De discussie over cloudsoevereiniteit draait te vaak om de keuze tussen Amerikaanse en Europese aanbieders, stelt Chief Information Security Officer Cindy Wubben van Visma. Dit terwijl het eigenlijk om risicomanagement gaat. Het type data bepaalt volgens Wubben welke cloudstrategie passend is, en niet de nationaliteit van de aanbieder. Drie niveaus van cloud-initiatieven bieden organisaties een kader om die afweging te maken.
De opkomst van soevereine Nederlandse en Europese cloud-initiatieven sluit aan op een bredere discussie over de afhankelijkheid van Amerikaanse technologie. Maar wie cloudsoevereiniteit puur als een principekeuze benadert mist volgens Wubben de kern: risicomanagement op basis van de inhoud van data. De centrale vraag is niet welke aanbieder je kiest, maar wat het risico is als een bepaalde dataset in verkeerde handen valt. Een salarissysteem met persoonsgegevens vraagt om een andere afweging dan een marketingdatabase. Een ziekenhuis met patiëntendossiers heeft andere risicoprofielen dan een retailer met verkooprapportages, beargumenteert Wubben. En een gemeente die een burgerportaal beheert, kent andere belangen dan een logistiek bedrijf met internationale ketens.
Drie niveaus van cloud-initiatieven
Wubben maakt onderscheid tussen drie categorieën cloudoplossingen, die elk een ander risicoprofiel kennen:
- Grote Amerikaanse aanbieders zoals Microsoft en Google zijn in veel gevallen de meest pragmatische keuze, vanwege schaal, beveiligingsinvesteringen en innovatietempo. Op het gebied van security lopen zij vaak voorop.
- Voor organisaties die meer Europese controle willen, zijn initiatieven beschikbaar zoals de Open Cloud Alliantie, een samenwerkingsverband van Nederlandse aanbieders waaronder KPN, Centric en Uniserver. Ook partijen als OVHcloud vallen in deze categorie. Hier is sprake van Europees eigendom en Europese dataopslag, maar zonder volledige onafhankelijkheid van Amerikaanse wetgeving.
- Voor de meest gevoelige toepassingen ontstaan omgevingen die volledig losstaan van Amerikaanse contractuele afhankelijkheden. Voorbeelden zijn de soevereine cloud die KPN samen met het Duitse Schwarz Digits ontwikkelt en de Belgian Critical Cloud.
Juridisch risico verschilt per situatie
Als een aanbieder in de Verenigde Staten is gevestigd of onder Amerikaans recht valt, ook al staan de servers in Europa, blijft het juridische risico volgens Wubben reëel. Wij wijst erop dat Amerikaanse wetgeving toegang tot data kan afdwingen, ongeacht de locatie van de servers. De impact daarvan verschilt per systeem en per dataset.
Organisaties die cloudsoevereiniteit blijven benaderen als een keuze tussen kampen, riskeren dat sentiment de discussie domineert. Digitale weerbaarheid begint bij een scherpe afweging van data, regelgeving en risico. Vanuit dat kader kan vervolgens de conclusie volgen dat bepaalde data niet bij een specifieke categorie aanbieders thuishoort.
