Op 1 september 2026 stapte SIDN, de beheerder van het .nl-domein, over op een nieuw registratieplatform dat draait op de infrastructuur van Amazon Web Services (AWS). De gegevens van .nl-domeinhouders blijven in datacenters in Frankfurt en Dublin en dus formeel binnen de EU. Toch kreeg SIDN direct kritiek, met steeds hetzelfde argument: de US CLOUD Act. Die Amerikaanse wet maakt duidelijk dat data in de EU en echte controle over uw data niet hetzelfde zijn.
Voor organisaties in de zorg, advocatuur en accountancy, bij gemeenten en NGO’s is dat geen theoretische kwestie. Zij verwerken dossiers, zaakgegevens en bijzondere persoonsgegevens die niet zomaar bij een buitenlandse overheid terecht mogen komen.
Wat de US CLOUD Act precies regelt
De CLOUD Act (2018) verplicht Amerikaanse aanbieders zoals Microsoft, Google en Amazon om data op een geldig verzoek van justitie te overhandigen, ongeacht waar ter wereld die data staat. Bepalend is niet de locatie van de server, maar de zeggenschap over het bedrijf. Data die in Frankfurt staat maar wordt beheerd door een Amerikaans bedrijf, kan er dus onder vallen, ook wanneer een Europese dochteronderneming het contract tekent.
Dat botst met de AVG. Het Nederlandse NCSC concludeerde al in 2022 dat Europese bedrijven en dataopslag in Europa niet immuun zijn voor niet-Europese wetgeving. En het is geen hypothetisch risico: in september 2025 oordeelde een Canadese rechter dat het Franse OVHcloud klantdata uit Europese datacenters moest afgeven aan de Canadese autoriteiten. Extraterritoriale jurisdictie op basis van zeggenschap, precies het mechanisme waar het bij de CLOUD Act om draait.
Waarom de .nl-verhuizing een leerzaam voorbeeld is
SIDN koos naar eigen zeggen voor AWS omdat permanente beschikbaarheid van .nl en bescherming van de eigen data doorslaggevend waren. Dat is een reele afweging: continuiteit tegenover soevereiniteit. De kritiek is niet nieuw. Sinds SIDN het besluit in 2024 aankondigde, uitten de Vereniging van Registrars en meerdere experts hun zorgen over datasoevereiniteit en over het feit dat het .nl-domein volgens afspraak in Nederland zou blijven. De les voor andere organisaties: zelfs een partij met veel kennis, mensen en budget worstelt met deze keuze. Bij uw eigen e-mail, samenwerkingsomgeving en back-ups speelt exact dezelfde vraag.
Wat u zelf kunt controleren
- Breng afhankelijkheden in kaart. Welke leveranciers zijn Amerikaans of vallen onder Amerikaanse zeggenschap? Kijk daarbij ook naar EU-dochters van Amerikaanse concerns.
- Vraag naar sleutelbeheer. Encryptie helpt alleen als de sleutels buiten de aanbieder liggen (customer-managed keys). Heeft de leverancier zowel de data als de sleutel, dan kan hij beide moeten afgeven.
- Weeg per gegevensstroom. Niet alles is even gevoelig. Bepaal welke data echt onder Europese jurisdictie moet blijven en richt daar uw maatregelen op.
- Kijk naar Europese en zelf-gehoste alternatieven. Voor opslag en samenwerking bieden oplossingen op basis van Nextcloud en ThreeFold een Europees alternatief. Zie ook ons overzicht van privacy-alternatieven.
Continuiteit en soevereiniteit tegelijk
Het argument van SIDN, permanente beschikbaarheid, is precies waarom veel organisaties bij een grote Amerikaanse cloud blijven. Toch hoeft u die twee niet tegen elkaar uit te ruilen. Met Certified Nodes kunnen bedrijven meerdere nodes als cluster inzetten voor High Availability: valt er een uit, dan nemen de andere het over, terwijl data en beheer binnen Europa en onder uw eigen regie blijven.
Data in de EU is een begin, geen eindpunt
Datalocatie binnen de EU is nuttig, maar niet voldoende. Wat telt, is wie er juridisch toegang kan afdwingen. Combineer heldere contractuele afspraken, encryptie met eigen sleutelbeheer en waar mogelijk zelf-gehoste of Europese infrastructuur. Het nieuwe kabinet zet met de Nederlandse Digitale Dienst in op standaardisatie richting open source en soevereiniteit bij overheidsinkoop. Voor bedrijven en instellingen is dat een goed moment om dezelfde vraag te stellen: houden wij zelf de regie over onze data?
Bron: Security.NL, SIDN migreert .nl-domein naar nieuw te bouwen registratieplatform (security.nl).
Dit artikel is met behulp van AI opgezet en gegenereerd, en als voorstel voorgelegd aan een menselijke redacteur die het heeft beoordeeld voordat het werd geplaatst.