Soevereine samenwerkingstools zijn digitale platforms voor chat, videovergadering en documentbeheer die volledig onder de juridische en technische controle van de afnemende organisatie vallen, zonder afhankelijkheid van Amerikaanse cloudwetgeving. Voor Europese overheids- en zorginstellingen is dit onderscheid niet academisch: de keuze voor Microsoft Teams of SharePoint brengt aantoonbare AVG- en NIS-2-risico’s mee die steeds vaker door toezichthouders worden benoemd.
Waarom Microsoft Teams en SharePoint juridisch kwetsbaar zijn voor Europese organisaties
De kern van het probleem ligt in de jurisdictie van de aanbieder, niet in de locatie van de servers. Microsoft is een Amerikaans bedrijf en valt daardoor onder de CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018). Die wet verplicht Microsoft om gegevens te verstrekken aan Amerikaanse opsporingsdiensten, ook als die gegevens op servers in Amsterdam of Dublin staan.
Naast de CLOUD Act speelt ook Section 702 van de Foreign Intelligence Surveillance Act (FISA) een rol: die machtigt de NSA om zonder rechterlijk bevel communicatiedata van niet-Amerikaanse personen op te vragen bij Amerikaanse dienstverleners. Organisaties in de rechtspraktijk, de gezondheidszorg of het openbaar bestuur verwerken structureel bijzondere of vertrouwelijke persoonsgegevens. Voor hen is de juridische blootstelling bijzonder groot.
De NIS-2-richtlijn (EU 2022/2555), die in Nederland via de Cyberbeveiligingswet wordt geïmplementeerd, verplicht essentiële entiteiten bovendien tot een aantoonbare risicobeheersing in de ICT-toeleveringsketen. Wie Microsoft 365 gebruikt zonder actieve mitigatie van de CLOUD Act-risico’s, kan dat niet aantonen.
| Criterium | Microsoft 365 (Teams + SharePoint) | Soevereine on-premise stack |
|---|---|---|
| Jurisdictie aanbieder | Amerikaans (CLOUD Act van toepassing) | Europees of eigen organisatie |
| Gegevenslocatie | EU-datacenters, maar Amerikaans recht | On-premise of EU-aanbieder |
| Broncode auditeerbaar | Nee (gesloten) | Ja (open-source componenten) |
| Vendor lock-in | Hoog (propriëtaire formaten, API’s) | Laag (open standaarden, WebDAV, CalDAV) |
| NIS-2 ketenbeheer aantoonbaar | Beperkt | Volledig onder eigen beheer |
Functionele alternatieven voor Teams en SharePoint
Er bestaat een volwassen ecosysteem van open-source en Europees gehoste tools die samen de volledige functionaliteit van Microsoft 365 dekken, zonder afhankelijkheid van Amerikaanse wetgeving.
Nextcloud als centrale werkplek
Nextcloud is het meest verspreide open-source platform voor bestandsopslag, documentbeheer en samenwerking. De software draait volledig on-premise of bij een Europese hoster, de broncode is openbaar auditeerbaar en er is geen thuisbel-functie naar externe servers. Nextcloud verving SharePoint qua opslag, mapstructuur, toegangsbeheer en versiehistorie. In 2023 rapporteerde Nextcloud GmbH meer dan 400.000 actieve serverinstallaties wereldwijd, waaronder installaties bij grote Europese ministeries en universiteiten.
Nextcloud Talk en Matrix/Element voor communicatie
Nextcloud Talk biedt geïntegreerde chat en basis-videovergadering binnen de Nextcloud-omgeving. Voor organisaties met hogere eisen aan gefedereerde communicatie is het Matrix-protocol de open standaard bij uitstek: gedecentraliseerd, end-to-end versleuteld en niet afhankelijk van één server of aanbieder. De referentieclient voor Matrix is Element. De Franse overheid bouwde op Matrix de interne berichtendienst Tchap, die door tienduizenden ambtenaren wordt gebruikt. In Duitsland is de federale BundesMessenger eveneens op Matrix gebaseerd.
Jitsi Meet voor videovergadering
Jitsi Meet is een open-source videoconferentieoplossing die volledig zelfgehost kan worden. Er is geen account vereist, de verbindingen verlopen via WebRTC en de installatie integreert naadloos in Nextcloud of als zelfstandige dienst. Organisaties in de rechtspraktijk en de gezondheidszorg kiezen Jitsi specifiek omdat er geen gespreksmetadata naar Amerikaanse servers gaat.
Collabora Online en ONLYOFFICE voor documentbewerking
Voor het online bewerken van Office-documenten in de browser zijn Collabora Online (gebaseerd op LibreOffice) en ONLYOFFICE de twee voornaamste opties. Beide integreren als plugin in Nextcloud en ondersteunen .docx, .xlsx en .pptx zonder de documenten naar externe servers te sturen. Collabora is de keuze van veel EU-overheidsinstellingen vanwege de ondersteuning door een Europees bedrijf en de nauwe samenwerking met het Document Foundation-ecosysteem.
Beoordeling op interoperabiliteit en vermijding van vendor lock-in
Een soevereine samenwerkingsoplossing is alleen duurzaam als zij gebouwd is op open standaarden. De criteria waarop u een aanbieder of zelfgehoste stack beoordeelt, zijn concreet en toetsbaar.
Gebruik voor bestandsuitwisseling uitsluitend diensten die WebDAV en CalDAV ondersteunen: dit zijn IETF-standaarden die toegankelijkheid via diverse clients garanderen. Documentformaten moeten ODF (Open Document Format, ISO/IEC 26300) of tenminste het gangbare .docx-formaat hanteren, zodat uitwisseling met externe partijen zonder conversieverlies verloopt. Communicatieprotocollen zoals Matrix en XMPP zijn open en gefedereerd: uw organisatie kan wisselen van server of client zonder dat gebruikers hun adressen of gespreksgeschiedenis verliezen.
Integratie met Active Directory, e-mail en SSO
Een veelgehoord bezwaar tegen migratie is de vermeende complexiteit van integratie met bestaande infrastructuur. In de praktijk is die integratie goed uitvoerbaar via gestandaardiseerde protocollen.
Nextcloud, Element en Jitsi Meet ondersteunen alle drie OpenID Connect (OIDC) en SAML 2.0, de dominante protocollen voor Single Sign-On. Via OIDC koppelt u de tools aan een on-premise identityprovider zoals Keycloak (open-source) of een bestaande Microsoft Active Directory Federation Services (ADFS)-installatie. Gebruikers authenticeren met hun bestaande organisatieaccount, zonder aparte cloudaccounts. Groepen en rechten worden via LDAP-synchronisatie automatisch overgenomen uit Active Directory, zodat onboarding en offboarding centraal geregeld blijft.
E-mailintegratie verloopt via standaard IMAP/SMTP-koppelingen. Nextcloud ondersteunt de Nextcloud Mail-app die rechtstreeks op een eigen mailserver zoals Postfix/Dovecot of een Europese hosted mailprovider draait. Agenda’s en contacten worden gesynchroniseerd via CalDAV en CardDAV, compatibel met Outlook, Thunderbird en mobiele clients.
Europese organisaties die al zijn overgestapt
De overgang van Microsoft 365 naar soevereine alternatieven is geen theoretisch verhaal. Meerdere grote Europese organisaties hebben de stap al gezet en documenteren hun ervaringen.
De deelstaat Sleeswijk-Holstein in Duitsland kondigde in 2021 een meerjarenplan aan om 25.000 ambtenaren te migreren van Microsoft naar een open-source werkplek op basis van LibreOffice en Nextcloud, onder de naam “Open CoDE”. De motivatie was expliciet: juridische onzekerheid over Amerikaanse cloudwetgeving en strategische digitale autonomie. De Dataport-omgeving, het gezamenlijke IT-dienstencentrum van meerdere Noord-Duitse deelstaten, biedt Nextcloud als standaard samenwerkingsplatform aan.
In Frankrijk werkt de Direction Interministérielle du Numérique (DINUM) aan de Suite Numérique, een soevereine werkplek voor de gehele Franse overheidsdienst, met Nextcloud als bestandsplatform en Tchap (Matrix/Element) als communicatietool. De Europese Commissie experimenteert intern met Matrix voor overheidscommunicatie die niet via Amerikaanse infrastructuur mag lopen.
In de Nederlandse gezondheidszorg zijn ziekenhuizen begonnen met pilots waarbij Nextcloud de functie van SharePoint overneemt voor het beheer van protocollen en werkdocumenten, mede omdat de Autoriteit Persoonsgegevens in toenemende mate vragen stelt over de AVG-conformiteit van Microsoft 365 in zorginstellingen.
AVG- en NIS-2-risico’s in de praktijk voor overheid en zorg
Concreet betekent gebruik van Microsoft Teams in een gemeentelijk of ziekenhuiscontext dat vergadermetadata, chatberichten, gedeelde bestanden en zelfs de inhoud van transcripties onderhevig zijn aan mogelijke CLOUD Act-vorderingen. De EDPS stelde in 2022 vast dat EU-instellingen die Microsoft 365 gebruikten, persoonsgegevens overdroegen naar de VS zonder de afdoende garanties die artikel 46 AVG vereist.
Onder NIS-2 geldt bovendien dat zorgaanbieders en overheidsinstanties essentiële entiteiten zijn met verhoogde meldplicht en aantoonplicht. Een datalek of ongeautoriseerde toegang via een cloudaanbieder moet binnen 24 uur gemeld worden aan het NCSC of de sectorale toezichthouder. Wie de volledige verwerkingsketen niet in eigen hand heeft, kan die meldplicht moeilijker nakomen. ENISA signaleerde in het Threat Landscape 2023 dat misbruik van cloudservices behoort tot de vijf meest voorkomende aanvalsvectoren bij NIS-2-relevante incidenten.
Veelgestelde vragen
Is Nextcloud een volwaardig vervanger voor zowel Microsoft Teams als SharePoint?
Nextcloud biedt documentopslag en -deling vergelijkbaar met SharePoint, en via Nextcloud Talk ook chat en videovergadering vergelijkbaar met Teams. Voor geavanceerde videoconferenties wordt Jitsi Meet doorgaans als aparte component geïntegreerd. De combinatie dekt de meeste functionaliteit van Microsoft 365 af, zij het dat de gebruikerservaring op sommige punten verschilt.
Geldt de CLOUD Act ook als Microsoft-servers fysiek in Europa staan?
Ja. De CLOUD Act verplicht Amerikaanse bedrijven om gegevens te verstrekken aan de Amerikaanse overheid, ongeacht waar die gegevens fysiek zijn opgeslagen. Het feit dat Microsofts datacenters in Nederland of Ierland staan, heft deze verplichting niet op. Alleen een Europese aanbieder zonder Amerikaanse moedermaatschappij of bedrijfsstructuur valt buiten de reikwijdte van deze wet.
Wat zijn de NIS-2-verplichtingen voor organisaties die cloudsamenwerkingstools gebruiken?
NIS-2 (Richtlijn EU 2022/2555) verplicht essentiële en belangrijke entiteiten tot risicobeheersmaatregelen voor hun ICT-toeleveringsketen. Dat omvat een beoordeling van de jurisdictionele risico’s van clouddiensten, contractuele garanties over gegevenslocatie, en incidentmeldverplichtingen. Organisaties die Microsoft 365 gebruiken, moeten kunnen aantonen dat zij de risico’s van buitenlandse overheidstoegang actief mitigeren.
Hoe werkt SSO-integratie met een soevereine samenwerkingstool?
Nextcloud, Element en de meeste open-source alternatieven ondersteunen OpenID Connect (OIDC) en SAML 2.0. Via deze protocollen koppelt u de tool aan een bestaande on-premise Active Directory of een open-source identityprovider zoals Keycloak. Gebruikers authenticeren met hun bestaande organisatieaccount, zonder aparte cloudaccounts aan te maken.
Welke erkenning hebben soevereine alternatieven ontvangen van Europese toezichthouders?
Het BSI heeft Nextcloud en Matrix/Element opgenomen in zijn aanbevelingen voor veilige overheidscommunicatie. De Franse overheid heeft via DINUM Tchap ingezet, gebouwd op het Matrix-protocol. In Duitsland gebruiken meerdere deelstaatregeringen en de federale overheid Nextcloud als onderdeel van soevereine werkplekprogramma’s, waaronder de Dataport-omgeving en het Open CoDE-initiatief van Sleeswijk-Holstein.
