Soevereine videovergadering is videoconferentiesoftware die volledig onder de juridische en technische controle van de eigen organisatie of een Europese hoster valt, zonder dat communicatiedata wordt doorgegeven aan servers in de Verenigde Staten of andere risicolanden. Voor compliance officers en IT-beslissers in de overheid, juridische sector en gereguleerde branches is dit onderscheid geen technische voorkeur maar een juridische noodzaak.
Waarom Microsoft Teams een juridisch risico is voor Europese organisaties
Microsoft Teams is ingebed in de Microsoft 365-omgeving die wordt beheerd door een Amerikaans beursgenoteerd bedrijf, wat Teams structureel blootstelt aan de Amerikaanse CLOUD Act (2018) en de Patriot Act. Deze wetten verplichten Amerikaanse bedrijven om gegevens op verzoek van de Amerikaanse overheid te verstrekken, ook als die data fysiek in Europa is opgeslagen.
De Europese Rekenkamer stelde in haar speciaal verslag van 2023 vast: “Cloudaanbieders die onder Amerikaanse jurisdictie vallen, kunnen niet garanderen dat overheidsgegevens buiten het bereik van de CLOUD Act blijven, ongeacht de fysieke locatie van de servers.” Dit is geen theoretisch risico: de CLOUD Act kent geen territoriale beperking en hoeft niet via Europese rechtshulpverdragen te worden ingeroepen.
Vanuit de AVG (Verordening EU 2016/679) zijn de risico’s eveneens aanzienlijk. Artikel 46 AVG vereist passende waarborgen voor doorgifte van persoonsgegevens naar derde landen. De Ierse Data Protection Commission legde Meta in mei 2023 een boete op van 1,2 miljard euro voor onrechtmatige doorgiftes naar de VS, wat aantoont dat toezichthouders dit onderwerp serieus nemen. De BfDI, de Duitse federale privacytoezichthouder, formuleerde het als volgt: “Het gebruik van Microsoft Teams door overheidsinstanties zonder aanvullende contractuele en technische waarborgen is in strijd met de beginselen van artikel 46 AVG inzake doorgifte aan derde landen.”
Onder NIS-2 (Richtlijn EU 2022/2555) zijn organisaties in ten minste 18 kritieke sectoren verplicht beveiligde communicatieprotocollen te hanteren en incidenten binnen 24 uur te melden. Een communicatieplatform dat buiten de directe beheersingskring van de organisatie valt, maakt naleving van deze rapportage- en beveiligingsvereisten structureel moeilijker.
DMA artikel 7: de ontkoppeling van Teams als kans
De Digital Markets Act (DMA) biedt organisaties een directe hefboom om uit de Teams-afhankelijkheid te stappen. DMA artikel 7 verplicht Microsoft om Teams te ontkoppelen van de Microsoft 365-bundel in de Europese Unie. Microsoft kondigde in 2023 aan Teams los te verkopen van zijn kantoorpakketten, mede als gevolg van de DMA-procedure van de Europese Commissie.
Dit betekent in de praktijk dat een organisatie haar Microsoft 365-licenties (voor Word, Excel, SharePoint) kan behouden en Teams afzonderlijk kan laten vervallen. Er is geen alles-of-niets-keuze meer. Compliance officers kunnen dit benutten door Teams contractueel te schrappen en een soeverein alternatief naast de bestaande Microsoft-omgeving te implementeren, zonder de totale migratie in één stap te hoeven doorvoeren.
Open-source soevereine alternatieven: een vergelijking
Er zijn drie volwassen open-source oplossingen die volledig on-premise kunnen worden gehost en aantoonbaar geen data naar Amerikaanse servers sturen.
| Platform | Architectuur | E2EE | Integratie | Meest geschikt voor |
|---|---|---|---|---|
| Nextcloud Talk | Geïntegreerd in Nextcloud-platform, eigen TURN/STUN en High-Performance Backend (HPB) | E2EE voor 1-op-1, DTLS-SRTP voor groepen | LDAP/AD, Nextcloud-bestanden, kalender, chat | Organisaties die al Nextcloud gebruiken of een compleet soeverein werkplatform willen |
| Jitsi Meet | Standalone, eigen Jitsi Videobridge (JVB), geen centrale dienst vereist | Gedeeltelijk (via Jitsi E2EE in ondersteunde browsers), geen volledige server-side E2EE | LDAP via Prosody, JWT-authenticatie, Nextcloud-integratie mogelijk | Laagdrempelige zelfgehoste vergaderruimtes, externe deelnemers zonder account |
| Element/Matrix | Gedecentraliseerd, federatief Matrix-protocol, Synapse of Dendrite als homeserver | Volledige E2EE (Olm/Megolm), ook voor groepschats en videocalls | LDAP/SSO, Element Call voor video, bruggen naar andere protocollen | Overheids- en defensieomgevingen met hoge vertrouwelijkheidseisen en federatiebehoefte |
Nextcloud Talk in detail
Nextcloud Talk is de videovergader- en chatmodule van het Nextcloud-platform. De kracht ervan zit in de nauwe integratie met de rest van de Nextcloud-omgeving: bestanden, agenda, taken en contacten zijn direct beschikbaar tijdens een gesprek. Voor organisaties die al een Nextcloud-installatie draaien, is Talk de minst invasieve overstap. De High-Performance Backend (HPB) is een betaalde maar self-hostbare uitbreiding die schaalbaarheid voor grotere vergaderingen mogelijk maakt.
Jitsi Meet als laagdrempelig alternatief
Jitsi Meet is ontwikkeld door Sacha Chua en later door 8×8 overgenomen, maar de open-source codebase blijft volledig beschikbaar onder de Apache 2.0-licentie. De publieke instantie op meet.jit.si valt onder 8×8 en is voor soeverein gebruik niet geschikt. Een self-hosted Jitsi Meet-installatie verwerkt alle audiovisuele stromen via de lokale Jitsi Videobridge en vereist geen externe afhankelijkheden. Het ontbreken van verplichte gebruikersaccounts maakt het ook toegankelijk voor externe deelnemers.
Element/Matrix voor hoge vertrouwelijkheidseisen
Element is de meest gebruikte client voor het Matrix-protocol, een open standaard voor gedecentraliseerde, federatieve communicatie. Matrix maakt het mogelijk dat twee organisaties elk hun eigen homeserver draaien en toch veilig met elkaar communiceren, vergelijkbaar met e-mail maar dan met end-to-end versleuteling. Element Call, de geïntegreerde videocomponent, is gebouwd op WebRTC en gebruikt de open LiveKit-infrastructuur die on-premise kan worden gehost.
Praktijkimplementaties in Europa
Europese overheden lopen voorop in de uitrol van soevereine communicatieplatforms. De deelstaat Mecklenburg-Vorpommern in Duitsland heeft Nextcloud, inclusief Nextcloud Talk, uitgerold voor tienduizenden ambtenaren. De implementatie werd mede mogelijk gemaakt door de combinatie van Nextcloud met een eigen LDAP-infrastructuur en een on-premise High-Performance Backend, waardoor videovergadering en bestandsdeling volledig binnen de eigen datacenters plaatsvinden.
Het Österreichisches Bundesministerium für Wirtschaft (BMWET) heeft Element/Matrix ingezet als beveiligde interne communicatieoplossing. De keuze voor het Matrix-protocol was mede ingegeven door de behoefte aan interoperabiliteit met andere Europese overheidsinstanties zonder afhankelijkheid van een centrale dienstverlener. Deze implementatie toont aan dat ook grotere ministeries de overstap kunnen maken zonder concessies te doen aan functionaliteit.
De Franse overheid heeft via het DINUM-programma eveneens Tchap (gebaseerd op Matrix/Element) uitgerold voor interdepartementale communicatie, en Duitsland’s Bundeswehr evalueerde Matrix als communicatieplatform voor vertrouwelijke omgevingen.
Selectiecriteria voor compliance officers
Een soeverein Teams-alternatief selecteren vereist meer dan een technische vergelijking. De volgende criteria zijn bepalend voor compliance en beheersbaarheid in gereguleerde omgevingen.
Juridische soevereiniteit: Is de broncode open en auditeerbaar? Valt de softwareleverancier zelf niet onder de CLOUD Act of vergelijkbare buitenlandse wetgeving? Een oplossing die on-premise draait maar afhankelijk is van een Amerikaans bedrijf voor licentievalidatie of telemetrie, lost het jurisdictieprobleem niet op.
Versleuteling en sleutelbeheer: Worden versleutelingssleutels uitsluitend beheerd door de eigen organisatie? Bij Element/Matrix is dit het geval dankzij het Olm/Megolm-protocol. Bij Nextcloud Talk en Jitsi Meet is de transportversleuteling robuust, maar beschikt de beherende organisatie over de serverzijde.
Authenticatie en toegangsbeheer: Alle drie de platforms ondersteunen integratie met LDAP en Active Directory. Element/Matrix en Nextcloud Talk ondersteunen daarnaast SAML 2.0 en OpenID Connect (OIDC), wat Single Sign-On via bestaande identiteitsproviders mogelijk maakt.
Auditlogging en incidentrespons: NIS-2 vereist aantoonbare logging van toegang en incidenten. On-premise installaties geven de organisatie volledige controle over logdata, iets wat bij Teams in de Microsoft-cloud beperkt is tot wat Microsoft beschikbaar stelt via de Compliance- en eDiscovery-tools.
Integratie met Nextcloud, LDAP en bestaande infrastructuur
Voor organisaties die Nextcloud al inzetten als soeverein werkplatform, is de integratie van Nextcloud Talk de meest directe route. Talk is beschikbaar als ingebouwde app en deelt de gebruikersdirectory automatisch met de rest van Nextcloud. LDAP-synchronisatie via de Nextcloud LDAP/AD-integratie-app zorgt ervoor dat alle Active Directory-accounts automatisch beschikbaar zijn in Talk, inclusief rechtenstructuren en groepsindelingen.
Jitsi Meet kan worden gekoppeld aan Nextcloud via de beschikbare Nextcloud-Jitsi-integratie-app, waarmee vergaderlinks direct vanuit de Nextcloud-interface kunnen worden aangemaakt en gedeeld. Authenticatie via JWT-tokens voorkomt dat ongeautoriseerde gebruikers vergaderingen kunnen betreden.
Element/Matrix integreert met LDAP via de Synapse-homeserver en ondersteunt SSO via OpenID Connect. Voor organisaties met een bestaande Keycloak- of Active Directory Federation Services-omgeving is de integratie relatief rechttoe rechtaan. Element biedt ook een “Matrix Authentication Service” (MAS) die de authenticatielaag verder moderniseert.
FAQ: Soevereine videovergadering voor compliance officers
Kan Jitsi Meet volledig on-premise draaien zonder afhankelijkheid van externe servers?
Ja. Jitsi Meet is volledig open source en kan worden geïnstalleerd op eigen servers of bij een Europese hoster. De Jitsi Videobridge verwerkt alle mediastromen lokaal. Er is geen verplichte verbinding met servers van 8×8, de Amerikaanse moedermaatschappij die de publieke Jitsi-instantie beheert.
Wat betekent DMA artikel 7 voor organisaties die Microsoft Teams willen vervangen?
DMA artikel 7 verplicht Microsoft om Teams te ontkoppelen van de bundel met Microsoft 365 in de EU. Dit geeft organisaties de contractuele vrijheid om Teams te laten vallen zonder hun licentie voor Office-applicaties te verliezen, wat de overstap naar een soeverein alternatief aanzienlijk vereenvoudigt.
Is end-to-end versleuteling standaard aanwezig in Nextcloud Talk?
Nextcloud Talk ondersteunt end-to-end versleuteling voor één-op-één gesprekken. Voor groepsgesprekken wordt versleuteling via DTLS-SRTP toegepast op het transportniveau. Volledige E2EE voor groepsvideovergaderingen is afhankelijk van de geconfigureerde Signaling Server en de specifieke versie van Nextcloud Talk.
Voldoet Element/Matrix aan NIS-2-vereisten voor beveiligde communicatie?
Element/Matrix biedt end-to-end versleuteling op basis van het open Olm/Megolm-protocol en kan volledig on-premise worden gehost. Daarmee ondersteunt het de NIS-2-vereisten voor beveiligde communicatie en incidentrespons, mits de organisatie ook de toegangsbeveiliging, logging en patchbeheer op orde heeft.
Welke sectoren hebben de meest urgente behoefte aan soevereine videovergadering?
Overheidsinstanties, juridische beroepsbeoefenaren (advocaten, notarissen), zorgorganisaties, financiële instellingen en kritieke infrastructuurbeheerders vallen onder de zwaarste NIS-2- en AVG-verplichtingen. Voor hen is het gebruik van een dienst die onder de CLOUD Act valt het meest risicovol vanwege de vertrouwelijkheidsplichten en wettelijke geheimhoudingsvereisten.
