Een soevereine multi-cloud hybride cloud architectuur is een IT-infrastructuurmodel waarbij een organisatie workloads verdeelt over meerdere cloudplatformen en on-premise omgevingen, met als harde randvoorwaarde dat jurisdictie, sleutelbeheer en dataportabiliteit altijd aantoonbaar onder eigen of Europese rechtsmacht vallen. Het is daarmee fundamenteel anders dan een gewone multi-cloudstrategie, waarbij kostenoptimalisatie of beschikbaarheid de primaire drijfveer zijn.
Soevereiniteit versus gewone multi-cloud: de essentiële verschillen
Een gewone multi-cloudaanpak verdeelt workloads over AWS, Azure of Google Cloud voor redundantie of prijsconcurrentie, maar stelt geen jurisdictionele eisen aan de providers. Een soevereine variant voegt drie aanvullende vereisten toe: juridische onafhankelijkheid van buitenlandse inlichtingenwetgeving, technisch sleutelbeheer dat uitsluitend bij de organisatie zelf ligt, en aantoonbare dataportabiliteit zonder commerciële drempel.
Het jurisdictieprobleem is concreet: de Amerikaanse CLOUD Act (18 U.S.C. § 2713) verplicht Amerikaanse providers om data aan Amerikaanse autoriteiten te verstrekken, ongeacht waar die data fysiek is opgeslagen. Dat geldt dus ook voor data in Europese datacenters van Microsoft, Amazon of Google. De Patriot Act kent vergelijkbare bepalingen. Organisaties in de overheid, juridische sector en andere gereguleerde sectoren kunnen zich hier niet juridisch achter verbergen door te wijzen op een overeenkomst met een lokale entiteit, zolang die entiteit uiteindelijk eigendom is van een Amerikaans moederbedrijf.
“Sovereignty is not just about where data is stored, but about who has the legal authority to access it and under what conditions.” (Thierry Breton, voormalig Europees Commissaris voor de Interne Markt, European Commission Digital Strategy)
Open standaarden als fundament tegen vendor lock-in
Soevereiniteit zonder portabiliteit is kwetsbaar. Als een leverancier wegvalt, overgenomen wordt of zijn voorwaarden wijzigt, moet een organisatie snel kunnen migreren. Dat vereist architecturale keuzes die gemaakt worden vóórdat de eerste workload wordt uitgerold.
Kubernetes en containerorkestratie
Kubernetes is de de-facto standaard voor containerorkestratie en wordt door alle grote Europese cloudproviders ondersteund, inclusief providers die draaien op OpenStack. Door applicaties te verpakken als Kubernetes-workloads met standaard Helm-charts, worden ze in principe platform-agnostisch. De valkuil zit in managed Kubernetes-diensten die propriëtaire uitbreidingen gebruiken: vermijd opslag-klassen, netwerkoverlays of monitoring-agents die niet elders beschikbaar zijn.
OpenStack voor soevereine infrastructuur
De OpenStack Foundation (inmiddels de Open Infrastructure Foundation, via openinfra.dev) beheert een open-source cloudplatform dat door tientallen Europese providers wordt ingezet. OpenStack biedt compute, netwerken en opslag via gestandaardiseerde API’s. Europese providers zoals Infomaniak (Zwitserland), OVHcloud (Frankrijk) en IONOS (Duitsland) draaien op of naast OpenStack, waardoor workloads die hierop zijn gebouwd in theorie zonder herconfiguratie verhuisd kunnen worden.
S3-compatibele API’s voor objectopslag
Het S3-protocol, oorspronkelijk van AWS, is de facto industriestandaard geworden voor objectopslag. Omdat het protocol open en breed geïmplementeerd is (via MinIO, Ceph, OVHcloud Object Storage en andere), kan een organisatie die S3-compatibele API’s gebruikt haar objectopslag verplaatsen zonder applicatiewijzigingen. Dit is een van de snelste manieren om concrete portabiliteit te verankeren in de architectuur.
“Vendor lock-in is the single greatest threat to long-term cloud sovereignty for public-sector organisations in Europe.” (ENISA, European Union Agency for Cybersecurity, Cloud Security for the Public Sector)
De EU Data Act: portabiliteit als juridisch recht
De EU Data Act (Verordening 2023/2854) voegt aan technische maatregelen een juridische verplichting toe. De artikelen 23 tot en met 31 verplichten cloudproviders actief mee te werken aan overstap naar een concurrent. Concreet houdt dit in: overstap binnen dertig dagen faciliteren, technische assistentie bieden, geen buitensporige kosten in rekening brengen voor dataoverdracht en gedocumenteerde interoperabele interfaces aanbieden.
Voor compliance officers is dit een belangrijk instrument bij contractonderhandelingen: providers die zich niet houden aan artikelen 23-31 van de Data Act schenden EU-recht. In nieuwe contracten kan worden verwezen naar deze artikelen als afdwingbare verplichting, niet slechts als best-effort toezegging. De Data Act trad in werking in januari 2024 en geldt vanaf september 2025 volledig.
Continuïteit bij overname of faillissement van een Europese leverancier
Een soevereine architectuur anticipeert actief op het scenario dat een Europese provider wordt overgenomen door een niet-EU-partij, of zijn dienstverlening staakt. Dit vereist een combinatie van contractuele en technische maatregelen.
Contractueel: zorg voor expliciete change-of-control clausules die het recht geven de overeenkomst te beëindigen als de provider van eigenaar wisselt naar een partij buiten de EU. Dit is juridisch afdwingbaar en sluit aan op de continuïteitsvereisten van NIS-2.
Technisch: eigen sleutelbeheer (bring-your-own-key of hold-your-own-key) betekent dat zelfs als een provider overgenomen wordt, de nieuwe eigenaar geen toegang heeft tot versleutelde data zonder medewerking van de organisatie. Combineer dit met regelmatige gesynchroniseerde back-ups op een tweede, onafhankelijke locatie, bij voorkeur on-premise of bij een Zwitserse provider buiten de EU maar met sterke privacywetgeving.
| Scenario | Risico zonder soevereine architectuur | Mitigatie met soevereine architectuur |
|---|---|---|
| Europese provider overgenomen door Amerikaans bedrijf | CLOUD Act-toegang, verlies jurisdictionele controle | Change-of-control clausule, BYOK, migratie via Kubernetes in 24-72 uur |
| Provider failliet of stopt dienst | Data-verlies, langdurige migratie | S3-compatibele back-up op tweede provider, geautomatiseerde failover |
| Prijsverhoging of voorwaardenwijziging | Geen alternatief door proprietaire API’s | Open standaarden, Data Act art. 23-31 als afdwingbaar recht |
CADA-niveaus 2 en 3: minimumvereisten per component
De CLOUD and AI Development Act (CADA), met name annexe II, introduceert een gelaagd soevereiniteitskader. Voor overheids- en gereguleerde organisaties zijn de niveaus 2 en 3 de relevante referentiepunten.
CADA niveau 2 vereist dat data uitsluitend op EU-grondgebied wordt opgeslagen en dat de cloudprovider niet eigendom is van een entiteit buiten de EU. Niveau 3 gaat verder: operationeel beheer en cryptografisch sleutelbeheer zijn volledig in EU-handen, zonder enige technische toegangsmogelijkheid voor buitenlandse autoriteiten. Voor hoog-risicocomponenten, zoals identiteitsbeheer, toegangslogboeken en communicatieplatformen, is niveau 3 de minimumnorm.
Voor NIS-2-audits documenteer je per cloudcomponent het bereikte CADA-niveau, het certificeringsniveau onder het EUCS (European Cybersecurity Certification Scheme for Cloud Services van ENISA) en de contractuele portabiliteitsverplichtingen op basis van de Data Act. Het Gaia-X Trust Framework biedt een gestandaardiseerd labelingsformaat dat auditoren en toezichthouders herkennen: providers die het Gaia-X-label dragen hebben hun compliance met het Trust Framework aantoonbaar gemaakt via een onafhankelijke conformiteitsbeoordeling.
Statistieken over de Europese sovereign cloud markt
- Meer dan 75% van de Europese ondernemingen maakt gebruik van cloudinfrastructuur waarbij de primaire provider buiten de EU is gevestigd (Eurostat ICT Usage in Enterprises, 2023).
- De Europese markt voor sovereign cloud-oplossingen wordt geraamd op circa 106 miljard euro in 2030 (European Commission, Study on Sovereign Cloud, 2023).
- Organisaties zonder gestandaardiseerde containerorkestratie rapporteren gemiddeld twee tot vier keer langere migratietijden bij een gedwongen leverancierswissel (ENISA Cloud Security Report, 2023).
NIS-2-audit: documentatiestrategie per laag
NIS-2 (Richtlijn 2022/0383) verplicht essentiële en belangrijke entiteiten om risicobeheersmaatregelen te documenteren die de volledige toeleveranciersketen omvatten. Voor een soevereine hybride architectuur betekent dit een gelaagde documentatiestrategie.
Per cloudcomponent (compute, opslag, netwerk, identiteit, back-up) documenteer je: het CADA-niveau, het EUCS-certificeringsniveau van de provider, de jurisdictie van de provider en diens uiteindelijke eigenaar, de sleutelbeheer-architectuur (inclusief wie de sleutels beheert en waar ze worden opgeslagen), en de contractuele portabiliteitsverplichtingen inclusief verwijzing naar Data Act artikelen 23-31. Dit levert een auditdossier op dat zowel voor NIS-2 als voor een eventueel GDPR-toezichtonderzoek bruikbaar is.
Het Gaia-X Trust Framework biedt aanvullende waarde omdat het een gestandaardiseerde, machine-leesbare beschrijving (de Verifiable Credential) genereert voor elke cloudservice. Toezichthouders zoals het BSI in Duitsland en ANSSI in Frankrijk werken actief met dit format, wat de auditlast verlaagt.
Praktische migratievolgorde voor hybride soevereine architecturen
Organisaties die migreren van een bestaande, niet-soevereine omgeving (bijvoorbeeld volledig op Microsoft 365 of AWS) naar een soevereine hybride architectuur, doen er verstandig aan de volgorde te baseren op risicoprofiel. Begin met de laagste hangen vruchten: objectopslag naar een S3-compatibele Europese provider, gevolgd door containerisatie van applicaties via Kubernetes. Identiteits- en toegangsbeheer, het meest kritische onderdeel, migreert als laatste en alleen nadat het sleutelbeheerkader volledig is ingericht.
Bij de migratie van een samenwerkingsplatform zoals Microsoft 365 naar een soevereine Nextcloud-omgeving is het belangrijk dat Nextcloud zelf als open-source platform geen vendor lock-in introduceert: alle bestanden zijn direct toegankelijk via WebDAV, caldav en carddav, en de onderliggende opslag is koppelbaar aan elke S3-compatibele back-endopslag. Dit sluit aan op zowel de open-standaardeneis van een soevereine architectuur als de portabiliteitsverplichting van de Data Act.
FAQ: Soevereine multi-cloud hybride architectuur
Wat onderscheidt een soevereine multi-cloudarchitectuur van een gewone multi-cloudopstelling?
Bij een gewone multi-cloudaanpak verspreid je workloads over meerdere providers voor redundantie of kostenbesparing, zonder te eisen dat die providers onder EU-jurisdictie vallen of dat data juridisch afdwingbaar buiten buitenlandse inlichtingenwetgeving blijft. Een soevereine variant stelt aanvullende eisen aan jurisdictie, toegangsrechten, encryptie-sleutelbeheer en aantoonbare portabiliteit via open standaarden.
Welke CADA-niveaus zijn relevant voor overheidsorganisaties en wat houden ze in?
De CLOUD and AI Development Act (CADA) annexe II onderscheidt soevereiniteitsniveaus. Niveau 2 vereist dat data uitsluitend op EU-grondgebied wordt opgeslagen en dat de provider geen eigendom is van een niet-EU-partij. Niveau 3 voegt hieraan toe dat operationeel beheer en sleutelbeheer volledig in EU-handen zijn, zonder enige technische toegangsmogelijkheid voor buitenlandse overheidsinstanties.
Hoe helpt de EU Data Act bij het voorkomen van vendor lock-in?
De EU Data Act (Verordening 2023/2854), met name de artikelen 23 tot en met 31, verplicht cloudproviders om klanten binnen dertig dagen te laten overstappen naar een andere aanbieder, met technische ondersteuning voor dataoverdracht en zonder buitensporige kosten. Providers moeten open en gedocumenteerde interfaces aanbieden die interoperabiliteit garanderen.
Wat gebeurt er met de soevereiniteit als een Europese cloudleverancier wordt overgenomen door een Amerikaans bedrijf?
Bij een overname valt de overgenomen entiteit mogelijk onder de rechtsmacht van de koper, inclusief de CLOUD Act, waardoor Amerikaanse autoriteiten toegang kunnen vragen tot data. Een soevereine architectuur anticipeert hierop via contractuele exit-clausules, eigen sleutelbeheer (bring-your-own-key), on-premise back-ups en workloads die snel herplaatsbaar zijn via gestandaardiseerde containerorkestratie zoals Kubernetes.
Hoe documenteer je soevereiniteitsvereisten voor een NIS-2-audit?
NIS-2 vereist dat essentiële en belangrijke entiteiten aantonen dat hun risicobeheersmaatregelen de toeleveranciersketen omvatten. Documenteer per cloudcomponent het jurisdictieniveau (CADA-niveau), het certificeringsniveau onder het EUCS-schema van ENISA, de contractuele portabiliteitsverplichtingen op basis van de Data Act en de sleutelbeheerprocedures. Het Gaia-X Trust Framework biedt een gestandaardiseerd labelingsformaat dat auditoren herkennen.
