Soevereine cloud: waar staan je data, en kun je die verhuizen?
Weinig debatten die nu spelen in de cybersecurity-wereld zijn zo complex als dat over cloudsoevereiniteit. Oftewel: in de cloud werken zónder compleet afhankelijk te zijn van de aanbieder van die cloudoplossing. Want de beloften van de cloud zijn groot: altijd en overal bij je data kunnen, zonder risico op verlies. Maar de risico’s zijn dat ook. Wie zijn gevoelige data onderbrengt op een server buiten de EU, loopt immers het risico om zijn grip op die data te verliezen. Gegevens kunnen zomaar worden gebruikt om AI te trainen, zonder dat je het weet. Om over mogelijke juridische problemen bij onveilige dataopslag nog maar te zwijgen.
Het goede nieuws is dat directies zich de risico’s van het buiten de EU opslaan van kritieke data wel degelijk realiseren. 64 procent van de voor Cyberweerbaar Nederland 2026 bevraagde directies zegt die risico’s te beseffen. Tegelijkertijd worden die gevoelige data nog massaal buiten de EU bewaard, voornamelijk in de Verenigde Staten. Organisaties maken nog geen haast met het verhuizen ervan. Slechts 21 procent van de organisaties ziet de overstap naar een soevereine cloudoplossing als prioriteit. En bij overheden vallen veilige, onafhankelijke cloudoplossingen zelfs buiten de top-5 IT-investeringsgebieden, ondanks breed gedeelde zorgen.
Cloudsoevereiniteit gaat over meer dan fysieke locaties
Je zou zeggen dat de oplossing simpel is: haal je data, of minstens je gevoelige data, weg van die buitenlandse server en zoek een alternatief. Maar zo eenvoudig is het in de praktijk niet, legt Gijs Roeffen uit, Chief Information Security Officer (CISO) van Castor. “Iedereen heeft het over digitale soevereiniteit, maar de afhankelijkheid zit veel dieper dan waar data worden opgeslagen. We gaan het probleem niet oplossen door een datacenter in een polder te bouwen.”
Dat cloudsoevereiniteit over meer gaat dan alleen een geografische locatie, heeft te maken met de onderliggende techniek van cloudoplossingen. Gijs: “Zolang de infrastructuur gebaseerd is op Amerikaanse technologie, blijft die afhankelijkheid bestaan. Je kan een datacenter in Frankrijk of Nederland zetten, maar als je routers, switches en cloudsoftware van buiten Europa komen, ben je nog steeds afhankelijk.”
Soevereine cloud blijkt geen prioriteit
Een veilige cloudomgeving staat momenteel op plek 4 van de strategische IT-prioriteiten van Nederlandse organisaties. De financiële sector gaat aan kop: daar staat een veilige cloudinrichting bij 29 procent van de organisaties bij de prioriteiten. Dat is lang niet de meerderheid, en in alle andere sectoren is het percentage dus nog lager. Er is dus een brede kloof tussen bewustzijn, de eerdergenoemde 64 procent, en daadwerkelijke actie. Want als we beseffen wat de risico’s zijn, waarom doen we dan zo weinig?
Het heeft alles te maken met de afhankelijkheid zelf: veel organisaties hebben hun complete infrastructuur uitbesteed aan één hyperscaler, zoals AWS of Microsoft Azure. De hele interne IT-afdeling is op basis van die infrastructuur getraind en ingericht. Verander je het fundament, dan valt je hele bouwwerk weg. Net als de kennis die al is opgedaan. Dat zorgt voor onrust en voor het verschil dat we nu in de cijfers zien: mensen kennen de risico’s, maar maken van cloudsoevereiniteit geen prioriteit, omdat het té ingewikkeld is.
Dan dringt zich de vraag op: kunnen we cloudsoevereiniteit bereiken onder de omstandigheden waarmee we te dealen hebben? En zo ja, wanneer is je organisatie dan veilig, en wanneer niet?
Grip krijgen: erkennen, vertrouwen en controle houden
“Weerbaarheid begint bij weten waarop je vertrouwt,” zegt Gijs als antwoord op die vraag. “Zonder dat inzicht kun je geen weloverwogen keuzes maken.” Oftewel: erkennen waar je afhankelijkheden zitten, en je ervan bewust zijn dat die afhankelijkheden een risico vormen, is een belangrijke eerste stap om grip te krijgen op je cloudveiligheid. Die afhankelijkheid gaat dus niet alleen om de fysieke locatie van de servers van je cloudoplossing, maar over het hele technische fundament ervan.
We hebben ons lang geen zorgen gemaakt over de risico’s van cloudoplossingen, want we vertrouwden erop dat het wel goed zou zitten. Wie infrastructuur vervangt of nieuwe cloudoplossingen in de arm neemt, neemt tegenwoordig echter beter een weloverwogen, kritische keuze. Gaan we voor de snelle, meest pragmatische oplossing? Of richten we het eenmalig veilig en verantwoord in, zodat we over vijf of tien jaar niet voor een onoplosbaar dilemma staan?
Dat vraagt om kritische vragen die voortaan zowel binnen de organisatie als aan mogelijke leveranciers gesteld moeten worden. Wat staat er in je contracten en gebruikerslicenties? Welke afspraken maak je met je cloud-leverancier? Waar heb je straks zelf de controle over, en waar kan je cloud-leverancier feitelijk doen wat hij wil? Cloudsoevereiniteit gaat veel verder dan de vraag of je je data wel of niet moet verhuizen. Het gaat om begrijpen waarop je vertrouwt, welke afhankelijkheden je accepteert en waar je als organisatie grip op moet houden.
