Een soevereine cloud voor de overheid en juridische sector is een cloudinfrastructuur waarbij de opslaglocatie, de juridische jurisdictie en de toegangsbeheerrechten volledig onder controle staan van de betrokken organisatie of een expliciet betrouwbaar geachte Europese partij. Dat onderscheidt zich fundamenteel van publieke clouddiensten waarbij de provider onder buitenlandse wetgeving valt die toegang tot data kan afdwingen zonder medeweten van de klant.
Waarom Amerikaanse cloudwetgeving een structureel risico vormt
De CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) en de bredere Foreign Intelligence Surveillance Act (FISA) geven Amerikaanse autoriteiten de bevoegdheid om data op te vragen bij in de VS gevestigde providers, ongeacht waar die data fysiek is opgeslagen. Dat geldt dus ook voor datacenters in Amsterdam of Frankfurt die worden geopereerd door Microsoft, Google of Amazon.
“Cloudproviders die vallen onder de CLOUD Act kunnen te allen tijde worden verplicht om data van Europese klanten aan Amerikaanse autoriteiten te verstrekken, zonder dat de klant daarvan op de hoogte wordt gesteld.”
European Data Protection Board (EDPB), Guidelines on transfers of personal data to third countries
Voor overheidsorganisaties die werken met persoonsgegevens van burgers, beleidsdocumenten of vertrouwelijke communicatie is dit geen theoretisch risico. De Autoriteit Persoonsgegevens (AP) heeft meerdere malen gewaarschuwd dat het gebruik van diensten met een structurele blootstelling aan niet-AVG-conforme jurisdicties moeilijk te rechtvaardigen valt onder artikel 46 en 49 van de AVG (Verordening 2016/679).
Eisen van de Nederlandse overheid aan cloudopslag van gerubriceerde informatie
De Baseline Informatiebeveiliging Overheid (BIO) is het verplichte normenkader voor alle overheidsorganisaties in Nederland, inclusief gemeenten, provincies, waterschappen en rijksdiensten. De BIO is gebaseerd op ISO 27001 en ISO 27002 en stelt eisen aan zowel technische als organisatorische maatregelen.
“De BIO vormt het minimumkader voor informatiebeveiliging bij alle overheidsorganisaties in Nederland en is bindend voor rijksoverheid, provincies, gemeenten en waterschappen.”
Centrum Informatiebeveiliging en Privacybescherming (CIP), www.cip-overheid.nl
Voor informatie met de rubriceringsgraad Departementaal Vertrouwelijk (DEP_V) gelden aanvullende eisen bovenop de BIO-baseline. Staatsgeheime informatie (STG) valt onder het Besluit Voorschrift Informatiebeveiliging Rijksdienst Bijzondere Informatie (VIR-BI) en mag uitsluitend worden verwerkt op systemen die zijn geaccrediteerd door de Nationaal Beveiligingsautoriteit (NBa). Cloudopslag van STG-informatie bij commerciële providers is in beginsel uitgesloten.
Data-classificatie gekoppeld aan BIO-niveaus
Een werkbaar data-classificatieschema voor overheidsorganisaties sluit direct aan op de BIO-rubriceringslogica. Dat betekent vier lagen: openbaar, intern, vertrouwelijk en gerubriceerd. Elk niveau schrijft voor welke encryptiestandaarden, toegangsbeheermaatregelen en opslaglocaties van toepassing zijn. Bij de implementatie in een soevereine Nextcloud-omgeving vertaalt dit zich concreet naar aparte opslagpools per classificatieniveau, automatische labelassignatie via metadataregels, en auditlogging die voldoet aan NEN-EN-ISO 27001:2022 Annex A.8.
Vereiste certificeringen voor overheidscontracten
Cloudproviders die willen leveren aan Nederlandse overheidsorganisaties komen in aanmerking via een combinatie van certificeringen en keurmerken. De meest relevante zijn hieronder samengevat.
| Certificering | Uitgevende instantie | Toepassingsgebied |
|---|---|---|
| ISO 27001 | Internationale norm (accreditatie via RvA) | Informatiebeveiligingsmanagementsysteem, verplicht basis BIO |
| ISO 27017 / 27018 | Internationale norm | Cloudspecifieke beveiligingscontroles en privacy in de cloud |
| EUCS (European Cybersecurity Certification Scheme) | ENISA | Europees schema voor cloudbeveiliging, drie assuranceniveaus: Basic, Substantial, High |
| DigiD-audit (TPM-norm) | Logius / RvIG | Verplicht voor dienstverleners die DigiD-koppeling hebben |
| NEN 7510 | NEN | Informatiebeveiliging in de zorg, aanvullend op BIO voor zorginstellingen |
Het European Cybersecurity Certification Scheme (EUCS) is het kader dat ENISA heeft ontwikkeld om cloudaanbieders Europees gecertificeerd te laten worden. Het assuranceniveau “High” vereist dat de provider geen toegang hoeft te verlenen aan autoriteiten buiten de EU, een eis die directe consequenties heeft voor de geschiktheid van Amerikaanse hyperscalers voor gevoelige overheidsdata.
Meer dan 75% van de Europese publieke sector maakt gebruik van clouddiensten van Amerikaanse hyperscalers (European Parliament Research Service, 2023). Dat maakt de uitrol van EUCS politiek en praktisch complex, maar verandert niets aan de juridische noodzaak.
Geheimhoudingsplicht in de advocatuur en soevereine cloudopslag
Advocaten zijn op grond van artikel 11a van de Advocatenwet gehouden aan een strikte geheimhoudingsplicht. Dat omvat alle informatie die in de hoedanigheid van advocaat wordt ontvangen, inclusief communicatie, processtukken en cliëntdossiers. Het gebruik van clouddiensten die potentieel toegankelijk zijn voor buitenlandse autoriteiten of waarbij de provider technische toegang heeft tot onversleutelde data, is in strijd met deze plicht.
Een advocatenkantoor dat kiest voor soevereine cloudopslag moet minimaal garanderen dat: encryptie end-to-end plaatsvindt met sleutels die uitsluitend door het kantoor worden beheerd (zero-knowledge), de provider contractueel geen technische toegang heeft tot onversleutelde content, de opslaglocatie binnen de EU valt onder een provider die niet onderworpen is aan de CLOUD Act, en logging en audittrails aantoonbaar zijn. Een on-premise Nextcloud-installatie of een Zwitserse hostingprovider zonder Amerikaanse moedermaatschappij voldoet aan deze eisen beter dan de standaard Microsoft 365-omgeving.
Identiteits- en toegangsbeheer voor ambtenaren
De Wet digitale overheid (Wdo) verplicht overheidsorganisaties erkende inlogmiddelen te accepteren en stelt betrouwbaarheidsniveaus vast voor authenticatie conform eIDAS-niveau Laag, Substantieel en Hoog. DigiD, beheerd door de Rijksdienst voor Identiteitsgegevens (RvIG), regelt de authenticatie van burgers richting de overheid en is geen intern identiteitsbeheersysteem voor ambtenaren.
Voor interne systemen gebruikt de rijksoverheid PKI-Overheid-certificaten en rollen gebaseerd toegangsbeheer (RBAC) conform BIO-eis 9.1. In een soevereine Nextcloud-omgeving vertaalt dit zich naar een LDAP- of SAML-2.0-koppeling met de bestaande Active Directory of een open-source alternatief zoals Keycloak, gecombineerd met meerfactorauthenticatie (MFA) via TOTP of hardware tokens (FIDO2). Gebruikersprovisioning en deprovisionering worden geautomatiseerd via SCIM, zodat een vertrekkende ambtenaar direct geen toegang meer heeft.
Kritieke communicatiesystemen voor hulpverleners, zoals C2000, vallen onder een geheel eigen beveiligingsregime met TETRA-encryptie en zijn niet afhankelijk van commerciële clouddiensten. Ze illustreren echter het principe dat bepaalde overheidsinfrastructuur per definitie soeverein en autonoom moet zijn.
Aanbesteding bij vervanging van Microsoft 365
Bij overschrijding van de Europese aanbestedingsdrempel voor leveringen en diensten (221.000 euro voor centrale overheid in 2024) is een Europese aanbesteding verplicht op grond van de Aanbestedingswet 2012. De vervanging van een groot kantorenplatform overschrijdt die drempel doorgaans ruim. Organisaties kunnen soevereiniteitscriteria opnemen als gunningscriterium, mits objectief en proportioneel onderbouwd. Relevante criteria zijn: juridische vestigingsplaats van de provider en moedermaatschappij, eigendom van encryptiesleutels, geografische dataopslag, en aantoonbare certificeringen (ISO 27001, EUCS).
De markt voor post-quantum cryptografie groeit naar verwachting van 291 miljoen dollar in 2023 naar 7,4 miljard dollar in 2030 (MarketsandMarkets, 2023), wat aangeeft dat leveranciers van soevereine cloudoplossingen steeds meer kwantumveilige opties zullen integreren. Aanbestedingsdocumenten die nu worden opgesteld, doen er goed aan om post-quantum cryptografie als eis of wens te formuleren voor contractduur na 2026.
NIS-2, GDPR en ransomwarebescherming
De NIS-2-richtlijn (EU 2022/2555) is in Nederland geïmplementeerd via de Cyberbeveiligingswet (Cbw) en stelt aanvullende eisen aan overheden en organisaties in sectoren als energie, transport, gezondheidszorg en digitale infrastructuur. Verplichtingen omvatten incidentmelding binnen 24 uur na ontdekking, risicobeheer, beveiliging van de supply chain en toezicht op derden die kritieke functies uitvoeren. Dat laatste is direct relevant voor cloudproviders: een provider die kritieke overheidsdiensten ondersteunt, valt zelf ook onder NIS-2-toezicht.
Ransomwarebescherming in een soevereine omgeving steunt op drie pijlers: onveranderbare back-ups (immutable backups) buiten het primaire netwerk, netwerksegmentatie zodat versleuteling zich niet lateraal verspreidt, en regelmatige hersteltest. Volgens IBM’s Cost of a Data Breach Report 2023 zijn cloudconfiguratieproblemen betrokken bij 82% van de onderzochte datalekken. Dat maakt misconfiguratie van cloudrechten een groter risico dan geavanceerde aanvallen.
FAQ
Mag een Nederlandse gemeente persoonsgegevens opslaan bij Amazon AWS of Microsoft Azure?
Technisch is dat mogelijk, maar juridisch risicovol. Beide providers vallen onder de CLOUD Act. De AVG vereist afdoende bescherming; bij structurele blootstelling aan niet-AVG-conforme jurisdicties is dat twijfelachtig. De Autoriteit Persoonsgegevens heeft overheidsorganisaties herhaaldelijk aangespoord tot voorzichtigheid.
Wat is het verschil tussen STG en DEP_V in de Nederlandse rubriceringsystematiek?
Staatsgeheim (STG) heeft de subgraden Zeer Geheim, Geheim en Confidentieel en valt onder het VIR-BI. Verwerking mag uitsluitend op NBa-geaccrediteerde systemen. Departementaal Vertrouwelijk (DEP_V) vereist BIO-compliance met aanvullende maatregelen, maar stelt minder zware systeemeisen. Cloudopslag van STG-informatie bij commerciële providers is in beginsel niet toegestaan.
Welke rol speelt DigiD bij identiteitsbeheer in een soevereine overheidsomgeving?
DigiD, beheerd door de Rijksdienst voor Identiteitsgegevens (RvIG), verzorgt authenticatie van burgers richting overheidsdiensten. Voor interne ambtenarensystemen is DigiD niet van toepassing; daarvoor zijn PKI-Overheid-certificaten, eHerkenning of FIDO2-tokens relevant. De Wet digitale overheid (Wdo) stelt eisen aan het betrouwbaarheidsniveau van authenticatie voor overheidsdiensten.
Is een aanbesteding verplicht bij vervanging van Microsoft 365 door open-source software?
Ja, bij overschrijding van de Europese drempelwaarden (221.000 euro voor centrale overheid in 2024) verplicht de Aanbestedingswet 2012 een Europese aanbestedingsprocedure. Soevereiniteits- en beveiligingscriteria mogen als gunningscriterium worden opgenomen, mits objectief en proportioneel onderbouwd.
Wat is een “harvest now, decrypt later”-aanval en waarom is die relevant voor overheden?
Bij deze aanvalstechniek verzamelen kwaadwillenden nu versleuteld verkeer of data, in de verwachting dat een kwantumcomputer de encryptie in de toekomst kan breken. Overheidsarchieven met een lange vertrouwelijkheidshorizon, zoals diplomatieke communicatie of strafrechtdossiers, lopen dit risico als ze niet tijdig worden overgezet naar post-quantum encryptiestandaarden zoals ML-KEM en ML-DSA (NIST, 2024).
