Op 1 oktober presenteerde het programma NDS Cloud het ontwerp en een eerste werkende versie van de soevereine overheidscloud aan experts uit markt en overheid. Het doel is ambitieus: een overheidsbrede clouddienst op SEAL-niveau 4, de hoogste trede van het EU Cloud Sovereignty Framework. Daarmee wordt een tot voor kort abstract begrip ineens heel concreet. Want als de overheid haar cloud langs deze meetlat legt, kunnen bedrijven en organisaties dat ook.
In dit artikel leggen we uit wat het SEAL-niveau precies meet, waarom het ook buiten de overheid relevant wordt en hoe u het gebruikt bij uw eigen cloudkeuze.
Wat de overheid op 1 oktober liet zien
Binnen een jaar heeft het NDS Cloud-team een openbaar ontwerp en een werkende eerste versie neergezet. Het ontwerp is gebaseerd op open architectuur, open standaarden en open source, met huisvesting in een overheidsdatacenter. Het kabinet koos eerder al voor een zogeheten greenfield-aanpak: nieuwe infrastructuur die los van, maar parallel aan bestaande systemen wordt opgebouwd.
Na de presentatie meldden verschillende overheidspartijen zich aan om de cloud te testen in een Fieldlab. Volgens het programmateam werden de uitgangspunten van het ontwerp positief ontvangen; de feedback richtte zich vooral op technische verbeterpunten.
Wat meet het SEAL-niveau van het EU Cloud Sovereignty Framework?
SEAL staat voor Sovereignty Effectiveness Assurance Level. De Europese Commissie introduceerde de schaal in het EU Cloud Sovereignty Framework om digitale soevereiniteit in de cloud meetbaar en vergelijkbaar te maken. Clouddiensten worden beoordeeld op acht doelstellingen, waaronder juridische soevereiniteit, data-soevereiniteit, operationele soevereiniteit, de toeleveringsketen en technologie. Op basis daarvan krijgt een dienst een niveau van 0 tot en met 4:
- SEAL-0 – dienst, technologie en beheer vallen volledig onder niet-Europese partijen.
- SEAL-1 – jurisdictionele soevereiniteit: Europees recht is formeel van toepassing, maar handhaving is in de praktijk beperkt.
- SEAL-2 – data-soevereiniteit: Europees recht is afdwingbaar, maar er blijven materiële afhankelijkheden buiten de EU.
- SEAL-3 – digitale weerbaarheid: betekenisvolle, maar nog geen volledige Europese controle.
- SEAL-4 – volledige digitale soevereiniteit: technologie en beheer volledig onder Europese controle, zonder kritieke afhankelijkheden buiten de EU.
Het verschil tussen SEAL-1 en SEAL-4 is groter dan het lijkt. Data in een Europees datacenter zegt weinig als het moederbedrijf van de leverancier onder buitenlandse wetgeving valt. Over dat laatste schreven we eerder in ons artikel over de US CLOUD Act.
Waarom het SEAL-niveau ook voor uw organisatie telt
Publieke organisaties moeten bij inkoop minimaal SEAL-2 eisen. Per doelstelling kan de aanbestedende partij vooraf een vereist niveau vastleggen; haalt een leverancier dat niet, dan valt die af, hoe goed de rest van de offerte ook is. Dat heeft gevolgen voor de hele keten. Bent u leverancier of verwerker voor een gemeente, zorginstelling of onderwijsinstelling, dan is de kans groot dat er vroeg of laat naar het SEAL-niveau van uw eigen clouddiensten wordt gevraagd.
Ook los van aanbestedingen is het SEAL-niveau een bruikbaar hulpmiddel. Het vertaalt een vaag begrip als ‘soevereine cloud’ naar concrete vragen die u aan elke cloudleverancier kunt stellen.
Cloudleverancier kiezen met het SEAL-niveau als meetlat
U hoeft niet voor alles SEAL-4 te eisen. Begin met een realistische inventarisatie:
- Breng uw gevoelige data in kaart. Cliëntdossiers, financiële administratie en persoonsgegevens vragen om een hoger niveau dan bijvoorbeeld een openbare website.
- Vraag leveranciers naar hun zelfbeoordeling. Wie is de uiteindelijke eigenaar, onder welke jurisdictie valt die, wie beheert de sleutels en welke onderdelen komen van buiten de EU?
- Kijk naar open source en open standaarden. Net als bij de overheidscloud verkleinen open technologie en open standaarden uw afhankelijkheid van één leverancier en maken ze een exit realistisch.
- Denk aan continuïteit. Soevereiniteit gaat ook over beschikbaarheid: wat gebeurt er als een dienst wordt beperkt of stopt?
Voor organisaties die zelf de regie willen houden, is gedecentraliseerde infrastructuur een serieuze optie. Met Certified Nodes draait u bijvoorbeeld Nextcloud op hardware die u zelf bezit, op basis van open source. Door meerdere nodes als cluster in te zetten, realiseert u High Availability (HA): valt één node uit, dan blijven uw diensten beschikbaar. Lees meer over wat nodes zijn of bekijk onze overzichtspagina met privacy-alternatieven.
Conclusie
Met de presentatie van de soevereine overheidscloud laat de overheid zien dat een SEAL-4-cloud op basis van open source haalbaar is. Voor bedrijven is de belangrijkste les niet dat zij hetzelfde moeten bouwen, maar dat er nu een gedeelde meetlat is. Wie het SEAL-niveau meeneemt in de IT-inkoop, maakt bewuste keuzes over waar data staat, wie er zeggenschap over heeft en hoe afhankelijk de organisatie wordt.
Bron: Digitale Overheid – Markt en overheid in gesprek over Ontwerp soevereine cloud
Dit artikel is met behulp van AI opgezet en gegenereerd, en als voorstel voorgelegd aan een menselijke redacteur die het heeft beoordeeld voordat het werd geplaatst.