Een soevereine videoconferentie-oplossing is een communicatieplatform voor beeld en geluid dat volledig onder de juridische en technische controle valt van de organisatie die het gebruikt, zonder afhankelijkheid van buitenlandse wetgeving of commerciële clouddiensten van derde partijen. Voor overheids- en juridische organisaties in Europa is dit onderscheid geen theoretische kwestie: het bepaalt of vertrouwelijke communicatie afdwingbaar vertrouwelijk blijft.
Waarom Teams, Zoom en Google Meet juridisch risicovol zijn
De kern van het probleem zit niet in de technische beveiliging van deze platforms, maar in de jurisdictie waaronder hun exploitanten vallen.
Microsoft, Zoom en Google zijn alle drie Amerikaanse bedrijven. De CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) geeft Amerikaanse autoriteiten de bevoegdheid om bij deze bedrijven gegevens op te vragen die op servers in het buitenland zijn opgeslagen, ook als die servers fysiek in de EU staan. De Foreign Intelligence Surveillance Act (FISA) sectie 702 biedt een aanvullende ingang voor inlichtingendiensten. Dat is niet een theoretisch scenario: het mechanisme bestaat, het is wettelijk verankerd, en er is geen meldplicht richting de betrokkene.
De Europese Toezichthouder voor Gegevensbescherming (EDPS) heeft in 2024 geconcludeerd dat EU-instellingen Microsoft 365 niet mogen gebruiken in de huidige vorm, omdat het persoonsgegevens doorgeeft aan de VS zonder passende waarborgen. EDPS-chef Wojciech Wiewiórowski stelde onomwonden: “EU institutions should not use Microsoft 365 in its current form because it transfers personal data to the United States without adequate safeguards.”
Daarnaast illustreert de recordboete van 1,2 miljard euro die de Ierse Data Protection Commission in 2023 aan Meta oplegde wegens onrechtmatige doorgifte naar de VS, dat toezichthouders dit thema serieus handhaven (bron: Irish Data Protection Commission, 2023).
Soevereine alternatieven: open-source platforms vergeleken
Er zijn meerdere volwassen open-source oplossingen beschikbaar die functioneel vergelijkbaar zijn met Teams, maar zonder de jurisdictierisico’s.
| Platform | Protocol | E2E-versleuteling | Federatie | Telefonie (PSTN) | Bestandsdeling |
|---|---|---|---|---|---|
| Nextcloud Talk | WebRTC | Ja (optioneel) | Beperkt | Via SIP-koppeling | Ja, geïntegreerd |
| Jitsi Meet | WebRTC | Ja (E2EE-modus) | Nee | Via Jigasi SIP | Nee (apart) |
| Element (Matrix) | Matrix | Ja, standaard | Ja, ingebouwd | Via Matrix-bridge | Beperkt |
Nextcloud Talk
Nextcloud Talk biedt videoconferentie, chat en bestandsdeling in één zelfgehoste omgeving. Het platform integreert naadloos met Nextcloud Files, Calendar en de bredere werkplek. Voor organisaties die al overstappen van Microsoft 365 naar Nextcloud, is dit de meest coherente keuze: geen afzonderlijke videodienst, maar één soevereine werkplek.
Jitsi Meet
Jitsi Meet is een zelfstandig, browsergebaseerd videovergaderplatform zonder verplichte accountregistratie. Het kan volledig zelfgehost worden op Europese infrastructuur. De end-to-end encryptie-modus (E2EE) maakt het geschikt voor vertrouwelijke gesprekken, al is de beheeromgeving minder uitgebreid dan die van Teams of Nextcloud.
Element en het Matrix-protocol
Element is de meest geavanceerde optie voor organisaties die ook veilig willen samenwerken met externen. Het Matrix-protocol is inherent federatief: iedere organisatie beheert een eigen homeserver, en servers communiceren onderling versleuteld. Zo kan een gemeente veilig overleggen met een advocatenkantoor dat ook een Matrix-server beheert, zonder dat er een centrale partij is die de communicatie ziet of beheert. Dit maakt Element vergelijkbaar met hoe e-mail werkt, maar dan met end-to-end versleuteling als standaard.
NIS-2 en de verplichting tot versleutelde communicatie
Artikel 21 lid 2 sub h van NIS-2 (Richtlijn EU 2022/2555) verplicht entiteiten in essentiële en belangrijke sectoren om passende maatregelen te nemen voor de beveiliging van communicatie, waaronder encryptie. Voor overheidsorganisaties, ziekenhuizen, energiebedrijven en juridische instellingen is dit geen optie maar een afdwingbare vereiste.
Zelfgehoste platforms als Nextcloud Talk en Element voldoen aan deze verplichting wanneer ze correct geconfigureerd zijn met end-to-end versleuteling. Bij Teams of Zoom is dit complexer: de versleuteling stopt bij de server van Microsoft of Zoom, wat betekent dat deze bedrijven technisch toegang hebben tot de inhoud. Dat is onverenigbaar met de NIS-2-eis voor vertrouwelijkheid wanneer de exploitant onder buitenlandse jurisdictie valt.
Minder dan een derde van de EU-lidstaten had NIS-2 tijdig omgezet per de deadline van oktober 2024, aldus de Europese Commissie. Toch geldt de richtlijn als referentiekader en zijn toezichthouders begonnen met handhaving (bron: Europese Commissie, digital-strategy.ec.europa.eu, 2024).
De DMA-kans: Teams ontkoppelen zonder harde knip
De Digital Markets Act (DMA, Verordening EU 2022/1925) classificeert Microsoft als poortwachter. Artikel 7 van de DMA verplicht poortwachters om interoperabiliteit te bieden voor berichtendiensten. Concreet betekent dit dat externe platforms berichten moeten kunnen uitwisselen met Teams-gebruikers.
Voor organisaties die willen migreren, biedt dit een tactisch voordeel. Medewerkers die al op Element of Nextcloud Talk zijn overgezet, kunnen via de DMA-brug nog steeds berichten ontvangen van Teams-gebruikers bij andere organisaties. Dat maakt een gefaseerde migratie realistisch: er hoeft geen “big bang”-overstap te zijn waarbij alle externe contacten tegelijk worden meegenomen.
Praktische migratieuitdagingen van Teams naar soevereine werkplek
De technische overstap is doorgaans eenvoudiger dan de organisatorische. Teams heeft in veel organisaties een diep verankerde positie gekregen: vergaderingen, chats, telefonie via Teams Phone, en soms ook integratie met PowerPoint Online of SharePoint. Elk van deze functies vraagt een specifiek migratiepad.
- Vergaderen: Nextcloud Talk of Jitsi Meet vervangen de videoconferentie direct. Kalenderintegratie via CalDAV zorgt dat uitnodigingen automatisch de juiste vergaderlink bevatten.
- Chat: Element of Nextcloud Talk nemen de directe berichten en kanaalcommunicatie over. Historische chatlogboeken zijn doorgaans niet migreerbaar, wat verwachtingsmanagement vraagt.
- Telefonie: Teams Phone koppelt aan het publieke telefoonnet via Microsoft als operator. Een zelfgehoste Asterisk- of FreePBX-omgeving met SIP-trunk vervangt dit functioneel, maar vraagt beheerexpertise.
- Externe samenwerking: Hier maakt het Matrix-protocol via federatie het verschil; samenwerking met organisaties die nog Teams gebruiken blijft mogelijk via DMA-gebaseerde interoperabiliteit.
Duitsland loopt voorop met het openDesk-platform, ontwikkeld door het Zentrum für Digitale Souveränität (ZenDiS). openDesk bundelt Nextcloud, Jitsi, Element en andere open-source componenten in één geïntegreerde overheidsomgeving en wordt al uitgerold bij federale ministeries. Dit toont aan dat volledige functionele pariteit met Microsoft 365 haalbaar is op overheidsniveau.
Federatieve protocollen voor samenwerking zonder centrale server
Het Matrix-protocol lost een fundamenteel probleem op bij soevereine communicatie tussen organisaties: hoe werk je veilig samen zonder dat één partij de infrastructuur beheert? Bij Teams is Microsoft de centrale server. Bij Matrix beheert elke organisatie een eigen homeserver, en homeservers communiceren onderling via een gefedereerd protocol. Berichten worden end-to-end versleuteld uitgewisseld, ook over servergrenzen heen.
XMPP (Extensible Messaging and Presence Protocol) biedt vergelijkbare federatiemogelijkheden voor chat, al is de adoptie voor videoconferentie beperkter. Voor organisaties die starten met federatieve communicatie, biedt Matrix momenteel het meest complete ecosysteem, inclusief brug-software naar Teams, Slack en andere platformen.
Het Future of Privacy Forum benadrukt dat jurisdictie los staat van serverlocatie: “The CLOUD Act allows US authorities to compel American companies to provide data stored anywhere in the world, regardless of where those servers are located.” Federatieve, zelfgehoste infrastructuur op Europese bodem onder Europese rechtspersonen is dan ook de enige juridisch afdwingbare oplossing voor organisaties die werkelijk soeverein willen opereren.
Veelgestelde vragen
Mag een Nederlandse overheidsinstantie vertrouwelijke vergaderingen houden via Microsoft Teams?
Dat is juridisch riskant. Microsoft valt onder de CLOUD Act, wat betekent dat Amerikaanse autoriteiten toegang kunnen vorderen tot gegevens op Microsoft-servers, ook als die in Europa staan. Voor informatie met een verhoogd vertrouwelijkheidsniveau adviseren toezichthouders het gebruik van zelfgehoste of Europees gecontroleerde platforms.
Wat is het verschil tussen Nextcloud Talk, Jitsi Meet en Element voor videoconferentie?
Nextcloud Talk integreert videoconferentie in een bredere werkplek en is geschikt voor organisaties die al Nextcloud draaien. Jitsi Meet is een zelfstandig, browsergebaseerd platform zonder accountvereiste. Element gebruikt het Matrix-protocol met ingebouwde federatie, wat veilige samenwerking met externe organisaties mogelijk maakt zonder gecentraliseerde server.
Wat verplicht NIS-2 artikel 21 lid 2 sub h concreet voor communicatie?
Dit artikel verplicht entiteiten in essentiële en belangrijke sectoren tot passende beveiligingsmaatregelen voor communicatie, waaronder het gebruik van encryptie waar dat passend is. Voor overheids- en zorginstellingen betekent dit dat vertrouwelijke communicatie aantoonbaar end-to-end versleuteld dient te zijn of dat gelijkwaardige technische maatregelen zijn getroffen.
Wat houdt de DMA-verplichting voor Teams in en hoe helpt dat bij migratie?
DMA artikel 7 verplicht Microsoft als poortwachter om interoperabiliteit te bieden voor berichtendiensten. Externe platforms kunnen zo berichten uitwisselen met Teams-gebruikers, wat een gefaseerde migratie zonder harde knip mogelijk maakt: medewerkers op een soeverein platform blijven bereikbaar voor contacten die nog Teams gebruiken.
Is Zoom veiliger dan Teams als de servers in de EU staan?
Nee. Zoom Inc. is een Amerikaans bedrijf en valt daarmee onder de CLOUD Act, ongeacht de serverlocatie. Amerikaanse autoriteiten kunnen een bevel uitvaardigen dat Zoom verplicht gegevens te verstrekken, ook als die op Europese servers zijn opgeslagen. Alleen platforms die volledig buiten Amerikaanse jurisdictie vallen en door de organisatie zelf worden gehost, bieden juridische soevereiniteit.
