Digitale soevereiniteit staat bij heel wat Europese bedrijven op de agenda, al is niet altijd duidelijk wat het begrip inhoudt. Ramzy El Masry ontleedt het op de ISACA Europe-conferentie in München, van Snowden tot de bestuurskamer.
Hyperscalers beloven soevereine clouds, ondernemingen willen soeverein worden en zelfs de Europese Commissie bouwt er haar cloudaanbestedingen rond. Wat soevereiniteit in de context van de digitale wereld precies betekent, weet echter bijna niemand. Dat illustreert Ramzy El Masry, cybersecurityprofessional en bestuurslid van de Nederlandse ISACA-afdeling, wanneer hij op de ISACA Europe-conferentie vraagt wie de juridische definitie kent. Amper één hand gaat de lucht in.
Vier bouwstenen
Digitale soevereiniteit verwijst natuurlijk naar klassieke soevereiniteit. Die rust op vier bouwstenen: een grondgebied, een bevolking, een gezag dat er controle over uitoefent en erkenning door andere staten. Volgens het Westfaalse principe bestaat binnen een staat bovendien geen ander gezag dan de eigen soeverein. Voor Duitsland, België of Nederland is dat eenvoudig in te vullen. Er zijn grenzen, er is een regering en andere landen erkennen de staat.
Een stukje Amerika in Nederland
El Masry neemt Nederland, waar hij woont, als voorbeeld van hoe die bouwstenen online vervagen. “Het grondgebied van Nederland kan evengoed een stukje van de VS zijn”, zegt hij. “Als al je informatiesystemen daar staan, bevinden je data, je systemen en je infrastructuur zich in werkelijkheid niet in Nederland.”
Soevereiniteit in de fysieke wereld en in de cyberwereld laat zich niet één op één vergelijken.
Ramzy El Masry, ISACA Nederland
Ook de bevolking is niet af te bakenen, want een SaaS-dienst of reisboekingssite bedient Europeanen en niet-Europeanen door elkaar. Over wie het internet bestuurt en welke wet waar geldt, bestaat geen consensus. “Soevereiniteit in de fysieke wereld en in de cyberwereld laat zich niet één op één vergelijken”, aldus El Masry.
Een strategisch risico
De vraag naar soevereiniteit wordt vandaag soms gedreven door ideologische bezwaren tegen de VS, of door de wens om alles ‘made in Europe’ te hebben. El Masry heeft niets tegen dat laatste. “Ik zou graag veel meer in Europa gemaakt zien”, zegt hij. “Maar je moet digitale soevereiniteit bekijken als een evenwichtsoefening.” Ook de hyperscalers zijn voor hem niet de schurken van het verhaal. “Het zijn bedrijven die binnen een jurisdictie werken en de wet moeten volgen.”
Het thema lijkt hoe dan ook gevoelig te liggen. El Masry vermeldt ongeveer vijf keer dat hij in eigen naam spreekt (en dus niet in naam van ISACA of de onderneming waar hij werkt). Hij hamert er bovendien op dat zijn ontleding van soevereiniteit een apolitieke insteek heeft, en berust op feiten. Dat de VS geregeld genoemd worden, is nu eenmaal onvermijdelijk, ook wanneer ideologische motivaties uit het verhaal worden weggefilterd.
De discussie over het risico rond soevereiniteit gaat terug tot juni 2013, toen Edward Snowden onthulde dat de Amerikaanse NSA op grote schaal mails, documenten en betalingen onderschepte en die informatie deelde met de Five Eyes-partners (de buitenlandse spionagediensten waar de CIA mee samenwerkt).
Twijfelaars over die onthullingen verwijst El Masry naar een officiële video van een panel uit 2015, waarin toenmalig CIA-directeur John Brennan vertelt dat de verzamelcapaciteit van de inlichtingendiensten ‘sinds 9/11 aanzienlijk en exponentieel’ gegroeid is. “We hebben het dus niet over een complottheorie”, stelt El Masry.
Dat een gebrek aan controle concrete gevolgen heeft, ondervond Amsterdam Trade Bank. Na sancties tegen het Russische moederbedrijf Alfa-Bank stopte Microsoft in april 2022 zijn diensten en weigerde het toegang tot de data, waarna de bank stillag en failliet ging. Volgens El Masry sneuvelde daar de Westfaalse soevereiniteit, want een beslissing van buiten Nederland legde een Nederlandse bank plat.
Sindsdien zijn er nog enkele andere voorbeelden die relevant zijn. De excommunicatie van leden van het Internationaal Strafhof van Amerikaanse digitale en financiële dienstverlening, ligt nog vers in het geheugen. Amerikaanse dreigingen van nieuwe sancties die impact zouden hebben op de Nederlandse digitale capaciteiten, drijven intussen zelfs een migratie naar opensource binnen de Nederlandse overheid.
“Ik zie digitale soevereiniteit daarom als een strategisch risico, en zulke risico’s moeten aan bod komen bij het bestuur van een onderneming”, verduidelijkt hij. “Het gaat hier niet om gevoelens, nationalisme of emoties.”
Digitale soevereiniteit in drie lagen
Om dat risico te beheren, moet je weten wat het omvat. Een gestandaardiseerde definitie bestaat nog niet, dus baseert El Masry zich op de wetenschappelijke paper ‘Digital sovereignty: Rhetoric and reality’ uit 2024.
Daarin draait digitale soevereiniteit om controle op drie lagen: de fysieke laag (middelen, infrastructuur en toestellen), de codelaag (standaarden, regels en ontwerp) en de informatielaag (inhoud en data). El Masry vertaalt die lagen naar zes domeinen: technologie, operaties, cybersecurity, wet- en regelgeving, data en AI.
Wat als de infrastructuur onder sancties valt? Wat als je je data terugkrijgt in een formaat dat je niet kan gebruiken?
Ramzy El Masry, ISACA Nederland
Datasoevereiniteit, waar veel leveranciers zich op toespitsen, is daar maar een deel van. Amsterdam Trade Bank verloor zijn data, en daarvoor al de toegang tot de infrastructuur. “Wat als de infrastructuur onder sancties valt? Wat als je je data terugkrijgt in een formaat dat je niet kan gebruiken?”, vraagt El Masry aan de zaal.
De soevereine aanbiedingen van de hyperscalers beantwoorden volgens hem vooral die datavraag. “Je blijft afhankelijk van een buitenlandse leverancier die op een of andere manier alles kan afsluiten.” Dat zegt niet alleen El Masry, maar bevestigde Microsoft intussen ook al zelf.
Van SEAL-0 tot SEAL-4
De Europese Commissie komt tot gelijkaardige domeinen, en werkt met gradaties. Dat blijkt uit het Cloud Sovereignty Framework van oktober 2025. De leidraad voor publieke aanbestedingen van clouddiensten beoordeelt acht doelstellingen in een gewogen scorekaart, van strategie en jurisdictie over de toeleveringsketen tot ecologische duurzaamheid.
De EU komt aan de hand van het kader tot vijf niveaus. Op SEAL-0 vallen dienst en technologie volledig onder de controle van partijen buiten de EU. Op SEAL-1 is Europese wetgeving formeel van toepassing, met beperkte afdwingbaarheid.
El Masry denkt aan de GDPR. “Die geldt voor iedere EU-burger, maar als de data buiten de EU staan, hoeveel kan je dan echt afdwingen?” Datasoevereiniteit komt pas aan bod vanaf SEAL-2. Daarboven volgen digitale weerbaarheid en op SEAL-4 volledige soevereiniteit, zonder kritieke afhankelijkheden buiten de EU. Het woordje ‘kritiek’ in dat hoogste niveau is trouwens belangrijk: het impliceert dat enige afhankelijkheid nog steeds geoorloofd is.
Soevereiniteit begint bij mensen
Chris Dimitriadis, Chief Global Strategy Officer bij ISACA, kiest in gesprek met ITdaily een ander vertrekpunt. “Voor ons betekent soevereiniteit dat Europa zijn eigen hooggeschoolde en goed opgeleide professionals nodig heeft”, zegt hij. “Het gaat om het dichten van de vaardigheidskloof en om nieuw talent in Europa.” Met die mensen kan Europa volgens hem de andere vragen rond soevereiniteit pas echt beantwoorden.
Voor ons betekent soevereiniteit dat Europa zijn eigen hooggeschoolde en goed opgeleide professionals nodig heeft.
Chris Dimitriadis, Chief Global Strategy Officer ISACA
Die opleiding moet volgens Dimitriadis internationaal blijven, zoals ISACA die vanuit de VS wereldwijd aanbiedt. “Als je Europeanen enkel op de Europese manier opleidt, zonder kennis uit andere jurisdicties, lijkt me dat niet de juiste weg.”
Globalisering heeft volgens hem ook haar sterktes. “Informatietechnologie kent eigenlijk geen grenzen. Je kan niet innoveren als je alleen met Belgische bedrijven wil werken”, stelt hij. “Digitale ecosystemen zijn divers, en die diversiteit heb je nodig om de juiste spelers te kiezen.”
Een beslissing voor het bestuur
Kan en wil een organisatie alles in Europa onderbrengen, dan is dat volgens El Masry prima. “Als het kan, happy days. Als het niet kan, moet je het risico behandelen.”
In de praktijk is het zelden zo eenvoudig. Bij een vroegere werkgever legde El Masry de CEO voor dat de risico’s nauwelijks weg te werken waren. “Ramzy, we zijn door en door een Microsoft-bedrijf”, antwoordde de grote baas. “Daar verandert niets aan. Als we daardoor klanten verliezen, dan neem ik dat erbij.”
De keuze ligt dus bij het bestuur. De CISO of IT-riskmanager levert de risicoanalyse aan, van de techniek en over de toeleveringsketen tot klanten en investeerders. Het bestuur heeft vooral een prijskaartje nodig. El Masry neemt het voorbeeld van een SaaS-bedrijf dat van Azure naar de Europese aanbieder Stackit wil. “Is dat een miljoen euro en wil het bestuur dat betalen, prima. Gaat het om 200 miljoen, dan misschien niet.”
Weet waar je staat
Voor die afweging stelt El Masry een maturiteitsmodel voor met vijf niveaus per domein, gekoppeld aan de SEAL-levels van de EU. Voor respectievelijk de technologiestack, data, AI & algoritmes, cyberbeveiliging, regelgeving en het operationele aspect is het belangrijk om te beoordelen hoe afhankelijk de organisatie precies is. Zijn buiten-Europese providers verantwoordelijk voor alles? Zit de realiteit ergens tussenin? Of berusten alle capaciteiten op zelf ontwikkelde lokale technologie?
Zo kan je bepalen waar een onderneming vandaag staat. Dat is belangrijk, zoals El Masry in het begin aanhaalde, aangezien soevereiniteit echte risico’s met zich meebrengt los van ideologie. Het is dus verantwoord en noodzakelijk om die risico’s in kaart te brengen. Daarna is het aan het bestuur om te kiezen hoe zwaar de risico’s van beperkte soevereiniteit wegen, en hoe ver het wil gaan om ze te mitigeren.