Sovereigntywashing is de praktijk waarbij cloudaanbieders, met name grote Amerikaanse hyperscalers, hun diensten positioneren als “Europees soeverein” of “GDPR-compliant” op basis van de fysieke locatie van servers, terwijl de juridische en operationele toegangsrechten van de Amerikaanse moedermaatschappij onaangetast blijven. Het begrip is een analogie van greenwashing: een oppervlakkige presentatie die de wezenlijke risico’s verhult.
Wat is sovereigntywashing en hoe herkent u het?
Sovereigntywashing bij hyperscalers verschijnt in drie terugkerende patronen. Ten eerste: het benadrukken van Europese datacenterlocaties zonder vermelding van de juridische toegankelijkheid door de Amerikaanse moedermaatschappij. Ten tweede: het gebruik van termen als “EU data boundary” of “lokale cloudregio” zonder te specificeren wie de encryptiesleutels beheert. Ten derde: het claimen van “GDPR-compliance” als kwaliteitskeurmerk, terwijl GDPR en de CLOUD Act elkaar juridisch tegenspreken zonder dat één van beide verdwijnt.
Microsoft introduceert de term “EU Data Boundary” voor haar Microsoft 365-diensten. Google spreekt van “Sovereign Cloud”-opties in samenwerking met Europese partners. Amazon biedt “AWS European Sovereign Cloud” aan als een afzonderlijk product. In alle drie de gevallen geldt dezelfde structurele beperking: de moedermaatschappij is een Amerikaans bedrijf en valt daarmee onder de jurisdictie van het Amerikaanse federale recht.
De CLOUD Act maakt lokalisatie juridisch betekenisloos
De kern van het probleem ligt in één wettekst: de Clarifying Lawful Overseas Use of Data Act, gecodificeerd als 18 U.S.C. § 2713. Deze Amerikaanse federale wet, van kracht sinds 2018, verplicht aanbieders van elektronische communicatiediensten en remote computing-diensten om op vordering van Amerikaanse autoriteiten alle data te verstrekken die zij bewaren, ongeacht waar die data fysiek is opgeslagen.
Dit betekent dat een Europese overheidsinstantie haar documenten kan opslaan in een datacenter in Amsterdam dat beheerd wordt door Microsoft, Google of Amazon, en dat een Amerikaans rechtsbevel toegang kan afdwingen zonder dat de Europese instantie of de nationale rechtbank hiervan op de hoogte hoeft te worden gesteld. Infrastructuurlokalisatie in Europa verandert niets aan de jurisdictionele reikwijdte van de CLOUD Act zolang de moedermaatschappij Amerikaans is.
De studie European Software and Cyber Dependencies, gepubliceerd door het Europees Parlement in 2025, stelde vast dat meer dan 70% van de Europese overheidsinstanties voor kritieke werklastdiensten afhankelijk is van aanbieders buiten de EU. Dit illustreert de schaal waarop sovereigntywashing structureel risico creëert voor de publieke sector.
Praktijkgevallen van kwetsbaarheid ondanks lokale servers
De kwetsbaarheid van hyperscaler-diensten ondanks lokale infrastructuur is niet louter theoretisch. In 2023 werd bekendgemaakt dat de Chinese hackergroep Storm-0558 via een gecompromitteerde Microsoft-ondertekeningssleutel toegang had verkregen tot e-mailaccounts van tientallen organisaties, waaronder Europese overheidsinstanties die gebruik maakten van Microsoft 365. De aanval was mogelijk doordat sleutelbeheer en authenticatie-infrastructuur gecentraliseerd waren bij Microsoft Corporation, ongeacht de locatie van de e-maildata zelf.
Een ander structureel voorbeeld betreft de afhankelijkheid van operationele updates en patchbeheer. Zelfs wanneer data fysiek in Europa wordt opgeslagen, worden software-updates, beveiligingspatches en configuratiewijzigingen doorgaans beheerd vanuit de Amerikaanse moedermaatschappij. Dit creëert een operationele toegangsvector die los staat van de datalocatie.
Het Cloud Sovereignty Framework en de SEAL-niveaus
De Europese Commissie heeft, in samenwerking met ENISA en de NIS-samenwerkingsgroep, een Cloud Sovereignty Framework ontwikkeld dat organisaties instrumenten biedt om werkelijke soevereiniteit te beoordelen. Het framework hanteert SEAL-niveaus die oplopen naar mate de juridische en technische onafhankelijkheid groter is.
| SEAL-niveau | Kenmerk | Voorbeeld |
|---|---|---|
| Laag | Data opgeslagen in EU-regio, aanbieder valt onder niet-EU-jurisdictie | Microsoft Azure Nederland |
| Middel | Operationeel beheer door EU-entiteit, maar technologielicentie van buiten EU | Hyperscaler via EU-partner (T-Systems voor Google) |
| Hoog | Volledige EU-jurisdictie, encryptiesleutels bij klant, geen buitenlandse moedermaatschappij | On-premise of Europese sovereign cloud (zoals Nextcloud, OVHcloud) |
Op het hoogste SEAL-niveau zijn de volgende elementen vereist: de aanbieder valt uitsluitend onder EU-rechtsstelsel, encryptiesleutels worden exclusief beheerd door de klant of een onafhankelijke EU-entiteit, en er is geen operationele afhankelijkheid van een niet-EU-moedermaatschappij voor updates, authenticatie of sleutelbeheer.
Criteria voor echte soevereiniteit versus marketingclaim
De NIS-samenwerkingsgroep formuleerde het onderscheid kernachtig: “Data residency is not data sovereignty. Where your data sits and who can legally access it are two entirely different questions.” Compliance officers kunnen dit vertalen naar vier toetsvragen voor due diligence.
Eerste toets: jurisdictie van de moedermaatschappij. Is de uiteindelijk controlerende entiteit een Amerikaans bedrijf in de zin van 18 U.S.C. § 2713? Zo ja, biedt lokale infrastructuur geen juridische bescherming.
Tweede toets: sleutelbeheer. Beheert de klant zelf de encryptiesleutels, of worden deze beheerd door de aanbieder? Aanbieder-beheerde sleutels betekenen dat een rechtsbevel gericht aan de aanbieder voldoende is voor toegang, ongeacht de opslaglocatie.
Derde toets: operationele toegang. Hebben medewerkers van de moedermaatschappij buiten de EU toegang tot systemen voor patchbeheer, monitoring of incidentrespons? Zo ja, bestaat er een operationele toegangsvector naast de juridische.
Vierde toets: contractuele en technische scheiding. Zijn de contractuele verplichtingen van de aanbieder afdwingbaar onder EU-recht, en is er een technische architectuur die buitenlandse toegang structureel uitsluit, niet alleen contractueel beperkt?
NIS-2, GDPR en de verantwoordelijkheid van compliance officers
NIS-2 (Richtlijn (EU) 2022/2555) verplicht essentiële en belangrijke entiteiten tot expliciete risicoanalyse van hun toeleveringsketen, inclusief cloudleveranciers. Het niet documenteren van jurisdictionele risico’s van een niet-EU cloudleverancier kan worden aangemerkt als onvoldoende risicobeheer onder artikel 21 van de richtlijn.
Gartner voorspelde in 2023 dat tegen 2025 meer dan 85% van organisaties met een multi-cloudstrategie zou opereren. De minderheid die jurisdictionele risico’s structureel beoordeelt, loopt daarmee voor op wat toezichthouders steeds vaker als minimumstandaard beschouwen.
Voor compliance officers is de praktische opgave tweeledig. Enerzijds: het documenteren van de juridische reikwijdte van elke cloudleverancier in het register van verwerkingsactiviteiten, met vermelding van de toepasselijke jurisdictie en de aanwezigheid of afwezigheid van klant-beheerde encryptie. Anderzijds: het aantonen dat de organisatie de risico’s heeft beoordeeld en een afgewogen besluit heeft genomen, inclusief eventuele compenserende maatregelen zoals aanvullende encryptielagen of migratieplanning.
Van hyperscaler naar soevereine werkplek: praktische migratie
De migratie van Microsoft 365 naar een soevereine werkplek op basis van Nextcloud, gecombineerd met on-premise of Zwitserse hostinglocaties, elimineert de CLOUD Act-kwetsbaarheid structureel. Nextcloud wordt als open-source platform beheerd door een Europese entiteit en valt niet onder de CLOUD Act. Klant-beheerd sleutelbeheer via end-to-end encryptie is standaard beschikbaar.
Bij migratie naar een soevereine oplossing zijn de volgende technische aandachtspunten direct relevant voor compliance: post-quantum encryptie voor langetermijnopslag van gevoelige documenten (relevant voor sectoren met bewaartermijnen van tien jaar of meer), lokaal gehoste AI-modellen die nooit trainen op klantdata, en ransomware-bescherming via onveranderlijke back-ups buiten het primaire systeem.
Zwitserse hostinglocaties bieden een aanvullende juridische laag: Zwitserland valt buiten de EU maar heeft een eigen, streng gegevensbeschermingsregime (nDSG) en is geen partij bij CLOUD Act-verdragen. Dit maakt Zwitserse hosting aantrekkelijk als aanvulling op on-premise opslag voor organisaties in sectoren als de rechtspraktijk, de gezondheidszorg en de publieke sector.
Sovereigntywashing is geen randverschijnsel, maar een structurele eigenschap van het verdienmodel van hyperscalers in Europa. Wie de juridische realiteit van de CLOUD Act, de SEAL-niveaus van het Cloud Sovereignty Framework en de eisen van NIS-2 serieus neemt, ontkomt niet aan de conclusie dat lokalisatie van servers zonder verandering van jurisdictie een schijnoplossing is. De verantwoordelijkheid om dit te toetsen en te documenteren ligt primair bij de compliance officer en de IT-beslismaker van de organisatie zelf.
Veelgestelde vragen
Is een Microsoft Azure-regio in Nederland juridisch veilig voor gevoelige overheidsdata?
Niet automatisch. Microsoft Corporation is een Amerikaans bedrijf en valt daarmee onder de CLOUD Act (18 U.S.C. § 2713). Die wet verplicht het bedrijf wereldwijd opgeslagen data te overhandigen aan Amerikaanse autoriteiten, ongeacht de locatie van het datacenter. Een Nederlandse Azure-regio biedt dus geen juridische immuniteit.
Wat is het verschil tussen data residency en data sovereignty?
Data residency beschrijft uitsluitend waar data fysiek is opgeslagen. Data sovereignty gaat over wie er juridisch toegang toe kan krijgen en onder welk rechtsstelsel die toegang wordt beoordeeld. Een hyperscaler kan data in Amsterdam opslaan terwijl een Amerikaans rechtsbevel toegang verschaft: residency zonder sovereignty.
Wat zijn de SEAL-niveaus in het Cloud Sovereignty Framework van de Europese Commissie?
Het Cloud Sovereignty Framework onderscheidt meerdere niveaus op basis van technische en juridische onafhankelijkheid. Hogere niveaus vereisen dat de aanbieder onder EU-jurisdictie valt, dat encryptiesleutels exclusief in Europese handen zijn, en dat er geen operationele afhankelijkheid bestaat van een niet-EU-moedermaatschappij.
Hoe herken ik sovereigntywashing in een cloudcontract?
Let op verwijzingen naar “data residency in de EU” zonder expliciete uitsluiting van buitenlandse moedermaatschappijrechten, op afwezigheid van garanties over encryptiesleutelbeheer door de klant, en op het ontbreken van vermelding van de toepasselijke jurisdictie bij een overheidsverzoek. Als een aanbieder claimt GDPR-compliant te zijn maar geen antwoord geeft op de vraag wie de encryptiesleutels beheert, is dat een waarschuwingssignaal.
Wat schrijft NIS-2 voor over cloudafhankelijkheid van niet-EU-aanbieders?
NIS-2 (Richtlijn (EU) 2022/2555) verplicht essentiële en belangrijke entiteiten tot risicobeheer van hun toeleveringsketen, inclusief cloudleveranciers. De NIS-samenwerkingsgroep heeft richtlijnen gepubliceerd die organisaties aansporen de jurisdictionele risico’s van niet-EU-cloudleveranciers expliciet te beoordelen en te documenteren in hun risicoanalyse.
