Dataclassificatie in een soevereine IT-architectuur is het systematische proces waarbij elke dataset een gevoeligheidslabel krijgt, op basis waarvan opslaglocatie, toegangsrechten, encryptiestandaard en juridische bewaarplicht worden bepaald. Zonder dit fundament zijn begrippen als zero-trust, quantum-veilige cryptografie en soevereine cloud slechts retoriek zonder operationele grondslag.
Waarom dataclassificatie de voorwaarde is, niet de opvolger
Zero-trust-architectuur en post-quantum cryptografie (PQC) veronderstellen allebei dat een organisatie weet wat ze beschermt. Dat klinkt vanzelfsprekend, maar het ontbreekt in de praktijk bij een opvallend groot deel van Europese overheidsorganisaties.
Meer dan 80% van alle bedrijfsdata is ongestructureerd, volgens onderzoek van het IBM Institute for Business Value (2023). E-mails, contracten, vergaderverslagen en juridische adviezen bevatten persoonsgegevens en vertrouwelijke informatie die nooit expliciet zijn gelabeld. In een zero-trust-model beslist het systeem op basis van identiteit, context én data-gevoeligheid of toegang wordt verleend. Ontbreekt de classificatie, dan vervalt de derde variabele en werkt zero-trust niet volledig.
Voor PQC geldt hetzelfde principe. De overgang naar quantum-veilige algoritmen, zoals CRYSTALS-Kyber voor sleuteluitwisseling en CRYSTALS-Dilithium voor digitale handtekeningen, vereist een crypto-inventaris die gekoppeld is aan dataklassen. NIST schat dat binnen 10 tot 15 jaar voldoende krachtige kwantumcomputers beschikbaar kunnen zijn voor cryptografische aanvallen op huidige RSA- en ECDSA-implementaties (NIST Post-Quantum Cryptography Standardization, 2024). Een gereguleerde organisatie die vandaag haar meest gevoelige data niet heeft geclassificeerd, weet niet welke versleutelde archieven als eerste moeten worden gemigreerd.
NIST stelt in SP 1800-39 (Implementing Data Classification Practices) expliciet: “Organizations that lack a mature data classification program will struggle to implement zero trust because they cannot define what needs to be protected or at what level.” Dit document biedt een praktische referentie-architectuur voor het koppelen van classificatieniveaus aan toegangscontroles en encryptiebeleid.
Classificatieniveaus en concrete opslagkeuzes
Voor Nederlandse overheidsinstellingen zijn de classificatieniveaus vastgelegd in de Baseline Informatiebeveiliging Overheid versie 2 (BIO2) en gebaseerd op het Besluit Voorschrift Informatiebeveiliging Rijksdienst Bijzondere Informatie (VIRBI). De niveaus en bijbehorende opslagimplicaties zijn als volgt:
| Classificatieniveau | Definitie | Toegestane opslaglocatie | Encryptievereiste |
|---|---|---|---|
| Openbaar | Geen beperking op verspreiding | Public cloud, CDN, on-premise | Transport-encryptie (TLS) |
| Intern / Departementaal vertrouwelijk | Uitsluitend voor intern gebruik | Private cloud (EU), on-premise | TLS + versleuteling at rest |
| Vertrouwelijk | Schade bij ongeautoriseerde openbaarmaking | On-premise of gecertificeerde private cloud (geen VS-jurisdictie) | End-to-end encryptie, MFA verplicht |
| Staatsgeheim (STG Confidentieel t/m Zeer Geheim) | Ernstige schade aan nationale veiligheid | Uitsluitend geaccrediteerde on-premise systemen | Goedgekeurde nationale cryptografie (NLNCSA) |
De ENISA-dataclassificatierichtlijnen ondersteunen dit model en benadrukken dat de keuze voor een opslaglocatie altijd moet volgen uit het classificatieniveau, niet andersom. Organisaties die beginnen met een cloudcontract en daarna pas nadenken over welke data erin mag, werken het causaliteitsbeginsel van beveiliging tegen.
Open-source en Europese tooling als alternatief voor Microsoft Purview
Microsoft Purview is de de-facto marktstandaard voor dataclassificatie in Microsoft 365-omgevingen, maar brengt dezelfde jurisdictionele risico’s mee als het bredere Microsoft-ecosysteem: telemetriedata vertrekt naar Amerikaanse servers en het product is onlosmakelijk verbonden met een Amerikaans juridisch kader.
Europese en open-source alternatieven die vergelijkbare functionaliteit bieden zonder deze afhankelijkheid:
- Apache Atlas: open-source metadata-beheer en data-lineage-platform, breed ingezet in de financiële sector en overheid voor het catalogiseren en labelen van gestructureerde datastores.
- OpenMetadata: moderne data-catalogus met ingebouwde classificatieregels, REST API en integratiemogelijkheden met documentopslagsystemen via webhooks.
- Mayan EDMS: Europees documentbeheersysteem dat metadata-labels en toegangsregels koppelt aan afzonderlijke documenten; geschikt voor ongestructureerde data in juridische en overheidssectoren.
- Nextcloud Files met de Automated Tagging App: Native classificatielabels binnen Nextcloud, koppelbaar aan retentiebeleid en toegangscontroles via de ingebouwde rechtenbeheermodule.
Geen van deze tools vervangt Microsoft Purview op elk deelgebied, maar in combinatie bieden ze een vergelijkbare classificatieketen die volledig onder eigen beheer kan worden gehouden. ENISA benadrukt in haar Good Practices for Data Security: “Data classification is not a compliance checkbox. It is the foundation upon which all access control, encryption policy and incident response depend.”
Compliance-verankering: AVG artikel 25, NIS-2 artikel 21 en BIO2
Dataclassificatiebeleid raakt drie overlappende juridische verplichtingen die voor Nederlandse overheids- en regulated-sectororganisaties tegelijk van kracht zijn.
AVG artikel 25 verplicht privacy by design en by default: bij het ontwerp van elk verwerkingssysteem moeten technische maatregelen zijn ingebouwd die de bescherming van persoonsgegevens borgen. Dataclassificatie is de processtap waarmee een organisatie identificeert welke datasets persoonsgegevens bevatten, zodat standaard alleen de minimaal noodzakelijke verwerking plaatsvindt en versleuteling en toegangsbeperking automatisch worden afgedwongen.
NIS-2 artikel 21 verplicht essentiële en belangrijke entiteiten tot passende en proportionele technische, operationele en organisatorische maatregelen op basis van risico. Zonder dataclassificatie is een risicobeoordeling per definitie onvolledig: de organisatie weet niet welke systemen kritieke data bevatten en kan de proportionaliteitseis niet aantonen tegenover de toezichthouder, in Nederland het Nationaal Cyber Security Centrum (NCSC) en het Agentschap Telecom.
BIO2 voegt daar voor overheidsorganisaties een expliciete norm aan toe: de BIO2 stelt dat elke overheidsinstelling een actuele data-classificatieprocedure moet hebben, inclusief eigenaarschap per classificatieniveau en een periodieke herclassificatieplicht. Circa 60% van de EU-lidstaten heeft nog geen volledig geïmplementeerd dataclassificatiebeleid op nationaal overheidsniveau, aldus het ENISA Threat Landscape Report (2023). Dat maakt BIO2-naleving op dit punt een actief aandachtspunt voor auditors.
Integratie met Nextcloud en soevereine IRM-oplossingen
Nextcloud biedt een soevereine werkplekoplossing die nauw integreert met dataclassificatiebeleid, mits de configuratie bewust is ingericht. De Nextcloud Automated Tagging App koppelt metadata-labels aan bestanden op het moment van upload of op basis van patroonherkenning in de bestandsnaam en locatie. Deze labels worden doorgegeven aan de rechtenbeheermodule, waardoor toegangsrechten, deelrechten en downloadmogelijkheden automatisch worden afgestemd op het classificatieniveau.
Voor Information Rights Management (IRM) kan Nextcloud worden gecombineerd met Collabora Online (de open-source variant van LibreOffice Online) en een interne IRM-laag die documenten versleutelt met een sleutel die gebonden is aan de classificatie. Een document met het label “Vertrouwelijk” kan zo worden geconfigureerd dat het buiten de Nextcloud-omgeving niet te openen is zonder expliciete autorisatie via de interne identity provider, bijvoorbeeld Keycloak of LDAP.
De meerwaarde ten opzichte van Microsoft Purview in combinatie met Microsoft 365 is juridisch van aard: bij een Nextcloud-implementatie op eigen servers of bij een Europese hoster zonder Amerikaanse moedermaatschappij, zoals een Zwitserse of Duitse aanbieder, valt de gehele classificatieketen onder Europese jurisdictie. Er is geen telemetrie die buiten de organisatie treedt en geen toegangsrecht voor buitenlandse autoriteiten op grond van de CLOUD Act of de Patriot Act.
Een migratie van Microsoft 365 naar een soevereine Nextcloud-werkplek vereist dat het dataclassificatiebeleid als eerste wordt vastgesteld. De reden is praktisch: bij migratie worden bestaande bestanden overgezet en hergestructureerd. Dat moment is de meest efficiënte gelegenheid om classificatielabels toe te kennen, eigenaarschap vast te leggen en IRM-regels te activeren. Organisaties die dit uitstellen tot na de technische migratie, introduceren een periode van ongeclassificeerde data in een nieuw systeem, wat zowel compliance-risico’s als beveiligingsgaten creëert.
Praktische implementatiestappen voor compliance officers
Een werkbaar implementatiepad combineert beleidsontwerp met technische tooling en juridische verankering in drie fasen.
Fase 1: Beleidsdefinitie. Stel classificatieniveaus vast die aansluiten op BIO2 en de sectorspecifieke wetgeving. Wijs per classificatieniveau een gegevensbeheerder aan en leg vast welke opslaglocaties zijn toegestaan. Documenteer dit in een verwerkingsregister dat voldoet aan AVG artikel 30 en koppel het expliciet aan artikel 25-maatregelen.
Fase 2: Technische implementatie. Installeer een classificatietool, zoals OpenMetadata of de Nextcloud Automated Tagging App, en voer een initiële scan uit op bestaande ongestructureerde data. Gebruik patroonherkenning voor persoonsgegevens (BSN-nummers, IBAN, e-mailadressen) als startpunt voor automatische labels. Integreer de classificatieresultaten met het SIEM-systeem voor auditlogging.
Fase 3: Quantum-voorbereiding. Combineer de classificatie-uitkomst met een crypto-inventaris op basis van NIST SP 1800-39-methodiek. Identificeer welke datasets met hoog classificatieniveau zijn versleuteld met RSA of ECDH en prioriteer deze voor migratie naar NIST-gestandaardiseerde PQC-algoritmen. Documenteer de migratieplanning als onderdeel van het risicobeheerregister dat NIS-2 artikel 21 vereist.
FAQ
Wat is het verschil tussen dataclassificatie en data-inventarisatie?
Data-inventarisatie brengt in kaart welke data een organisatie heeft en waar die staat. Dataclassificatie voegt daar een gevoeligheidslabel aan toe, zoals openbaar, intern, vertrouwelijk of staatsgeheim, zodat beveiligingsmaatregelen en opslagkeuzes daarop kunnen worden afgestemd. Beide zijn noodzakelijk, maar classificatie stuurt de technische architectuur.
Is Microsoft Purview te vervangen door open-source alternatieven voor een Europese overheidsorganisatie?
Ja. Tooling als Apache Atlas voor metadata-beheer, OpenMetadata voor data-catalogisering en Mayan EDMS voor documentclassificatie bieden vergelijkbare functionaliteit zonder vendor lock-in of afhankelijkheid van Amerikaanse jurisdictie. Deze tools integreren bovendien met Nextcloud via API’s en WebDAV-protocollen.
Hoe verplicht NIS-2 artikel 21 tot dataclassificatie?
NIS-2 artikel 21 eist van essentiële en belangrijke entiteiten passende technische en organisatorische maatregelen op basis van risico. Dataclassificatie is de methode waarmee een organisatie risico’s differentieert: zonder te weten welke data kritisch is, kan het risicobeheer niet proportioneel zijn. Toezichthouders verwachten aantoonbaar beleid.
Hoe koppelt dataclassificatie aan PQC-migratie?
Post-quantum cryptografie moet prioritair worden ingezet voor de meest gevoelige dataverzamelingen. Zonder classificatiebeleid is onbekend welke datasets versleuteld zijn met kwetsbare algoritmen zoals RSA of ECDSA. NIST SP 1800-39 beveelt aan de crypto-inventaris te combineren met de dataclassificatie, zodat migratie naar quantum-veilige algoritmen zoals CRYSTALS-Kyber of CRYSTALS-Dilithium gericht en beheersbaar is.
Wat vereist AVG artikel 25 precies van een dataclassificatieprogramma?
AVG artikel 25 verplicht privacy by design en by default: technische en organisatorische maatregelen moeten al bij het ontwerp van een systeem worden ingebouwd, niet achteraf. Dataclassificatie is hierin de processtap die bepaalt welke persoonsgegevens in een dataset zitten en dus welke beschermingsmaatregelen standaard actief moeten zijn, van versleuteling tot toegangsbeperking.
