De roep om datasoevereiniteit klinkt steeds luider. Vooral bij overheidsorganisaties, semipublieke instellingen en privacygevoelige sectoren ontstaan twijfels over de afhankelijkheid van Amerikaanse cloudleveranciers zoals Microsoft, Google en Amazon. Begrijpelijk – maar wie goed luistert, merkt dat de discussie vaak blijft hangen in containerbegrippen als “digitale autonomie” of “controle over data”.
Wat ontbreekt, is een concrete duiding van de risico’s én de juiste oplossingsrichtingen. In deze blog brengen we daar helderheid in:
-
We benoemen de twee échte risico’s van de Amerikaanse cloud
-
Leggen uit wat wél en niet helpt om ze te mitigeren
-
Delen hoe Zivver oplossingen biedt die datasoevereiniteit wél mogelijk maken – in de praktijk
Waarom we ooit naar de Amerikaanse cloud gingen
De opmars van Amerikaanse cloudleveranciers kwam niet uit de lucht vallen. Zij liepen – en lopen vaak nog steeds – voor op het gebied van gebruiksgemak, security by default, schaalbaarheid, en de breedte van hun ecosysteem. Functionaliteiten zijn diep geïntegreerd, innovaties volgen elkaar snel op, en ondersteuning is wereldwijd georganiseerd.
Voor veel organisaties was overstappen dan ook een rationele keuze: je wilde digitaliseren, beveiligen en versnellen – en de Amerikaanse cloud bood dat allemaal. Europese alternatieven konden die belofte simpelweg niet waarmaken.
Dat plaatst de huidige roep om datasoevereiniteit in een spanningsveld. Het is geen kwestie van simpelweg “terugverhuizen” naar Europa – tenzij je een alternatief hebt dat de voordelen van de Amerikaanse cloud weet te combineren met volledige controle over je data.
Risico 1: Inzage door de Amerikaanse overheid via de CLOUD Act
De Clarifying Lawful Overseas Use of Data Act (CLOUD Act) verplicht Amerikaanse leveranciers om toegang te geven tot klantdata als dat wettelijk wordt gevraagd – ongeacht waar die data is opgeslagen. Staat je data in een EU-datacenter van Microsoft of Google? Dan geldt de CLOUD Act nog steeds. Het gaat namelijk niet om locatie, maar om zeggenschap.
Dit risico speelt vooral bij gevoelige communicatie: e-mails, documenten in samenwerkingstools, of bestanden die via clouddiensten worden gedeeld. Juist die informatie is vaak kwetsbaar.
Wat helpt wél tegen inzage door de Amerikaanse overheid via de CLOUD Act
1. Zero-access of end-to-end encryptie
Dit betekent dat:
-
Data in de cloud versleuteld wordt opgeslagen
-
Alleen de klant de sleutels beheert
De leverancier – en dus ook de Amerikaanse overheid – heeft dan geen toegang tot de inhoud, omdat die simpelweg niet te ontsleutelen is zonder de sleutel. Dit noemen we ook wel zero-access encryption (server-side) of end-to-end encryption (client-to-client).
Belangrijke kanttekening:
Dit moet wél technisch kloppen én praktisch werkbaar zijn. Veel cloudleveranciers bieden “Bring Your Own Key” of “Double Key Encryption” aan, maar in de praktijk blijken deze oplossingen:
-
Beperkt bruikbaar (zoals bij Microsoft’s Double Key Encryption/DKE: alleen bij E5, niet voor e-mail, en incompatibel met veel werkvormen),
-
Of zodanig complex dat organisaties ze nauwelijks kunnen toepassen op structurele wijze.
Zie de blog van Bert Hubert voor een heldere analyse van de beperkingen van dergelijke modellen, specifiek Microsoft’s DKE.
2. On-premise of private cloud hosting
Een minstens zo effectieve oplossing: sla je data op in een omgeving die je zélf beheert – volledig los van Amerikaanse cloudinfrastructuur.
-
Je draait de software zelf (on-premise of in een Europese private cloud),
-
Beheert de toegang en sleutels zelf
-
De leverancier (Amerikaans of niet) heeft geen toegang tot de infrastructuur of data
In dit scenario is de CLOUD Act simpelweg niet afdwingbaar, omdat de leverancier geen toegang heeft tot de data – zelfs als hij zou willen.
Let op: de herkomst van de softwareleverancier is in dit model veel minder relevant, zolang:
-
Je volledige controle hebt over de hosting en sleutelbeheer,
-
De software geen verborgen afhankelijkheden heeft zoals remote toegang, automatische updates of API-verkeer richting Amerikaanse endpoints.
Maar: je verschuift het risico dan van “toegang” naar “kwetsbaarheid”. Je bent zelf verantwoordelijk voor:
-
Serverhardening
-
Patchmanagement
-
Monitoring
-
Auditability
-
Configuratiebeveiliging
Gebruik je een open-source zonder duidelijke ‘eigenaar’ met de benodigde securitygaranties, een oude/slecht onderhouden oplossing, of software van een partij die juiste investeringen kan of wil maken in het aannemen van experts met de benodigde kennis rondom het ontwikkelen van veilige software, dan introduceer je onnodige andere grote risico’s – zoals bugs, misconfiguraties of zelfs backdoors.
Risico 2: Blokkade van dienstverlening vanuit de VS
Een tweede, fundamenteel ander risico is dat Amerikaanse cloudleveranciers verplicht kunnen worden om diensten te staken aan bepaalde organisaties – ook zonder dat er ooit toegang tot data wordt gevraagd.
Voor lange tijd werd dit risico als theoretisch beschouwd. Maar dat veranderde recent toen Microsoft – op last van de Amerikaanse overheid – de e-mailaccounts van (leden van) het Internationaal Strafhof (ICC) blokkeerde. Het is echter nog steeds niet helemaal duidelijk welke e-mailsaccounts nu precies geblokkeerd zijn. En eerder, in 2022, werd de Amsterdam Trade Bank abrupt afgesneden van haar digitale infrastructuur, omdat Microsoft en Amazon geen diensten meer mochten leveren vanwege sancties.
Wat helpt tegen blokkade van dienstverlening vanuit de VS?
Alleen volledige onafhankelijkheid van Amerikaanse operationele infrastructuur en servicekanalen biedt hier bescherming. Oftewel:
-
Software draaien op eigen infrastructuur (on-premise of private cloud),
-
Zonder functionele afhankelijkheid van Amerikaanse licentiecontrole, identity management, logging-API’s, enzovoort.
Zelf hosten: geen wondermiddel, wél effectief – mits goed uitgevoerd
Zelf hosten is dus een krachtige manier om risico’s 1 én 2 te mitigeren. Maar alleen als:
-
Je de juiste software kiest (security-by-design) zonder onnodige afhankelijkheden
-
De oplossing een aantoonbaar hoog beveiligingsniveau heeft (bijv. SOC 2, onafhankelijke pentests, klantgerichte pentests, bug bounty-programma’s, etc.)
-
Je beschikt over de juiste expertise in huis – of deze extern hebt ingehuurd
De herkomst van de leverancier is dan van secundair belang, zolang jij volledige controle hebt over de opslag, sleutels en werking van de software.
Maar: wie kiest voor eigen hosting moet ook investeren in goed beheer. Denk aan:
-
Netwerksegmentatie
-
Encryptiebeheer
-
Monitoring & alerting
-
Logging
-
Back-up en herstelprocedures
Zonder die maatregelen ben je vrij van de CLOUD Act, maar kwetsbaar op een andere manier.
Wat dit betekent voor Zivver
Zivver is ontwikkeld rondom het principe van zero-access encryptie. Klanten beheren zelf de sleutels; wij – en onze hostingpartners zoals AWS – hebben daar geen toegang toe en we kunnen ook zorgen dat Microsoft, Google, etc. geen toegang heeft tot gevoelige e-mails of bestanden die de organisaties delen. Daarmee mitigeren we risico 1 volledig en zijn we, zover bekend, de enige oplossing in Europa die dit kunnen.
Dat is ook de reden waarom o.a. de Rechtspraak, meerdere Ministeries en andere kritische instellingen voor Zivver kiezen. Zo zijn we de enige oplossing in Nederland die officieel mag worden gebruikt voor de digitale verzending van informatie met classificatie Geheim.
Tot nu toe bood Zivver echter geen alternatief voor organisaties die hun communicatie volledig zelf willen hosten en boden ‘alleen maar e-mail’. Maar daar komt nu verandering in.
Wat we sinds kort kunnen bieden dankzij onze samenwerking met Kiteworks
Om echte datasoevereiniteit mogelijk te maken, is meer nodig dan encryptie of EU-datacenters. Veel organisaties willen volledige autonomie: geen afhankelijkheid van Amerikaanse infrastructuur, wél de voordelen van moderne samenwerkingstechnologie. Precies daarom is Zivver een strategische samenwerking aangegaan met Kiteworks.
Samen bieden we nu een volledig soevereine communicatie- en samenwerkingsoplossing die verder gaat dan e-mail alleen. Organisaties kunnen hiermee:
-
Veilig e-mailen
-
Gevoelige bestanden delen (MFT)
-
Samenwerken aan documenten (file collaboration)
-
Veilige webformulieren inzetten
...met:
-
Zero-access encryptie, waarbij alleen jij de sleutels beheert
-
Volledige controle over data, infrastructuur en toegang
-
Ondersteuning voor compliance aan o.a. NIS2, BIO en ISO 27001
-
Het gebruiksgemak van moderne SaaS-oplossingen
Dankzij deze samenwerking kunnen we nu ook binnen het Private Data Network (PDN): een oplossing bieden die écht soeverein is: één platform voor veilige digitale communicatie, volledig beheerd door de overheid of een vertrouwde Europese partij – zonder functionele of juridische afhankelijkheid van Amerikaanse techreuzen.
Echte datasoevereiniteit is hiermee geen toekomstvisie meer, maar een praktisch realiseerbaar alternatief.
De conclusie: échte datasoevereiniteit vraagt meer dan locatie of label
-
Data opslaan in de EU is niet genoeg
-
Encryptie werkt alleen als de sleutels echt alleen van jou zijn
-
En “eigen hosting” is pas veilig als je de juiste software én expertise in huis hebt
Met de samenwerking tussen Zivver en Kiteworks is er nu eindelijk een oplossing die dit alles combineert: volledige datasoevereiniteit, zonder concessies op gebruiksgemak, functionaliteit of compliance.
Of je nu kiest voor e-mail, bestandsdeling, veilige formulieren of samenwerking aan documenten: je draait het vanaf nu op je eigen voorwaarden – in een private cloud of on-premise. Zonder toegang voor derden. Zonder afhankelijkheid van Amerikaanse leveranciers.
