Zero trust soevereine infrastructuur is een beveiligingsarchitectuur waarbij geen enkel netwerksegment, gebruiker of apparaat automatisch vertrouwen geniet, en waarbij alle gegevensbeheer plaatsvindt binnen een juridisch en technisch controleerbare omgeving die buiten de reikwijdte valt van Amerikaanse extraterritoriale wetgeving zoals de CLOUD Act en de Patriot Act. Voor compliance officers en IT-beslissers in de publieke sector, de juridische wereld en andere gereguleerde sectoren is dit geen theoretisch ideaal, maar een aantoonbare noodzaak.
Van perimeterdenken naar continue verificatie
Het traditionele perimetermodel beschermde de organisatie als een kasteel met een slotgracht: wie binnen de muren was, werd vertrouwd. Die aanname is fundamenteel achterhaald zodra medewerkers op afstand werken, applicaties in meerdere clouds draaien en aanvallers zich lateraal door netwerken bewegen nadat ze één toegangspunt hebben gecompromitteerd.
NIST SP 800-207, de gezaghebbende Amerikaanse referentiestandaard voor zero trust architectuur, formuleert zeven kernprincipes. Alle databronnen en diensten worden als resources beschouwd, ongeacht hun fysieke locatie. Netwerktoegang wordt per sessie en per resource toegekend, en de beslissing wordt continu heroverwogen op basis van gedrag, apparaatstatus en contextinformatie. Er is geen permanent vertrouwde zone.
“Zero trust is geen product dat je koopt, maar een strategie die je inbedt in elk onderdeel van de architectuur, van identiteitsbeheer tot aan de netwerklaag.” (NIST SP 800-207)
TNO introduceerde het concept van Implied Trust Zones: onbedoelde vertrouwensrelaties die ontstaan wanneer systemen impliciet gegevens uitwisselen zonder expliciete beleidscontrole. In een soevereine architectuur moeten deze zones systematisch in kaart worden gebracht en worden voorzien van expliciete verificatiemechanismen.
Zero trust implementeren zonder Big Tech-identiteitsplatforms
De implementatie van zero trust vereist een identity provider (IdP) en policy engine die buiten de invloedssfeer van Amerikaanse wetgeving opereren. Organisaties die Microsoft Azure Active Directory of Google Identity gebruiken, plaatsen hun identiteits- en toegangsdata bij Amerikaanse bedrijven die juridisch verplicht kunnen zijn gegevens te verstrekken aan Amerikaanse autoriteiten.
Soevereine alternatieven zijn beschikbaar. Open-source platforms zoals Keycloak ondersteunen OpenID Connect, SAML 2.0 en FIDO2-hardwaresleutels volledig, en kunnen on-premise of bij een Europese hostingpartij worden gehost. De policy engine, die per verzoek beslist of toegang wordt verleend, kan worden ingericht met open standaarden en auditlogging die volledig onder eigen beheer staat.
“Organisaties mogen niet langer vertrouwen op de netwerklocatie als vertrouwensindicator. Verificatie moet continu zijn en op basis van meerdere signalen.” (NCSC Nederland, Zero Trust-richtlijn)
Het NCSC publiceert richtlijnen die specifiek zijn gericht op Nederlandse overheids- en kritieke-sectororganisaties. De NCSC Zero Trust-richtlijn benoemt micro-segmentatie, device health attestation en sterk identiteitsbeheer als de drie pijlers waarop de nationale implementatieaanpak is gebaseerd. Deze richtlijn sluit aan op zowel NIST SP 800-207 als op de BIO2, de Baseline Informatiebeveiliging Overheid versie 2, die van kracht is voor Nederlandse overheidsorganisaties en aansluit op ISO 27001:2022.
NIS-2, AVG en zero trust: een juridisch-technische driehoek
Zero trust is niet alleen een technisch concept maar ook een juridisch verdedigingsinstrument. NIS-2 artikel 21 verplicht organisaties in de reikwijdte van de richtlijn tot aantoonbare technische en organisatorische beveiligingsmaatregelen, waaronder toegangscontrole, versleuteling en beleid voor incidentrespons. De zorgplicht is risicogebaseerd: toezichthouders verwachten dat organisaties kunnen aantonen welke afwegingen zij hebben gemaakt.
Zero trust levert de architecturele invulling van artikel 21. Continue verificatie, minimale rechten (least privilege) en volledige auditlogboeken vormen samen een documenteerbare beveiligingshouding. Bovendien sluit het principe van minimale toegang direct aan op het AVG-vereiste van gegevensminimalisatie: een medewerker heeft alleen toegang tot de persoonsgegevens die strikt noodzakelijk zijn voor de uit te voeren taak, en die toegang vervalt automatisch wanneer de context wijzigt.
| Verplichting | Wettelijke grondslag | Zero trust-invulling |
|---|---|---|
| Toegangscontrole op basis van minimale rechten | NIS-2 artikel 21 lid 2(i), AVG artikel 5 lid 1(c) | Dynamische toegangspolicies per sessie, least privilege enforcement |
| Versleuteling in transit en at rest | NIS-2 artikel 21 lid 2(h) | Mutual TLS, end-to-end versleuteling, soeverein sleutelbeheer |
| Detectie en respons op incidenten | NIS-2 artikel 21 lid 2(b) | Continue monitoring, anomaliedetectie op basis van gedragspatronen |
| Beveiliging van de toeleveringsketen | NIS-2 artikel 21 lid 2(d) | Zero trust voor derde partijen: geen impliciete toegang voor leveranciers |
Post-kwantumversleuteling en soeverein sleutelbeheer
Een zero trust architectuur is slechts zo sterk als de cryptografie die haar draagt. Huidige RSA- en elliptische-curvealgoritmen zijn kwetsbaar voor aanvallen met voldoende krachtige kwantumcomputers. Dreigingsactoren passen nu al een “harvest now, decrypt later”-strategie toe: versleuteld verkeer wordt opgeslagen in afwachting van kwantumcapaciteit die het later kan ontsleutelen.
NIST publiceerde in 2024 de eerste definitieve post-kwantumstandaarden: FIPS 203 (ML-KEM, voor sleuteluitwisseling), FIPS 204 (ML-DSA, voor digitale handtekeningen) en FIPS 205 (SLH-DSA, als aanvullend handtekeningschema). Organisaties die nu beginnen met een cryptografische inventaris, bouwen de tijdsbuffer in die nodig is voor een gecontroleerde migratie.
Soeverein sleutelbeheer betekent dat de private sleutels nooit het eigen beheer verlaten. In een zero trust context impliceert dit een Hardware Security Module (HSM) die on-premise of bij een gecertificeerde Europese partner is geplaatst, gecombineerd met een sleutelrotatieprocedure die is gedocumenteerd in het beveiligingsbeleid. ENISA benadrukt in het Threat Landscape 2023 dat aanvallen op de toeleveringsketen en ransomware de voornaamste dreigingscategorieën blijven voor Europese overheids- en kritieke-infrastructuurorganisaties. Een compromittering van het sleutelbeheer via een externe leverancier is daarmee een reëel risico.
Zero trust-roadmap: van beleid naar implementatie
Compliance officers en IT-beslissers die een zero trust-roadmap willen opstellen, hebben baat bij een gestructureerde aanpak die aansluit bij bestaande kaders. BIO2 biedt voor Nederlandse overheidsorganisaties het controlekader; het EUCS van ENISA biedt certificeringscriteria voor clouddienstverleners die als soeverein alternatief worden overwogen.
Een bruikbare volgorde van stappen:
- Inventarisatie van assets en vertrouwensrelaties: Breng alle systemen, data-opslagplaatsen, identiteiten en onderlinge verbindingen in kaart, inclusief de Implied Trust Zones die TNO beschrijft. Bepaal welke systemen nu impliciet vertrouwen genieten zonder expliciete verificatie.
- Classificatie op basis van gevoeligheid en jurisdictie: Welke data valt onder de AVG, onder sector-specifieke regelgeving (zoals de Wet beveiliging netwerk- en informatiesystemen 2 na implementatie van NIS-2) of onder exportcontroleregels? Bepaal voor elke categorie de minimale vereiste soevereiniteitsgarantie.
- Vervanging van Big Tech-identiteitsplatforms: Migreer de IdP naar een on-premise of Europees gehoste oplossing. Stel MFA-beleid in met hardwaresleutels of authenticator-apps die geen data naar Amerikaanse servers sturen.
- Micro-segmentatie en least privilege: Herzie bestaande netwerksegmentatie en rechtenstructuren. Gebruik rolgebaseerde toegangscontrole (RBAC) in combinatie met attribuutgebaseerde controle (ABAC) voor fijnmazige beslissingen.
- Cryptografische migratieplanning: Voer een cryptografische inventaris uit en stel een migratieplan op naar de NIST-post-kwantumstandaarden. Documenteer dit als onderdeel van het risicoregister onder BIO2.
- Continue monitoring en auditlogging: Implementeer SIEM-functionaliteit die volledig onder eigen beheer staat of bij een gecertificeerde Europese aanbieder is geplaatst. Zorg dat logs niet naar Amerikaanse clouddiensten worden doorgestuurd.
Voor organisaties die overstappen van Microsoft 365 naar een soevereine werkplek op basis van Nextcloud geldt dat de zero trust-implementatie begint bij de authenticatielaag: de Nextcloud-instantie, de IdP en de bestandsopslaglaag moeten elk afzonderlijk voldoen aan de beleidsregels, inclusief end-to-end-versleuteling voor bestanden die gevoelige persoonsgegevens bevatten. EUCS-certificering van de hostingpartij biedt een objectief aanknopingspunt voor de verantwoordingsplicht tegenover de Autoriteit Persoonsgegevens.
NCSC-richtlijnen en NIST SP 800-207 voor de Nederlandse praktijk
Nederlandse overheids- en gereguleerde organisaties hebben twee primaire referentiekaders voor de operationalisering van zero trust. NIST SP 800-207 biedt het internationaal geaccepteerde technische blauwdruk en is door het NCSC expliciet aangehaald als richtinggevend document. De NCSC Zero Trust-richtlijn vertaalt de NIST-principes naar de Nederlandse context, met specifieke aandacht voor de relatie tot de BIO2-controls en de meldplicht onder de Wbni (de nationale implementatie van NIS-2).
Het NCSC benadrukt dat zero trust geen eenmalig project is maar een operationeel principe dat wordt ingebed in het dagelijks beheer: patchbeleid, leveranciersrisicobeheer, personeelsuitstroom en wijzigingsbeheer vallen allemaal onder de continue verificatielogica. Organisaties die dit aantoonbaar hebben geïmplementeerd, staan sterker in het geval van een NCSC-advies of een AP-onderzoek naar een datalek.
FAQ: zero trust soevereine infrastructuur
Wat is het verschil tussen zero trust en een traditioneel perimetermodel?
Een perimetermodel gaat ervan uit dat alles binnen het netwerk vertrouwelijk is. Zero trust vertrekt vanuit het tegenovergestelde uitgangspunt: geen enkel verzoek, apparaat of gebruiker is automatisch betrouwbaar, ongeacht de netwerklocatie. Elke toegangspoging vereist continue verificatie op basis van meerdere signalen zoals apparaatstatus, gebruikersgedrag en contextinformatie.
Kan ik zero trust implementeren zonder Microsoft Azure AD of Google Workspace?
Ja. Open-source identiteitsplatforms zoals Keycloak bieden volwaardige ondersteuning voor OpenID Connect, SAML 2.0 en FIDO2, en kunnen on-premise of bij een Europese hostingpartij worden gehost zonder dat identiteitsdata buiten de eigen jurisdictie terechtkomt. Dit elimineert de extraterritoriale risico’s die verbonden zijn aan Amerikaanse identiteitsplatforms.
Hoe verhoudt NIS-2 artikel 21 zich tot zero trust?
NIS-2 artikel 21 verplicht organisaties tot maatregelen op het gebied van toegangscontrole, versleuteling en incidentbeheer. Zero trust levert een architecturele invulling van deze verplichtingen: continue verificatie, minimale rechten en volledige auditlogboeken vormen het bewijs van zorgplicht tegenover toezichthouders zoals de Rijksinspectie Digitale Infrastructuur.
Wanneer moet ik beginnen met de overgang naar post-kwantumversleuteling?
Nu. NIST publiceerde in 2024 de eerste definitieve post-kwantumstandaarden (FIPS 203, 204 en 205). Organisaties die uitsluitend RSA of elliptische-curvecryptografie gebruiken, lopen het risico dat opgeslagen versleutelde data in de toekomst retroactief wordt ontsleuteld via de “harvest now, decrypt later”-strategie. Een cryptografische inventaris en migratieplan behoren tot de risicobeheertaak van de CISO en moeten worden opgenomen in het BIO2-risicoregister.
Wat is de relevantie van EUCS voor de keuze van een soevereine clouddienst?
Het EU Cybersecurity Certification Scheme for Cloud Services van ENISA stelt eisen aan clouddienstverleners op het gebied van gegevenslocalisatie, toegangsbeheer en transparantie. Voor organisaties die onder NIS-2 of BIO2 vallen, biedt een EUCS-gecertificeerde aanbieder een objectief en controleerbaar fundament voor de verantwoordingsplicht richting toezichthouders en auditors.
