Een Nederlands datacenter met een Amerikaanse eigenaar is geen soevereiniteit

"Nederlands datacenter" staat inmiddels op bijna elke cloudpagina. Het klinkt geruststellend, en voor de vraag "staat mijn data in Nederland" is het vaak ook waar. Maar het is niet hetzelfde als soevereiniteit. Een datacenter is een gebouw; soevereiniteit gaat over zeggenschap. En zeggenschap volgt de eigenaar, niet de vloertegel.

De soevereine cloud werkplek kost €38 per gebruiker per maand + Microsoft 365 Business Premium €19,56 = €57,56 alles-in; heb je Business Premium al, dan betaal je alleen de €38. Je bureaublad, bestanden en applicaties draaien op AVD op onze eigen servers in Eindhoven en Den Bosch, beheerd door een Nederlands team. AVD staat voor Azure Virtual Desktop, de werkplektechniek van Microsoft. Bekijk soevereine cloud werkplek.

Waar de schijf staat is niet waar het recht ligt

De Amerikaanse CLOUD Act uit 2018 regelt iets ongemakkelijks: een bedrijf dat onder Amerikaanse jurisdictie valt, kan door de Amerikaanse overheid worden verplicht data te overhandigen — ook als die data fysiek in Nederland staat. Datzelfde geldt via FISA Section 702 voor bepaalde surveillanceverzoeken. Fysieke locatie is dus geen slot; de eigenaar en de jurisdictie van dat bedrijf zijn dat wel.

Dat betekent dat een "Nederlands datacenter" je weinig zegt zolang je niet weet wie het bedrijf erachter bezit. Draait je cloud op de infrastructuur van een Amerikaanse hyperscaler, of is de aanbieder een Nederlandse naam met een Amerikaanse moeder of investeerder, dan reist de Amerikaanse jurisdictie mee — de tegels in Amsterdam of Eindhoven veranderen daar niets aan.

De vraag is niet "waar", maar "van wie"

In een eerder artikel over digitale soevereiniteit splitsten we de vraag in vier lagen: waar staat de data, wie beheert het, van wie is de techniek, en op wiens hardware draait het. De CLOUD Act raakt vooral die laatste twee. Je kunt datasoevereiniteit — de locatie — perfect op orde hebben en tóch geen infrastructuur- of operationele soevereiniteit hebben, simpelweg omdat de eigenaar buiten de EU zit.

Voor de meeste MKB-bedrijven is dat geen politiek punt maar een inkooprisico. Zorginstellingen, accountants, advocaten en overheidsleveranciers krijgen die vraag inmiddels gewoon in hun contracten: onder welk recht valt onze data, en kan een buitenlandse partij erbij? "Ons datacenter staat in Nederland" is dan geen voldoende antwoord meer.

Waar wij staan

Virtual Computing is een Nederlands bedrijf, in Nederlandse handen. We draaien onze Online Werkplek niet op de infrastructuur van een hyperscaler, maar op onze eigen servers in ons eigen twin-datacenter in Eindhoven en Den Bosch. Je bureaublad, je bestanden, je applicaties en de back-ups daarvan staan op ons ijzer, dat wij bezitten en beheren. Er is geen buitenlandse moeder die kan worden gedwongen die data te overhandigen, want die is er niet.

Eén ding houden we eerlijk, want het hoort bij het volledige plaatje. De werkplek zelf draait op AVD, de werkplektechniek van Microsoft, en inloggen gaat via je Microsoft 365-account. Die identiteits- en licentielaag loopt bij Microsoft, binnen de Europese datagrens. Het verschil met een gewone publieke cloud zit in waar je werk landt: je documenten, je databestanden en je branche-software draaien en staan bij ons, niet in een hyperscaler-omgeving. Microsoft regisseert de toegang en de beveiliging, maar heeft de inhoud niet in handen. Dat is de laag waar de CLOUD-Act-vraag het scherpst speelt, en juist die laag houden we bij onszelf.

Wil je ook die identiteitslaag verder afschermen, dan zijn er zwaardere varianten mogelijk. Voor het overgrote deel van het MKB is de opzet hierboven de juiste balans tussen soevereiniteit en gewoon kunnen werken met Microsoft 365. We denken graag mee over wat bij jouw eisen past.

Drie vragen om je huidige aanbieder te toetsen

Wil je weten hoe soeverein je nu écht zit, stel je leverancier dan deze drie vragen:

1. Wie is de eigenaar van het bedrijf dat mijn data beheert, en onder welk recht valt dat bedrijf? Niet waar het datacenter staat, maar wie de aanbieder bezit.
2. Draait mijn werkplek op eigen infrastructuur, of op de cloud van een hyperscaler? Dat bepaalt of een buitenlandse jurisdictie meereist.
3. Waar staan mijn back-ups en mijn logging, en onder wiens beheer? Soevereiniteit lekt vaak weg via de achterdeur van de back-up.

Een aanbieder die deze drie helder en op papier beantwoordt, neemt de vraag serieus. Wie blijft hangen op "ons datacenter staat in Nederland", beantwoordt een andere vraag dan je stelt.

Kort samengevat

Een Nederlands datacenter is een goede start, maar geen bewijs van soevereiniteit. Zeggenschap volgt de eigenaar en de jurisdictie, niet de locatie van de schijf. Bij onze Online Werkplek en soevereine cloud werkplek draait je werk op hardware die wij als Nederlands bedrijf zelf bezitten, buiten de macht van de grote buitenlandse aanbieders. Meer over de techniek erachter lees je op Azure Virtual Desktop.

Benieuwd hoe soeverein je nu zit, of wat de overstap betekent? Bel 085 013 4500 of vraag een terugbelverzoek aan.