{"id":3750,"date":"2026-10-05T22:26:29","date_gmt":"2026-10-05T20:26:29","guid":{"rendered":"https:\/\/eu.klytic.com\/?page_id=3750"},"modified":"2026-10-06T17:22:15","modified_gmt":"2026-10-06T15:22:15","slug":"soevereine-cloud-definitie","status":"publish","type":"page","link":"https:\/\/eu.klytic.com\/nl\/soevereine-cloud-definitie\/","title":{"rendered":"Soevereine cloud: definitie, criteria en grenzen"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Home<\/a>\u203a<\/span>Gidsen<\/a>\u203a<\/span>Soevereiniteit<\/a><\/p>

Soevereiniteit<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Soevereine cloud: definitie, criteria en grenzen<\/h1>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Een soevereine cloud is, in een inkoopdossier, een dienst waarvan de beheerder, het toepasselijke recht en de beheertoegang bekend zijn, en waarvan de gegevens kunnen worden teruggehaald. De marketingdefinitie varieert. De criteria lenen zich wel voor een beoordelingsraster.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t

Bijgewerkt in oktober 2026<\/b><\/span>8 min<\/b> leestijd<\/span>Offici\u00eble bronnen vermeld<\/span><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Waarom een raster in plaats van een label<\/h2>

\u201cSoevereine cloud\u201d in een uitvraag opnemen komt neer op het stellen van een vraag waarop elke kandidaat ja antwoordt. De antwoorden worden onvergelijkbaar en de keuze wordt gemaakt op prijs of op de indruk die de presentatie achterlaat.<\/p>

Een raster dwingt elke kandidaat dezelfde vraag te beantwoorden, met een bewijsstuk. Het beschermt de inkoper ook na de ondertekening: een schriftelijke toezegging in het antwoord op de uitvraag kan in het contract worden overgenomen, terwijl een bijvoeglijk naamwoord niet te controleren is. Het begrip zelf wordt uitgelegd in wat is een soevereine cloud<\/a>. Deze pagina dient voor de inkoop.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t

Een bruikbare definitie<\/h2>

Hanteer deze.<\/p>

Een digitale dienst wordt voor een Europese inkoper als soeverein beschouwd wanneer de vennootschap die hem beheert onder Europees recht valt, de toevertrouwde gegevens en hun back-ups binnen het aangekondigde geografische gebied blijven, de beheertoegang ge\u00efdentificeerd is en de klant zijn gegevens kan exporteren en vervolgens laten verwijderen.<\/p><\/blockquote>

Deze zin is een werkinstrument. Het is geen artikel van de AVG (Algemene verordening gegevensbescherming). De verordening definieert rollen (verwerkingsverantwoordelijke, verwerker), doorgiften en rechten van betrokkenen. Ze kent geen label \u201csoeverein\u201d toe.<\/p>

Elk deel van de zin verwijst naar een of meer van de onderstaande criteria. Dat maakt hem bruikbaar: u kunt hem opdelen in vragen en de antwoorden scoren.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t

Tien criteria<\/h2>

Elk criterium wordt aangetoond met een document, niet met een bijvoeglijk naamwoord.<\/p>

  1. Beherende vennootschap.<\/strong> Statutaire naam, land van vestiging en moedermaatschappij. Een Europese dochteronderneming van een Amerikaanse groep kan in euro\u2019s factureren en tegelijk deel uitmaken van een groep die onder Amerikaans recht valt. Dit criterium bepaalt tot wie een buitenlandse autoriteit zich kan wenden.<\/li>
  2. Recht van het contract.<\/strong> Toepasselijk recht en bevoegde rechtbank. Controleer of de algemene voorwaarden en de verwerkersovereenkomst hetzelfde zeggen.<\/li>
  3. Gegevensomvang.<\/strong> Inhoud (e-mails, bestanden), back-ups, technische logboeken, supportgegevens. De inhoud alleen volstaat niet: een toezegging die alleen de mailboxen dekt, laat de kopie\u00ebn buiten beschouwing.<\/li>
  4. Locatie.<\/strong> Land of regio voor elke categorie uit punt 3. \u201cEuropa\u201d moet worden gepreciseerd: Europese Unie, EVA of een met name genoemd land.<\/li>
  5. Personen die beheren.<\/strong> Medewerkers van de beheerder, verwerkers, storingsdienst buiten de zone. Toegang op afstand, ook tijdelijk, is een verwerking. Vraag ook of deze toegang wordt gelogd en of de klant het logboek kan inzien.<\/li>
  6. Versleutelingssleutels.<\/strong> Wie ze heeft, wie ze kan gebruiken voor een herstel, wie ze aan een derde kan overhandigen. De vraag is niet \u201czijn de gegevens versleuteld?\u201d, maar \u201cwie kan ze ontsleutelen?\u201d.<\/li>
  7. Verwerkers.<\/strong> Actuele lijst: antispam, back-up, support, bezoekersmeting, identiteit. Een verwerker die onder een ander recht valt, kan het effect van criterium 1 tenietdoen.<\/li>
  8. Verzoeken van autoriteiten.<\/strong> Interne procedure wanneer een autoriteit gegevens opvraagt, en het recht dat op dat verzoek van toepassing is. Vraag of de leverancier zich ertoe verbindt de klant te informeren, voor zover de wet dat toestaat.<\/li>
  9. Omkeerbaarheid.<\/strong> Formaten, termijn, kosten en wat niet exporteerbaar is (chatgeschiedenis, interne regels, logboeken). Het veiligst is een export te testen v\u00f3\u00f3r de ondertekening.<\/li>
  10. Eventuele kwalificatie.<\/strong> Als de inkoper SecNumCloud eist, moet de naam van de gekwalificeerde dienst die uit de ANSSI-catalogus zijn. Een aanbod dat op een gekwalificeerde infrastructuur wordt gehost, erft de kwalificatie niet. Sinds versie 3.2 van het referentiekader (2022) bevat SecNumCloud beschermingseisen ten aanzien van niet-Europese rechtsstelsels, die betrekking hebben op de vestiging, de zeggenschap over het kapitaal, de locatie en het personeel.<\/li><\/ol>

    Hoe u weegt<\/h3>

    De tien criteria wegen niet voor alle inkopers even zwaar. Voor een e-maildienst en bestandsdeling maken de criteria 1, 3, 4, 5 en 9 doorgaans het verschil tussen de aanbiedingen. Criterium 10 is uitsluitend wanneer het wordt ge\u00ebist, en anders neutraal. Bepaal de weging voordat u de antwoorden opent, niet erna.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    De grenzen, duidelijk benoemd<\/h2>

    Locatie staat niet gelijk aan recht.<\/strong> Een datacenter in Frankfurt dat wordt beheerd door een Amerikaanse vennootschap, blijft een dienst van die vennootschap. De Amerikaanse CLOUD Act heeft betrekking op gegevens in bezit van een leverancier die onder de rechtsmacht van de Verenigde Staten valt, ongeacht het land waar de schijf staat. Zie een onderneming beschermen tegen de CLOUD Act<\/a> en de vergelijking Europese of Amerikaanse cloud<\/a>.<\/p>

    Europees recht staat niet gelijk aan de afwezigheid van vorderingen.<\/strong> Een Franse, Duitse of Nederlandse rechter kan een operator binnen zijn rechtsgebied bevelen gegevens te verstrekken. Het verschil zit in de rechter, de procedure en de rechtsmiddelen. Een raster dat het tegendeel zou suggereren, zou de inkoper misleiden.<\/p>

    Software en beheerder zijn twee verschillende zaken.<\/strong> Nextcloud wordt uitgegeven door Nextcloud GmbH, in Duitsland. Zimbra wordt uitgegeven door Synacor, in de Verenigde Staten. BlueMind is een Franse vennootschap. In alle drie de gevallen hangt de soevereiniteit van uw<\/em> dienst af van wie hem installeert, wie de back-ups maakt en wie de telefoon opneemt. De nationaliteit van de softwareleverancier telt vooral als die toegang heeft tot de gegevens: dat wordt dan onder criterium 7 behandeld.<\/p>

    SecNumCloud is beperkt.<\/strong> Het is een ANSSI-kwalificatie, per aanbod, met een reikwijdte en een einddatum. Ze wordt vaak ge\u00ebist voor gevoelige overheidsgegevens. Als enig criterium is ze onevenredig voor een mkb-bedrijf dat een e-maildienst en bestandsdeling zoekt. Ze is ontoereikend als men zich erop beroept zonder het besluit te lezen.<\/p>

    Geen enkel aanbod dekt alle toepassingen van Microsoft 365.<\/strong> Geavanceerd Excel, Power BI, het Teams-ecosysteem en branchespecifieke invoegtoepassingen hebben bij Europese operators geen algemeen equivalent. Het soevereiniteitscriterium beslecht dit punt niet. Het komt erbij. Als deze toepassingen centraal staan, kan het raster ertoe leiden Microsoft 365 bewust te behouden: zie Microsoft 365 tegenover een soevereine oplossing<\/a>.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Hoe u het in een programma van eisen opneemt<\/h2>

    Vervang \u201csoevereine cloud\u201d door de tien criteria, elk met een verwacht bewijsstuk. U kunt dan een Microsoft-aanbod met Europese gegevensgrens, een Google-aanbod met dataregio, een Zwitsers aanbod zoals Infomaniak en een aanbod dat in Frankrijk wordt beheerd met elkaar vergelijken. De vergelijking wordt een kwestie van bewijsstukken lezen, niet een strijd van bijvoeglijke naamwoorden.<\/p>

    Criterium<\/th>Vraag aan de kandidaat<\/th>Verwacht bewijsstuk<\/th><\/tr><\/thead>
    1. Beherende vennootschap<\/td>Welke vennootschap beheert de dienst, en wie heeft er zeggenschap over?<\/td>Uittreksel uit het handelsregister, organigram van de groep<\/td><\/tr>
    2. Recht van het contract<\/td>Welk recht, welke rechtbank?<\/td>Clausule uit de algemene voorwaarden en uit de verwerkersovereenkomst<\/td><\/tr>
    3 en 4. Omvang en locatie<\/td>Welke categorie\u00ebn gegevens, in welke landen?<\/td>Overzicht per categorie: inhoud, back-ups, logboeken, support<\/td><\/tr>
    5. Beheer<\/td>Wie beheert, van waaruit, met welk spoor?<\/td>Beschrijving van de teams en van de logging<\/td><\/tr>
    6. Sleutels<\/td>Wie kan ontsleutelen, en in welke gevallen?<\/td>Beschrijving van het versleutelingsschema<\/td><\/tr>
    7. Verwerkers<\/td>Wie ontvangt een kopie of toegang?<\/td>Lijst met namen en landen<\/td><\/tr>
    8. Autoriteiten<\/td>Wat doet u bij een verzoek?<\/td>Schriftelijke procedure<\/td><\/tr>
    9. Omkeerbaarheid<\/td>Hoe halen we alles terug, en hoe snel?<\/td>Exportprocedure, formaten, test<\/td><\/tr>
    10. Kwalificatie<\/td>Is het voorgestelde aanbod gekwalificeerd?<\/td>Verwijzing naar de ANSSI-catalogus, indien ge\u00ebist<\/td><\/tr><\/tbody><\/table><\/div>

    Het geografische criterium alleen wordt uitgewerkt in Wat \u201cgegevens gehost in Europa\u201d werkelijk betekent<\/a>.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Voorbeeld: een middelgrote dienstverlener die een uitvraag doet<\/h2>

    Hypothetisch geval. Een middelgrote dienstverlener vernieuwt zijn e-maildienst en bestandsdeling. De eerste versie van het programma van eisen vraagt om \u201ceen soevereine cloudoplossing, gehost in Europa\u201d. De drie kandidaten antwoorden ja.<\/p>

    De IT-afdeling herschrijft de uitvraag met het raster. De antwoorden worden leesbaar. De eerste kandidaat host in Europa, maar maakt deel uit van een groep die onder Amerikaans recht valt: criterium 1 niet vervuld, criteria 3 en 4 goed gedocumenteerd. De tweede is een Europese vennootschap, maar besteedt de nachtsupport uit aan een verwerker buiten de zone: criterium 5 moet worden onderhandeld. De derde vervult de juridische criteria, maar dekt een bedrijfstoepassing niet: de directie moet een afweging maken. Het raster heeft niet in de plaats van de onderneming gekozen. Het heeft de keuze expliciet gemaakt.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Veelgemaakte fouten<\/h2>