applatenmaken.com/kennisbank/digitale soevereiniteit

Soevereiniteit is geen locatie maar rechtsmacht

De vraag waar uw gegevens staan, krijgt bijna altijd een geruststellend antwoord: in een datacentrum in Europa. Toch is dat niet de vraag die telt. Doorslaggevend is onder welke rechtsmacht de partij valt die de sleutels beheert. De brancheorganisatie GTIA adviseerde dienstverleners deze maand om naast hun Amerikaanse gereedschap een Europese stack op te bouwen. Deze pagina legt uit waarom, en wanneer het voor u uitmaakt.

Waarom de locatievraag te kort door de bocht is

Vrijwel elke grote aanbieder heeft datacentra in Europa, en op de vraag waar uw gegevens staan volgt daarom een antwoord dat klopt en toch niet geruststelt. Waar de servers fysiek staan, is namelijk niet wat bepaalt wie er toegang toe kan afdwingen.

Wat dat wel bepaalt, is onder welke wetgeving de onderneming valt die de dienst levert. Een Amerikaans moederbedrijf valt onder Amerikaanse wetgeving, ook voor gegevens die zijn Europese dochter in een Europees datacentrum beheert. Dat is geen theoretische constructie maar de kern van wetgeving die dat expliciet regelt. De fysieke locatie van de schijf verandert daar niets aan.

De vervolgvraag is dan wie de sleutels heeft. Zijn de gegevens versleuteld en beheert de aanbieder de sleutels, dan kan hij ze ontsleutelen en dus overhandigen. Beheert u de sleutels zelf, in een omgeving die buiten zijn bereik ligt, dan verandert de situatie wezenlijk. Dat onderscheid is belangrijker dan de landcode in het adres van het datacentrum. Waar uw gegevens fysiek staan blijft een aparte vraag die aan bod komt in waar staat uw data.

De verkeerde vraag: Waar staan mijn gegevens? Vrijwel altijd is het antwoord: in Europa.
De juiste vraag: Onder welke rechtsmacht valt de partij die de gegevens en de sleutels beheert?
Waarom dat verschilt: Wetgeving kan een onderneming verplichten gegevens te verstrekken, ongeacht waar die fysiek staan.
De praktische toets: Kan iemand de gegevens ontsleutelen zonder uw medewerking? Zo ja, dan kan hij ze ook overhandigen.

Wanneer dit voor u uitmaakt en wanneer niet

Soevereiniteit is een reëel vraagstuk en tegelijk een onderwerp waarop veel wordt verkocht. Voor een deel van de organisaties is het doorslaggevend en voor een groter deel is het een afweging tussen kosten en een risico dat zich zelden materialiseert. Onderstaand overzicht helpt bij het bepalen waar u staat.

Uw situatie	Hoe zwaar dit weegt	Waar u op let
U verwerkt bijzondere persoonsgegevens	✓Zwaar; medische, strafrechtelijke of biometrische gegevens vragen om een expliciete keuze	!Dat de afweging is vastgelegd, want u moet hem kunnen uitleggen
U werkt voor of met de overheid	✓Zwaar; opdrachtgevers stellen dit steeds vaker als eis	!Dat de eis in de aanbesteding of het contract al is opgenomen
U valt onder de Cyberbeveiligingswet	✓Middelzwaar; het raakt uw ketenafweging maar schrijft geen keuze voor	!Dat u de afweging onderbouwt, niet dat u per se Europees kiest
U bouwt een gewone bedrijfsapplicatie	!Licht; hier wegen kosten, beschikbaarheid en beheerbaarheid vaak zwaarder	!Dat u niet meer betaalt voor een risico dat u niet loopt
U verwerkt hoofdzakelijk eigen bedrijfsgegevens	!Licht; de vraag is dan vooral bedrijfsvertrouwelijkheid	!Dat u weet wie er bij kan, ook binnen uw eigen leverancier

Merk op dat het risico bij geen enkele categorie nul is en bij geen enkele categorie alles overheerst. Wie zegt dat u per se Europees moet, verkoopt iets. Wie zegt dat het niet uitmaakt, heeft de vraag niet begrepen.

Wat u praktisch kunt doen

Tussen volledig meegaan met een grote aanbieder en alles zelf draaien zit een breed middengebied dat in de praktijk het meest bruikbaar is.

Breng in kaart welke gegevens waar staan
Niet alleen uw database, maar ook back-ups, logbestanden, mailverkeer, foutrapportages en de diensten die uw software aanroept. Verrassingen zitten meestal in die laatste categorie.
Bepaal per categorie hoe gevoelig het is
Niet alles hoeft dezelfde bescherming. Een deel van uw gegevens is bedrijfsvertrouwelijk, een klein deel is werkelijk gevoelig, en de rest is dat niet.
Kijk wie de sleutels beheert
Voor de gevoelige categorie is dit de kernvraag. Zelf sleutelbeheer inrichten is meer werk, maar het is de maatregel die het verschil daadwerkelijk maakt.
Zorg dat u kunt vertrekken
Onafhankelijk van welke aanbieder u kiest: kunt u uw gegevens in een bruikbaar formaat meenemen, en heeft u dat een keer geprobeerd? Dat is de maatregel die bij elk scenario helpt.
Leg de afweging vast
Eén pagina waarin staat wat u heeft gekozen en waarom. Dat is wat een toezichthouder, een auditor of uw eigen opvolger wil zien, en het kost u een uur.

De vierde stap is de belangrijkste en wordt het vaakst overgeslagen. Een leverancier of platform wisselen is bijna altijd moeilijker dan gedacht, en dat geldt net zo goed bij een Europese aanbieder. Wat daarbij komt kijken staat in een oud systeem uitfaseren.

Waarom dit nu op tafel ligt

Er zijn twee ontwikkelingen die dit onderwerp van een principiële discussie tot een praktische hebben gemaakt. De eerste is dat leveranciers hun voorwaarden en licentiemodellen wijzigen op een manier waar afnemers weinig tegen kunnen doen. Microsoft kondigde deze maand aan te stoppen met de gekoppelde licentiestructuur voor VMware binnen Azure, waarmee organisaties die daarop bouwden voor een keuze komen te staan die zij niet zelf hebben geïnitieerd.

De tweede is dat brancheorganisaties er inmiddels expliciet op aansturen. De GTIA adviseerde dienstverleners deze maand om naast hun bestaande Amerikaanse gereedschap een Europese stack op te bouwen, niet als vervanging maar als tweede optie. Dat advies gaat minder over politiek dan over afhankelijkheid: één keten waar u niet uit kunt, is een risico ongeacht wie hem beheert.

Voor u als afnemer van maatwerksoftware betekent dat vooral dat u de vraag stelt voordat de keuze vastligt. Achteraf verhuizen is een project; vooraf een architectuur kiezen waarin het kan, is een ontwerpbeslissing. Wat dit voor uw leverancierskeuze betekent staat in een softwareleverancier kiezen. En of uw specifieke situatie juridische eisen stelt, is een vraag voor een jurist; deze pagina is uitleg en geen juridisch advies.

Veelgestelde vragen

Mijn gegevens staan in een Europees datacentrum. Is dat niet genoeg?

Niet noodzakelijk. Wat telt is onder welke rechtsmacht de onderneming valt die de dienst levert en de sleutels beheert. Een Amerikaans moederbedrijf valt onder Amerikaanse wetgeving, ook voor gegevens die zijn Europese dochter in een Europees datacentrum beheert. De fysieke locatie is dus wel relevant maar niet doorslaggevend.

Wat betekent digitale soevereiniteit precies?

In de kern: dat u zelf bepaalt wie toegang heeft tot uw gegevens en uw systemen, zonder dat een derde dat buiten u om kan afdwingen. Dat gaat over rechtsmacht, over wie de sleutels beheert en over de vraag of u kunt vertrekken. Alleen naar de locatie van de servers kijken dekt maar een deel daarvan.

Moet ik overstappen naar een Europese aanbieder?

Dat hangt af van wat u verwerkt en voor wie u werkt. Bij bijzondere persoonsgegevens of bij opdrachtgevers in de publieke sector weegt het zwaar. Bij een gewone bedrijfsapplicatie met eigen bedrijfsgegevens wegen kosten, beschikbaarheid en beheerbaarheid vaak zwaarder. Wie u vertelt dat het altijd moet of nooit uitmaakt, versimpelt het te veel.

Wat is de belangrijkste maatregel als ik er één kan nemen?

Zorgen dat u kunt vertrekken. Kunt u uw gegevens in een bruikbaar formaat meenemen en heeft u dat een keer geprobeerd, dan bent u bij elk scenario beter af: bij een prijsverhoging, bij een gewijzigd licentiemodel, bij een overname en bij een juridisch geschil. Die maatregel helpt ongeacht welke aanbieder u kiest.

Waarom is sleutelbeheer belangrijker dan locatie?

Omdat versleutelde gegevens alleen bruikbaar zijn voor wie ze kan ontsleutelen. Beheert uw aanbieder de sleutels, dan kan hij de gegevens leesbaar maken en dus ook overhandigen als hij daartoe verplicht wordt. Beheert u ze zelf, in een omgeving buiten zijn bereik, dan verandert dat de situatie wezenlijk.

Verplicht de Cyberbeveiligingswet mij tot Europese diensten?

Nee. De wet vraagt passende maatregelen op basis van uw risico's, en noemt beveiliging van de toeleveringsketen als onderdeel daarvan. Zij schrijft geen leverancier of land voor. Wat u wel moet kunnen laten zien is dat u de afweging heeft gemaakt en waarom u tot uw keuze bent gekomen.

Wat moet ik in kaart brengen?

Niet alleen uw database, maar ook back-ups, logbestanden, mailverkeer, foutrapportages en de externe diensten die uw software aanroept. Die laatste categorie levert de meeste verrassingen op, omdat er vaak een dienst tussen zit die iemand ooit heeft toegevoegd zonder dat er over de gegevensstroom is nagedacht.

Wat als mijn leverancier zijn voorwaarden wijzigt?

Dat is precies het risico waar deze afweging over gaat. Microsoft kondigde deze maand aan te stoppen met de gekoppelde VMware-licenties binnen Azure, wat organisaties die daarop bouwden voor een keuze plaatst die zij niet zelf hebben gemaakt. Vandaar dat kunnen vertrekken belangrijker is dan de vraag bij wie u zit.