Digitale soevereiniteit: drie vragen voor je leveranciers

In de directievergadering valt het woord digitale soevereiniteit. Iedereen knikt. Na afloop vraagt iemand bij de koffie wat het nu eigenlijk betekent voor jullie organisatie. Niemand weet het precies.

Dat is niet vreemd. Het begrip wordt veel gebruikt en weinig uitgelegd. In de kern gaat het om controle: beslis jij wat er met je gegevens en systemen gebeurt, of beslist een ander dat? Je kunt het terugbrengen tot drie vragen die je aan elke leverancier stelt. Wat dat voor een clouddienst betekent, lees je op onze pagina over soevereine cloud.

Vraag 1: waar staan onze gegevens?

Dit is de makkelijkste vraag, en toch blijft het antwoord vaak vaag. In Europa is een begin. Vraag door: welk land, welk datacenter, en waar staan de back-ups? Back-ups worden vaak vergeten, terwijl ze een volledige kopie zijn.

Vraag ook naar de sub-verwerkers. Een leverancier kan zelf in Nederland zitten en toch een Amerikaanse dienst gebruiken voor mail, opslag of AI. Een goede leverancier houdt daar een openbare lijst van bij. Vraag het antwoord op papier: een datalocatie-statement of een sub-verwerkerslijst zegt meer dan een verkoopgesprek.

Vraag 2: wie kan erbij, en onder welk recht?

Een server in Amsterdam is geen garantie. De Amerikaanse CLOUD Act uit 2018 geeft Amerikaanse autoriteiten toegang tot gegevens bij Amerikaanse bedrijven, ook als die gegevens in Europa staan. Soms mag het bedrijf je niet eens vertellen dat er een verzoek is geweest.

Microsoft, Google en Amazon publiceren zelf transparantierapporten over de overheidsverzoeken die ze krijgen. Lees er eens een; het is leerzaam. De vraag is dus ook onder welk recht de leverancier zelf valt, en de partijen die hij inschakelt.

Vraag 3: kunnen we weg als het moet?

Soevereiniteit is ook de vrijheid om te vertrekken. Als je gegevens in een gesloten formaat vastzitten, of je werkprocessen alleen in één ecosysteem draaien, dan is overstappen duur. Die afhankelijkheid is een risico, ook als er nooit iets misgaat.

Vraag daarom: in welke formaten kan ik mijn gegevens exporteren, hoe lang duurt dat en wat kost het? Leg het vast in het contract, niet in een mail.

Waarom dit nu op de agenda hoort

Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn (rijksoverheid.nl, 15 augustus 2026). Organisaties die eronder vallen, moeten de risico's in hun toeleveringsketen beheersen. Je leveranciers horen daarbij, en het bestuur is verantwoordelijk. De richtlijn noemt boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten (Richtlijn (EU) 2022/2555, artikel 34).

Handelsconflicten en politieke keuzes elders kunnen invloed hebben op diensten waar jij elke dag op draait. Je hoeft daar niet bang voor te zijn. Het is wel verstandig om te weten waar je afhankelijk bent.

Wat je deze maand kunt doen

1. Maak een lijst van de vijf diensten waar je organisatie het meest op leunt, zoals mail, documenten, boekhouding, klantgegevens en communicatie.
2. Stel per dienst de drie vragen hierboven en noteer de antwoorden.
3. Markeer waar gevoelige gegevens buiten de EU of onder buitenlands recht liggen. Dat zijn je prioriteiten.
4. Neem de vragen op in je inkoopvoorwaarden, zodat elke nieuwe leverancier ze krijgt.
5. Zet het onderwerp twee keer per jaar op de bestuursagenda.

Hoe Noveu de drie vragen beantwoordt

Onze gegevens en back-ups staan in een Hetzner-datacenter in Falkenstein, Duitsland, en Noveu is een Nederlands bedrijf. Voor het schrijven van AI-antwoorden gebruiken we sinds 29 augustus 2026 Mistral (Frans bedrijf); volgens Mistral standaard in de EU; hoe dat werkt, staat op onze AI-pagina. Mail, bestanden en documenten zijn live, chat is beta en videobellen is gepland. De stand per onderdeel vind je in de help. Wil je een leverancier naast die drie vragen leggen, gebruik dan de zeven vragen voor het kiezen van een soevereine werkplek.