Sovereignty washing bij hyperscalers is het verschijnsel waarbij grote Amerikaanse cloudaanbieders, met name Microsoft, AWS en Google, hun diensten voorzien van Europese lokalisatielabels, “soevereine” productbenamingen of EU-partnerconstructies, zonder dat dit de onderliggende juridische blootstelling aan Amerikaanse wetgeving wegneemt. Het resultaat is een marketinglaag die compliance-officers en IT-beslissers een valse juridische zekerheid kan geven.
Wat is sovereignty washing en hoe herken je het?
Sovereignty washing verwijst naar de praktijk waarbij een aanbieder de term “soeverein” gebruikt als commercieel keurmerk, zonder te voldoen aan de technische, juridische en organisatorische vereisten die echte cloudsoevereiniteit definiëren. Het patroon is herkenbaar aan een aantal kenmerken.
Ten eerste wordt serverlocatie gepresenteerd als juridische bescherming. Een product heet “EU Cloud” of “Germany Region”, maar de juridische entiteit die de dienst aanbiedt, is gevestigd in de Verenigde Staten. Ten tweede worden sleutelbeheerconstructies aangeboden waarbij de klant nominaal over versleutelingssleutels beschikt, maar de provider nog steeds softwarematige toegang heeft via updates of beheerinterfaces. Ten derde worden Europese partners of joint ventures ingezet die operationeel afhankelijk blijven van de Amerikaanse moedermaatschappij voor licenties, patches en infrastructuurcomponenten.
Waarom beschermt een EU-datacenter niet tegen de CLOUD Act en FISA
De kernillusie van sovereignty washing is dat fysieke locatie gelijkstaat aan juridische onbereikbaarheid. Dat is onjuist.
De CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) verplicht in de VS gevestigde bedrijven om data te verstrekken op bevel van een Amerikaanse rechter, ongeacht waar die data fysiek is opgeslagen. FISA Section 702 (Foreign Intelligence Surveillance Act) gaat nog verder: het staat de NSA toe om zonder individueel bevel data op te vragen bij elektronische communicatiedienstverleners met een Amerikaans moederbedrijf.
“Het plaatsen van data in een Europees datacenter van een Amerikaanse provider lost het jurisdictieprobleem niet op. Zolang de moedermaatschappij in de VS gevestigd is, blijft de CLOUD Act van toepassing.”
Max Schrems, privacyadvocaat en oprichter van noyb (None of Your Business), via noyb.eu
Het Hof van Justitie van de Europese Unie bevestigde in het Schrems II-arrest (zaak C-311/18, 2020) dat de VS geen gelijkwaardig beschermingsniveau biedt voor persoonsgegevens, mede vanwege FISA. Dat oordeel heeft directe gevolgen voor de GDPR-rechtmatigheid van doorgifte aan Amerikaanse cloudproviders, ook als de data in Europa staat.
Microsoft ontving in de eerste helft van 2023 meer dan 15.000 overheidsdataverzoeken wereldwijd, waarvan een significant deel via FISA Section 702 (Microsoft Digital Defense Report 2023). Deze verzoeken gelden ongeacht de serverlocatie van de betrokken data.
Concrete gevallen: soevereine producten die toch niet beschermden
De abstracte juridische kwetsbaarheid heeft al praktische consequenties gehad. In 2022 staakte Amazon Web Services zijn samenwerking met de Russische markt na sancties, waardoor klanten die dachten in een “onafhankelijke” cloudomgeving te opereren, plotseling zonder dienst zaten. Hoewel dit geen westerse overheidsklanten betrof, illustreerde het dat de moedermaatschappij altijd de dienstverlening kan beëindigen of aanpassen op basis van haar eigen juridische en politieke omgeving.
Dichter bij huis: in 2023 bleek uit onderzoek door de Franse toezichthouder CNIL dat Microsoft 365 structureel diagnostische telemetriedata naar de VS doorstuurde, ook vanuit zogenaamd “soevereine” configuraties. CNIL gaf organisaties formele aanbevelingen om deze praktijk te herzien. Dat een product als “sovereign” wordt gepositioneerd, betekent niet dat het ook zo functioneert.
Het Europees Parlement stelde in rapport PE 780.413 (december 2025) vast dat minder dan 12% van de EU-lidstaten een nationaal cloudsoevereiniteitsbeleid heeft dat volledig aansluit op de EUCS-vereisten. Dat gat wordt deels gevuld door producten die soevereiniteit claimen zonder die te leveren.
Technische en juridische criteria voor echte soevereiniteit
Echte soevereiniteit vraagt om meer dan een datacenter op Europese bodem. De volgende tabel vergelijkt de criteria van een sovereignty-washing-product met die van een structureel soevereine oplossing.
| Criterium | Sovereignty washing | Echte soevereiniteit |
|---|---|---|
| Juridische vestiging aanbieder | VS (met EU-filiaal) | EU-rechtspersoon zonder VS-moedermaatschappij |
| Sleutelbeheer | Nominaal bij klant, software-toegang provider | Exclusief bij klant of onafhankelijke EU-entiteit |
| Broncode en updates | Afkomstig van niet-EU-entiteit | Open source of auditeerbare EU-herkomst |
| Operationeel beheer | Afhankelijk van VS-moeder voor patches/support | Volledig door EU-entiteit of on-premise |
| Certificering | ISO 27001 (niet jurisdictie-specifiek) | EUCS ‘High’ of equivalent SEAL-niveau |
| Reactie op buitenlands bevel | Juridisch verplicht te voldoen | Technisch en juridisch onmogelijk te voldoen |
Microsoft Azure Sovereign Cloud en S3NS als illustraties
Microsoft Azure Sovereign Cloud is een afgeschermde omgeving, ontworpen voor overheden en gereguleerde sectoren. Het biedt dataresidentie in specifieke regio’s en beperkte toegang voor Microsoft-medewerkers. Echter: Microsoft blijft een Amerikaans bedrijf, de broncode en updates komen van een Amerikaanse entiteit, en de CLOUD Act is onverminderd van toepassing. Azure Sovereign Cloud is daarmee een verbeterd product, maar geen structurele oplossing voor de jurisdictionele blootstelling.
S3NS, de joint venture tussen Thales en Google Cloud, gaat een stap verder. Thales beheert de cryptografische sleutels en de dagelijkse operaties in Frankrijk. De onderliggende infrastructuur en software blijven echter van Google afkomstig. De vraag of S3NS voldoende soevereiniteit biedt, hangt af van de risicoklasse van de data en de specifieke dreigingsanalyse van de organisatie. Voor bijzondere categorieën persoonsgegevens of staatsgeheimen is dit model waarschijnlijk onvoldoende.
“Soevereiniteitsoplossingen die afhankelijk blijven van de broncode, licenties of updates van een buitenlandse aanbieder zijn geen soevereiniteitsoplossingen. Het zijn afhankelijkheidsoplossingen met een ander etiket.”
Bart Groothuis, Europarlementariër en voormalig rapporteur NIS2-richtlijn, Europees Parlement
Het SEAL-framework en de EUCS tegenover marketingclaims
De Europese Commissie heeft in het EU Cloud Sovereignty Framework v1.2.1 het SEAL-framework (Sovereignty Effectiveness Assurance Levels) geïntroduceerd. Dit framework beoordeelt cloudsoevereiniteit op drie dimensies: technisch (encryptie, sleutelbeheer, netwerkisolatie), juridisch (toepasselijk recht, jurisdictie, toegang door derde landen) en organisatorisch (eigendomsstructuur, beheercontrole, toeleveringsketen).
SEAL is complementair aan de EUCS (EU Cybersecurity Certification Scheme for Cloud Services), die door ENISA wordt ontwikkeld. EUCS kent drie assurance levels: Basic, Substantial en High. Alleen het niveau ‘High’ vereist dat de aanbieder in de EU is gevestigd, dat cryptografische sleutels uitsluitend onder EU-controle staan, en dat er geen toegang mogelijk is vanuit derde landen zonder EU-rechtsmacht.
De meeste soevereiniteitsclaims van hyperscalers zijn gebaseerd op ISO 27001-certificering of sectorspecifieke normen zoals C5 (Duitsland) of HDS (Frankrijk). Deze normen zijn waardevol voor informatiebeveiliging, maar beoordelen de jurisdictionele blootstelling niet. Compliance officers die uitsluitend op deze certificaten afgaan, missen daarmee een essentieel risicodimensie.
Hoe compliance officers een objectieve soevereiniteitsbeoordeling uitvoeren
Een beoordeling begint met het identificeren van de juridische entiteit die contractpartij is, niet het datacenter. Vraag de aanbieder om een juridisch memorandum waarin staat of zij een Amerikaans bedrijf zijn of een dochteronderneming daarvan, en of zij onderworpen zijn aan de CLOUD Act of FISA Section 702.
Vervolgens beoordeel je het sleutelbeheer. Wie beheert de cryptografische sleutels? Zijn die sleutels technisch buiten het bereik van de aanbieder en zijn buitenlandse moedermaatschappij? Een key management system dat de aanbieder zelf beheert, of dat afhankelijk is van de aanbieders hardwareinfrastructuur, biedt geen echte scheiding.
Daarna onderzoek je de toeleveringsketen van de software. Open-source platforms zoals Nextcloud, die door een Europese partij worden beheerd en gehost zonder afhankelijkheid van een Amerikaans moederbedrijf, bieden structureel andere garanties dan gelicenseerde software van een VS-entiteit. Koppel dit aan een on-premise of Swiss-hosted variant voor de hoogste risicocategorie data.
Tot slot toets je de aanbieder aan het SEAL-framework en de EUCS-niveaus. Vraag om een gap-analyse ten opzichte van EUCS ‘High’. Als de aanbieder die niet kan leveren, of als de analyse aantoont dat het niveau ‘Substantial’ of lager is, documenteer dat als een residueel risico dat aan de bestuurder en de toezichthouder moet worden voorgelegd. NIS2 (Richtlijn EU 2022/2555) verplicht organisaties in essentiële en belangrijke sectoren expliciet om leveranciersrisico’s te beoordelen en te beheersen. Sovereignty washing door een leverancier accepteren zonder documentatie is daarmee ook een NIS2-nalevingsprobleem.
FAQ: veelgestelde vragen over sovereignty washing
Is een EU-datacenter van Microsoft of AWS juridisch veilig voor gevoelige overheidsdata?
Nee. Zolang Microsoft of AWS een Amerikaans bedrijf zijn, zijn zij onderworpen aan de CLOUD Act en FISA Section 702. Een Europese serverlocatie verandert de juridische verplichting van de moedermaatschappij niet. Alleen een volledige operationele en juridische scheiding van de VS-entiteit biedt structurele bescherming.
Wat is het SEAL-framework en hoe gebruik ik het bij cloudinkoop?
Het SEAL-framework (Sovereignty Effectiveness Assurance Levels) is een beoordelingsmodel van de Europese Commissie dat cloudsoevereiniteit meet op technische, juridische en organisatorische dimensies. Bij inkoop kun je aanbieders vragen op welk SEAL-niveau zij gecertificeerd zijn en of die certificering onafhankelijk is geverifieerd door een erkende instantie.
Wat is het verschil tussen EUCS ‘High’ en lagere assurance levels?
EUCS ‘High’ vereist dat cryptografische sleutels uitsluitend onder EU-controle staan, dat er geen toegang mogelijk is vanuit derde landen zonder EU-rechtsmacht, en dat de aanbieder in de EU is opgericht. Lagere levels stellen minder strenge eisen en zijn daardoor onvoldoende voor verwerking van staatsgeheimen of bijzondere categorieën persoonsgegevens zoals bedoeld in artikel 9 AVG.
Wat is S3NS en lost het het soevereiniteitsprobleem op?
S3NS is een joint venture tussen Thales en Google Cloud, opgericht om een vertrouwde Europese versie van Google Cloud te exploiteren in Frankrijk. Thales beheert de sleutels en de operaties. Hoewel dit verder gaat dan een gewoon EU-datacenter, blijft de onderliggende technologie afkomstig van Google, met afhankelijkheid van Amerikaanse licenties en updates. Of dit voldoende soevereiniteit biedt, hangt af van de risicoklasse van de te verwerken data.
Hoe voer ik als compliance officer een snelle soevereiniteitsbeoordeling uit?
Stel minimaal vijf vragen: (1) Waar is de aanbieder juridisch gevestigd en welk recht is van toepassing? (2) Wie beheert de cryptografische sleutels en waar zijn die opgeslagen? (3) Kan de aanbieder technisch worden gedwongen data te verstrekken aan een niet-EU-autoriteit? (4) Is de broncode en zijn de updates afkomstig van een niet-EU-entiteit? (5) Is het aanbod gecertificeerd op EUCS ‘High’ of getoetst aan het SEAL-framework? Alleen als alle antwoorden gunstig uitvallen, is het jurisdictionele risico structureel beperkt.
