Je data staat in een datacenter in Amsterdam. Veilig, toch? Niet per se. Want waar je data fysiek staat en wie er juridisch bij kan zijn twee heel verschillende dingen.
De afgelopen jaren is het begrip 'digitale soevereiniteit' van een abstract beleidsconcept naar een concrete bedrijfsvraag verschoven. Niet alleen voor overheden, maar voor iedere organisatie die klantdata, bedrijfsgeheimen of medische gegevens verwerkt. En er is een reden waarom dat juist nu speelt.
Wat is digitale soevereiniteit?
In de kern gaat het hierom: heb jij als organisatie daadwerkelijk controle over je eigen data en digitale infrastructuur? Dat klinkt als een ja-of-nee-vraag, maar in de praktijk zijn er grijstinten.
Controle betekent weten waar data staat. Maar ook: weten wie er toegang toe heeft, onder welke wetgeving die data valt en wat er gebeurt als een buitenlandse overheid aanklopt bij je cloudprovider. Die laatste vraag is minder hypothetisch dan het klinkt.
De CLOUD Act en FISA 702: waarom datalocatie niet genoeg is
De Amerikaanse CLOUD Act (2018) geeft Amerikaanse autoriteiten het recht om data op te vragen bij Amerikaanse bedrijven, ongeacht waar die data fysiek is opgeslagen. Je Microsoft 365-omgeving kan draaien in een datacenter in Amsterdam-Zuidoost, maar als Microsoft een verzoek krijgt van een Amerikaanse rechtbank, zijn ze wettelijk verplicht om mee te werken.
FISA Section 702 gaat nog een stap verder. Onder deze wet hoeven Amerikaanse inlichtingendiensten geen gerechtelijk bevel om data op te vragen van niet-Amerikanen buiten de VS. Zolang de betrokkene geen Amerikaans staatsburger is, volstaat een interne goedkeuring.
Voor Nederlandse bedrijven die werken met AWS, Azure, Google Cloud of andere Amerikaanse providers heeft dit directe gevolgen. De data mag dan in Europa staan, de provider valt onder Amerikaans recht.
Het Data Privacy Framework (DPF) dat de EU en VS in 2023 afsloten lost dit niet op. Het DPF regelt spelregels voor gegevensoverdracht, maar staat niet in de weg van CLOUD Act- of FISA-verzoeken. Die lopen via een ander juridisch spoor.
Het jurisdictieprobleem in beeld
Fysieke locatie ≠ juridische bescherming. De nationaliteit van je provider bepaalt welke wetgeving van toepassing is.
e-Evidence: ook binnen Europa verandert het speelveld
Vanaf augustus 2026 treedt de Europese e-Evidence verordening in werking. Die maakt het mogelijk dat opsporingsdiensten uit EU-lidstaten rechtstreeks data opvragen bij dienstverleners in andere lidstaten, zonder tussenkomst van de organisatie die eigenaar is van die data.
Concreet: een Roemeense aanklager kan straks bij een Nederlandse hostingprovider aankloppen voor klantdata, met een reactietermijn van 10 dagen. In urgente gevallen zelfs 8 uur.
Dit laat zien dat digitale soevereiniteit geen puur trans-Atlantisch verhaal is. Ook binnen Europa ontstaan nieuwe routes naar data die nu nog achter gesloten deuren zit.
NIS2 en de Cyberbeveiligingswet: compliance wordt verplicht
Parallel hieraan wordt de NIS2-richtlijn omgezet in de Nederlandse Cyberbeveiligingswet, met een verwachte inwerkingtreding in het tweede kwartaal van 2026. Deze wet brengt fors meer organisaties onder een verplicht cybersecurityregime.
Waar de oude WBNI (Wet Beveiliging Netwerk- en Informatiesystemen) zich beperkte tot een handvol vitale sectoren, raakt NIS2 een veel bredere groep: energie, transport, gezondheidszorg, digitale infrastructuur, maar ook managed service providers, datacenter operators en fabrikanten van netwerkapparatuur.
De verplichtingen zijn concreet: risicobeheer, incidentmelding, supply chain security en aantoonbare maatregelen. Bestuurders worden persoonlijk verantwoordelijk.
Wat dit voor Nederlandse bedrijven betekent
De combinatie van deze ontwikkelingen dwingt organisaties om verder te kijken dan "onze data staat in Nederland". Drie vragen zijn nu relevant:
Wie is je provider, en onder welke wetgeving vallen zij?
Een datacenter in Amsterdam is een goed begin, maar als de provider Amerikaans is, valt de data potentieel onder de CLOUD Act. Kies je bewust voor een Nederlandse of Europese provider, dan beperk je dat risico.
Welke data is werkelijk gevoelig?
Niet alles hoeft in een kluis. Een marketingwebsite heeft andere eisen dan een patientdossier of financiele data. Classificeer je data en pas je infrastructuurkeuzes daarop aan.
Hoe zit je supply chain in elkaar?
Data lekt niet alleen via je primaire provider. Back-ups bij een MSP, SaaS-tools voor HR of finance, disaster recovery via een derde partij – elk van die schakels kan een zwak punt zijn.
Tijdlijn: wetgeving die jouw data raakt
De Tweede Kamer beweegt mee
De politieke wind waait dezelfde kant op. In juni 2025 nam de Tweede Kamer een motie aan die stelt dat in 2029 minstens 30% van alle cloudopslagdiensten en -applicaties van de rijksoverheid van Nederlands-Europese bodem moet komen. De motie, ingediend door GroenLinks-PvdA en NSC, werd breed gesteund.
Dat percentage lijkt bescheiden, maar gezien de huidige afhankelijkheid van Microsoft en andere Amerikaanse hyperscalers is het een significante koerswijziging. En waar de overheid gaat, volgt de markt vaak.
Praktische stappen
Digitale soevereiniteit hoeft geen alles-of-niets-project te zijn. Een paar concrete stappen om mee te beginnen:
1. Breng je datastromen in kaart
Waar staat je data? Welke providers gebruik je? Onder welke jurisdictie vallen zij? Dit klinkt basaal, maar het Uniserver-onderzoek onder 1.023 IT-beslissers (2026) laat zien dat veel organisaties hier geen volledig beeld van hebben.
2. Classificeer je data
Maak onderscheid tussen publieke, interne en vertrouwelijke data. Vertrouwelijke data – persoonsgegevens, financiele data, medische dossiers – verdient een provider die volledig onder Europees recht opereert.
3. Evalueer je providers
Vraag je af: is mijn cloudprovider onderworpen aan de CLOUD Act? Waar staan hun servers? Wie heeft toegang? En hebben zij de juiste certificeringen (ISO 27001, NEN 7510, SOC 2)?
4. Kijk verder dan opslag
Back-ups, disaster recovery en SaaS-tools zijn onderdeel van je dataketen. Als je primaire hosting soeverein is maar je back-ups bij een Amerikaanse partij liggen, heb je een blinde vlek.
5. Bereid je voor op NIS2
De Cyberbeveiligingswet komt eraan. Begin met een gap-analyse: waar sta je nu, en wat moet er nog gebeuren? Het NCSC biedt een zelfevaluatietool om te bepalen of je organisatie onder de wet valt.
De verschuiving: van cloud-first naar control-first
De trend is duidelijk. Organisaties verschuiven van "we gaan naar de cloud" naar "we kiezen de juiste cloud, onder de juiste voorwaarden". Private cloud en hybride modellen winnen terrein – niet omdat public cloud slecht is, maar omdat bedrijven bewuster willen kiezen welke data waar staat en wie erbij kan.
Uit het Uniserver-onderzoek blijkt dat private cloud inmiddels de meest gebruikte vorm van dataopslag is, gevolgd door hybride omgevingen. Volledig public cloud vormt een minderheid. Een ruime meerderheid geeft aan dat digitale autonomie expliciet onderdeel is van de IT-strategie.
Dat is niet alleen een technische verschuiving. Het is een bestuurlijke keuze die raakt aan risicomanagement, compliance en bedrijfscontinuiteit.
Conclusie
Digitale soevereiniteit is geen abstract beleidsthema meer. Het raakt direct aan de keuzes die je als organisatie maakt over hosting, cloudproviders en databeheer. De combinatie van de CLOUD Act, e-Evidence, NIS2 en politieke druk vanuit Den Haag maakt dat "we staan in een Nederlands datacenter" niet langer volstaat als antwoord.
De vraag is niet of je er iets mee moet, maar wanneer je begint.