Zero trust architecture (ZTA) is een beveiligingsstrategie waarbij geen enkel verzoek, gebruiker of apparaat automatisch wordt vertrouwd, ongeacht of het zich binnen of buiten het bedrijfsnetwerk bevindt. Voor Europese overheidsorganisaties, juridische instellingen en andere gereguleerde sectoren is deze aanpak bijzonder relevant: ZTA biedt een technisch fundament om datajurisdictie te borgen en tegelijkertijd te voldoen aan NIS-2 en de AVG, zonder afhankelijk te worden van Amerikaanse hyperscalers die blootgesteld zijn aan de CLOUD Act.
Kernprincipes van ZTA en de relatie met soevereine infrastructuur
ZTA rust op drie basisprincipes: verifieer altijd, gebruik minimale privileges, en ga ervan uit dat een inbreuk reeds heeft plaatsgevonden. Op een soevereine, on-premise infrastructuur versterken deze principes elkaar op een manier die niet mogelijk is wanneer een derde partij buiten de EU toegang heeft tot sleutels of verkeerslogboeken.
Het referentiedocument NIST SP 800-207 Zero Trust Architecture, gepubliceerd door het Amerikaanse National Institute of Standards and Technology, formuleert dit als volgt: alle datapaden worden behandeld als potentieel vijandig, ook interne verbindingen. Scott Rose, hoofdauteur van NIST SP 800-207, stelt: “Zero Trust is not a product you buy. It is a strategy and a framework that requires continuous verification of every user, device, and network flow.”
Voor een soevereine organisatie betekent dit dat de Policy Engine (PE) en de Policy Decision Point (PDP), de twee centrale componenten die beslissen of toegang wordt verleend, volledig onder eigen beheer moeten vallen. Zodra deze componenten draaien op infrastructuur van een niet-EU-aanbieder, vervalt de jurisdictionele zekerheid die soevereiniteit vereist.
De vijf ZTA-pijlers zonder hyperscaler-afhankelijkheid
Het CISA Zero Trust Maturity Model v2.0 structureert ZTA langs vijf pijlers. Elk ervan is implementeerbaar met open-source of Europese alternatieven.
| Pijler | Hyperscaler-aanpak (risico) | Soeverein alternatief |
|---|---|---|
| Identiteit | Azure Active Directory, Okta (VS-jurisdictie) | Keycloak (open-source, on-premise) |
| Apparaat | Microsoft Intune, Google Endpoint | GLPI, OpenMDM of eigen PKI |
| Netwerk | Azure Virtual WAN, AWS PrivateLink | OpenZiti, WireGuard, on-premise SD-WAN |
| Applicatie | Azure App Proxy, Google BeyondCorp | OpenZiti-tunnels, Nginx reverse proxy met mTLS |
| Data | Azure Information Protection | On-premise sleutelbeheer (HashiCorp Vault OSS, Nextcloud met versleuteling) |
De referentiearchitectuur BeyondCorp van Google toonde als eerste op grote schaal aan dat perimeterloze toegang werkbaar is, maar is als clouddienst gebonden aan VS-jurisdictie. Het open-source project OpenZiti, beheerd onder de Linux Foundation, implementeert vergelijkbare zero trust netwerkprincipes volledig zelfgehost, inclusief eigen Policy Decision Point en versleuteld overlay-netwerk.
Open-source ZTA-componenten voor NIS-2-conforme organisaties
De Policy Engine en Policy Decision Point zijn de beslissende kern van elke ZTA. Voor organisaties die vallen onder NIS-2 artikel 21 (Richtlijn EU 2022/2555), dat toegangsbeheer, authenticatie en netwerksegmentatie als verplichte maatregel aanwijst, zijn de volgende open-source componenten geschikt.
OpenPolicyAgent (OPA) is een algemene Policy Engine die in YAML-achtige Rego-taal beleidsregels verwerkt. OPA integreert met Keycloak voor identiteitscontext en met Kubernetes voor containerbeveiliging, en draait volledig on-premise. OpenZiti voegt hieraan een zero trust overlay-netwerk toe waarbij ook oost-west-verkeer (tussen interne systemen) wederzijds wordt geverifieerd via mTLS-certificaten die door een eigen PKI worden uitgegeven.
De praktijkgids NIST SP 1800-35 Implementing a Zero Trust Architecture documenteert referentie-implementaties met meerdere open-source stacks en geeft aan welke combinaties geschikt zijn voor sectoren met hoge beschikbaarheids- en vertrouwelijkheidseisen. Dit document is direct toepasbaar voor compliance officers die moeten aantonen dat hun technische maatregelen “passend” zijn in de zin van NIS-2.
Statistisch onderbouwing van de urgentie: volgens het Verizon Data Breach Investigations Report 2023 speelden gestolen of zwakke inloggegevens een rol bij 86 procent van alle datalekken. ZTA, en specifiek de identiteitspijler met sterke MFA en continue verificatie, pakt precies dit risico aan.
NIST SP 800-207 en CISA Maturity Model versus NIS-2
NIST SP 800-207 en het CISA Zero Trust Maturity Model v2.0 zijn Amerikaanse overheidsdocumenten zonder directe juridische werking in de EU, maar ze bieden een gedetailleerdheid die NIS-2 zelf mist. NIS-2 artikel 21 schrijft voor dat essentiële en belangrijke entiteiten “passende en evenredige technische, operationele en organisatorische maatregelen” nemen, maar specificeert geen architectuur. Het NIST-kader en het CISA-model vullen die leemte in.
Het CISA-model beschrijft vier rijpheidsniveaus: traditioneel, initieel, geavanceerd en optimaal. Een organisatie die streeft naar NIS-2-naleving doet er verstandig aan minimaal het niveau “geavanceerd” te bereiken op de pijlers identiteit en data, omdat dit directe raakvlakken heeft met de specifiek in artikel 21 genoemde vereisten voor toegangsbeheer en versleuteling.
Het ENISA stelt hierover: “Organisaties die afhankelijk blijven van perimeter-gebaseerde beveiliging in een hybride wereld, accepteren een risico dat niet langer beheersbaar is met traditionele middelen.” (ENISA Threat Landscape 2023)
Risico’s van hybride ZTA met niet-EU-clouddiensten
Een veelgemaakte fout is het bouwen van een “hybride” ZTA waarbij de Policy Engine on-premise draait, maar identiteitsverificatie of logboekbeheer uitbesteed wordt aan een Amerikaanse cloudaanbieder. Dit introduceert twee samenhangende risico’s.
Ten eerste: als de identiteitsprovider (Azure AD, Okta) onder VS-jurisdictie valt, kunnen Amerikaanse autoriteiten via de CLOUD Act of de Patriot Act toegang eisen tot authenticatielogboeken en gebruikersdata, zonder dat de Europese organisatie hiervan op de hoogte wordt gesteld. Ten tweede: als de beleidshandhaving afhankelijk is van de beschikbaarheid van een externe clouddienst, verliest de organisatie controle over haar eigen toegangsbeslissingen bij een storing of servicewijziging.
Beperking van dit risico vereist een volledige inventarisatie van alle afhankelijkheden per pijler, gevolgd door een gefaseerde migratie naar open-source of Europees gehoste alternatieven. Organisaties die migreren van Microsoft 365 naar een soevereine Nextcloud-omgeving kunnen tegelijkertijd de identiteitspijler overdragen naar Keycloak, waarmee beide risico’s in één migratie worden geadresseerd.
Ter context: onderzoek van Okta (State of Zero Trust Security 2023) toonde aan dat 61 procent van organisaties wereldwijd enige vorm van zero trust heeft ingevoerd, maar de volwassenheid en soevereiniteit van die implementaties varieert sterk.
Integratie van post-quantum cryptografie en soeverein sleutelbeheer
ZTA maakt intensief gebruik van cryptografie: mTLS voor elke verbinding, ondertekende tokens voor elke toegangsbeslissing, en versleutelde datastores. Al deze mechanismen zijn kwetsbaar voor kwantumcomputers die met het Shor-algoritme huidige publiekesleutelcryptografie kunnen breken. Wanneer die dreiging realiteit wordt, valt de technische onderbouwing van ZTA weg als er niet tijdig is gemigreerd naar post-quantum cryptografie (PQC).
NIST heeft in 2024 de eerste definitieve PQC-standaarden gepubliceerd: FIPS 203 (ML-KEM, voor sleuteluitwisseling), FIPS 204 (ML-DSA, voor digitale handtekeningen) en FIPS 205 (SLH-DSA). Deze algoritmen zijn integreerbaar in open-source ZTA-stacks, onder andere in OpenSSL 3.x via de OQS-provider van het Open Quantum Safe-project, waarmee mTLS-verbindingen in OpenZiti kwantumbestendig worden gemaakt.
Soeverein sleutelbeheer betekent dat de private sleutels die aan de basis liggen van dit alles, nooit de eigen infrastructuur verlaten. HashiCorp Vault (open-source editie) of de Europese equivalent Infisical bieden een on-premise key management service die integreert met OPA als Policy Engine. Hiermee blijft de volledige cryptografische keten onder eigen jurisdictie, een vereiste die niet alleen voortvloeit uit best practices maar ook uit de interpretatie van NIS-2 artikel 21 lid 2 sub h, dat “gebruik van cryptografie en, waar van toepassing, versleuteling” als verplichte maatregel noemt.
De globale markt voor zero trust security wordt naar verwachting 60,7 miljard dollar waard in 2027 (MarketsandMarkets, 2023), wat de brede erkenning van dit model weerspiegelt. Voor soevereine Europese organisaties is de richting echter niet de marktgroei maar de technische onafhankelijkheid: een ZTA waarvan alle lagen, van identiteitstoken tot versleuteld datapakket, onder eigen regie en binnen eigen jurisdictie functioneren.
FAQ: Zero trust architecture en soevereine infrastructuur
Is zero trust architecture volledig uitrolbaar zonder Amerikaanse clouddiensten?
Ja. De vijf ZTA-pijlers zijn implementeerbaar met open-source tools zoals OpenZiti, Keycloak en OpenPolicyAgent die volledig on-premise of op Europese infrastructuur draaien, zonder afhankelijkheid van AWS, Azure of Google Cloud.
Vervangt ZTA de verplichting tot AVG-naleving?
Nee. ZTA is een beveiligingsarchitectuur die AVG-naleving technisch ondersteunt, maar juridische verplichtingen rondom toestemming, verwerkersovereenkomsten en dataminimalisatie blijven volledig van toepassing en vallen buiten de scope van ZTA zelf.
Welk NIS-2-artikel is het meest direct van toepassing op ZTA-implementatie?
Artikel 21 van NIS-2 (Richtlijn EU 2022/2555) verplicht essentiële en belangrijke entiteiten tot passende technische en organisatorische maatregelen, waaronder toegangsbeheer, authenticatie en netwerksegmentatie. Dit zijn precies de domeinen die ZTA adresseert.
Wat is het verschil tussen NIST SP 800-207 en het CISA Zero Trust Maturity Model v2.0?
NIST SP 800-207 beschrijft de architectuur en kernprincipes van ZTA op conceptueel niveau. Het CISA Zero Trust Maturity Model v2.0 is een volwassenheidsmodel met vijf pijlers en vier rijpheidsniveaus (traditioneel, initieel, geavanceerd, optimaal) dat organisaties helpt hun huidige staat te beoordelen en een migratiepad te plannen.
Hoe werkt de integratie van post-quantum cryptografie met ZTA?
Post-quantum cryptografie vervangt de onderliggende versleutelingsalgoritmen in ZTA-componenten, met name in de wederzijdse TLS-verbindingen en sleuteluitwisseling. NIST heeft in 2024 de eerste PQC-standaarden gepubliceerd (FIPS 203, 204 en 205) die integreerbaar zijn in open-source ZTA-stacks zonder afhankelijkheid van externe sleutelbeheerservices van hyperscalers.
