In de vorige blog, ‘Digitale soevereiniteit: what’s the fuzz about?’, ontdek je wat digitale soevereiniteit is.
Drie jaar geleden sprak niemand ervan, en nu voelt het alsof de term ‘digitale soevereiniteit’ overal opduikt. Dat is geen toeval. Het is geen plotselinge hype, maar het resultaat van een reeks geopolitieke, juridische en technologische ontwikkelingen die de voorbije jaren in een stroomversnelling zijn gekomen.
Waarom staat digitale soevereiniteit ineens op de agenda van elke raad van bestuur?
Het speelveld in cybersecurity verandert, en daarmee ook het strategische belang van de herkomst van een leverancier.
De rol van Europese versus niet-Europese cybersecurity leveranciers
Rol van Europese cybersecurity leveranciers
Europese cybersecurity leveranciers zijn bij uitstek geschikt om digitale soevereiniteit te realiseren. Hun rol is meervoudig:
- Technologisch excellente producten aanbieden: ze moeten oplossingen leveren die kunnen concurreren met de wereldtop.
- Juridische zekerheid garanderen: data en processen – zoals threat intelligence en sandboxing – moeten binnen de Europese juridische grenzen blijven, wat hen ‘immuun’ maakt voor wetten als de Cloud Act.
- Lokale expertise inbrengen: vaak hebben ze een grondige kennis van het regionale dreigingslandschap en de specifieke noden van Europese bedrijven.
- Volledige transparantie bieden: over hun technologie, ontwikkeling en datastromen, wat vertrouwen schept.
Hoe niet-Europese leveranciers hiermee moeten omgaan
Zij kunnen de roep om digitale soevereiniteit niet negeren. Om relevant te blijven op de Europese markt, moeten ze:
- Investeren in ‘sovereign clouds’: datacenters binnen de EU bouwen en juridisch garanderen dat data die hier wordt opgeslagen ook effectief onder Europese controle blijft. Microsoft en Google hebben hier al inspanningen voor geleverd, maar zijn nog niet volledig geslaagd.
- Compliance tonen: aantoonbaar voldoen aan de GDPR, NIS2 en andere EU-regelgeving is het absolute minimum.
- Partnerships aangaan: samenwerken met lokale, Europese partners kan het vertrouwen verhogen.
- Open zijn over hun datastromen en over hoe ze omgaan met verzoeken van hun eigen overheden.
Slagen niet-Europese leveranciers erin om soevereine clouds te creëren?
Tot op vandaag nog niet volledig. Ondanks enorme investeringen in Europese datacenters en grote marketingcampagnes, stuiten Amerikaanse techgiganten op een fundamentele, moeilijk te overbruggen horde.
Een juridische catch-22: de GDPR tegenover de Cloud Act
Het probleem is niet technisch, maar juridisch. Een Amerikaans bedrijf, waar ook ter wereld het opereert, blijft onderworpen aan de Amerikaanse wetgeving. Hier staan twee wetten lijnrecht tegenover elkaar:
- De Europese GDPR eist dat gegevens van Europese burgers beschermd worden tegen toegang door buitenlandse overheden, tenzij die toegang voldoet aan de strenge Europese normen van noodzakelijkheid, proportionaliteit en rechterlijk toezicht.
- De Amerikaanse Cloud Act geeft Amerikaanse opsporings- en inlichtingendiensten de bevoegdheid om gegevens op te eisen bij Amerikaanse technologiebedrijven, ongeacht waar die gegevens fysiek zijn opgeslagen.
Dit creëert een echte juridische catch-22. Als Microsoft een verzoek krijgt van de Amerikaanse overheid voor data uit zijn datacenter in Dublin, moet het bedrijf volgens de Cloud Act meewerken, op straffe van een schending van de Amerikaanse wet. Werkt het mee, dan schendt het de GDPR, omdat die toegang niet voldoet aan de Europese rechtswaarborgen.
Een Amerikaans bedrijf kan dus simpelweg niet tegelijkertijd aan beide wetgevingen voldoen. Het conflict is structureel, en zolang het bestaat, kan volledige digitale soevereiniteit niet worden bereikt via een niet-Europese leverancier.
Waarom AXS Guard by Approach Cyber gegevenssoevereiniteit in België ondersteunt
Als 100% Belgische en Europese technologie belichaamt AXS Guard – vandaag het soevereine managed security platform van Approach Cyber – de principes van digitale soevereiniteit. Voor een organisatie die digitale soevereiniteit ernstig neemt, is kiezen voor een partner als Approach Cyber, gebouwd rond het AXS Guard platform, een logische en strategische stap.
Kiezen voor Approach Cyber en het AXS Guard platform betekent kiezen voor:
- Controle over je data en infrastructuur, met een maximale onafhankelijkheid van niet-Europese jurisdicties.
- Juridische zekerheid binnen een stabiel Europees kader, conform de GDPR en de NIS2-richtlijn.
- Lokale expertise, afgestemd op de Belgische en Europese regelgeving.
- Een betrouwbare partner, lokaal verankerd en internationaal competitief.
Hoe zinvol is digitale soevereiniteit als je blijft leunen op de grote techgiganten?
De voordelen van digitale soevereiniteit zijn duidelijk. Maar heeft het zin als je organisatie blijft leunen op technologieën van grote wereldspelers die die soevereiniteit niet kunnen garanderen?
Ja, het heeft absoluut zin, en het is zelfs de enige realistische en strategisch slimme aanpak. Het idee is niet om de techgiganten te bannen – voor de meeste organisaties is dat onmogelijk – maar om de controle te herwinnen op de cruciale knooppunten van je digitale omgeving. Elke CISO en IT-manager worstelt hier vandaag mee, en een ‘alles-of-niets’-benadering werkt hier niet.
Zie het zo: je kan niet de eigenaar zijn van de openbare weg (het internet) of de stad waarin je kantoor staat (de cloud van de techgigant), maar je kan wél bepalen wie er door de voordeur van je gebouw mag, welke sleutels ze krijgen, en je meest waardevolle spullen (data) in een zwaarbeveiligde kluis plaatsen. Onze oplossingen voor gegevenssoevereiniteit en databeveiliging zijn precies op die logica gebouwd.
Onthoud dat het een ‘én-én’-verhaal is. Het is perfect mogelijk, en zelfs aan te raden, om de productiviteitsvoordelen van de grote techgiganten te blijven benutten, én tegelijk een robuuste, soevereine beveiligingslaag te implementeren met een Europese partner als Approach Cyber, gedragen door het soevereine AXS Guard platform.
FAQ: gegevenssoevereiniteit in België
Wat is gegevenssoevereiniteit?
Gegevenssoevereiniteit betekent dat gegevens onderworpen zijn aan de wetten van het land of de regio waar ze worden verzameld of opgeslagen, en beschermd blijven tegen ongeoorloofde toegang door buitenlandse overheden of jurisdicties.
Botst de GDPR met de Amerikaanse Cloud Act?
Ja. De GDPR vereist strikte waarborgen voordat gegevens van EU-burgers aan buitenlandse overheden mogen worden vrijgegeven, terwijl de Amerikaanse Cloud Act een Amerikaans bedrijf kan verplichten om gegevens af te staan, ongeacht waar ze zijn opgeslagen. Een Amerikaans bedrijf kan onmogelijk volledig aan beide wetten tegelijk voldoen.
Kan een organisatie soeverein zijn en toch Microsoft of Google gebruiken?
Ja, in de praktijk wel. Volledige onafhankelijkheid van de grote techgiganten is zelden realistisch. De meeste organisaties combineren wereldwijde cloudplatformen met een soevereine, Europese beveiligingslaag – zoals het AXS Guard platform – om controle te houden over hun meest gevoelige data en infrastructuur.
Weet u niet precies hoe soeverein uw huidige infrastructuur werkelijk is?
Praat met onze GRC- en databeveiligingsexperts om uw blootstelling aan niet-Europese jurisdicties te evalueren, en te bepalen waar een soevereine laag zoals AXS Guard by Approach Cyber het grootste verschil zou maken.