Data soevereiniteit is geen cloudvraagstuk: het is een architectuurkeuze

Cloudlocatie geeft schijnzekerheid. Echte data soevereiniteit zit in wie toegang heeft, onder welke voorwaarden en of je dat kunt intrekken. Zo werkt het met een federatieve dataspace.

# Data soevereiniteit is geen cloudvraagstuk: het is een architectuurkeuze

Data soevereiniteit gaat over toegangscontrole, niet over de locatie van servers. Toch gaat het debat bijna altijd over hosting: staat mijn data in Nederland, in de EU, of bij een Amerikaanse hyperscaler? Die vraag is begrijpelijk, maar onvolledig.

De echte vraag is: wie heeft er op dit moment toegang tot jouw data, onder welke voorwaarden, en kun je dat morgen intrekken?

## De misvatting: cloudlocatie als soevereiniteitsgarantie

Veel organisaties kiezen bewust voor een Europese cloudprovider of een Nederlands datacenter. De redenering is helder: data in de EU valt onder de AVG, dus je bent beschermd.

Dat klopt, maar het lost slechts een deel van het probleem op.

Want wie bepaalt vervolgens wie die data kan lezen, kopiëren of doorgeven? Wie beheert de toegangsrechten als je samenwerkt met drie ketenpartners, elk in hun eigen cloudomgeving? En wat gebeurt er als een partner zijn toegang niet netjes inlevert na afloop van het project?

Locatie zegt niets over autorisatie. En autorisatie is waar soevereiniteit écht zit.

## Waarom cloudlocatie niet volstaat

Locatie regelt jurisdictie, niet toegang

De CLOUD Act is een Amerikaanse wet die Amerikaanse cloudproviders, zoals Microsoft, Google en Amazon, kan Amerikaanse autoriteiten in staat stellen toegang te vragen tot data die door die providers wordt beheerd - ook als die data fysiek op een server in Amsterdam staat. Of een dergelijk verzoek gehonoreerd moet worden hangt af van de specifieke omstandigheden en lopende EU-VS-afspraken, maar het risico is reëel genoeg om bij een hostingkeuze mee te wegen. Europese cloudhosting beschermt je daartegen: data bij een Europese provider valt buiten dat bereik. Maar het regelt niets over wie binnen die cloud toegang heeft tot welke data. Als je data gedeeld is met een leverancier, een auditor of een ketenpartner, dan bepaalt de serverlocatie niet wat zij ermee kunnen doen.

Ketensamenwerking is structureel lastig zonder gedeeld toegangsbeleid

Echte soevereiniteit betekent: jij bepaalt wie jouw data ziet, wanneer en waarom. Dat is bij samenwerking in een toeleveringsketen structureel moeilijk als elke partij zijn eigen cloudoplossing heeft. Je verliest zicht, en daarmee controle, zodra data de grens van je eigen systeem passeert.

Het intrekken van toegang is vaak niet technisch geborgd

In de meeste data-uitwisselingen is er geen mechanisme om toegang actief in te trekken. Je stuurt een bestand, en het is weg. Je kunt de samenwerking contractueel beëindigen, maar de data haal je niet terug.

## De federatieve dataspace als oplossing

Een federatieve dataspace legt toegangscontrole op de juiste plek: bij de databron zelf.

Een federatieve dataspace regelt toegang structureel, ongeacht waar data staat. Elke deelnemende organisatie beheert zijn eigen data en stelt zelf de voorwaarden in: welke partijen mogen welke data zien, voor hoe lang en voor welk doel. Die afspraken worden vastgelegd als machtigingen die ook technisch afdwingbaar zijn: niet als vertrouwensafspraken, maar als protocol.

Dit is fundamenteel anders dan een gezamenlijke cloudopslag of een gedeeld portaal. Er is geen centrale beheerder die voor alle deelnemers beslist. Elke organisatie houdt zijn eigen regie, en kan die regie op elk moment uitoefenen.

Soevereiniteit is een architectuurkeuze, geen hostingkeuze. De vraag is niet bij welke provider je opslaat, maar of je architectuur je in staat stelt om toegang te verlenen én in te trekken op eigen initiatief.

Meer over de conceptuele basis vind je in onze blog over data soevereiniteit. De architectuur die dit mogelijk maakt, wordt uitgelegd in onze introductie van federatief datadelen.

## Poort8 in de praktijk

Neem een consortium van drie bedrijven in de bouwketen. Elk bedrijf heeft zijn eigen ERP-systeem, zijn eigen cloudprovider en zijn eigen privacyvereisten. Toch moeten ze planningsdata, materiaalinformatie en kwaliteitsdocumenten met elkaar delen.

Met NoodleBar stelt elk bedrijf zijn eigen machtigingen in: welke partner ziet welk type data, voor welke projectfase en op basis van welke aanleiding. Die machtigingen worden beheerd via Keyper en zijn technisch afdwingbaar, niet via een vertrouwensafspraak maar via het protocol zelf.

Als het project afloopt, trekt elk bedrijf zijn eigen toegangen in via zijn eigen controlescherm. Niet via een e-mail aan de IT-afdeling van een partner, maar via zijn eigen dashboard. Dat is wat soevereiniteit in de praktijk betekent: controle die je kunt uitoefenen, niet alleen beloven.

De Europese regelgevingscontext hierachter staat beschreven in onze analyse van de EU Data Act en dataspaces.

## Conclusie

Cloudlocatie geeft schijnzekerheid; toegangspolitiek geeft echte controle. Wie data soevereiniteit serieus wil nemen, kijkt niet alleen naar waar data staat, maar naar hoe toegang geregeld is, wie die toegang beheert en of die toegang intrekbaar is.

Een federatieve dataspace maakt dat structureel mogelijk. Niet als vervanger van een goede hostingkeuze, maar als de architectuurlaag die die hostingkeuze betekenis geeft.

De vraag is niet óf je hier iets mee doet, maar wanneer je begint te kijken hoe het in jouw keten past.

## Veelgestelde vragen

Wat is het verschil tussen cloud-soevereiniteit en data soevereiniteit?

Cloud-soevereiniteit gaat over de fysieke locatie van servers en welke wetgeving daarop van toepassing is. Data soevereiniteit gaat over wie toegang heeft tot jouw data, onder welke voorwaarden, en of je die toegang kunt intrekken. Het zijn verwante begrippen, maar ze dekken een ander deel van het vraagstuk.

Maakt het dan helemaal niet uit waar mijn data staat?

Jawel. Locatie is relevant voor jurisdictie en compliance, en een Europese hostingkeuze is een verstandige stap. Maar locatie alleen is niet voldoende om te spreken van echte data soevereiniteit. Je hebt ook technisch geborgde toegangscontrole nodig.

Wat is een federatieve dataspace precies?

Een federatieve dataspace is een architectuur waarbij organisaties data kunnen delen zonder dat er een centrale partij alle toegang beheert. Elke organisatie bepaalt zelf wie zijn data mag zien, voor hoe lang en voor welk doel. Lees meer in onze introductie van federatief datadelen.

Hoe regelt Poort8 het intrekken van toegang technisch?

Via NoodleBar en Keyper worden machtigingen vastgelegd als technisch afdwingbare policies. Dat betekent dat toegang niet alleen contractueel is afgesproken, maar ook daadwerkelijk door het systeem wordt bewaakt. Verloopt een machtiging, of trekt een organisatie die in, dan stopt de toegang automatisch.

Is dit relevant voor mij als ik al een Europese cloudprovider gebruik?

Ja. Een Europese cloudprovider regelt de juridische locatie van je data, maar niet wie er toegang toe heeft zodra je samenwerkt met externe partijen. Een federatieve dataspace voegt die toegangslaag toe, bovenop je bestaande cloudkeuze. De twee zijn complementair, niet concurrerend.

## Ontdek hoe dit werkt voor jouw keten

Wil je zien hoe data soevereiniteit er in jouw specifieke situatie uitziet? In de Dataspace Explorer maak je in enkele stappen inzichtelijk welke data je deelt, met wie en onder welke voorwaarden.