Datasoevereiniteit in de diplomatieke sector en geheimhoudingsplicht verwijzen naar het geheel van juridische, technische en organisatorische verplichtingen waarmee ambassades, consulaire posten en permanente vertegenwoordigingen hun communicatie en documenten moeten beschermen tegen toegang door onbevoegde derden, inclusief buitenlandse overheden die via commerciële cloudproviders rechtsmacht kunnen uitoefenen. Deze verplichtingen zijn niet vrijblijvend: ze vloeien voort uit volkenrecht, EU-regelgeving en nationale wetgeving die elk eigen infrastructuurvereisten stellen.
Geheimhoudingsverplichtingen: drie rechtskaders tegelijk
Diplomatieke diensten opereren tegelijkertijd onder drie overlappende juridische kaders, elk met eigen afdwingbaarheid en sancties bij schending.
Het Verdrag van Wenen inzake diplomatiek verkeer (1961) beschermt de onschendbaarheid van diplomatieke archieven en communicatie in artikel 24 en artikel 27. Dit betekent dat documenten, ongeacht hun locatie of drager, gevrijwaard moeten zijn van inbeslagname of inzage door de ontvangststaat. De logische consequentie is dat opslag in een systeem waarover een derde staat rechtsmacht heeft, structureel in strijd is met deze verdragsverplichting.
Op Europees niveau regelt Besluit 2013/488/EU van de Raad de veiligheidsvoorschriften voor EU Classified Information (EUCI). Dit besluit kent vier rubriceringsgraden: RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET en TRÈS SECRET UE/EU TOP SECRET. Elke graad vertaalt zich naar concrete eisen voor de systemen waarop informatie mag worden verwerkt en opgeslagen.
Nationaal geldt in Nederland de Wet bescherming staatsgeheimens (Wbs), die de bescherming van informatie waarvan openbaarmaking de veiligheid van de staat kan schaden strafrechtelijk handhaaft. De Wbs werkt complementair aan de EUCI-rubricering maar kent eigen definities en handhavingsmechanismen via het Openbaar Ministerie.
Classificatieniveaus en infrastructuurvereisten
Niet elk type informatie vereist dezelfde mate van infrastructuurisolatie. Het onderscheid tussen de niveaus is bepalend voor de inkoopbeslissing.
| EUCI-niveau | Minimale infrastructuureis | Cloudgebruik toegestaan? | HSM vereist? |
|---|---|---|---|
| RESTREINT UE / Restricted | Geaccrediteerd systeem, logische netwerkseparatie | Europese sovereign cloud met EUCI-accreditatie mogelijk | Aanbevolen, niet verplicht |
| CONFIDENTIEL UE / Confidential | Fysiek geaccrediteerd systeem, geen commerciële cloudinfrastructuur | Sterk beperkt: uitsluitend in uitzonderlijk gecertificeerde omgevingen | Verplicht voor sleutelbeheer |
| SECRET UE / Secret | Air-gapped of sterk gecompartimenteerde omgeving | Niet toegestaan op publieke of commerciële cloud | Verplicht |
| TRÈS SECRET UE / Top Secret | Volledig offline, fysiek beveiligd compartiment (SCIF-equivalent) | Niet toegestaan | Verplicht met strikte key ceremony |
De Raad van de Europese Unie stelt in Besluit 2013/488/EU, bijlage IV, expliciet: “Classified information at the EUCI Confidential level and above must be processed and stored in accredited systems that are physically and logically separated from unclassified networks.” Voor EUCI Restricted is een versleutelde Europese privécloud onder bepaalde voorwaarden voldoende, mits de accreditatie door de bevoegde nationale veiligheidsautoriteit (NSA) is verleend en sleutelbeheer bij de afnemer ligt.
Buiten de formele EUCI-rubricering werken veel diplomatieke diensten ook met niet-gerubriceerde maar gevoelige informatie, zoals onderhandelingsposities, visadossiers en diplomatieke nota’s. Voor deze categorie zijn CADA-assurance niveaus 3 en 4 de relevante maatstaf bij cloudinkoop. Niveau 3 garandeert dat de provider technisch geen toegang heeft tot klantdata en dat sleutelbeheer exclusief bij de afnemer ligt. Niveau 4 voegt fysieke segregatie van infrastructuur onder Europese rechtsmacht toe, wat voor diplomatieke diensten de minimumstandaard vormt voor gevoelige, niet-gerubriceerde werkplekcommunicatie.
Het CLOUD Act-risico voor ambassades en permanente vertegenwoordigingen
De Amerikaanse Clarifying Lawful Overseas Use of Data Act (CLOUD Act, 2018) verplicht Amerikaanse technologiebedrijven om op vordering van Amerikaanse autoriteiten gebruikersdata te verstrekken, ook als die data fysiek buiten de VS is opgeslagen. Dit geldt voor Microsoft, Google, Amazon Web Services en Meta, ongeacht of hun Europese datacenters de data hosten.
Volgens onderzoek van de Electronic Frontier Foundation werden tussen 2013 en 2022 meer dan 60.000 verzoeken van het Amerikaanse Ministerie van Justitie gericht aan technologiebedrijven voor buitenlandse gebruikersdata (EFF, 2022). Voor ambassades en permanente vertegenwoordigingen die werkplekcommunicatie via Microsoft 365 of Google Workspace voeren, betekent dit dat e-mail, vergadernota’s en gedeelde documenten in principe bereikbaar zijn voor Amerikaanse autoriteiten zonder voorafgaande kennisgeving aan de betrokken staat.
Het Europees Comité voor Gegevensbescherming (EDPB) heeft hierover gesteld: “De vertrouwelijkheid van diplomatieke communicatie is een fundament van het internationale recht. Elke opslag van diplomatieke documenten in systemen waarover een derde staat rechtsmacht kan uitoefenen, is onverenigbaar met de verplichtingen van het Verdrag van Wenen.” Dit standpunt heeft directe gevolgen voor de manier waarop EU-instellingen, ambassades en permanente vertegenwoordigingen bij de Europese Unie hun digitale werkplekinfrastructuur moeten inrichten.
NATO Information Security Standards als aanvullend kader
Ambassades van NAVO-lidstaten die ook NAVO-gerubriceerde informatie verwerken, vallen bovendien onder de NATO Information Security standards, met name de NАТО Security Policy (C-M(2002)49) en de bijbehorende directives voor Communications and Information Systems (CIS). Deze stellen vergelijkbare of strengere eisen dan de EUCI-rubricering en sluiten het gebruik van commerciële clouddiensten van niet-NAVO-landen voor gerubriceerde informatie expliciet uit.
Technische en organisatorische minimummaatregelen
Een soevereine werkplekomgeving voor EUCI Restricted en Confidential vereist een combinatie van technische architectuurkeuzes en organisatorische procedures.
Op technisch vlak is end-to-end versleuteling met HSM-beheer (Hardware Security Module) de kern. Een HSM slaat cryptografische sleutels op in manipulatiebestendige hardware die fysiek onder beheer van de ambassade of de nationale veiligheidsautoriteit staat. Zelfs als een cloudprovider onder CLOUD Act-druk ciphertext zou verstrekken, is die zonder de sleutels in de HSM nutteloos voor de verzoekende partij. Dit principe geldt als een van de sterkste juridisch-technische mitigerende maatregelen, maar vervangt geen volledig soevereine infrastructuur voor Confidential-niveau en hoger.
Aanvullende technische maatregelen omvatten: netwerksegmentatie waarbij werkpleksystemen voor gevoelige communicatie geen directe internetverbinding hebben, multi-factor authenticatie via hardware tokens, audit logging in een onveranderlijk logboek buiten bereik van de applicatiebeheerder, en versleuteld e-mail- en berichtverkeer via open protocollen (zoals S/MIME of Matrix/Element) zonder afhankelijkheid van Amerikaanse serverinfrastructuur.
Op organisatorisch vlak vergt dit een formeel dataclassificatiebeleid per informatiecategorie, verplichte training voor diplomatiek personeel over het herkennen van gevoelige informatie, en een accreditatieprocedure voor systemen waarbij de nationale veiligheidsautoriteit betrokken is. ENISA bevestigt in het Threat Landscape 2023 dat cloudmisconfiguraties en insider threats behoren tot de drie grootste dreigingen voor overheidsorganisaties in de EU.
Lessen voor gereguleerde sectoren buiten de diplomatie
De systematiek van de diplomatieke sector biedt een direct overdraagbaar model voor organisaties in defensiegerelateerde industrie, veiligheidsadvies, juridische dienstverlening en kritieke infrastructuur.
De kern van de diplomatieke aanpak is het koppelen van een concreet informatiecategorie aan een concreet infrastructuurvereiste, in plaats van te werken met algemene “risicogebaseerde” benaderingen die in de praktijk vaag blijven. Een defensiebedrijf dat contracten beheert met rubricering op nationaal niveau kan dit principe direct toepassen: niet-gerubriceerde maar commercieel gevoelige R&D-data op on-premise of CADA-niveau 4 infrastructuur, contractcommunicatie via versleutelde kanalen zonder routing via Amerikaanse servers, en voor exportgecontroleerde technische documentatie een air-gapped omgeving.
De NIS-2-richtlijn (EU 2022/2555), waarvan de omzettingsdeadline oktober 2024 was, verplicht overheidsdiensten en aanbieders van essentiële diensten tot het implementeren van precies dit soort gedifferentieerde maatregelen, inclusief supply chain security en incidentrapportage binnen 24 uur. De diplomatieke sector loopt hier al jaren op voor, juist omdat de juridische consequenties van een lek in die context onmiddellijk en zwaarwegend zijn.
Praktisch betekent dit voor gereguleerde sectoren: begin met een dataclassificatieaudit die voor elke informatiecategorie de jurisdictionele risico’s van de huidige opslag in kaart brengt, definieer vervolgens per categorie het maximaal toelaatbare cloudmodel (publiek, sovereign, on-premise, air-gapped), en verankert dit in een inkoopbeleid dat CADA-assurance niveaus als contractuele minimumeis stelt. De migratie van Microsoft 365 naar een soevereine werkplekomgeving gebaseerd op Nextcloud, met lokaal beheerde encryptie en een HSM voor sleutelbeheer, is daarin een concrete en gestandaardiseerde stap die ook in de diplomatieke context wordt toegepast voor het Restricted-niveau.
FAQ
Mogen ambassades hun werkplekcommunicatie opslaan in Microsoft 365 of Google Workspace?
Niet als het gaat om informatie die valt onder EUCI Restricted of hoger, of onder de Wet bescherming staatsgeheimens. Beide platforms zijn onderworpen aan de Amerikaanse CLOUD Act, waardoor Amerikaanse autoriteiten in beginsel toegang kunnen vorderen. Voor niet-gerubriceerde maar gevoelige communicatie is een EUCI-gecertificeerde of nationale soevereine cloudomgeving vereist.
Wat is het verschil tussen EUCI Restricted en EUCI Confidential qua infrastructuurvereisten?
EUCI Restricted staat versleutelde opslag op geaccrediteerde systemen toe die logisch gescheiden zijn van openbare netwerken. EUCI Confidential vereist fysiek geaccrediteerde systemen met striktere toegangscontrole, verplicht HSM-beheer van sleutels, en in de meeste gevallen een omgeving zonder verbinding met commerciële cloudinfrastructuur.
Wat houdt CADA-assurance niveau 3 of 4 in voor cloudinkoop door overheidsdiensten?
CADA niveau 3 betekent dat de cloudprovider aantoonbaar geen toegang heeft tot klantdata, ook niet voor onderhoud, en dat sleutelbeheer uitsluitend bij de afnemer ligt. Niveau 4 voegt fysieke segregatie van infrastructuur uitsluitend onder Europese rechtsmacht toe, wat voor diplomatieke diensten de minimumstandaard is voor gevoelige maar niet-gerubriceerde communicatie.
Hoe beschermt end-to-end versleuteling met een HSM diplomatieke data tegen CLOUD Act-vorderingen?
Een HSM slaat cryptografische sleutels op in manipulatiebestendige hardware onder beheer van de ambassade of lidstaat. Een CLOUD Act-vordering bij de cloudprovider levert dan uitsluitend versleutelde ciphertext op die zonder de sleutels nutteloos is. Dit vermindert het juridische risico aanzienlijk, maar vervangt geen volledig soevereine infrastructuur voor EUCI Confidential en hoger.
Welke les kunnen defensiegerelateerde bedrijven trekken uit het classificatiebeleid van de diplomatieke sector?
De diplomatieke sector koppelt elke informatiecategorie aan een concreet infrastructuurvereiste. Defensiegerelateerde bedrijven kunnen dit principe toepassen door cloudgebruik per risiconiveau te reguleren: niet-gerubriceerde maar bedrijfsgevoelige data in een Europese sovereign cloud, R&D-data op on-premise of air-gapped systemen, en communicatie via versleutelde, lokaal beheerde kanalen zonder routing via Amerikaanse datacenters.
