Sovereigntywashing is het fenomeen waarbij een cloudleverancier zijn dienst als ‘soeverein’, ‘Europees’ of ‘GDPR-proof’ presenteert, terwijl de juridische, operationele of technische controle feitelijk buiten de Europese Unie blijft. Het begrip is de cloud-equivalent van greenwashing: een marketingclaim die verder gaat dan wat de juridische en technische realiteit kan waarmaken. Voor compliance officers en IT-beslissers in de overheid, juridische sector en gereguleerde sectoren is het onderscheid tussen echte soevereiniteit en een soevereiniteitsclaim een compliance-kwestie met directe aansprakelijkheidsgevolgen.
Waarom een EU-datacenter van een Amerikaanse hyperscaler geen volledige soevereiniteit biedt
De fysieke locatie van een server is juridisch irrelevant als de exploitant onder buitenlandse wetgeving valt. Dat is precies de kern van het probleem met hyperscalers die Europese datacenters openen.
De Amerikaanse CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) verplicht in de VS geïncorporeerde bedrijven om op bevel van een Amerikaanse rechtbank toegang te verlenen tot data, ongeacht waar die data fysiek is opgeslagen. Dit geldt voor Amazon Web Services, Microsoft Azure en Google Cloud, alle drie geïncorporeerd in de Verenigde Staten. Een datahal in Amsterdam of Frankfurt verandert niets aan die juridische werkelijkheid.
De Europese Toezichthouder voor Gegevensbescherming (EDPS) stelde het in zijn adviezen over cloudaanbestedingen bij EU-instellingen onomwonden: “Een datacenter op Europees grondgebied dat wordt beheerd door een entiteit die juridisch onder de CLOUD Act valt, biedt geen echte data-soevereiniteit. Het adres van de server is niet bepalend; de jurisdictie van de moederonderneming is dat wel.”
Relevant in dit verband is ook de studie European Software and Cyber Dependencies van het Europees Parlement (2025), die vaststelt dat meer dan 65 procent van de Europese publieke cloudomzet geconcentreerd is bij drie Amerikaanse hyperscalers. Dit structurele marktaandeel maakt Europese organisaties systematisch afhankelijk van rechtsstelsels buiten de EU.
Echte soevereiniteit versus marketingclaim: drie beslissende dimensies
Een echte soevereine cloud voldoet aan drie cumulatieve criteria: eigendomssoevereiniteit, softwareketensorevereiniteit en operationele soevereiniteit. Als één van deze drie ontbreekt, is de soevereiniteitsclaim onvolledig.
| Dimensie | Marketingclaim (sovereigntywashing) | Echte soevereiniteit |
|---|---|---|
| Eigendomsstructuur | EU-dochteronderneming van niet-EU-moeder | Volledig Europees eigendom, geen niet-EU-moedermaatschappij |
| Softwareketen | Propriëtaire hyperscaler-stack met gesloten componenten | Open-source of auditeerbare stack zonder verborgen afhankelijkheden |
| Operationele controle | EU-personeel beheert, maar licentie en updates komen van buiten EU | Volledige sleutelbeheer, auditrecht en incidentrespons in EU-jurisdictie |
Voormalig Europees Commissaris voor de Interne Markt Thierry Breton verwoordde het als volgt: “Soevereiniteit is geen feature die je aanzet; het is een eigendomsstructuur, een softwareketen en een operationeel model dat aantoonbaar buiten het bereik van derde-landenwetgeving valt.”
Residuele risico’s bij hyperscaler-joint ventures
De markt heeft gereageerd op de soevereiniteitsvraag met een reeks joint ventures die Europese namen en Europese partners combineren met Amerikaanse technologie. De bekendste voorbeelden zijn S3NS, Bleu en AWS European Sovereign Cloud.
S3NS (Thales en Google Cloud)
S3NS is een joint venture tussen Thales en Google Cloud, bedoeld om Google Cloud-diensten aan te bieden onder Frans operationeel beheer. Thales beheert de encryptiesleutels en de operationele laag. Het fundamentele probleem blijft echter bestaan: de onderliggende technologie, de software-updates en de infrastructuurlicenties zijn afkomstig van Google, een Amerikaans bedrijf. Bij een juridisch bevel aan Google kan de vraag ontstaan in hoeverre Thales als operationele partner formeel weerstand kan bieden, en of de softwareafhankelijkheid van Google niet zelf een toegangskanaal vormt.
Bleu (Orange, Capgemini en Microsoft)
Bleu is het Franse equivalent voor Microsoft-diensten, opgezet door Orange en Capgemini. Ook hier geldt: de Azure-technologie blijft van Microsoft, de licentierelatie blijft met een Amerikaans bedrijf, en de contractuele bescherming is afhankelijk van de bereidheid en het vermogen van de Franse entiteit om Amerikaanse rechtsbevelen te weerstaan. Dat is een juridisch ongetest scenario.
AWS European Sovereign Cloud
Amazon Web Services heeft een afzonderlijke Europese structuur aangekondigd waarbij data en operaties binnen de EU blijven. Maar ook Amazon Web Services, Inc. is een Amerikaanse entiteit. De vraag of een organisatorisch afgescheiden Europese cloud-entiteit daadwerkelijk buiten het bereik van de CLOUD Act valt, is tot op heden niet door Europese of Amerikaanse rechters beantwoord.
CADA-soevereiniteitsniveaus en het Europees Cloud Sovereignty Framework
De Europese Commissie heeft in april 2026 het Cloud Sovereignty Framework gepubliceerd, dat voor het eerst formele soevereiniteitscriteria koppelt aan aanbestedingsrichtlijnen voor publieke organisaties. Dit kader bouwt voort op de CADA-soevereiniteitsniveaus (Cloud Act Data Access), die soevereiniteit indelen in vier niveaus (niveau 1 tot en met 4), waarbij niveau 4 de hoogste mate van juridische en operationele onafhankelijkheid vereist.
Parallel hieraan zijn de SEAL-niveaus (Sovereignty Effectiveness Assurance Levels) ontwikkeld als auditeerbaar beoordelingskader. SEAL-0 betekent dat er geen aantoonbare soevereiniteitswaarborg bestaat. SEAL-1 en SEAL-2 staan voor gedeeltelijke maatregelen zoals sleutelbeheer in EU-handen, maar met resterende technologische afhankelijkheden. SEAL-3 en hoger vereisen volledig Europees eigendom, een auditeerbare open-source softwareketen en aantoonbare juridische afscherming van extraterritoriale wetgeving.
De meeste hyperscaler-joint ventures scoren bij objectieve beoordeling op SEAL-1 of maximaal SEAL-2, ook al worden ze als ‘soeverein’ aangeboden. Het Europees Parlement signaleerde in zijn 2025-studie dat het ontbreken van gestandaardiseerde soevereiniteitstoetsing organisaties kwetsbaar maakt voor precies dit type misleiding.
Technische en contractuele maatregelen om sovereigntywashing te detecteren
Compliance officers kunnen bij leveranciersbeoordeling een gestructureerde vragenlijst hanteren die de drie soevereiniteitsdimensies dekt. De volgende elementen zijn minimaal vereist voor een serieuze beoordeling.
Eigendomsstructuur: Vraag naar het land van incorporatie van de uiteindelijke moederonderneming, niet alleen van de Europese entiteit. Verzoek om een uittreksel uit het handelsregister van de moedermaatschappij en een beschrijving van alle entiteiten in de vennootschapsstructuur die toegang kunnen hebben tot klantendata.
Softwareketenbeoordeling: Vraag naar een software bill of materials (SBOM) voor alle kerncomponenten van de dienst. Identificeer welke componenten van niet-EU-leveranciers afkomstig zijn en of updates of patches via niet-EU-systemen worden uitgerold. Een auditeerbare, bij voorkeur open-source softwareketen is een noodzakelijke, maar niet voldoende voorwaarde.
Sleutelbeheer en operationele controle: Encryptiesleutels moeten aantoonbaar en contractueel buiten het bereik van de moederonderneming zijn. Vraag naar hardware security modules (HSM) die fysiek en juridisch in de EU zijn geplaatst, en naar de vraag wie technische noodtoegang heeft bij incidenten.
Contractuele garanties: Leg contractueel vast dat de leverancier geen data vrijgeeft op bevel van niet-EU-autoriteiten zonder voorafgaande Europese rechterlijke toetsing, en dat schending van deze bepaling leidt tot directe contractuele aansprakelijkheid. Vraag ook naar de SEAL-score en de CADA-classificatie, en laat deze als bijlage bij het contract voegen.
Een extra controlemechanisme is het raadplegen van certificeringen onder het Europese EUCS-schema (European Union Cybersecurity Certification Scheme for Cloud Services), dat door ENISA wordt beheerd. Alleen het hoogste certificeringsniveau (High) stelt eisen die in de richting van echte soevereiniteit gaan.
Gevolgen voor compliance officers bij een verkeerde SEAL-classificatie
Als een organisatie een dienst heeft ingekocht op basis van een soevereiniteitsclaim die bij audit uitkomt op SEAL-0 of SEAL-1, zijn de compliance-consequenties meervoudig en serieus.
Ten eerste kan er sprake zijn van een onrechtmatige doorgifte van persoonsgegevens aan derde landen in de zin van artikel 44 en verder van de GDPR (Verordening (EU) 2016/679). Het boetemaximum daarvoor bedraagt 20 miljoen euro of 4 procent van de wereldwijde jaaromzet. Onder de NIS-2-richtlijn (Richtlijn (EU) 2022/2555) kunnen leidinggevenden bovendien persoonlijk aansprakelijk worden gesteld als zij aantoonbaar nalatig waren in de beoordeling van beveiligingsrisico’s bij leveranciers. Opmerkelijk is dat 17 van de 27 EU-lidstaten op het moment van publicatie de NIS-2-omzetting nog niet volledig hadden afgerond (Europese Commissie, 2024), wat betekent dat het handhavingslandschap nog in opbouw is, maar de verplichting voor organisaties zelf niet minder dwingend is geworden.
Ten tweede raakt een verkeerde classificatie aan de verwerkersovereenkomst: als de feitelijke situatie afwijkt van wat contractueel is vastgelegd, kan de verwerkingsverantwoordelijke niet langer aantonen dat hij aan zijn zorgplicht heeft voldaan. Dit is een direct risico bij toezichtonderzoeken door de Autoriteit Persoonsgegevens of haar equivalenten in andere lidstaten.
Ten derde kan een foute soevereiniteitsclassificatie in aanbestedingsdossiers leiden tot aanbestedingsrechtelijke risico’s, met name bij overheidsorganisaties die aantoonbaar onjuiste informatie hebben gebruikt als gunningscriterium.
De conclusie voor de compliance-praktijk is eenduidig: soevereiniteit is een juridische en technische kwalificatie, geen marketingcategorie. Een eigen due-diligence-proces op basis van SEAL-niveaus, CADA-soevereiniteitsniveaus en een contractuele verankering van garanties is niet optioneel maar een basisvereiste voor elke organisatie die met gevoelige data werkt in een gereguleerde sector.
FAQ: Sovereigntywashing en soevereine cloud
Wat betekent sovereigntywashing precies?
Sovereigntywashing is het presenteren van een clouddienst als ‘soeverein’ of ‘Europees’ terwijl de juridische, technische of operationele controle feitelijk nog steeds buiten de EU valt, bijvoorbeeld doordat de moederonderneming onder de Amerikaanse CLOUD Act valt of doordat de softwareketen essentiële componenten van een niet-Europese leverancier bevat.
Maakt het uit dat de datacenters fysiek in Europa staan?
Nee, niet op zichzelf. De fysieke locatie van servers bepaalt niet de juridische jurisdictie. Wat telt is de nationaliteit en eigendomsstructuur van de dienstverlener, de toepasselijke wetgeving op de moederonderneming, en of encryptiesleutelbeheer volledig buiten het bereik van buitenlandse overheden valt.
Wat zijn de SEAL-niveaus en waarom zijn ze relevant?
SEAL staat voor Sovereignty Effectiveness Assurance Levels en is een kader dat aangeeft in hoeverre een clouddienst daadwerkelijk operationele, juridische en technische soevereiniteit biedt. SEAL-0 betekent geen aantoonbare soevereiniteitswaarborg; SEAL-3 of hoger vereist volledig Europees eigendom, een open-source softwareketen en aantoonbare afwezigheid van extraterritoriale juridische blootstelling. De meeste hyperscaler-joint ventures halen bij eerlijke beoordeling niet meer dan SEAL-2.
Wat zijn de compliance-risico’s als een dienst achteraf lager scoort dan aangenomen?
Als een als ‘soeverein’ ingekochte dienst bij audit uitkomt op SEAL-0 of SEAL-1, kan de verwerkingsverantwoordelijke in strijd blijken te handelen met artikel 44 en verder van de GDPR (doorgifte aan derde landen), NIS-2-beveiligingsvereisten en sectorale regelgeving. Leidinggevenden riskeren persoonlijke aansprakelijkheid bij aantoonbare nalatigheid in de leveranciersbeoordeling.
Hoe kan een organisatie sovereigntywashing detecteren bij een aanbesteding?
Vraag leveranciers expliciet naar de SEAL-score, de CADA-soevereiniteitsklasse, de eigendomsstructuur van de moederonderneming, het land van incorporatie, de softwareketen inclusief derde-partijcomponenten, en het encryptiesleutelbeheer. Laat contractueel vastleggen dat de leverancier geen data vrijgeeft op bevel van niet-EU-autoriteiten zonder voorafgaande Europese rechterlijke toetsing, en verifieer certificering onder het EUCS High-niveau van ENISA.
