Waarom het (bijna) niet uitmaakt of uw data in Amerika staat

Laat ik meteen met de meest hardnekkige misvatting beginnen, want bijna elk gesprek over clouddata en soevereiniteit struikelt erover. Men denkt doorgaans dat het probleem is dat de data "in Amerika staat". Maar dat is bijna nooit de essentie. Stel dat Amazon morgen technisch zou garanderen dat alle Europese klantdata voor altijd fysiek in Frankfurt of Brandenburg blijft en nooit meer een Amerikaanse server raakt, zou uw organisatie daarmee beschermd zijn tegen de Amerikaanse CLOUD Act? Nee. Het adres van het datacenter, om het zo te stellen, doet er voor die vraag namelijk niet toe. Het gaat erom wie het bedrijf achter dat datacenter bezit en onder welk recht dat bedrijf gedwongen kan worden om te leveren. Dat verschil, tussen waar data zich bevindt en wie erbij kan, is de kern van waar dit stuk over gaat.

De volgende gebeurtenis ligt bij sommigen nog vers in het geheugen en is relevant om het onderscheid tussen juridische en technische relevantie. Op 20 oktober 2025 viel voor ruim veertien uur een groot deel van het digitale leven van honderden miljoenen mensen stil: Snapchat, Fortnite, Duolingo, Signal, Ring-deurbellen, bankapps, zelfs de Britse belastingdienst HMRC. De oorzaak lag niet bij die bedrijven zelf, maar bij één regio van één cloudleverancier, US-East-1, de oudste en grootste regio van Amazon Web Services in Noord-Virginia. Een DNS-race condition (teveel updates en verwijderingen van domeinrecords tegelijk) in de interne systemen van DynamoDB liep uit de hand en trok tientallen onderliggende diensten mee. Downdetector registreerde die dag meer dan 6,5 miljoen meldingen, verspreid over ruim duizend diensten wereldwijd.

Die storing had, zoals verderop blijkt, niets met soevereiniteit te maken en alles met architectuur. Maar deze casus illustreert wel waarom AWS een goed studieobject is. Niet omdat het bedrijf slechter zou zijn dan Microsoft of Google, maar omdat het de grootste hyperscaler is en omdat het, sinds januari 2026, zelf een nieuw antwoord claimt te hebben op de soevereiniteitsvraag, de AWS European Sovereign Cloud. Dat antwoord vereist echter een nuchtere blik met oog voor wat er wél verandert, wat er ondanks alle Europese vlaggen hetzelfde blijft, en waar soevereiniteit geen invloed op heeft.

Het is belangrijk om vanaf het begin twee dingen uit elkaar te houden die AWS zelf ook bewust apart positioneert.

AWS draait al jaren reguliere regio's binnen de Europese Unie, in Frankfurt, Ierland, Parijs, Stockholm, Milaan, Zürich en Spanje. Dit zijn gewone AWS-regio's, technisch en organisatorisch onderdeel van hetzelfde wereldwijde AWS-netwerk als US-East-1 of de regio's in Singapore en São Paulo. Data die u hier opslaat, blijft in de praktijk fysiek binnen de EU staan, maar het identiteits- en toegangsbeheer en uiteindelijk de zeggenschap lopen via dezelfde wereldwijde Amazon-organisatie.

Sinds 15 januari 2026 is er een tweede systeem algemeen beschikbaar. Die bestaat uit een eigen “partition” met eigen identiteitsbeheer, geen gedeelde inlog en geen gedeeld controlevlak met de rest van de AWS-wereld, met als eerste regio Brandenburg, in Duitsland. Amazon investeert hier naar eigen zeggen meer dan 7,8 miljard euro tot 2040, met uitbreidingsplannen naar België, Nederland en Portugal via sovereign Local Zones. De European Sovereign Cloud (ESC) zoals dit wordt genoemd, wordt gerund via aparte Duitse vennootschappen, met dus een eigen identiteits- en toegangsbeheer, een eigen DNS, een eigen certificaatautoriteit en personeel dat in de EU woont en werkt. Binnen enkele maanden na lancering behaalde het platform de Duitse BSI C5-attestatie, verschillende ISO-certificeringen en SOC2-compliance, en dat is geen kleinigheid voor zo'n jong initiatief.

Het verschil met een gewone EU-regio is er dus. De European Sovereign Cloud is fysiek en logisch afgescheiden van de rest van AWS, en niet slechts een geografisch label op dezelfde infrastructuur. Voor sommige toepassingen, met name in de publieke sector en in gereguleerde sectoren, is dat een wezenlijke verbetering.

Maar wat er niet is veranderd, is de eigendomsstructuur. Alle vier de Duitse vennootschappen achter de European Sovereign Cloud zijn voor honderd procent dochterondernemingen van Amazon.com Inc., statutair gevestigd in de staat Washington, US. En daar begint het adres van het datacenter aan betekenis in te boeten.

De Amerikaanse CLOUD Act uit 2018 geeft Amerikaanse opsporings- en inlichtingendiensten de bevoegdheid om van bedrijven die onder Amerikaans recht vallen, data op te eisen die zij in bezit, beheer of controle hebben, ongeacht waar die data fysiek staat. Het criterium is niet de locatie van de server, maar de vraag of een Amerikaanse moedermaatschappij een dochteronderneming kan dwingen om te leveren. Een Duitse GmbH die voor honderd procent eigendom is van een Amerikaans moederbedrijf, voldoet in beginsel aan dat criterium, hoe Europees het personeel, de infrastructuur en het identiteitsbeheer ook zijn ingericht. Het adres van het datacenter is dus irrelevant, de vestigingsplaats van de moedermaatschappij telt.

Voor de scherpte van dit verhaal is het goed om de CLOUD Act niet op één hoop te vegen met twee andere regimes waarmee hij vaak wordt verward. De CLOUD Act zelf regelt opsporing. Op vordering van het Amerikaanse Openbaar Ministerie in een concreet strafrechtelijk onderzoek kan een Amerikaanse rechter een in de VS actief bedrijf bevelen specifieke data te leveren, met voor de inhoud van communicatie doorgaans een rechterlijke machtiging die vergelijkbaar is met een huiszoekingsbevel. 

CLOUD Act staat voor “Clarifying Lawful Overseas Use of Data Act", schrijf je daarom met hoofdletters, en beslaat alle digitale data onder het beheer van een US provider, dus niet uitsluitend data in de cloud (gewone letters). Een procentueel aandeel in bijvoorbeeld een joint venture vormt niet de doorslag, het gaat om de controle over de data in de praktijk. Kan die controle niet worden uitgevoerd, bijvoorbeeld vanwege versleuteling, dan heeft deze Amerikaanse provider feitelijk geen macht. Op deze constructie kom ik nog terug in dit artikel.

FISA, en met name Section 702 daarvan, regelt geen opsporing maar inlichtingenvergaring, en staat de NSA toe om, op basis van een jaarlijkse, generieke certificering van de geheime FISA-rechtbank in plaats van een individueel bevel per zaak, doelgerichte surveillance uit te voeren op niet-Amerikanen buiten de Verenigde Staten. Precies dat regime lag aan de basis van de Snowden-onthullingen en van de Schrems-arresten. Deze wet liep in juni 2026 formeel af, het Congres moet een nieuwe verlenging nog goedkeuren, maar bestaande certificeringen die de FISA-rechtbank in maart 2026 nog afgaf, blijven geldig tot maart 2027.

Executive Order 14086 uit 2022 is ten slotte geen wet maar beleid van de uitvoerende macht. Zij verplicht Amerikaanse inlichtingendiensten tot een noodzakelijkheids- en proportionaliteitstoets en introduceerde de Data Protection Review Court, en vormt daarmee de juridische ruggengraat van het Data Privacy Framework.

Voor de praktijk maakt het onderscheid weinig uit, want langs alle drie de wegen kan een Amerikaans bedrijf uiteindelijk worden gedwongen mee te werken. Maar wie het verschil kent, snapt ook beter waarom het politieke debat over het Data Privacy Framework zich vrijwel volledig op het FISA-regime concentreert waarbij EO 14086 regulerend werkt, en nauwelijks op de CLOUD Act.

De CLOUD Act ontstond overigens niet uit het niets. De directe aanleiding was de zaak Microsoft Ireland, waarin de Amerikaanse overheid tussen 2013 en 2018 e-mails probeerde op te eisen die op een Ierse Microsoft-server stonden, in het kader van een drugsonderzoek. Microsoft weigerde aanvankelijk en vocht de zaak uit tot aan het Amerikaanse Hooggerechtshof, met als argument dat Amerikaanse opsporingsbevoegdheid niet tot Ierland reikte. Het Congres maakte die discussie in maart 2018 met de CLOUD Act in één klap irrelevant: sindsdien is het onderscheid tussen de locatie van de server en de nationaliteit van het bedrijf wettelijk weggenomen. Een juridische analyse die het Nederlandse Nationaal Cyber Security Centrum liet opstellen, bevestigt de kern van dit hoofdstuk vanuit officiële hoek, en stelt dat een EU-entiteit alleen aan de CLOUD Act ontsnapt als zij geen zakelijke band met een Amerikaans bedrijf heeft, of als die Amerikaanse partij geen bezit, beheer of controle over de data heeft. De analyse concludeert expliciet dat een EU-entiteit met een Amerikaans moederbedrijf onder geen enkele omstandigheid aan die controle kan ontsnappen.

Dat het geen hypothetische kwestie is, blijkt uit het volgende. In de zomer van 2025 werd Microsoft-directeur Anton Carniaux, verantwoordelijk voor juridische en publieke zaken bij Microsoft Frankrijk, in een hoorzitting van de Franse Senaat rechtstreeks gevraagd of hij kon garanderen dat Franse overheidsdata nooit zonder expliciete Franse toestemming aan Amerikaanse autoriteiten zou worden overgedragen. Onder ede kon hij die garantie niet geven: bij een juridisch geldig en specifiek Amerikaans bevel is Microsoft verplicht te leveren, ook als de data in een Europees datacenter staat. Hij voegde toe dat dit scenario zich naar eigen zeggen nog niet had voorgedaan bij een Europese onderneming of overheidsinstantie, een geruststelling die volledig steunt op Microsofts eigen, tweejaarlijkse transparantierapportage en dus niet onafhankelijk te verifiëren is.

Voor AWS geldt precies dezelfde structuur, met of zonder European Sovereign Cloud. Een analyse van het gespecialiseerde platform EU Cloud Patterns vat het kernachtig samen: vier Duitse GmbH's veranderen niets aan wat de CLOUD Act betreft, omdat geen van de organisatorische scheidingen iets doet aan de vraag wie het bedrijf uiteindelijk bezit. Zelfs de beheerder van het platform European Cloud, bepaald geen criticaster van AWS, concludeert na eigen onderzoek dat de European Sovereign Cloud geen bescherming biedt tegen de CLOUD Act en de strategische afhankelijkheid van Europa niet vermindert.

Wie hieruit de conclusie trekt dat verhuizen binnen de invloedssfeer van een Amerikaans moederbedrijf weinig oplevert, zit een aardig eind in de goede richting, en die conclusie geldt breder dan alleen voor verhuizingen binnen de EU. Denk aan het Verenigd Koninkrijk, dat voor veel Nederlandse organisaties nog altijd als een aantrekkelijke uitwijkoptie geldt vanwege de taal, de tijdzone en de zakelijke banden. Ook een AWS-, Microsoft- of Google-regio in Londen blijft eigendom van hetzelfde Amerikaanse moederbedrijf, dus de basale CLOUD Act-blootstelling verandert door die keuze niet. Sterker nog, sinds 3 oktober 2022 hebben de Verenigde Staten en het Verenigd Koninkrijk een eigen CLOUD Act-uitvoeringsovereenkomst, die tot 3 oktober 2027 loopt en daarna telkens voor vijf jaar kan worden verlengd. Die overeenkomst vervangt de onderliggende CLOUD Act niet en verkleint haar reikwijdte niet. Ze voegt juist een extra, wederkerig kanaal toe waarmee Britse opsporingsdiensten bij ernstige strafzaken rechtstreeks bij Amerikaanse aanbieders data kunnen opvragen, en omgekeerd. Dus wie kritisch is op de blootstelling van een Europese regio dient nog kritischer te kijken naar Britse regio's.

Een tweede dimensie van “sovereignty washing” zit in de mate waarin u een leverancier daadwerkelijk kunt verlaten. Hier is regelgeving voor. De EU-Dataverordening, volledig van toepassing sinds september 2025, verplicht cloudleveranciers tot een geleidelijke afbouw van overstapkosten. Tot 12 januari 2027 mogen leveranciers nog kosten in rekening brengen die rechtstreeks aan de overstap zijn verbonden, transparant en vooraf overeengekomen, maar na die datum zijn alle overstapvergoedingen, inclusief data-egress-kosten (kosten van het wegmigreren van data), in de gehele EU verboden. Dat geldt voor iedere leverancier die EU-klanten bedient, niet alleen voor Europese leveranciers.

AWS, Microsoft en Google hebben, mede onder deze regulatoire druk, al vanaf 2024 gratis data-uitvoer aangekondigd voor klanten die volledig vertrekken, zij het elk met eigen kleine lettertjes over welke diensten precies meetellen. De wetgeving raakt bovendien uitdrukkelijk niet aan reguliere, doorlopende egress-kosten tussen meerdere clouds tegelijk, alleen aan de eenmalige exit.

Als de migratiekosten wegvallen, blijft de technische lock-in over. Hoe dieper een organisatie leunt op propriëtaire, beheerde diensten zoals DynamoDB, Lambda of Bedrock, of het equivalent bij Azure en Google, hoe duurder en trager een daadwerkelijke overstap wordt, los van wat er op de factuur staat. Wie overstapvrijheid als reëel handelingsperspectief wil behouden, moet dat als architectuurkeuze inbouwen: standaardcomponenten waar mogelijk, portable dataformaten en een expliciete inventarisatie van welke diensten “sticky” zijn. Daar is geen juridische oplossing meer voor zodra het contract is getekend. Het is deel van het ontwerp dat vanaf het begin in de infrastructuur aanwezig moet zijn.

Voor Nederlandse organisaties is er sinds kort bovendien een concreet binnenlands alternatief om die overstap te maken, in elk geval voor de kritieke onderdelen. Op 1 april 2026 presenteerden zeven Nederlandse IT-bedrijven (Centric, Info Support, Intermax, KPN, Nebul, Previder en Uniserver) in Den Haag hun manifest voor de Open Cloud Alliantie, gesteund door Stichting DINL en TNO. Samen beschikken deze partijen naar eigen zeggen over rond de twintig grote datacenters en circa 13.500 gespecialiseerde medewerkers. Zij bieden clouddiensten aan onder Nederlandse en Europese jurisdictie, gebouwd op open standaarden en open source software, juist om vendor lock-in te voorkomen. De alliantie belooft daarnaast continuïteit voor het geval een van de deelnemende partijen ooit door een niet-Europese partij wordt overgenomen, want dan kunnen klanten en data naar de overige leden worden verplaatst. De eerste migraties van overheidsapplicaties zouden volgens de initiatiefnemers nog in 2026 kunnen plaatsvinden. Het initiatief richt zich nadrukkelijk op de overheid, maar de onderliggende belofte, de mogelijkheid om over te stappen door open standaarden in plaats van door regelgeving alleen, is precies het soort ontwerpprincipe dat ook bedrijven zich zouden moeten wensen, ongeacht welke leverancier zij uiteindelijk kiezen.

Bij back-ups doet zich een vergelijkbare denkfout voor als bij primaire opslag. Het idee dat de back-up in Frankfurt staat, zou gelijk staan aan de back-up is onbereikbaar voor buitenlandse autoriteiten. Fysieke locatie zegt iets over technische beschikbaarheid, namelijk hoe snel u kunt herstellen en hoe groot de kans op verlies is bij een regionale storing, maar niets over de juridische bereikbaarheid die hierboven beschreven staat.

Wat wél verschil maakt, is wie de sleutel heeft. Standaard cloudencryptie waarbij de leverancier zelf de sleutels beheert, biedt weinig weerstand tegen een geldig bevel: als de leverancier kan ontsleutelen, kan de leverancier ook worden gedwongen te ontsleutelen. Externe sleutelbeheersystemen, ook wel BYOK of HYOK genoemd, waarbij de encryptiesleutel bij de klant of bij een derde, niet aan het moederbedrijf gelieerde partij ligt, verhogen de feitelijke drempel wél substantieel. Niet omdat het bevel dan ongeldig zou worden, maar omdat de leverancier zelf niets bruikbaars kan overhandigen zonder de sleutelhouder erbij te betrekken. Waar dat toe reikt bij de meest verregaande Europese constructie, die van Thales en Google, bespreek ik hieronder bij de vergelijking met Google.

Een vraag die in dit verband vaak opduikt, is of dit sleuteldebat eigenlijk relevant is: kan de NSA sterke encryptie niet gewoon kraken? Voor correct geïmplementeerde, actuele encryptie zoals AES-256 bestaat daar publiekelijk geen bewijs voor, en recent cryptografisch onderzoek bevestigt dat zelfs een kwantumcomputer AES-256 niet breekt, maar hooguit de effectieve sleutelsterkte halveert, wat nog altijd ruim voldoende bescherming overlaat. Wat wél publiekelijk bekend is, sinds de onthullingen van Edward Snowden, is dat Amerikaanse inlichtingendiensten decennialang de nadruk hebben gelegd op de kwetsbaarheden rond encryptie in plaats van op de encryptie zelf, waaronder verzwakte standaarden zoals de omstreden generator Dual_EC_DRBG, malware op eindpunten, gestolen sleutels, en simpelweg juridische dwang op de partij die de sleutel beheert. Dat laatste is precies het scenario dat dit hoofdstuk beschrijft. Waar de echte, langetermijndreiging wél zit, is bij asymmetrische encryptie zoals RSA en ECC, die wordt gebruikt om sleutels uit te wisselen: een toekomstige kwantumcomputer zou die wél kunnen breken, wat verklaart waarom de Europese Commissie sinds 2024 aandringt op een gecoördineerde overstap naar post-kwantumcryptografie, met 2030 als streefdatum voor kritieke infrastructuur, en waarom inlichtingendiensten nu al versleuteld verkeer onderscheppen en bewaren in de hoop het later alsnog te kunnen lezen, een praktijk die bekendstaat als harvest now, decrypt later. Voor vandaag geldt echter onverkort dat de kortste weg naar uw data niet via de wiskunde loopt, maar via de rechtbank, of, zoals het volgende punt laat zien, via de leverancier zelf.

Voor de praktijk van een gemiddelde organisatie is de vuistregel simpel: vraag bij elke back-upstrategie niet alleen in welke regio de data staat, maar wie er technisch bij de sleutel kan en onder welk rechtsstelsel die partij valt.

Soevereiniteit en een veerkrachtig netwerk zijn twee verschillende zaken, wat in soevereiniteitsdiscussies op de achtergrond bungelt. US-East-1 is geen kwetsbare regio omdat hij Amerikaans is, maar omdat hij, als oudste en grootste AWS-regio, de facto een centrale rol speelt voor tal van wereldwijde AWS-diensten en controlevlakken. Vergelijkbare storingen troffen dezelfde regio in 2020 bij Kinesis, in 2021 bij het EC2-netwerk en in 2022 bij Route 53. Concentratie van kritieke functionaliteit in één regio is een architectuurrisico, ongeacht het land waarin die regio ligt, en een Europese sovereign cloud met eenzelfde soort centrale afhankelijkheid zou een vergelijkbare storing kunnen krijgen.

Waar load balancing en een multi-regio-architectuur, bijvoorbeeld via latency-based routing of een global accelerator, wél tegen beschermen, is een storing die tot één regio beperkt blijft. Waar ze niet tegen beschermen, is een storing in een gedeeld controlevlak of in een dienst waarvan meerdere regio's afhankelijk zijn, precies wat er in oktober 2025 gebeurde.

Voor bestuurders is de praktische les niet dat een Europese cloud voor betere uptime zorgt, want daar is geen enkele aanwijzing voor, maar wel dat er van elke leverancier, soeverein of niet, transparantie mag worden geëist over welke van hun regionale diensten in werkelijkheid afhankelijk zijn van één controlevlak. Ontwerp voor de kritieke onderdelen van uw eigen dienstverlening een architectuur die tegen het uitvallen van één regio bestand is, met de kanttekening dat volledige multi-regio- of multicloudredundantie kosten en complexiteit met zich meebrengt die niet voor elke toepassing te rechtvaardigen zijn.

Naast technische storingen bestaat er een derde vorm van beschikbaarheidsrisico, die niets met architectuur te maken heeft maar alles met jurisdictie: de leverancier die de toegang afsluit, niet door een storing maar door een sanctie of een exportbeperking.

In februari 2025 legden de Verenigde Staten sancties op aan het Internationaal Strafhof, nadat het Strafhof arrestatiebevelen had uitgevaardigd tegen de Israëlische premier Netanyahu en oud-minister Gallant. Uiteindelijk raakten negen ICC-functionarissen gesanctioneerd, onder wie zes rechters en hoofdaanklager Karim Khan. Khan bleek kort daarna geen toegang meer te hebben tot zijn Microsoft-e-mailaccount en moest uitwijken naar het Zwitserse Proton Mail, al ontkent Microsoft zelf de knop te hebben omgezet en stelt het bedrijf dat het Strafhof, dat vanwege een eigen kantoor in de Verenigde Staten onder Amerikaans recht valt, dit account zelf heeft stilgelegd om geen Amerikaanse sanctiewetgeving te overtreden. De Franse rechter Nicolas Guillou, eveneens gesanctioneerd omdat hij het arrestatiebevel had goedgekeurd, ondervond het echter nog directer: zijn Visa-creditcard werkte niet meer, online betalingen voor hotels en vluchten werden onmogelijk, en ook Amazon, Airbnb en Booking.com waren voor hem verboden terrein. Hij typeerde zijn situatie zelf als een burgerlijke dood. Het Strafhof trok in oktober 2025 zijn conclusie en kondigde aan Microsoft Office als instelling de rug toe te keren, ten gunste van OpenDesk, het Duitse open source-alternatief van het overheidsinitiatief ZenDis.

Dit patroon is niet uniek voor het Strafhof, en evenmin voor Microsoft. Al in 2019 blokkeerde GitHub, sinds 2018 zelf een Microsoft-dochter, zonder waarschuwing vooraf de accounts van softwareontwikkelaars in Iran, op de Krim en in Cuba, die daardoor van het ene op het andere moment niet meer bij hun eigen, private broncode konden. Slack deed kort daarna hetzelfde. Adobe ging datzelfde jaar nog een stap verder en deactiveerde, op last van een handelssanctie tegen Venezuela, in één klap alle Venezolaanse Creative Cloud-accounts, dus niet van individueel aangewezen personen maar van elke gewone, betalende gebruiker, aanvankelijk zonder teruggave van reeds betaalde abonnementen. Na kritiek en een aparte licentie van de Amerikaanse overheid werd de toegang enkele weken later hersteld. Dat providers zo snel en zo hard reageren, is overigens geen overdreven voorzichtigheid, want Microsoft betaalde in 2023 zelf meer dan 3,3 miljoen dollar aan de Amerikaanse toezichthouders OFAC en BIS omdat het tussen 2012 en 2019 juist te laat had gereageerd en software was blijven leveren aan gesanctioneerde partijen in Cuba, Iran, Syrië en Rusland. Voor een Amerikaans bedrijf is overhaast afsluiten dus, cynisch genoeg, de rationele keuze.

Het meest recente en wellicht meest veelzeggende voorbeeld speelde zich af rond de nieuwste generatie AI-diensten, ditmaal niet via een sanctie maar via exportcontrole. Op 12 juni 2026 gaf het Amerikaanse ministerie van Handel AI-ontwikkelaar Anthropic de opdracht om de toegang tot zijn nieuwste modellen, Claude Fable 5 en Mythos 5, voor alle niet-Amerikanen wereldwijd stop te zetten, na berichten over een omzeiling van de veiligheidswaarborgen die de modellen zou kunnen inzetten voor het opsporen van softwarekwetsbaarheden en het genereren van exploitcode. Omdat Anthropic geen technische manier had om gebruikers naar nationaliteit te filteren, schakelde het bedrijf beide modellen wereldwijd uit, ook voor Amerikaanse gebruikers en voor zijn eigen buitenlandse werknemers. Anthropic betwistte destijds de ernst van de bevindingen en wees erop dat ook andere, minder geavanceerde modellen tot vergelijkbare resultaten kwamen. Het ministerie trok de exportcontrole op 30 juni 2026 weer in, achttien dagen later, waarna de toegang op 1 juli werd hersteld. Ook hier gold dus geen rechtszaak en geen individuele toets, maar een wereldwijde uitschakeling omdat gerichte uitsluiting van alleen buitenlandse gebruikers technisch niet haalbaar bleek.

Er bestaat trouwens nog een vierde, tot dusver theoretisch gebleven mechanisme: de Defense Production Act uit 1950, die de Amerikaanse president de bevoegdheid geeft om in een crisis Amerikaanse leveranciers te verplichten Amerikaanse afnemers voorrang te geven boven buitenlandse klanten. Nooit toegepast op cloud- of AI-diensten, maar wel breed genoeg geformuleerd om dat in theorie mogelijk te maken, zo signaleerde ook een analyse die instituut Clingendael in opdracht van de Nederlandse inlichtingendienst AIVD schreef.

Voor Nederlandse organisaties die met internationale instellingen, sanctiegevoelige sectoren of anderszins politiek gevoelige dossiers werken, is dit een reëler risico dan het CLOUD Act-scenario, en een goede reden om voor die specifieke categorie werk niet blind te varen op een Amerikaanse leverancier, hoe Europees de regio ook heet.

Dit is het gebied waar ik als jurist het meeste onderscheidingsvermogen wil vragen, want hier bestaan echte vooruitgang en echte schijnbescherming naast elkaar.

Voor klanten in Europa, het Midden-Oosten en Afrika, met uitzondering van Zuid-Afrika, is de contractpartij niet het Amerikaanse Amazon Web Services, Inc., maar Amazon Web Services EMEA SARL, een in Luxemburg geregistreerde vennootschap. Op die overeenkomst is Luxemburgs recht van toepassing, in plaats van het recht van de staat Washington dat voor Amerikaanse klanten geldt. Dat is meer dan symboliek: in de standaard AWS Customer Agreement geldt voor EU-klanten een uitdrukkelijke uitzondering op de gebruikelijke aansprakelijkheidsbeperkingen en vrijwaringsclausules bij grove nalatigheid of opzet van AWS, een bescherming die voor Amerikaanse klanten niet op dezelfde manier is vastgelegd. Voor de European Sovereign Cloud geldt zelfs een eigen addendum, waarin Duitse rechtbanken in München als exclusief bevoegde rechter worden aangewezen voor geschillen. Dit zijn concrete, afdwingbare verbeteringen in het contractrecht tussen klant en leverancier.

Wat die verbeteringen niet doen, is de vraag beantwoorden die in het vorige hoofdstuk aan de orde kwam. Een forumkeuze- en rechtskeuzebeding regelt de verhouding tussen u en AWS: wie aansprakelijk is, waar u kunt procederen, welk recht geldt bij een geschil over de dienstverlening. Het regelt niet, en kan naar zijn aard ook niet regelen, de verhouding tussen een buitenlandse overheid en het Amerikaanse moederbedrijf van uw Luxemburgse of Duitse contractpartij. Dat zijn twee gescheiden rechtsvragen die in de marketing van soevereine cloud nogal eens door elkaar heen lopen. Een Europees contract met een Europese jurisdictiekeuze maakt van AWS nog geen Europees bedrijf in de relevante zin van de CLOUD Act, en dat vormt dus evenmin een garantie tegen de reikwijdte daarvan.

Wie voor eigen inkoop of als adviseur de clausules moet beoordelen doet er goed aan het Europese Cloud Sovereignty Framework te raadplegen dat de Europese Commissie in oktober 2025 publiceerde. Dit raamwerk beoordeelt cloudleveranciers op acht Sovereignty Objectives, van strategische eigendomsstructuur tot juridische blootstelling, operationele onafhankelijkheid en toeleveringsketen, elk gescoord van 0 tot 4 op de zogeheten SEAL-schaal (Sovereignty Effectiveness Assurance Level) en gewogen tot één totaalscore. De Commissie gebruikt het zelf al in een eigen aanbesteding van 180 miljoen euro. Het is oorspronkelijk bedoeld voor overheidsinkoop, maar werkt uitstekend als checklist bij elke leveranciersbeoordeling. Vraag onder meer om bewijsstukken zoals contracten, sleutelbeheerarchitectuur en auditrapporten, en neem geen genoegen met intentieverklaringen.

Geen van de drie grote Amerikaanse hyperscalers ontsnapt aan de kern van het probleem, want allemaal zijn het uiteindelijk Amerikaanse moederbedrijven, maar de gekozen constructies verschillen wel degelijk in hoe ver ze gaan.

Microsoft zet in op de EU Data Boundary: opslag en verwerking van klant- en persoonsgegevens voor Microsoft 365, Dynamics 365, Power Platform en de meeste Azure-diensten binnen de EU. Een reële technische verbetering in dataverkeer, maar zonder wijziging van eigendom: iedere Europese Microsoft-vestiging blijft vennootschapsrechtelijk, en daarmee onder de CLOUD Act, gecontroleerd door het moederbedrijf in Redmond. Daarnaast biedt Microsoft, via het programma Cloud for Sovereignty, een Sovereign Public en Sovereign Private Cloud met externe sleutelbeheersystemen, en werkt het met lokale partnerconstructies zoals Bleu in Frankrijk, van Orange en Capgemini, en Delos Cloud in Duitsland. Het is, na de eigen erkenning voor de Franse Senaat, wel de aanbieder die het meest expliciet publiekelijk heeft toegegeven dat soeverein bij hen geen absolute garantie is.

Google kiest met het Frans-Duitse samenwerkingsverband tussen Thales en Google voor het model dat op eigendomsniveau het verst gaat, en dat verdient wat meer diepgang, want hier zit ook het antwoord op de vraag of de sleutels van Thales aan het CLOUD Act-probleem ontsnappen. S3NS, de joint venture achter het aanbod, is meerderheidseigendom van Thales. Google houdt een klein, niet nader bekendgemaakt belang zonder stemrecht in de governance, en dat belang ligt bovendien onder de drempel die het Franse SecNumCloud-keurmerk aan buitenlandse zeggenschap stelt. De directie van S3NS heeft publiekelijk verklaard er zeker van te zijn niet onder de CLOUD Act te vallen, met als onderbouwing dat het een vennootschap naar Frans recht is, met Franse medewerkers, en dat de datacenters door Thales worden geëxploiteerd. De broncode die Google levert, wordt bovendien voorafgaand aan iedere implementatie door Thales geaudit. De vlaggendienst PREMI3NS behaalde eind december 2025 het Franse SecNumCloud 3.2-keurmerk en draait op volledig gescheiden infrastructuur die operationeel niet door Google wordt beheerd, en Google-personeel heeft naar eigen zeggen geen toegang tot die omgeving. Dat is, juridisch geredeneerd, echt iets anders dan de Duitse GmbH's van AWS of de EU Data Boundary van Microsoft, want bij S3NS is niet alleen de uitvoering maar ook de zeggenschap verschoven naar een partij die zelf niet onder Amerikaans recht valt. Twee kanttekeningen horen daar wel bij. Het gaat om een eigen inschatting van de betrokken partijen, die nog niet in een echte rechtszaak op de proef is gesteld, en de onderliggende technologie blijft niettemin een Google-product, wat een andere, meer technologische vorm van afhankelijkheid in stand houdt, los van de juridische vraag wie er bij de data kan.

In mei 2026 kondigden Thales en Google een operationeel identieke uitbreiding naar Duitsland aan, met dezelfde eigendomsstructuur: een nieuwe Duitse entiteit die volledig eigendom is van en wordt bestuurd door Thales. Die dienst is nu nog in preview en moet eind 2026 algemeen beschikbaar worden, met wederzijdse uitwijkmogelijkheden tussen de Franse en Duitse regio.

Voor een manager die moet kiezen, is de praktische conclusie niet dat u altijd voor Google moet kiezen, want functionaliteit, prijs, bestaande investeringen en sectorspecifieke certificeringen wegen minstens zo zwaar. Wel geldt dat, als juridische zeggenschap de doorslaggevende eis is, het samenwerkingsverband tussen Thales en Google op dit moment het meest overtuigende antwoord van de drie geeft op precies de vraag die dit stuk stelt.

Los van de sovereign-cloudproducten bouwt Google ook op een andere manier aan zijn positie in Nederland: als founding partner van The Stack, de nieuwe AI-hub die in september 2026 opent in Amsterdam, samen met onder meer ABN AMRO, Deloitte en Prosus, met financiering van programma's en toegang tot Google's technologie en ingenieurs voor de gevestigde startups. Dat valt niet rechtstreeks onder de CLOUD Act: die richt zich op aanbieders van communicatie- of remote-computingdiensten die data moeten leveren die zij in bezit, beheer of controle hebben, en een investering of sponsorship maakt een startup niet tot zo'n aanbieder. De blootstelling ontstaat pas een stap verderop, namelijk zodra zo'n startup zijn product op Google Cloud-infrastructuur bouwt, wat gezien de aangeboden toegang een voor de hand liggende keuze is. Vanaf dat moment gelden voor de klantdata van die startup dezelfde overwegingen als voor elke andere Google Cloud-klant, en is dezelfde discipline op zijn plaats als in het hoofdstuk over data migraties: gratis rekenkracht is prima voor experimenten, maar productiedata met persoonsgegevens of bedrijfsgeheimen verdient vanaf dag één een eigen, bewuste afweging over waar die terechtkomt.

Dit stuk zou onvolledig zijn zonder de andere kant te benoemen. Niet elke werklast rechtvaardigt de meerkosten, de beperktere functionaliteit en de operationele complexiteit van een sovereign-cloudtraject.

Voor een marketingwebsite, een interne testomgeving zonder persoonsgegevens, open data die toch al publiek is, of een gemiddeld mkb-bedrijf zonder overheidsopdrachten, kritieke infrastructuur of bijzondere persoonsgegevens, is het reële risico van een CLOUD Act-verzoek klein, niet nul, maar klein, en vaak kleiner dan het risico van een zelfgebouwde, onderbemande soevereine oplossing zonder de schaal, het beveiligingsteam en de volwassenheid van een hyperscaler. Het Data Privacy Framework, de opvolger van het door het Hof van Justitie vernietigde Privacy Shield, is bovendien nog altijd geldig: het Gerecht van de EU verwierp in september 2025 de aanvechting door het Franse parlementslid Philippe Latombe, al loopt er een hoger beroep bij het Hof van Justitie zelf, zaak C-703/25 P, waarvan de uitkomst nog niet vaststaat. Zolang dat kader overeind blijft, is een gewone EU-regio met standaardcontractbepalingen en een deugdelijke transfer impact assessment voor de meeste reguliere verwerkingen een proportionele, verdedigbare keuze en geen nalatigheid.

Interessant genoeg heeft de Nederlandse rijksoverheid deze afweging inmiddels zelf, en vrij precies, in beleid gegoten. In juli 2026, vlak voor het zomerreces, stuurde staatssecretaris Willemijn Aerdts, verantwoordelijk voor digitale economie en soevereiniteit bij het ministerie van Economische Zaken en Klimaat, een herzien rijksbreed cloudbeleid naar de Tweede Kamer, aangescherpt naar aanleiding van kritische onderzoeken van de Auditdienst Rijk en de Algemene Rekenkamer en van veranderende geopolitieke verhoudingen. De kern van die herziening is precies de knip die dit stuk bepleit. Voor e-maildiensten en documentbeheer, aangemerkt als nationaal belang, en voor brondata van basisregistraties zoals de Basisregistratie Personen en de Basisregistratie Kadaster, wordt het gebruik van publieke clouddiensten afgeraden of zelfs uitgesloten. Voor kritieke rijksorganisaties geldt bovendien dat diensten van aanbieders die onder wetgeving buiten de EU of de Europese Economische Ruimte vallen, voor hun kerntaken worden ontraden. Voor het overige rijksbrede cloudgebruik blijft de publieke cloud toegestaan, mits vooraf een cloudstrategie is opgesteld waarin risico's en beperkende maatregelen zijn vastgelegd, en mits er een concreet exitplan klaarligt, niet alleen voor een geplande overstap maar ook voor het scenario waarin een clouddienst plotseling uitvalt. Met andere woorden, ook de eigen overheid onderscheidt tussen categorieën waarvoor soevereiniteit een harde eis is en categorieën waarvoor een goed beheerste publieke cloud volstaat, wat de kern van dit betoog eerder bevestigt dan compliceert.

Waar de weegschaal voor een gewone organisatie wél naar een sovereign-optie doorslaat, is bij gegevens die onder NIS2 of DORA als kritiek zijn aangemerkt, bijzondere persoonsgegevens in de zin van de AVG, overheids- en veiligheidsgerelateerde verwerkingen, en sectoren waar een enkel incident van ongeautoriseerde buitenlandse toegang niet alleen een datalek maar een politiek of maatschappelijk probleem zou zijn: zorg, rechtspraak, defensie, financieel toezicht. Daar is de meerprijs, die overigens minder dramatisch lijkt dan de geruchten suggereren, in mijn ogen goed te verdedigen. Eigen onderzoek van het platform European Cloud kon een veelgenoemde meerprijs van 15 procent voor de AWS European Sovereign Cloud niet bevestigen.

Een paar concrete aanknopingspunten, ontleend aan het bovenstaande:

• Begin bij uw eigen blootstelling, niet bij de leverancier. Breng in kaart welke workloads onder NIS2, DORA, bijzondere AVG-categorieën of sectorale regelgeving vallen, vóórdat u een sovereign-premie betaalt voor data die dat niet nodig heeft.
• Gebruik het Cloud Sovereignty Framework als checklist, ook buiten aanbestedingen. Vraag bewijsstukken langs de acht Sovereignty Objectives, niet alleen een marketingpagina.
• Bouw overstapbaarheid in als ontwerpkeuze, niet als contractclausule. De afschaffing van overstapkosten per januari 2027 helpt, maar lost technische lock-in door propriëtaire diensten niet op. Initiatieven als de Open Cloud Alliantie tonen dat open standaarden minstens zo belangrijk zijn als de afwezigheid van een fee.
• Vraag bij back-ups wie de sleutel beheert, niet alleen waar de data staat. Externe of klantbeheerde sleutels verhogen de feitelijke drempel voor buitenlandse toegang, terwijl regionale opslag alleen dat niet doet.
• Ontwerp voor regionale uitval, ongeacht welke cloud u kiest. De storing van oktober 2025 was een architectuurincident, geen soevereiniteitskwestie, en had zich in een Europese regio evengoed kunnen voordoen.
• Onderscheid het CLOUD Act-scenario, waarin de overheid uw data wil inzien, van het sanctie- of exportcontrolescenario, waarin de overheid uw toegang wil afsluiten. Dat laatste heeft inmiddels een indrukwekkende reeks precedenten, van ICC-functionarissen tot gewone Adobe-klanten in Venezuela tot de eigen gebruikers van een AI-dienst, en is voor politiek gevoelige of internationale dossiers vaak het reëlere risico.
• Lees het forumkeuze- en rechtskeuzebeding, en besef de grens ervan. Een Luxemburgse of Duitse contractpartij en rechtbank regelen uw geschil met de leverancier, maar binden geen buitenlandse overheid, en dat geldt evengoed voor een Britse regio als voor een Duitse.
• Behandel jonge, hyperscaler-gesponsorde startups niet anders dan volwassen leveranciers. Gratis rekenkracht en technische begeleiding zijn waardevol voor experimenten, maar productiedata met persoonsgegevens of bedrijfsgeheimen verdient vanaf dag één een eigen, bewuste afweging.
• Houd de Latombe-uitspraak bij het Hof van Justitie in de gaten. Een derde ongeldigverklaring van het Amerikaanse adequaatheidskader zou, net als bij Schrems I en II, op korte termijn een noodplan vergen voor elke organisatie die op het Data Privacy Framework leunt.

Ik wil dit stuk niet afsluiten met de conclusie dat soevereine cloud pure marketing is, want dat zou een versimpeling zijn die de zaak geen recht doet. Er gebeurt namelijk wel iets. De Europese Commissie heeft met het Cloud Sovereignty Framework voor het eerst een meetbaar kader neergezet, de Dataverordening breekt de financiële lock-in af, Nederlandse partijen bundelen met de Open Cloud Alliantie hun eigen infrastructuur tot een reëel alternatief, en zowel AWS als Google hebben, elk op hun eigen manier, aanzienlijk geïnvesteerd in constructies die verder gaan dan een vlag op een datacenter. Van de drie hyperscalers gaat het samenwerkingsverband tussen Thales en Google daarbij het verst, precies omdat het niet alleen de uitvoering maar ook de zeggenschap overdraagt.

Wat niet verandert, is dat eigendom en rechtsmacht zich niet laten wegontwerpen door een adres van een datacenter. Een Duitse GmbH die voor honderd procent eigendom is van een bedrijf in Seattle, blijft, hoe zorgvuldig de organisatorische scheiding ook is vormgegeven, onderworpen aan Amerikaans recht op precies het punt waar het er het meest toe doet. Voor de meeste organisaties is dat geen reden tot paniek, maar wel reden om soevereiniteit te lezen als een score op acht onderdelen, en niet als een predicaat dat u van verder onderzoeken en nadenken ontslaat.