Twee verschillende beloftes worden als een woord verkocht
Soevereine cloud wordt gebruikt om minstens twee ongerelateerde garanties te beschrijven, en die dubbelzinnigheid verkoopt veel namens de leverancier: waar uw data zich fysiek bevindt, en welk land de rechtbanken heeft die een aanbieder kunnen dwingen die data af te staan. Dit zijn niet dezelfde vraag, en een product kan de eerste vraag goed beantwoorden terwijl het de tweede wagenwijd openlaat.
Dataresidentie is een locatiefeit. Juridische jurisdictie is een vraag over welke overheid, via rechtbanken en instanties, macht heeft over het bedrijf dat de servers exploiteert, ongeacht waar die servers staan. Een cloudregio die fysiek in Frankfurt of Parijs is gevestigd, beantwoordt op zichzelf de jurisdictievraag helemaal niet.
Wat de CLOUD Act werkelijk zegt
De Amerikaanse CLOUD Act uit 2018 regelde de jurisdictievraag voor elke aanbieder die in de Verenigde Staten is gevestigd of daar voldoende zaken doet. De operatieve tekst, gecodificeerd in 18 U.S.C. 2713, verplicht een betrokken aanbieder om te voldoen aan een juridische vordering tot het bewaren, back-uppen of vrijgeven van data, 'ongeacht of die communicatie, dat gegeven of andere informatie zich binnen of buiten de Verenigde Staten bevindt.'
Microsofts eigen beschrijving van zijn EU Data Boundary-toezeggingen behandelt dataresidentie en verwerkingslocatie in detail, maar gaat nergens in die beschrijving in op blootstelling aan de CLOUD Act. Het gat kwam rechtstreeks aan het licht onder ede: in juni 2025 verklaarde de juridisch directeur van Microsoft Frankrijk, Anton Carniaux, tegenover een commissie van de Franse Senaat die de soevereiniteit van overheidsaanbestedingen onderzocht, dat hij niet kon garanderen dat in de EU gehoste klantdata nooit Amerikaanse autoriteiten zou bereiken, en voegde daaraan toe dat dit tot dan toe nog niet was gebeurd.
Slechts enkele soevereiniteitsregelingen raken de werkelijke jurisdictievraag
Drie Europese certificeringsnamen worden bijna door elkaar gebruikt, en slechts een ervan beperkt daadwerkelijk wie er juridisch toe kan worden gedwongen uw data af te staan.
Frankrijks SecNumCloud, beheerd door de cyberbeveiligingsdienst ANSSI, eist dat niet-EU-aandeelhouders een minderheidsbelang houden in het exploiterende bedrijf en stelt zijn doel expliciet: het bedrijf beschermen tegen een bevel van een staat buiten de EU, zodat het bedrijf alleen verantwoording aflegt aan EU-recht. Duitslands C5-catalogus, beheerd door het BSI, is een heel ander type regeling: een attestatie van beveiligingsmaatregelen, waarbij het BSI ronduit stelt dat het niet eens de auditors controleert die C5-rapporten uitgeven, en er nergens in de criteria een eigendoms- of jurisdictie-eis staat. De EU-brede regeling die boven beide zou moeten staan, EUCS, is in augustus 2026 nog altijd formeel niet aangenomen. Nationale certificeringsautoriteiten, waaronder de Nederlandse NCCA, bevestigen dat er nog geen certificaten onder worden uitgegeven.
| Regeling | Jurisdictiegarantie | Status, augustus 2026 |
|---|---|---|
| SecNumCloud (Frankrijk, ANSSI) | Ja, niet-EU-aandeelhouders beperkt, niet-EU-rechtsbevelen geblokkeerd | Actief, verstrekt kwalificaties |
| C5 (Duitsland, BSI) | Nee, uitsluitend attestatie van beveiligingsmaatregelen | Actief, verstrekt rapporten |
| EUCS (EU-breed) | Omstreden, zou afhangen van het uiteindelijke assurance-niveau | Nog niet aangenomen |
Wat dit voor u betekent
Een compliance-antwoord dat zegt 'we gebruiken een soevereine cloud' is geen volledig antwoord totdat u weet welke van de twee garanties het daadwerkelijk oplevert.
Vraag de leverancier rechtstreeks of de exploiterende entiteit juridisch immuun is voor niet-EU-jurisdictie, het SecNumCloud-model, of enkel wordt geaudit op beveiligingsmaatregelen met data die in de regio wordt opgeslagen, het C5-model waarop de meeste 'EU-regio'-aanbiedingen van wereldwijde aanbieders lijken. Als uw werkelijke vereiste is dat data buiten het bereik van een buitenlandse overheid blijft in plaats van het afvinken van een dataresidentie-eis, dan voldoet alleen een jurisdictie-immune structuur daaraan.
Accepteer taal over 'EU data boundary' niet als op zichzelf staand bewijs van jurisdictie-immuniteit. Vraag de eigen juridische afdeling van de leverancier dezelfde vraag die de Franse Senaat aan die van Microsoft stelde, en verwacht hetzelfde eerlijke antwoord als de structuur niet is veranderd.
Lees hierna: Europa bouwde de cloud zonder de VS | Frankrijk haalt zijn zorgdatabase weg bij Azure
