Een hybride multi-cloud soevereine on-premise Europese cloud combinatie is een architectuurmodel waarbij een organisatie haar eigen infrastructuur (on-premise of privécloud) gebruikt als beveiligde kernlaag voor de meest gevoelige data, terwijl minder kritieke workloads worden uitbesteed aan gecertificeerde Europese cloudaanbieders die aantoonbaar buiten de reikwijdte van niet-EU rechtsmacht opereren. Dit model beantwoordt direct aan de jurisdictierisico’s van de US CLOUD Act en de Patriot Act, en vormt de praktische uitwerking van datasoevereiniteit voor compliance officers en IT-beslissers in gereguleerde sectoren.
Waarom een enkelvoudige cloudkeuze onvoldoende is
Wie uitsluitend kiest voor een hyperscaler als Microsoft Azure of AWS, of uitsluitend voor een Europese publieke cloudaanbieder, mist de genuanceerde bescherming die gereguleerde sectoren vereisen. Een enkelvoudige aanpak creëert óf jurisdictierisico’s óf operationele beperkingen.
De US CLOUD Act van 2018 verplicht Amerikaanse aanbieders om op gerechtelijk bevel data te verstrekken aan Amerikaanse autoriteiten, ongeacht waar die data fysiek is opgeslagen. Dit geldt ook voor Europese datacenters van Microsoft, Google en Amazon, zolang de moedermaatschappij Amerikaans is. Het Europees Hof van Justitie bevestigde in de Schrems II-uitspraak (C-311/18) dat dit een structureel spanningsveld oplevert met de GDPR.
Meer dan 75% van de EU-overheden maakt gebruik van clouddiensten van niet-EU-aanbieders, waardoor zij blootstaan aan extraterritoriale rechtsmacht (European Parliament, ‘Sovereignty in the digital age’, 2023). Dit maakt het hybride model niet slechts een technische voorkeur, maar een compliance-noodzaak.
Architectuurlagen en dataclassificatie als governancefundament
Een hybride soevereine architectuur werkt pas als er een helder dataclassificatieraamwerk aan ten grondslag ligt dat bepaalt welke data in welke laag terechtkomt.
De drie lagen van een hybride soeverein model
| Laag | Locatie | Voorbeelddata | Vereist certificeringsniveau |
|---|---|---|---|
| Kernlaag (hoogste gevoeligheid) | On-premise of privécloud | Bijzondere persoonsgegevens (GDPR art. 9), juridisch geprivilegieerde communicatie, staatsgeheimen | Eigen beheer, geen externe aanbieder |
| Soevereine cloudlaag | SEAL-3-gecertificeerde Europese PaaS | Zakelijke communicatie, projectdocumentatie, interne applicaties | EU Cloud Sovereignty Framework SEAL-3 (OVHcloud, STACKIT, Scaleway) |
| Operationele cloudlaag | SEAL-2-gecertificeerde Europese cloud | Publieke websites, testomgevingen, niet-vertrouwelijke analyses | SEAL-2, data fysiek in EU |
De BIO2 (Baseline Informatiebeveiliging Overheid versie 2) schrijft voor Nederlandse overheidsorganisaties voor dat hybride cloudarchitecturen aantoonbaar moeten voldoen aan risicoanalyses per datalaag, met expliciete koppeling aan de BIV-classificatie (Beschikbaarheid, Integriteit, Vertrouwelijkheid). Organisaties die onder de BIO2 vallen, kunnen de bovenstaande laagsgewijze indeling direct koppelen aan hun bestaande BIV-labels.
De CADA artikel 29-risicobeoordelingsplicht (in de context van GDPR-uitvoeringsmaatregelen voor overheidsdata) vereist bovendien dat de keuze voor een cloudlaag wordt onderbouwd met een gedocumenteerde risicoanalyse, inclusief een beoordeling van de juridische toegankelijkheid voor derde partijen. Dit maakt dataclassificatie niet alleen een technisch maar ook een juridisch governance-instrument.
“Data sovereignty is not merely a technical configuration; it is a legal obligation. Organisations that store personal or sensitive data in US-controlled clouds accept that a US court order can override European data protection law.”
Wojciech Wiewiórowski, European Data Protection Supervisor (EDPS), EDPS Opinion 2/2023
Het EU Cloud Sovereignty Framework en SEAL-3 in de praktijk
SEAL-3 is het hoogste niveau binnen het EU Cloud Sovereignty Framework en vereist dat een aanbieder operationeel volledig onafhankelijk is van niet-EU entiteiten, zowel qua eigendomsstructuur als qua contractuele afhankelijkheden.
Aanbieders als OVHcloud (Frans), STACKIT (onderdeel van Schwarz Groep, Duits) en Scaleway (Frans) positioneren zich op of nabij dit niveau. Het onderscheidende criterium van SEAL-3 ten opzichte van SEAL-2 is dat geen enkele buitenlandse overheidsinstantie via juridische dwang toegang kan afdwingen, omdat er geen moedermaatschappij of significante aandeelhouder buiten de EU bestaat die onder buitenlandse rechtsmacht valt.
62% van Europese organisaties in gereguleerde sectoren noemt NIS-2-compliance als primaire drijfveer voor het herzien van hun cloudstrategie (ENISA, ‘NIS Investments 2023 Report’, 2023). Dit cijfer illustreert dat de beweging naar SEAL-3-gecertificeerde aanbieders grotendeels compliance-gedreven is, niet primair kostengedreven.
NIS-2 en continuïteitsverplichtingen in een hybride architectuur
NIS-2 artikel 21 lid 2 sub c verplicht essentiële en belangrijke entiteiten tot aantoonbare maatregelen voor bedrijfscontinuïteit, back-upbeheer en noodherstel.
In een hybride architectuur betekent dit concreet: elke datalaag heeft een gedocumenteerde RTO (Recovery Time Objective) en RPO (Recovery Point Objective), de back-up van de on-premise kernlaag is geografisch gescheiden en wordt niet opgeslagen bij dezelfde aanbieder als de soevereine cloudlaag, en herstelscenario’s worden minstens jaarlijks getest en gedocumenteerd. De testresultaten vormen bewijsmateriaal bij een eventuele NIS-2-audit door de nationale toezichthouder.
“Een hybride cloudstrategie zonder expliciete dataclassificatie en exit-clausules is geen strategie, maar een risicoverschuiving.”
Kees Hintzbergen, adviseur informatiebeveiliging, Nationaal Cyber Security Centrum (NCSC-NL)
De lessen van eu-LISA voor gereguleerde sectoren
eu-LISA (het EU-agentschap voor operationeel beheer van grootschalige IT-systemen) beheert kritieke systemen zoals het Schengen Informatiesysteem (SIS) en Eurodac. De eu-LISA hybride multi-cloudstrategie, beschreven in haar Multi-Annual IT Strategy, is om twee redenen instructief voor gereguleerde organisaties.
Ten eerste hanteert eu-LISA het principe van ‘cloud by default, sovereign by design’: standaard worden workloads in de meest efficiënte omgeving geplaatst, maar soevereiniteitsoverwegingen zijn een harde randvoorwaarde, geen afweging achteraf. Ten tweede werkt eu-LISA met expliciete portabiliteitsvereisten in alle cloudcontracten: aanbieders moeten kunnen aantonen dat volledige datamigratie binnen een contractueel bepaalde termijn mogelijk is, met behoud van data-integriteit en zonder aanvullende kosten. Dit zijn twee principes die elke gereguleerde organisatie contractueel kan afdwingen, ongeacht schaal.
De Europese markt voor soevereine cloudoplossingen groeit naar verwachting van 4,1 miljard euro in 2023 naar 12,8 miljard euro in 2028 (MarketsandMarkets, ‘Sovereign Cloud Market – Global Forecast to 2028’, 2023). Deze groei weerspiegelt dat de eu-LISA-aanpak geen uitzondering is, maar een bredere bestuurlijke verschuiving.
Nextcloud als on-premise kernlaag: integratie en beperkingen
Nextcloud is een open-source samenwerkingsplatform dat volledig on-premise kan worden gehost, waarmee organisaties een Microsoft 365-equivalent bouwen zonder afhankelijkheid van externe partijen. Als on-premise kernlaag in een hybride architectuur biedt Nextcloud ondersteuning voor WebDAV, CalDAV, LDAP/Active Directory en OpenID Connect, wat integratie met externe systemen technisch mogelijk maakt.
Praktische uitdagingen bij SEAL-3-integratie
De integratie van Nextcloud on-premise met SEAL-3-gecertificeerde PaaS-diensten brengt specifieke uitdagingen mee. De Nextcloud External Storage-module maakt koppeling met S3-compatibele buckets van aanbieders als OVHcloud Object Storage of STACKIT S3 mogelijk. Maar zonder strikte beleidsconfiguratie kunnen gebruikers gevoelige bestanden onbedoeld synchroniseren naar de externe opslaglaag, waarmee de dataclassificatie wordt ondermijnd.
De geëigende aanpak combineert drie maatregelen: (1) expliciete mappenstructuur waarbij externe opslag uitsluitend is gekoppeld aan mappen met SEAL-3-geschikte classificatie, (2) Nextcloud-auditlogging die alle bestandsbewegingen naar externe opslag registreert en koppelt aan de gebruikersidentiteit, en (3) periodieke classificatiereviews waarbij de auditlogs worden getoetst aan het geldende dataclassificatieraamwerk.
Een bijkomende uitdaging is identiteitsmanagement: wanneer Nextcloud on-premise draait en PaaS-diensten een eigen identity provider gebruiken, ontstaat een gefragmenteerd toegangsbeheer. Een centrale OpenID Connect-broker, gehost op de eigen infrastructuur, lost dit op zonder dat identiteitsdata de on-premise omgeving verlaat.
Exit-strategie en anti-lock-in als structurele eis
Een hybride soevereine architectuur die geen expliciete exit-strategie bevat, verschuift vendor lock-in slechts van één grote aanbieder naar meerdere kleinere aanbieders. De exit-strategie is geen bijlage bij het contract, maar een technisch en juridisch ontwerpraamwerk.
Technisch vereist dit het gebruik van open en interoperabele standaarden in elke laag: S3-compatibele objectopslag (niet een proprietaire variant), standaard databaseformaten, en containerisatie via open specificaties. Juridisch vereist dit contractuele data-exportrechten, maximale migratietermijnen (typisch 30 tot 90 dagen), en een verbod op technische belemmeringen bij contractbeëindiging. De eu-LISA-aanpak voegt daar een ‘dry run’-vereiste aan toe: aanbieders moeten aantonen dat migratie daadwerkelijk uitvoerbaar is, vóór contractverlenging.
Voor organisaties die migreren van Microsoft 365 naar een soevereine Nextcloud-omgeving geldt hetzelfde principe in omgekeerde richting: zorg dat alle data vóór de overstap is geëxporteerd in open formaten (ODF voor documenten, iCal voor agenda’s, vCard voor contacten) en dat de oude Microsoft-omgeving nog minimaal 90 dagen beschikbaar blijft als read-only terugvaloptie.
Veelgestelde vragen
Welke data moet per definitie on-premise blijven in een hybride soevereine architectuur?
Data die onder bijzondere categorieën valt in de zin van GDPR artikel 9 (gezondheid, biometrie, strafrechtelijke gegevens), vertrouwelijke juridische communicatie, staatsgeheimen en operationele gegevens van kritieke infrastructuur horen thuis in de on-premise kernlaag of in een privécloud onder volledige eigen controle, buiten bereik van buitenlandse rechtsmacht.
Wat is het verschil tussen SEAL-2 en SEAL-3 in het EU Cloud Sovereignty Framework?
SEAL-2 vereist dat data zich fysiek binnen de EU bevindt en dat de aanbieder aantoonbaar onafhankelijk is van niet-EU rechtsmacht. SEAL-3 voegt daar operationele soevereiniteit aan toe: de aanbieder mag geen significante eigendomsstructuur of contractuele afhankelijkheid hebben van entiteiten buiten de EU, en moet kunnen aantonen dat geen enkele buitenlandse overheidsinstantie toegang kan afdwingen.
Hoe voorkom je vendor lock-in bij een hybride multi-cloudarchitectuur?
Door open standaarden als S3-compatibele opslag, OpenID Connect en WebDAV centraal te stellen, exit-clausules contractueel vast te leggen met maximale migratietijden en data-exportrechten, en ten minste twee gecertificeerde Europese aanbieders parallel te gebruiken voor niet-kritieke workloads. Regelmatige portabiliteitstests, waarbij data daadwerkelijk wordt gemigreerd naar een testomgeving, maken de exit-strategie concreet en aantoonbaar.
Wat verplicht NIS-2 artikel 21 lid 2 sub c concreet voor hybride cloudomgevingen?
NIS-2 artikel 21 lid 2 sub c verplicht essentiële en belangrijke entiteiten tot maatregelen voor bedrijfscontinuïteit, inclusief back-upbeheer, noodherstel en crisismanagement. In een hybride cloudomgeving betekent dit aantoonbare replicatie van kritieke data naar een geografisch gescheiden locatie, gedocumenteerde RTO- en RPO-doelstellingen per datalaag, en periodiek geteste herstelprocedures die onafhankelijk zijn van de primaire cloudaanbieder.
Kan Nextcloud on-premise worden geïntegreerd met SEAL-3-gecertificeerde PaaS-diensten van OVHcloud of STACKIT?
Ja, technisch is integratie mogelijk via de Nextcloud External Storage-koppeling met S3-compatibele buckets en via OpenID Connect voor gecentraliseerd identiteitsbeheer. De praktische uitdaging zit in het bewaken van de gegevensstroom: zonder strikte beleidsregels en automatische classificatietags kan gevoelige data onbedoeld naar de PaaS-laag worden gesynchroniseerd. Een Nextcloud-beleidsconfiguratie die bepaalde mappen uitsluit van externe synchronisatie, gecombineerd met audit-logging, is hiervoor de geëigende aanpak.
