De discussie rondom de Europese cloud is actueler dan ooit. Vorige week kondigde Google Cloud nog een grote mijlpaal aan: in samenwerking met de Nederlandse overheid is er met succes een privacytoets (DPIA) afgerond, waardoor de Nederlandse centrale overheid officieel groen licht heeft gekregen om de diensten van Google te gebruiken.

Vanzelfsprekend blijft het voor Europa van belang minder afhankelijk te worden van Amerikaanse techgiganten. Er wordt hard gestreefd naar een ‘eigen’ Europese Cloud. Maar wat betekent dat eigenlijk concreet? Gaat dit puur over het bezitten van de fysieke datacenters, of zit het probleem dieper in de softwarelaag? Blijft onze data dan veilig en bruikbaar?

De Drie Lagen van Digitale Soevereiniteit

Om te begrijpen hoe een soevereine cloud werkt, moeten we de cloud opdelen in drie cruciale lagen. Digitale onafhankelijkheid gaat namelijk over veel meer dan alleen de fysieke gebouwen waar de servers in staan:

1. Datasoevereiniteit: Dit betreft de fysieke locatie van de data en de wetgeving die daarop van toepassing is. Staan de servers in Europa? Dan geldt de Europese privacywetgeving (AVG/GDPR).
2. Operationele soevereiniteit: Dit gaat over de controle op het dagelijks beheer. Als een Amerikaanse techpartij op afstand onderhoud pleegt, updates doorvoert of via ‘root-toegang’ bij de servers kan, is er van echte soevereiniteit geen sprake, zelfs niet als het datacenter in Amsterdam of Frankfurt staat.
3. Technische soevereiniteit: Dit betreft de mate van afhankelijkheid van de software. Ben je gebonden aan de unieke, gesloten software van één leverancier (een zogenaamde vendor lock-in), of kun je flexibel overstappen?

Zit data-opslag ingebakken in de Google-software?

Een veelgehoorde misvatting is dat het gebruik van Google-software automatisch betekent dat data op Amerikaanse servers wordt opgeslagen. Dit is tegenwoordig niet meer het geval. Om aan de strenge Europese eisen te voldoen, hebben techgiganten speciale ‘soevereine cloud’-oplossingen ontwikkeld.

Een treffend voorbeeld hiervan is Google Distributed Cloud (GDC) Hosted. Dit model levert de geavanceerde softwarelaag van Google Cloud, maar dan volledig losgekoppeld (air-gapped) van het wereldwijde Amerikaanse netwerk. Deze software draait op servers in Europese datacenters en wordt volledig beheerd door gecertificeerde Europese partners (zoals T-Systems in Duitsland of S3NS/Thales in Frankrijk). De data verlaat Europa dus nooit.

Geopolitiek risico: Wat gebeurt er als de Amerikaanse overheid Google dwingt om een ‘kill-switch’ te activeren en de licenties voor Europa in te trekken?

Het Doemscenario

Stel dat de geopolitieke relaties escaleren en de VS besluit de toegang tot de software te ontzeggen. Hoe ‘vrij’ is Europa dan? Het antwoord is gelaagd en hangt sterk af van de architectonische keuzes die vooraf zijn gemaakt:

1. Fysieke veiligheid van de data (Gegarandeerd)

Omdat de datacenters fysiek in Europa staan en het beheer in handen is van Europese partijen, kan de Amerikaanse overheid de data niet zomaar op afstand wissen, vergrendelen of confisqueren. De data blijft fysiek eigendom van de Europese organisaties en valt onder de Europese wetgeving.

2. Continuïteit van de software (Grotendeels gewaarborgd)

Bij een volledig soevereine, air-gapped infrastructuur is de software ontworpen om autonoom te blijven functioneren. Als Google de verbinding verbreekt, blijft de lokale cloudomgeving in de lucht omdat Europese technici aan de knoppen zitten. Het langetermijnrisico is wel dat er op den duur geen officiële beveiligingsupdates of patches meer vanuit de VS geleverd worden.

3. Compatibiliteit en data-portabiliteit (Het kritieke breekpunt)

Kun je de data zonder de Google-software gebruiken? Dat hangt volledig af van de software-architectuur waarmee gewerkt is:

• Open Standaarden (Veilig): Veel diensten van Google Cloud zijn gebouwd op opensource-technologie. Als applicaties draaien in Kubernetes (voor softwarecontainers) en data is opgeslagen in open databaseformaten (zoals PostgreSQL), dan is de data uiterst compatibel. Mocht Google wegvallen, dan kan de data relatief snel worden gemigreerd naar een volledig Europese cloudprovider.
• Propriëtaire Software (Groot Risico): Maakt een organisatie intensief gebruik van zwaar specialistische, gesloten Google-software (zoals specifieke AI-modellen of unieke datastructuren zoals BigQuery)? Dan is de data weliswaar fysiek in eigen bezit, maar zit deze opgesloten in een formaat dat andere systemen niet begrijpen. Het omzetten hiervan naar een ander platform kost maanden werk en miljoenen euro’s.

Conclusie: De Sleutel tot Digitale Vrijheid

Het opzetten van een Europese cloud gaat dus over veel meer dan alleen het bouwen van datacenters. De hardware vormt de basis, maar de echte soevereiniteit wordt bepaald in de softwarelaag. Het recente DPIA-akkoord met de Nederlandse overheid toont aan dat Amerikaanse techreuzen bereid zijn ver te gaan om aan onze privacy-eisen te voldoen.

Om echter écht beschermd te zijn tegen geopolitieke conflicten en een eventuele Amerikaanse ‘kill-switch’, moeten Europese organisaties een slimme hybride strategie hanteren. Door cloudsoftware te combineren met lokale, Europese datacenters én consequent te kiezen voor open standaarden, behoudt Europa de regie. Zo profiteren we van Amerikaanse innovatie, zonder onze digitale vrijheid op te offeren.

Teaser op LinkedIn