Cloudkeuze is een veiligheidsbeslissing geworden
Regelmatig spreek ik met IT-verantwoordelijken die achteraf ontdekken dat hun cloudcontract meer juridische risico’s bevat dan hun securitybeleid ooit heeft geadresseerd. En dat is geen uitzondering meer. Het verklaart waarom de Europese cloudmarkt fundamenteel van karakter is veranderd. Van een technologisch speelveld naar het domein van risicobeheersing en juridische controle.
Wolkenformaties tegen een blauwe lucht, met een mix van lichte en donkere wolken.
© Shutterstock
Die verschuiving werd niet veroorzaakt door één rapport of één incident. Organisaties zijn wakker geschud door een opeenstapeling van sancties, datalekken en AI-wetgeving. En geopolitieke onzekerheid die steeds dichter bij huis komt. Jarenlang zijn we met z’n allen de cloud in gerend. Alles kon, alles mocht. Nu groeit het besef dat ‘in de cloud’ niet automatisch betekent dat het goed geregeld is.
Security dominante factor
Nieuwe cijfers uit het onderzoek ‘De staat van cloudsoevereiniteit in Nederland’, uitgevoerd in maart 2026 onder 383 IT-beslissers in Nederland, bevestigen dit. Security is inmiddels de dominante factor bij de keuze voor een cloudprovider. 96% van de respondenten noemt het belangrijk tot zeer belangrijk. Juridische zeggenschap over data staat op de tweede plek, met 86%. Kosten komen pas daarna.
Van prijs naar risicobeheersing
De klassieke cloudbelofte draaide om snelheid en het verminderen van kosten. Nu willen organisaties eerst weten dat het goed zit. Ze willen weten wat de werkelijke controle is over data, en onder welke jurisdictie die controle in de praktijk valt. Pas daarna kijken ze naar kostenoptimalisatie.
Als je data opslaat bij een partij die valt onder buitenlandse wetgeving, zoals de Amerikaanse CLOUD Act, dan heb je juridisch gezien minder controle dan de contracten doen vermoeden. Dat besef is breed doorgedrongen: 57% van de respondenten noemt geopolitieke ontwikkelingen als belangrijkste reden voor de toegenomen urgentie rond datasoevereiniteit, 35% wijst op toenemende afhankelijkheid van hyperscalers.
Ondertekend
In veel organisaties worden securityteams erbij geroepen nadat de belangrijkste architectuurkeuzes al zijn gemaakt. De CISO tekent niet het cloudcontract, maar draagt wel de gevolgen. Het risico zit dan ook niet in een externe aanval, maar in de manier waarop je systemen, afhankelijkheden en juridische kaders vooraf zijn ingericht. Dus wat je zelf hebt ondertekend.
Het onderzoek laat zien dat organisaties daar consequenties aan verbinden. 75% is bereid hogere IT-kosten te accepteren om datasoevereiniteit te waarborgen. 69% kiest bewust cloudoplossingen waarbij data onder Europese jurisdictie valt, ook als dat technisch of commercieel minder voordeel oplevert.
Strategische soevereniteit
Binnen de ondervraagde organisaties heerst ook realisme: volledige soevereiniteit is onrealistisch. Systemen zijn nu eenmaal met elkaar verweven en afhankelijkheden van internationale leveranciers te diep verankerd. Maar dat is niet het doel. Het gaat om wat ik strategische soevereiniteit noem. Je bepaalt zelf wat een acceptabel risico is. Soevereiniteit is zelfbeschikking. Autonomie, volledig los van anderen opereren, is iets anders, en in IT niet wenselijk.
De vraag is niet of je alles zelf kunt beheren. De vraag is of je precies weet waar je dat niet doet en of daar bewust voor gekozen is. Ik merk dat organisaties steeds vaker expliciete keuzes willen maken: welke workloads moeten strikt gecontroleerd blijven, en waar is flexibiliteit acceptabel?
'Elke architectuurkeuze die je nu maakt, weegt straks zwaarder dan je op het moment van tekenen denkt'
- Jan Willem des Tome
Die afweging vertaalt zich direct naar architectuurkeuzes. Op dit moment werkt 45% primair in een hybride IT-omgeving. In het ideaalbeeld voor de toekomst daalt dat naar 31%, niet omdat hybride afvalt, maar omdat organisaties bewuster kiezen. On-premises waar controle moet, cloud-native waar het kan.
Risicobeheersing
De verwachting is dat deze ontwikkeling niet tijdelijk is. 70% verwacht dat datasoevereiniteit de komende drie jaar nog belangrijker wordt. Elke architectuurkeuze die je nu maakt, weegt straks zwaarder dan je op het moment van tekenen denkt. De keuze voor een bepaalde cloudarchitectuur is daarmee geen IT-vraagstuk meer. Het is risicobeheersing.
Dat betekent dat de CISO niet meer aan het einde van het inkoopproces hoort, maar aan het begin. Niet als vetohouder, maar als mede-architect van wat je tekent. Als securityprofessional is dit het moment om te claimen wat altijd al jouw domein had moeten zijn: de vraag bij welke partij, onder welke wet, en met welke uitstapmogelijkheden je data onderbrengt.
Reacties
Om een reactie achter te laten is een account vereist.
Inloggen Word abonnee