Soeverein identiteitsbeheer, ook aangeduid als soeverein IAM (Identity and Access Management), is het principe dat een organisatie de volledige juridische en technische controle behoudt over de authenticatie van gebruikers, de autorisatie van toegangsrechten en de opslag van identiteitsgegevens, zonder dat een derde partij buiten de eigen jurisdictie daar rechtmatig toegang toe kan vorderen.
Voor overheidsinstanties, advocatenkantoren, zorginstellingen en andere gereguleerde organisaties in Europa is dit geen theoretisch ideaal meer. Wettelijke verplichtingen vanuit NIS-2, de GDPR en het groeiende EUCS-certificeringslandschap maken soeverein IAM tot een concrete compliancevereiste.
Soevereiniteitsrisico’s van Azure AD en Okta
Het uitbesteden van IAM aan platforms als Microsoft Entra ID (voorheen Azure Active Directory) of Okta introduceert een categorie risico’s die losstaat van de technische beveiliging van die platforms zelf: jurisdictioneel risico.
Zowel Microsoft als Okta zijn Amerikaanse rechtspersonen en vallen daarmee onder de reikwijdte van de CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) en de Foreign Intelligence Surveillance Act. Op grond van de CLOUD Act kunnen Amerikaanse autoriteiten van deze bedrijven verlangen dat zij gegevens overdragen, ook als die zijn opgeslagen in Europese datacenters. De fysieke locatie van servers is juridisch irrelevant wanneer het bedrijf dat de gegevens beheert, onderworpen is aan Amerikaanse wetgeving.
Privacyrechtadvocaat Max Schrems, oprichter van noyb (None of Your Business), verwoordde het als volgt: “Organisaties die hun identiteitsinfrastructuur onderbrengen bij een Amerikaanse cloudaanbieder, aanvaarden impliciet dat een Amerikaanse rechtbank te allen tijde toegang kan vorderen tot die gegevens, ongeacht waar de servers staan.”
Concreet betekent dit dat gebruikersnamen, authenticatielogs, apparaatregistraties en rollenstructuren die zijn opgeslagen in Entra ID of Okta buiten de exclusieve controle van de Europese organisatie vallen. Voor sectoren die werken met vertrouwelijke cliëntinformatie, staatsgeheimen of bijzondere persoonsgegevens is dit een onacceptabele situatie.
Zelfbeheerde IAM inrichten met Keycloak of Authentik
Een volledig zelfbeheerde IAM-omgeving is technisch goed realiseerbaar met volwassen open-source platforms die draaien op eigen infrastructuur of bij een Europese hostingpartner zonder Amerikaanse moedermaatschappij.
Keycloak (Red Hat)
Keycloak is een door Red Hat ontwikkeld en onderhouden open-source IAM-platform dat breed wordt ingezet door Europese overheden en grote ondernemingen. Het ondersteunt de protocollen OpenID Connect, OAuth 2.0 en SAML 2.0, en kan integreren met bestaande gebruikersdirectories via LDAP en Active Directory-federatie. Keycloak biedt ingebouwde ondersteuning voor multi-factor authenticatie (MFA) via TOTP-apps en hardwaresleutels (FIDO2/WebAuthn), wat direct aansluit op de NIS-2-verplichtingen. Commerciële ondersteuning is beschikbaar via Red Hat Single Sign-On, wat voor organisaties met strikte SLA-vereisten relevant is.
Authentik
Authentik is een nieuwer, volledig open-source alternatief met een modernere beheerinterface en lagere drempel voor initiële installatie. Het platform ondersteunt eveneens OpenID Connect en LDAP, en heeft specifieke aandacht voor eenvoudige integratie met containeromgevingen (Docker, Kubernetes). Voor kleinere organisaties of teams zonder groot IAM-team kan Authentik een praktischer startpunt zijn.
| Criterium | Keycloak (Red Hat) | Authentik | Microsoft Entra ID |
|---|---|---|---|
| Jurisdictie | On-premise / EU-hosting | On-premise / EU-hosting | VS (CLOUD Act van toepassing) |
| Protocollen | OIDC, SAML, LDAP, OAuth 2.0 | OIDC, LDAP, SAML, SCIM | OIDC, SAML, LDAP (beperkt) |
| MFA (FIDO2/WebAuthn) | Ja, ingebouwd | Ja, ingebouwd | Ja, maar data in VS-jurisdictie |
| Commerciële ondersteuning | Ja (Red Hat) | Beperkt (community + enterprise tier) | Ja (Microsoft) |
| EUCS hoog-assurancieniveau haalbaar | Ja, mits juist gehost | Ja, mits juist gehost | Nee (Amerikaanse eigendomsstructuur) |
Soeverein IAM, eIDAS 2.0 en de EU Digital Identity Wallet
De eIDAS 2.0 Verordening (EU) 2024/1183, gepubliceerd in april 2024, verplicht EU-lidstaten om tegen 2026 een EU Digital Identity Wallet aan te bieden aan burgers en bedrijven. Dit heeft directe gevolgen voor organisaties die IAM inrichten.
De Wallet fungeert als een door de overheid gecertificeerde digitale identiteitsdrager waarmee burgers zich kunnen authenticeren bij zowel publieke als private dienstverleners. Voor organisaties die soeverein IAM inrichten, is de koppeling met de Wallet strategisch belangrijk: een Keycloak- of Authentik-installatie kan als Identity Broker fungeren die EUDI Wallet-presentaties accepteert via de OpenID4VP-standaard (OpenID for Verifiable Presentations), die deel uitmaakt van de technische architectuur die wordt uitgewerkt door het EU Digital Identity Architecture and Reference Framework.
Organisaties die nu een zelfbeheerde IAM-omgeving opzetten, doen er verstandig aan de Wallet-compatibiliteit al in de architectuurkeuzes mee te nemen. Dat voorkomt een tweede migratietraject wanneer de Wallet in hun sector verplicht of gangbaar wordt.
NIS-2 artikel 21 lid 2(j): MFA en toegangsbeheer zonder cloudafhankelijkheid
NIS-2 artikel 21 lid 2(j) van Richtlijn (EU) 2022/2555 verplicht entiteiten in scope tot het gebruik van multi-factor authenticatie of continue authenticatieoplossingen. De richtlijn schrijft geen specifieke technologie voor, maar vereist dat de maatregel aantoonbaar effectief en proportioneel is ten opzichte van het risicoprofiel van de organisatie.
Het Europees Agentschap voor Cyberbeveiliging (ENISA) stelt hierover: “De implementatie van sterke authenticatie en toegangsbeheer is geen optie maar een wettelijke verplichting onder NIS-2. Lidstaten en toezichthouders zullen hier actief op handhaven.”
Een zelfbeheerde Keycloak-installatie voldoet aan deze verplichting mits correct geconfigureerd, met inbegrip van verplichte TOTP of WebAuthn voor alle beheerdersaccounts, logging van authenticatiegebeurtenissen in een SIEM-systeem dat onder eigen beheer valt, en een gedocumenteerd beleid voor toegangsrechten en rolseparatie.
EUCS-certificering en CADA-soevereiniteitsniveaus
Het EUCS-schema (European Cybersecurity Certification Scheme for Cloud Services) van ENISA kent drie assuranceniveaus: basic, substantial en high. Het hoog-assurancieniveau stelt de strengste eisen en is met name relevant voor organisaties die werken met geclassificeerde informatie of kritieke infrastructuur beheren.
Op hoog-assurancieniveau vereist het EUCS dat de cloudaanbieder en alle subverwerkers zijn gevestigd in de EU en dat er geen juridische mogelijkheid bestaat voor niet-EU-autoriteiten om gegevens op te vragen buiten een Europees rechtshulpverdrag om. Dit sluit Amerikaanse aanbieders in hun huidige juridische structuur feitelijk uit van dit niveau. De CADA-soevereiniteitsniveaus (Conditions for Additional Data-protection Assurance), die als onderdeel van het EUCS worden uitgewerkt, verfijnen dit verder door eisen te stellen aan eigendomsstructuur, operationele onafhankelijkheid en technische toegangsbeheer aan de kant van de aanbieder.
Voor IAM-diensten betekent dit concreet: wie op EUCS hoog-niveau gecertificeerd wil opereren, kan geen gebruik maken van Entra ID of Okta, en moet aantonen dat de IAM-omgeving volledig onder Europese juridische controle staat, inclusief de sleutelbeheer- en authenticatielogging-componenten.
Migreren van Microsoft Entra ID naar soeverein IAM
Een migratie van Entra ID naar een zelfbeheerde omgeving verloopt in herkenbare fasen, waarbij de voorbereiding het meeste werk vergt.
De eerste stap is een volledige inventarisatie van alle applicaties die zijn gekoppeld aan Entra ID via SAML, OpenID Connect of LDAP. Elk van deze applicaties moet worden geherregistreerd in de nieuwe IAM-omgeving. Bij Keycloak gebeurt dit via het realm-concept, waarbij per applicatie een client-configuratie wordt aangemaakt.
Vervolgens worden gebruikersidentiteiten geëxporteerd. Entra ID biedt hiervoor de Microsoft Graph API, waarmee gebruikersattributen, groepslidmaatschappen en rollenstructuren kunnen worden geëxporteerd naar JSON of CSV. Wachtwoorden kunnen nooit worden gemigreerd, omdat deze in gehashte vorm zijn opgeslagen die niet overdraagbaar is. Een gecontroleerde wachtwoordreset via e-mail is de standaardaanpak. Organisaties die LDAP als centrale directory handhaven, kunnen de migratie vereenvoudigen door Keycloak of Authentik als federatielaag boven de bestaande LDAP-directory te plaatsen, waarna Entra ID stapsgewijs kan worden ontkoppeld.
De afsluitende fase betreft het testen van alle SSO-koppelingen, het valideren van MFA-inschrijvingen voor alle gebruikers, en het overdragen van beheerdersbevoegdheden. Een gefaseerde uitrol per afdeling of applicatiegroep verkleint het risico op operationele verstoring.
Veelgestelde vragen over soeverein IAM
Wat is het verschil tussen Keycloak en Authentik als zelfbeheerde IAM-oplossing?
Keycloak (Red Hat) is een volwassen enterprise-platform met uitgebreide ondersteuning voor OpenID Connect, SAML en LDAP-federatie, en heeft een grotere community en commerciële ondersteuningsopties. Authentik is een nieuwer, lichter alternatief met een modernere beheerinterface en eenvoudigere initiële configuratie, maar met een kleinere ecosysteembasis. Voor grote overheidsinstellingen geniet Keycloak doorgaans de voorkeur vanwege de langere trackrecord.
Valt Microsoft Entra ID buiten de GDPR-vereisten als de datacenters in Europa staan?
Nee. De locatie van de servers is niet doorslaggevend. Microsoft is een Amerikaans bedrijf en valt daarmee onder de CLOUD Act, die Amerikaanse autoriteiten het recht geeft gegevens op te vragen ongeacht waar die zijn opgeslagen. Zolang de verwerkingsverantwoordelijke geen Europese juridische entiteit is die volledig los staat van Amerikaanse moedermaatschappijen, blijft dit jurisdictioneel risico bestaan.
Wat schrijft NIS-2 artikel 21 lid 2(j) precies voor op het gebied van IAM?
Artikel 21 lid 2(j) van Richtlijn (EU) 2022/2555 verplicht entiteiten in scope tot het gebruik van multi-factor authenticatie of continue authenticatieoplossingen, beveiligde communicatiesystemen, en gedocumenteerde toegangsbeheerprocedures. De richtlijn legt de keuze van de technische implementatie bij de organisatie, maar vereist dat deze aantoonbaar effectief en proportioneel is.
Wat houdt het EUCS hoog-assurancieniveau in voor IAM-diensten?
Het hoog-assurancieniveau vereist dat de cloudaanbieder aantoonbaar beschermd is tegen staatsniveau-aanvallers en dat soevereiniteitscontroles zijn ingericht, waaronder eisen aan de juridische vestigingsplaats en eigendomsstructuur. IAM-diensten op dit niveau mogen geen data overdragen aan jurisdicties buiten de EU zonder expliciete toestemming en een rechtshulpverdragsbasis.
Hoe lang duurt een migratie van Microsoft Entra ID naar een zelfbeheerde IAM-omgeving gemiddeld?
De doorlooptijd varieert sterk. Een organisatie met enkele honderden gebruikers en een gestandaardiseerde rolstructuur kan de migratie in acht tot twaalf weken uitvoeren. Grotere organisaties met legacy-applicaties en complexe federaties rekenen op zes tot achttien maanden. De meeste tijd gaat doorgaans naar het inventariseren van applicatie-afhankelijkheden en het hertesten van SSO-koppelingen.
