Een zero trust soevereine architectuur zonder Big Tech is een beveiligingsmodel waarbij geen enkel verzoek, gebruiker of apparaat standaard wordt vertrouwd, en waarbij alle controlecomponenten, van identiteitsbeheer tot netwerksegmentatie, draaien op infrastructuur buiten de jurisdictie van de Amerikaanse CLOUD Act of Patriot Act. Voor compliance officers en IT-beslissers in overheid, juridische dienstverlening en gereguleerde sectoren is dit geen academisch ideaal maar een concrete operationele vereiste.
Waarom standaard zero trust-producten geen soevereine architectuur opleveren
De meeste commerciële zero trust-oplossingen zijn onlosmakelijk verbonden met Amerikaanse cloudproviders, wat jurisdictionele risico’s meebrengt die niet door contractuele afspraken worden weggenomen.
Zero trust steunt op vier bouwstenen: een identiteitsprovider (IdP), een policy engine, device trust en netwerkmicrosegmentatie. In de gangbare Microsoft-stack vult Microsoft Entra ID de IdP-rol, draait de policy engine als een clouddienst in Amerikaanse datacenters, en worden apparaten geverifieerd via Microsoft Intune, eveneens een clouddienst. Google Workspace en Okta volgen hetzelfde patroon. Zodra een van deze componenten buiten EU-jurisdictie valt, is de architectuur per definitie niet soeverein, ongeacht welke GDPR-verwerkersovereenkomst er is getekend.
NIST SP 800-207, het referentiedocument voor zero trust-architectuur, benoemt zeven kernprincipes, waaronder het principe dat alle resources worden beschermd ongeacht netwerklocatie. Dat principe is neutraal ten aanzien van cloudleveranciers, maar de implementatie ervan bij Amerikaanse hyperscalers creëert afhankelijkheden die het soevereiniteitsvereiste ondermijnen.
“Zero trust is geen product dat je koopt, maar een strategie die je implementeert. De identiteitsprovider is daarbij de kurk waarop alles drijft.” (NIST SP 800-207)
De soevereine identiteitsprovider als fundament
De identiteitsprovider is de meest kritieke component: vervang je die door een soevereine oplossing, dan ontkoppel je de hele authenticatieketen van buitenlandse jurisdictie.
Keycloak en Authentik als open-source alternatieven
Keycloak, ontwikkeld door Red Hat en vrijgegeven als open-source software onder de Apache 2.0-licentie, ondersteunt SAML 2.0, OpenID Connect (OIDC) en OAuth 2.0. De software kan volledig on-premise draaien op eigen servers of in een gecertificeerde Europese private cloud, zonder verplichte verbinding met externe diensten. Federatie met bestaande directory-diensten zoals Active Directory on-premise is mogelijk via LDAP. Voor organisaties die willen migreren van Microsoft Entra ID, biedt Keycloak een directe vervanging die interoperabiliteit met bestaande applicaties behoudt via standaardprotocollen.
Authentik is een lichter alternatief dat geschikt is voor organisaties zonder een dedicated IAM-team. Het ondersteunt SAML, OIDC en SCIM voor geautomatiseerde gebruikersprovisioning, en is sneller te implementeren dan Keycloak. Het nadeel is een minder rijke auditlogfunctionaliteit, wat bij strenge compliancevereisten een overweging is.
Meer dan 60 procent van de datalekken in de EU wordt veroorzaakt door misbruik van geldige inloggegevens, aldus de ENISA Threat Landscape 2023. Een soevereine IdP die multifactorauthenticatie afdwingt en sessietokens lokaal uitgeeft, reduceert dit risico structureel zonder afhankelijk te zijn van Amerikaanse clouddiensten.
SAML/OIDC-interoperabiliteit behouden
Een veelgehoord bezwaar is dat migratie van Entra ID naar Keycloak applicaties zou breken. In de praktijk vereist een SAML- of OIDC-koppeling slechts het aanpassen van de issuer-URL en het vervangen van het certificaat. Applicaties die de standaarden correct implementeren, hoeven niet te worden herschreven. Het is verstandig om per applicatie een federatiematrix bij te houden die aantoont welke IdP-URL actief is, wat ook voor NIS-2-documentatie bruikbaar is.
Device trust zonder Intune of Apple MDM-cloud
Continue device-verificatie, ook wel device posture assessment, controleert bij elke toegangsaanvraag of het apparaat voldoet aan beveiligingseisen zoals schijfversleuteling, patchniveau en aanwezigheid van endpointbeveiligingssoftware. In de Microsoft-stack verloopt dit via Intune, een clouddienst. Voor soevereine architecturen zijn er twee alternatieven.
Ten eerste: een on-premise MDM-oplossing zoals Mosyle voor macOS (self-hosted variant) of een open-source oplossing als Fleet, die apparaatinventarisatie en posturecontrole uitvoert zonder clouddienst. Ten tweede: Teleport, een open-source toegangsbeheertool die certificaatgebaseerde toegang per sessie combineert met device-posturecontroles. Teleport kan volledig on-premise worden ingezet en integreert met Keycloak als IdP via OIDC. Elke toegangssessie wordt geauditlogd, wat een directe bijdrage levert aan de aantoonbaarheidsplicht onder NIS-2.
CADA SEAL-niveaus en hun eisen aan zero trust
De CADA-soevereiniteitsniveaus (Cloud Adoption Decision Aid) bieden een gelaagd kader voor Europese overheidsorganisaties om te bepalen welk niveau van operationele autonomie vereist is.
| CADA SEAL-niveau | Vereiste voor identiteitsbeheer | Toegestane IdP-oplossing |
|---|---|---|
| Niveau 1 | Versleuteling vereist, provider mag buiten EU zijn | Microsoft Entra ID, Okta toegestaan |
| Niveau 2 | Verwerking en opslag binnen EU, contractuele waarborgen | EU-gehoste versie van commerciële IdP mogelijk |
| Niveau 3 | Volledige operationele autonomie, geen niet-EU-jurisdictie | Alleen Keycloak, Authentik of vergelijkbare open-source IdP on-premise |
Op SEAL-niveau 3, vereist voor gevoelige overheidsinformatie en gerubriceerde gegevens, moet de volledige zero trust-controleketen onder eigen beheer staan. Dat betekent ook dat de policy engine, de auditlogopslag en het sleutelbeheer on-premise of in een gecertificeerde soevereine EU-cloud draaien, zonder afhankelijkheid van een Amerikaanse moedermaatschappij.
NIS-2 artikel 21 en de documentatieplicht
NIS-2 artikel 21 lid 2 sub j verplicht essentiële en belangrijke entiteiten tot het implementeren van passende toegangsbeleidmaatregelen. De NIS-2-richtlijn formuleert het zo:
“Organisaties moeten passende technische en organisatorische maatregelen treffen om de risico’s voor de beveiliging van netwerk- en informatiesystemen te beheersen.” (NIS-2-richtlijn (EU) 2022/2555, artikel 21)
Het aantal meldingen van datalekken bij de Autoriteit Persoonsgegevens steeg in 2023 tot meer dan 25.000, aldus het jaarverslag van de AP. Toezichthouders verwachten bij een incident niet alleen dat een maatregel aanwezig was, maar ook dat de organisatie kan aantonen dat die maatregel effectief was. Dat stelt eisen aan de documentatie.
Een bruikbare documentatiestructuur voor zero trust als NIS-2-maatregel bevat vier elementen:
- Maatregel: beschrijving van de technische implementatie, bijvoorbeeld Keycloak als IdP met MFA-afdwinging, gecombineerd met Teleport voor privileged access management.
- Risicoafweging: waarom deze maatregel, gebaseerd op welke dreigingsscan of risicoanalyse.
- Beleidsregel: welk intern beleidsdocument (toegangsbeleid, IAM-policy) de maatregel voorschrijft.
- Aantoonbaarheid: auditlogs uit Teleport of Keycloak die aantonen dat de maatregel actief is en wordt gehandhaafd.
Microsegmentatie en netwerktoegang zonder cloudafhankelijkheid
Microsegmentatie, het vierde bouwblok van zero trust, beperkt laterale beweging binnen een netwerk. Tailscale in de self-hosted variant (via de open-source Headscale-server) biedt een WireGuard-gebaseerd overlay-netwerk dat volledig on-premise kan worden beheerd. Elke verbinding vereist authenticatie via de eigen IdP (Keycloak of Authentik) en is per gebruiker en apparaat instelbaar. Dat maakt het geschikt voor gedistribueerde teams die werken met soevereine Nextcloud-werkruimten of on-premise applicaties, zonder VPN-concentrator of cloudrelay.
Voor serverinfrastructuur biedt Teleport een alternatief door SSH-toegang, Kubernetes-toegang en databasetoegang te combineren in één toegangsplatform met kortlevende certificaten. Omdat elk certificaat is gebonden aan een geverifieerde identiteitsaanvraag, voldoet elke sessie automatisch aan het zero trust-principe van minimale toegang en expliciete verificatie, twee van de zeven principes uit NIST SP 800-207.
Validatie voor gebruik in gereguleerde sectoren
Open-source tools als Keycloak, Authentik en Teleport zijn niet gecertificeerd onder nationale cybersecuritykeurmerken, maar certificering is voor NIS-2-compliance ook geen vereiste. Wat telt, is het aantoonbaar beheersen van risico’s. In de praktijk valideren organisaties in gereguleerde sectoren deze tools via penetratietests door geaccrediteerde partijen, configuratiereviews door een onafhankelijke derde partij en jaarlijkse herbeoordeling als onderdeel van een ISMS conform ISO/IEC 27001. De combinatie van open-source code (transparant auditeerbaar) en gedocumenteerde beveiligingsconfiguratie biedt in veel gevallen meer vertrouwen dan een gesloten commercieel product waarvan de broncode niet te inspecteren valt.
Veelgestelde vragen
Kan Keycloak volledig on-premise draaien zonder externe cloudafhankelijkheid?
Ja. Keycloak is een open-source identiteitsprovider die volledig on-premise of in een private EU-cloud kan worden ingezet. De software heeft geen verplichte verbinding nodig met externe diensten van Red Hat of andere partijen. Federatie met externe providers, zoals sociale logins, is optioneel en kan worden uitgeschakeld.
Wat is het verschil tussen CADA SEAL-niveau 1 en niveau 3 voor identiteitsbeheer?
CADA SEAL-niveau 1 staat gebruik van publieke cloudoplossingen toe mits versleuteld. Niveau 3 vereist dat identiteitsbeheer en sleutelbeheer volledig onder eigen controle staan. Op niveau 3 moet de identiteitsprovider on-premise of in een gecertificeerde Europese soevereine omgeving draaien, zonder gebruik van Microsoft Entra ID, Okta of vergelijkbare Amerikaanse diensten.
Hoe verschilt Teleport van een traditionele VPN in een soevereine context?
Teleport biedt op certificaten gebaseerde toegang per sessie in plaats van een permanente netwerktunnel. Elke toegangssessie wordt geauthenticeerd via de eigen identiteitsprovider en volledig geauditlogd. Dat past beter bij het zero trust-principe “verifieer altijd” dan een VPN, dat vertrouwen verleent op netwerkniveau zodra een gebruiker verbinding heeft.
Hoe documenteer je zero trust-maatregelen als bewijs voor NIS-2-toezichthouders?
Documenteer per NIS-2 artikel 21 lid 2 sub j de technische maatregel, de beleidsregel die erachter zit, de risicoafweging die tot die keuze leidde, en de auditlogs die aantonen dat de maatregel actief werkt. Een risicoregister gekoppeld aan een ISMS conform ISO/IEC 27001 biedt de structuur die toezichthouders herkennen.
Is Authentik een geschikt alternatief voor Keycloak in kleinere organisaties?
Authentik is een lichtgewichtiger open-source IdP die eenvoudiger te beheren is dan Keycloak en SAML 2.0, OIDC en SCIM ondersteunt. Voor kleine teams zonder dedicated IAM-beheerder is Authentik vaak praktischer. Keycloak biedt meer uitgebreide configuratiemogelijkheden en is beter gedocumenteerd voor gebruik in gereguleerde sectoren met strenge auditverplichtingen.
