Datasoevereiniteit, uitgelegd.
Datasoevereiniteit betekent dat jij bepaalt waar je data staat, wie erbij kan en onder welk recht het valt. Het klinkt vanzelfsprekend. In de praktijk is het dat zelden.
Op deze pagina leggen we uit waar het over gaat, waarom het nu steeds belangrijker wordt, en hoe je kunt controleren of een leverancier waarmaakt wat hij belooft. Ook als dat wij zijn.
Waar gaat data soevereiniteit over?
Soevereiniteit valt te splitsen in drie vragen. Ze lijken op elkaar, maar hebben wisselende antwoorden. Dit is waar het vaak mis gaat.
Waar staat het?
In welk land staan de servers waar je data is opgeslagen. Dit heeft invloed op je onafhankelijkheid.
Wie kan erbij?
Niet alleen wie er formeel toegang heeft volgens het contract, maar ook wie er technisch bij zou kunnen als het erop aankomt. Beheerders, onderaannemers, het moederbedrijf.
Onder welk recht valt het?
Welke wet geldt er voor het bedrijf dat je data opslaat. Dit is de vraag die het vaakst wordt overgeslagen, maar welke wel het meeste invloed heeft.
Data in Nederland is niet gelijk aan data onder Nederlands recht.
Hier zijn de meeste misvattingen als het over datasoevereiniteit gaat.
Een Amerikaanse cloudleverancier kan je een regio in Nederland aanbieden. De servers staan er dan echt, en op de kaart in het portaal ziet het er goed uit. Alleen valt dat bedrijf nog steeds onder Amerikaans recht, en dat recht reikt tot data die het bedrijf beheert, ongeacht waar die fysiek staat.
Dat is wat de Amerikaanse CLOUD Act regelt. Die wet maakt het mogelijk dat Amerikaanse autoriteiten data opvragen bij een Amerikaans bedrijf, ook als die data in Europa staat. In sommige gevallen mag het bedrijf je daar niet over informeren.
Veel bedrijven vinden dat prima, maar voor sommige data is dat niet zo. Het verschil weten is erg belangrijk.
Waarom het nu van belang is.
Datasoevereiniteit zelf is geen nieuw onderwerp. Wat nieuw is, is dat er nu steeds meer aandacht voor komt. Dit door wisselende wetgeving & spanning in de wereld.
Je klanten vragen ernaar.
Wat een randvraag was, staat nu in inkoopvragenlijsten en aanbestedingen. Zeker in de zorg, bij de overheid en in de financiële hoek. Wie het antwoord klaar heeft liggen, wint tijd en soms de opdracht.
De regels worden concreter.
NIS2 legt eisen neer over je leveranciersketen, de AI Act stelt eisen aan hoe je met data en modellen omgaat, en de AVG wordt strenger gehandhaafd. Vaag blijven over waar data staat en wie erbij kan, wordt lastiger.
Afhankelijkheid weegt zwaarder dan vroeger.
Een handvol leveranciers draagt een groot deel van het internet. Dat werkt goed, tot het een keer niet werkt of tot de voorwaarden veranderen. Steeds meer bedrijven willen op zijn minst weten hoe groot die afhankelijkheid bij hen is.
Vier niveaus van soevereiniteit.
Soevereiniteit kan je niet wel of niet hebben, er zijn verschillende niveaus. Voor het ene bedrijf is twee prima, de ander moet verder kijken.
Je hebt geen idee.
Je gebruikt wat je gebruikt en je hebt nooit gecontroleerd waar het staat. Dit is hoe het bij de meeste bedrijven gaat.
Je data staat in de EU.
Je hebt een Europese regio gekozen. De servers staan hier. Het bedrijf erachter valt mogelijk nog onder buitenlands recht.
Je leverancier valt onder Europees recht.
Zowel de servers als het bedrijf vallen onder Nederlands of Europees recht. Amerikaanse autoriteiten hebben geen toegang.
Je kunt weg wanneer je wilt.
Open standaarden en exporteerbare data, zodat de keuze voor een leverancier omkeerbaar blijft. Dit is het niveau waar niet veel bedrijven op zitten, maar wel belangrijk is.
Voor een marketingsite of een testomgeving is stap twee vaak genoeg. Voor de data van je klanten, of voor systemen waar je klanten zelf vragen over stellen, wil je verder kijken. Wij helpen je die keuze maken, ook als de uitkomst is dat je al goed zit.
Vragen die je aan elke cloudleverancier kunt stellen.
Veel aanbieders noemen zichzelf soeverein. Dat zegt op zichzelf niets. Met deze zeven vragen kom je er snel achter wat iemand echt geregeld heeft. Stel ze ook aan ons.
Onder welk recht valt jullie bedrijf, en is er een moedermaatschappij buiten de EU?
Hier valt het vaakst het masker. De servers zijn niet de vraag, het bedrijf is de vraag.
Waar staan de back-ups?
Productiedata in Nederland en back-ups elders komt vaker voor dan je zou verwachten.
Wie bij jullie kan technisch bij mijn data, en wordt dat vastgelegd?
Vraag door tot je een antwoord krijgt over personen en logging, niet over beleid.
Welke onderaannemers zetten jullie in, en waar zitten die?
Een Nederlandse leverancier met een Amerikaanse toeleverancier voor een cruciaal onderdeel is minder soeverein dan hij lijkt.
Wat gebeurt er als een buitenlandse autoriteit data bij jullie opvraagt?
Het antwoord moet concreet zijn en gaan over wat ze doen, niet over wat ze vinden.
Hoe haal ik mijn data eruit als ik weg wil, en wat kost dat?
Vraag naar formaten en naar een termijn. Als het antwoord vaag is, weet je genoeg.
Waar staat dit allemaal opgeschreven?
Als het antwoord alleen mondeling bestaat, bestaat het niet.
En als je zelf host voor je klanten?
Dan ligt het net anders. Je bent niet alleen gebruiker van een cloud, je bent ook de partij die het antwoord moet geven als je klant vraagt waar zijn data staat. Dit komt steeds vaker voor.
Een softwarebedrijf krijgt een securityvragenlijst van een klant in de zorg. Een consultant wordt gevraagd of het datawarehouse binnen Nederland blijft. Op dat moment wil je met zekerheid antwoord kunnen geven.
Voor deze bedrijven is soevereiniteit tweeledig. Het is een risico dat je moet indekken, en het is een argument waarmee je je kunt onderscheiden van je concurrent.
Waar je dan tegenaan loopt.
- Je moet per klant kunnen aantonen waar zijn data staat
- Je krijgt vragen waar je zelf niet alle antwoorden op hebt
- Je hebt een verwerkersovereenkomst nodig die klopt met de realiteit
- Je wilt kunnen wisselen van leverancier zonder je klanten te storen
- Je bent technisch, maar dit is geen technisch probleem
Anzers Cloud is precies voor deze situatie gebouwd. Per klant afgescheiden, in Nederland, met een toegankelijke leverancier.
Zo zit het bij de Anzers Cloud.
Anzers Cloud draait in Nederland. Anzers is een Nederlands bedrijf uit Enschede, zonder buitenlandse moedermaatschappij. Zowel de servers als het bedrijf vallen dus onder Nederlands en Europees recht.
Waar we open source kunnen gebruiken, doen we dat. Dit doen we omdat het betekent dat je met je data en je configuratie ergens anders naartoe kunt als je dat wilt. Onze opslag is S3-compatibel en onze AI-koppeling is OpenAI-compatibel, zodat je bestaande code blijft werken en je keuze omkeerbaar blijft.
Het platform is in opbouw. Wat er is en wat eraan komt, is te zien op de functionaliteiten pagina.
Nederlands eigendom.
Geen buitenlandse moedermaatschappij, dus geen buitenlands recht.
Data en back-ups.
Back-ups, zodat je data nooit
verloren gaat & altijd omkeerbaar is.
Transparant over.
Waar het staat, wie erbij kan en wat we gebruiken.
Je kunt weg.
Open standaarden & exporteerbare data.
En hoe zit dat met AI?
Bij AI komt soevereiniteit weer kijken. Elke prompt die je naar een taalmodel stuurt, is data die ergens verwerkt wordt. Vaak gebeurd dat buiten Europa, zonder dat iemand het door heeft.
Wij lossen dat op door per model zichtbaar te maken waar het draait en onder welk recht dat valt, en door je per sleutel te laten instellen welke routes zijn toegestaan. Wat Nederland niet uit mag, gaat Nederland niet uit.
Veelgestelde vragen over datasoevereiniteit.
Datasoevereiniteit betekent dat jij bepaalt waar je data staat, wie er toegang toe heeft en onder welk recht het valt. Het gaat dus verder dan de vraag in welk land de servers staan. Het gaat ook over onder welke wetgeving het bedrijf valt dat je data beheert.
Datasoevereiniteit gaat over je data. Digitale soevereiniteit is de bredere term en gaat ook over software, infrastructuur en kennis. In de praktijk worden ze door elkaar gebruikt. Voor een bedrijf dat iets moet hosten, is datasoevereiniteit meestal de concrete vraag.
Een soevereine cloud, in het Engels sovereign cloud, is een cloudomgeving waarbij de data en de leverancier onder het recht vallen van het land of de regio waar je zit. De term is niet beschermd, dus iedereen mag hem gebruiken. Daarom is het verstandig om door te vragen. De zeven vragen hierboven helpen daarbij.
Gedeeltelijk. De servers staan in Nederland, en dat is winst. Als de aanbieder een Amerikaans bedrijf is, valt hij nog onder Amerikaans recht en kan die wetgeving reiken tot data die hij beheert. Of dat een probleem is, hangt af van wat er in die data zit.
De CLOUD Act is een Amerikaanse wet uit 2018 die het mogelijk maakt dat Amerikaanse autoriteiten data opvragen bij Amerikaanse bedrijven, ook als die data buiten de Verenigde Staten staat. In bepaalde gevallen mag het bedrijf de klant daar niet over informeren. Hoe vaak dit gebeurt is niet openbaar.
NIS2 stelt eisen aan de beveiliging van je hele leveranciersketen, dus ook aan je cloudleverancier. Je moet kunnen aantonen dat je weet wie je leveranciers zijn en hoe zij het geregeld hebben. Dat maakt de vraag naar datalocatie en toegang concreter dan hij was.
Wij verwachten dat we scherper kunnen zijn dan de grote aanbieders, vooral omdat er geen kosten zijn voor uitgaand verkeer en omdat je vooraf weet wat je betaalt. Wij hebben nog geen prijslijst, dus dit is een verwachting en geen belofte. Zodra er prijzen zijn, staan ze gewoon op de site.
Dat zou het punt van soevereiniteit ondermijnen. We gebruiken open standaarden waar dat kan, onze opslag is S3-compatibel en je kunt je data er op elk moment uit halen. Er is geen boete voor opzeggen.
Nee. Voor veel systemen is een hyperscaler prima, en dan is verhuizen zonde van je tijd. Het gaat om de systemen waar het wel uitmaakt, meestal de data van je klanten en alles waar je zelf vragen over krijgt. We kijken graag mee welke dat bij jou zijn.
Hoe belangrijk is dit voor jouw organisatie?
We zijn nu aan het uitzoeken wat organisaties echt nodig hebben van een Nederlandse cloud. De uitkomsten bepalen mee wat we als eerste bouwen.
Liever eerst even bellen? 085 200 69 25 of info@anzers.nl.