Update mei 2026. “Datasoevereiniteit” staat in bijna elke aanbesteding en security-vragenlijst. In Nederland zien we een verschuiving: niet alleen EU-hosting, maar aantoonbare controle over datastromen, encryptie en toegang door leveranciers buiten de EER.
Wat bedoelen opdrachtgevers?
In RFP’s en due diligence komt vaak terug:
- primaire dataopslag en back-ups binnen de EU/EER;
- geen “stille” replicatie naar de VS zonder contract en risico-afweging;
- transparantie over subverwerkers en support-toegang;
- bewijs dat privacyverklaring, verwerkersovereenkomsten en technische configuratie hetzelfde verhaal vertellen.
“Sovereign cloud”-labels van hyperscalers helpen, maar auditors en AP-toezicht kijken naar feitelijk gedrag — niet naar marketing.
EU Data Act en cloudmarkt
De EU Data Act versterkt interoperabiliteit en exit-mogelijkheden. Praktisch betekent dat voor inkopers: vraag naar dataportabiliteit, exit-termijnen en welke data echt van jou blijft bij beëindiging. Voor leveranciers: documenteer welke API’s en formaten je ondersteunt — dat wordt onderdeel van contractuele discussies in 2026.
Vijf vragen die je deze week kunt beantwoorden
- Waar staan primaire data en back-ups (regio + tenant-config)?
- Welke logging/SIEM-aggregatie loopt buiten de EU?
- Wie heeft remote support-toegang en onder welke voorwaarden?
- Welke subverwerkers zitten in je keten (CDN, e-mail, analytics)?
- Past je privacy- en verwerkersregister bij de werkelijkheid?
Koppeling met ISO 27001 en NIS2
Datasoevereiniteit is geen aparte norm. Je verankert het in:
- ISO 27001: scope, leveranciersrelaties, encryptie, logging (Annex A / ISO 27002);
- AVG: doorgifte, DPIA’s, verwerkersovereenkomsten;
- NIS2: ketenrisico’s en incidentmelding als data-impact optreedt.
Verdieping met checklists en auditbewijs: EU hosting en dataopslag en leveranciersbeheer.
Praktische fout die we vaak zien
De privacyverklaring zegt “data in Nederland”, terwijl back-up in een andere regio staat, support uit derde landen komt en Copilot/andere AI-diensten content buiten de EU kunnen verwerken. Dat is precies het soort inconsistentie waar toezicht op afkijkt.
Educatief artikel. Voor juridische interpretatie van doorgifte en sectorale eisen: raadpleeg je DPO of adviseur.