Microsofts soevereine cloud: wat het oplost en wat niet

Je bent IT-verantwoordelijke en je organisatie werkt in Microsoft 365. Een bestuurder of klant wijst op Microsofts aankondigingen over een soevereine cloud en vraagt of het probleem daarmee van tafel is. Je wilt een antwoord dat Microsoft niet overschat en ook niet wegwuift.

Dit stuk zet drie dingen naast elkaar: wat Microsoft zegt dat zijn soevereine cloud oplost, welke uitzonderingen de eigen documentatie van Microsoft noemt en wat de CLOUD Act bepaalt. De feiten komen uit Microsofts eigen publicaties en uit de wettekst, elk met de datum waarop wij ze lazen.

Wat noemt Microsoft een soevereine cloud?

Microsoft presenteerde zijn Sovereign Cloud op 16 juni 2025 als een pakket met drie onderdelen (Microsoft, 16 juni 2025, geraadpleegd 5 oktober 2026):

• Sovereign Public Cloud: de gewone Microsoft-cloud in de bestaande Europese datacenterregio's, met extra beheersmaatregelen
• Sovereign Private Cloud: Microsoft 365 Local en Azure Local, met Exchange Server en SharePoint Server in een eigen datacenter
• National Partner Clouds: Bleu in Frankrijk en Delos Cloud in Duitsland, beheerd door een partner

Over de Sovereign Public Cloud schrijft Microsoft dat hij gegevens in Europa houdt, onder Europees recht, met beheer en toegang door Europees personeel en met versleuteling onder controle van de klant. Bij de aankondiging was de Sovereign Public Cloud een preview en verwachtte Microsoft algemene beschikbaarheid in alle Europese cloudregio's later in 2025 (zelfde bron). De Microsoft Learn-pagina over Microsoft Sovereign Cloud, bijgewerkt op 15 juli 2026, schrijft nu dat die cloud beschikbaar is in Europese datacenterregio's voor Europese klanten en diensten ondersteunt als Azure, Microsoft 365, Microsoft Security en Power Platform. Ze noemt de Sovereign Public Cloud als een van de modellen (Microsoft Learn, bijgewerkt 15 juli 2026, geraadpleegd 5 oktober 2026). Welke functies per dienst of per tenant beschikbaar zijn, staat op die pagina niet.

Voor een organisatie die Microsoft 365 in de gewone cloud gebruikt, ligt de eerste variant het dichtst bij. De documentatie beschrijft hem voor overheden en gereguleerde sectoren en bouwt hem op Azure en op Advanced Data Residency in Microsoft 365 (Microsoft Learn, geraadpleegd 5 oktober 2026). Of jouw eigen tenant eronder valt, leid je uit die pagina's niet af. Vraag het Microsoft of je partner schriftelijk.

Wat lost het op?

De EU Data Boundary is een van de functies die Microsoft bij de Sovereign Public Cloud noemt (Microsoft Learn, bijgewerkt 31 maart 2026, geraadpleegd 5 oktober 2026). De documentatie van de grens zelf noemt die cloud niet als voorwaarde. In die grens verbindt Microsoft zich ertoe klantgegevens en persoonsgegevens van onder meer Microsoft 365 in de EU en de EFTA op te slaan en te verwerken. Klanten van Microsoft 365 met een aanmeldlocatie in de EU of de EFTA vallen er al onder, behalve klanten met Multi-Geo (Microsoft Learn, geraadpleegd 5 oktober 2026). Op 29 april 2026 schreef Microsoft dat de grens voltooid is en dat de verwerking van klantgegevens voor hulpmiddelen als Copilot ook binnen Europa kan plaatsvinden (Microsoft, 29 april 2026, geraadpleegd 5 oktober 2026).

Daarbovenop noemt Microsoft deze toezeggingen:

• Een belofte om een bevel aan te vechten dat Europese clouddiensten zou stilleggen. Microsoft legde die vast in contracten met Europese nationale overheden en de Europese Commissie, het bericht noemt geen andere klanten (zelfde bericht van 29 april 2026)
• Een belofte om verzoeken aan te vechten: Microsoft schrijft dat het verzoeken van overheden om gegevens van klanten in de EU, bij de overheid of in het bedrijfsleven, aanvecht waar het daar een wettelijke grondslag voor heeft (Microsoft, 29 april 2026, geraadpleegd 5 oktober 2026)

Welke uitzonderingen noemt Microsoft zelf?

De documentatie van Microsoft zegt zelf waar de grens ophoudt:

• De EU Data Boundary kent beperkte omstandigheden waarin klantgegevens en persoonsgegevens toch buiten de grens terechtkomen (Microsoft Learn, geraadpleegd 5 oktober 2026)
• Toegang op afstand door Microsoft-personeel van buiten de grens telt volgens Europees privacyrecht als doorgifte, ook als de gegevens in een Europees datacenter blijven. Microsoft noemt dat zeldzaam. Voor klantgegevens wijst Microsoft op Customer Lockbox, een instelling die voor veel Microsoft-clouddiensten bestaat en waarmee je toegang van Microsoft-personeel tot klantgegevens voor werkzaamheden aan de dienst in het algemeen aan jouw uitdrukkelijke goedkeuring bindt. De uitwerking verschilt per dienst een beetje, en voor gepseudonimiseerde persoonsgegevens in logbestanden en voor gegevens van professionele dienstverlening beschrijft Microsoft andere maatregelen (Microsoft Learn, bijgewerkt 30 maart 2026, geraadpleegd 6 oktober 2026)
• Sommige diensten vallen er helemaal buiten, zoals Azure Front Door en Azure CDN (Microsoft Learn, geraadpleegd 5 oktober 2026)
• Voor Microsoft 365 geldt de grens voor klanten met een aanmeldlocatie in de EU of de EFTA, niet voor klanten met Multi-Geo (Microsoft Learn, geraadpleegd 5 oktober 2026)

Data Guardian moet volgens Microsoft de toegang op afstand door Microsoft-ingenieurs tot de systemen die jouw gegevens in Europa opslaan en verwerken onder toezicht van personeel in Europa brengen. Microsoft noemde hem op 4 november 2025 een komende functie (Microsoft, 4 november 2025, geraadpleegd 5 oktober 2026). Op 12 augustus 2026 beschreef Microsoft Learn hem als een functie van de Sovereign Public Cloud, zonder te zeggen of hij algemeen beschikbaar is (Microsoft Learn, bijgewerkt 12 augustus 2026, geraadpleegd 5 oktober 2026). Het bericht van 29 april 2026 zegt dat Microsoft hem heeft aangekondigd (Microsoft, 29 april 2026, geraadpleegd 5 oktober 2026). Een datum van algemene beschikbaarheid staat in geen van die bronnen.

Wat zegt de CLOUD Act, en wat verandert een Europees datacenter daaraan?

Microsoft beschrijft de CLOUD Act zo: Amerikaanse opsporingsdiensten kunnen een aanbieder met voldoende banden met de VS dwingen gegevens te verstrekken die hij in bezit of onder controle heeft, waar die gegevens ook staan. De bestaande juridische beschermingen blijven gelden (Microsoft, rapport over verzoeken van overheden, juli tot december 2025, geraadpleegd 6 oktober 2026).

De wettekst zegt hetzelfde, met een voorwaarde. Sectie 2713 van titel 18 van de United States Code (Pub. L. 115-141, 23 maart 2018) zegt dat een aanbieder van een elektronische communicatiedienst of een remote computing service moet voldoen aan de verplichtingen van dat hoofdstuk om de inhoud van communicatie en gegevens over een klant te bewaren, te back-uppen of te verstrekken, als die in zijn bezit zijn, onder zijn bewaring staan of onder zijn zeggenschap vallen, ongeacht of ze in of buiten de Verenigde Staten staan (wettekst, Cornell Law School, geraadpleegd 5 oktober 2026). De verplichting bestaat dus binnen de procedures van dat hoofdstuk. Sectie 2703 noemt daarin onder meer een warrant, een dagvaarding, een rechterlijk bevel en een verzoek om gegevens te bewaren. Voor een bevel tot verstrekking van de inhoud van communicatie kan een aanbieder onder voorwaarden vragen het bevel te wijzigen of te laten vervallen. Hij moet redelijkerwijs aannemen dat de klant geen Amerikaanse persoon is en niet in de VS woont, en dat de verstrekking een materieel risico schept dat hij de wetten schendt van een 'qualifying foreign government'. Dat is een land waarmee de VS een in werking getreden overeenkomst heeft op grond van sectie 2523 en waarvan de wetten aanbieders vergelijkbare materiële en procedurele mogelijkheden bieden. De rechter beslist daarover (wettekst, Cornell Law School, geraadpleegd 6 oktober 2026).

Onze lezing van die twee bronnen is dat de wet aanknoopt bij de aanbieder en niet bij het datacenter. Een Europese regio verandert dus niet of de aanbieder zo'n bevel kan krijgen.

Voor enterprise-klanten, volgens Microsoft in het algemeen organisaties met meer dan 50 seats (zie hieronder), zegt Microsoft dat het opsporingsdiensten eerst probeert door te verwijzen naar de klant zelf en dat het zo nodig ook een formele procedure bij de rechter kan beginnen om een bevel te wijzigen of te laten vervallen. Het zegt ook dat het die klanten vooraf informeert tenzij de wet dat verbiedt (Microsoft, rapport over verzoeken van overheden, juli tot december 2025, geraadpleegd 6 oktober 2026). Microsoft schrijft ook dat de wet zijn recht waarborgt om bezwaar te maken tegen bevelen van Amerikaanse opsporingsdiensten om toegang tot Europese gegevens die botsen met het recht van de EU (Microsoft, 30 april 2025, geraadpleegd 5 oktober 2026). Voor een gemeente lees je het in ons stuk over de CLOUD Act en Microsoft 365 bij de gemeente.

Hoe vaak komt dat voor?

Microsoft publiceert dat zelf. In de tweede helft van 2025 kreeg het 190 verzoeken van opsporingsdiensten over de hele wereld voor accounts van enterprise-klanten. Microsoft omschrijft die in dit rapport in het algemeen als organisaties (bedrijven, overheden of onderwijsinstellingen) die meer dan 50 seats afnemen voor een commerciële clouddienst als Microsoft 365 (Microsoft, Enterprise Disclosures to Law Enforcement, juli tot december 2025, geraadpleegd 6 oktober 2026). Dit zijn dus cijfers over enterprise-klanten volgens die omschrijving, niet over alle klanten. In 3 gevallen verstrekte Microsoft de inhoud van een enterprise-klant buiten de VS, met gegevens buiten de VS, aan Amerikaanse opsporingsdiensten, en één van die klanten zat in de EU of de EFTA (Microsoft, rapport over verzoeken van overheden, juli tot december 2025, geraadpleegd 6 oktober 2026). Bevelen op grond van nationale veiligheid staan in een apart onderdeel van het rapport en tellen hier niet mee (zelfde PDF).

Op 10 juni 2025 vroeg een Franse senaatscommissie een directeur van Microsoft Frankrijk of hij onder ede kon garanderen dat gegevens van Franse burgers die via de Franse overheidsinkooporganisatie Ugap aan Microsoft zijn toevertrouwd, na een Amerikaans bevel nooit zonder uitdrukkelijke instemming van de Franse autoriteiten worden doorgegeven. Hij antwoordde dat hij dat niet kon garanderen, maar dat het nog nooit was gebeurd (Sénat, verslag van 10 juni 2025, geraadpleegd 5 oktober 2026).

Wat je morgen kunt doen

1. Vraag Microsoft of je partner schriftelijk of jouw tenant onder de Sovereign Public Cloud valt, en welke onderdelen vandaag beschikbaar zijn. Vraag dat per onderdeel, zoals Data Guardian en External Key Management.
2. Controleer in het Microsoft 365-beheercentrum het land of de regio van je tenant en of je Multi-Geo hebt gekocht, en leg de lijst van uitgesloten diensten naast de diensten die je gebruikt.
3. Bepaal per soort gegevens of het uitmaakt dat de aanbieder onder Amerikaans recht valt, en leg die afweging vast in je risicoregister.

Waar Noveu past

Noveu is een Nederlandse leverancier, met gegevens en back-ups in een Hetzner-datacenter in Falkenstein (Duitsland). Volledig vrij van Amerikaanse partijen zijn we niet: aan de rand van het netwerk gebruiken we Cloudflare, Inc. (Verenigde Staten) voor DNS, CDN, DDoS-bescherming en TLS, onder het EU-VS Data Privacy Framework en modelcontractbepalingen. De AI-tekstgeneratie loopt sinds 29 augustus 2026 bij Mistral (Frans bedrijf); volgens Mistral standaard in de EU. Alle sub-verwerkers staan op de lijst met sub-verwerkers; wat een EU-regio wel en niet regelt, lees je op onze pagina over soevereine cloud. Wil je een leverancier beoordelen, gebruik dan de zeven vragen voor het kiezen van een soevereine werkplek.