On-premise dataopslag soevereiniteit verwijst naar het principe waarbij een organisatie haar gegevens beheert op eigen fysieke infrastructuur, onder volledige juridische en operationele controle, zonder afhankelijkheid van cloudproviders met buitenlandse jurisdictionele verplichtingen. Voor Europese organisaties in gereguleerde sectoren is dit onderscheid geen academische kwestie, maar een aantoonbare juridische en operationele noodzaak.
Wanneer is on-premise opslag juridisch verplicht of sterk aan te raden?
On-premise opslag is juridisch te verkiezen zodra de organisatie niet kan garanderen dat data uitsluitend onder Europees recht valt. De Amerikaanse Clarifying Lawful Overseas Use of Data Act (CLOUD Act, 2018) verplicht Amerikaanse cloudproviders, waaronder Microsoft, Google en Amazon, om op rechtelijk bevel data te verstrekken aan Amerikaanse autoriteiten, ongeacht de fysieke locatie van die data. Europese datacenters van deze providers bieden dan ook geen afdoende jurisdictionele bescherming.
“De CLOUD Act geeft Amerikaanse autoriteiten de bevoegdheid om data op te vragen bij Amerikaanse cloudproviders, ongeacht waar die data fysiek is opgeslagen. Europese organisaties die gebruikmaken van diensten van Microsoft, Google of Amazon zijn daardoor in principe nooit volledig gevrijwaard van Amerikaanse toegang.”
Max Schrems, privacyactivist en jurist, oprichter van noyb (noyb.eu)
Naast de CLOUD Act speelt ook de NIS-2-richtlijn (Richtlijn 2022/2555) een doorslaggevende rol. Deze richtlijn, die lidstaten uiterlijk 17 oktober 2024 moesten omzetten, vereist van essentiële en belangrijke entiteiten dat zij aantoonbaar technische en organisatorische maatregelen treffen om risico’s voor hun netwerk- en informatiesystemen te beheersen. Wanneer de aanbieders van uw cloudinfrastructuur niet aan deze eisen kunnen voldoen of die eisen niet contractueel kunnen garanderen, wordt on-premise of soevereine hosting de logische oplossing.
“Organisaties die onder de NIS-2-richtlijn vallen, moeten aantonen dat zij passende en evenredige technische en organisatorische maatregelen hebben genomen om risico’s voor netwerk- en informatiesystemen te beheren.”
Europese Commissie, toelichting op Richtlijn (EU) 2022/2555, gepubliceerd op EUR-Lex (eur-lex.europa.eu)
Praktische gevallen waarin on-premise sterk aan te raden is, zijn: overheidsinstellingen die staatsgeheimen of burgergegevens verwerken, advocatenkantoren en notarissen gebonden aan beroepsgeheim, zorginstellingen met bijzondere persoonsgegevens onder de AVG, en financiële instellingen onder toezicht van De Nederlandsche Bank of de ECB.
Technische vereisten voor een veilige on-premise serveromgeving
Een productiewaardige on-premise omgeving vraagt om een gelaagde technische architectuur, waarbij beveiliging, schaalbaarheid en beheersbaarheid structureel zijn ingebouwd.
Virtualisatie en infrastructuurbeheer
Voor schaalbaarheid en isolatie van workloads is een hypervisorplatform zoals VMware vSphere de standaard in enterprise-omgevingen. VMware vSphere maakt het mogelijk om meerdere virtuele machines te draaien op gedeelde hardware, met strikte resource-isolatie en centrale beheersbaarheid via vCenter. Alternatieven zoals Proxmox VE worden steeds vaker ingezet door organisaties die af willen van vendorlock-in bij commerciële hypervisors.
Netwerkarchitectuur en toegangscontrole
Een on-premise omgeving vereist minimaal een gesegmenteerd netwerk met afzonderlijke VLAN’s voor beheer, productie en back-up. Zero-trust-principes, waarbij elke gebruiker en elk apparaat expliciet moet worden geverifieerd, vormen de basis. Multi-factor authenticatie (MFA) op alle beheersinterfaces is niet optioneel maar verplicht onder zowel ISO/IEC 27001 als NIS-2.
Encryptie en sleutelbeheer
Data at rest moet worden versleuteld met AES-256 of een equivalent algoritme. Voor toekomstbestendigheid, gezien de opkomst van kwantumcomputers die huidige asymmetrische versleuteling kunnen doorbreken, is het raadzaam nu al te inventariseren welke sleuteluitwisselingsprotocollen in gebruik zijn en een migratieroute naar post-quantum cryptografie (PQC) te plannen. Het NIST heeft in 2024 zijn eerste definitieve PQC-standaarden gepubliceerd, waaronder CRYSTALS-Kyber voor sleuteluitwisseling.
Soevereine samenwerkingsplatforms
Nextcloud Enterprise is een veelgebruikt platform voor organisaties die migreren van Microsoft 365 naar een zelfbeheerde samenwerkingsomgeving. Nextcloud kan volledig on-premise worden geïnstalleerd, kent end-to-end-versleuteling voor bestandsopslag en bevat ingebouwde auditlogging die voldoet aan AVG-vereisten. Belangrijk verschil met Microsoft 365: Nextcloud traint geen AI-modellen op klantdata, wat bij publieke cloudproviders contractueel moeilijk te uitsluiten is.
Hoge beschikbaarheid en disaster recovery
On-premise is alleen een verantwoorde keuze als beschikbaarheid en herstel na incidenten structureel zijn geborgd. Zonder investeringen in redundantie is de beschikbaarheid van on-premise infrastructuur doorgaans lager dan die van hyperscalers.
Hoge beschikbaarheid (HA) vereist op minimaal drie niveaus redundantie: hardware (dubbele voedingen, RAID-configuraties, redundante netwerkkaarten), platform (VMware vSphere HA of Proxmox Cluster met automatische failover) en locatie (een secundaire site op minimaal 30 kilometer afstand voor geografische spreiding). De Recovery Time Objective (RTO) en Recovery Point Objective (RPO) moeten contractueel zijn vastgelegd en jaarlijks worden getest met een echte failovertest.
Ransomwarebescherming vraagt specifiek om immutable back-ups: back-ups die na aanmaak niet meer kunnen worden gewijzigd of verwijderd, ook niet door een gecompromitteerd beheerdersaccount. Technologieën zoals object storage met WORM-functionaliteit (Write Once, Read Many) of offline tape-back-ups zijn hiervoor geschikt.
Statistisch gezien is het risico reëel: in 2023 werden wereldwijd meer dan 2.200 ziekenhuizen, scholen en overheidsinstanties getroffen door ransomware-aanvallen (Emsisoft Threat Report 2023, emsisoft.com).
Certificeringen en audits voor gereguleerde sectoren
Certificering is voor on-premise omgevingen geen vrijblijvende optie maar een voorwaarde voor opereren in gereguleerde sectoren.
| Certificering of norm | Toepassingsgebied | Relevante sector |
|---|---|---|
| ISO/IEC 27001:2022 | Informatiebeveiliging managementsysteem (ISMS) | Alle gereguleerde sectoren |
| NIS-2 (Richtlijn 2022/2555) | Netwerk- en informatiebeveiliging voor essentiële entiteiten | Energie, zorg, overheid, digitale infrastructuur |
| BSI IT-Grundschutz | Basisbeveiliging voor overheids- en kritieke infrastructuur | Overheid, kritieke infrastructuur (Duitsland en DACH) |
| SOC 2 Type II | Beveiliging, beschikbaarheid en vertrouwelijkheid van verwerking | SaaS-providers en dienstenleveranciers |
| AVG/GDPR (Verordening 2016/679) | Verwerking van persoonsgegevens | Alle organisaties die EU-burgerdata verwerken |
Het BSI (Bundesamt für Sicherheit in der Informationstechnik) publiceert het IT-Grundschutz Kompendium als praktische leidraad voor het inrichten van veilige IT-omgevingen bij overheidsinstanties en kritieke infrastructuur. Dit kader is in de DACH-regio breed geaccepteerd en wordt ook buiten Duitsland als referentie gehanteerd.
ISO/IEC 27001:2022 certificering vereist een externe audit door een geaccrediteerde certificerende instantie, gevolgd door jaarlijkse surveillance-audits en een driejaarlijkse hercertificering. De norm vereist onder meer aantoonbaar risicobeheer, een behandelingsplan voor geïdentificeerde risico’s en gedocumenteerde procedures voor incidentrespons.
De totale GDPR-boetes opgelegd door Europese toezichthouders overschreden in 2023 de 2,1 miljard euro (GDPR Enforcement Tracker, CMS Law, enforcementtracker.com). Dit illustreert dat non-compliance geen theoretisch risico is, maar een financieel materieel risico voor iedere organisatie.
Total cost of ownership: on-premise versus soevereine cloud
Een eerlijke TCO-vergelijking vereist dat alle kosten over een meerjarige horizon in kaart worden gebracht, inclusief verborgen kosten die bij cloudoplossingen vaak worden onderschat.
| Kostenpost | On-premise | Soevereine cloud (EU-provider) |
|---|---|---|
| Initiële investering (hardware, licenties) | Hoog (eenmalig) | Laag tot nihil |
| Maandelijkse abonnementskosten | Nihil tot laag (open source) | Structureel, stijgend met datavolumegroei |
| Personeelskosten (beheer) | Hoog (interne expertise vereist) | Laag (provider beheert infrastructuur) |
| Afschrijving hardware (5 jaar) | Verspreid over looptijd | Niet van toepassing |
| Kosten bij datavolumegroei | Eenmalige uitbreiding hardware | Lineair stijgend |
| Compliance-auditkosten | Volledig eigen verantwoordelijkheid | Gedeeld met provider (afhankelijk van contract) |
Organisaties met een stabiele datagroei en een tijdshorizon van vijf jaar of langer zien on-premise doorgaans een gunstiger TCO opleveren, op voorwaarde dat de interne beheerkosten realistisch worden meegenomen. Een veelgemaakte fout is het onderschatten van personeelskosten voor patchbeheer, monitoring en certificeringsvoorbereiding. Organisaties zonder interne IT-capaciteit kunnen ook kiezen voor een hybride model: kritieke data on-premise, minder gevoelige workloads bij een gecertificeerde Europese cloudprovider met contractueel vastgelegde dataresidenite en geen aanknopingspunten met niet-EU-wetgeving.
IBM’s Cost of a Data Breach Report 2023 (ibm.com/reports/data-breach) stelt dat 82% van de onderzochte datalekken in 2023 data betrof die was opgeslagen in cloudomgevingen, inclusief publieke, private en hybride clouds. Dit gegeven onderstreept dat cloudgebruik op zichzelf geen beveiligingsniveau garandeert en dat architectuurkeuzes worden gemaakt op basis van feitelijk risicobeheer, niet op basis van de aanname dat de cloud inherent veilig is.
FAQ: on-premise dataopslag en soevereiniteit
Is on-premise dataopslag altijd veiliger dan cloudopslag?
Niet per definitie. On-premise biedt meer jurisdictionele controle, maar vereist ook dat de organisatie zelf verantwoordelijk is voor patches, toegangscontrole en fysieke beveiliging. De veiligheid hangt sterk af van de volwassenheid van het interne securityteam en de aanwezige certificeringen zoals ISO/IEC 27001.
Maakt de CLOUD Act het gebruik van Microsoft 365 juridisch riskant voor Europese overheidsinstanties?
Ja, in beginsel wel. De CLOUD Act verplicht Amerikaanse providers om op rechterlijk bevel data te verstrekken aan Amerikaanse autoriteiten, ongeacht de fysieke locatie van die data. Europese overheidsinstanties met privacygevoelige of staatsgeheime data lopen daardoor een juridisch risico dat GDPR-conformiteit alleen niet afdoende afdekt.
Wat is het verschil tussen een soevereine cloud en on-premise opslag?
Een soevereine cloud is een cloudinfrastructuur die volledig onder Europese jurisdictie valt, geëxploiteerd door een Europese entiteit zonder aanknopingspunten met niet-EU-wetgeving. On-premise opslag staat fysiek en juridisch onder directe controle van de eigen organisatie. Beide bieden meer soevereiniteit dan publieke cloudproviders met Amerikaanse moedermaatschappijen, maar on-premise geeft de meest vergaande controle.
Welke sectoren zijn verplicht te voldoen aan de NIS-2-richtlijn?
De NIS-2-richtlijn (Richtlijn 2022/2555) is van toepassing op essentiële en belangrijke entiteiten in sectoren als energie, transport, bankwezen, gezondheidszorg, drinkwater, digitale infrastructuur en overheid. Lidstaten moesten de richtlijn uiterlijk 17 oktober 2024 omzetten in nationale wetgeving.
Hoe verhoudt de TCO van on-premise zich tot een soevereine cloudoplossing op langere termijn?
On-premise kent hogere initiële investeringen in hardware, licenties en personeel, maar lagere variabele kosten op termijn. Soevereine cloud heeft lagere opstartkosten maar oplopende abonnementslasten naarmate data groeit. Organisaties met een stabiele datagroei en een horizon van vijf jaar of langer zien on-premise doorgaans een gunstiger TCO opleveren, mits interne beheerkosten realistisch worden meegenomen in de berekening.
