Den Haag – Afgelopen woensdag (14 januari 2026) sprak ik met politiek Den Haag over digitale soevereiniteit. De boodschap was ongefilterd: soevereiniteit wordt bepaald door afdwingbare controle over data en cryptografische sleutels, niet door certificeringen, beleidsdocumenten of de claim dat “de infrastructuur in Europa draait”.
De timing is niet toevallig. Binnen 24 uur na het bezoek verscheen een nieuw voorbeeld van precies het probleem dat in Den Haag werd besproken: AWS presenteert een “European Sovereign Cloud”, maar het publieke debat blijft hangen in de misvatting dat datalocatie gelijkstaat aan soevereiniteit. (theregister.com)
In het overleg werd benadrukt dat drie argumenten in de praktijk telkens terugkomen — en telkens tekortschieten:
Die drie kunnen allemaal tegelijk waar zijn, en tóch blijft één vraag doorslaggevend:
Wie kan in laatste instantie afdwingen wat er met data, metadata en sleutels gebeurt — ook in crisistijd?
Als het antwoord is: een externe staat of rechter kan via wet- en regelgeving een cruciale schakel dwingen, dan is er geen sprake van digitale soevereiniteit, maar van afhankelijkheid.
AWS zijn eigen communicatie rond de Europese “sovereign cloud” legt de nadruk op een EU-locatie, EU-operations en governance-structuren. (Amazon Web Services, Inc.)
Maar de kritiek die in The Register wordt uitgewerkt sluit aan bij de kern van mijn betoog: jurisdictie en machtsverhoudingen verdwijnen niet door een EU-datacenter. The Register beschrijft expliciet dat AWS de Europese regio “fysiek en logisch” wil scheiden en dat uitsluitend geautoriseerd personeel toegang krijgt tot een replicatie van onderhoudscode — juist omdat er Europese zorgen bestaan over externe invloed. (theregister.com)
Dat onderstreept de kern van het gesprek in Den Haag: wanneer leveranciers sovereignty “verkopen” als locatie + controls, ontstaat het risico dat bestuurders denken dat het probleem opgelost is, terwijl het machtsvraagstuk blijft bestaan.
Dat dit niet louter een cloud-discussie is, blijkt uit de Nederlandse casus rond Solvinity en Kyndryl. De Volkskrant meldde dat experts inzicht eisen in de verkoop van het DigiD-platform aan een Amerikaans techbedrijf. (volkskrant.nl). De Volkskrant berichtte recent dat een brede groep experts inzicht eist in de verkoop van het DigiD-platform aan een Amerikaans technologiebedrijf. Zij waarschuwen dat hiermee een vitale digitale overheidsfunctie onder buitenlandse rechtsmacht kan vallen, met directe gevolgen voor digitale soevereiniteit en nationale veiligheid (Volkskrant, 2026).
Die oproep staat niet op zichzelf. Ook Tweakers en Follow the Money bevestigen dat juristen, academici en security-experts transparantie eisen over de overname, juist omdat Amerikaanse extraterritoriale wetgeving – zoals de CLOUD Act en FISA 702 – niet stopt bij Europese datacenters. De kern van de zorg is steeds dezelfde: wie uiteindelijk zeggenschap heeft over data, sleutels en operationele beslissingen, niet waar de servers fysiek staan.
In het ministeriële gesprek werd dit gebruikt als concrete illustratie: zelfs wanneer eigenaarschap formeel bij de Nederlandse overheid ligt, kan operationele afhankelijkheid (beheer, updates, sleutelhiërarchie, noodprocedures) een externe machtshefboom creëren.
De term is hard, maar de redenering is simpel: certificering en compliance zijn instrumenten voor veiligheid en procesbeheersing, niet voor soevereiniteit.
Maar geen van die drie kan verhinderen dat een externe actor een kritieke leverancier juridisch of economisch kan dwingen om iets te doen wat in strijd is met Nederlandse belangen.
Daarom werd in Den Haag gepleit voor één harde definitieslag:
Digitale soevereiniteit is exclusieve en afdwingbare zeggenschap over vitale data, systemen en sleutels, zonder dat externe actoren via wet- of regelgeving kunnen afdwingen wat er gebeurt.
Uit het overleg volgde een praktische verschuiving: minder discussie over “cloud-etiketten”, meer over dwangscenario’s en bestuurlijke exit-capaciteit. Concreet:
Het bezoek aan Den Haag maakte vooral zichtbaar dat het debat nog te vaak gevoerd wordt met proxy-argumenten (“EU-hosting”, “certificering”, “policies”, “AVG”). De actualiteit rond AWS’ “European Sovereign Cloud” en de Nederlandse onrust over Solvinity/Kyndryl laat juist zien dat de kernvraag onvermijdelijk is:
Wie heeft de macht over de data — en wie kan die macht afdwingen?
Zolang die vraag niet expliciet wordt beantwoord, blijft “digitale soevereiniteit” vooral een woord. Met alle risico’s van dien.
Universiteit Leiden (2026) ‘Experts eisen openheid over DigiD verkoop aan Amerikaans techbedrijf’, 15 januari 2026. (Universiteit Leiden)
Hier kan je reageren op onze artikelen en een inhoudelijke bijdrage leveren. Lees ook even onze huisregels.
Om te reageren dien je eerst aan te melden.
Reageer je voor de eerste keer? Registreer je dan hier.
