Locatie is slechts de eerste laag
Een datacenter in Nederland of Europa voelt goed maar zegt eigenlijk nog niks over de werkelijke soevereiniteit. Als de leverancier onder Amerikaans recht valt, dan is de Cloud Act van toepassing en is de data direct opeisbaar, waar de servers ook staan. Maar ook de juiste jurisdictie is niet het hele verhaal. Soevereiniteit draait uiteindelijk om drie vragen:
1. Wie heeft de sleutels?
Wie kan bij je data? Wie beheert de encryptiesleutels en wie heeft beheerrechten op de omgeving? Staat de data versleuteld, maar ligt de sleutel bij een partij onderbuitenlands recht, dan is de versleuteling vooral een formaliteit.
2. Onder welk recht valt de eigenaar?
Het gaat niet alleen om de partij waarmee je een contract hebt. Ook het moederbedrijf, de onderaannemers en de technologieketen tellen mee. De Europese kaders kijken daarom nadrukkelijk door de hele keten heen.
3. Blijf je draaien als een dienst wegvalt?
Dit is de vraag die het vaakst wordt overgeslagen. Wie kan het licht uit doen? Denk aan een geblokkeerd account, een gewijzigde licentie, sancties of een grootschalige storing. Soevereiniteit betekent ook dat je data herstelbaar is: een onafhankelijke, onveranderbare kopie op een plek waar je zelf over beschikt.
Niet alles hoeft maximaal
Soevereiniteit heeft een prijs en niet elke workload heeft dit nodig. Een marketingtool of een testomgeving kan prima in een andere cloud draaien. Bedrijfskritische applicaties, persoonsgegevens en de processen waar klanten en burgers op rekenen, dat is een ander verhaal. De echte vraag is dus: welk deel van je organisatie moet onder controle blijven? En dat bepaal je per workload en niet met de selectie van een leverancier.
Sinds 15 augustus 2026 is dit voor veel Nederlandse organisaties geen optionele keuze meer maar een verplichting. De Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2, vraagt om risicobeheer, inzicht in leveranciers en aantoonbare continuïteit. Cyberveiligheid is daarmee een bestuurstaak geworden. Wie zijn afhankelijkheden niet kent, kan ze ook niet verantwoorden.
