Een soevereine offline werkplek in een crisisscenario is een IT-werkomgeving die zonder onderbreking operationeel blijft wanneer externe cloudinfrastructuur wegvalt, of dat nu door een geopolitieke crisis, sancties, een cyberaanval of een gedwongen ontkoppeling van Amerikaanse clouddiensten gebeurt. Voor compliance officers en IT-beslissers in overheid, rechtspraak en gereguleerde sectoren is dit niet langer een theoretisch scenario.
Waarom clouduitval een reëel crisisrisico is
De afhankelijkheid van niet-Europese cloudproviders is geen technisch detail maar een strategisch kwetsbaarheid. Wanneer een Amerikaanse aanbieder zoals Microsoft of Amazon onder de CLOUD Act verplicht wordt gegevens af te geven aan de Amerikaanse overheid, of wanneer sanctieregimes de dienstverlening aan Europese entiteiten verstoren, kunnen organisaties van de ene op de andere dag hun toegang verliezen.
Volgens de Europese Rekenkamer (Speciaal Verslag 2023/07) maakt meer dan 65% van de EU-lidstaten gebruik van cloudinfrastructuur van aanbieders onderworpen aan niet-Europese jurisdicties voor overheidskritische werkprocessen. Dat cijfer maakt het crisisscenario concreet: een geopolitieke escalatie raakt niet één organisatie maar hele sectoren tegelijk.
Technische vereisten voor een soevereine offline werkplek
Een werkplek die een crisisscenario overleeft, voldoet aan specifieke technische criteria die verder gaan dan “een lokale back-up hebben”.
Offline-werkcapaciteit als basisvereiste
De kerneis is dat alle primaire werkfuncties, e-mail, documentbewerking, communicatie en toegangsbeheer, lokaal beschikbaar zijn zonder actieve internetverbinding. Dit vereist:
- On-premise e-mailservers (zoals Postfix/Dovecot of Zimbra) met lokale adresboeken die niet afhankelijk zijn van externe DNS-resolutie.
- Nextcloud offline-synchronisatie: de Nextcloud-desktopclients bewaren bestanden lokaal en synchroniseren zodra verbinding hersteld is. De serverinstantie zelf draait op eigen hardware of een nationaal datacentrum buiten US-jurisdictie.
- Matrix/Element als soeverein communicatieplatform: een zelfgehoste Matrix-homeserver draait volledig lokaal. Federatie met externe servers is optioneel en kan uitgeschakeld worden voor maximale isolatie.
- Lokale identiteitsaanbieders: een on-premise LDAP- of Active Directory-instantie, of een open-source alternatief als Keycloak, zodat authenticatie niet afhangt van Microsoft Entra ID of Google Identity.
Air-gapped versus gedeeltelijk air-gapped architectuur
Een volledig air-gapped omgeving heeft geen enkele netwerkverbinding met het publieke internet. Dit niveau is passend voor inlichtingendiensten of defensie-omgevingen. Voor de meeste overheids- en juridische organisaties is een gedeeltelijk air-gapped architectuur realistischer: dagelijkse werkprocessen draaien lokaal autonoom, terwijl beveiligingsupdates of geselecteerde synchronisaties via een data-diode of een strikt gecontroleerde doorgang plaatsvinden.
Cruciaal bij beide varianten is dat de architectuur volledig buiten bereik van de CLOUD Act opereert. Dat betekent: geen enkele component in de leveranciersketen mag onderworpen zijn aan Amerikaanse rechtsmacht. Dat sluit niet alleen de grote hyperscalers uit, maar ook hun subverwerkers en monitoringdiensten.
Continuïteitsvereisten onder NIS-2 en de EU Preparedness Union Strategy
NIS-2 artikel 21 (Richtlijn EU 2022/2555) verplicht organisaties in essentiële en belangrijke sectoren tot gedocumenteerde bedrijfscontinuïteitsmaatregelen. Deze omvatten back-upbeheer, disaster recovery en uitwijkprocedures. De richtlijn trad op 17 oktober 2024 in werking en raakt naar schatting 160.000 organisaties in de EU.
De EU Preparedness Union Strategy, gepubliceerd als COM(2025) 148, gaat een stap verder. Deze strategie verplicht publieke organisaties expliciet tot cloudafhankelijkheidsrisicobeoordelingen. Organisaties dienen te documenteren welke kritieke processen afhankelijk zijn van externe cloudproviders en welke mitigerende maatregelen gelden wanneer die diensten uitvallen. De strategie noemt cloudconcentratierisico uitdrukkelijk als systeemrisico voor de Europese weerbaarheid.
Het Verizon Data Breach Investigations Report 2024 toont dat bij 45% van de incidenten in de publieke sector een externe cloudomgeving de aanvalsvector of de opslaglocatie van gecompromitteerde data was. Dit onderstreept waarom continuïteit en soevereiniteit twee kanten van dezelfde munt zijn.
Governancevereisten: CADA artikel 29 en BIO2
Naast NIS-2 gelden voor overheidsorganisaties aanvullende kaders. CADA artikel 29 schrijft een soevereiniteitsrisicobeoordeling voor die organisaties moeten uitvoeren voordat zij afhankelijk worden van een cloudaanbieder buiten de EU-jurisdictie. Deze beoordeling documenteert de blootstelling aan extraterritoriale wetgeving en beschrijft mitigerende maatregelen, van encryptie met zelfbeheerde sleutels tot volledige migratie naar een soeverein alternatief.
De BIO2 (Baseline Informatiebeveiliging Overheid versie 2) introduceert een uitwijkstrategie als verplicht onderdeel van het informatiebeveiligingsbeleid van Nederlandse overheidsorganisaties. De BIO2-uitwijkstrategie vereist dat organisaties aantoonbaar kunnen functioneren wanneer primaire systemen niet beschikbaar zijn, inclusief het scenario van een volledig weggevallen cloudverbinding.
Nextcloud en Matrix/Element in een offline-crisisarchitectuur
Nextcloud on-premise en Matrix/Element vormen samen een praktisch uitvoerbare soevereine werkplek die ook in een crisisscenario standhoudt.
| Functie | Soevereine oplossing | Offline-capaciteit | CLOUD Act-risico |
|---|---|---|---|
| Documentopslag en samenwerking | Nextcloud (on-premise) | Volledig via desktopsynchronisatie | Geen, mits geen US-subverwerkers |
| Teamcommunicatie en chat | Matrix/Element (zelfgehost) | Lokale homeserver, federatie optioneel | Geen bij volledige lokale hosting |
| Postfix/Dovecot of Zimbra (on-premise) | Volledig lokaal | Geen | |
| Identiteitsbeheer | Keycloak of OpenLDAP | Lokale authenticatie zonder externe IDP | Geen |
| Documentbewerking | Nextcloud Office (Collabora) | Lokale server, browsergebaseerd | Geen |
Nextcloud offline-synchronisatie werkt via de desktopapplicatie die bij verlies van serververbinding lokale wijzigingen bijhoudt en na herstel van de verbinding automatisch synchroniseert. Voor crisisscenario’s is het van belang dat de synchronisatieclient geconfigureerd is om ook bij een zelfondertekend certificaat te vertrouwen, zodat certificaatproblemen geen extra blokkade vormen.
Matrix/Element als soeverein communicatieplatform biedt end-to-end-versleuteling standaard aan in directe berichten en kan geconfigureerd worden met een volledig gesloten federatiebeleid. Dat betekent dat berichten uitsluitend via de eigen homeserver lopen, zonder routering via externe servers. Bij een gedeeltelijk air-gapped opzet kan federatie via een VPN-tunnel naar vertrouwde partners worden voortgezet, terwijl het publieke internet geblokkeerd blijft.
Data-integriteit en toegangsbeheer zonder externe diensten
Een soevereine noodwerkplek staat of valt met de betrouwbaarheid van haar toegangs- en integriteitsbeheer op het moment dat externe systemen niet beschikbaar zijn.
ENISA stelt in haar Good Practice Guide on ICT Continuity: “Organisaties mogen niet langer aannemen dat cloudconnectiviteit gegarandeerd is in crisissituaties. Bedrijfscontinuïteit vereist dat kritieke werkprocessen ook offline volledig operationeel blijven.”
Concreet betekent dit voor toegangsbeheer dat een lokale instantie van Keycloak of OpenLDAP de volledige gebruikersdirectory beheert, inclusief meervoudige authenticatie via TOTP-codes die lokaal gegenereerd worden. Smartcardgebaseerde authenticatie (PKI) biedt een extra laag die niet afhankelijk is van netwerkverbinding.
Voor data-integriteit zijn regelmatige, geautomatiseerde checksumcontroles (via tools als AIDE of Tripwire) op on-premise servers essentieel. Nextcloud biedt ingebouwde bestandsintegriteitscontroles die bij iedere synchronisatie worden uitgevoerd. Offsite back-ups, bij voorkeur naar een tweede on-premise locatie of een Zwitsers datacentrum buiten US-jurisdictie, completeren de strategie.
De Europese Rekenkamer concludeerde in Speciaal Verslag 2023/07: “De afhankelijkheid van een beperkt aantal grote cloudaanbieders buiten de EU vormt een systemisch risico voor de digitale soevereiniteit van lidstaten en dient expliciet te worden beoordeeld in risicoanalyses.”
Praktische implementatiestappen
De overgang naar een crisisbestendige soevereine werkplek verloopt het meest beheerst in fasen. Eerst brengen organisaties hun volledige cloudafhankelijkheidsketen in kaart, inclusief subverwerkers, conform CADA artikel 29. Vervolgens migreren zij identiteits- en authenticatiediensten naar een lokale instantie, omdat een gebrekkige IDP het eerste systeem is dat bij clouduitval faalt. Daarna volgen documentopslag (Nextcloud), communicatie (Matrix/Element) en e-mail in die volgorde, omdat elke stap de volgende vereenvoudigt.
Essentieel is dat de crisisarchitectuur periodiek wordt getest via een geplande “cloudloos weekend”: alle externe cloudverbindingen worden tijdelijk geblokkeerd om te verifiëren dat werkprocessen daadwerkelijk doorlopen. Zonder zo’n test blijft het plan een papieren exercitie die onder NIS-2 artikel 21 niet als aantoonbare maatregel kwalificeert.
Veelgestelde vragen
Wat is een soevereine offline werkplek in de context van een crisisscenario?
Een soevereine offline werkplek is een IT-omgeving die volledig zelfstandig kan functioneren zonder afhankelijkheid van externe cloudinfrastructuur, buitenlandse identiteitsaanbieders of internetconnectiviteit. Ze draait op lokale of nationale servers en garandeert toegang tot e-mail, documenten en communicatie ook wanneer cloudverbindingen wegvallen door sancties, cyberaanvallen of geopolitieke verstoringen.
Wat verplicht NIS-2 artikel 21 een organisatie concreet bij uitval van cloudinfrastructuur?
Artikel 21 van NIS-2 (Richtlijn EU 2022/2555) verplicht aanbieders van essentiële en belangrijke diensten tot gedocumenteerde bedrijfscontinuïteitsplannen, inclusief back-upbeheer, noodherstel en uitwijkprocedures. Clouduitval is geen aanvaardbare reden voor het wegvallen van kritieke dienstverlening: de organisatie moet kunnen aantonen dat werkprocessen offline doorlopen.
Hoe verschilt een air-gapped werkplek van een gedeeltelijk air-gapped werkplek?
Een volledig air-gapped werkplek heeft geen enkele netwerkverbinding met het publieke internet of externe clouddiensten. Een gedeeltelijk air-gapped werkplek heeft gecontroleerde, eenrichtings- of tijdgebonden verbindingen voor specifieke taken, zoals het bijwerken van beveiligingsupdates via een data-diode, maar opereert voor dagelijkse werkprocessen autonoom.
Voldoet Nextcloud offline-synchronisatie aan de NIS-2 back-upvereisten?
Wanneer de Nextcloud-serverinstantie zelf on-premise draait zonder afhankelijkheid van een externe cloudprovider, voldoet deze architectuur in beginsel aan de back-up- en uitwijkvereisten van NIS-2 artikel 21, mits aangevuld met gedocumenteerde procedures voor toegangsbeheer en data-integriteitscontrole.
Wat is de CADA artikel 29-soevereiniteitsrisicobeoordeling en voor wie geldt die?
CADA artikel 29 schrijft voor dat publieke instellingen een expliciete soevereiniteitsrisicobeoordeling uitvoeren voordat zij afhankelijk worden van een cloudaanbieder buiten de EU-jurisdictie. Deze beoordeling documenteert de blootstelling aan extraterritoriale wetgeving zoals de CLOUD Act en beschrijft mitigerende maatregelen.
