Soeverein bestandsdelen in een versleutelde, gereguleerde samenwerkingsketen houdt in dat organisaties gevoelige documenten uitwisselen via architecturen waarbij de cryptografische sleutels, de verwerkingslocatie en de juridische jurisdictie volledig onder controle van de betrokken partijen blijven, zonder tussenkomst van een externe cloudprovider die onder vreemde wetgeving valt. Voor compliance officers en IT-beslissers in sectoren als de rechtspraktijk, de gezondheidszorg en de overheid is dit niet langer een theoretische keuze maar een concrete operationele noodzaak.
Waarom Microsoft SharePoint en OneDrive structurele risico’s vormen voor gereguleerde sectoren
De kern van het probleem is jurisdictioneel: SharePoint en OneDrive zijn diensten van een Amerikaans bedrijf en vallen daardoor onder de reikwijdte van de CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) en de Foreign Intelligence Surveillance Act. Dit geldt ongeacht of de data fysiek in een Europees datacenter staat.
“De CLOUD Act geeft Amerikaanse autoriteiten de bevoegdheid om toegang te eisen tot gegevens die door Amerikaanse bedrijven worden beheerd, ongeacht waar die gegevens fysiek zijn opgeslagen.”
European Data Protection Board (EDPB), Information Note on data transfers under the CLOUD Act
Voor een advocatenkantoor dat cliëntdossiers deelt, een ziekenhuis dat patiëntgegevens uitwisselt met een medisch specialist, of een gemeentelijke afdeling die beleidsstukken met een externe juridisch adviseur deelt, betekent dit dat de vertrouwelijkheid structureel niet gegarandeerd kan worden via deze platforms. De publieke sharelinks die standaard beschikbaar zijn in Microsoft Teams en SharePoint bieden bovendien geen authenticatie en zijn daarmee onverenigbaar met de beveiligingseisen uit NIS-2.
Ter illustratie: meer dan 75% van de Europese cloudomzet werd in 2023 gegenereerd door Amerikaanse hyperscalers (AWS, Microsoft Azure, Google Cloud), zo blijkt uit analyse van het European Parliament Think Tank. Dit betekent dat het overgrote deel van Europese organisaties structureel blootgesteld is aan de jurisdictionele risico’s van de CLOUD Act. (Bron: European Parliament Think Tank, 2023, europarl.europa.eu)
Technische vereisten voor end-to-end versleuteld bestandsdelen
Een soevereine samenwerkingsarchitectuur stelt specifieke, aantoonbare eisen aan drie technische lagen: sleutelbeheer, toegangscontrole en auditlogging.
Sleutelbeheer: client-side encryptie als fundament
Nextcloud End-to-End Encryption (E2EE) implementeert client-side encryptie: bestanden worden op het apparaat van de gebruiker versleuteld met een per-bestand gegenereerde sleutel, voordat ze naar de server worden overgedragen. De server slaat uitsluitend versleutelde blobs op. De metadata van de versleutelde map wordt zelf ook versleuteld opgeslagen en is alleen toegankelijk voor geautoriseerde clients die over de privésleutel beschikken. De serveroperator, inclusief een externe hostingprovider, heeft op geen enkel moment toegang tot de inhoud.
Voor documentversleuteling buiten het platform om bieden OpenPGP en S/MIME aanvullende opties. OpenPGP is geschikt voor asynchrone uitwisseling van losse bestanden via e-mail of bestandsshares, waarbij de afzender het document versleutelt met de publieke sleutel van de ontvanger. S/MIME is geïntegreerd in de meeste e-mailclients en biedt zowel versleuteling als digitale handtekeningen, wat de documentintegriteit aantoonbaar maakt.
Toegangscontrole: granulariteit en tijdsbegrenzing
NIS-2 artikel 21 lid 2 sub e verplicht essentiële en belangrijke entiteiten tot het toepassen van toegangsbeveiliging, waaronder voor systemen die worden gebruikt voor samenwerking met externe partijen. In de praktijk betekent dit dat elke deellink of gedeelde map de volgende kenmerken moet hebben: authenticatieplicht voor de ontvanger (bij voorkeur multi-factor), een instelbare vervaldatum, een leesrecht versus bewerkrecht onderscheid, en de mogelijkheid om toegang op afstand in te trekken. Nextcloud biedt deze functionaliteiten, inclusief wachtwoordbeveiliging van gedeelde mappen en het blokkeren van externe downloads.
Auditlogging: aantoonbaarheid voor toezichthouders
GDPR artikel 25 (privacy by design) vereist dat gegevensbeschermingswaarborgen al bij het ontwerp van het systeem zijn ingebouwd. De EDPB heeft in haar richtlijnen benadrukt dat aantoonbaarheid een integraal onderdeel is van privacy by design, niet een aanvullende optie. Auditlogs moeten minimaal bevatten: wie welk document heeft geopend, gedownload of bewerkt, op welk tijdstip en via welk IP-adres. Voor gereguleerde sectoren geldt bovendien dat deze logs tamper-proof moeten zijn en gedurende een sectorspecifieke bewaartermijn bewaard moeten worden.
“Privacy by design vereist dat gegevensbeschermingswaarborgen al in de ontwerpfase van systemen en processen worden ingebouwd, niet achteraf als lapmiddel.”
Artikel 29-werkgroep (nu EDPB), Guidelines on Data Protection by Design and by Default (WP248)
Vertrouwelijkheid in een keten met verschillende soevereiniteitsniveaus
De complexiteit neemt toe wanneer meerdere organisaties met verschillende soevereiniteitsniveaus samenwerken. Denk aan een gemeentelijke juridische afdeling (overheid, hoog soevereiniteitsniveau), een extern advocatenkantoor (privaat, eigen complianceverantwoordelijkheid) en een forensisch accountantsbureau (gereguleerd, maar minder strikte IT-eisen). Elke schakel in de keten introduceert potentiële zwaktes.
| Organisatietype | Typisch soevereiniteitsniveau | Aanbevolen uitwisselingsmechanisme | Risico bij publieke cloud |
|---|---|---|---|
| Overheidsinstelling | Hoog (eigen datacenter of Europese hostingprovider) | Nextcloud Federation, on-premise | Strijd met BIO (Baseline Informatiebeveiliging Overheid) |
| Advocatenkantoor | Middel (eigen server of Europese cloud) | Nextcloud E2EE, OpenPGP voor e-mailbijlagen | Schending beroepsgeheimplicht |
| Zorginstelling | Hoog (NEN 7510-vereiste) | Soevereine federatieve instantie, E2EE | Strijd met NEN 7510, AVG en WGBO |
| Commercieel adviesbureau | Laag tot middel | Tijdgebonden gedeelde map via soeverein platform van ketenpartner | Onbeheerste doorgifte buiten EU |
Het Nextcloud Federation Protocol biedt hier een concrete oplossing: twee organisaties die elk hun eigen soevereine Nextcloud-instantie beheren, kunnen via federatie bestanden en mappen uitwisselen zonder dat data de eigen serveromgeving verlaat. De gedeelde map verschijnt in de interface van de ontvangende gebruiker als een lokale map, terwijl de data fysiek op de server van de verzendende organisatie blijft staan. Elke organisatie behoudt haar eigen gebruikersbeheer, toegangsbeleid en auditlogboeken.
Voor realtime communicatie in dezelfde ketencontext biedt Matrix/Element een vergelijkbaar federatief model voor chatberichten en videovergaderingen. Matrix is een open protocol waarbij elke organisatie haar eigen homeserver beheert en direct communiceert met homeservers van andere organisaties, zonder centrale intermediair. Gecombineerd met Nextcloud voor bestandsbeheer ontstaat een volledig soevereine samenwerkingsstapel.
Compliance-verplichtingen en hun documentatie
De Autoriteit Persoonsgegevens ontving in 2023 in totaal 25.694 datalekkmeldingen, een stijging van 8% ten opzichte van 2022. Een aanzienlijk deel van deze meldingen betreft onbedoeld delen van documenten via verkeerd geconfigureerde cloudplatforms. (Bron: Autoriteit Persoonsgegevens, Jaarverslag 2023, autoriteitpersoonsgegevens.nl)
Voor compliance officers zijn de verplichtingen verdeeld over meerdere rechtsinstrumenten:
- AVG artikel 25 verplicht tot privacy by design en privacy by default. Bij extern bestandsdelen betekent dit dat de meest privacyvriendelijke instelling de standaard moet zijn: geen publieke links, beperkte toegangsduur, minimale datadeling.
- AVG artikel 32 verplicht tot passende technische en organisatorische maatregelen, waarbij end-to-end versleuteling expliciet wordt genoemd als aanbevolen maatregel in de overwegingen van de verordening (overweging 83).
- NIS-2 artikel 21 lid 2 sub e verplicht essentiële en belangrijke entiteiten tot toegangsbeveiliging, ook voor samenwerking met externe partijen. De richtlijn is in Nederland geïmplementeerd via de Cyberbeveiligingswet.
- NEN 7510 geldt voor zorginstellingen en stelt specifieke eisen aan informatiebeveiliging, waaronder bij het uitwisselen van patiëntgegevens met externe zorgverleners.
- BIO (Baseline Informatiebeveiliging Overheid) verplicht overheidsorganisaties tot risicogebaseerde beveiliging op basis van BIO 2.0, dat is afgestemd op ISO 27001:2022.
Documentatie van naleving vereist minimaal: een actueel verwerkingsregister dat de externe bestandsuitwisseling beschrijft, verwerkersovereenkomsten met externe hostingproviders, een Data Protection Impact Assessment (DPIA) als grootschalige verwerking van bijzondere categorieën persoonsgegevens plaatsvindt, en logboekrecords die aantonen dat toegang uitsluitend plaatsvond door geautoriseerde gebruikers.
In de zorgsector illustreert het ransomware-risico de urgentie van de juiste architectuurkeuze. Uit het Sophos-rapport “The State of Ransomware in Healthcare 2023” blijkt dat 67% van de zorgorganisaties wereldwijd in 2023 werd getroffen door ransomware, het hoogste percentage ooit gemeten in deze sector. Gecentraliseerde publieke cloudomgevingen met brede toegangsrechten vormen een aantrekkelijk aanvalsvlak; gesegmenteerde, soevereine architecturen met strikter toegangsbeleid verkleinen de aanvalsoppervlakte structureel. (Bron: Sophos, 2023, sophos.com)
Praktische architectuur: van Teams-sharelinks naar soevereine federatie
De migratie van Microsoft Teams-sharelinks en SharePoint-externe toegang naar een soevereine samenwerkingsarchitectuur verloopt in de praktijk in fases, niet als big bang.
In de eerste fase wordt de soevereine Nextcloud-instantie ingericht op eigen infrastructuur of bij een Europese hostingprovider buiten de scope van de CLOUD Act, zoals providers gevestigd in Zwitserland of Nederland zonder Amerikaanse moedermaatschappij. E2EE wordt geactiveerd voor mappen die bijzondere categorieën persoonsgegevens bevatten of die onder het beroepsgeheim vallen. Toegangsbeleid wordt geconfigureerd conform het least-privilege-principe: externe partijen krijgen uitsluitend toegang tot de map die relevant is voor hun opdracht, met een vooraf ingestelde vervaldatum.
In de tweede fase wordt federatie geconfigureerd met ketenpartners die al een eigen soevereine instantie beheren. Voor partners die dat nog niet doen, kan tijdelijk worden gewerkt met authenticatie-vereiste, tijdgebonden deellinks, in combinatie met OpenPGP-versleuteling van de documenten zelf, zodat zelfs bij een configuratiefout de inhoud onleesbaar blijft voor onbevoegden.
Voor realtime overleg vervangt een Matrix/Element-installatie de Microsoft Teams-vergaderruimtes. Berichten en bijlagen blijven op de eigen homeserver; federatie met de homeserver van de ketenpartner maakt directe communicatie mogelijk zonder een Amerikaanse intermediair.
De combinatie van Nextcloud E2EE voor asynchrone bestandsuitwisseling, Nextcloud Federation Protocol voor ketensamenwerking, en Matrix/Element voor realtime communicatie vormt een volledige, juridisch verdedigbare vervanging van de Microsoft 365-samenwerkingsstapel, zonder afhankelijkheid van Amerikaanse jurisdictie of centrale cloudopslag buiten de eigen controlesfeer.
FAQ
Mag een advocatenkantoor cliëntdossiers delen via Microsoft SharePoint of OneDrive?
Juridisch gezien is dit risicovol. Microsoft is een Amerikaans bedrijf waarop de CLOUD Act van toepassing is, wat betekent dat Amerikaanse autoriteiten onder bepaalde omstandigheden toegang kunnen eisen tot gegevens, ook als die in Europa zijn opgeslagen. De beroepsgeheimplicht van advocaten vereist maximale vertrouwelijkheid. Een soevereine oplossing met end-to-end versleuteling waarbij de sleutels uitsluitend bij de advocaat berusten, biedt een aanzienlijk sterkere juridische positie.
Wat is het verschil tussen serverversleuteling en end-to-end versleuteling bij bestandsdelen?
Bij serverversleuteling versleutelt de provider de bestanden op de server, maar beheert ook de sleutels. Dit betekent dat de provider technisch toegang heeft en gedwongen kan worden die te verstrekken. Bij end-to-end versleuteling, zoals geïmplementeerd in Nextcloud E2EE, worden bestanden al op het apparaat van de gebruiker versleuteld voordat ze de server bereiken. De server slaat alleen versleutelde blobs op en heeft nooit toegang tot de inhoud of de sleutels.
Hoe werkt federatie tussen twee soevereine Nextcloud-instanties van verschillende organisaties?
Via het Nextcloud Federation Protocol kunnen twee afzonderlijk beheerde Nextcloud-servers bestanden en mappen delen zonder dat data de eigen serveromgeving verlaat. Elke organisatie behoudt volledige controle over haar eigen data en gebruikersbeheer. Een gedeelde map verschijnt in de interface van de andere gebruiker alsof het een lokale map is, terwijl de data fysiek op de eigen server blijft. Dit maakt ketensamenwerking mogelijk zonder gecentraliseerde cloudopslag.
Welke specifieke NIS-2-verplichting raakt aan bestandsdelen met externe partijen?
NIS-2 artikel 21 lid 2 sub e verplicht organisaties in de scope van de richtlijn tot het implementeren van toegangsbeveiliging en authenticatiemaatregelen, inclusief voor systemen die worden gebruikt voor samenwerking met derden. In de praktijk betekent dit dat extern delen van documenten via platforms met multi-factor-authenticatie, granulaire toegangscontrole en auditlogging moet verlopen. Publieke sharelinks zonder authenticatie, zoals standaard beschikbaar in Teams of SharePoint, voldoen in principe niet aan deze verplichting.
Is een on-premise Nextcloud-installatie automatisch AVG-compliant?
On-premise hosting elimineert het risico van doorgifte aan derde landen en geeft volledige controle over de verwerkingslocatie, maar is op zichzelf geen garantie voor AVG-compliance. Je moet ook voldoen aan artikel 25 (privacy by design), artikel 32 (passende technische en organisatorische maatregelen), en de vereisten rond verwerkersovereenkomsten als externe partijen betrokken zijn bij beheer of hosting. Documentatie van de technische maatregelen, toegangslogboeken en een actueel verwerkingsregister blijven verplicht.
