Datasoevereiniteit in de maakindustrie verwijst naar het recht en het vermogen van een organisatie om volledig zeggenschap te behouden over haar bedrijfskritische data, inclusief wie er toegang toe heeft, onder welk rechtsstelsel die data valt, en waar die data fysiek is opgeslagen. Voor maakbedrijven staat hier niet alleen privacycompliancë op het spel, maar de kern van hun concurrentiepositie: technische kennis die jarenlang is opgebouwd en niet te herstellen is als ze eenmaal in verkeerde handen valt.
Welke data in de maakindustrie is het kwetsbaarst?
De maakindustrie bewaart haar kroonjuwelen digitaal. Drie categorieën zijn bijzonder gevoelig voor extraterritoriale toegang.
CAD-bestanden en engineeringdocumentatie bevatten gedetailleerde productontwerpen, toleranties, materiaalkeuzes en assemblageprocedures. Ze zijn direct bruikbaar voor namaak of concurrentieintelligentie. Wie toegang heeft tot een volledig CAD-pakket voor een precisiecomponent, heeft in feite de productkennis van jaren ontwikkeling in handen.
Productieprocessen en kwaliteitsdata, denk aan SPC-data (Statistical Process Control), recepturen, instellingen van CNC-machines en testprotocollen, zijn minstens zo waardevol. Ze beschrijven niet alleen wat een bedrijf maakt, maar hoe het dat doet. Dit is precies de kennis die concurrenten, ook staatsgeleide, willen onderscheppen.
Leverancierscontracten en sourcing-informatie onthullen prijsafspraken, exclusiviteitsclausules en strategische ketenrelaties. In een sector waar marges dun zijn, is inzicht in de inkoopstrategie van een concurrent commercieel buitengewoon waardevol.
EU Trade Secrets Directive en de Data Act: bescherming met grenzen
Europese wetgeving biedt wel bescherming voor bedrijfsgeheimen, maar die bescherming heeft jurisdictionele grenzen die maakbedrijven vaak onderschatten.
De EU Trade Secrets Directive (2016/943) verplicht lidstaten om rechtsmiddelen te bieden tegen onrechtmatige verkrijging, gebruik of openbaarmaking van bedrijfsgeheimen. Maar de richtlijn stelt een cruciale voorwaarde: de houder van het geheim moet aantoonbaar “redelijke maatregelen” hebben genomen om de vertrouwelijkheid te bewaren. Opslag bij een cloudprovider die onderworpen is aan buitenlandse inlichtingenwetten, zonder aanvullende technische maatregelen, kan als onvoldoende worden beoordeeld. Een Europese rechter kan dan oordelen dat de organisatie haar eigen beschermingsverplichting heeft verzuimd.
De Data Act (EU) 2023/2854, artikel 32 tot en met 36, gaat een stap verder door cloudproviders expliciet te verplichten technische en organisatorische maatregelen te treffen tegen onwettige internationale toegang tot niet-persoonsgebonden data. Artikel 33 verplicht providers om elke overheidsvordering uit derde landen te beoordelen en, indien in strijd met EU-recht, te weigeren of aan te vechten. Dit klinkt robuust, maar de handhaving is afhankelijk van de bereidheid van de provider en de reikwijdte van het verzoekende land. Bij conflicterende wetgeving, zoals een directe CLOUD Act-vordering tegenover artikel 33 Data Act, bestaat geen EU-mechanisme dat de uitkomst garandeert.
NIS-2 en de maakindustrie als ‘belangrijke entiteit’
NIS-2 Bijlage II classificeert de maakindustrie voor het eerst expliciet als sector van belangrijke entiteiten, wat directe gevolgen heeft voor hoe bedrijven hun IT-infrastructuur mogen inrichten.
Maakbedrijven met meer dan 50 medewerkers of een jaaromzet boven 10 miljoen euro vallen in principe onder de verplichtingen van NIS-2 (Richtlijn EU 2022/2555). Dat betekent onder meer: een aantoonbaar risicobeheerbeleid, incidentmelding binnen 24 uur aan de nationale toezichthouder (in Nederland het NCSC), en toetsbare maatregelen voor de beveiliging van de toeleveringsketen.
Relevant voor de cloudkeuze is dat NIS-2 vereist dat organisaties de risico’s van hun ICT-leveranciers expliciet beoordelen. Een maakbedrijf dat productiedata opslaat bij een provider die onder de CLOUD Act valt, moet dit risico documenteren en mitigeren. Toezichthouders kunnen bij een incident vragen waarom geen soevereine alternatieven zijn overwogen. Bestuurders zijn persoonlijk aansprakelijk voor ernstige nalatigheden.
| Verplichting | NIS-2 eis | Implicatie voor cloudkeuze |
|---|---|---|
| Risicobeheer toeleveringsketen | Artikel 21, lid 2(d) | Beoordeling van jurisdictierisico bij cloudproviders verplicht |
| Incidentmelding | Artikel 23 | Clouddatalekken vallen onder meldplicht, ook bij buitenlandse vordering |
| Encryptie en toegangscontrole | Artikel 21, lid 2(h) | Customer-managed keys en zero-knowledge architectuur aanbevolen |
| Bestuurdersaansprakelijkheid | Artikel 20 | Directie moet cloudbeleid kunnen verantwoorden |
Exportcontrole: ITAR, EAR en de EU dual-use verordening
Voor maakbedrijven actief in defensie, luchtvaart of geavanceerde technologie voegt exportcontrole een extra juridische dimensie toe die cloudopslag direct raakt.
Onder ITAR (International Traffic in Arms Regulations) worden technische data van gecontroleerde defensie-items, inclusief CAD-bestanden, testresultaten en productiehandleidingen, aangemerkt als gecontroleerde export. Opslag bij een Amerikaans cloudbedrijf, of toegang door niet-ITAR-gecertificeerde medewerkers buiten de VS, kan als een niet-toegestane buitenlandse overdracht worden gekwalificeerd. Dat geldt zelfs als het bestand nooit de EU verlaat: de toegang door een buitenlandse werknemer via een Amerikaans platform kan al een overtreding zijn.
De EU Dual-Use Verordening (2021/821) reguleert vergelijkbare technologie aan de Europese kant. Artikel 9 en de bijbehorende controlelijsten omvatten software en technische documentatie voor goederen met zowel civiele als militaire toepassingen. Opslag of verwerking van dual-use technische data bij cloudproviders buiten de EU, of bij providers die onder buitenlandse inlichtingenwetten vallen, is een compliance-risico dat Europese exporteurs vaak onderschatten.
Het praktische advies van het Nederlandse Rijksdienst voor Ondernemend Nederland (RVO), die toezicht houdt op dual-use exportvergunningen, is dat technische data die deel uitmaakt van een controleerbaar item, moet worden behandeld als het item zelf. Dat betekent: soevereine opslag, strikt toegangsbeheer en aantoonbare audit trails.
Soevereine PLM-, ERP- en CAD-alternatieven
Maakbedrijven die weg willen van Amerikaanse SaaS-platforms, hebben concrete alternatieven. De functionele volwassenheid verschilt per categorie.
Voor PLM (Product Lifecycle Management) bieden Aras Innovator (open-source kern, zelfgehost), OpenPLM en het Europese Teamcenter on-premise mogelijkheden. Aras Innovator wordt door een aantal grote industriële spelers al productief ingezet en biedt een volwassen featureset voor configuratiebeheer, BOM-beheer en change management.
Voor ERP zijn Odoo (Belgisch bedrijf, open-source, on-premise of Europese cloud) en ERPNext praktisch inzetbaar voor middelgrote maakbedrijven. SAP S/4HANA kan op private cloud of on-premise worden gedraaid, wat jurisdictierisico’s elimineert zonder afscheid te nemen van het platform.
Voor CAD is de situatie complexer. FreeCAD is functioneel voor mechanische ontwerpen maar mist de volwassenheid van CATIA of SolidWorks voor complexe assemblages. Bedrijven die niet volledig kunnen migreren, kunnen overwegen CAD-tools op geïsoleerde on-premise werkstations te draaien zonder cloudsynchronisatie, en alleen niet-gevoelige data naar een hybride omgeving te verplaatsen.
Het Gaia-X Manufacturing Use Case initiatief werkt aan standaarden voor veilige data-uitwisseling in de Europese maakindustrie, met als doel interoperabele soevereine dataruimten die ketensamenwerking mogelijk maken zonder data bij Amerikaanse platforms neer te leggen. Dit is nog in ontwikkeling, maar biedt een toekomstgericht kader voor data-ecosystemen in de industrie.
Dataclassificatiebeleid: praktische aanpak voor compliance officers
Een werkbaar dataclassificatiebeleid begint niet met technologie, maar met een inventarisatie van wat de organisatie daadwerkelijk bezit en wat de consequenties zijn van ongewenste openbaarmaking.
Een effectieve aanpak werkt met vier niveaus:
- Staatsgeheim/ITAR/dual-use: altijd on-premise, geen cloudsynchronisatie, hardware security modules voor encryptie, strikte need-to-know toegang met audit log.
- Bedrijfsgeheim/intellectueel eigendom: soevereine Europese cloud of on-premise, customer-managed encryption keys, geen toegang voor cloudprovider, gedocumenteerde maatregelen conform EU Trade Secrets Directive (2016/943).
- Operationeel vertrouwelijk: Europese cloudprovider met GDPR-verwerkersovereenkomst en geen subverwerking buiten EER, versleuteling in transit en at rest.
- Niet-gevoelig: hybride cloud acceptabel, standaard beveiligingscontroles voldoende.
De classificatie moet worden vastgelegd per datatype, niet per systeem. CAD-bestanden voor een civiel product vallen mogelijk in categorie 3, maar voor een dual-use component in categorie 1. Het systeem dat ze bevat, moet beide niveaus kunnen ondersteunen of de categorieën moeten in aparte omgevingen worden gehouden.
Compliance officers dienen de classificatie jaarlijks te herzien aan de hand van wijzigingen in de controlelijsten van de EU Dual-Use Verordening (2021/821) en ITAR, en bij elke significante wijziging in het productportfolio of de IT-architectuur. Betrek hierbij altijd de exportcontrolefunctionaris, de informatiebeveiligingsofficier en, indien aanwezig, de CISO.
FAQ
Geldt de CLOUD Act ook voor data van Nederlandse maakbedrijven die is opgeslagen op servers in Europa?
Ja. De CLOUD Act verplicht Amerikaanse cloudproviders om data aan Amerikaanse autoriteiten te verstrekken als die provider juridisch onder Amerikaans recht valt, ongeacht waar de servers staan. Opslag bij Microsoft Azure, AWS of Google Cloud in Europa biedt geen juridische bescherming tegen een CLOUD Act-verzoek.
Valt ons maakbedrijf onder NIS-2 als ‘belangrijke entiteit’?
NIS-2 Bijlage II benoemt de maakindustrie expliciet als sector van belangrijke entiteiten. Organisaties met meer dan 50 medewerkers of een jaaromzet boven 10 miljoen euro in deze sector vallen in principe onder de richtlijn en moeten passende beveiligingsmaatregelen treffen, inclusief eisen aan de keuze van cloudinfrastructuur.
Biedt versleuteling van data bij een Amerikaanse cloudprovider voldoende bescherming?
Niet als de sleutels worden beheerd door de cloudprovider zelf. Bij een CLOUD Act-verzoek kan de provider verplicht worden ook de sleutels te overhandigen. Alleen encryptie waarbij de sleutels uitsluitend in handen zijn van de Europese klant (customer-managed keys, opgeslagen buiten de jurisdictie van de provider) biedt enige extra bescherming, maar elimineert het juridische risico niet volledig.
Welke CAD- en PLM-alternatieven zijn geschikt voor soevereine dataopslag in de maakindustrie?
Europese en open-source alternatieven zijn onder meer FreeCAD, OpenPLM en Aras Innovator (zelfgehost). Voor ERP bestaan oplossingen zoals Odoo en ERPNext, beide geschikt voor on-premise deployment. Deze zijn functioneel volwassen voor middelgrote maakbedrijven, maar vereisen voor complexe omgevingen meer implementatie-inspanning dan hun Amerikaanse SaaS-equivalenten.
Wat is het verband tussen ITAR en cloudopslag van technische tekeningen?
Onder ITAR worden CAD-bestanden en technische documentatie van gecontroleerde defensie-items beschouwd als technische data. Opslag of verwerking van deze data bij een Amerikaans cloudbedrijf, of toegang door niet-ITAR-gecertificeerde buitenlandse personen, kan worden gezien als een niet-toegestane export, met zware boetes als gevolg.
