Zero-trust architectuur is een beveiligingsmodel waarbij geen enkele gebruiker, apparaat of netwerksegment standaard als vertrouwd wordt beschouwd, ongeacht de fysieke of logische locatie. In plaats van een buitengrens (perimeter) te bewaken, valideert elke toegangspoging opnieuw wie of wat toegang vraagt, via welk apparaat, onder welke omstandigheden en tot welke specifieke bron. Voor Europese organisaties die migreren van Big Tech-cloudplatformen naar soevereine of on-premise omgevingen is dit model geen optie maar een fundament.
Waarom zero-trust cruciaal is bij de migratie naar soevereine cloud
Wanneer een organisatie vertrekt bij Microsoft 365 of Google Workspace, vervalt de geïntegreerde beveiligingsenvelop die de hyperscaler leverde. De identiteitslaag (Azure Active Directory), de conditionele toegangsregels en de ingebouwde detectiemechanismen bestaan niet meer in de nieuwe omgeving, tenzij je ze bewust opnieuw opbouwt.
Tegelijk neemt het aanvalsoppervlak bij hybride werknemers juist toe: medewerkers verbinden vanuit thuisnetwerken, koffietentjes en buitenlandse locaties. In een perimetermodel beschermde het bedrijfsnetwerk je data. In een soevereine omgeving zonder hyperscaler-perimeter moet je de bescherming verplaatsen naar identiteit, apparaat en data zelf. Dat is precies wat zero-trust doet.
Volgens het Verizon Data Breach Investigations Report 2023 is 82% van de datalekken waarbij een cloudcomponent betrokken is, terug te voeren op gegevens opgeslagen bij externe cloudproviders. Dit benadrukt dat de locatie van data en de bijbehorende toegangscontrole onlosmakelijk verbonden zijn.
Zero-trust implementeren zonder afhankelijkheid van hyperscaler-identiteitsproviders
De kern van een vendor-onafhankelijke zero-trust implementatie ligt in het scheiden van identiteitsbeheer, netwerksegmentatie en beleidshandhaving als aparte, interoperabele lagen.
Identiteitslaag: open en zelfbeheerd
Organisaties die Microsoft Entra ID (voorheen Azure AD) verlaten, kunnen identiteits- en toegangsbeheer inrichten met open-source identity providers zoals Keycloak of authentik, beide te draaien op eigen infrastructuur. Ze ondersteunen OpenID Connect en SAML 2.0, wat compatibiliteit biedt met Nextcloud, Collabora Online en andere Europese werkplekapplicaties. Het koppelen van hardwaretokens (FIDO2) aan deze identity providers biedt een sterk authenticatieniveau zonder afhankelijkheid van een US-cloudprovider.
Microsegmentatie
Microsegmentatie is het opdelen van het interne netwerk in kleine, op zichzelf staande segmenten met expliciete toegangsregels per workload of applicatie. In een traditionele perimeterarchitectuur heeft een aanvaller na binnenkomst vaak laterale bewegingsvrijheid. Microsegmentatie beperkt deze vrijheid radicaal: zelfs wanneer één segment gecompromitteerd is, blijven andere segmenten geïsoleerd.
In een soevereine on-premise omgeving implementeer je microsegmentatie via software-defined networking (SDN) of firewallregels op hostniveau. Tools zoals Cilium (eBPF-gebaseerd) of OPNsense bieden dit zonder afhankelijkheid van proprietaire cloudnetwerken. NIST SP 800-207 beschrijft microsegmentatie expliciet als een van de zeven kernprincipes van zero-trust.
SASE in een soevereine context
SASE (Secure Access Service Edge) combineert netwerkbeveiliging (SD-WAN, CASB, FWaaS) met identiteitsgestuurde toegang in één architectuur. Veel commerciële SASE-diensten draaien op US-infrastructuur en vallen daarmee onder de reikwijdte van de CLOUD Act. Europese organisaties in gereguleerde sectoren kunnen SASE-functies anders invullen: door een private edge-laag op te bouwen met componenten die in eigen datacenters of bij gecertificeerde Europese colocation-partners draaien. Alternatieven zoals Netmaker of Tailscale (zelfgehost) bieden onderdelen van SASE-functionaliteit zonder externe clouddependentie.
Normenkaders: NIST, BIO2 en de NIS-2 Implementing Regulation vergeleken
Voor compliance officers is het essentieel te begrijpen hoe internationale en Europese normenkaders zich verhouden bij de inrichting van zero-trust.
| Normenkader | Herkomst | Toepassingsgebied | Relatie tot zero-trust |
|---|---|---|---|
| NIST SP 800-207 | VS (NIST) | Universeel, sector-onafhankelijk | Definieert de zeven kernprincipes van zero-trust architectuur |
| NIST SP 1800-35 | VS (NIST NCCoE) | Praktische implementatie | Beschrijft concrete implementatiescenarios met bestaande technologieën |
| BIO2 | Nederland (Rijksoverheid) | Verplicht voor overheidsorganen | ISO 27001/27002-gebaseerd; zero-trust als invulling van toegangsbeheervereisten |
| NIS-2 Implementing Regulation (EU) 2024/2690 | Europese Commissie | Essentiële en belangrijke entiteiten EU | Eist toegangsbeheer, netwerksegmentatie en monitoring: direct geadresseerd door zero-trust |
NIST SP 800-207 is het meest geciteerde referentiemodel voor zero-trust architectuur wereldwijd. Het is geen wetgeving maar een technisch raamwerk. BIO2 is voor Nederlandse overheidsorganisaties wél een verplicht kader. In de praktijk gebruiken compliance teams BIO2 als compliancetoets en SP 800-207 als technisch blauwdruk. De NIS-2 Implementing Regulation (EU) 2024/2690 vult de NIS-2-richtlijn aan met concrete technische vereisten voor beveiligingsmaatregelen, waaronder identiteitsbeheer en netwerksegmentatie, die naadloos aansluiten bij de zero-trust principes uit SP 800-207.
NIS-2 en GDPR: welke vereisten adresseert zero-trust direct?
Zero-trust architectuur adresseert meerdere verplichtingen uit NIS-2 en de AVG/GDPR tegelijkertijd. Voor toezichthouders is het nuttig dit expliciet te documenteren.
Artikel 21 van de NIS-2-richtlijn verplicht entiteiten tot passende technische en organisatorische maatregelen, waaronder toegangsbeheer, netwerksegmentatie en monitoring van beveiligingsgebeurtenissen. Een gedocumenteerde zero-trust architectuur met continue toegangsvalidatie, microsegmentatie en gecentraliseerde logverzameling biedt directe invulling van deze vereisten.
Vanuit de AVG is het principe van dataminimalisatie (artikel 5) en het beperken van toegang tot persoonsgegevens tot uitsluitend bevoegde personen (artikel 32) rechtstreeks te vertalen naar zero-trust beleid: alleen geauthenticeerde, geautoriseerde en gecontroleerde toegang tot specifieke databronnen, gedocumenteerd via auditlogs.
Het IBM Cost of a Data Breach Report 2023 toont aan dat organisaties zonder enige zero-trust implementatie gemiddeld 1 miljoen dollar meer kosten dragen bij een datalek dan organisaties met een volwassen zero-trust implementatie. Dit gegeven is relevant bij het onderbouwen van de businesscase richting bestuur en toezichthouders.
Operationele uitdagingen bij migratie van perimeterbeveiliging naar zero-trust
De overgang van een perimetermodel naar zero-trust is geen knopomzetting maar een meerjarig architectureel traject, zeker in organisaties met legacy-systemen.
De grootste operationele obstakels zijn: legacy-applicaties die geen moderne authenticatieprotocollen ondersteunen (SAML, OIDC), onvolledige inventarisatie van alle activa en identiteiten (inclusief serviceaccounts en machine-identiteiten), en weerstand van medewerkers die gewend zijn aan brede netwerktoegang zonder frequente herverificatie.
Een praktische aanpak is het werken in zones. Identificeer eerst de meest gevoelige datasegmenten en omring die als eerste met zero-trust controles. Applicaties die OIDC niet ondersteunen, kun je tijdelijk via een authenticatieproxy (zoals OAuth2 Proxy) voorzien van een moderne toegangslaag zonder de applicatie zelf aan te passen. Hybride medewerkers vereisen duidelijk beleid over apparaatbeheer: een BYOD-apparaat zonder Mobile Device Management (MDM) kan geen vertrouwde entiteit zijn in een zero-trust model.
Voorkomen van nieuwe leveranciersafhankelijkheid bij zero-trust
Het is een reëel risico dat organisaties die Big Tech verlaten, via zero-trust tooling opnieuw in een vendor lock-in terechtkomen. Commerciële zero-trust platforms van Zscaler, Palo Alto of Cloudflare bieden volledige SASE- en zero-trust stacks, maar draaien op US-infrastructuur en zijn jurisdictioneel niet soeverein.
De preventieve maatregel is architecturele modulariteit: kies componenten per functie (identiteit, netwerk, eindpuntbeheer, SIEM) en zorg dat elk component vervangbaar is via open standaarden. Vermijd identity providers die uitsluitend eigen proprietary formaten hanteren voor gebruikersdata. Contractueel vastleggen van data-exportrechten en interoperabiliteitsvereisten is even belangrijk als de technische keuze zelf.
De NIS-2 Implementing Regulation (EU) 2024/2690 bevestigt dat de verantwoordelijkheid voor risicobeoordeling van leveranciers bij de entiteit zelf ligt. Dit betekent dat ook de keuze voor een zero-trust platform onderdeel is van de supply chain security verplichtingen onder NIS-2.
De Europese Commissie rapporteert dat de NIS-2-richtlijn toezicht verplicht op meer dan 100.000 entiteiten in de EU, een aanzienlijke uitbreiding ten opzichte van de eerste NIS-richtlijn. Voor al deze organisaties geldt dat leveranciersrisico’s onder het toepassingsbereik van de richtlijn vallen.
FAQ: zero-trust architectuur en soevereine cloud
Is zero-trust architectuur hetzelfde als een VPN vervangen?
Nee. Een VPN biedt netwerktoegang na authenticatie, waarna een gebruiker breed toegang heeft tot het netwerk. Zero-trust veronderstelt dat geen enkele verbinding of gebruiker standaard vertrouwd is, ook niet na authenticatie. Elke toegangspoging wordt continu gevalideerd op basis van identiteit, apparaatstatus en context.
Kan ik zero-trust implementeren zonder een cloudprovider zoals Microsoft of Google?
Ja. Zero-trust is een architectuurprincipe, geen product van een specifieke leverancier. Je kunt identity providers zoals Keycloak of authentik on-premise draaien, microsegmentatie uitvoeren met open standaarden, en SASE-functies inrichten met EU-gebaseerde of zelfbeheerde oplossingen. NIST SP 1800-35 beschrijft meerdere implementatiescenarios op basis van vendor-neutrale componenten.
Wat is het verschil tussen NIS-2 en de NIS-2 Implementing Regulation (EU) 2024/2690?
De NIS-2-richtlijn stelt de brede vereisten vast voor cybersecurity bij essentiële en belangrijke entiteiten. De Implementing Regulation (EU) 2024/2690 concretiseert deze vereisten voor specifieke sectoren en beschrijft de minimale technische en organisatorische maatregelen, waaronder toegangsbeheer en netwerksegmentatie, die direct aansluiten op zero-trust principes.
Hoe verhoudt BIO2 zich tot NIST SP 800-207 bij de inrichting van zero-trust voor Nederlandse overheidsorganisaties?
BIO2 is gebaseerd op ISO 27001 en ISO 27002 en vormt het verplichte kader voor Nederlandse overheidsorganen. NIST SP 800-207 biedt een diepgaander architectuurmodel specifiek voor zero-trust. In de praktijk gebruikt een Nederlandse overheidsorganisatie BIO2 als compliancekader en SP 800-207 als technisch referentiemodel voor de inrichting van de zero-trust architectuur.
Wat zijn de grootste valkuilen bij zero-trust migratie voor organisaties met legacy-systemen?
De grootste valkuilen zijn: het ontbreken van machine-identiteiten voor systemen die geen moderne authenticatieprotocollen ondersteunen, het nalaten van volledige assetinventarisatie waardoor blinde vlekken ontstaan, en het te snel afschaffen van perimetercontroles voordat de identiteits- en microsegmentatielagen volledig operationeel zijn. Een gefaseerde migratieaanpak per applicatiedomein vermindert deze risico’s.
