Een geopolitieke stresstest voor een cloudleverancier is een scenariooefening waarbij een organisatie simuleert dat haar primaire cloudprovider plotseling onbereikbaar wordt, niet door een technische storing, maar door een politiek besluit: sancties, exportbeperkingen of een overheidsbevel aan de leverancier. Voor Europese organisaties die afhankelijk zijn van Amerikaanse hyperscalers is dit geen theoretisch risico meer.
Van hypothetisch naar reëel: de geopolitieke scenario’s die ertoe doen
Geopolitieke cloudonderbrekingen nemen meerdere vormen aan, en precedenten bestaan al.
Het meest directe scenario is een sanctieregime waarbij de Amerikaanse overheid een hyperscaler verbiedt om diensten te verlenen aan organisaties in of gelieerd aan een gesanctioneerd land. Na de Russische invasie van Oekraïne in 2022 trokken Microsoft, Google en AWS hun commerciële diensten terug uit Rusland. Europese organisaties met Russische vestigingen of zakenpartners ondervonden onverwachte toegangsblokkades tot gezamenlijke cloudomgevingen. Het precedent is daarmee gesteld: de politieke beslissing van een Amerikaanse leverancier kan de operationele continuïteit van een Europese organisatie raken, ook als die organisatie zelf niet het doelwit is van sancties.
Een tweede scenario betreft exportbeperkingen op technologie. Wanneer de Amerikaanse overheid bepaalde cloudtechnologieën classificeert als dual-use exportgoed, kan het verlenen van diensten aan specifieke entiteiten of landen aan een vergunningsverplichting worden onderworpen. Dit is geen toekomstmuziek: de Amerikaanse Export Administration Regulations (EAR) zijn al van toepassing op cloudgebaseerde AI-diensten met specifieke rekencapaciteiten.
Het meest concrete recente voorbeeld is het Microsoft ICC-incident van 2025. Na politieke druk vanuit de Verenigde Staten beperkte Microsoft de dienstverlening aan het Internationaal Strafhof (ICC) in Den Haag. Het ICC, een internationale rechterlijke instantie die verondersteld wordt te opereren buiten de invloedssfeer van nationale overheden, was voor haar digitale werkprocessen afhankelijk van Microsoft 365. Het incident leidde tot operationele verstoringen en dwong de organisatie in korte tijd noodmaatregelen te treffen. De les is scherp: juridische immuniteit van een organisatie garandeert geen operationele immuniteit wanneer de cloudleverancier onderworpen is aan buitenlandse jurisdictie.
De EU Preparedness Union Strategy: van aanbeveling naar verplichting
De EU Preparedness Union Strategy (2025) markeert een beleidsomslag: digitale afhankelijkheden van niet-Europese leveranciers worden expliciet aangemerkt als systemisch risico, vergelijkbaar met afhankelijkheden in energie- en voedselketens.
Waar eerdere EU-beleidsdocumenten cloudconcentratierisico beschreven als aandachtspunt, schrijft de Preparedness Union Strategy voor dat essentiële entiteiten verplicht scenarioplanning uitvoeren, inclusief het scenario van gedwongen leveranciersuitval. Dit sluit naadloos aan op NIS-2 artikel 21 lid 2(c), dat essentiële en belangrijke entiteiten verplicht tot aantoonbare maatregelen voor bedrijfscontinuïteit en crisisbeheersing. Samen creëren deze twee kaders een juridisch fundament voor de geopolitieke stresstest als verplicht onderdeel van het risicobeheer.
CERT-EU hanteert in haar Full-Spectrum Adversary Approach, gepubliceerd in het IICB-jaarverslag 2025, een vergelijkbare redenering. Statelijke actoren worden niet alleen beoordeeld op hun vermogen om systemen direct aan te vallen, maar ook op hun vermogen om via leveranciersdruk toegang tot systemen te ontzeggen of te beperken. De IICB-aanbevelingen voor niet-Europese leveranciersafhankelijkheid (2026) vertalen dit naar concrete vereisten: EU-instellingen dienen voor elke kritieke toeleverancier een gedocumenteerde exitstrategie te hebben met een gevalideerde RTO.
“De concentratie van kritieke digitale diensten bij een handvol niet-Europese aanbieders vertegenwoordigt een systemisch risico dat vergelijkbaar is met andere kritieke infrastructuurafhankelijkheden.”
Margaritis Schinas, voormalig vicevoorzitter Europese Commissie, EU Cybersecurity Strategy 2020
Technische en contractuele exitdrempels: wat bepaalt uw RTO?
De hersteltijd bij een gedwongen cloudmigratie wordt in de praktijk bepaald door twee categorieën drempels: technische en contractuele.
| Drempelcategorie | Voorbeelden | Impact op RTO |
|---|---|---|
| Contractueel | Opzegtermijnen, data-retentieperiode na beëindiging, exportformaten in SLA | Hoog: zonder exportrecht kunnen data maanden vastzitten |
| Technisch (data) | Gebruik van propriëtaire opslagformaten, ontbreken van standaard API-export | Hoog: conversie en validatie kosten tijd |
| Technisch (identiteit) | Azure Active Directory als enige identiteitsprovider, SSO-afhankelijkheden | Kritiek: zonder IAM-migratie werken geen applicaties |
| Operationeel | Ontbreken van getraind personeel voor alternatieve omgeving | Middelhoog: opgelost met vooraf geplande trainingen |
| Regulatoir | AVG-vereiste dataminimalisatie tijdens migratie, NIS-2 meldplicht | Laag tot middelhoog: procesmatig op te vangen |
Zonder voorbereiding varieert de hersteltijd van enkele weken tot meer dan zes maanden. De Ponemon Institute berekende dat niet-geplande clouduitval grote organisaties gemiddeld meer dan 300.000 dollar per uur kost (Ponemon Institute, Cost of Data Center Outages, 2022). Dit maakt de businesscase voor een vooraf geplande exitstrategie bijna altijd positief.
Een goed ingericht Business Continuity Plan (BCP) en Disaster Recovery Plan (DRP) dienen de geopolitieke stresstest als afzonderlijk scenario op te nemen, naast de gangbare scenario’s van ransomware en technische storingen. Het scenario verschilt wezenlijk: bij een sanctiegerelateerde uitval is er geen technisch herstel mogelijk zolang de politieke situatie niet verandert. De enige weg terug is een alternatieve infrastructuur die vooraf beschikbaar is.
De geopolitieke isolatielaag: hybride architectuur zonder efficiëntieverlies
Een geopolitieke isolatielaag is een architectuurkeuze waarbij de organisatie haar meest kritieke gegevens en processen onderbrengt in een omgeving die buiten het bereik valt van buitenlandse jurisdictie, terwijl minder gevoelige werkstromen gebruik kunnen blijven maken van publieke clouddiensten.
“Organisaties die geen exitstrategie hebben voor hun cloudleverancier, hebben in feite geen bedrijfscontinuïteitsplan.”
ENISA, Cloud Exit Strategy Guidelines
In de praktijk betekent dit een gelaagde opstelling. Kritieke bedrijfsdata, authenticatiediensten en communicatie worden gehost op on-premise infrastructuur of bij een Europese cloudprovider die uitsluitend onder EU-recht valt, zoals een Zwitserse of Nederlandse aanbieder zonder Amerikaanse moedermaatschappij. Samenwerking en productiviteitstools voor minder gevoelig gebruik kunnen tijdelijk op een Amerikaanse hyperscaler blijven, mits er een actuele spiegelkopie beschikbaar is op de soevereine omgeving.
Voor de migratie van Microsoft 365 naar een soevereine werkplek is Nextcloud een veelgebruikt alternatief dat on-premise of in een Europese private cloud gehost kan worden. De ENISA Threat Landscape (meest recente editie) benoemt supply chain-aanvallen en digitale afhankelijkheden als dominante risicocategorieën: meer dan 60 procent van de gemelde incidenten bij essentiële sectoren was in 2023 te herleiden tot supply chain-kwetsbaarheden (ENISA Threat Landscape 2023). Een soevereine architectuur verkleint dit aanvalsoppervlak structureel.
De operationele efficiëntie hoeft niet te lijden onder deze aanpak, mits de gelaagdheid van tevoren wordt ontworpen. Federatieve identiteitsbeheer op basis van open standaarden (zoals SAML 2.0 of OpenID Connect) maakt het mogelijk dat gebruikers transparant werken in beide omgevingen. Datareplicatie naar de soevereine omgeving kan geautomatiseerd plaatsvinden, zodat bij een gedwongen overstap de productiviteitsverlies beperkt blijft tot de duur van de DNS-omschakeling en applicatieconfiguratie.
Van incident naar structurele les: wat het ICC-precedent overdraagbaar maakt
Het Microsoft ICC-incident van 2025 is niet alleen relevant voor internationale gerechtelijke instellingen. De overdraagbare les voor iedere Europese organisatie in een gereguleerde sector is dat de politieke positie van de organisatie geen bescherming biedt wanneer de leverancier zelf onder externe druk staat.
Voor compliance officers en IT-beslissers in de juridische sector, de overheid en de financiële sector betekent dit concreet het volgende. Ten eerste dient het leveranciersrisicobeheer een geopolitieke risicodimensie te bevatten, naast de gangbare financiële en operationele risicocategorieën. Ten tweede moet de stresstest niet alleen de technische herstelmogelijkheden testen, maar ook de juridische ruimte: heeft de organisatie contractueel het recht om data te exporteren en in welk formaat? Ten derde dienen noodprocedures vooraf gecommuniceerd en geoefend te zijn, zodat medewerkers weten hoe te handelen bij plotselinge onbeschikbaarheid van een primaire digitale werkomgeving.
De IICB-aanbevelingen voor niet-Europese leveranciersafhankelijkheid (2026) formuleren dit als een governanceverplichting: het bestuur van een essentiële entiteit dient aantoonbaar kennis te hebben van de geopolitieke risicopositie van haar kritieke leveranciers en dient dit te borgen in de risicorapportage aan toezichthouders.
FAQ: geopolitieke stresstest en cloudcontinuïteit
Wat is een geopolitieke stresstest voor een cloudleverancier?
Een geopolitieke stresstest is een gestructureerde oefening waarbij een organisatie simuleert dat haar primaire cloudleverancier plotseling onbeschikbaar wordt door sancties, exportbeperkingen of politieke beslissingen. Het doel is de feitelijke hersteltijd (RTO) en het maximaal toelaatbaar gegevensverlies (RPO) te meten en de zwakste schakels in het continuïteitsplan te identificeren.
Valt een geopolitieke clouduitval onder de NIS-2-verplichting voor bedrijfscontinuïteit?
Ja. NIS-2 artikel 21 lid 2(c) verplicht essentiële en belangrijke entiteiten expliciet tot maatregelen voor bedrijfscontinuïteit en crisisbeheersing, inclusief scenario’s waarbij een kritieke toeleverancier wegvalt. Een gedwongen cloudmigratie door sancties valt hier rechtstreeks onder.
Wat leerde het Microsoft ICC-incident van 2025 de sector?
Het incident toonde aan dat zelfs internationaal erkende organisaties met een verondersteld neutrale status kwetsbaar zijn als hun digitale infrastructuur bij een Amerikaanse hyperscaler is ondergebracht. Juridische immuniteit van een organisatie garandeert geen operationele immuniteit wanneer de cloudleverancier onderworpen is aan buitenlandse jurisdictie en onder politieke druk handelt.
Hoe lang duurt een gedwongen migratie van een hyperscaler in de praktijk?
Dat hangt af van contractuele exitclausules, de hoeveelheid vastgezette data, het gebruik van propriëtaire diensten en de beschikbaarheid van alternatieve infrastructuur. Zonder voorbereiding varieert de hersteltijd van enkele weken tot meer dan zes maanden. Met een vooraf geteste hybride architectuur en actuele exportbestanden kan de RTO worden teruggebracht tot uren of dagen.
Welke sectoren zijn het meest kwetsbaar voor geopolitieke cloudonderbrekingen?
Overheidsinstanties, de rechterlijke macht, defensiegerelateerde organisaties, financiële instellingen en energiebedrijven zijn het meest kwetsbaar vanwege hun hoge continuïteitseisen en hun status als doelwit voor statelijke actoren. Internationale organisaties met politiek gevoelige mandaten lopen een extra risico, zoals het ICC-incident illustreert.
