Hellendoorn werkt met Twents Cloudplatform aan digitale soevereiniteit

Gartner voorspelt dat zeker 75% van de organisaties buiten de VS zo'n soort soevereiniteitsstrategie gaan hanteren, maar de fysieke locatie van een datacenter is natuurlijk maar één component van soevereiniteit. Beetje lokale plumbing kiezen is géén digitale soevereiniteit, want dat is een gelaagd concept dat veel verder gaat dan geografische dataopslag. De aanname dat een Nederlands datacenter automatisch soevereiniteit garandeert, is onzin. Soevereiniteit gaat voorbij geografie en draait om verifieerbare controle, privacy en vertrouwen. Echte soevereiniteit rust op drie pijlers die je o.a. tegenkomt in de verschillende Sovereign Cloud concepten. Zo moet de technische architectuur zo zijn ontworpen dat ongeautoriseerde toegang technisch onmogelijk is, ongeacht de locatie. Beheer en operatie van de infrastructuur moeten volledig in handen zijn van gescreende personen binnen de beoogde juridische jurisdictie (EU/Nederland), zodat je precies weet wie toegang heeft tot de servers, de netwerkapparatuur, de hypervisor etc. en de contractuele en wettelijke entiteit die de dienst levert, moet volledig onder Europese/Nederlandse wetgeving vallen en immuun zijn voor buitenlandse rechtsclaims. Waar dus een serieus risico ligt is de zogeheten "Policy-to-Technology Gap" We kunnen beleidsmatig wel heel erg soeverein willen zijn, maar dat is wel een vak en het is uiteindelijk de technische implementatie die dit afdwingt. Een 'black box'-problem dus. Een overheid kan wel beleid hebben, maar heeft zij ook aantoonbaar de technische middelen en eigen inhoudelijke kennis en verifieerbare contracten om te verifiëren dat dit beleid ook daadwerkelijk op elk niveau van de technologie-stack wordt nageleefd? Dat redt je niet met sturen op de blauwe ogen van de leverancier. Soevereiniteit vereist verifieerbare controle en daaronder valt ook de software- en beheerketen. Je infra (IaaS) kan dan wel NL zijn, maar als je software (SaaS, PaaS) en beheertools die erop draaien dat niet zijn (en dat zijn ze vaak niet) ben je alsnog terug bij 'af' . Als de gemeente bijvoorbeeld gebruik maakt van Amerikaanse of Chinese software of er draai specialistische gemeentelijke software van een bedrijf met bijvoorbeeld een Amerikaanse moedermaatschappij, dan valt de data die in die applicaties wordt verwerkt potentieel gewoon onder de Amerikaanse CLOUD Act. De locatie van de onderliggende server is dan volstrekt irrelevant. De kern van soevereiniteit is het Identity & Access Management (IAM). Kan zo'n overheid nou eigenlijk real-time exact zien welke personen, systemen of AI-agenten toegang hebben tot welke data en die toegang ook aantoonbaar onmiddellijk intrekken? Zonder zo'n waterdicht IAM-systeem is er geen sprake van echte controle, ongeacht in welke cloud je data staat. Dit maakt juridische en ISO-Certificering een harde eis. Veiliger ... veiliger dan wat? Soevereiniteit vereist bewijsbare veiligheid volgens erkende normen. De verantwoordelijkheid hiervoor (als verwerkingsverantwoordelijke onder de AVG) blijft altijd bij de inhurende partij/de Outsourcer zelf. De AVG eist sowieso al dat een overheid passende technische en organisatorische maatregelen treft. De keuze voor een EU-provider helpt, maar is dus geen vrijbrief. Een overheid moet kunnen aantonen hoe zij de principes van ‘Security by Design’ en ‘Privacy by Design’ heeft toegepast. Zijn de leveranciers ISO/IEC 27001, ISO/IEC 27017 & 27018 gecertificeerd bijvoorbeeld. Dit zijn specifieke uitbreidingen voor cloudbeveiliging en de bescherming van persoonsgegevens in de cloud. Een serieuze soevereine strategie vereist dat leveranciers minstens aan deze normen voldoen en dat een overheid haar eigen processen hierop inricht.
Er bestaan ook nog verdergaande Normen, zoals de Duitse BSI C5:2020 (gebruikt door Deutsche Telekom voor hun soevereine cloud), dus de lat ligt hoog voor kritieke infrastructuur. Dit soort certificeringen biedt een veel hogere mate van zekerheid dan enkel een contract met een lokale partij. Al met al zou het goed zijn om Soevereiniteit te specificeren in meetbare termen. Dat vereist de definitie van ‘Sovereignty Service Level Objectives’ (SLOs), die per dataklasse (bijv. BSN, WMO-data, financiële gegevens) precies aangeven welke mate van technische, operationele en juridische soevereiniteit vereist is. Nog beter is de implementatie van een Zero Trust Architectuur: vertrouw niets of niemand standaard, maar verifieer alles continu en dat kan met de juiste tech tot op de fysieke individuele chip core. Dit betekent strikte identiteitscontrole en access management voor élke gebruiker, élk apparaat en élke applicatie, ongeacht de netwerklocatie. Wat vereist dat een volledige ketenanalyse wordt uitgevoerd (datavoorbrengingsketen analyse is toch al verplicht onder AVG en NIS2) Dus breng niet alleen de infrastructuur in kaart, maar de volledige keten van softwareleveranciers, beheerders en onderaannemers die de gebruikte functionaliteit mogelijk maken. Hierbij zou in beeld moeten zijn wat de contractuele garanties en auditrechten zijn die de soevereiniteit in de hele keten borgen, niet alleen op het niveau van het datacenter.
Kortom, een positief signaal van toegenomen bewustzijn, maar ook een gevalletje "valse veiligheid". De overstap naar een lokaal platform lost het geografische vraagstuk deels op, maar adresseert de complexere en meer kritieke lagen van technische controle, operationele onafhankelijkheid en de software-toeleveringsketen totaal niet.
Digitale soevereiniteit is geen product dat je koopt, maar een continu proces van architectuur, governance en controle dat leunt om integrale Data Governance en een hoog organisatorisch maturity niveau.