Digitale soevereiniteit: wat de EU Data Boundary wél en niet oplost

Twee jaar geleden was digitale soevereiniteit een discussie voor ministeries en zorgkoepels. Inmiddels komt de vraag gewoon in MKB-inkoopvoorwaarden voorbij: *waar staat onze data, wie kan erbij, en onder welk recht valt dat?* Niet omdat iedereen ineens jurist is geworden, maar omdat opdrachtgevers die vraag doorschuiven naar hun leveranciers — precies zoals dat bij NIS2 ook gebeurt.

Microsoft heeft daar het afgelopen jaar fors op geleverd. De EU Data Boundary is afgerond, en het soevereiniteitsaanbod is flink uitgebreid. Dit artikel legt uit wat dat concreet oplost, wat het níét oplost, en hoe je als MKB een verstandige keuze maakt zonder in een principiële loopgraaf te belanden.

Wat de EU Data Boundary is

De EU Data Boundary betekent dat Microsoft klantdata en gepseudonimiseerde persoonsgegevens voor zijn kerndiensten opslaat én verwerkt binnen de EU en de EFTA-landen. Dat geldt inmiddels voor Microsoft 365, Dynamics 365, Power Platform en het overgrote deel van Azure.

Belangrijk aan de laatste uitbreidingsronde: de grens dekt nu ook de onderdelen die eerder buiten beeld bleven — AI-verwerking, Copilot-interacties, telemetrie en confidential computing. Voor Microsoft 365 Copilot is de verwerking bovendien in een groeiend aantal landen naar het land zelf getrokken.

Dat is meer dan een marketingbelofte. Voor de meest gestelde vraag — "staat onze mail in Amerika?" — is het antwoord voor Europese klanten inmiddels gewoon nee.

Soevereiniteit is meer dan waar de schijf staat

De interessantere verschuiving zit in hoe Microsoft de vraag zelf herformuleert. Soevereiniteit gaat allang niet meer alleen over dataresidentie; het valt uiteen in vier vragen die je los van elkaar moet beantwoorden:

De meeste organisaties die "wij willen soevereiniteit" zeggen, bedoelen in de praktijk één of twee van deze vier. Het loont om dat eerst scherp te krijgen — het scheelt een hoop dure oplossingen voor problemen die je niet hebt.

Wat de EU Data Boundary níét oplost

Hier past eerlijkheid, want die ontbreekt vaak in de brochures. De Amerikaanse CLOUD Act is niet ingetrokken. Zolang een Amerikaans moederbedrijf zeggenschap heeft over een dienst, kan de Amerikaanse overheid in theorie data vorderen — ongeacht waar die data fysiek staat. Microsoft verzet zich daar juridisch tegen en publiceert er transparantierapporten over, maar een absolute garantie kan het bedrijf niet geven. Dat zegt Microsoft zelf ook niet.

Voor het overgrote deel van het MKB is dat een aanvaardbaar restrisico: de kans dat een Amerikaanse aanklager interesse heeft in de offertes van een installatiebedrijf uit Brabant is verwaarloosbaar. Maar het is wel het punt waarop de discussie voor sommige sectoren kantelt — zorg, juridisch, defensiegerelateerde toelevering, en organisaties met een uitdrukkelijke opdracht van hun eigen toezichthouder.

Hoe je dit als MKB praktisch aanpakt

Niet alles-of-niets, maar per soort data. Zo doen wij het bij klanten:

Die laatste rij wordt structureel over het hoofd gezien. De EU Data Boundary gaat over wáár je data staat, niet over of hij bewaard blijft. Een verwijderde mailbox of een ransomware-encryptie is geen residentievraagstuk.

Waar wij zelf staan

We vinden dat je dit soort adviezen alleen kunt geven als je het zelf ook doet. Onze online werkplekken en cloudservers draaien in Nederlandse, ISO 27001-gecertificeerde datacenters, met beheer door een Nederlands team. Vorig jaar hebben we bovendien onze eigen virtualisatielaag van VMware naar XCP-ng verhuisd — deels om kostenredenen, deels omdat we niet afhankelijk wilden zijn van één leverancier die van de ene op de andere dag zijn licentiemodel omgooit. Dat verhaal staat in van VMware naar XCP-ng.

Tegelijk zijn we geen anti-Microsoft-partij. Voor mail, samenwerking en Office is Microsoft 365 gewoon de beste keuze voor het MKB, en met de EU Data Boundary is de grootste bezwaar-op-papier eraf. De kunst is de combinatie: Microsoft waar het sterk is, Nederlandse hosting waar controle telt.

Vier vragen aan je IT-leverancier

Wil je weten hoe soeverein je nu eigenlijk bent, stel dan deze vier:

1. In welk land staat onze data — en waar staan de back-ups? Die twee antwoorden verschillen verrassend vaak.
2. Wie kan er technisch bij, en vanuit welk land? Operationele soevereiniteit wordt zelden gecontroleerd.
3. Wat gebeurt er als we willen vertrekken? Krijgen we onze data in een bruikbaar formaat, en binnen welke termijn?
4. Waar staat dit vastgelegd? In de verwerkersovereenkomst, of alleen in een verkooppraatje?

Wij beantwoorden die vier op papier. Als je huidige leverancier dat ook doet, zit je goed — en dan zeggen we dat gewoon.

Even meekijken?

Twijfel je waar je data staat en of dat past bij wat je klanten van je vragen? Doe de gratis IT-check — zeven vragen, en je krijgt een persoonlijke roadmap. Liever direct sparren over je cloudinrichting? Plan een adviesgesprek, vrijblijvend via Teams of telefonisch. Weet je al wat je nodig hebt? Vraag een offerte aan.

*Dit artikel beschrijft de stand van zaken in augustus 2026 op basis van Microsofts publicaties over de EU Data Boundary en het Sovereign Cloud-aanbod. Het is een toelichting op hoofdlijnen en geen juridisch advies.*