Een geopolitiek ontkoppelingsscenario voor hyperscaler-afhankelijkheid is de situatie waarin een Europese organisatie abrupt geen toegang meer heeft tot haar Amerikaanse cloudprovider als gevolg van politieke, juridische of diplomatieke maatregelen buiten haar eigen controle. Dit is geen theoretisch randgeval meer: het ICC-Microsoft-incident van 2025 heeft aangetoond dat ook internationaal gerespecteerde instellingen kwetsbaar zijn.
Concrete scenario’s die cloudtoegang plotseling kunnen blokkeren
Geopolitieke druk op cloudtoegang kan langs meerdere kanalen lopen, elk met een eigen snelheid en juridische grondslag.
Het meest directe risico komt voort uit de Amerikaanse CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018). Op basis van deze wet kunnen Amerikaanse overheidsinstanties cloudproviders zoals Microsoft, Google en Amazon verplichten data te overhandigen die buiten de VS is opgeslagen, zonder dat de betrokken Europese organisatie hiervan op de hoogte hoeft te worden gesteld. De CLOUD Act werkt ook als hefboom: een provider die weigert mee te werken, kan zelf sancties riskeren.
Een tweede scenario betreft exportcontrolewetgeving. De Amerikaanse Export Administration Regulations (EAR) en het Office of Foreign Assets Control (OFAC) kunnen categorieën van entiteiten of landen aanwijzen waarvoor technologiediensten moeten worden gestaakt. Als een Europese organisatie of haar klanten op een dergelijke lijst terechtkomen, kan een Amerikaanse cloudprovider juridisch verplicht zijn de dienstverlening te beëindigen, soms binnen 24 tot 48 uur.
Een derde scenario is politieke druk zonder formele juridische basis. Het ICC-Microsoft-incident van 2025 valt deels in deze categorie: het Internationaal Strafhof in Den Haag, dat vertrouwelijke getuigendossiers en strafrechtelijke bewijsstukken beheert in Microsoft-cloudomgevingen, ondervond dat de Amerikaanse overheid druk uitoefende op Microsoft om de dienstverlening te wijzigen. De casus illustreert dat diplomatieke immuniteit geen bescherming biedt in een commercieel cloudcontract dat onder Amerikaans recht valt.
“Cloudproviders die onder Amerikaanse jurisdictie vallen, kunnen te allen tijde door de Amerikaanse overheid worden verplicht toegang te verlenen tot gegevens, ongeacht waar die gegevens fysiek zijn opgeslagen.” (Max Schrems, voorzitter noyb)
Technische en contractuele exitdrempels
Wie denkt dat een migratie in een crisissituatie snel te regelen is, onderschat de drempels die cloudproviders systematisch opwerpen.
De eerste drempel is data-export. Microsoft 365 en Google Workspace bieden wel exportfuncties, maar grote volumes aan e-mail, SharePoint-bestanden en Teams-opnames zijn niet triviaal te extraheren. Formaten zijn vaak proprietair of vereisen tussenstappen via specifieke API-aanroepen die bewerkelijk zijn zonder technische expertise.
De tweede drempel is de migratietijd. Afhankelijk van de organisatieomvang varieert een volledige migratie van drie maanden voor kleine teams tot anderhalf jaar voor grote organisaties. De grootste vertraging zit in het herinrichten van workflows, gebruikerstraining en het ontkoppelen van derdensystemen die via API’s aan de cloudprovider zijn vastgehangen.
De derde drempel is contractuele: veel grote cloudcontracten bevatten opzegtermijnen van twaalf maanden of langer, gecombineerd met boeteclausules bij vroegtijdige beëindiging. In een crisissituatie betaalt de organisatie dan dubbel: voor de nieuwe omgeving én voor de lopende contractverplichtingen.
De EU Data Act, met name artikelen 25 tot en met 29, legt cloudaanbieders verplichtingen op rond portabiliteit en switching. Per 2025 moeten aanbieders technische interfaces beschikbaar stellen die migratie vergemakkelijken en zijn buitensporige switchingkosten verboden. Deze bepalingen zijn een stap vooruit, maar bieden geen oplossing voor de tijdsdruk van een acute crisissituatie.
| Exitdrempel | Typische impact | Maatregel om risico te beperken |
|---|---|---|
| Data-exportformaten | Weken tot maanden vertraging | Regelmatige exports naar eigen opslag als back-upbeleid |
| API-vergrendeling | Derdensystemen vallen uit | Open standaarden (WebDAV, CalDAV, IMAP) als contracteis |
| Contractuele opzegtermijn | 12 maanden dubbele kosten | Kortere contracten, break-clausules bij soevereiniteitsinbreuken |
| Gebruikersafhankelijkheid | Productiviteitsverlies | Parallelle introductie van soeverein alternatief vóór migratie |
Lessen uit het ICC-Microsoft-incident van 2025
Het ICC-Microsoft-incident van 2025 is inmiddels een referentiecasus voor risicoanalyse van cloudafhankelijkheid in de publieke en juridische sector.
Het Internationaal Strafhof had, zoals veel internationale organisaties, zijn documentbeheer, communicatie en casedossiers voor een aanzienlijk deel in Microsoft-clouddiensten ondergebracht. Toen de Amerikaanse overheid druk uitoefende op Microsoft in het kader van haar bredere diplomatieke confrontatie met het ICC, bleek de organisatie geen operationeel alternatief te hebben en geen contractuele bescherming die service-onderbreking op politieke gronden uitsloot.
De les is niet dat Microsoft als bedrijf bewust kwaad wil, maar dat een commercieel contract dat onder Amerikaans recht valt altijd vatbaar is voor overheidsinterventie. Organisaties die vertrouwelijke juridische, diplomatieke of persoonsgegevens verwerken, kunnen deze kwetsbaarheid niet accepteren als restrisico.
Een noodplan bouwen: geopolitiek cloudrisico in het BCP
Een bedrijfscontinuïteitsplan (BCP) dat geen geopolitiek cloudscenario bevat, is onvolledig. De integratie verloopt in vier stappen.
Stap 1: risicokartering. Inventariseer welke bedrijfsprocessen volledig afhankelijk zijn van één cloudprovider en categoriseer de data naar gevoeligheid en jurisdictierisico. Processen met gerubriceerde, juridische of persoonsgebonden data verdienen de hoogste prioriteit.
Stap 2: uitwijkscenario’s definiëren. Formuleer voor elk kritiek systeem een “Plan B” met een maximale uitwijktijd (Recovery Time Objective) en een maximum aan dataverlies (Recovery Point Objective). Het scenario “hyperscaler niet bereikbaar gedurende 72 uur” moet worden doorgerekend net als een stroomstoring of ransomwareaanval.
Stap 3: technische voorbereiding. Dit omvat minimaal: geautomatiseerde, periodieke data-exports naar een soevereine opslaglocatie (on-premise of bij een aantoonbaar Europese aanbieder), het handhaven van open dataformaten en open API-standaarden, en het testen van de uitwijkprocedure minstens jaarlijks.
Stap 4: contractuele verankering. Neem in cloudcontracten specifieke clausules op over service-continuïteit bij overheidsinterventie, exportverplichtingen bij contractbeëindiging en het verbod op verdere subverwerking buiten de EU zonder expliciete toestemming. De EU Data Act artikelen 25-29 bieden hiervoor een wettelijke onderbouwing.
“De afhankelijkheid van een handvol niet-Europese cloudleveranciers vormt een systeemrisico voor de digitale autonomie van de Unie. Organisaties moeten cloudrisico behandelen als geopolitiek risico, niet louter als een technisch of commercieel vraagstuk.” (Margrethe Vestager, voormalig Eurocommissaris voor Mededinging en Digitaal Beleid)
De rol van EU Tech Sovereignty Package en Gaia-X
Het EU Tech Sovereignty Package, gepubliceerd in juni 2026, is de meest samenhangende Europese reactie op strategische technologische afhankelijkheid. Het pakket verplicht overheidsorganisaties in de EU tot periodieke risicobeoordelingen van hun technologische afhankelijkheden, en koppelt overheidsaanbestedingen aan aantoonbare soevereiniteitsvereisten. Aanbieders die voldoen aan Europese certificeringseisen, krijgen een voorkeurspositie bij publieke inkoopprocedures.
Het Nederlandse Rijkscloudbeleid 2026 loopt parallel aan dit Europese kader. Het legt rijksdiensten de verplichting op te toetsen of cloudoplossingen voldoen aan soevereiniteitscriteria voordat nieuwe contracten worden gesloten, met expliciete aandacht voor de locatie van verwerking en de jurisdictie van de aanbieder.
Gaia-X, het Europees initiatief voor een gefedereerde en transparante data-infrastructuur, biedt een technische en governancelaag waarop soevereine cloudoplossingen kunnen worden gecertificeerd. Hoewel Gaia-X bekritiseerd is vanwege trage adoptie en de aanwezigheid van niet-Europese deelnemers, biedt het framework organisaties wel bruikbare criteria om aanbieders te beoordelen op hun niveau van soevereiniteit.
ENISA heeft in het NIS360-rapport van 2026 de kwetsbaarheid voor geconcentreerde cloudafhankelijkheid als een van de drie voornaamste systeemrisico’s voor de Europese digitale infrastructuur aangemerkt. Het rapport roept nationale toezichthouders op de risicobeheerpraktijken van organisaties in vitale sectoren specifiek op dit punt te beoordelen.
Meer dan 65% van de Europese publieke cloudmarkt is in handen van drie Amerikaanse hyperscalers (ENISA, 2023). Tegelijkertijd geeft ruim 70% van de grote Europese ondernemingen aan geen gedocumenteerd exitplan te hebben voor hun primaire cloudprovider (ENISA NIS360, 2024). Dit gecombineerde beeld maakt duidelijk waarom de Europese Commissie en nationale toezichthouders het geopolitieke cloudrisico niet langer als een individueel bedrijfsrisico beschouwen, maar als een structureel beleidsvraagstuk.
Van Microsoft 365 naar een soeverein werkplatform
De meest gevraagde migratie in gereguleerde sectoren is de overstap van Microsoft 365 naar een soevereine samenwerkingsomgeving. Nextcloud, gecombineerd met open standaarden als WebDAV, CalDAV en IMAP, biedt een functioneel equivalent dat on-premise of bij een aantoonbaar Europese aanbieder kan worden gehost.
De kritieke succesfactoren voor een dergelijke migratie zijn niet technisch van aard, maar organisatorisch. Een gefaseerde aanpak waarbij de soevereine omgeving parallel wordt ingevoerd voordat Microsoft 365 wordt afgesloten, verkort de weerstand bij gebruikers. Documenteer daarnaast alle derdenkoppelingen (CRM, HR-systemen, videoconferencing) vóór de migratie start, want dit zijn de plaatsen waar projecten stranden.
In de AVG-boetes die in 2023 werden uitgedeeld voor onrechtmatige doorgifte van persoonsgegevens naar de VS, waaronder de recordboete van 1,2 miljard euro aan Meta (Data Protection Commission Ierland / EDPB, 2023), ligt een duidelijk signaal: de kosten van nalaten overtreffen op termijn de kosten van migratie.
FAQ
Wat is het grootste directe risico van hyperscaler-afhankelijkheid voor een Europese overheidsorganisatie?
Het grootste risico is plotselinge onbeschikbaarheid van kritieke systemen als gevolg van geopolitieke maatregelen, zoals exportbeperkingen of sancties die een Amerikaanse cloudprovider verplichten diensten te staken voor specifieke Europese klanten of regio’s. Zonder exitplan zijn processen dan acuut niet-operationeel.
Beschermt het opslaan van data in een Europees datacenter van AWS of Microsoft tegen de CLOUD Act?
Nee. De CLOUD Act verplicht Amerikaanse bedrijven wereldwijd opgeslagen data te overhandigen aan Amerikaanse autoriteiten, ongeacht de fysieke locatie van de servers. Alleen het gebruik van aanbieders die volledig buiten de Amerikaanse rechtsmacht vallen biedt juridische bescherming.
Wat houdt de EU Tech Sovereignty Package van juni 2026 concreet in voor IT-inkopers?
Het pakket introduceert verplichte risicobeoordelingen voor strategische technologische afhankelijkheden bij overheidsorganisaties, stimuleert gecertificeerde Europese alternatieven en koppelt aanbestedingscriteria aan digitale soevereiniteitsvereisten. IT-inkopers moeten aantonen dat zij alternatieve leveranciersopties hebben geïdentificeerd.
Hoe lang duurt een realistische migratie weg van Microsoft 365 naar een soevereine omgeving?
Afhankelijk van de omvang van de organisatie varieert een volledige migratie van drie maanden voor kleine teams tot anderhalf jaar voor grote organisaties met complexe integraties. De grootste vertraging zit niet in de data-export zelf, maar in het opnieuw inrichten van workflows, het trainen van gebruikers en het oplossen van koppelingen met derdensystemen.
Wat leerde de ICC-Microsoft-casus van 2025 over juridische risico’s van cloudafhankelijkheid?
In 2025 ondervond het Internationaal Strafhof dat Amerikaanse druk op Microsoft resulteerde in service-aanpassingen voor een organisatie die werkt met hoogst vertrouwelijke getuigenbescherming en strafrechtelijke dossiers. De casus toonde aan dat zelfs internationaal gerespecteerde instellingen niet immuun zijn voor geopolitiek gemotiveerde service-onderbrekingen via commerciële cloudcontracten die onder Amerikaans recht vallen.
