Blog Cloudsoevereiniteit Europa: NIS2, DORA en de EU-AI-wet

Waarom de fysieke locatie geen garantie meer biedt voor naleving

Het kiezen van een datacenter binnen de juiste landsgrenzen was voorheen genoeg om een workload "compliant" te noemen. Die veronderstelling geldt inmiddels niet meer. Een server in Frankfurt of Amsterdam zegt niets over wie wettelijk kan worden gedwongen om de data daarop over te dragen. Dat is precies het gat dat toezichthouders de afgelopen drie jaar hebben gedicht.

Drie kaders komen nu samen in dezelfde vraag: niet alleen waar staat de data, maar wie kan erbij en kunt u dat bewijzen tijdens een audit. NIS2 geldt voor meer dan 160.000 entiteiten in 18 sectoren. Europese privacytoezichthouders hebben sinds mei 2018 voor meer dan 5,9 miljard euro aan AVG-boetes opgelegd, blijkt uit gegevens van de GDPR Enforcement Tracker van Vision Compliance. DORA is van toepassing op financiële entiteiten in de EU en hun kritieke ICT-leveranciers. De EU AI Act voegt daarbovenop nog infrastructuurverplichtingen toe voor AI-systemen met een hoog risico.

Ook de commerciële ontwikkeling gaat razendsnel. Insight's Digital Sovereignty Trilemma onderzoek, Een onderzoek uitgevoerd door Coleman Parkes tussen december 2025 en januari 2026 onder 900 senior besluitvormers bij organisaties met meer dan 500 werknemers in negen Europese landen, toont aan dat 67% van de organisaties digitale souvereiniteit al ziet als een kritische strategische overweging. Dit percentage stijgt naar 78% binnen een tot twee jaar en naar 82% binnen drie jaar. 55% noemt de complexiteit van regelgeving een van hun grootste strategische uitdagingen en 43% heeft al sterke souvereiniteitsreferenties ingezet om opdrachten te winnen of te behouden. Dit zijn resultaten uit een door leveranciers gefinancierd onderzoek en geen officiële statistieken. Beschouw ze daarom als een indicatie van het sectorsentiment en niet als vaststaand feit.

Hieronder vindt u het regelgevingsoverzicht zoals dat er in 2026 voorstaat, wat elk kader concreet vraagt van uw cloudarchitectuur, en hoe organisaties die bouwen op Azure, AWS of Google Cloud een sovereign-ready status bereiken zonder een onverantwoorde compliance-premie te betalen.

De Europese regelgevingsstructuur en waarom deze als één systeem functioneertm

GDPR, NIS2, DORA en de AI Act zijn niet neergezet als vier losstaande checklists, hoewel de meeste compliance teams ze nog wel zo beheren. Tegen 2026 sturen ze aan op dezelfde drie resultaten: exact weten waar data zich bevindt, beheren wie er toegang toe heeft en met bewijs in plaats van toezeggingen kunnen aantonen dat u kunt blijven functioneren tijdens een storing of audit.

De overlap is het grootst voor organisaties in de financiële sector, de gezondheidszorg, de energiesector en de overheid, waar één enkel tekortschietend controlemechanisme gelijktijdig verplichtingen onder twee of drie regelgevingen kan activeren.

NIS2: cybersecurityverplichtingen voor 18 sectoren, gekoppeld aan persoonlijke aansprakelijkheid

NIS2, de herziene richtlijn voor netwerk- en informatiebeveiliging die in 2023 door de EU is geïntroduceerd, vervangt een beperktere voorganger door verplichte eisen op te leggen aan meer dan 160.000 entiteiten. De richtlijn introduceert vereisten voor risicobeheer, verantwoordelijkheid op bestuurlijk niveau, deadlines voor incidentmeldingen en mandaten voor de beveiliging van de toeleveringsketen, waarbij het hoger management persoonlijk aansprakelijk is als niet-naleving wordt vastgesteld.

De richtlijn verdeelt de verplichtingen onderworpen organisaties in twee categorieën:

• Essentiële entiteiten: grote bedrijven in de sectoren energie, vervoer, het bankwezen, de gezondheidszorg en digitale infrastructuur, die onderworpen zijn aan proactief toezicht en de strengste handhaving
• Belangrijke entiteiten: middelgrote organisaties in dezelfde sectoren, die aan dezelfde technische eisen moeten voldoen, maar waarvoor reactief in plaats van proactief toezicht geldt

Vier zaken waarvan NIS2 verwacht dat een raad van bestuur deze kan aantonen:

1. Verantwoordelijkheid voor risico’s. De raad van bestuur keurt cyberbeveiligingsmaatregelen goed en houdt toezicht op de uitvoering ervan; het nalaten hiervan kan leiden tot persoonlijke aansprakelijkheid
2. Beveiligingsvereisten. Artikel 21 van de NIS2-richtlijn beschrijft basismaatregelen, waaronder incidentafhandeling, bedrijfscontinuïteit en crisisbeheer
3. Beveiliging van de toeleveringsketen. Leveranciers en dienstverleners moeten hun eigen cyberbeveiligingspraktijken laten beoordelen, niet alleen die van uzelf
4. Melding van incidenten. Essentiële entiteiten moeten hun nationale CSIRT binnen 24 uur na een significant incident op de hoogte stellen, waarbij binnen 72 uur een uitgebreider rapport moet worden ingediend

In de praktijk brengt NIS2 identiteitsstriktheid, onwijzigbare logboeken, leveranciersbeheer en tijdgebonden incidentrapportage rechtstreeks naar de platformlaag. Het sleutelwoord is aantoonbaar: een auditor moet uw controlemechanismen kunnen traceren via telemetrie en wijzigingsrecords en niet simpelweg afgaan op uw woord.

De boetes zijn aanzienlijk en gestaffeld: essentiële entiteiten riskeren boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Belangrijke entiteiten riskeren boetes tot 7 miljoen euro of 1,4% van de omzet. Deze cijfers gelden per lidstaat, waardoor een organisatie met dochterondernemingen in meerdere EU-landen in elk land afzonderlijk risico loopt.

DORA: operationele veerkracht als iets wat u moet aantonen, niet alleen maar moet plannen

De Digital Operational Resilience Act (DORA) verplicht beveiligingsnormen voor operationele veerkracht van financiële entiteiten in de EU en hun ICT-dienstverleners, en werd handhaafbaar in januari 2025. De regelgeving vereist gedocumenteerde en geteste uitbreidingsstrategieën voor kritieke leveranciers, contractuele auditrechten, controle op ICT-concentratierisico's en continue monitoring van derden.

Het toepassingsgebied wordt bepaald door de activiteit, niet door het aantal werknemers. Een FinTech-bedrijf met 50 medewerkers dat betalingen verwerkt, valt onder dezelfde verplichtingen als een grote bank.

DORA standaardiseert het risicobeheer voor ICT in de gehele sector: geteste uitwijkfunctionaliteiten, gemeten doelstellingen voor hersteltijd en herstelpunt, dreigingsgestuurde testen waar van toepassing en een register van ICT-overeenkomsten met derden dat daadwerkelijk overeenkomt met wat er in productie draait. Veerkracht is hiermee in feite een productvereiste geworden in plaats van een onderdeel van een rampenherstelplan.

De architectonische implicatie is het scherpst. De verplichte uitbreidingsstrategie van Artikel 28 vereist dat financiële entiteiten beschikken over een gedocumenteerd, getest en auditeerbaar plan om afscheid te nemen van elke kritieke ICT-dienstverlener zonder dat de dienstverlening in gevaar komt. Als uw platform sterk gebonden is aan de eigen API's van één leverancier, kan dat "uitbreidingsplan" in de praktijk neerkomen op een migratie van meerdere jaren: geen noodplan, maar een vendor lock-in met een compliance-label.

Wat Europese financiële instellingen nu zouden moeten doen:

1. Controleer elk bestaand cloudcontract aan de hand van de vereisten voor een exitstrategie uit artikel 28
2. Classificeer workloads op basis van hoe kritiek ze zijn en geef aan welke afhankelijk zijn van beheerde diensten van één enkele aanbieder
3. Begin met het documenteren van de architectuur van de exitstrategie op bedrijfsniveau, voordat een crisis u tot deze beslissing dwingt
4. Zorg ervoor dat het ICT-risicoregister voor derde partijen alle cloudproviders omvat, met voortdurende monitoring in plaats van een eenmalige beoordeling

De EU AI Act (EU AI-verordening): een infrastructuurverplichting die verborgen zit in een AI-verordening

The EU AI Act (Regulation 2024/1689) is de eerste alomvattende AI-specifieke regelgeving in zijn soort. De wet categoriseert AI-systemen op basis van risico en legt verplichtingen op voor data governance, auditeerbaarheid en infrastructuur bij hoog-risicosystemen. De regelgeving is vanaf 2 augustus 2026 volledig van toepassing en boetes kunnen oplopen tot 7% van de wereldwijde jaaromzet.

Veel SaaS-producten vallen binnen het toepassingsgebied: hulpmiddelen voor kredietwaardigheidsbeoordeling in de FinTech, CV-screening in HR-tech en functionaliteiten rondom medische hulpmiddelen in de HealthTech kunnen allemaal onder de hoog-risicocategorieën van Bijlage III vallen. Het infrastructuurprobleem is direct: SaaS-platformen die draaien op gedeelde AI-diensten van hyperscalers kunnen vaak niet de herkomst op infrastructuurniveau aantonen die de wet vereist. Zelf gehoste of soevereine omgevingen maken volledige documentatie van de dataherkomst wel mogelijk, op een manier die gedeelde multi-tenant diensten doorgaans niet bieden.

Voor infrastructuurteams vertaalt dit zich in gescheiden omgevingen voor training en inferentie, documentatie van datasets, evaluatie-artefacten en rollback-paden. Dit is allemaal aanzienlijk eenvoudiger te realiseren wanneer uw dataperimeter en sleutelbeheer zich binnen één enkele, duidelijke jurisdictie bevinden.

Data-residentie versus datasoevereiniteit: het verschil dat uw nalevingsstatus bepaalt

De duurste misvatting over Europese cloud-compliance op dit moment is het behandelen van de gegevensopslaglocatie en soevereiniteit als hetzelfde begrip. Dat zijn ze niet en de ruimte tussen die twee is waar de meeste risico's op het gebied van regelgeving ontstaan.

Een Amerikaanse hyperscaler die servers op EU-bodem laat draaien, biedt residentie. Dit biedt geen soevereiniteit: de Amerikaanse wetgeving kan openbaarmaking afdwingen, ongeacht waar de hardware zich fysiek bevindt. Volgens de analyse van SoftwareSeni van het kader voor cloudsoevereiniteit van de Europese Commissie van oktober 2025, Amerikaanse hyperscalers beheren meer dan 70% van de EU-cloudmarkt en blijven onderworpen aan extraterritoriale Amerikaanse wetgeving, namelijk de CLOUD Act en FISA, die datatoegang kan afdwingen ongeacht de serverlocatie. De meeste gereguleerde workloads hebben nu soevereiniteit nodig, en niet alleen residentie, om aan hun verplichtingen te voldoen.

Het "kill switch" scenario: waarom de locatie op zich u geen bescherming biedt

Het onderzoek “Digital Sovereignty Trilemma” van Insight verwoordt dit precies: 67% geeft aan dat het behoud van digitale soevereiniteit vandaag de dag een cruciale factor is bij het nemen van strategische bedrijfsbeslissingen. Dit stijgt naar 78% binnen een tot twee jaar en naar 82% binnen drie jaar of meer. De publieke sector leidt deze verschuiving; 73% ziet digitale soevereiniteit als cruciaal voor hun strategische beslissingen. Dit weerspiegelt een verhoogde focus op nationale veiligheid en juridische zekerheid.

Operationele veerkracht rust in de praktijk op digitale soevereiniteit: het vermogen om de technische controle over uw systemen en encryptiesleutels te behouden, ongeacht inmenging van buitenaf. De eigen formulering van Insight hierover is helder: stel u voor dat een buitenlandse jurisdictie autoriteit uitoefent over uw cloudprovider en in feite een uitschakeling van uw bedrijfssystemen afdwingt. Dat is geen IT-scenario; het is een bedreiging voor de bedrijfscontinuïteit zonder eenvoudige oplossing zodra het gebeurt. Datzelfde onderzoek toonde aan dat 32% van de organisaties bij het evalueren van hun cloudstrategie nu prioriteit geeft aan de veerkracht en continuïteit van de toeleveringsketen, boven kostenbeheersing (20%) en marktsnelheid (16%).

Zelfs waar op papier juridische doorgiftemechanismen bestaan, kiezen de meeste besturen er nu voor om hun risico rechtstreeks te beperken: gevoelige workloads en telemetrie binnen de EER (European Economic Area) houden en sleutels onder EU-jurisdictie bewaren. Het is een houding die risico's vermindert, audits vereenvoudigt en verantwoording achteraf veel eenvoudiger uit te leggen maakt.

Wat de niet-naleving daadwerkelijk kost

De financiële consequenties zijn hier niet meer theoretisch. Volgens de handhavingsgegevens van Vision Compliance hebben de Europese autoriteiten voor gegevensbescherming ongeveer 5,9 miljard euro aan AVG-boetes opgelegd sinds de regelgeving in mei 2018 van kracht werd. De 10 hoogste boetes maken samen al meer dan 4,5 miljard euro uit. Volgens het Cost of a Data Breach Report 2025 van IBM bedragen de gemiddelde kosten van een datalek in de EU 4,57 miljoen euro. Belangrijk om te op te merken: de wereldwijde cijfers van IBM in hetzelfde rapport worden elders in USD vermeld, namelijk een wereldwijd gemiddelde van 4,18 million specifiek voor lekken in de publieke cloud. Zorg er dus voor dat u het EU-specifieke eurocijfer vergelijkt en dit niet mengt met het wereldwijde dollarcijfer. Acht jaar na de inwerkingtreding meldt nog steeds slechts ongeveer een derde van de organisaties, 34% volgens de Cisco Data Privacy Benchmark Study 2025, volledige naleving van de AVG.

De verspillingszijde van de balans is beter gedocumenteerd. Het Digital Sovereignty Trilemma-onderzoek van Insight geeft aan dat de jaarlijkse verspilling van cloudcapaciteit in Europa 24% bedraagt. Dit wordt voornamelijk veroorzaakt door inactieve of niet-toegewezen bronnen, een gebrek aan overzicht over omgevingen en gebrekkige governance. AI heeft de hostingkosten in één jaar tijd met 12% doen stijgen. Volgens hetzelfde onderzoek voert 56% van de organisaties geen analyse van de totale eigendomskosten uit voorafgaand aan belangrijke beslissingen over het onderbrengen van workloads.

Het opzetten van één overkoepelende architectuur in plaats van vier parallelle compliance-trajecten

De meest voorkomende fout is niet het ontbreken van een controlemechanisme. Het is het beheren van de AVG, NIS2, DORA en de AI Act als afzonderlijke checklists die in de praktijk nooit samenkomen, hoewel ze overlappen in controlemechanismen, rapporteringsketens en de risicomodellen die regelgevers verwachten te zien. Breng de gedeelde intentie in kaart (het beperken van systeemrisico's, het afdwingen van auditeerbare controlemechanismen en het beschermen van de gegevens van Europese burgers) en de meeste architectuurbeslissingen worden vrijwel vanzelfsprekend.

Vijf principes bepalen het patroon dat doorgaans een Europese regelgevingscontrole doorstaat:

1. Multiregionaal binnen de EU met verifieerbare failover. Gebruik ten minste twee onafhankelijke locaties in de EU. Bewaar productie-, snapshot- en DR-kopieën binnen de EER. Voer gecontroleerde failovers volgens een schema uit en bewaar het bewijsmateriaal met dezelfde zorgvuldigheid als financiële documenten.
2. Deterministisch sleutelbeheer. Maak gebruik van een in de EU gevestigd KMS met expliciete eigendom. Gebruik voor belangrijke workloads ‘bring-your-own-key’ of ‘hold-your-own-key’, ondersteund door hardware-roots-of-trust en gesplitste beheerverantwoordelijkheid
3. Beheer van uitgaand netwerkverkeer. Sluit standaard uitgaand verkeer af. Maak een lijst van toegestane bestemmingen per beleid en documenteer de reden waarom elke bestemming bestaat
4. Bewijsgerichte operaties. Centraliseer logboeken, configuratiegeschiedenis en sporen van geprivilegieerde toegang in onveranderlijke, levenscyclusbeheer van opslagplaatsen. Het platform moet tijdens een incident zonder ad-hocscripts kunnen aangeven wie, wat, wanneer en waar
5. Uitstapmogelijkheid en overdraagbaarheid vanaf het ontwerp. Stel uw uitstapstrategie vanaf het begin op, niet pas na het ondertekenen van een contract. Gebruik standaard VM-images en open gegevensformaten. Houd herstel- en migratieprocedures onder versiebeheer en oefen ze daadwerkelijk: u bent slechts zo overdraagbaar als de laatste keer dat u het hebt bewezen

Naleving omzetten in een concurrentievoordeel

Soevereiniteit hoeft niet gepaard te gaan met een permanente meerkost. De organisaties die in heel Europa het beste scoren op het gebied van naleving, zijn over het algemeen de organisaties die dit vanaf de eerste dag als een ontwerpprincipe beschouwen, in plaats van iets dat pas achteraf wordt toegevoegd als een regelgever vragen stelt.

De aanpak van Insight ontwerpt soevereine compliance-frameworks die de operationele continuïteit 24-uur waarborgen, zonder dat u afhankelijk bent van licentiewijzigingen van leveranciers of veranderingen in regionale datawetgeving. Via FinOps en Hybrid Cloud Assessments, haalt Insight intensieve workloads terug naar de omgeving die daadwerkelijk het meest kostenefficiënt is. Insight geeft aan dat klanten doorgaans zo'n 12% van hun hostingbudget terugwinnen om te herinvesteren in AI en R&D. Dit cijfer is afkomstig uit eigen klanttrajecten van Insight en is geen onafhankelijk geauditeerd branchegemiddelde.

De soevereiniteitsbelasting vermijden met FinOps

Het onderzoek van Insight over digitale soevereiniteit schrijft de onderliggende claim toe aan Gartner: doordat 56% van de organisaties verzuimt een TCO-analyse uit te voeren voordat ze workloads verplaatsen, betaalt het merendeel ongemerkt een prijsopslag van 15 tot 30% voor "compliant" infrastructuur. De FinOps- en Hybrid Cloud-beoordelingen van Insight identificeren besparingen binnen exact die bandbreedte van 15 tot 30% als een interne benchmark uit klanttrajecten. Het is waardevol om dit af te wegen tegen uw eigen workloadprofiel in plaats van het te beschouwen als een gegarandeerd resultaat.

De FinOps-services van Insight sluiten aan bij organisaties op elk punt van dat traject: het identificeren van verspilling en ongebruikte middelen, het op één lijn brengen van teams, het optimaliseren van kosten en het aanscherpen van governance. Het doel hierbij is beter beheer, lagere kosten en een nauwere samenwerking tussen finance en engineering.

Ontdek Insight's FinOps Services om te zien op welke punten uw organisatie misschien ongemerkt inefficiëntie op het gebied van naleving in stand houdt.

NIS2-gereedheid: van lacuneanalyse tot vertrouwen op bestuursniveau

De NIS2-compliance-aanpak van Insight bouwt voort op bestaande processen en houdt rekening met overlappende EU-richtlijnen, in plaats van NIS2 te behandelen als een geïsoleerde oefening. Hierbij krijgen risicobeheer en incidentrapportage vanaf het begin prioriteit. Insight biedt een NIS2 Awareness Workshop om senior managementteams voor te bereiden, evenals een NIS2 Assessment Service om tekortkomingen te identificeren en een op maat gemaakt compliance-stappenplan op te stellen.

Wat dit betekent voor de Europese cloudstrategie

NIS2, DORA, de EU AI Act en de bredere Europese agenda voor datasoevereiniteit zijn geen toekomstige zorgen om rekening mee te houden. Het zijn actuele bedrijfsrisico's, waarbij handhavingsacties, financiële boetes en reputatieschade zich al over het hele continent afspelen.

De organisaties die het beste zijn gepositioneerd voor de komende jaren, zijn de organisaties die operationele veerkracht, wendbaarheid en kostenefficiëntie behandelen als één strategisch kader in plaats van drie concurrerende prioriteiten. Zij ontwerpen vanaf het begin voor soevereiniteit en behouden tegelijkertijd voldoende flexibiliteit om zich aan te passen als het regelgevingslandschap blijft veranderen, want het zal blijven veranderen.

Organisaties die vanaf het begin bouwen op soevereiniteit, doorstaan niet alleen de volgende regelgevingsschok beter. Ze halen er vaak ook meer opdrachten door binnen. Veerkracht is niet langer een defensieve kostenpost; het is een commercieel argument.