Datasoevereiniteit voor overheidsorganisaties is het vermogen om aantoonbaar en juridisch afdwingbaar te bepalen wie toegang heeft tot overheidsinformatie, ongeacht de technische infrastructuur waarop die informatie rust. Voor Nederlandse uitvoeringsorganisaties is dit geen abstracte beleidskwestie meer: drie recente casussen, de SVB-Azure-migratie, het ADR-onderzoek naar de Belastingdienst en de SSC-ICT-werkplekmigratiediscussie, laten zien dat de spanning tussen operationele modernisering en digitale autonomie inmiddels politiek zichtbaar en bestuurlijk urgent is.
De SVB-Azure-migratie en de CLOUD Act
De Kamerbrief van januari 2026 over de voorgenomen migratie van de Sociale Verzekeringsbank (SVB) naar Microsoft Azure bracht een debat op gang dat verder gaat dan één organisatie. Kern van de kritiek vanuit de Tweede Kamer was de blootstelling aan de Amerikaanse CLOUD Act, artikel 103. Die wet verplicht Amerikaanse technologiebedrijven om op rechtmatig verzoek van Amerikaanse autoriteiten gegevens te verstrekken die zij beheren, ook wanneer die gegevens fysiek op Europese servers staan.
Voor de SVB, die de uitkeringsadministratie beheert van miljoenen Nederlandse burgers, betekent dit een fundamenteel vraagstuk over de rechtsgrondslag voor doorgifte. De AVG (artikel 46) vereist dat de verwerkingsverantwoordelijke passende waarborgen biedt bij internationale doorgiften. Een contract met een CLOUD Act-plichtige partij biedt die waarborg niet automatisch, omdat de Amerikaanse wettelijke verplichting prevaleert boven contractuele afspraken.
De Autoriteit Persoonsgegevens stelde eerder al: “De inzet van Amerikaanse clouddiensten door de overheid brengt risico’s mee voor de bescherming van persoonsgegevens, zeker nu de CLOUD Act Amerikaanse autoriteiten toegang kan geven tot in Europa opgeslagen data.” Dit standpunt van de AP wordt in de SVB-discussie opnieuw actueel en toont aan dat de risico-inschatting niet nieuw is, maar dat de praktijk van cloudmigraties er weinig mee heeft gedaan.
Het ADR-onderzoek naar de M365-back-up van de Belastingdienst
Parallel aan de soevereiniteitsdiscussie over de SVB publiceerde de Auditdienst Rijk (ADR) in juli 2026 bevindingen over de back-upvoorziening van Microsoft 365 bij de Belastingdienst. De conclusie was direct: de back-upvoorziening voldeed niet aan de gestelde eisen. Volgens het ADR-rapport waren er “onvoldoende waarborgen om bij een calamiteit tijdig en volledig te kunnen herstellen.”
Dit is geen technisch detail. De Baseline Informatiebeveiliging Overheid versie 2 (BIO2), die sinds 2024 van kracht is voor alle rijksoverheidsorganisaties, stelt expliciete en meetbare eisen aan herstelcapaciteit, back-upfrequentie en de onafhankelijkheid van back-upopslag. Wie back-ups volledig overlaat aan Microsoft’s ingebouwde retentie- en hersteltools, is afhankelijk van de servicecondities van die partij en heeft geen eigenstandige herstelmogelijkheid.
| Aspect | Microsoft 365 standaardretentie | BIO2-vereiste (soevereine back-up) |
|---|---|---|
| Bewaartermijn verwijderde items | 30-93 dagen (afhankelijk van licentie) | Organisatie bepaalt zelf, minimaal conform classificatie |
| Encryptiesleutelbeheer | Microsoft-beheerde sleutels (standaard) | Bring Your Own Key (BYOK) verplicht bij gevoelige data |
| Locatie back-upopslag | Microsoft-datacenters (VS-recht van toepassing) | EER-locatie of on-premise, buiten CLOUD Act-bereik |
| Hersteltests | Niet standaard aangeboden | Aantoonbaar getest, gedocumenteerd herstelplan vereist |
Het NCSC stelde in het Cybersecuritybeeld Nederland 2023 vast dat ransomware de meest impactvolle cyberdreiging voor overheidsorganisaties blijft. Een onvolledige back-upvoorziening verhoogt de schade bij een ransomware-aanval direct, omdat herstel zonder betrouwbare back-up ofwel onmogelijk is ofwel afhankelijk wordt van onderhandelen met aanvallers of van dataverlies.
SSC-ICT en de soevereine rijkswerkplek
De derde casus betreft SSC-ICT, de shared service-organisatie die de werkplekinfrastructuur levert aan grote delen van het Rijk. Kamervragen over de nieuwe werkplek van SSC-ICT spitsten zich toe op de vraag welke controle de Rijksoverheid behoudt wanneer de werkplek in de public cloud draait. De discussie raakte aan metadata, communicatiepatronen en de locatie van sleutelbeheerfuncties.
Het probleem is structureel: zodra een werkplek volledig in een Amerikaans cloud-ecosysteem draait, vloeit ook de operationele metadata, zoals wie wanneer met wie communiceert, welke bestanden worden geopend en welke zoekopdrachten worden gedaan, naar dezelfde omgeving. Die metadata valt onder dezelfde CLOUD Act-blootstelling als de inhoudelijke data. Voor overheidsmedewerkers die werken met staatsgeheime of vertrouwelijke informatie is dit een onacceptabel risico.
De les voor compliance officers en IT-beslissers is concreet: een soevereine werkplek vereist dat de organisatie zelf de opslaglaag, de encryptiesleutels en de toegangsrechten beheert. Dit is technisch haalbaar via on-premise Nextcloud-implementaties, gecertificeerde Europese hosters of hybride modellen waarbij de identiteitslaag en het sleutelbeheer buiten het Amerikaanse ecosysteem vallen.
Structurele spanning: modernisering versus digitale autonomie
Alle drie de casussen wijzen op dezelfde onderliggende dynamiek: de druk om te moderniseren (kostreductie, gebruiksgemak, schaalbaarheid) staat systematisch op gespannen voet met de juridische en politieke verplichting om digitale autonomie te borgen. Microsoft 365 en Azure bieden genuïne functionele voordelen, maar die voordelen worden geleverd binnen een juridisch kader dat niet onder Nederlandse of Europese controle staat.
De ENISA Threat Landscape 2023 schat dat de schade door datalekken bij overheidsinstanties in de EU tussen 2021 en 2023 meer dan verdubbeld is. Dit illustreert dat het risico niet theoretisch is: de combinatie van publieke cloud-afhankelijkheid en onvolledige back-upvoorziening creëert een reëel kwetsbaarheidsoppervlak.
Microsoft verwerkt naar eigen opgave gegevens van meer dan één miljoen Nederlandse overheidsgebruikers via Microsoft 365-diensten, zo bleek uit de DPIA die het Ministerie van BZK in 2023 liet uitvoeren. Dat volume maakt de afhankelijkheid niet kleiner; het vergroot de urgentie van een gestructureerde aanpak.
Minimumvereisten voor een soevereine back-upstrategie bij gedeeltelijke M365-inzet
Wanneer een overheidsorganisatie operationeel of politiek gebonden is aan gedeeltelijke inzet van Microsoft 365, zijn er minimumvereisten waaraan elke back-upstrategie moet voldoen om BIO2-conform te zijn en CLOUD Act-blootstelling te beperken.
De eerste vereiste is een onafhankelijke back-uptool die gegevens buiten het Microsoft-ecosysteem opslaat. Dit betekent dat back-ups niet uitsluitend rusten op Microsoft’s eigen retentielaag, maar worden geschreven naar een opslagomgeving waarover de organisatie volledige juridische en technische controle heeft.
De tweede vereiste is sleutelbeheer door de organisatie zelf, via Bring Your Own Key (BYOK). Zolang Microsoft de encryptiesleutels beheert, kan een CLOUD Act-verzoek in theorie ook de versleutelde data ontsleutelen. Met BYOK blijft de sleutel buiten het bereik van de provider.
De derde vereiste is een aantoonbaar geteste herstelprocedure. BIO2 vereist niet alleen dat back-ups bestaan, maar dat herstel binnen vooraf gedefinieerde tijdsgrenzen (RTO en RPO) aantoonbaar werkt. Het ADR-rapport over de Belastingdienst toont aan dat dit in de praktijk vaak niet het geval is.
De vierde vereiste is contractuele uitsluiting van subverwerkers buiten de EER. Zelfs wanneer de hoofdverwerker in Europa opereert, kunnen subverwerkers in derde landen data verwerken. AVG-artikel 28 vereist expliciete toestemming voor en transparantie over subverwerking.
Tot slot: bewaar back-ups op minimaal twee geografisch gescheiden locaties, waarvan minstens één on-premise of in een door de Rijksdienst goedgekeurde Europese omgeving zonder CLOUD Act-blootstelling. Dat is niet alleen een BIO2-eis, maar ook een praktische ransomwarebescherming op basis van het 3-2-1-principe.
Wat betekent dit voor de praktijk van IT-beslissers en compliance officers
De drie casussen zijn geen incidenten. Ze zijn symptomen van een aanbestedingspraktijk en een migratiedruk die onvoldoende rekening houdt met juridische soevereiniteitsvereisten. Voor compliance officers is de prioriteit het vastleggen van een expliciete soevereiniteitsbeoordeling als verplicht onderdeel van elk cloudmigratiebesluit, naast de bestaande DPIA en BIA.
IT-beslissers doen er verstandig aan te toetsen of hun huidige M365-contracten Bring Your Own Key bieden, of back-ups daadwerkelijk buiten het Microsoft-ecosysteem worden opgeslagen en of hersteltests gedocumenteerd zijn. Waar dat niet het geval is, is aanvullende tooling geen luxe maar een BIO2-verplichting.
Organisaties in gevoelige sectoren, zoals uitvoeringsorganisaties met uitkeringsdata, de rechterlijke macht, of ministeries met beleidsvertrouwelijke informatie, zouden de migratie naar volledig soevereine werkplekken, via open-sourceplatformen als Nextcloud op Europees gecertificeerde infrastructuur, serieus moeten overwegen als structurele oplossing in plaats van een tijdelijke noodmaatregel.
Veelgestelde vragen
Wat is de CLOUD Act en waarom is die relevant voor Nederlandse overheidsorganisaties?
De CLOUD Act (Clarifying Lawful Overseas Use of Data Act, artikel 103) verplicht Amerikaanse technologiebedrijven om op verzoek van Amerikaanse autoriteiten toegang te verlenen tot data die zij beheren, ongeacht of die data fysiek in Europa staat. Voor Nederlandse overheidsorganisaties betekent dit dat vertrouwelijke overheidsinformatie die via Microsoft Azure of Microsoft 365 wordt opgeslagen, in principe toegankelijk kan zijn voor de Amerikaanse overheid, ook zonder Europese rechterlijke toestemming.
Welke concrete risico’s identificeerde de Auditdienst Rijk bij de back-upinrichting van de Belastingdienst?
Uit het ADR-onderzoek naar de M365-back-upvoorziening van de Belastingdienst (juli 2026) bleek dat de back-upvoorziening niet voldeed aan de gestelde hersteleis-eisen. Concreet ontbraken voldoende waarborgen om bij een calamiteit tijdig en volledig te kunnen herstellen. Dit raakt direct aan de BIO2-verplichting voor continuïteit en herstelcapaciteit.
Wat leerde de SSC-ICT-werkplekmigratiediscussie over soevereine werkplekinrichting?
De Kamervragen over de nieuwe werkplek van SSC-ICT maakten zichtbaar dat het outsourcen van de rijkswerkplek aan een Amerikaanse cloudleverancier leidt tot structureel verlies van controle over metadata, communicatiepatronen en back-uplocaties. Een soevereine werkplek vereist dat de organisatie zelf de opslaglaag, encryptiesleutels en toegangsrechten beheert, bij voorkeur via een on-premise of Europees gecertificeerde omgeving.
Wat zijn de minimumvereisten voor een soevereine back-upstrategie bij gedeeltelijke M365-inzet?
Bij gedeeltelijke M365-inzet geldt als minimum: een onafhankelijke back-uptool die gegevens buiten het Microsoft-ecosysteem opslaat, encryptie met sleutels die uitsluitend onder de organisatie vallen (Bring Your Own Key), een aantoonbaar geteste herstelprocedure conform BIO2, en contractuele uitsluiting van subverwerkers buiten de EER. Bewaar back-ups minimaal op twee geografisch gescheiden locaties, waarvan minstens één on-premise of in een door de Rijksdienst goedgekeurde Europese omgeving.
Hoe verhoudt de SVB-Azure-casus zich tot de GDPR en BIO2-verplichtingen?
De Kamerbrief over de voorgenomen migratie van de SVB naar Microsoft Azure (januari 2026) riep vragen op over de rechtsgrondslag voor doorgifte van persoonsgegevens naar een CLOUD Act-plichtige verwerker. Zowel de AVG (artikel 46) als BIO2 vereisen dat de organisatie aantoonbaar controle houdt over waar data staat, wie er toegang toe heeft en hoe herstel is gewaarborgd. De combinatie van CLOUD Act-blootstelling en geconstateerde back-uprisico’s bij de Belastingdienst illustreert dat aan beide vereisten tegelijkertijd moeilijk te voldoen is binnen standaard public cloud-contracten.
