Meer dan privacy: beschikbaarheid, afhankelijkheid en kosten

Module 1: Waarom een Europese cloud? · Leestijd: 11 minuten

Leerdoel: Na deze les kun je uitleggen dat digitale soevereiniteit ook gaat over beschikbaarheid, afhankelijkheid en zeggenschap, je kent de nieuwe Europese overstaprechten uit de Data Act, en je kunt de risico's van je eigen situatie afwegen.

Kernbegrippen: digitale soevereiniteit, beschikbaarheidsrisico, sancties, eenzijdige wijziging van voorwaarden, leveranciersafhankelijkheid (vendor lock-in), concentratierisico, EU Data Act, overstaprecht, overstapkosten, NIS2, afweging (kans en impact)

Soevereiniteit is meer dan "wie kan meelezen"

De lessen hiervoor gingen over vertrouwelijkheid: wie kan je gegevens inzien. Maar er zijn nog twee vragen die minstens zo belangrijk zijn voor een organisatie:

1. Kun je erbij als je ze nodig hebt? (beschikbaarheid)
2. Kun je zelf beslissen, ook als de aanbieder iets anders wil? (zeggenschap)

Samen heet dat digitale soevereiniteit: de mate waarin jij (of je land, of Europa) zelf de regie houdt over je digitale gegevens en diensten. Het woord klinkt groot, maar voor Bakkerij De Korrel is het heel praktisch: als Sanne maandagochtend om zes uur de bezorgroutes niet kan openen, staan er twaalf mensen te wachten.

Dit is uitleg, geen juridisch advies.

Risico 1: je account kan dicht

Een clouddienst kan je toegang beperken of afsluiten. Meestal om gewone redenen: een niet betaalde factuur, een vermoeden van misbruik, een automatisch systeem dat iets verkeerd inschat. Wie ooit een geblokkeerd account bij een grote dienst heeft gehad, weet hoe moeilijk het is daar een mens te spreken te krijgen.

Er is ook een geopolitieke variant. Een bedrijf moet zich houden aan de sancties van het land waar het onder valt. In februari 2025 legde de Amerikaanse regering sancties op aan de hoofdaanklager van het Internationaal Strafhof (ICC) in Den Haag. In mei 2025 meldde persbureau AP dat hij geen toegang meer had tot zijn werkmail bij Microsoft. Microsoft heeft verklaard dat het zijn diensten aan het ICC nooit heeft stopgezet; volgens latere berichten gaf het ICC zelf, onder druk van de sancties, de mailbox niet langer vrij. Hoe het precies ging, staat nog ter discussie. Maar het voorbeeld laat zien dat de beschikbaarheid van een dienst afhangt van de politiek van het land van de aanbieder, niet alleen van de techniek.

Een bakkerij krijgt niet snel met sancties te maken. Het punt is breder: je bent afhankelijk van regels waar je geen invloed op hebt.

Risico 2: voorwaarden en prijzen veranderen eenzijdig

Clouddiensten werken met abonnementen en algemene voorwaarden die de aanbieder kan wijzigen. Pakketten worden samengevoegd, functies verdwijnen naar een duurder pakket, of er komt een nieuwe functie bij (zoals AI) die de prijs verhoogt of je gegevens anders gebruikt. Je kunt meestal alleen kiezen: accepteren of vertrekken. En vertrekken is moeilijk als al je werk er zit. Dat is leveranciersafhankelijkheid, in het Engels vendor lock-in (les 2.3).

Risico 3: alles bij één partij

Als je mail, agenda, bestanden, chat, wachtwoorden en het inloggen op andere diensten ("inloggen met Google of Microsoft") bij één aanbieder hebt, dan is één storing, één geblokkeerd account of één gehackt wachtwoord genoeg om alles tegelijk te verliezen. Dat heet concentratierisico. Dat geldt voor elke aanbieder, ook voor een Europese. Spreiding en een eigen back-up (module 8) helpen.

Op landsniveau speelt hetzelfde. In Nederland ontstond in 2025 en 2026 discussie over Solvinity, het bedrijf dat infrastructuur voor DigiD en MijnOverheid levert. Het Amerikaanse Kyndryl wilde het overnemen. Na advies van het Bureau Toetsing Investeringen verbood de staatssecretaris in mei 2026 de overname, ter bescherming van het publieke belang; een van de zorgen was dat de Amerikaanse overheid via de CLOUD Act toegang zou kunnen krijgen. Het voorbeeld laat zien dat ook de eigenaar van een Europese aanbieder kan veranderen. Een Europese dienst van vandaag kan morgen een Amerikaans moederbedrijf hebben. Daarom hoort een exit-plan (les 8.2) bij elke keuze.

Nieuwe Europese regels: de Data Act

De EU heeft regels gemaakt om overstappen tussen clouddiensten makkelijker te maken, in de Data Act (Verordening (EU) 2023/2854). De verordening geldt sinds 12 september 2025. Voor clouddiensten (de wet zegt "gegevensverwerkingsdiensten") staan de regels in hoofdstuk VI (artikel 23 tot en met 31). In het kort:

• Een aanbieder mag je niet tegenhouden als je wilt overstappen naar een andere aanbieder of naar eigen servers, en moet daarbij meewerken.
• Het contract moet onder meer een opzegtermijn van ten hoogste twee maanden toestaan, een overgangsperiode van in principe ten hoogste dertig dagen, en een periode van minstens dertig dagen om je gegevens op te halen.
• Aanbieders moeten vooraf duidelijk zijn over kosten.
• Overstapkosten, waaronder de kosten van het wegsturen van je gegevens (egress), mochten sinds de start alleen nog tegen kostprijs, en vervallen helemaal vanaf 12 januari 2027 (artikel 29). Gewone abonnementskosten en boetes voor vroegtijdig opzeggen van een contract met een vaste looptijd blijven wel mogelijk.

Dat helpt, maar het lost niet alles op. De wet zegt dat je je gegevens mag meenemen, niet dat ze bij de nieuwe dienst precies hetzelfde werken. Een Google-document of een Teams-chatgeschiedenis meenemen naar een andere omgeving blijft lastig (module 5, 6 en 7).

NIS2 in één alinea

De Europese NIS2-richtlijn (Richtlijn (EU) 2022/2555) verplicht middelgrote en grote organisaties in belangrijke sectoren om hun cyberbeveiliging en die van hun leveranciers op orde te hebben. Een kleine bakkerij valt er niet onder, maar een leverancier van zo'n organisatie kan wel vragen krijgen over zijn eigen clouddiensten. NIS2 zegt niets over Europees of niet-Europees, maar wel dat je de risico's in je keten moet kennen.

Afwegen: niet alles is even belangrijk

Je hoeft niet morgen alles over te zetten. Een nuchtere afweging per onderdeel helpt. Voor elk risico kijk je naar de kans dat het gebeurt en de impact als het gebeurt:

Zo'n tabel laat zien waar je begint. De personeelsmap is klein en gevoelig: snel te verhuizen met veel winst. De mail is belangrijk, maar vraagt een zorgvuldig plan (module 4). De chatgeschiedenis neem je misschien niet mee, maar je archiveert hem.

Eerlijk tegenwicht: de grote Amerikaanse diensten zijn betrouwbaar, technisch sterk en vertrouwd voor je medewerkers. Een overstap kost tijd en wennen. De vraag is niet "goed of fout", maar welke risico's je bewust accepteert.

In de praktijk: zo ziet het eruit bij een aanbieder

Vraag bij elke aanbieder, ook een Europese: hoe haal ik mijn gegevens eruit, in welke formaten, en hoe lang na opzegging kan ik er nog bij? Bij WebOké staat bijvoorbeeld in de Nextcloud-handleiding hoe je gegevens overzet tussen Nextclouds, en Nextcloud werkt met open standaarden zoals WebDAV, CalDAV en CardDAV, zodat je ook naar een andere aanbieder kunt. Andere aanbieders hebben vergelijkbare exportfuncties; kijk of ze zonder hulp van support werken.

Samenvatting

• Digitale soevereiniteit gaat over vertrouwelijkheid, beschikbaarheid en zeggenschap.
• Een account kan dicht, door een fout, een betaling of sancties; de ICC-zaak (2025) laat zien dat politiek meespeelt.
• Voorwaarden en prijzen kunnen eenzijdig veranderen; alles bij één partij geeft concentratierisico.
• De Data Act (van toepassing sinds 12 september 2025) geeft overstaprechten; overstapkosten vervallen vanaf 12 januari 2027.
• Weeg per onderdeel kans en impact af en begin waar de winst het grootst is.

Quiz

Opdracht

Opdracht A1.5: Je eigen risicoweging. Vul voor je eigen organisatie per onderdeel (mail, agenda, contacten, bestanden, documenten, chat, wachtwoorden, back-ups) in hoe vertrouwelijk het is, hoe erg uitval is en hoe moeilijk weggaan is. Het programma controleert of je weging volledig en consistent is en zet de onderdelen in een volgorde.

Opdracht E1.5: Jouw afweging in vijf zinnen. Schrijf op waarom jouw organisatie wel of niet (gedeeltelijk) wil overstappen, welke risico's je bewust accepteert en wat het belangrijkste argument is voor je collega's.

Verder lezen

De stappen in deze artikelen gelden voor de diensten van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• Nextcloud handleiding 1.1: Wat is Nextcloud en wat is een WebOké Nextcloud?
• Nextcloud handleiding 13.1: Voorbereiden: wat neem je mee en in welke volgorde
• Nextcloud handleiding 6.6: Back-ups bij WebOké: wat wij bewaren en wat je zelf kunt doen
• Verordening (EU) 2023/2854 (Data Act), hoofdstuk VI, artikelen 23 tot en met 31, op EUR-Lex
• Richtlijn (EU) 2022/2555 (NIS2), op EUR-Lex