De afgelopen jaren hebben Nederlandse organisaties massaal de stap naar de cloud gemaakt. Begrijpelijk: schaalbaarheid, flexibiliteit en snelheid van innovatie zijn simpelweg onweerstaanbaar. Maar onder die digitale versnelling ligt een ongemakkelijke vraag: van wie is jouw data eigenlijk nog echt?
Met oplopende geopolitieke spanningen en een afnemend vertrouwen in buitenlandse overheden wordt die vraag steeds urgenter. Sovereign cloud is daarom niet langer een niche-oplossing. Het kan een strategische keuze zijn voor Nederlandse overheden, semi-overheden en ondernemingen.
De ongemakkelijke realiteit van de cloud
De meeste cloudplatformen die wij dagelijks gebruiken zijn ontwikkeld door Amerikaanse techbedrijven. Dat betekent automatisch dat zij vallen onder Amerikaanse wetgeving. En daar wringt het.
Wetgeving zoals de Amerikaanse CLOUD Act geeft autoriteiten de mogelijkheid om data op te vragen. Ongeacht waar die data fysiek staat opgeslagen. Dus ook als jouw data in een datacenter in Europa staat, kan deze juridisch toegankelijk zijn voor de Amerikaanse overheid.
Er zijn een aantal gebieden van zorg:
- De grootste juridische zorg is de Amerikaanse CLOUD Act (Clarifying Lawful Overseas Use of Data Act). Deze wetgeving bepaalt dat Amerikaanse techbedrijven én hun dochterondernemingen op grond van een Amerikaans bevel data moeten overhandigen, ongeacht waar die data fysiek is opgeslagen.
- Spanning met de Europese AVG (Algemene Verordening Gegevensbescherming, in het Engels GDPR). Volgens deze Europese wetgeving mogen persoonsgegevens niet zomaar worden doorgespeeld aan buitenlandse overheden die geen adequaat beschermingsniveau bieden.
- Geheime vorderingen en ‘gag orders’. Onder Amerikaanse wetgeving kunnen overheidshandelingen gepaard gaan met een geheimhoudingsplicht (gag order). Dit betekent dat een cloudleverancier wettelijk verplicht kan worden om gegevens af te staan aan de Amerikaanse overheid, zonder dat de Europese klant of de getroffen burger daar ooit van op de hoogte wordt gesteld. Dat botst natuurlijk onmiddellijk met de in de AVG geëiste transparantie.
Geopolitiek maakt IT architectuur ineens strategisch
Wat vroeger een puur technische keuze was, is vandaag een geopolitieke beslissing geworden. Europa is voor een groot deel afhankelijk van niet-Europese cloudproviders.
Dat betekent dat een groot deel van onze digitale infrastructuur indirect onder invloed staat van buitenlandse belangen.
En dat blijft niet zonder gevolgen. Er zijn concrete situaties waarin politieke beslissingen impact hadden op IT-diensten en accounts, bijvoorbeeld door sancties vanuit de VS. Twee meer bekende voorbeelden zijn:
- GitHub blokkeert toegang voor gebruikers uit landen waaraan VS sancties heeft opgelegd. In de zomer van 2019 werden softwareontwikkelaars in onder meer Iran, Cuba en de Krim plotseling geconfronteerd met beperkingen op hun GitHub-accounts. GitHub, ’s werelds grootste platform voor het delen en beheren van broncode, is gevestigd in de Verenigde Staten en werd in 2018 overgenomen door Microsoft.
- Gevolgen voor het Internationaal Strafhof (ICC) in Den Haag. Toen de VS sancties instelde tegen individuele medewerkers en aanklagers van het Internationaal Strafhof, mochten bepaalde functionarissen niet langer gebruikmaken van diensten zoals Microsoft 365, Google Workspace en online banksystemen. Techgiganten moesten accounts blokkeren om boetes van de Amerikaanse overheid te vermijden.
Het scenario waar organisaties zich zorgen over maken:
Wat als jouw IT-platform in handen is van een partij die onder druk gezet kan worden door een buitenlandse overheid?
Wat als jouw data wordt gedeeld met een overheid, zoals de Amerikaanse, zonder dat je dat weet?
Wat als — in extreme omstandigheden — jouw systemen niet meer volledig beschikbaar zijn?
Wat is sovereign cloud (en waarom is het anders)?
Sovereign cloud draait om controle.
- Data blijft binnen de EU.
- Data valt onder Europese wetgeving.
- Beheer en toegang liggen bij Europese partijen.
- Buitenlandse toegang wordt geminimaliseerd.
Het doel is helder: organisaties kunnen de voordelen van de cloud benutten zonder de controle over hun data te verliezen.
Technologisch gaat dit verder dan locatie alleen. Het kan gaan om eigenaarschap of om het inzetten van encryptie (om gegevens onleesbaar te maken voor derden), of bijvoorbeeld confidential computing, waarbij zelfs de cloudprovider geen toegang heeft tot data tijdens verwerking.
Hyperscalers komen in actie
Zowel AWS, van Amazon, als Microsoft spelen in op deze behoefte.
- AWS ontwikkelde een European Sovereign Cloud die volledig binnen de EU wordt beheerd.
- Microsoft lanceerde uitgebreide sovereign oplossingen waarbij data in Europa blijft en onder Europese controle valt.
Maar de fundamentele vraag blijft bestaan:
Hoe soeverein is een cloud als de leverancier zelf niet Europees is? Zelfs met technische en organisatorische maatregelen blijft er discussie over juridische afhankelijkheid.
OutSystems ODC self-hosted
Een interessante ontwikkeling – en mogelijk een volgende stap in deze discussie – werd aangekondigd tijdens OutSystems ONE Conference 2026 in Amsterdam:
OutSystems Developer Cloud (ODC) wordt beschikbaar voor self-hosted deployment. Zie https://www.outsystems.com/product-updates/odc-self-hosted.
Dit verandert het speelveld. Waar veel sovereign cloud oplossingen nog steeds draaien op (aangepaste) hyperscaler-infrastructuur, maakt ODC een andere benadering mogelijk:
- Volledige deployment in je eigen datacenter in Europa,
- of zelfs op je eigen on-premise servers
- Volledige controle over:
- infrastructuur
- data
- runtimes
- netwerktoegang
Waarom dit belangrijk is
Deze ontwikkeling raakt precies de kern van de zorgen rondom souvereiniteit:
- Geen risico dat een buitenlandse overheid toegang afdwingt via de provider.
- Geen afhankelijkheid van geopolitieke beslissingen.
- Volledige controle over business continuity.
Het sluit daarmee perfect aan op de behoefte die in Europa steeds sterker wordt: digitale autonomie.
Conclusie: de cloud is niet langer neutraal
Welke cloudomgeving je gebruikt is geen puur technische keuze meer. Het is een strategische keuze – met juridische, politieke en economische gevolgen.
Voor Nederlandse bedrijven betekent dit:
- Denk na over waar je data staat.
- Begrijp wie er toegang toe kan krijgen.
- Maak bewust keuzes in je architectuur.
Sovereign cloud is daarin een belangrijke stap. En met ontwikkelingen zoals OutSystems ODC self-hosted komt volledige autonomie, voor wie dat wil, een stuk dichterbij.
Heb je vragen over het beheer van je OutSystems omgeving? CoolProfs staat voor je klaar.
Door Stan Visscher, CoolProfs