Op 8 juli 2026 organiseerde Aire, de groep waartoe Stackscale behoort, het eerste webinar uit de reeks Despeja tu Cloud. Deze sessies zijn bedoeld om uitleg te geven over de regelgevende, technische en geopolitieke veranderingen die van invloed zijn op de manier waarop bedrijven infrastructuur inkopen. Zigor Gaubeca, CIO van Aire, en David Aibar Carretero, Head of Sales, stelden een vraag die in elke directiekamer thuishoort: als een rechter vandaag zou vragen onder welke jurisdictie de kritieke gegevens van het bedrijf vallen, zou daar dan een duidelijk en gedocumenteerd antwoord op zijn?
Het antwoord hangt niet alleen af van het land waarin het datacenter is gevestigd. Een workload kan fysiek in Madrid, Parijs of Frankfurt draaien en toch onder de wetgeving van een derde land vallen vanwege de nationaliteit, de bedrijfsstructuur of de feitelijke zeggenschap van de provider. Daarom wordt cloudsoevereiniteit steeds vaker behandeld als onderdeel van bedrijfscontinuïteit, naast cybersecurity, back-ups, hoge beschikbaarheid en Disaster Recovery.
Cloudsoevereiniteit: de belangrijkste punten in 20 seconden
- Het opslaan van gegevens in Europa garandeert op zichzelf niet dat uitsluitend Europese wetgeving van toepassing is.
- De jurisdictie hangt ook af van het bedrijf dat de dienst levert, het moederbedrijf, onderaannemers en de partij die de informatie bezit, bewaart of beheert.
- De Amerikaanse CLOUD Act kan van toepassing zijn op gegevens die buiten de Verenigde Staten zijn opgeslagen wanneer deze onder controle staan van een provider die onder de Amerikaanse jurisdictie valt.
- Dit staat geen willekeurige toegang tot gegevens toe. Er moet sprake zijn van een geldig, specifiek juridisch verzoek dat verband houdt met een gerechtelijke procedure.
- De Europese Data Act, die sinds 12 september 2025 in algemene zin van toepassing is, verplicht providers om contractuele, commerciële en technische belemmeringen voor het overstappen naar een andere cloudprovider te verminderen.
- Vanaf 12 januari 2027 mogen providers de in de Data Act omschreven overstapkosten niet meer in rekening brengen, hoewel migraties technische en operationele kosten blijven veroorzaken.
- Op 3 juni 2026 presenteerde de Europese Commissie het voorstel voor de Cloud and AI Development Act, CADA, met een gemeenschappelijk kader voor het beoordelen van verschillende niveaus van cloud- en AI-soevereiniteit.
- Soevereiniteit vereist niet dat bedrijven hyperscalers verlaten. Het vereist dat zij hun afhankelijkheden kennen, diversifiëren wanneer er een reëel risico bestaat en een bruikbaar alternatief beschikbaar hebben.
- Een exitplan dat nooit is getest, is nog geen operationeel plan.
De locatie van het datacenter bepaalt niet de volledige jurisdictie
Jarenlang werden veel infrastructuurbeslissingen als voldoende onderbouwd beschouwd zodra een provider een Europese regio aanbood. Dat was een redelijk criterium: gegevens binnen de Europese Unie houden brengt ze dichter bij gebruikers en bedrijfssystemen, kan de latency verminderen en ondersteunt bepaalde vereisten rond gegevensresidentie.
Maar de fysieke locatie beantwoordt slechts een deel van de vraag.
Het is ook noodzakelijk om te weten welke juridische entiteit het contract ondertekent, waar het moederbedrijf is gevestigd, vanuit welke landen de dienst kan worden beheerd, wie de encryptiesleutels controleert, welke onderaannemers betrokken zijn en welke wetgeving op de groep van toepassing is.
De CLOUD Act, die in 2018 in de Verenigde Staten werd aangenomen, bepaalt dat aanbieders van elektronische communicatiediensten of remote computing-diensten informatie onder hun ‘possession, custody or control’ moeten bewaren, veiligstellen of verstrekken, ongeacht of deze gegevens binnen of buiten de Verenigde Staten zijn opgeslagen.
Dat betekent niet dat een autoriteit zonder aanleiding toegang kan krijgen tot alle gegevens die door een provider worden gehost. Er moet sprake zijn van een geldig bevel, verzoek of juridisch proces dat betrekking heeft op specifieke informatie. Providers kunnen bepaalde verzoeken bovendien aanvechten en gebruikmaken van de rechtsmiddelen die onder de toepasselijke wetgeving beschikbaar zijn.
Het risico voor een Europees bedrijf ontstaat waar verschillende rechtsstelsels elkaar overlappen. Enerzijds moet de organisatie voldoen aan de Algemene verordening gegevensbescherming, de regels voor internationale gegevensoverdracht en haar contractuele verplichtingen. Anderzijds kan zij afhankelijk zijn van een provider die onderworpen is aan verzoeken van een derde land.
Europese gegevensresidentie blijft belangrijk, maar is niet voldoende om de juridische blootstelling van een platform volledig te beschrijven.
Een volledige beoordeling moet minimaal antwoord geven op de volgende vragen:
| Gebied | Vraag die het bedrijf moet beantwoorden |
|---|---|
| Locatie | In welke landen en datacenters worden de gegevens opgeslagen, verwerkt en gerepliceerd? |
| Provider | Welke juridische entiteit ondertekent het contract en waar zijn het moederbedrijf en de relevante dochterondernemingen gevestigd? |
| Jurisdictie | Welke buitenlandse wetgeving kan invloed hebben op de dienst of de provider? |
| Beheer | Vanuit welke landen hebben support- en beheersteams toegang tot het platform? |
| Encryptie | Wie genereert, beheert en bewaart de sleutels en wie kan deze herstellen? |
| Onderaanneming | Welke derde partijen zijn betrokken bij de dienstverlening en vanuit welke gebieden opereren zij? |
| Overheidstoegang | Hoe reageert de provider op verzoeken van nationale of buitenlandse autoriteiten? |
| Portabiliteit | Welke gegevens, images, configuraties, logs en metadata kunnen worden geëxporteerd? |
| Exit | Welke termijnen, kosten, formaten en beperkingen gelden bij beëindiging van de dienst? |
Het antwoord mag niet verspreid zijn over contracten, technische bijlagen, privacyverklaringen en verkooppresentaties. IT, informatiebeveiliging, compliance, inkoop en directie hebben een gezamenlijk overzicht nodig dat duidelijk maakt waar de gegevens zich bevinden, wie ze kan beheren en wat er gebeurt wanneer ze moeten worden verplaatst.
Wat verandert er door de Europese Data Act?
De Data Act introduceert concrete verplichtingen om het overstappen tussen aanbieders van gegevensverwerkingsdiensten eenvoudiger te maken. Daaronder vallen IaaS-diensten, cloudplatforms en andere modellen waarbij een bedrijf informatie verwerkt of opslaat met middelen die van een externe partij worden afgenomen.
De verordening verplicht providers om commerciële, technische, contractuele en organisatorische obstakels weg te nemen die klanten verhinderen om over te stappen naar een andere aanbieder, gegevens over te brengen naar een eigen infrastructuur of meerdere providers tegelijk te gebruiken.
Contracten moeten vermelden welke categorieën gegevens en digitale activa kunnen worden overgedragen, welke formaten beschikbaar zijn, welke technische beperkingen bekend zijn en gedurende welke periode de informatie na afronding van de overgang nog kan worden teruggehaald. Zij moeten ook voorzien in samenwerking door de oorspronkelijke provider om de continuïteit te behouden en de exitstrategie van de klant te ondersteunen.
Als algemene regel geldt een maximale overgangsperiode van 30 kalenderdagen nadat de contractuele opzegtermijn is verstreken. Die opzegtermijn mag zelf niet langer zijn dan twee maanden. Als deze termijn technisch niet haalbaar is, moet de provider dit motiveren en een alternatieve periode voorstellen die niet langer dan zeven maanden mag duren.
Op 12 januari 2027 verdwijnen de zogenoemde switching charges. Dit zijn de kosten die de oorspronkelijke provider in rekening brengt voor handelingen die hij volgens de Data Act tijdens de overstap moet uitvoeren.
Dat maakt een cloudmigratie echter niet gratis.
Het bedrijf blijft verantwoordelijk voor de kosten van advies, engineering, gegevensoverdracht, bandbreedte, aanpassing van applicaties, parallelle bedrijfsvoering, tests, nieuwe licenties en opleiding. De verordening schaft evenmin automatisch boetes voor vroegtijdige contractbeëindiging af, noch de kosten van aanvullende werkzaamheden die buiten het gereguleerde overstapproces vallen.
De Data Act verlaagt bepaalde drempels, maar kan een architectuur die sterk afhankelijk is van exclusieve diensten van één platform niet automatisch ontkoppelen. Hoe meer een organisatie gebruikmaakt van propriëtaire databases, serverless-functies, identity-diensten, queues, API’s of providerspecifieke managed services, hoe complexer de overstap wordt.
De verordening verplicht providers ook om bekend te maken onder welke jurisdictie de infrastructuur valt die voor iedere dienst wordt gebruikt. Daarnaast moeten zij een algemene beschrijving publiceren van de technische, organisatorische en contractuele maatregelen die zijn genomen tegen internationale overheidstoegang die in strijd is met het Europese recht.
Hierbij moet onderscheid worden gemaakt tussen verschillende soorten informatie. De bepalingen van de Data Act over internationale overheidstoegang richten zich vooral op niet-persoonsgebonden gegevens. Persoonsgegevens blijven onderworpen aan de AVG en de overige Europese privacyregelgeving.
CADA en de nieuwe Europese soevereiniteitsniveaus
Op 3 juni 2026 presenteerde de Europese Commissie het voorstel voor een Cloud and AI Development Act. CADA moet de Europese capaciteit op het gebied van datacenters, cloud en Kunstmatige Intelligentie vergroten, de uitrol van nieuwe infrastructuur vereenvoudigen en afhankelijkheden verminderen die als risicovol worden beschouwd.
Het voorstel introduceert een Europees soevereiniteitskader met vier zekerheidsniveaus. Het eerste niveau is gebaseerd op het verwerken en opslaan van gegevens binnen infrastructuur die zich in de Europese Unie bevindt. De hogere niveaus voegen eisen toe rond onafhankelijkheid van derde landen, transparantie van de softwaretoeleveringsketen, Europees eigendom en Europese zeggenschap, en bescherming tegen externe inmenging.
Het verschil tussen deze niveaus onderstreept een centraal uitgangspunt: locatie blijft belangrijk, maar locatie is niet hetzelfde als controle.
CADA voorziet ook in gemeenschappelijke criteria voor overheidsopdrachten, meer steun voor open-sourcetechnologieën en maatregelen om de uitrol van cloud- en datacenterinfrastructuur te versnellen. De Europese Commissie stelt bovendien voor om de Europese datacentercapaciteit in de komende vijf tot zeven jaar minstens te verdrievoudigen.
Het gaat nog om een wetgevingsvoorstel. De inhoud kan tijdens de behandeling in het Europees Parlement en de Raad veranderen. De politieke richting is echter duidelijk: afhankelijkheid van infrastructuur en providers uit derde landen wordt niet langer uitsluitend gezien als een vraagstuk rond concurrentie of privacy, maar ook als een risico voor de weerbaarheid van overheden, ziekenhuizen, banken, industriële ondernemingen en essentiële diensten.
Cloudproviders zullen daarom steeds vaker worden beoordeeld aan de hand van een combinatie van criteria: beveiliging, portabiliteit, interoperabiliteit, jurisdictie, operationele controle, duurzaamheid en het vermogen om de dienstverlening voort te zetten bij juridische of geopolitieke veranderingen.
Operationele soevereiniteit: ontwerp de exit voordat die nodig is
Een van de nuttigste ideeën uit het webinar was het onderscheid tussen soevereiniteit als politiek of institutioneel begrip en de operationele soevereiniteit die een bedrijf daadwerkelijk nodig heeft.
Operationele soevereiniteit kan worden gemeten. Een organisatie beschikt over meer controle wanneer zij kan bepalen waar elke applicatie draait, weet wie haar gegevens beheert en een bruikbaar alternatief achter de hand heeft wanneer de omstandigheden veranderen.
Zo’n verandering kan worden veroorzaakt door een storing, een cyberaanval, een prijsverhoging, een bedrijfsovername, een gewijzigd licentiemodel, een nieuwe regelgevende verplichting of een geopolitieke beslissing.
Zoals David Aibar tijdens de sessie uitlegde, berekenen veel bedrijven nauwkeurig wat het kost om naar de cloud te gaan, maar weinig organisaties schatten wat het zou kosten om eruit te stappen. In het webinar werd de vergelijking gemaakt met het huren van een kantoor: naast de huur en de eerste inrichting moet een bedrijf ook rekening houden met de kosten om het pand te verlaten en in de afgesproken staat op te leveren.
Bij cloudinfrastructuur kunnen de exitkosten bestaan uit het extraheren van gegevens, het converteren van virtuele machines, het opnieuw opbouwen van netwerken, het vervangen van managed services, prestatietests, het tijdelijk parallel draaien van twee platforms en de functionele validatie van applicaties.
Niet iedere workload is even moeilijk te migreren. Een virtuele machine die gebruikmaakt van gangbare formaten kan met een redelijke inspanning worden verplaatst. Een applicatie die sterk leunt op platformspecifieke diensten vereist veel meer engineering, tests en codewijzigingen.
Soevereiniteit betekent niet dat iedere propriëtaire technologie moet worden vermeden. Het betekent dat de kosten van afhankelijkheid bekend zijn en dat bewust wordt besloten waar die afhankelijkheid aanvaardbaar is.
Een hybride strategie, geen migratie om principiële redenen
Cloudsoevereiniteit verplicht bedrijven niet om al hun workloads bij AWS, Microsoft Azure of Google Cloud weg te halen. Hyperscalers bieden wereldwijde dekking, geavanceerde diensten, capaciteit op aanvraag en snelle toegang tot technologieën voor data-analyse en Kunstmatige Intelligentie.
Zij kunnen geschikt zijn voor wereldwijde applicaties, tijdelijke omgevingen, projecten met een sterk wisselende vraag of workloads waarvan de gevoeligheid en afhankelijkheid vooraf zijn beoordeeld.
Andere systemen vereisen meer controle: klantendatabases, transactionele platforms, intellectueel eigendom, essentiële interne diensten, back-ups, systemen die onder sectorspecifieke regelgeving vallen en applicaties met een stabiel en voorspelbaar gebruik.
Met een hybride model kan iedere workload worden geplaatst op basis van de eigen vereisten:
| Type workload | Mogelijke aanpak |
|---|---|
| Ontwikkeling, tests en tijdelijke projecten | Flexibele public cloud |
| Wereldwijde applicaties met wisselende vraag | Hyperscaler of multicloudarchitectuur |
| Bedrijfssystemen met stabiel gebruik | Private cloud met dedicated resources |
| Gevoelige of gereguleerde gegevens | Infrastructuur met duidelijk vastgelegde jurisdictie en beheer |
| Resource-intensieve databases | Bare-metal of dedicated infrastructuur |
| Back-ups en herstel | Provider of locatie die onafhankelijk is van productie |
| Kritieke workloads | Hoge beschikbaarheid, replicatie en geteste procedures |
Ook het gebruik van meerdere platforms levert niet automatisch soevereiniteit op. Een slecht ontworpen multicloudomgeving kan tooling dupliceren, kosten verhogen en beveiliging complexer maken. Diversificatie moet een reactie zijn op concrete risico’s en worden ondersteund door gedeelde procedures, identiteiten, netwerken, monitoring en beleid.
De rol van Stackscale in een strategie voor operationele soevereiniteit
Stackscale kan binnen een hybride of multicloudmodel dienen als dedicated Europese infrastructuur. De private-cloudoplossingen combineren exclusieve hardware, netwerkopslag, private connectiviteit, gespecialiseerde ondersteuning en virtualisatie op basis van Proxmox VE of VMware.
Met Proxmox VE kunnen virtualisatieplatforms worden gebouwd op basis van open-sourcetechnologieën zoals KVM en LXC. Voor veel bedrijven kan dit een alternatief zijn waarmee de afhankelijkheid van bepaalde licentiemodellen wordt verminderd en de totale eigendomskosten beter beheersbaar worden. De keuze moet echter gebaseerd zijn op een beoordeling van compatibiliteit, beschikbaarheid, back-ups, netwerk, opslag en operationele mogelijkheden, en niet alleen op de prijs van de hypervisor.
Bare-metal is geschikt voor workloads die dedicated prestaties, lage latency, isolatie, directe toegang tot hardware of voorspelbaarder gedrag vereisen. Private cloud voegt een virtualisatie- en beheerlaag toe aan toegewezen resources, zodat applicaties kunnen worden geconsolideerd zonder de fysieke capaciteit met andere klanten te delen.
Voor bedrijfskritieke omgevingen biedt Stackscale opslag met synchrone georeplicatie tussen twee datacenters in Madrid die meer dan tien kilometer van elkaar verwijderd zijn. Volgens de gepubliceerde specificaties is de dienst ontworpen voor een RPO en RTO van nul, met onafhankelijke en redundante opslagsystemen, snapshotgebaseerde back-ups en 24/7 technische ondersteuning.
De strategie kan worden aangevuld met gereserveerde infrastructuur voor Disaster Recovery. Met dit model kan een cold spare op een externe locatie worden aangehouden, tijdens periodieke tests worden geactiveerd en worden gebruikt om applicaties te herstellen na een hardwarestoring, cyberaanval of andere noodsituatie.
Deze mogelijkheden passen in verschillende ontwerpen: productie in een private cloud met back-ups op een andere locatie, workloads bij een hyperscaler met herstel bij Stackscale, Proxmox VE-clusters met netwerkopslag, VMware-platforms die een tweede locatie nodig hebben of stapsgewijze migraties vanuit on-premise- en public-cloudomgevingen.
Het doel moet niet zijn om de gehele infrastructuur naar één nieuwe bestemming te verplaatsen. De prioriteit is het opbouwen van een alternatief dat daadwerkelijk kan worden gebruikt wanneer dat nodig is.
Een cloud-exitplan van 90 dagen
Voor een eerste beoordeling is geen onmiddellijke volledige migratie nodig. Het traject kan over drie maanden worden verdeeld:
| Fase | Benodigde werkzaamheden | Resultaat |
|---|---|---|
| Inventarisatie | Machines, gegevens, diensten, netwerken en afhankelijkheden identificeren | Actueel overzicht van het platform |
| Classificatie | Workloads indelen op kriticiteit, gevoeligheid en regelgeving | Duidelijke prioriteiten |
| Jurisdictie | Provider, moedermaatschappij, onderaannemers en betrokken landen beoordelen | Overzicht van juridische blootstelling |
| Portabiliteit | Formaten, API’s, images en exporttools documenteren | Bekende technische belemmeringen |
| Kosten | Gegevensoverdracht, engineering, licenties en parallelle bedrijfsvoering berekenen | Eerste exitbudget |
| Doelomgeving | Alternatieve infrastructuur selecteren | Beschikbare herstelcapaciteit |
| Pilot | Een representatieve workload migreren of herstellen | Geteste procedure |
| Continuïteit | RTO, RPO en aanvaardbare onderbreking vaststellen | Meetbare doelstellingen |
| Beveiliging | Identiteiten, sleutels, encryptie en logs beoordelen | Controle tijdens de overgang |
| Tests | Exports, herstelprocedures en failovers herhalen | Actueel en controleerbaar plan |
In de eerste maand kan het bedrijf de inventarisatie afronden en de workloads classificeren. In de tweede maand kan het een representatief systeem selecteren, de doelomgeving voorbereiden en een eerste migratie of hersteltest uitvoeren. De derde maand moet worden gebruikt om doorlooptijden te meten, uitzonderingen te documenteren en de vastgestelde kosten en risico’s aan de directie voor te leggen.
Het resultaat hoeft geen onmiddellijke migratie te zijn. Alleen al weten dat er een alternatief bestaat, wat het kost, hoeveel tijd het vraagt en welke afhankelijkheden moeten worden opgelost, verbetert het vermogen van de organisatie om beslissingen te nemen.
Cloudsoevereiniteit wordt praktisch relevant wanneer het niet langer uitsluitend een politiek begrip is, maar wordt vertaald naar architectuur, contracten, procedures en tests. Instappen in een platform is een technische en financiële beslissing. De vrijheid behouden om te bepalen hoe en wanneer de organisatie eruit stapt, is een beslissing over bedrijfscontinuïteit.
Veelgestelde vragen
Voorkomt het opslaan van gegevens in een Europese regio dat de CLOUD Act van toepassing is?
Niet noodzakelijk. De fysieke locatie is relevant, maar bedrijven moeten ook nagaan of de provider onder de Amerikaanse jurisdictie valt en of deze de informatie bezit, bewaart of controleert.
Maakt de Data Act cloudmigraties kosteloos?
Nee. Vanaf 12 januari 2027 verdwijnen de in de verordening omschreven overstapkosten, maar bedrijven blijven verantwoordelijk voor de kosten van engineering, aanpassingen, gegevensoverdracht, tests en operationeel beheer.
Moeten bedrijven hyperscalers verlaten om een soevereine cloudstrategie te voeren?
Nee. Een dergelijke strategie kan public cloud, private cloud, bare-metal, Europese providers en een onafhankelijke locatie voor back-ups of Disaster Recovery combineren. Iedere workload moet worden geplaatst op basis van risico, kriticiteit en technische afhankelijkheden.
Wat is de eerste stap om de afhankelijkheid van een provider te verminderen?
Begin met een inventarisatie van workloads en afhankelijkheden, beoordeel de toepasselijke jurisdictie en voer een echte export-, migratie- of hersteltest uit op een alternatieve infrastructuur.
Bronnen:
- Webinar Despeja tu Cloud, georganiseerd door Aire op 08/07/2026.
- Verordening (EU) 2023/2854, Data Act, in het bijzonder de artikelen 23 tot en met 32.
- United States Code, titel 18, sectie 2713, over de territoriale reikwijdte van de CLOUD Act.
- Voorstel van de Europese Commissie voor de Cloud and AI Development Act van 03/06/2026.
- Stackscale, private-cloudoplossingen met Proxmox VE en VMware.
- Stackscale, opslag met synchrone georeplicatie.
- Stackscale, gereserveerde infrastructuur voor Disaster Recovery.