Geopolitiek cloudrisico verwijst naar de situatie waarin een organisatie haar toegang tot digitale diensten geheel of gedeeltelijk verliest doordat een buitenlandse overheid druk uitoefent op de cloudprovider, of doordat exportcontrolewetgeving de provider dwingt de dienstverlening op te schorten. Voor Europese organisaties in de overheid, rechtspraak en gereguleerde sectoren is dit risico geen theoretische mogelijkheid meer; het is een aantoonbaar en contractueel verankerd scenario.
Gedocumenteerde gevallen van opschorting door geopolitieke druk
De meest directe voorbeelden komen uit de toepassing van Amerikaanse exportcontrolewetgeving en sanctieregimes op clouddiensten.
In 2019 beperkte Microsoft de toegang tot GitHub voor gebruikers in Iran, Syrië en de Krim, dit als rechtstreeks gevolg van OFAC-sancties (Office of Foreign Assets Control). Ontwikkelaars in die regio’s verloren abrupt toegang tot privé-repositories en betaalde accounts, zonder waarschuwing vooraf. Amazon Web Services voerde vergelijkbare beperkingen door voor gebruikers verbonden aan gesanctioneerde entiteiten. Hoewel deze gevallen gericht waren op specifieke landen, toont de mechaniek iets fundamenteels: de Amerikaanse provider had geen keuze, want niet-naleving van OFAC-regels leidt tot zware boetes en strafrechtelijke vervolging in de VS.
Het meest directe precedent voor Europese overheidsorganisaties dateert van mei 2025. Microsoft beperkte de toegang tot e-mailaccounts van medewerkers van het Internationaal Strafhof (ICC) in Den Haag, naar verluidt nadat de Amerikaanse regering sancties aankondigde tegen ICC-functionarissen die een onderzoek voerden naar Amerikaanse staatsburgers. De ICC Chief Prosecutor was rechtstreeks getroffen. Dit incident illustreert dat zelfs een internationaalrechtelijke instelling op Europees grondgebied kwetsbaar is als haar communicatieinfrastructuur bij een Amerikaanse provider is ondergebracht.
Contractuele grondslag voor eenzijdige opschorting
De bevoegdheid van cloudproviders om diensten te onderbreken is niet gebaseerd op willekeur, maar op expliciete contractuele clausules die organisaties bij het aangaan van de overeenkomst accepteren.
De servicevoorwaarden van Microsoft Azure, Amazon Web Services en Google Cloud bevatten allemaal varianten van een “Acceptable Use Policy” en een “Compliance with Laws”-clausule. Die clausules stellen de provider in staat de dienst onmiddellijk en zonder schadevergoedingsplicht op te schorten wanneer de provider van mening is dat voortzetting in strijd zou zijn met toepasselijk recht, inclusief de Export Administration Regulations (EAR) en OFAC-sancties. De drempel is niet een rechterlijk bevel; de drempel is de eigen juridische risicoafweging van de provider.
Voor Europese organisaties is de realistische inschatting van dit scenario gelaagd. Een directe opschorting van een volledig niet-gesanctioneerde Nederlandse gemeente of een Belgische rechtbank is nu onwaarschijnlijk. Maar de risicomatrix verandert snel wanneer een organisatie werkt met partners, cliënten of dossiers die raakvlakken hebben met gesanctioneerde entiteiten, diplomatiek gevoelige kwesties of sectoren die door de VS als strategisch worden beschouwd, zoals defensietechnologie of energieinfrastructuur.
| Wetgeving | Beherende instantie | Grondslag voor opschorting | Geografische werking |
|---|---|---|---|
| OFAC-sancties | U.S. Department of the Treasury | Verbod op transacties met gesanctioneerde personen of landen | Wereldwijd, ook voor Europese eindgebruikers |
| Export Administration Regulations (EAR) | Bureau of Industry and Security (BIS), U.S. Department of Commerce | Beperking export/herexport technologie inclusief SaaS | Wereldwijd, op basis van eindgebruiker en eindgebruik |
| CLOUD Act (2018) | U.S. Department of Justice | Verplichte gegevensafgifte bij rechtshulpverzoek VS | Wereldwijd, ongeacht opslaglocatie data |
Continuïteitsrisico bij hyperscalerafhankelijkheid
Afhankelijkheid van één hyperscaler voor kritieke bedrijfsprocessen creëert een enkelvoudig faalmoment dat zowel technisch als juridisch-politiek van aard kan zijn.
Circa 65 tot 70 procent van de Europese publieke cloudmarkt wordt beheerst door AWS, Microsoft en Google (Europese Commissie, DG CONNECT, 2024). De EU Digital Markets Act (DMA) is in 2025 onderwerp van een specifiek marktonderzoek naar cloudpraktijken, waarbij de Commissie kijkt naar technische lock-in, interoperabiliteitsbelemmeringen en contractuele ongelijkheid. Dit marktonderzoek bevestigt dat de DMA-aanwijzing van grote cloudproviders als “gatekeepers” directe gevolgen heeft voor hoe afhankelijkheidsrisico’s beoordeeld moeten worden.
Het continuïteitsrisico bestaat uit drie lagen. De eerste is technische afhankelijkheid: propriëtaire API’s, bestandsformaten en identiteitssystemen zoals Azure Active Directory maken migratie tijdrovend. De tweede laag is juridische afhankelijkheid: dataportabiliteitsclausules bieden vaak weinig houvast bij urgente uitval. De derde laag, en de meest onderschatte, is de geopolitieke afhankelijkheid: geen enkel intern crisisplan vervangt de toegang als de provider zelf de schakelaar omzet.
IBM Cost of a Data Breach Report 2024 stelt de gemiddelde kosten van een datalek in de financiële sector op USD 6,08 miljoen. Bij een geopolitiek gedreven opschorting zijn de directe kosten echter niet alleen financieel: verlies van toegang tot dossiers, e-mail en samenwerking raakt de operationele kern van een organisatie direct.
EAR, OFAC en de positie van Europese gebruikers
EAR en OFAC zijn Amerikaanse instrumenten, maar hun reikwijdte stopt niet aan de Amerikaanse grens.
De Export Administration Regulations categoriseren software en clouddiensten als exporteerbare technologie. Zodra een dienst wordt geleverd aan een eindgebruiker of voor een eindgebruik dat op de entiteitslijst of controlelijst staat, is de provider verplicht die levering te staken. Europese organisaties die samenwerken met partijen die door de VS als risicovol worden beschouwd, kunnen indirect in de gevarenzone terechtkomen.
Het Bureau of Industry and Security (BIS) van het U.S. Department of Commerce heeft hierover gesteld: “Cloud service providers operating under U.S. jurisdiction must comply with export control regulations, and failure to do so can result in suspension of services to sanctioned entities or individuals.” Deze handhavingslijn geldt ongeacht of de eindgebruiker in Europa of elders gevestigd is.
OFAC werkt anders: het focust op de identiteit van de partij, niet op het gebruik. Als een Europese organisatie fondsen ontvangt van, of transacties uitvoert met, een gesanctioneerde entiteit, kan haar cloudaccount preventief worden bevroren terwijl een onderzoek loopt. De provider is bij twijfel geprikkeld om te snel te handelen, omdat de boetes voor niet-naleving hoger zijn dan de reputatieschade van een onterechte blokkade.
Lessen van het Microsoft ICC-incident voor gevoelige data
Het ICC-incident van mei 2025 is voor complianceofficers en IT-beslissers in overheid en rechtspraak een signaalgebeurtenis met directe beleidsimplicaties.
Het Internationaal Strafhof had zijn e-mailcommunicatie ondergebracht bij Microsoft. Toen de Amerikaanse regering druk uitoefende, bleek er geen buffermechanisme te bestaan tussen de politieke beslissing en de daadwerkelijke technische opschorting. De ICC had geen alternatief communicatiekanaal dat onmiddellijk operationeel was en geen controle over de hostinginfrastructuur van haar eigen correspondentie.
De les is meervoudig. Ten eerste: diplomatieke, juridische en strafrechtelijke data verdragen geen enkele extraterritoriale juridische afhankelijkheid. Ten tweede: continuïteitsplanning moet uitdrukkelijk het scenario bevatten van opschorting door een externe overheid, niet alleen door technische storing of ransomware. Ten derde: het Sovereign Cloud Framework van de Europese Commissie, met zijn SEAL-niveaus (van 1 tot 4), biedt een classificatiekader waarmee organisaties kunnen vaststellen welk niveau van operationele onafhankelijkheid vereist is voor hun type data. Voor een internationaalrechtelijke instelling als het ICC zou SEAL-niveau 4 (volledige Europese eigendom, operationeel personeel, en infrastructuur zonder blootstelling aan niet-EU-wetgeving) het minimum zijn.
Noodplannen en alternatieve architecturen
Een robuust antwoord op geopolitiek cloudrisico vereist architectuurkeuzes die voorafgaan aan een incident, niet correctieve maatregelen erna.
De meest effectieve aanpak combineert vier elementen. Het eerste is een multi-cloud of sovereign-first architectuur waarbij kritieke bedrijfsdata en communicatie primair worden gehost op infrastructuur die niet onder Amerikaanse jurisdictie valt. Zwitserse en Nederlandse datacenters met Europese eigendomsstructuren bieden hier een praktisch alternatief. Het tweede element is een operationeel noodplan (Business Continuity Plan) dat expliciet het scenario behandelt van een cloudopschorting door externe juridische dwang, met duidelijke RTO- en RPO-doelstellingen per systeem.
Het derde element is contractuele dataportabiliteit: serviceovereenkomsten moeten een clausule bevatten die de provider verplicht alle data binnen een vastgestelde termijn exporteerbaar te maken, ook bij opschorting. Het vierde element is een zelfgehoste alternatieve werkplek, zoals een on-premise of Europees gehoste Nextcloud-installatie, die parallel aan de primaire cloudoplossing operationeel wordt gehouden. Bij een Microsoft 365-migratie naar Nextcloud blijft de vertrouwde werkplekomgeving beschikbaar, inclusief agenda, e-mail, bestanden en samenwerking, zonder dat de data de Europese juridische ruimte verlaat en zonder dat de provider ooit traint op klantdata.
Het Europees Parlement heeft in zijn analyse van extraterritoriale wetgeving vastgesteld: “The CLOUD Act allows U.S. authorities to compel American providers to hand over data stored anywhere in the world, regardless of where the data subject resides.” Dit is precies waarom opslaglocatie alleen onvoldoende is: de juridische jurisdictie over de provider is bepalend, niet de geografische locatie van de servers.
Organisaties die dit risico serieus nemen, evalueren hun cloudleveranciers niet alleen op technische capaciteit en prijs, maar ook op juridische onafhankelijkheid: wie zijn de uiteindelijke eigenaren, onder welk rechtsstelsel opereren zij, en welke overheid kan hen dwingen te handelen ten koste van de klant?
FAQ: Geopolitiek cloudrisico en dienstverlening opschorting
Kan een Amerikaanse cloudprovider zomaar de toegang blokkeren voor een Europese overheidsinstantie?
Ja, dat is contractueel mogelijk. De algemene voorwaarden van grote cloudproviders bevatten clausules die eenzijdige opschorting toestaan bij vermeende schending van EAR of OFAC-sancties, zonder voorafgaande rechterlijke toetsing. Voor Europese overheidsinstanties die niet zelf gesanctioneerd zijn, geldt dit risico indirect: als een cloudprovider onzekerheid heeft over een zakelijke relatie of politieke druk ervaart, kan dat leiden tot preventieve blokkades.
Wat leerde het ICC-e-mailincident van mei 2025 over de kwetsbaarheid van gevoelige data bij Big Tech?
In mei 2025 beperkte Microsoft de toegang tot e-mailaccounts van ICC-medewerkers, naar verluidt onder druk van de Amerikaanse regering na aankondigingen van sancties tegen ICC-functionarissen. Dit toont aan dat zelfs internationaalrechtelijke instellingen kwetsbaar zijn wanneer hun communicatieinfrastructuur bij een Amerikaanse provider is ondergebracht. De conclusie is dat voor diplomatieke, juridische en strafrechtelijke data een echt sovereigne hostingoplossing noodzakelijk is.
Wat houdt het Sovereign Cloud Framework van de Europese Commissie in?
Het Sovereign Cloud Framework beschrijft SEAL-niveaus (van 1 tot 4) waarmee cloudaanbieders kunnen aantonen in welke mate zij voldoen aan eisen van Europese datasoevereiniteit, operationele onafhankelijkheid en juridische bescherming. Hoe hoger het SEAL-niveau, hoe strikter de eisen ten aanzien van eigendomsstructuur, personeel, infrastructuur en onttrekking aan extraterritoriale wetgeving van derde landen.
Hoe verschilt OFAC van EAR en wat betekent dit voor cloudgebruikers?
OFAC beheert sanctielijsten gericht op personen, entiteiten en landen waarmee handelen verboden is voor Amerikaanse bedrijven. EAR regelt de export en herexport van goederen, software en technologie met een dual-use karakter, inclusief clouddiensten. OFAC blokkeert toegang op basis van wie je bent; EAR op basis van waarvoor de technologie gebruikt wordt of waar naartoe. Beide kunnen leiden tot opschorting van clouddiensten voor Europese gebruikers, ook zonder dat de Europese organisatie zelf gesanctioneerd is.
Welke concrete stappen kan een organisatie zetten om geopolitieke cloudonderbreking op te vangen?
De meest robuuste aanpak combineert: (1) een multi-cloud of hybrid-cloud architectuur waarbij kritieke data op Europese of on-premise infrastructuur staat, (2) een operationeel noodplan specifiek voor clouduitval door externe dwang, (3) contractuele dataportabiliteitsclausules die uitvoer van data binnen vastgestelde tijd garanderen, en (4) een alternatief collaboratieplatform zoals een self-hosted Nextcloud-omgeving dat onmiddellijk operationeel is als de primaire cloudomgeving wegvalt.
