanneer er een reëel risico bestaat op toegang door Amerikaanse autoriteiten. Het ICC-incident illustreert dat dit risico niet hypothetisch is.
Soevereine alternatieven die politieke opschorting structureel uitsluiten
De kern van het probleem is jurisdictie, niet technologie. Elke oplossing die dit risico structureel adresseert, moet de juridische aanknopingspunten met het Amerikaanse recht doorbreken.
Nextcloud is een open-source samenwerkingsplatform dat e-mail, bestandsdeling, agenda, videovergaderen en documentbewerking combineert in één omgeving die volledig on-premise of bij een Europese hostingprovider kan worden gehost. Omdat Nextcloud GmbH een Duits bedrijf is en de software open-source is, bestaat er geen afhankelijkheid van een Amerikaanse rechtspersoon. Er is geen back-end verbinding met een Amerikaanse cloud en er is geen mechanisme waarmee een buitenlandse overheid de dienstverlening eenzijdig kan onderbreken.
Voor e-mail specifiek bieden oplossingen als Dovecot/Postfix-stacks op eigen servers, of bij gecertificeerde Europese aanbieders gehoste diensten, een vergelijkbaar niveau van soevereiniteit. Zwitserse hostinglocaties bieden aanvullende bescherming omdat Zwitsers recht geen equivalent kent van de CLOUD Act of de IEEPA, en omdat Zwitserland geen EU-lidstaat is maar wel het Schengenacquis op het gebied van gegevensbescherming volgt.
Structurele continuïteitsmaatregelen die organisaties direct kunnen treffen:
- Stel een gedocumenteerd uitwijkplan op voor elke kritieke cloudafhankelijkheid, inclusief een geactiveerde hersteltijd (RTO) die aansluit op NIS-2-verplichtingen.
- Host e-mail en samenwerking op infrastructuur die juridisch buiten het bereik valt van de CLOUD Act en IEEPA, bij voorkeur on-premise of bij een gecertificeerde Europese aanbieder.
- Pas end-to-end encryptie toe waarbij de sleutels uitsluitend onder controle van de eigen organisatie staan, zodat een leverancier die gedwongen wordt mee te werken aan een overheidsverzoek geen leesbare data kan overdragen.
- Voer jaarlijks een derdepartijrisicoanalyse uit conform DORA artikel 28 en leg deze vast voor toezichthouders.
- Gebruik multi-cloudarchitectuur of een hybride model zodat uitval of opschorting van één leverancier niet leidt tot volledige operationele stilstand.
De migratieafweging: van Microsoft 365 naar soevereine werkruimte
Een migratie van Microsoft 365 naar een soeverein alternatief is geen triviale operatie, maar de complexiteit ervan wordt vaak overschat. De functionele overlap tussen Nextcloud (met apps voor office, e-mail, kalender en videoconferentie) en het Microsoft 365-pakket is voor de meeste organisaties voldoende groot om een volledige overstap te rechtvaardigen.
Meer dan 80 procent van de Fortune 500-bedrijven gebruikt Microsoft 365 (Microsoft Corporation, 2024), wat aangeeft hoe groot de geconcentreerde afhankelijkheid op wereldschaal is. Voor organisaties in gereguleerde sectoren is deze concentratie juist een argument voor spreiding, niet voor consolidatie. Een toezichthouder die vraagt naar de exitstrategie voor uw primaire ICT-leverancier, verwacht een concreet antwoord, geen verwijzing naar de SLA van dezelfde leverancier.
Bij de migratieafweging spelen drie factoren een doorslaggevende rol: de juridische kwalificatie van de verwerkingsverantwoordelijke (bent u een essentiële entiteit onder NIS-2?), de gevoeligheid van de verwerkte gegevens (vallen deze onder beroepsgeheim, staatsgeheim of bijzondere categorieën?), en de politieke exposure van uw organisatie (werkt u voor of met partijen die potentieel doelwit zijn van sancties?). Hoe hoger de score op deze drie factoren, hoe sterker de businesscase voor een soevereine werkruimte.
FAQ
Kan Microsoft mijn organisatie zomaar de toegang tot e-mail en bestanden ontzeggen?
Ja. Microsoft kan diensten opschorten wanneer een klant onder Amerikaanse sancties valt of wanneer een wet zoals de IEEPA dat vereist. Standaard servicevoorwaarden bevatten een nalevingsclausule die eenzijdige opschorting toestaat zonder schadevergoedingsplicht voor Microsoft.
Wat maakt het ICC-incident van mei 2025 juridisch bijzonder?
De aanklager van het Internationaal Strafhof geniet diplomatieke immuniteit op grond van het Verdrag van Rome, maar dat bood geen bescherming tegen de IEEPA-sancties waaronder Microsoft moest opereren. Dit toont aan dat zelfs organisaties met verdragsrechtelijke status kwetsbaar zijn wanneer zij afhankelijk zijn van infrastructuur die onder Amerikaans recht valt.
Welke verplichtingen legt NIS-2 artikel 21 op aan organisaties met kritieke functies?
Artikel 21 van de NIS-2-richtlijn verplicht essentiële en belangrijke entiteiten tot passende technische en organisatorische maatregelen voor risicobeheer, waaronder bedrijfscontinuïteit, back-upbeheer en leveranciersrisico. Een cloudleverancier die diensten eenzijdig opschort, is een risico dat onder dit artikel beheersbaar moet zijn gemaakt.
Wat is het verschil tussen Nextcloud en Microsoft 365 op het gebied van datasouvereiniteit?
Microsoft 365 verwerkt data via een Amerikaanse rechtspersoon, ook als servers fysiek in Europa staan. De CLOUD Act en sanctiewetgeving zoals IEEPA zijn van toepassing. Nextcloud kan volledig on-premise of bij een Europese provider worden gehost, buiten Amerikaans rechtsbereik, met volledige controle over encryptie en toegangsrechten.
Hoe verhoudt DORA artikel 28 zich tot het risico van een cloudleverancier die diensten opschort?
DORA artikel 28 verplicht financiële instellingen tot een gedocumenteerde risicoanalyse van ICT-derdepartijen, inclusief exitstrategieën en contractuele opzeggingsrechten. Een onverwachte serviceonderbreking door een cloudleverancier is het kernscenario dat DORA wil beheersen: organisaties moeten aantonen dat zij een functioneel alternatief kunnen activeren binnen de vereiste hersteltijden.
