Soeverein information rights management (IRM) is een aanpak waarbij een organisatie zelf de sleutels, beleidsregels en audittrails beheert die bepalen wie een document kan openen, bewerken of doorsturen, zonder dat een derde partij buiten de eigen jurisdictie op enig moment toegang kan afdwingen. Voor compliance officers en IT-beslissers in de overheid, de juridische sector en andere gereguleerde branches is dit onderscheid niet theoretisch: het bepaalt of gevoelige documenten werkelijk vertrouwelijk blijven wanneer een rechter in Washington een bevel uitvaardigt.
Waarom Microsoft Purview een soevereiniteitsprobleem is
Microsoft Purview Information Protection (voorheen Azure AIP) koppelt documentversleuteling onlosmakelijk aan Azure Rights Management-sleutelservers. Die servers vallen onder Amerikaans recht, ongeacht de fysieke locatie van de datacentra.
De kern van het probleem zit in de CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018). Op grond van deze wet kunnen Amerikaanse opsporingsdiensten Microsoft verplichten decryptiesleutels of toegang te verstrekken, ook als het document fysiek in een Amsterdamse of Frankfurtse datacenter staat. Het Nationaal Cyber Security Centrum stelt hierover: “De CLOUD Act geeft Amerikaanse opsporingsdiensten de bevoegdheid gegevens op te vragen bij Amerikaanse bedrijven, ongeacht waar die gegevens fysiek zijn opgeslagen.”
Voor organisaties met vertrouwelijke overheidsstukken, juridisch geprivilegieerde communicatie of patiëntgegevens is dit meer dan een compliance-risico. Microsoft biedt weliswaar de optie “Double Key Encryption” (DKE), waarbij de klant een eigen sleutelcomponent beheert, maar DKE vereist nog steeds een verbinding met Microsofts licentieservice om gebruikersrechten te valideren. Die afhankelijkheid van een externe rechtenserver buiten de EU blijft daarmee structureel aanwezig.
Soevereine IRM-alternatieven in een Nextcloud-omgeving
Er bestaan concrete, inzetbare alternatieven die geen afhankelijkheid hebben van Amerikaanse rechtenservers en die aansluiten op zelfgehoste of Europees gehoste infrastructuur.
Nextcloud SecureView
Nextcloud SecureView stelt beheerders in staat documenten uitsluitend te tonen via een beveiligde, servergerenderde viewer. Het bestand verlaat de server nooit als downloadbaar object naar het eindpunt van de gebruiker. Toegangsrechten worden geheel afgedwongen door de eigen Nextcloud-instantie. Er is geen call-home naar een externe rechtenserver. Organisaties die Nextcloud on-premise of bij een Europese hoster draaien, beheersen daarmee volledig welke identiteit welk document op welk moment kan inzien.
Dit model verschilt principieel van Purview: in plaats van een versleuteld bestand dat een licentieserver nodig heeft om te ontsleutelen, blijft het bestand zelf op de server en wordt alleen een gerenderde weergave naar de client gestuurd. Het gevolg is dat ook afdrukken, knippen en plakken centraal te beheersen zijn.
Zelfbeheerd sleutelbeheer met OpenXPKI
Voor organisaties die documenten wel als versleuteld bestand willen distribueren (bijvoorbeeld als bijlage bij e-mail) is een eigen Public Key Infrastructure noodzakelijk. OpenXPKI is een volwassen open-source PKI-platform waarmee een organisatie haar eigen certificaatautoriteit (CA) opzet. De CA geeft S/MIME-certificaten uit aan medewerkers en systemen; deze certificaten vormen de basis voor documentversleuteling op basis van public-key cryptografie.
Het voordeel ten opzichte van een commerciële CA is volledig sleutelsoevereiniteit: de rootsleutel staat op de eigen hardware security module (HSM), bij voorkeur gecertificeerd conform FIPS 140-2 of Common Criteria. Er is geen externe partij die certificaten kan intrekken of sleutelmateriaal kan overhandigen aan een derde.
Vergelijking: Purview versus soevereine IRM
| Criterium | Microsoft Purview (Azure AIP) | Nextcloud SecureView + OpenXPKI |
|---|---|---|
| Sleutelbeheer | Microsoft Azure (VS-jurisdictie) | Eigen HSM, EU-locatie |
| Rechtenvalidatie | Azure Rights Management-server | Eigen Nextcloud-instantie |
| CLOUD Act-risico | Ja, structureel | Nee, mits EU-hosting |
| Offline toegang | Beperkt (vereist periodieke licentiecheck) | Mogelijk via lokale sleutelopslag |
| Open source | Nee | Ja (beide componenten) |
| Post-quantum gereedheid | Afhankelijk van Microsoft-roadmap | Configureerbaar via eigen CA-beleid |
AVG artikel 25 en NIS-2: wat de wetgeving concreet eist
De juridische verplichtingen voor documentbeveiliging in samenwerkingsomgevingen komen uit twee samenhangende kaders.
AVG artikel 25 (privacy by design en by default) vereist dat technische maatregelen zoals toegangscontrole en versleuteling al bij het ontwerp van systemen worden ingebouwd. De European Data Protection Board formuleert dit als volgt: “Organisaties die persoonsgegevens verwerken moeten aantonen dat versleuteling en toegangscontrole al bij het ontwerp zijn ingebouwd, niet als lapmiddel achteraf.” Concreet betekent dit dat een gedeelde documentomgeving standaard het minimale toegangsniveau moet hanteren, niet het maximale. Elk document dat persoonsgegevens bevat, moet bij aanmaak al een versleutelingsniveau en een toegangsbeleid meekrijgen.
De NIS-2 Implementing Regulation (EU) 2024/2690 gaat een stap verder voor essentiële en belangrijke entiteiten. Artikel 4 van die verordening verplicht onder meer tot versleuteling van gegevens in rust en in transit, strikte toegangscontrole op basis van het need-to-know-principe en aantoonbare detectie van onbevoegde toegangspogingen. Organisaties in de sectoren overheid, gezondheidszorg, energie en digitale infrastructuur moeten hieraan vóór oktober 2024 voldoen.
IRM integreren met e-mailversleuteling buiten de organisatie
Vertrouwelijkheidsmarkeringen die alleen binnen de organisatie werken, schieten tekort. Documenten verlaten vrijwel altijd de organisatiegrens: naar advocaten, accountants, overheidspartners of internationale samenwerkingsverbanden.
De standaard voor e-mailbeveiliging is S/MIME, gedefinieerd in RFC 8551. S/MIME maakt gebruik van certificaten die door de eigen CA (via OpenXPKI) zijn uitgegeven. Wanneer een medewerker een vertrouwelijk document als S/MIME-versleuteld bericht verstuurt, heeft de ontvanger het publieke certificaat van de afzender nodig om de handtekening te verifiëren, en een eigen privésleutel om de versleuteling te ontcijferen. Dit werkt zonder centrale licentieserver: het vertrouwen ligt in de certificaatketens, niet in een cloudservice.
Voor ontvangers die geen S/MIME-infrastructuur hebben, is PGP/GPG een bruikbaar alternatief, hoewel de beheerslast groter is. In de praktijk kiezen gereguleerde sectoren voor S/MIME vanwege de betere integratie met e-mailclients zoals Outlook, Thunderbird en webmail-omgevingen.
De koppeling tussen IRM-labels en e-mailversleuteling werkt als volgt in een soevereine omgeving: een document met de classificatie “Vertrouwelijk” kan via een Nextcloud-workflow automatisch een S/MIME-versleutelde distributie afdwingen wanneer het per e-mail wordt gedeeld. Het label is dan niet afhankelijk van een externe rechtenserver maar wordt afgedwongen door beleid in de eigen mailserver (zoals Postfix met milter-integratie of een Europese e-mailgateway).
Audittrails en logging onder NIS-2 en de Archiefwet
Een IRM-systeem dat niet loggt wie wanneer welk document heeft geopend, is onvolledig vanuit zowel beveiligings- als complianceperspectief.
NIS-2 en de uitvoeringsverordening (EU) 2024/2690 vereisen dat toegangsgebeurtenissen worden vastgelegd op een manier die forensisch onderzoek mogelijk maakt. In de praktijk betekent dit: wie heeft het document geopend, vanaf welk IP-adres, op welk tijdstip, en welke handeling is verricht (lezen, bewerken, downloaden, doorsturen). Logs moeten minimaal twaalf maanden beschikbaar zijn voor beveiligingsincidentonderzoek.
De Nederlandse Archiefwet voegt hieraan bewaartermijnen toe die per documentcategorie variëren. Voor veel bestuurlijke stukken bij overheidsorganisaties geldt een minimum van zeven jaar, voor sommige categorieën tientallen jaren. Technisch vereist dit dat auditlogs worden opgeslagen op immutable storage: een opslagmedium of -service waarbij logs na vastlegging niet meer kunnen worden gewijzigd of verwijderd. In een zelfgehoste omgeving kan dit worden gerealiseerd via WORM-schijven (Write Once, Read Many) of via een aparte logserver die uitsluitend append-toegang biedt.
Nextcloud biedt ingebouwde activiteitenlogging via de Activity-app, maar voor NIS-2-compliante audittrails verdient het aanbeveling logs ook extern te exporteren naar een SIEM-systeem (Security Information and Event Management) dat buiten de primaire Nextcloud-omgeving opereert. Dit voorkomt dat een aanvaller die de Nextcloud-server compromitteert ook de audittrail kan wissen.
Ter illustratie van het belang van adequate beveiligingsmaatregelen: de EDPB rapporteerde dat toezichthouders in de EU tot eind 2023 meer dan 2,1 miljard euro aan AVG-boetes hebben opgelegd, waarbij onvoldoende technische en organisatorische maatregelen een van de meest voorkomende gronden was (EDPB, 2024). Daarnaast ontving de Europese gegevensbeschermingsautoriteiten gezamenlijk meer dan 160.000 datalekkmeldingen in 2023, een stijging van 8% ten opzichte van 2022 (EDPB, 2024). Volgens het Verizon Data Breach Investigations Report 2024 was bij 32% van alle inbreuken gebruik van gestolen inloggegevens de primaire aanvalsvector, waarvan een significant deel cloudomgevingen trof.
Implementatiepad: van Purview naar soevereine IRM
Een migratie van Microsoft Purview naar een soevereine IRM-omgeving verloopt in fasen. Eerst wordt een inventaris gemaakt van alle documenten met een Purview-label en de bijbehorende rechtenprofielen. Vervolgens worden equivalente beleidsregels gedefinieerd in de nieuwe omgeving, waarbij elke labelklasse wordt vertaald naar een combinatie van Nextcloud-toegangsrechten, OpenXPKI-certificaatprofiel en S/MIME-versleutelingsvereiste.
Bestaande Purview-versleutelde documenten moeten worden ontsleuteld met de originele Azure-sleutels en daarna opnieuw versleuteld met de eigen PKI. Dit vereist een tijdelijk parallelle werking van beide omgevingen. De termijn daarvoor hangt af van het documentvolume en de beschikbaarheid van de originele decryptiesleutels, die organisaties idealiter al via DKE gedeeltelijk zelf in bezit hebben.
Voor post-quantum gereedheid verdient het aanbeveling de eigen CA al in te richten met een algoritmenagnostisch beleid, zodat toekomstige vervanging van RSA door NIST-gestandaardiseerde post-quantumalgoritmen (zoals CRYSTALS-Kyber en CRYSTALS-Dilithium) zonder architecturele herbouw mogelijk is. OpenXPKI ondersteunt de configuratie van meerdere algoritmeprofielen naast elkaar, wat een gefaseerde overgang vergemakkelijkt.
FAQ
Wat maakt Microsoft Purview risicovol voor Europese overheids- en juridische organisaties?
Microsoft Purview koppelt versleuteling en licentiecontrole aan Azure Rights Management-sleutelservers die onder Amerikaans recht vallen. Op grond van de CLOUD Act kan de Amerikaanse overheid Microsoft dwingen toegang te verlenen tot die sleutels, ook al staan de documenten fysiek in Europa. Voor organisaties met staatsgeheimen, juridisch privilege of medische gegevens is dit een onaanvaardbaar jurisdictierisico.
Wat is Nextcloud SecureView en hoe verschilt het van Purview?
Nextcloud SecureView is een functie binnen het Nextcloud-platform waarmee documenten uitsluitend in een beveiligde viewer worden geopend, zonder dat het bestand naar het eindpunt wordt gedownload. Rechten worden beheerd door de eigen Nextcloud-instantie, zonder afhankelijkheid van externe rechtenservers. Dit maakt het geschikt voor zelfgehoste of Europese hosted omgevingen waar volledige sleutelsoevereiniteit vereist is.
Welke rol speelt OpenXPKI in een soevereine IRM-omgeving?
OpenXPKI is een open-source PKI-platform waarmee organisaties hun eigen certificaatautoriteit kunnen opzetten en beheren. In een soevereine IRM-context verzorgt OpenXPKI de uitgifte van S/MIME-certificaten voor medewerkers en systemen, zodat documentversleuteling en e-mailbeveiliging op eigen sleutelmateriaal draaien zonder afhankelijkheid van commerciële cloudproviders.
Wat schrijft NIS-2 Implementing Regulation (EU) 2024/2690 voor over documentversleuteling?
De uitvoeringsverordening (EU) 2024/2690 verplicht essentiële en belangrijke entiteiten tot passende technische maatregelen, waaronder versleuteling van gegevens in rust en in transit, toegangscontrole op basis van het need-to-know-principe en aantoonbare logging van toegangsgebeurtenissen. Organisaties moeten kunnen bewijzen dat deze maatregelen effectief zijn, wat audittrails op documentniveau vereist.
Hoe lang moeten auditlogs van documenttoegang worden bewaard onder de Archiefwet en NIS-2?
De Nederlandse Archiefwet stelt bewaartermijnen vast die per categorie overheidsdocument variëren, met een algemene minimumtermijn van zeven jaar voor veel bestuurlijke stukken. NIS-2 en de bijbehorende uitvoeringsverordening schrijven voor dat beveiligingslogboeken voldoende lang bewaard worden om forensisch onderzoek mogelijk te maken, in de praktijk minimaal twaalf maanden. Organisaties combineren beide vereisten door logs op onveranderlijke (immutable) opslag vast te leggen.
