Digitale soevereiniteit: wat het werkelijk betekent

Wat soevereiniteit is, en wat het niet is

Soevereiniteit betekent in de kern zeggenschap: het recht en het vermogen om zelf te bepalen wat er gebeurt, zonder dat een ander dat over je hoofd heen kan beslissen. In de staatsleer gaat dat over een land. Digitale soevereiniteit is hetzelfde begrip, toegepast op je informatievoorziening.

Voor een organisatie valt dat uiteen in drie vragen, en het loont om ze los van elkaar te stellen:

• Wie kan bij je gegevens? Niet alleen wie erbij mág, maar wie er technisch en juridisch bij kán komen, ook zonder dat jij het merkt.
• Wie bepaalt of je techniek blijft werken? Een licentie die niet verlengd wordt, een dienst die stopt, een prijs die verdubbelt: dat zijn allemaal beslissingen van iemand anders die jouw bedrijfsvoering raken.
• Kun je weg? En niet in theorie. Kun je het aantonen, binnen een termijn die je overleeft?

Wat het niet is: autarkie. Alles zelf bouwen en beheren is voor vrijwel geen enkele organisatie een verstandige keuze, en het levert ook geen soevereiniteit op — het verplaatst de afhankelijkheid alleen naar de twee mensen die het begrijpen. Soevereiniteit gaat niet over minder uitbesteden, maar over uitbesteden met de uitgang in beeld.

Waarom een Europees datacenter niet genoeg is

Dit is het punt waarop de meeste gesprekken vastlopen, en het is het punt dat ertoe doet.

De Amerikaanse CLOUD Act uit 2018 legt vast dat Amerikaanse autoriteiten een aanbieder die onder Amerikaanse jurisdictie valt, kunnen verplichten gegevens te verstrekken die deze onder zich heeft — ongeacht in welk land die gegevens fysiek staan. De wet knoopt dus aan bij zeggenschap over de gegevens, niet bij de plaats ervan. Een Europees datacenter van een Amerikaans moederbedrijf verandert daar op zichzelf niets aan.

Daar bovenop ligt de Europese kant. Het Hof van Justitie verklaarde het Privacy Shield in 2020 ongeldig in de Schrems II-zaak; sinds 2023 is er een nieuw adequaatheidsbesluit voor doorgifte naar de Verenigde Staten. Dat besluit maakt doorgifte werkbaar, maar het beantwoordt de jurisdictievraag niet: het regelt onder welke voorwaarden gegevens de grens over mogen, niet wie er in het buitenland aanspraak op kan maken.

De grote aanbieders hebben hier inmiddels antwoorden op in de vorm van varianten met een Europese rechtspersoon, Europees personeel en beheer dat het continent niet verlaat. Die zijn niet leeg — ze verplaatsen de zeggenschap werkelijk — maar ze zijn ook niet gratis en niet overal beschikbaar, en de precieze voorwaarden verschillen per aanbieder en per dienst. Lees ze, en laat een jurist ernaar kijken voordat je erop bouwt. Wij zijn een IT-bedrijf en geen advocatenkantoor; wij kunnen je laten zien waar de techniek staat en wat er verplaatsbaar is, niet wat een rechter ervan vindt.

De drie lagen waar de afhankelijkheid zit

In de praktijk is het nuttig om soevereiniteit per laag te bekijken, want de kosten en de mogelijkheden verschillen enorm per laag.

• De data. Waar hij staat, wie de sleutels beheert waarmee hij versleuteld is, en waar de back-ups staan. Dit is de goedkoopste laag om iets aan te doen en meestal ook de belangrijkste.
• De techniek. Draait je toepassing op iets dat elders ook draait, of op een dienst die maar op één plek bestaat? Een database in een container verhuist. Een dienst die alleen bij één aanbieder bestaat, verhuist niet — die bouw je opnieuw.
• De bedrijfsvoering. Wie logt er in om te beheren, vanuit welk land, en onder welk recht valt de partij die dat doet. Deze laag wordt het vaakst vergeten en is bij een incident het eerst relevant.

Die drie schuiven niet mee. Je kunt je data in Europa hebben staan terwijl het beheer vanuit een ander werelddeel gebeurt, en je kunt een volledig Europese aanbieder hebben die software gebruikt waar je nooit vanaf komt. Wie soevereiniteit als één vinkje behandelt, vinkt de laag af die het makkelijkst te regelen was.

Wat de regels er werkelijk over zeggen

Er wordt veel naar wetgeving verwezen om soevereiniteitseisen te onderbouwen. Dit is wat er staat, en waar het ophoudt.

De AVG stelt eisen aan doorgifte buiten de Europese Economische Ruimte en aan wat je met verwerkers afspreekt. Zij eist geen Europese aanbieder; zij eist dat je kunt uitleggen waar gegevens heen gaan en op welke grondslag.

NIS2, in Nederland uitgewerkt als de Cyberbeveiligingswet, vraagt om risicobeheer in je toeleveringsketen en legt de verantwoordelijkheid daarvoor expliciet bij de bestuurder. Ook dat is geen soevereiniteitseis, maar het dwingt je wel om op te schrijven welke leverancier welk risico met zich meebrengt — en dat is precies de inventarisatie waar dit onderwerp mee begint.

DORA geldt sinds januari 2025 voor financiële entiteiten en gaat het verst: die moeten een exitstrategie hebben voor kritieke ICT-dienstverleners, en concentratierisico expliciet wegen. Het is op dit moment de wettelijke eis die het dichtst bij dit onderwerp komt.

De Europese Dataverordening geldt sinds september 2025 en verplicht aanbieders om overstappen mogelijk te maken in plaats van het contractueel te bemoeilijken; de kosten die ze daarvoor mogen rekenen moeten stapsgewijs verdwijnen. Dat is voor dit onderwerp de nuttigste ontwikkeling van de afgelopen jaren.

Aan een Europees certificeringsschema voor cloud wordt al jaren gewerkt, en het niveau waarop soevereiniteitseisen zouden gaan gelden is precies het onderdeel waar het steeds op vastloopt. Reken er niet op dat het er is op het moment dat jij moet kiezen.

Wat je er praktisch aan doet

Hieronder een ladder, van goedkoop naar duur. De meeste organisaties komen niet verder dan de eerste drie treden, en dat is meestal ook precies genoeg.

• Zet op papier waar alles staat. Welke dienst, welke aanbieder, welk land, onder welk recht, en wat er stilvalt als hij wegvalt. Dit kost een middag en het is de enige stap die je hoe dan ook nodig hebt — voor NIS2, voor je verzekeraar en voor jezelf.
• Zet je back-ups ergens anders neer. Bij een andere aanbieder, in een ander rechtsgebied, onveranderbaar weggeschreven. Dit is de trede met de hoogste opbrengst per euro: hij beschermt tegen een aanbieder die wegvalt, tegen ransomware en tegen een rekening die niet betaald is. Hoe wij dat inrichten staat onder data en continuïteit.
• Beheer je eigen sleutels waar dat kan. Versleuteling met sleutels die jij houdt beperkt wat een aanbieder kan tonen als hem daarom gevraagd wordt. Weet wel wat je koopt: bij veel diensten moet de sleutel in het geheugen van de aanbieder komen om ermee te kunnen werken, en dan is de bescherming procedureel en niet wiskundig.
• Test de uitgang. Een exitplan dat nooit is uitgevoerd is een document, geen plan. Zet één keer per jaar een omgeving terug bij een andere partij en meet hoe lang het duurt. Bijna niemand doet dit, en bijna iedereen die het doet komt iets tegen.
• Verplaats wat verplaatsbaar is. Pas hier komen soevereine varianten, Europese aanbieders of eigen apparatuur in beeld — als de eerste vier treden staan en de afweging alsnog die kant op valt.

En de omgekeerde vraag hoort er ook bij: wanneer hoeft dit niet. Als je geen bijzondere persoonsgegevens verwerkt, niet onder NIS2 of DORA valt en geen klanten hebt die het eisen, dan is de eerste trede genoeg en zijn de andere vier geld dat elders meer oplevert. Wij zeggen dat ook als het ons werk zou schelen.