AWS lanceerde zijn European Sovereign Cloud (ESC) in januari 2026, en het is een belangrijke stap. In tegenstelling tot standaard AWS-regio's die opereren onder een wereldwijde controlelaag, omarmt ESC een "onafhankelijk partitie"-model. Wat dit in de praktijk betekent, is dat ESC zijn eigen afzonderlijke IAM- en factureringsstack heeft, en cruciaal, het wordt volledig beheerd door EU-ingezetenen. Dit niveau van operationele scheiding is ontworpen om de zorgen over niet-EU-jurisdictie over de controlelaag aan te pakken, waardoor klanten een duidelijker beeld krijgen van wie toegang heeft tot hun middelen en deze kan beheren.

Microsoft's benadering omvat concepten zoals "Data Guardian"-rollen en Azure Local-regio's. De "Data Guardian" is een fascinerende rol: dit zijn in Europa gevestigde medewerkers die fysiek elke externe toegang moeten goedkeuren die wordt aangevraagd door in de VS gevestigde ingenieurs voor ondersteuning. Stel je het proces voor: een in de VS gevestigde ingenieur moet een probleem oplossen, maar in plaats van directe toegang fungeert een Europese Data Guardian als poortwachter, die zorgt voor naleving van lokale regelgeving. Dit introduceert een menselijk gecontroleerde stroomonderbreker voor grensoverschrijdende toegang, wat ik zie als een sterke stap naar het verminderen van extraterritoriale wettelijke reikwijdte.

Voor degenen die het hoogste niveau van isolatie zoeken, vertegenwoordigt Google Distributed Cloud (GDC) in de "Disconnected"- of "Air-Gapped"-modus wat ik beschouw als de gouden standaard voor "Tactische Soevereiniteit." Met GDC kunt u een complete Google Cloud-omgeving volledig on-premises implementeren, geïsoleerd van Google's publieke cloud. In de air-gapped configuratie werkt deze cloud zonder enige verbinding met het openbare internet of Google's Amerikaanse controlelaag. Dit betekent dat updates, patches en beheer lokaal moeten worden afgehandeld, vaak via fysieke media. Het is een aanzienlijke operationele overhead, maar voor omgevingen met extreme soevereiniteitsvereisten, zoals bepaalde overheids- of kritieke infrastructuurtoepassingen, verbreekt het effectief de digitale navelstreng met niet-EU-rechtsgebieden.

Hoewel deze hyperscaleroplossingen aantrekkelijke opties bieden, koppelt hun onderliggende architectuur hen nog steeds inherent aan een wereldwijde entiteit. Dit brengt me ertoe alternatieven te overwegen die van meet af aan jurisdictioneel native zijn.

OVHcloud, een industriële leider met hoofdkantoor in Frankrijk, is hiervan een voorbeeld. Hun selectie voor het Digital Euro-project in 2026 spreekt boekdelen over het vertrouwen dat ze hebben opgebouwd. Wat ik bijzonder overtuigend vind aan OVHcloud, is hun geïntegreerde model: ze bouwen hun eigen servers, beheren hun eigen datacenters en ontwikkelen hun eigen softwarestack. Dit biedt een "hardware-naar-hypervisor" soevereiniteit die Amerikaanse bedrijven, vanwege hun wereldwijde operationele voetafdruk, naar mijn mening niet echt kunnen evenaren. Het gaat om het bezitten van de gehele toeleveringsketen, van de siliciumchip tot de API.

In Duitsland heeft T-Systems, een dochteronderneming van Deutsche Telekom, samengewerkt met Broadcom (VMware) om een "Managed Sovereign Stack" aan te bieden. Dit initiatief is met name gericht op de Duitse Mittelstand (kleine en middelgrote ondernemingen) en de publieke sector, en biedt een VMware-gebaseerde private cloudervaring die volledig wordt beheerd en geëxploiteerd onder Duits recht. Het is een interessante hybride, die volwassen virtualisatietechnologie benut, maar deze omhult in een soeverein operationeel en wettelijk kader.

Frankrijk heeft de opkomst gezien van "Trusted Cloud"-entiteiten zoals Bleu (een joint venture tussen Orange en Capgemini) en S3NS (Thales). Deze providers werken volgens een model waarbij ze software van Amerikaanse hyperscalers (zoals Microsoft Azure of Google Cloud) draaien, maar dan op hardware die lokaal eigendom is, wordt beheerd en fysiek is beveiligd binnen Frankrijk, onder Frans en Europees recht. Het idee is om de "Cloud Act"-reikwijdte van de Amerikaanse moederbedrijven te strippen door ervoor te zorgen dat de fysieke infrastructuur en operationele controle volledig binnen de EU vallen. Het is een pragmatische manier om hyperscaler-mogelijkheden te benutten en tegelijkertijd soevereiniteitskwesties aan te pakken.

Tot slot zijn spelers als IONOS en Orange Business belangrijke bijdragers aan initiatieven zoals GAIA-X. GAIA-X streeft ernaar een gefedereerde Europese gegevensinfrastructuur op te bouwen, waardoor een ecosysteem van veilige, betrouwbare en soevereine cloud- en gegevensdiensten ontstaat. Hun focus ligt minder op de soevereiniteit van één provider en meer op het creëren van een onderling verbonden netwerk waarin gegevenssoevereiniteit wordt gehandhaafd door gemeenschappelijke standaarden, interoperabiliteit en transparante governance bij meerdere Europese entiteiten. Dit gaat over het bouwen van de volgende generatie van echt Europese digitale infrastructuur.

Het begrijpen van het landschap van providers is één ding, maar hoe bouwen wij, als architecten, eigenlijk voor dit niveau van soevereiniteit? Laten we ingaan op enkele concrete technische patronen die ik effectief heb bevonden.

Een van de meest krachtige patronen die ik heb geïmplementeerd voor gegevenssoevereiniteit is de "Encryptiekluis" met behulp van Extern Sleutelbeheer (EKM). Dit verplaatst de uiteindelijke controle over de encryptiesleutels van uw gegevens buiten het directe bereik van de cloudprovider. In plaats van het native Key Management System (KMS) van de cloudprovider te gebruiken, configureer ik services om een EKM-oplossing te gebruiken waarbij sleutels worden bewaard door een externe Europese Hardware Security Module (HSM)-provider, zoals Thales of Entrust.

Dit patroon betekent dat zelfs als de controlelaag van een cloudprovider zou worden gecompromitteerd, of als een niet-EU-rechtsgebied een gegevensverzoek zou indienen, de cloudprovider alleen toegang zou hebben tot versleutelde gegevens. Zonder de externe sleutels, die fysiek en logisch worden gecontroleerd door een afzonderlijke, jurisdictioneel onderscheiden entiteit, blijven de gegevens onleesbaar. Het maakt de toegang van de cloudprovider effectief nutteloos voor data-exfiltratie.

Zoals ik al eerder zei, is het simpelweg selecteren van een Europese regio voor uw gegevens niet voldoende. Controlelaag Isolatie betekent actief overstappen van standaard "regionale" implementaties naar de meer geavanceerde "soevereine partitie"-implementaties die door hyperscalers worden aangeboden, of, nog beter, naar de volledig afzonderlijke operationele modellen van regionale native providers. Dit omvat het waarborgen dat de API's, beheerconsoles en onderliggende orkestratielagen allemaal binnen de aangewezen soevereine omgeving zijn geconfigureerd. Wanneer ik systemen ontwerp, controleer ik minutieus netwerkstromen, API-eindpunten en administratieve toegangspaden om ervoor te zorgen dat kritiek beheerverkeer niet per ongeluk de soevereine grens verlaat.

Voor de ultieme gegevensbescherming, zelfs tijdens de verwerking, kijk ik naar Zero-Trust Soevereiniteit mogelijk gemaakt door Vertrouwelijke Computing. Technologieën zoals Intel SGX (Software Guard Extensions) en AMD SEV (Secure Encrypted Virtualization) stellen gegevens in staat om niet alleen in rust en onderweg te worden versleuteld, maar ook in het geheugen terwijl ze worden verwerkt. Dit creëert een "vertrouwde uitvoeringsomgeving" (TEE) die gegevens en code beschermt, zelfs tegen de hypervisor of het besturingssysteem van de cloudprovider zelf. Als ik werk met zeer gevoelige gegevens, zorgt dit patroon ervoor dat noch de cloudoperator, noch iemand met toegang op hostniveau de workload of de gegevens die deze verwerkt kan "zien". Het is een gamechanger voor kritieke toepassingen waar zelfs tijdelijke blootstelling van onversleutelde gegevens onaanvaardbaar is.