Een zero trust soevereine architectuur is een beveiligingsmodel waarbij geen enkel apparaat, gebruiker of netwerksegment automatisch wordt vertrouwd, ongeacht de fysieke of logische locatie. Elke toegangspoging wordt continu geverifieerd op basis van identiteit, apparaatstatus en context. Voor Europese organisaties die migreren van Amerikaanse cloudplatforms naar soevereine infrastructuur biedt dit model een technisch en juridisch fundament dat tegelijkertijd de afhankelijkheid van US-hyperscalers doorbreekt en voldoet aan de eisen van NIS-2 en BIO2.
Waarom zero trust past bij soevereine migratie
Het traditionele perimeterbeveiligingsmodel gaat ervan uit dat alles binnen het bedrijfsnetwerk betrouwbaar is. Die aanname is onhoudbaar geworden, zowel door de verspreiding van thuiswerken als door de overstap naar cloudgebaseerde werkplekken zoals Microsoft 365, waarbij data en identiteiten per definitie buiten de eigen infrastructuur vallen.
Wanneer een organisatie terugkeert naar on-premise of Europese hostingomgevingen, zoals een Nextcloud-werkplek op Zwitserse of Nederlandse servers, verdwijnt het cloudperimeter van de hyperscaler. Zonder vervangend model ontstaat een beveiligingsgat. Zero trust vult dat gat door het perimeter te vervangen door een policy-engine die bij elke transactie opnieuw beslist. De referentiestandaard hiervoor is NIST SP 800-207 (Zero Trust Architecture), gepubliceerd door het Amerikaanse National Institute of Standards and Technology. Deze standaard beschrijft zeven kernprincipes, waaronder continue verificatie, least-privilege toegang en expliciete assumptie van inbreuk.
“Zero trust is geen product dat je koopt, maar een strategie die je implementeert. Het begint met de aanname dat geen enkel netwerk veilig is, ook het eigen interne netwerk niet.”
Scott Rose, hoofdauteur NIST SP 800-207
Identiteitsbeheer zonder Amerikaanse leveranciers
Microsoft Entra ID en Google Identity bieden een geïntegreerde identity provider, maar koppelen de organisatie juridisch aan de Amerikaanse CLOUD Act en de Foreign Intelligence Surveillance Act. Het vervangen van deze diensten vereist een open-source identity- en toegangsbeheersysteem dat volledig onder eigen beheer draait.
Keycloak, een project van de Red Hat-gemeenschap en nu onderdeel van de Cloud Native Computing Foundation, is de meest volwassen open-source keuze. Keycloak ondersteunt OpenID Connect, SAML 2.0 en OAuth 2.0, biedt ingebouwde multifactorauthenticatie, en kan op eigen hardware of op een Europese VPS worden geïnstalleerd. Het integreert direct met Nextcloud, maar ook met interne applicaties, e-mail en videoconferentiediensten. Organisaties behouden hiermee volledige controle over de identiteitsdirectory, inclusief de auditlogs, zonder dat verzoeken van buitenlandse overheden de provider kunnen dwingen tot gegevensafgifte.
Voor netwerktoegang biedt OpenZiti een open-source zero trust netwerktoegangsframework (ZTNA). OpenZiti creëert per-applicatie, wederzijds-geauthenticeerde verbindingen op basis van cryptografische identiteiten, zonder dat VPN-tunnels of open firewallpoorten nodig zijn. Het is on-premise inzetbaar en ondersteunt zowel hybride omgevingen als volledig geïsoleerde netwerken. Dit maakt het geschikt als vervanging van commerciële ZTNA-diensten van Zscaler of Cloudflare Access, waarbij data de Europese rechtssfeer nooit verlaat.
Vergelijking: hyperscaler-afhankelijkheid versus soevereine alternatieven
| Functie | Big Tech-optie | Soeverein alternatief | Juridisch risico |
|---|---|---|---|
| Identity provider | Microsoft Entra ID | Keycloak (on-premise) | CLOUD Act: hoog vs. geen |
| Netwerktoegang (ZTNA) | Zscaler / Cloudflare Access | OpenZiti (zelfgehost) | US-jurisdictie vs. eigen beheer |
| Werkplek | Microsoft 365 | Nextcloud Hub (EU-hosted) | Patriot Act-blootstelling vs. GDPR-conform |
| SSO-federatie | Google Identity | Keycloak + SAML-federatie | Dataresidencie: VS vs. EU/NL |
Aansluiting op NIS-2 en BIO2
Zero trust is geen compliance-vinkje, maar het model sluit nauw aan op de wettelijke verplichtingen voor Europese overheids- en gereguleerde sectoren.
NIS-2 artikel 21 verplicht essentiële en belangrijke entiteiten tot het treffen van passende technische, operationele en organisatorische maatregelen. Concreet noemt artikel 21 onder meer toegangsbeheer, authenticatie met meerdere factoren, netwerksegmentatie en bewaking van netwerkverkeer. Dit zijn exact de componenten van een zero trust architectuur: continue authenticatie, microsegmentatie van applicaties via ZTNA, en centrale logging via een SIEM-systeem.
De BIO2 (Baseline Informatiebeveiliging Overheid versie 2) legt voor Nederlandse overheidsorganisaties aanvullende eisen op die voor een groot deel overeenkomen met ISO 27001. BIO2 schrijft minimale toegangsrechten (least privilege) voor, verplicht sterke authenticatie en eist dat netwerktoegang wordt beperkt op basis van functie en context. Een Keycloak-implementatie met rolgebaseerde toegangscontrole en OpenZiti als ZTNA-laag geeft invulling aan deze vereisten zonder afhankelijkheid van propriëtaire cloudtools.
“De implementatie van zero trust-principes is een van de meest effectieve maatregelen die organisaties kunnen nemen om hun weerbaarheid tegen geavanceerde aanvallen te vergroten.”
ENISA, Europees Agentschap voor Cyberbeveiliging, ENISA Zero Trust Guidelines
De ENISA Zero Trust Guidelines bieden een praktisch stappenplan voor EU-organisaties en verwijzen expliciet naar NIST SP 800-207 als onderliggend referentiekader. ENISA benadrukt dat zero trust bijzonder relevant is voor organisaties in de publieke sector, de gezondheidszorg en de financiële sector, sectoren die tegelijkertijd onder NIS-2 vallen en gevoelige persoonsgegevens verwerken.
Stappenplan voor de compliance officer
De overgang van perimeterbeveiligng naar continue verificatie vraagt om een gestructureerde aanpak. De volgorde van stappen bepaalt grotendeels het succes van de implementatie.
Stap 1: Inventariseer identiteiten en toegangsrechten. Begin met een volledige mapping van gebruikers, serviceaccounts en apparaten. Welke identiteiten hebben toegang tot welke systemen? Dit is de basis voor het definiëren van least-privilege-policies. Verwijder alle slapende accounts en onnodige beheerdersrechten direct.
Stap 2: Implementeer een soevereine identity provider. Installeer Keycloak op eigen infrastructuur of bij een gecertificeerde Europese hoster. Migreer bestaande directory-gegevens vanuit Active Directory of Entra ID via LDAP-synchronisatie. Schakel multifactorauthenticatie verplicht in voor alle gebruikers, te beginnen bij beheerdersaccounts.
Stap 3: Vervang VPN door applicatie-specifieke ZTNA. Rol OpenZiti uit als vervanging van traditionele site-to-site of remote-access VPN. Definieer per applicatie wie toegang krijgt en onder welke omstandigheden, op basis van identiteit én apparaatstatus. Publiceer geen applicaties meer rechtstreeks op het internet.
Stap 4: Implementeer continue monitoring en anomaliedetectie. Koppel alle authenticatiegebeurtenissen en netwerktoegangslogging aan een centrale SIEM. Stel drempelwaarden in voor afwijkend gedrag, zoals inlogpogingen buiten kantooruren of toegang vanuit onbekende locaties. NIS-2 en BIO2 vereisen aantoonbare incidentdetectie en -respons.
Stap 5: Documenteer en audit. Leg alle toegangsbesluiten, beleidswijzigingen en uitzonderingen vast. Compliance officers moeten aantoonbaar kunnen maken dat het zero trust-beleid consequent wordt toegepast en periodiek wordt herzien, een directe vereiste onder zowel NIS-2 als de AVG.
Post-kwantumcryptografie als aanvulling op zero trust
Zero trust richt zich op identiteitsgerichte toegangscontrole, maar de versleuteling van data en communicatie is een aanvullende dimensie. Kwantumcomputers zullen naar verwachting de huidige RSA- en elliptische-curve-cryptografie kunnen breken. Organisaties die nu gevoelige data opslaan, lopen het risico dat aanvallers versleutelde data onderscheppen voor latere ontsleuteling, de zogenoemde “harvest now, decrypt later”-aanval.
NIST heeft in 2024 de eerste definitieve post-kwantumstandaarden gepubliceerd. CRYSTALS-Kyber (nu formeel ML-KEM) is de standaard voor sleuteluitwisseling, en CRYSTALS-Dilithium (ML-DSA) voor digitale handtekeningen. Beide algoritmen zijn gebaseerd op roostertechniek en zijn bestand tegen aanvallen door kwantumcomputers. Organisaties kunnen deze algoritmen integreren in TLS-verbindingen voor Nextcloud-servers, in Keycloak voor tokenondertekening, en in documentversleuteling.
De combinatie van zero trust (continue verificatie van identiteit) en post-kwantumcryptografie (kwantumbestendige versleuteling van alle communicatie) vormt een toekomstbestendige beveiligingsstack. Verizon rapporteerde in het Data Breach Investigations Report 2023 dat 74 procent van alle datalekken een menselijk element had, zoals misbruik van gestolen inloggegevens. Zero trust adresseert dat risico direct; post-kwantumcryptografie beschermt de resterende technische aanvalsoppervlakken.
FAQ
Is zero trust hetzelfde als een VPN vervangen?
Nee. Een VPN verlengt het vertrouwde netwerk, terwijl zero trust uitgaat van wantrouwen voor elk apparaat en elke gebruiker, ook intern. Zero trust netwerktoegang (ZTNA) vervangt de VPN-tunnelbenadering door per-applicatie toegangscontrole met continue verificatie, waarbij geen breed netwerktoegang wordt verleend.
Kan een kleine gemeente of non-profit ook een zero trust architectuur invoeren?
Ja. Open-source tools zoals Keycloak en OpenZiti verlagen de instapdrempel aanzienlijk. Een gefaseerde aanpak, te beginnen met sterke identiteitsverificatie en MFA voor alle medewerkers, maakt zero trust haalbaar ook voor organisaties met beperkte IT-capaciteit of een klein beveiligingsteam.
Hoe verhoudt zero trust zich tot de CLOUD Act-risico’s van Amerikaanse leveranciers?
Een zero trust architectuur op Europese of on-premise infrastructuur elimineert het risico dat de Amerikaanse overheid via de CLOUD Act toegang afdwingt tot data bij US-hyperscalers. Door identiteitsbeheer en encryptie volledig onder eigen beheer te houden, inclusief de identity provider en het ZTNA-fabric, blijft data buiten het jurisdictiebereik van de CLOUD Act en de Foreign Intelligence Surveillance Act.
Wat is het verschil tussen BIO2 en NIS-2 op het gebied van zero trust?
BIO2 is een Nederlandse baseline specifiek voor overheidsorganisaties en schrijft concrete technische maatregelen voor zoals toegangsbeheer, logging en netwerksegmentatie. NIS-2 artikel 21 is Europese wetgeving met een bredere sectorale reikwijdte en stelt risicogebaseerde beveiligingsplichten. Zero trust helpt beide kaders te vervullen, maar NIS-2 heeft ook een meldplicht bij incidenten die BIO2 niet zelfstandig afdekt.
Zijn post-kwantumalgoritmen al inzetbaar in productieomgevingen?
NIST heeft in 2024 de eerste definitieve post-kwantumstandaarden gepubliceerd, waaronder ML-KEM (Kyber) voor sleuteluitwisseling en ML-DSA (Dilithium) voor digitale handtekeningen. Diverse open-source TLS-bibliotheken en e-mailversleutelingsimplementaties bieden al ondersteuning. Organisaties in gereguleerde sectoren wordt aangeraden nu te inventariseren welke cryptografische primitieven in gebruik zijn, als voorbereiding op de migratie naar kwantumbestendige algoritmen.
