Een eigen Rijkscloud is nog geen digitale soevereiniteit

Van datalocatie naar datamacht

Het debat over digitale soevereiniteit heeft zich lange tijd geconcentreerd op de vraag waar data staat. Eerst: staan gegevens binnen de Europese Unie? Daarna: valt de leverancier onder Europese of onder bijvoorbeeld Amerikaanse jurisdictie, met extraterritoriale wetgeving zoals de CLOUD Act? Beide vragen zijn terecht, maar raken slechts een deel van het probleem.

Ook een Nederlandse cloud, in een Nederlands datacenter, onder Nederlandse governance, kan tekortschieten als de publieke organisatie geen eigen sleutelbeheer heeft, geen zelfstandig afgedwongen toegangscontrole en geen realistisch uitvoerbaar exit-scenario. Eerdere analyses hebben al laten zien dat “sovereign cloud” soms vooral een marketinglabel is, terwijl de feitelijke controle op platformniveau blijft. Datalocatie en eigendom verkleinen zeker risico’s, maar garanderen op zichzelf geen soevereiniteit.

De volgende fase in het debat moet daarom niet draaien om infrastructuur, maar om afdwingbare en verifieerbare controle over data zelf: wie beslist uiteindelijk over toegang, beschikbaarheid, cryptografische sleutels en gebruiksvoorwaarden – en kan die positie onder druk daadwerkelijk worden gehandhaafd? In die benadering, die ook in mijn onderzoek als "datacentriciteit" wordt uitgewerkt, blijft infrastructuur noodzakelijk, maar wordt zij een ondersteunende en in toenemende mate vervangbare laag. De soevereiniteit ligt dan in de data‑, sleutel‑ en beleidslaag.

Papier regelt gedrag, geen macht

Voor bestuurders is het verleidelijk om te vertrouwen op contracten, certificeringen en compliance‑kaders. Ze zijn noodzakelijk, maar hebben een ingebouwde beperking: zij reguleren wat partijen behoren te doen, niet wat zij technisch kunnen doen. De Algemene Rekenkamer wees in het rapport 'Het Rijk in de cloud' al op het risico dat ministeries beperkt inzicht hebben in hun belangrijkste clouddiensten en onvoldoende kunnen beoordelen of contractuele waarborgen in de praktijk zijn af te dwingen.

Ook nieuwe instrumenten zoals Europese cloudcertificering of nationale toetsingskaders helpen bij transparantie en inkoop, maar zeggen vooral iets over voorwaarden en processen. Ze beantwoorden niet de kernvraag: bij wie ligt de resterende beslissingsmacht over toegang, continuïteit en beleidswijzigingen rond data? Zelfs in een “soevereine” cloudomgeving behoudt de platformbeheerder vaak invloed op dienstcontinuïteit, software‑updates, orchestratielagen en de technische handhaving van toegangsbeleid.

Encryptie verandert dat slechts ten dele. Versleuteling beschermt de vertrouwelijkheid van gegevens, maar neemt niet weg dat een leverancier nog steeds invloed kan uitoefenen op de beschikbaarheid of de uitvoering van diensten. Wie formeel de sleutels beheert, maar niet onafhankelijk kan verifiëren wat er met toegangsbeslissingen gebeurt, deelt in de praktijk de controle.

De soevereiniteitstest voor bestuurders

Voor bestuurders is soevereiniteit uiteindelijk geen abstract begrip, maar een vraag naar handelingsvermogen onder druk. Drie eenvoudige scenario’s maken duidelijk hoe kwetsbaar de huidige situatie soms nog is:

1. Kan een externe partij – bijvoorbeeld op basis van buitenlandse wetgeving en onder geheimhoudingsplicht – toegang tot data of metadata afdwingen, zonder dat de Nederlandse overheid dit kan vaststellen?
2. Kan een leverancier de beschikbaarheid van een essentiële dienst eenzijdig beperken, door opschorting, verplichte updates of aangepaste voorwaarden, zonder dat de overheid daar direct een effectief alternatief tegenover kan zetten?
3. Kan de organisatie haar data, sleutels en beleidsregels in de praktijk meenemen naar een andere omgeving, zonder langdurige afhankelijkheid van dezelfde leverancier?

Vooral het eerste scenario wordt vaak onderschat. Een soevereiniteitsprobleem hoeft zich niet pas te manifesteren bij een zichtbaar datalek. Als een overheid niet kan verifiëren of haar gezag over eigen data nog intact is – omdat eventuele toegang buiten haar zicht en zonder meldplicht kan plaatsvinden – is de soevereiniteit feitelijk al voorwaardelijk geworden. Verifieerbaarheid van controle is daarmee geen luxe‑eis, maar een randvoorwaarde voor bestuur.

In moderne veiligheidsarchitecturen is die verschuiving zichtbaar. Zero‑Trust‑modellen plaatsen controlepunten rond data, identiteit en beleidsregels, niet rond de gps‑coördinaten van de serverruimte. Waar beslissingen over toegang en gebruik aantoonbaar en achteraf controleerbaar zijn, ontstaat bestuurlijke grip.

De benodigde technische mechanismen om bovengenoemde voorwaarden te ondersteunen zijn in ontwikkeling en worden steeds breder toepasbaar. Denk aan confidential computing, waarbij data ook tijdens verwerking in een beschermde omgeving blijft, en aan remote attestation, waarmee cryptografisch kan worden aangetoond dat een applicatie in een vertrouwde omgeving draait. Zulke voorzieningen lossen het vraagstuk niet in één keer op, maar maken het wel mogelijk om bestuurlijke afspraken daadwerkelijk technisch te verankeren.

Belangrijk daarbij is het onderscheid tussen soevereiniteit en weerbaarheid. Soevereiniteit zelf kent geen gradaties: de uiteindelijke beslissingsmacht van de overheid houdt stand of zij faalt onder druk. De weerbaarheid van de architectuur die deze machtspositie moet beschermen, kán wel verschillen. Voor ieder datadomein – van basisregistraties tot operationele systemen – moet daarom worden bepaald welk niveau van technische en organisatorische weerbaarheid nodig is om die soevereiniteit in de praktijk te behouden.

Implicaties voor bestuur en samenwerking

Wat betekent dit alles voor bestuurders in rijk, gemeenten, uitvoeringsorganisaties en andere publieke instellingen? Allereerst dat de vraag naar digitale soevereiniteit niet uitsluitend een ICT‑vraag is, maar een governancevraagstuk. De inrichting van sleutelbeheer, identiteits‑ en toegangsbeheer en logging raakt direct aan verantwoordelijkheid, toezicht en politieke verantwoording.

Ten tweede vraagt het om expliciete keuzes per datadomein. Niet alle systemen hoeven op hetzelfde niveau soeverein te zijn. Het ligt voor de hand om voor identiteitsvoorzieningen, brondata van basisregistraties en gevoelige veiligheids‑ en zorggegevens een veel hogere mate van datacentrische controle te organiseren dan voor generieke ondersteunende systemen. Kaders zoals het DICTU‑toetsingsinstrument en de herziening van het Rijkscloudbeleid bieden een eerste ordening, maar vragen om bestuurlijke doorvertaling naar concrete architectuurprincipes.

Ten derde vergt dit een andere dialoog met de markt. Niet alleen over waar diensten draaien en onder welke jurisdictie, maar vooral over welke beslissingsmacht de overheid principieel niet uit handen geeft. Dat betekent sturen op onafhankelijke sleutel‑ en policy‑lagen, op exit‑mogelijkheden die periodiek worden getest, en op transparante auditvoorzieningen. Voor leveranciers ontstaat daarmee juist een nieuwe rol: niet het claimen van “soevereiniteit als dienst”, maar het leveren van de bouwstenen waarmee overheden hun eigen soevereiniteit kunnen vormgeven.

Niet waar, maar wie

De Rijkscloud is in dat licht geen eindpunt, maar een begin. Eigen infrastructuur kan afhankelijkheden verminderen en de weerbaarheid vergroten. Maar infrastructuureigendom alleen is geen garantie voor digitale soevereiniteit; het is een middel, niet het doel.

De kernopgave voor de komende jaren is bestuurlijk vast te leggen welke macht geen enkele leverancier – buitenlands of Nederlands, publiek of privaat – ooit over publieke data mag hebben. Dat gaat over de sleutels, over de toegang, over de mogelijkheid tot verificatie onder druk.

Digitale soevereiniteit vraagt daarmee om een ander type vraag aan iedere cloud‑ en SaaS‑omgeving: niet alleen “waar staat onze data?”, maar vooral “wie beslist er uiteindelijk over onze data als het erop aankomt?”. Pas als dat antwoord technisch afdwingbaar en bestuurlijk geborgd is, wordt de Rijkscloud meer dan een nieuw datacenter – en wordt digitale soevereiniteit een reëel bestuurlijk vermogen in plaats van een label.