Soevereiniteit
Een soevereine cloud is, in een inkoopdossier, een dienst waarvan de beheerder, het toepasselijke recht en de beheertoegang bekend zijn, en waarvan de gegevens kunnen worden teruggehaald. De marketingdefinitie varieert. De criteria lenen zich wel voor een beoordelingsraster.
“Soevereine cloud” in een uitvraag opnemen komt neer op het stellen van een vraag waarop elke kandidaat ja antwoordt. De antwoorden worden onvergelijkbaar en de keuze wordt gemaakt op prijs of op de indruk die de presentatie achterlaat.
Een raster dwingt elke kandidaat dezelfde vraag te beantwoorden, met een bewijsstuk. Het beschermt de inkoper ook na de ondertekening: een schriftelijke toezegging in het antwoord op de uitvraag kan in het contract worden overgenomen, terwijl een bijvoeglijk naamwoord niet te controleren is. Het begrip zelf wordt uitgelegd in wat is een soevereine cloud. Deze pagina dient voor de inkoop.
Hanteer deze.
Een digitale dienst wordt voor een Europese inkoper als soeverein beschouwd wanneer de vennootschap die hem beheert onder Europees recht valt, de toevertrouwde gegevens en hun back-ups binnen het aangekondigde geografische gebied blijven, de beheertoegang geïdentificeerd is en de klant zijn gegevens kan exporteren en vervolgens laten verwijderen.
Deze zin is een werkinstrument. Het is geen artikel van de AVG (Algemene verordening gegevensbescherming). De verordening definieert rollen (verwerkingsverantwoordelijke, verwerker), doorgiften en rechten van betrokkenen. Ze kent geen label “soeverein” toe.
Elk deel van de zin verwijst naar een of meer van de onderstaande criteria. Dat maakt hem bruikbaar: u kunt hem opdelen in vragen en de antwoorden scoren.
Elk criterium wordt aangetoond met een document, niet met een bijvoeglijk naamwoord.
De tien criteria wegen niet voor alle inkopers even zwaar. Voor een e-maildienst en bestandsdeling maken de criteria 1, 3, 4, 5 en 9 doorgaans het verschil tussen de aanbiedingen. Criterium 10 is uitsluitend wanneer het wordt geëist, en anders neutraal. Bepaal de weging voordat u de antwoorden opent, niet erna.
Locatie staat niet gelijk aan recht. Een datacenter in Frankfurt dat wordt beheerd door een Amerikaanse vennootschap, blijft een dienst van die vennootschap. De Amerikaanse CLOUD Act heeft betrekking op gegevens in bezit van een leverancier die onder de rechtsmacht van de Verenigde Staten valt, ongeacht het land waar de schijf staat. Zie een onderneming beschermen tegen de CLOUD Act en de vergelijking Europese of Amerikaanse cloud.
Europees recht staat niet gelijk aan de afwezigheid van vorderingen. Een Franse, Duitse of Nederlandse rechter kan een operator binnen zijn rechtsgebied bevelen gegevens te verstrekken. Het verschil zit in de rechter, de procedure en de rechtsmiddelen. Een raster dat het tegendeel zou suggereren, zou de inkoper misleiden.
Software en beheerder zijn twee verschillende zaken. Nextcloud wordt uitgegeven door Nextcloud GmbH, in Duitsland. Zimbra wordt uitgegeven door Synacor, in de Verenigde Staten. BlueMind is een Franse vennootschap. In alle drie de gevallen hangt de soevereiniteit van uw dienst af van wie hem installeert, wie de back-ups maakt en wie de telefoon opneemt. De nationaliteit van de softwareleverancier telt vooral als die toegang heeft tot de gegevens: dat wordt dan onder criterium 7 behandeld.
SecNumCloud is beperkt. Het is een ANSSI-kwalificatie, per aanbod, met een reikwijdte en een einddatum. Ze wordt vaak geëist voor gevoelige overheidsgegevens. Als enig criterium is ze onevenredig voor een mkb-bedrijf dat een e-maildienst en bestandsdeling zoekt. Ze is ontoereikend als men zich erop beroept zonder het besluit te lezen.
Geen enkel aanbod dekt alle toepassingen van Microsoft 365. Geavanceerd Excel, Power BI, het Teams-ecosysteem en branchespecifieke invoegtoepassingen hebben bij Europese operators geen algemeen equivalent. Het soevereiniteitscriterium beslecht dit punt niet. Het komt erbij. Als deze toepassingen centraal staan, kan het raster ertoe leiden Microsoft 365 bewust te behouden: zie Microsoft 365 tegenover een soevereine oplossing.
Vervang “soevereine cloud” door de tien criteria, elk met een verwacht bewijsstuk. U kunt dan een Microsoft-aanbod met Europese gegevensgrens, een Google-aanbod met dataregio, een Zwitsers aanbod zoals Infomaniak en een aanbod dat in Frankrijk wordt beheerd met elkaar vergelijken. De vergelijking wordt een kwestie van bewijsstukken lezen, niet een strijd van bijvoeglijke naamwoorden.
| Criterium | Vraag aan de kandidaat | Verwacht bewijsstuk |
|---|---|---|
| 1. Beherende vennootschap | Welke vennootschap beheert de dienst, en wie heeft er zeggenschap over? | Uittreksel uit het handelsregister, organigram van de groep |
| 2. Recht van het contract | Welk recht, welke rechtbank? | Clausule uit de algemene voorwaarden en uit de verwerkersovereenkomst |
| 3 en 4. Omvang en locatie | Welke categorieën gegevens, in welke landen? | Overzicht per categorie: inhoud, back-ups, logboeken, support |
| 5. Beheer | Wie beheert, van waaruit, met welk spoor? | Beschrijving van de teams en van de logging |
| 6. Sleutels | Wie kan ontsleutelen, en in welke gevallen? | Beschrijving van het versleutelingsschema |
| 7. Verwerkers | Wie ontvangt een kopie of toegang? | Lijst met namen en landen |
| 8. Autoriteiten | Wat doet u bij een verzoek? | Schriftelijke procedure |
| 9. Omkeerbaarheid | Hoe halen we alles terug, en hoe snel? | Exportprocedure, formaten, test |
| 10. Kwalificatie | Is het voorgestelde aanbod gekwalificeerd? | Verwijzing naar de ANSSI-catalogus, indien geëist |
Het geografische criterium alleen wordt uitgewerkt in Wat “gegevens gehost in Europa” werkelijk betekent.
Hypothetisch geval. Een middelgrote dienstverlener vernieuwt zijn e-maildienst en bestandsdeling. De eerste versie van het programma van eisen vraagt om “een soevereine cloudoplossing, gehost in Europa”. De drie kandidaten antwoorden ja.
De IT-afdeling herschrijft de uitvraag met het raster. De antwoorden worden leesbaar. De eerste kandidaat host in Europa, maar maakt deel uit van een groep die onder Amerikaans recht valt: criterium 1 niet vervuld, criteria 3 en 4 goed gedocumenteerd. De tweede is een Europese vennootschap, maar besteedt de nachtsupport uit aan een verwerker buiten de zone: criterium 5 moet worden onderhandeld. De derde vervult de juridische criteria, maar dekt een bedrijfstoepassing niet: de directie moet een afweging maken. Het raster heeft niet in de plaats van de onderneming gekozen. Het heeft de keuze expliciet gemaakt.
Nee. De AVG kent geen label “soeverein” toe. SecNumCloud is een kwalificatie van een aanbod, afgegeven door de ANSSI, geen algemene definitie. De hier voorgestelde definitie is een werkinstrument voor een inkoper.
In het algemeen niet. Het criterium heeft betrekking op de vennootschap die beheert en op die welke er zeggenschap over heeft. Een dochteronderneming kan in euro’s factureren en in Europa hosten en tegelijk deel uitmaken van een groep die onder Amerikaans recht valt. De pagina Europese of Amerikaanse cloud werkt dit verschil uit.
U moet ze allemaal stellen, om vergelijkbare antwoorden te krijgen. Hun gewicht hangt daarentegen af van uw gegevens en uw verplichtingen. Een vooraf vastgestelde weging voorkomt dat het raster wordt aangepast aan de favoriete kandidaat.
Ja, en daar ligt juist de waarde ervan. De voorzieningen voor gegevensresidentie van deze softwareleveranciers vallen onder de criteria 3 en 4. De nationaliteit van de softwareleverancier valt onder criterium 1. De pagina’s AVG en Microsoft 365 en AVG en Google Workspace passen deze vragen toe.
Klytic voldoet aan een deel van het raster en niet aan een ander deel. De beheerder is Dedicace Software, een Franse vennootschap. De klant kiest een Klytic-hosting in elke geografische zone die overeenkomt met het toepasselijke rechtsgebied, onder voorbehoud van de beschikbaarheid van de vereiste diensten, bijvoorbeeld in Europa of op Mauritius, of op de servers van de klant. De softwareleverancier van de e-maildienst is Amerikaans (Zimbra / Synacor), die van de documenten is Duits (Nextcloud), met een eigen instantie per klant.
Wat het criterium van de sleutels betreft, zijn de gegevens volledig in bezit van de klant, of van Klytic namens de klant, in een geografische zone die onder het toepasselijke rechtsgebied valt. Ze worden standaard versleuteld, of volgens de keuze van de klant. De sleutel is in bezit van de klant of wordt bewaard in zijn account, en Klytic heeft er geen toegang toe. De stappen waarin de versleuteling door Klytic wordt beheerd, staan beschreven op de pagina een onderneming beschermen tegen de CLOUD Act. Het contract moet dit bezit en deze versleuteling beschrijven.
Klytic beschikt niet over een SecNumCloud-kwalificatie. Het anders voorstellen zou onjuist zijn.
Deze pagina beschrijft een algemeen kader. Ze vervangt niet de analyse van uw contract.
Juridische stand van zaken op 5 oktober 2026. Deze tekst vervangt geen analyse van een contract. Het adequaatheidsbesluit EU–VS (EU) 2023/1795 is van kracht. Het wordt aangevochten. Voor SecNumCloud is de catalogus van het ANSSI bepalend.
Geraadpleegd in oktober 2026.
E-mail, documenten, videoconferentie, CRM en telefonie, gehost in de zone die bij uw rechtsgebied past, bijvoorbeeld in Europa of op Mauritius, of bij u op locatie.
Welkomstaanbod
Proefaanbod zonder verplichtingen. Een adviseur belt u terug om uw behoeften te begrijpen en uw Klytic-omgeving voor te bereiden.
