In april 2026 presenteerden zeven grote Nederlandse IT-bedrijven de Open Cloud Alliantie — een soeverein cloudalternatief zonder Amerikaanse jurisdictie. Tegelijkertijd stelt de Cyberbeveiligingswet (de Nederlandse implementatie van NIS2) steeds striktere eisen aan je supply chain. Digitale soevereiniteit is geen abstract ideaal meer; het wordt een concrete hostingbeslissing.
Wat digitale soevereiniteit precies inhoudt
Digitale soevereiniteit betekent dat je als organisatie volledige juridische en operationele controle hebt over je data en infrastructuur. Geen buitenlandse wetgeving die toegang kan afdwingen, geen eigenaar in een ander rechtsgebied die verplicht kan worden je gegevens te overhandigen.
De definitie die de Nederlandse overheid bij de EU heeft ingebracht is helder: een soevereine cloud moet garanderen dat data, activiteiten, infrastructuur en technologie niet kunnen worden beïnvloed door andere rechtsgebieden en beschermd zijn tegen directe invloed of toegang door overheden uit derde landen.
In de praktijk draait het om drie pijlers:
- Juridische soevereiniteit. De cloudprovider valt uitsluitend onder EU- en nationaal recht. Geen blootstelling aan buitenlandse wetgeving zoals de Amerikaanse CLOUD Act.
- Operationele soevereiniteit. Beheer, onderhoud en monitoring worden uitgevoerd door personeel dat onder Europese jurisdictie valt.
- Technische soevereiniteit. De onderliggende technologie is gebaseerd op open standaarden en open source, zodat je niet vastgeklonken zit aan één leverancier.
Waarom dit nu speelt
De urgentie is niet nieuw, maar een reeks ontwikkelingen maakt het in 2026 concreter dan ooit.
De CLOUD Act als structureel risico
De Clarifying Lawful Overseas Use of Data Act (CLOUD Act) uit 2018 geeft Amerikaanse autoriteiten de bevoegdheid om data op te vragen bij Amerikaanse bedrijven — ongeacht waar die data fysiek staat. Als je software draait op AWS, Azure of Google Cloud, is die data juridisch bereikbaar voor de VS. Zelfs als je server in Frankfurt staat.
Dat levert een juridische spagaat op: de AVG verbiedt doorgifte van persoonsgegevens aan derde landen zonder adequate waarborgen, terwijl de CLOUD Act precies die doorgifte kan afdwingen. Amerikaanse cloudproviders zitten daarmee klem tussen twee rechtsgebieden.
NIS2 en de Cyberbeveiligingswet
De NIS2-richtlijn verplicht essentiële en belangrijke entiteiten om hun hele supply chain te beoordelen op cyberveiligheidsrisico's. De Nederlandse Cyberbeveiligingswet — de nationale implementatie van NIS2 — treedt naar verwachting in het tweede kwartaal van 2026 in werking. Daarmee wordt je cloudkeuze expliciet onderdeel van je compliance-verplichtingen.
Concreet: als je klanten in de zorg, overheid, energie of financiële sector hebt, zullen zij steeds vaker vragen stellen over je hostingprovider, de jurisdictie waaronder die valt, en hoe je data beschermd is tegen buitenlandse toegang. Een antwoord als "het staat in Frankfurt" is dan niet meer voldoende als de provider een Amerikaans bedrijf is.
De Open Cloud Alliantie
Op 1 april 2026 presenteerden zeven Nederlandse IT-bedrijven een manifest onder de naam Open Cloud Alliantie: Centric, Info Support, Intermax, KPN, Nebul, Previder en Uniserver. De boodschap: de technologie, capaciteit en expertise zijn er. Digitale soevereiniteit is geen toekomstvisie, maar een keuze die nu gemaakt kan worden.
De cijfers zijn serieus: samen hebben de zeven bedrijven twintig grote datacenters, 13.500 medewerkers en een gezamenlijke omzet van circa €6,5 miljard per jaar. Het initiatief wordt ondersteund door Stichting DINL (Digitale Infrastructuur Nederland) en TNO.
Digitale autonomie is geen toekomstvisie, maar een realistische en realiseerbare keuze in het heden. — Manifest Open Cloud Alliantie, april 2026
Europese alternatieven: wat is er beschikbaar?
De Open Cloud Alliantie is niet de enige optie. Er is een groeiend ecosysteem van Europese cloudproviders die zich positioneren als soeverein alternatief:
- Hetzner (Duitsland) — Bekend om de scherpe prijs-prestatieverhouding. Een onafhankelijke benchmark uit februari 2026 laat zien dat Hetzner tot veertien keer meer rekenkracht per euro levert dan AWS. Kanttekening: beperkt aanbod aan managed services en geen native serverless.
- OVHcloud (Frankrijk) — Het breedste Europese alternatief met bare-metal, VPS, public cloud en een uitgebreid certificeringsportfolio inclusief SecNumCloud (de hoogste Franse beveiligingsstandaard).
- Scaleway (Frankrijk) — Sterke compute-prestaties, gratis egress, en actieve deelnemer aan het Gaia-X framework voor Europese cloudstandaarden.
- Nederlandse aanbieders — Partijen als KPN, Intermax, Previder en Uniserver bieden cloudinfrastructuur onder Nederlands recht, met datacenters op Nederlandse bodem.
Soeverein vs. hyperscaler: een eerlijke afweging
Het zou oneerlijk zijn om te doen alsof een Europese cloudprovider een 1-op-1 vervanging is voor AWS of Azure. Hyperscalers bieden een ecosysteem dat lastig te evenaren is: honderden managed services, wereldwijde edge-netwerken, en een volwassenheid in serverless computing waar Europese alternatieven (nog) niet aan tippen.
Tegelijkertijd hebben de meeste bedrijfsapplicaties slechts een fractie van die services nodig. Compute, storage, database, een load balancer en een CDN — dat bieden Europese providers net zo goed, en vaak goedkoper.
De kern van de afweging zit niet in techniek maar in risicoclassificatie:
- Publieke data en marketing-sites — Geen gevoelige data, geen compliance-eisen. Een hyperscaler is prima.
- Bedrijfsapplicaties met persoonsgegevens — AVG-compliance is verplicht. AWS of Azure met EU-regio volstaat voor de meeste scenario's, mits je een verwerkersovereenkomst hebt en het CLOUD Act-risico bewust accepteert.
- Overheidsopdrachten, zorg, finance — Soevereiniteit is steeds vaker een harde eis in aanbestedingen en leveranciersselecties. Een Europese of Nederlandse provider kan hier een vereiste zijn.
- NIS2-plichtige organisaties — De supply-chain-eisen van NIS2 dwingen je om je cloudprovider als onderdeel van je risicoanalyse te behandelen. De jurisdictie van je provider is een factor die je moet onderbouwen.
Wat wij doen
Bij Coding Agency draaien de meeste klantapplicaties op AWS binnen de EU — specifiek in Frankfurt (eu-central-1) en Ireland (eu-west-1). Die keuze is bewust: de combinatie van Laravel Vapor, serverless architectuur en de volwassenheid van AWS-services maakt het voor de meeste projecten de beste keuze.
Maar we zien ook dat het landschap verschuift. Voor projecten in de publieke sector, zorg en financiële dienstverlening adviseren we klanten steeds vaker om soevereiniteit expliciet mee te wegen in hun hostingkeuze. Niet omdat AWS onveilig is, maar omdat de juridische context verandert en opdrachtgevers strengere eisen stellen.
Onze aanpak is pragmatisch:
- Risicoanalyse per applicatie. Welke data verwerk je? Welke wetgeving is van toepassing? Welke eisen stellen jouw klanten of opdrachtgevers?
- Provider-onafhankelijke architectuur. We bouwen applicaties die niet afhankelijk zijn van provider-specifieke services. Laravel draait op elke Linux-server, of dat nu AWS, Hetzner of een Nederlands datacenter is.
- Bewuste keuze documenteren. Of je nu kiest voor AWS of een soeverein alternatief: leg vast waarom, zodat je het kunt onderbouwen richting auditors, opdrachtgevers en toezichthouders.
Conclusie: soevereiniteit is een spectrum
Digitale soevereiniteit is geen alles-of-niets keuze. Het is een spectrum dat loopt van "we draaien alles op AWS en accepteren het CLOUD Act-risico" tot "alles staat bij een Nederlandse provider onder Nederlands recht". De juiste positie op dat spectrum hangt af van je sector, je klanten, je data en je compliance-verplichtingen.
Wat wél verandert: de keuze moet bewust zijn. Met de Cyberbeveiligingswet, de Cyber Resilience Act en toenemende aanbestedingseisen rond soevereiniteit kun je niet meer wegkomen met "het staat ergens in de cloud". Je moet weten waar, onder welk recht, en waarom.
De Open Cloud Alliantie laat zien dat er serieuze Nederlandse alternatieven zijn. Of je daar gebruik van maakt, is een beslissing die past bij jouw specifieke situatie. Maar negeren is geen optie meer.
