Soeverein identiteitsbeheer betekent dat een organisatie zelf de volledige controle behoudt over wie toegang krijgt tot systemen en data, op basis van infrastructuur die uitsluitend onder EU-jurisdictie valt. Zolang een identiteitsprovider wordt gehost door een Amerikaanse aanbieder, geldt de CLOUD Act als potentieel juridisch risico: Amerikaanse autoriteiten kunnen onder die wet gegevens opvragen, ongeacht waar de servers staan.
Voor organisaties in de overheid, juridische sector en gereguleerde sectoren is dit geen theoretisch risico. NIS-2 artikel 21 lid 2(i) legt essentiële en belangrijke entiteiten een expliciete zorgplicht op voor toegangscontrole en authenticatiebeheer. Wie zijn IAM uitbesteedt aan Microsoft Entra ID, Okta of Google Workspace Identity, plaatst een sleutelcomponent van zijn digitale infrastructuur buiten eigen jurisdictie.
“Identity is the new perimeter. Without sovereign control over authentication and authorisation, zero trust remains a theoretical concept.” (Scott Rose, hoofdauteur NIST SP 800-207 Zero Trust Architecture)
| Provider | Jurisdictie | CLOUD Act-risico | On-premise mogelijk? |
|---|---|---|---|
| Microsoft Entra ID | VS | Ja | Nee (cloudnative) |
| Okta | VS | Ja | Beperkt |
| Google Workspace Identity | VS | Ja | Nee |
| Keycloak (Red Hat, open-source) | EU-hostbaar | Nee (bij EU-hosting) | Ja |
| Authentik (open-source) | EU-hostbaar | Nee (bij EU-hosting) | Ja |
Open-source IAM als juridisch en technisch fundament
Keycloak en Authentik zijn de twee meest volwassen open-source alternatieven voor commerciële identiteitsproviders, en beide kunnen volledig on-premise of in een Europese soevereine cloud worden gehost.
Keycloak
Keycloak, gesponsord door Red Hat, ondersteunt OpenID Connect, OAuth 2.0 PKCE, SAML 2.0 en LDAP-federatie. Het biedt ingebouwde auditlogging op sessie- en evenementniveau, wat direct aansluit op de audittrail-vereisten die voortvloeien uit NIS-2 artikel 21 en de AVG-verantwoordingsplicht. Keycloak is in productie bij meerdere Europese overheidsinstanties en wordt actief onderhouden met beveiligingspatches. De configuratie van OAuth 2.0 PKCE is daarbij van bijzonder belang: dit mechanisme voorkomt authorization code interception bij publieke clients, wat een veelvoorkomende aanvalsvector is bij webapplicaties.
Authentik
Authentik richt zich op eenvoudiger beheer en een modern gebruikersinterface, wat het aantrekkelijk maakt voor organisaties zonder een groot identity-engineeringteam. Het ondersteunt eveneens OpenID Connect en OAuth 2.0 PKCE, en heeft ingebouwde ondersteuning voor wachtwoordloze flows en SCIM-provisioning. Voor kleinere overheidsorganisaties of rechtenkantoren die een beheerbare maar soevereine IAM-stack willen, is Authentik een serieuze keuze.
Federated identity buiten EU-jurisdictie: risico’s en mitigatie
Federated identity-configuraties zijn op zichzelf waardevol: ze laten gebruikers zich authenticeren via een centrale identiteitsprovider. Het risico ontstaat wanneer die centrale provider buiten EU-jurisdictie valt.
Stel dat een Nederlandse gemeente haar IAM federeert met een externe identiteitsprovider die op Amerikaanse servers draait. In dat geval stromen authenticatietokens, sessiedata en gebruikersattributen door infrastructuur waarover de CLOUD Act van toepassing kan zijn. Contractuele maatregelen, zoals Standard Contractual Clauses (SCC’s), bieden onvoldoende bescherming wanneer een Amerikaanse rechter een bevel uitvaardigt, zoals het Hof van Justitie al bevestigde in het Schrems II-arrest (C-311/18).
Technische mitigatie omvat drie maatregelen. Ten eerste: de identiteitsprovider volledig repatriëren naar on-premise of Europese hosting. Ten tweede: SAML-assertions of OpenID Connect-tokens ondertekenen met sleutels die uitsluitend op eigen hardware staan, zodat een externe partij geen geldige tokens kan genereren. Ten derde: bij gebruik van federatie met externe partijen, een EU-gehoste identity broker tussenplaatsen die tokens vertaalt en nooit ruwe gebruikersattributen doorstuurt naar niet-EU-diensten.
“Organisaties die hun identiteitsbeheer uitbesteden aan een aanbieder buiten de EU geven feitelijk de sleutels van hun digitale infrastructuur uit handen.” (Europees Agentschap voor cyberbeveiliging, ENISA Cloud Security Guidelines)
Statistisch onderbouwing: gecompromitteerde inloggegevens zijn volgens het IBM Cost of a Data Breach Report 2023 verantwoordelijk voor 49 procent van alle datalekken. Dit maakt identiteitsbeheer het meest kritieke beveiligingsdomein, en externe afhankelijkheid daarin het hoogste risico.
Integratie met eIDAS 2.0 en de EU Digital Identity Wallet
Verordening (EU) 2024/1183, bekend als eIDAS 2.0, introduceert de EU Digital Identity Wallet als erkend authenticatiemiddel voor grensoverschrijdende digitale dienstverlening. Voor Europese organisaties opent dit een nieuwe mogelijkheid: medewerkers en externe partijen kunnen zich authenticeren met een wallet-attribuut zonder dat een commerciële identiteitsprovider daartussen staat.
De technische standaard voor deze integratie is OpenID Connect for Verifiable Presentations (OID4VP). Een IAM-systeem zoals Keycloak kan als relying party worden geconfigureerd: het vraagt de wallet om een verifieerbaar credential, verifieert de cryptografische handtekening, en geeft op basis daarvan een sessietoken uit. De identiteitsdata verlaat daarbij niet de eigen infrastructuur. Dit model is bijzonder interessant voor de rechtssector, waar cliëntidentificatie aan strikte eisen is gebonden, en voor overheidsorganisaties die de Wet digitale overheid (Wdo) willen naleven.
PAM, MFA en kwantumveiligheid in een soevereine architectuur
Privileged Access Management (PAM) beheert de toegang van beheerders en serviceaccounts die verhoogde rechten hebben. In een soevereine architectuur betekent dit dat PAM-tools eveneens on-premise draaien. Oplossingen zoals HashiCorp Vault (voor secrets management) en Teleport of CyberArk Privileged Access Manager Self-Hosted bieden deze mogelijkheid, mits de deployment zelf volledig in eigen beheer is.
Voor MFA in een Nextcloud-gebaseerde werkplek geldt het volgende uitgangspunt: hardware-beveiligingssleutels via FIDO2/WebAuthn bieden vandaag al de sterkste bescherming omdat ze geen geheime sleutel overdragen tijdens authenticatie. Dit maakt hen immuun voor phishing en man-in-the-middle-aanvallen. Nextcloud ondersteunt WebAuthn natively, en Keycloak kan als centrale authenticatielaag fungeren die WebAuthn afdwingt voor alle gekoppelde applicaties.
Kwantumveiligheid op IAM-niveau betekent concreet dat de TLS-verbindingen tussen IAM-componenten worden voorbereid op post-quantum sleutelwisseling. NIST heeft in 2024 CRYSTALS-Kyber (nu officieel ML-KEM) gestandaardiseerd als algoritme voor sleuteluitwisseling. Moderne versies van OpenSSL en BoringSSL bieden al experimentele ondersteuning. Organisaties kunnen nu beginnen met hybride TLS-configuraties die zowel klassieke als post-quantum sleutelwisseling combineren, zodat de verbinding ook beschermd is als een van beide algoritmen later kwetsbaar blijkt.
Zero Trust zonder Big Tech: het NIST SP 800-207 referentiekader
NIST SP 800-207 definieert zero trust als een architectuurprincipe waarbij geen enkele identiteit, apparaat of netwerksegment impliciet wordt vertrouwd, ongeacht de locatie. Elke toegangsaanvraag wordt apart geëvalueerd op basis van identiteit, apparaatstatus en context.
In een soevereine werkplek zonder Big Tech-afhankelijkheid vertaalt dit zich naar vier bouwstenen. Ten eerste: een EU-gehoste IAM-laag (Keycloak of Authentik) die alle authenticatie en autorisatiebeslissingen neemt. Ten tweede: een device trust-mechanisme waarbij alleen beheerde apparaten met een geldig certificaat toegang krijgen, waarbij de certificaatautoriteit zelf on-premise draait. Ten derde: een policy engine, bij voorkeur op basis van Open Policy Agent (OPA), die toegangsregels centraal beheert en afdwingt bij elke API-aanroep. Ten vierde: versleutelde netwerksegmentatie via een zero trust network access (ZTNA)-oplossing, bijvoorbeeld op basis van WireGuard, zodat laterale beweging na een incident wordt beperkt.
Van de onderzochte EU-overheidsorganisaties was in 2023 meer dan 80 procent afhankelijk van identiteitsdiensten van buiten de EU (ENISA Threat Landscape 2023). Dit maakt soeverein IAM niet alleen een nalevingsvraagstuk, maar ook een strategische prioriteit voor digitale autonomie.
NIS-2 artikel 21 en de AVG: concrete verplichtingen
NIS-2 artikel 21 lid 2(i) verplicht essentiële en belangrijke entiteiten tot het handhaven van beleid voor toegangscontrole, beheer van identiteiten en authenticatie. Dit is geen open norm: de Nederlandse Cyberbeveiligingswet, die NIS-2 implementeert, verwacht aantoonbare maatregelen en documentatie. Een soevereine IAM-stack met Keycloak of Authentik voldoet aan deze eis mits correct geconfigureerd: auditlogs moeten alle authenticatiegebeurtenissen vastleggen, MFA moet verplicht zijn voor privileged accounts, en toegangsrechten moeten periodiek worden gereviewd.
Vanuit de AVG (met name artikel 25 inzake privacy by design en artikel 32 inzake technische beveiligingsmaatregelen) geldt aanvullend dat toegang tot persoonsgegevens strikt op need-to-know basis moet zijn ingericht. Een role-based access control (RBAC)-model in Keycloak, gecombineerd met SCIM-provisioning vanuit de HR-applicatie, zorgt dat rechten automatisch worden ingetrokken bij vertrek van medewerkers, wat een veelvoorkomende AVG-kwetsbaarheid wegneemt.
Migratie van Microsoft 365 naar een soevereine IAM-stack
Een organisatie die migreert van Microsoft 365 naar een Nextcloud-gebaseerde werkplek, moet ook haar identiteitslaag meenemen. De meest pragmatische aanpak is een gefaseerde migratie: Keycloak wordt ingericht als nieuwe primaire identiteitsprovider, Microsoft Entra ID wordt geconfigureerd als tijdelijke upstream federation-bron, en applicaties worden stap voor stap overgezet naar directe Keycloak-authenticatie via OpenID Connect.
Kritieke aandachtspunten bij deze migratie zijn de synchronisatie van gebruikersattributen (inclusief groepslidmaatschappen en rollen), de overdracht van MFA-inschrijvingen, en het valideren van auditlogcontinuïteit tijdens de transitieperiode. Nextcloud integreert native met Keycloak via OpenID Connect, waardoor de werkplek zelf geen Microsoft-afhankelijkheid meer heeft zodra de migratie is afgerond.
FAQ: soeverein IAM en zero trust
Is Keycloak geschikt voor productieomgevingen in de publieke sector?
Ja. Keycloak wordt door diverse Europese overheidsinstanties ingezet, ondersteunt OpenID Connect, SAML 2.0 en OAuth 2.0 PKCE, en kan volledig on-premise draaien zodat identiteitsdata nooit de eigen infrastructuur verlaat.
Wat is het verschil tussen Keycloak en Authentik?
Keycloak is feature-rijker en beter geschikt voor grote enterprise-omgevingen met uitgebreide federatie-eisen. Authentik is lichter van opzet, makkelijker te beheren voor kleinere teams, en heeft een modern beheerinterface. Beide zijn open-source en EU-hostbaar.
Voldoet een on-premise IAM-oplossing automatisch aan de AVG?
Nee. Hosting binnen de EU is een noodzakelijke maar niet voldoende voorwaarde. De AVG vereist ook dataminimalisatie, correcte verwerkingsgronden, retentiebeleid voor auditlogs en aantoonbare technische beveiligingsmaatregelen zoals versleuteling en toegangsbeperking.
Hoe werkt integratie van een soeverein IAM met de EU Digital Identity Wallet?
De EU Digital Identity Wallet (eIDAS 2.0) communiceert via OpenID Connect for Verifiable Presentations (OID4VP). Een IAM-systeem zoals Keycloak kan als relying party worden geconfigureerd om wallet-gebaseerde attributen te ontvangen en te verifiëren, zonder dat een externe identiteitsprovider buiten de EU betrokken is.
Hoe maak je MFA kwantumveilig in een soevereine architectuur?
Hardware-beveiligingssleutels via FIDO2/WebAuthn bieden vandaag al sterke MFA zonder geheime sleuteloverdracht. Voor de langere termijn wordt aanbevolen te migreren naar post-quantum sleutelwisselingsmechanismen (zoals ML-KEM, gestandaardiseerd door NIST in 2024) in de onderliggende TLS-verbindingen tussen IAM-componenten.
