De afgelopen week nam de discussie over digitale soevereiniteit in Nederland een interessante wending. Een motie die oproept tot het ontwikkelen van een ‘Rijkscloud’ en het formuleren van een exitstrategie voor Amerikaanse clouddiensten is door de Tweede Kamer aangenomen. Een besluit dat precies raakt aan wat we recent bespraken in onze greatminds podcast over de impact van Trump’s herverkiezing op cloud computing en Europese data-privacy.
De Tweede Kamer drukt op de stopknop
De Tweede Kamer heeft afgelopen dinsdag met een ruime meerderheid ingestemd met een motie die oproept tot het ontwikkelen van een “Rijkscloud” als alternatief voor Amerikaanse clouddiensten. Daarnaast wil de Kamer dat er een exitstrategie komt voor het gebruik van Amerikaanse clouddiensten door de overheid en dat er onderzoek wordt gedaan naar Europese alternatieven. In de tussentijd moeten nieuwe cloudprojecten bij de overheid worden ‘gepauzeerd’, zoals BNR bericht.
Dit besluit komt niet uit de lucht vallen. De Algemene Rekenkamer publiceerde in januari 2025 een kritisch rapport getiteld “Het rijk in de cloud”, waarin werd gewaarschuwd voor de grote afhankelijkheid van de Nederlandse overheid van Amerikaanse cloudproviders. Volgens de Rekenkamer heeft de Rijksoverheid onvoldoende grip op haar clouddiensten en is er sprake van “vendor lock-in”, waardoor overstappen moeilijk wordt.
De motie, ingediend door PVV en NSC, werd mede ondersteund door partijen als PvdA/GroenLinks, SP en de Partij voor de Dieren. De enige partijen die tegen stemden waren VVD en D66.
Geopolitieke spanning en digitale soevereiniteit
Tijdens onze recente podcast bespraken we al hoe de terugkeer van Donald Trump als president van de Verenigde Staten de Europese digitale soevereiniteit onder druk zet. Nederland, en Europa in het bredere perspectief, is extreem afhankelijk van Amerikaanse cloudgiganten. Dit roept de vraag op: is onze data nog wel veilig?
De kern van het probleem ligt bij de Amerikaanse CLOUD Act, die Amerikaanse autoriteiten in staat stelt om data op te eisen die door Amerikaanse bedrijven wordt beheerd, ook als deze data buiten de VS is opgeslagen. Dit botst fundamenteel met de Europese GDPR-wetgeving, die juist strenge eisen stelt aan de bescherming van persoonsgegevens en verbiedt dat deze zomaar worden gedeeld met buitenlandse overheden.
Het Data Privacy Framework staat op losse schroeven
Onder president Biden werd in 2023 het Data Privacy Framework (DPF) opgezet als nieuwe internationale overeenkomst voor dataoverdracht tussen de EU en de VS. Dit was al de derde poging, nadat eerdere overeenkomsten (Safe Harbor en Privacy Shield) door het Europese Hof waren vernietigd na rechtszaken aangespannen door privacyactivist Max Schrems (bekend als Schrems I en Schrems II).
Nu Trump weer aan de macht is, dreigt ook dit framework te sneuvelen. Trump lijkt plannen te hebben om het Privacy and Civil Liberties Oversight Board (PCLOB) te ontbinden, een belangrijk onafhankelijk toezichtsorgaan dat cruciaal is voor het functioneren van het DPF. Als dit gebeurt, ontstaat er mogelijk een “Schrems III”-scenario, waarbij ook deze overeenkomst wordt vernietigd door het Europese Hof.
De Nederlandse Rijkscloud: droom of werkelijkheid?
Nu de Tweede Kamer zich heeft uitgesproken voor een Nederlandse Rijkscloud, rijst de vraag of dit een realistisch alternatief is voor Amerikaanse cloudproviders. Voorstanders van de motie benadrukken de noodzaak van digitale soevereiniteit. Tegenstanders, zoals VVD en D66, wijzen juist op het gebrek aan volwaardige Europese alternatieven. Maar is dat werkelijk zo?
Laten we beginnen met een belangrijke nuance: ‘de cloud’ bestaat niet. Wanneer we spreken over clouddiensten, hebben we het over verschillende lagen. Ten eerste heb je de fysieke infrastructuur (servers in datacenters), ten tweede de software die deze servers verbindt, en ten derde de diensten die erop draaien, zoals kantoorapplicaties.
Op verschillende van deze lagen zijn er Europese spelers actief. Zo is er Nextcloud als alternatief voor Microsoft 365, een opensourceoplossing die inmiddels wordt gebruikt door onder andere de Duitse overheid, enkele Franse ministeries en de Italiaanse luchtmacht. Voor serverinfrastructuur zijn er partijen als het Franse OVHcloud en de Duitse ‘Open Telekom Cloud’ van Deutsche Telekom.
Het probleem zit hem niet zozeer in het ontbreken van alternatieven, maar in andere factoren:
- One-stop-shop: Amerikaanse hyperscalers bieden een alles-in-één oplossing, terwijl Europese alternatieven vaak versnipperd zijn.
- Schaalvoordelen: Door hun enorme omvang kunnen AWS, Microsoft en Google diensten tegen lagere prijzen aanbieden.
- Inertie en gewenning: Veel organisaties zijn zo gewend aan Microsoft of Amazon dat overstappen als een enorme opgave wordt gezien.
- Aanbestedingsregels: De huidige aanbestedingsprocedures benadelen vaak kleinere, Europese spelers.
Het is een misvatting dat we voor de meeste overheidstaken geavanceerde cloudoplossingen nodig hebben. Voor veel overheidsdiensten gaat het om relatief simpele dataopslag en serverruimte, functionaliteiten die ook door Europese aanbieders geleverd kunnen worden.
Een genuanceerde hybride aanpak
Vanuit mijn perspectief als architect zie ik dat een volledig Europese cloud-infrastructuur op korte termijn niet realistisch is, ondanks de duidelijke waarschuwingen van de Rekenkamer. De technologische afhankelijkheid van Amerikaanse oplossingen is simpelweg te groot, en de “vendor lock-in” waar de Rekenkamer over spreekt, is een reëel probleem. Wat we wel kunnen doen, is een slimme hybride strategie ontwikkelen:
- Classificeer data op gevoeligheid: Bepaal welke gegevens echt kritiek zijn vanuit privacy- en soevereiniteitsperspectief.
- Gebruik Europese oplossingen voor de meest gevoelige data: Kies voor lokale, Europese cloudproviders voor data die onder geen beding in Amerikaanse handen mag vallen.
- Investeer in encryptie en privacy-versterkende technologieën: Zelfs bij gebruik van Amerikaanse clouds kunnen end-to-end encryptie en zero-knowledge architecturen veel risico’s mitigeren.
- Ontwikkel open standaarden voor cloud interoperabiliteit: Dit maakt het makkelijker om in de toekomst van provider te wisselen als dat nodig is.
Wat heb je nodig om zo’n Nederlandse Rijkscloud te realiseren
Voor het realiseren van een volwaardige Nederlandse Rijkscloud zijn concrete stappen nodig:
- Bundelen van Europese krachten: Europese cloudproviders moeten beter samenwerken om een geïntegreerd alternatief te bieden.
- Gerichte investeringen: Er moet geïnvesteerd worden in het ‘polijsten’ van Europese clouddiensten zodat ze even gebruiksvriendelijk worden als hun Amerikaanse tegenhangers.
- Aanpassing van aanbestedingsregels: Zorgen dat Europese spelers een eerlijke kans maken bij overheidsaanbestedingen.
- Strategische inzet van marktmacht: Als grote overheidsinstanties de overstap maken, creëert dat een stimulans voor verder ontwikkeling van Europese alternatieven.
Wat betekent dit voor Nederlandse organisaties?
Voor Nederlandse bedrijven en overheidsorganisaties betekent dit dat ze nu al moeten nadenken over hun cloudstrategie. De juridische onzekerheid rond trans-Atlantische dataoverdracht zal de komende jaren waarschijnlijk alleen maar toenemen.
Voor de overheid lijkt een exitstrategie voor Amerikaanse clouddiensten verstandig, zeker voor systemen die gevoelige burgerdata bevatten. Voor het bedrijfsleven ligt de situatie genuanceerder. Vooral voor kleinere bedrijven en startups blijven Amerikaanse clouds aantrekkelijk vanwege hun innovatiekracht en kostenvoordelen.
Waakzaamheid geboden
De motie van de Tweede Kamer en het besluit om nieuwe cloudprojecten te pauzeren zijn belangrijke signalen dat Nederland zijn digitale soevereiniteit eindelijk serieus neemt. De aanbevelingen van de Rekenkamer worden hiermee concreet opgepakt, wat een goede ontwikkeling is. Tegelijkertijd moeten we realistisch blijven over wat op korte termijn haalbaar is. Een volledige ontkoppeling van Amerikaanse cloudtechnologie zou enorme kosten met zich meebrengen en onze innovatiekracht kunnen remmen.
Wat we nodig hebben is een doordachte, gefaseerde aanpak waarbij we stap voor stap onze afhankelijkheid verminderen, terwijl we blijven profiteren van de voordelen die Amerikaanse technologie biedt. Dit vergt nauwe samenwerking tussen overheid, bedrijfsleven en Europese cloudproviders.
Met de herverkiezing van Trump en de groeiende geopolitieke spanningen is het duidelijk dat digitale soevereiniteit geen luxe meer is, maar een noodzaak. De vraag is niet óf we moeten handelen, maar hoe we dat op een slimme manier doen zonder onszelf economisch in de voet te schieten.
Wil je meer weten over dit onderwerp? Luister dan naar onze recente podcast “Data privacy, GDPR en Trump: Wat betekent dit voor jouw organisatie?”, waarin we dieper ingaan op de juridische, technische en strategische aspecten van digitale soevereiniteit.