Cloudsoevereiniteit is een onderwerp dat steeds vaker op tafel komt. Zeker bij overheden, zorginstellingen en organisaties met gevoelige data. Recent pauzeerde de Belastingdienst nog de uitrol van Microsoft 365. De vraag die daarbij vaak wordt gesteld: hoe afhankelijk willen we zijn van grote cloudleveranciers (ook wel hyperscalers) zoals Microsoft, AWS of Google?
Een logische vraag, maar ook eentje die vaak te zwart-wit wordt benaderd.
Want laten we eerlijk zijn: volledige onafhankelijkheid bestaat vrijwel niet. Niet in de cloud, maar ook niet in een traditioneel datacenter. Uiteindelijk ben je altijd afhankelijk van hardware, software, leveranciers of gespecialiseerde kennis.
De interessantste vraag is daarom niet of een platform volledig soeverein is, maar hoeveel regie je zelf houdt wanneer omstandigheden veranderen.
Wanneer cloudsoevereiniteit ter sprake komt, gaat het gesprek al snel over de locatie van data. Staat die in Nederland? Of in Europa? Dat is zeker relevant, maar het is slechts een deel van het verhaal. In de praktijk draait soevereiniteit om vier vragen:
Deze eerste vraag gaat over juridische soevereiniteit en richt zich op wet- en regelgeving. Hierbij draait het om vragen als: onder welke jurisdictie valt een leverancier? Wie kan toegang afdwingen tot data? En welke rechten heeft een organisatie bij geschillen? Voor dataplatformen is dit vooral relevant wanneer gevoelige of vertrouwelijke gegevens worden verwerkt. Data kan weliswaar fysiek binnen Europa worden opgeslagen, maar wanneer een leverancier onder buitenlandse wetgeving valt, kan dat nog steeds gevolgen hebben voor de mate van controle over die gegevens.
De tweede vraag gaat over operationele soevereiniteit. Dit betreft de dagelijkse bestuurbaarheid van het platform. Heeft de organisatie voldoende kennis, processen en tooling om het platform zelf te beheren, beveiligen, monitoren en herstellen? Een organisatie die volledig afhankelijk is van één leverancier of een beperkte groep specialisten heeft weinig operationele autonomie, ongeacht waar de data staat opgeslagen. Daarom spelen zaken als Infrastructure as Code, geautomatiseerde deployments, monitoring en een goed ingerichte governance een belangrijke rol.
De derde vraag gaat over strategische soevereiniteit en kijkt vooral naar de langere termijn. Hoe afhankelijk is een organisatie van één leverancier, technologie of cloudplatform? Kun je overstappen wanneer prijzen stijgen, functies verdwijnen of geopolitieke ontwikkelingen daar aanleiding toe geven? Voor dataplatformen betekent dit dat een exitstrategie minstens zo belangrijk is als de initiële keuze voor een technologie. De vraag is niet of een organisatie ooit wil migreren, maar of zij die mogelijkheid behoudt wanneer dat noodzakelijk wordt.
De laatste vraag gaat over technologische soevereiniteit. Deze vorm van soevereiniteit gaat over het gebruik van open standaarden, open formaten en breed gedragen technologieën. Als je data opslaat in open formaten zoals Delta Lake en Parquet, code beheert in Git en infrastructuur vastlegt in Terraform of vergelijkbare standaarden, ontstaat een veel grotere mate van flexibiliteit binnen een dataplatform. De organisatie wordt dan minder afhankelijk van één specifieke leverancier en behoudt de mogelijkheid om delen van haar platform in de toekomst te verplaatsen of te vervangen. Juist op dit vlak kunnen architectuurkeuzes een groot verschil maken.
Voor data-architecten zijn die laatste twee vragen erg interessant, want dit is waar een goed uitgewerkte data-architectuur verschil maakt.
In discussies over digitale soevereiniteit gaat het vaak over waar data wordt opgeslagen. En dat is relevant, maar veel belangrijker is: wie kan er toegang krijgen tot jouw data?
Microsoft biedt de EU Data Boundary. Daarmee streeft Microsoft ernaar om klantdata zoveel mogelijk binnen de Europese Unie op te slaan en te verwerken. Daarbij zijn er wel uitzonderingen. Denk aan wereldwijde security-operaties, incidentrespons of diensten die nog niet volledig vanuit Europa geleverd kunnen worden. Daarnaast biedt de EU Data Boundary geen volledige bescherming tegen wetgeving zoals de Amerikaanse Cloud Act.
Voor organisaties die maximale digitale autonomie nastreven, kan dat een reden zijn om alternatieven voor een Amerikaanse hyperscaler als Microsoft te onderzoeken. Tegelijkertijd is het belangrijk om de juridische context goed te begrijpen. De Cloud Act betekent namelijk niet dat gegevens zomaar gedeeld mogen worden. Wanneer het om persoonsgegevens gaat, gelden in Europa nog steeds de eisen van de AVG. Amerikaanse verzoeken om toegang tot data kunnen daardoor juridische spanningen opleveren en zijn onderhevig aan waarborgen, toetsing en procedures.
Voor Amerikaanse bedrijven is het dus echt niet zomaar mogelijk om toegang tot de data te krijgen. Maar hoe zit het dan met de Amerikaanse overheid? Kan die zomaar toegang krijgen tot Europese data die in Microsoft Azure staat? Het eerlijke antwoord is: in theorie wel. In de praktijk is ook dit sterk gereguleerd en voorzien van juridische waarborgen, maar het risico kan niet volledig worden uitgesloten.
Uiteindelijk moet iedere organisatie zelf bepalen hoe zij deze risico's waardeert. Vind je de bestaande maatregelen voldoende of niet? Daarbij is het goed om te beseffen dat het verlaten van een hyperscaler als Microsoft ook nieuwe uitdagingen met zich meebrengt, zoals hogere kosten, minder functionaliteit, minder beheergemak en een grotere behoefte aan specialistische kennis.
Voor yellow arrow blijft Microsoft nog steeds een logische keuze als cloudleverancier, omdat de voordelen vaak niet opwegen tegen de nadelen. Wel adviseren wij om bewuste keuzes te maken ten opzichte van architectuur. Hiermee kun je je wendbaarheid enorm vergroten en de inspanning verkleinen die nodig is om over te stappen naar een andere provider.
Blijf je vasthouden aan Microsoft? Dan is het belangrijk om per dienst te beoordelen in hoeverre deze binnen de EU Data Boundary valt. Diensten zoals Microsoft 365 Copilot en Microsoft Fabric houden rekening met deze datagrens. Maar aanvullende AI-modellen van externe leveranciers, zoals bijvoorbeeld een Claude van Anthropic, kunnen andere verwerkingslocaties en voorwaarden hebben.
Uiteindelijk draait digitale soevereiniteit niet alleen om technologie of wetgeving, maar vooral om een bewuste afweging van risico's, afhankelijkheden en vertrouwen. Het gaat niet om de vraag of een oplossing honderd procent soeverein of risicovrij is, maar of de resterende risico's acceptabel zijn voor jouw organisatie.
Wij kijken daarom liever naar digitale wendbaarheid dan naar theoretische soevereiniteit. Stel dat regelgeving verandert. Of prijzen stijgen. Of een leverancier een strategische koerswijziging maakt. Hoeveel moeite kost het dan om een andere keuze te maken? Dat is uiteindelijk een veel praktischere manier om naar autonomie te kijken. Een organisatie die werkt met open standaarden, Infrastructure as Code, versiebeheer en een goed gedocumenteerde architectuur kan veel makkelijker bewegen dan een organisatie die volledig vastzit in één technologie of leverancier. Niet omdat ze morgen wil vertrekken, maar omdat ze de mogelijkheid houdt om dat te doen.
Een goede exitstrategie wordt nog vaak gezien als een formaliteit. Terwijl het juist één van de belangrijkste onderdelen van digitale wendbaarheid is.
Een exitstrategie gaat namelijk over vragen als:
De grootste risico's zitten daarbij vaak niet in de techniek, maar in afhankelijkheden die in de loop van de tijd ontstaan. Vendor lock-in, specifieke kennis die bij enkele specialisten ligt of processen die nergens goed gedocumenteerd zijn. Hoe eerder je hier rekening mee houdt, hoe kleiner die afhankelijkheid wordt.
Volledige cloudsoevereiniteit bestaat in de praktijk eigenlijk niet. Ook organisaties die bewust kiezen voor maximale autonomie blijven afhankelijk van leveranciers, kennis, technologie en internationale ketens. Het blijven kiezen voor een hyperscaler zoals Microsoft beschouwen wij als een valide en goed verdedigbare strategische keuze, mits er blijvend inzicht is in de risico’s en deze binnen de gestelde risicobereidheid acceptabel blijven. Wij helpen uiteraard graag mee om die risico’s inzichtelijk te maken.
Wat wél verstandig is, is het vergroten van je digitale wendbaarheid. Naast het identificeren en afwegen van risico’s is het verstandig om bewust te kiezen voor open standaarden, een exitstrategie serieus te nemen en architectuurkeuzes te maken die flexibiliteit en wendbaarheid behouden. Daarmee verschuift de discussie van: waar staat mijn data? naar een veel belangrijkere vraag: Hebben we voldoende zicht op alle risico’s en houden we voldoende regie om morgen opnieuw te kunnen kiezen?
Want cloudsoevereiniteit gaat uiteindelijk niet over eigenaarschap van de cloud. Het gaat over eigenaarschap van je keuzes binnen een snel veranderende wereld.
Ben je benieuwd wat de risico’s voor jouw organisatie zijn en wat je zou kunnen doen om wendbaarder te worden? Neem dan gerust contact met ons op.