"Is our cloud sovereign?" has no yes-or-no answer. It has a level per question: who can be ordered to hand over our data, who can switch us off, and what still leaves when our applications run in Europe but our SaaS does not. Four questions, measured with the EU's own yardstick. "Is onze cloud soeverein?" heeft geen ja-of-nee-antwoord. Het heeft een niveau per vraag: wie kan worden bevolen onze data af te geven, wie kan ons uitschakelen, en wat vertrekt er toch als onze applicaties in Europa draaien maar onze SaaS niet. Vier vragen, gemeten met de maatstaf van de EU zelf.
In October 2025 the European Commission published a Cloud Sovereignty Framework for its own cloud purchasing. It splits "sovereign" into eight objectives: strategic (who owns and finances the provider), legal (which foreign laws reach it), data and AI (who holds the keys, where data stays), operational (who runs and supports it), supply chain (where hardware and software come from), technology (open standards, no lock-in), security and compliance (security operations run in the EU) and sustainability. On each, a provider gets a level from SEAL-0 to SEAL-4, and the overall level is the lowest of the eight. For its own tender the Commission set SEAL-2, "data sovereignty", as the minimum. It also writes that SEAL-4 is out of reach for every provider today, because chips and hardware come from outside the EU. The framework is a procurement tool, not a law. A proposal to turn it into one EU-wide framework, the Cloud and AI Development Act of 3 June 2026, is now with the legislator.
Business impact: a supplier that says "sovereign" may mean a data centre in Frankfurt (SEAL-1 or 2) or an EU-owned, EU-run service under EU law only (SEAL-3). Asking for the level per objective turns a slogan into a comparable answer. Which level you need for which data is your call.
In oktober 2025 publiceerde de Europese Commissie een Cloud Sovereignty Framework voor haar eigen cloudinkoop. Het splitst "soeverein" op in acht doelen: strategisch (wie de aanbieder bezit en financiert), juridisch (welk buitenlands recht hem bereikt), data en AI (wie de sleutels heeft, waar data blijft), operationeel (wie de dienst draait en ondersteunt), toeleveringsketen (waar hardware en software vandaan komen), technologie (open standaarden, geen lock-in), beveiliging en compliance (beveiligingsoperaties in de EU) en duurzaamheid. Op elk doel krijgt een aanbieder een niveau van SEAL-0 tot SEAL-4, en het totaalniveau is het laagste van de acht. Voor haar eigen aanbesteding stelde de Commissie SEAL-2, "datasoevereiniteit", als minimum. Zij schrijft ook dat SEAL-4 vandaag voor geen enkele aanbieder haalbaar is, omdat chips en hardware van buiten de EU komen. Het kader is een inkoopinstrument, geen wet. Een voorstel om er één EU-breed kader van te maken, de Cloud and AI Development Act van 3 juni 2026, ligt nu bij de wetgever.
Bedrijfsimpact: een leverancier die "soeverein" zegt, kan een datacenter in Frankfurt bedoelen (SEAL-1 of 2) of een dienst in EU-handen, door EU-mensen gedraaid en alleen onder EU-recht (SEAL-3). Door het niveau per doel te vragen, wordt een slogan een vergelijkbaar antwoord. Welk niveau u voor welke data nodig heeft, is uw keuze.
The framework scores AI separately for a reason: an AI feature bolted onto a sovereign stack often runs on a non-EU model in another region, and the lowest objective sets the level.Het kader scoort AI niet voor niets apart: een AI-functie bovenop een soevereine omgeving draait vaak op een niet-EU-model in een andere regio, en het laagste doel bepaalt het niveau.
Staff paste contracts and customer data into a public chatbot. Whatever the level of your cloud, that data is now at SEAL-0.Medewerkers plakken contracten en klantdata in een publieke chatbot. Welk niveau uw cloud ook heeft, die data zit nu op SEAL-0.
The Commission's questionnaire has 43 questions per supplier. AI-assisted review of contracts and public documentation gets you a first score in hours, not weeks.De vragenlijst van de Commissie telt 43 vragen per leverancier. Met AI-ondersteunde analyse van contracten en publieke documentatie heeft u in uren een eerste score, niet in weken.
Where the server stands matters less than who can be ordered. The US CLOUD Act requires a US provider to hand over data in its "possession, custody, or control", whether stored inside or outside the United States. The EU's answer is in the GDPR: a foreign order to disclose personal data is only enforceable in the EU if it rests on an international agreement, such as a legal assistance treaty (Art. 48). The provider sits between two laws. Asked under oath by the French Senate in June 2025 whether French citizens' data in its cloud would never be passed to US authorities without French consent, Microsoft France's head of legal affairs answered that he could not guarantee it, adding that it had never happened. The Commission's framework names this exposure, to the US CLOUD Act and the Chinese Cybersecurity Law, under its legal objective. Separate EU companies, EU-only staff and customer-held keys reduce it: AWS opened a separately run European Sovereign Cloud in Germany in January 2026, and Microsoft completed its EU Data Boundary. In the Commission's guidance, separate EU entities count as "data sovereignty" (SEAL-2); full insulation from non-EU law is the level above.
Business impact: for most data this risk is small, and EU data protection law still applies. For data where foreign access is itself the harm, such as state or defence work, negotiations and trade secrets, the question is "which law can compel our provider, and what can we do about it", not "where is the server".
Waar de server staat, telt minder dan wie een bevel kan krijgen. De Amerikaanse CLOUD Act verplicht een Amerikaanse aanbieder data af te geven die hij "in bezit, bewaring of onder controle" heeft, of die nu binnen of buiten de Verenigde Staten staat. Het antwoord van de EU staat in de AVG: een buitenlands bevel om persoonsgegevens af te geven is in de EU alleen afdwingbaar als het steunt op een internationaal verdrag, zoals een rechtshulpverdrag (art. 48). De aanbieder zit tussen twee wetten in. Op de vraag van de Franse Senaat in juni 2025, onder ede, of de data van Franse burgers in zijn cloud nooit zonder Franse toestemming aan Amerikaanse autoriteiten zou worden overgedragen, antwoordde het hoofd juridische zaken van Microsoft France dat hij dat niet kon garanderen, en dat het nog nooit was gebeurd. Het kader van de Commissie noemt precies deze blootstelling, aan de Amerikaanse CLOUD Act en de Chinese Cybersecurity Law, onder het juridische doel. Aparte EU-vennootschappen, uitsluitend EU-personeel en sleutels in eigen hand verkleinen haar: AWS opende in januari 2026 een apart gedraaide European Sovereign Cloud in Duitsland, en Microsoft rondde zijn EU Data Boundary af. In de toelichting van de Commissie tellen aparte EU-entiteiten als "datasoevereiniteit" (SEAL-2); volledige afscherming van niet-EU-recht is het niveau erboven.
Bedrijfsimpact: voor de meeste data is dit risico klein, en het Europese gegevensbeschermingsrecht blijft gelden. Voor data waarbij buitenlandse toegang zelf de schade is, zoals overheids- of defensiewerk, onderhandelingen en bedrijfsgeheimen, is de vraag "welk recht kan onze aanbieder dwingen, en wat kunnen wij daaraan doen", niet "waar staat de server".
AI does not change who can be ordered. It does make a handed-over data set searchable and summarised in minutes, so the harm of one disclosure is larger.AI verandert niet wie een bevel kan krijgen. Het maakt een afgegeven dataset wel in minuten doorzoekbaar en samengevat, dus de schade van één afgifte is groter.
Prompts, uploaded documents and outputs are data in the AI vendor's custody. The same jurisdiction question applies to it, and it is rarely asked.Prompts, geüploade documenten en uitvoer zijn data onder beheer van de AI-leverancier. Dezelfde rechtsmachtvraag geldt daar, en wordt zelden gesteld.
With keys you hold, an order yields ciphertext. AI-based monitoring of key use flags the unusual request before the data leaves.Met sleutels in eigen hand levert een bevel versleutelde tekst op. Monitoring van sleutelgebruik met AI signaleert het ongebruikelijke verzoek voordat de data vertrekt.
Many organisations now run their own applications on a sovereign or EU-operated cloud, and keep their collaboration suite, CRM, ticketing, HR system and AI assistant as SaaS. Then the sovereignty level of the estate is set by the SaaS, because that is where the people work. Six things go with it. The content: mail, documents, tickets, customer records. The identities, because the SaaS is usually also the login for everything else. Metadata and telemetry, who talked to whom and when, which most "EU data residency" promises cover only partly. Support and engineering access from outside the EU, which providers list themselves as an exception. AI features, which may process data where the model runs. And the keys, if the provider holds them. Microsoft's EU Data Boundary documentation, for example, commits to storing and processing customer data in the EU and EFTA "subject to limited circumstances" in which data is still transferred outside.
Business impact: "our infrastructure is sovereign" is true and misleading at the same time. Sovereignty is per data flow, not per building. The honest statement is a short list per SaaS: what stays, what leaves, under which law, and whether you could still read your data if the provider stopped.
Veel organisaties draaien hun eigen applicaties inmiddels op een soevereine of EU-beheerde cloud, en houden hun samenwerkingssuite, CRM, ticketsysteem, HR-systeem en AI-assistent als SaaS. Dan bepaalt de SaaS het soevereiniteitsniveau van het geheel, want daar werken de mensen. Zes dingen gaan mee. De inhoud: mail, documenten, tickets, klantgegevens. De identiteiten, want de SaaS is meestal ook de inlog voor al het andere. Metadata en telemetrie, wie met wie sprak en wanneer, die de meeste beloftes over "EU-dataresidentie" maar deels dekken. Support- en engineeringtoegang van buiten de EU, die aanbieders zelf als uitzondering noemen. AI-functies, die data mogelijk verwerken waar het model draait. En de sleutels, als de aanbieder die heeft. De documentatie van Microsofts EU Data Boundary bijvoorbeeld belooft klantdata in de EU en EFTA op te slaan en te verwerken, "behoudens beperkte omstandigheden" waarin data toch naar buiten gaat.
Bedrijfsimpact: "onze infrastructuur is soeverein" is tegelijk waar en misleidend. Soevereiniteit geldt per datastroom, niet per gebouw. De eerlijke uitspraak is een kort lijstje per SaaS: wat blijft, wat vertrekt, onder welk recht, en of u uw data nog kunt lezen als de aanbieder stopt.
AI-era SaaS collects more usage data to tune its features. It is the flow least likely to be in the residency promise and the one nobody maps.SaaS uit het AI-tijdperk verzamelt meer gebruiksdata om functies bij te sturen. Het is de stroom die het minst vaak in de opslagbelofte zit en die niemand in kaart brengt.
An assistant with the user's rights indexes everything the user can see, including files synced from the sovereign side, and may process it in another region.Een assistent met de rechten van de gebruiker indexeert alles wat die kan zien, ook bestanden die vanuit de soevereine kant zijn gesynchroniseerd, en verwerkt ze mogelijk in een andere regio.
AI-based classification and DLP at the SaaS boundary can keep the few data classes that must not leave on the sovereign side.Classificatie met AI en DLP op de SaaS-grens kunnen de paar dataklassen die niet mogen vertrekken aan de soevereine kant houden.
The other half of sovereignty is continuity. If a sanction, a court order, a bankruptcy or a commercial decision ended the service tomorrow, how long until you work again elsewhere? The EU Data Act (a law, applying since 12 September 2025) helps: cloud contracts allow switching with a notice period of at most two months and a transition of 30 days, and from 12 January 2027 providers may no longer charge for switching. It also requires providers to take measures against foreign government access to non-personal data where that conflicts with EU law (Art. 32). DORA (a law) goes further for financial entities: a register of all ICT suppliers, contract clauses naming the countries where data is processed, and exit strategies for critical services. The Commission's framework scores the same thing under operational sovereignty: can EU staff run it without the vendor, is the documentation available, could you migrate? For SaaS the practical test is simple. Export everything, open it elsewhere, time it.
Business impact: a provider you cannot leave is a provider that takes your decisions for you. An exit you have tested once a year is the cheapest sovereignty you can buy, and it also answers the auditor's question about continuity.
De andere helft van soevereiniteit is continuïteit. Als een sanctie, een rechterlijk bevel, een faillissement of een commercieel besluit de dienst morgen zou beëindigen, hoelang duurt het dan tot u elders weer werkt? De Europese Dataverordening (een wet, van toepassing sinds 12 september 2025) helpt: cloudcontracten staan overstappen toe met een opzegtermijn van hoogstens twee maanden en een overgang van 30 dagen, en vanaf 12 januari 2027 mogen aanbieders geen overstapkosten meer rekenen. Zij verplicht aanbieders ook maatregelen te nemen tegen toegang door buitenlandse overheden tot niet-persoonsgebonden data als die in strijd is met EU-recht (art. 32). DORA (een wet) gaat verder voor financiële instellingen: een register van alle ICT-leveranciers, contractbepalingen die de landen noemen waar data wordt verwerkt, en exitstrategieën voor kritieke diensten. Het kader van de Commissie scoort hetzelfde onder operationele soevereiniteit: kunnen EU-mensen het draaien zonder de leverancier, is de documentatie beschikbaar, kunt u migreren? Voor SaaS is de praktijktest simpel. Exporteer alles, open het elders, klok de tijd.
Bedrijfsimpact: een aanbieder waar u niet weg kunt, neemt uw beslissingen voor u. Een exit die u één keer per jaar heeft getest, is de goedkoopste soevereiniteit die u kunt kopen, en beantwoordt meteen de vraag van de auditor over continuïteit.
Documents export; a fine-tuned model, its prompts and its history usually do not. The more work runs through one vendor's AI, the harder the exit.Documenten exporteert u; een bijgetraind model, zijn prompts en zijn geschiedenis meestal niet. Hoe meer werk door de AI van één leverancier loopt, hoe moeilijker de exit.
Teams adopt AI tools outside procurement. Each one is a dependency nobody registered and nobody can exit, because nobody knows it is there.Teams nemen AI-tools in gebruik buiten inkoop om. Elk ervan is een afhankelijkheid die niemand heeft geregistreerd en waar niemand uit kan, omdat niemand weet dat hij er is.
AI-assisted translation of code, configuration and data formats makes moving a workload cheaper than it was, which makes the exit test realistic rather than theoretical.AI-ondersteunde vertaling van code, configuratie en dataformaten maakt het verplaatsen van een workload goedkoper dan voorheen, waardoor de exittest realistisch wordt in plaats van theoretisch.
We suggest drawing this map once per SaaS you depend on. Three flows usually leave outright: content, identities and metadata. Two leave under conditions you can negotiate: support access and AI processing. Keys you hold stay. The sovereignty level of the whole estate is the level of the weakest flow, which is why SaaS with a non-EU parent, not the data centre, usually sets it.
Wij raden aan deze kaart één keer te tekenen per SaaS waarvan u afhankelijk bent. Drie stromen vertrekken meestal gewoon: inhoud, identiteiten en metadata. Twee vertrekken onder voorwaarden waarover u kunt onderhandelen: supporttoegang en AI-verwerking. Sleutels in eigen hand blijven. Het soevereiniteitsniveau van het geheel is dat van de zwakste stroom. Daarom bepaalt meestal de SaaS met een niet-EU-moeder het niveau, niet het datacenter.
| Control | Addresses | In one line |
|---|---|---|
| Sovereignty score per supplier | Levels (01) | Score your key suppliers on the Commission's eight objectives and SEAL levels, and set your own minimum per data class. |
| Data classes by exposure | Law (02) | Three classes are enough: may leave the EU · may leave with keys you hold · must not be reachable by a foreign order at all. |
| EU entity, EU operations | Law (02) | For the most sensitive class, prefer services run by an EU company with EU staff, and still ask which law reaches the parent. |
| Keys you hold | Law (02) · SaaS (03) | Keys in your own HSM or KMS, so an order to the provider yields ciphertext. Expect SaaS search and AI features to need the plain text. |
| Flow map per SaaS | SaaS (03) | Content, identities, metadata, support access, AI processing, keys: stays or leaves, under which law. One page per SaaS. |
| Identity at home | SaaS (03) | Run or federate your identity provider so that one SaaS is not the login, and the off switch, for everything else. |
| Contract clauses | Law (02) · Exit (04) | Countries of processing and storage, notice of changes, EU-only support, a duty to challenge and report foreign orders, and exit assistance. DORA Art. 30 is a usable template for everyone. |
| Tested exit | Exit (04) | Once a year per critical SaaS: export everything, open it elsewhere, record how long it took. The Data Act's switching rules back you up. |
| Maatregel | Pakt aan | In één zin |
|---|---|---|
| Soevereiniteitsscore per leverancier | Niveaus (01) | Scoor uw belangrijkste leveranciers op de acht doelen en SEAL-niveaus van de Commissie, en stel uw eigen minimum per dataklasse vast. |
| Dataklassen naar blootstelling | Recht (02) | Drie klassen zijn genoeg: mag de EU verlaten · mag weg met sleutels in eigen hand · mag voor een buitenlands bevel helemaal niet bereikbaar zijn. |
| EU-entiteit, EU-operaties | Recht (02) | Kies voor de gevoeligste klasse diensten die een EU-vennootschap met EU-personeel draait, en vraag toch welk recht de moeder bereikt. |
| Sleutels in eigen hand | Recht (02) · SaaS (03) | Sleutels in uw eigen HSM of KMS, zodat een bevel aan de aanbieder versleutelde tekst oplevert. Reken erop dat SaaS-zoeken en AI-functies leesbare tekst nodig hebben. |
| Stroomkaart per SaaS | SaaS (03) | Inhoud, identiteiten, metadata, supporttoegang, AI-verwerking, sleutels: blijft of vertrekt, onder welk recht. Eén pagina per SaaS. |
| Identiteit in eigen huis | SaaS (03) | Draai of federeer uw identiteitsprovider zelf, zodat één SaaS niet de inlog, en de uitknop, voor al het andere is. |
| Contractbepalingen | Recht (02) · Exit (04) | Landen van verwerking en opslag, melding van wijzigingen, EU-only support, een plicht om buitenlandse bevelen aan te vechten en te melden, en exithulp. DORA art. 30 is voor iedereen een bruikbaar sjabloon. |
| Geteste exit | Exit (04) | Eén keer per jaar per kritieke SaaS: exporteer alles, open het elders, noteer hoelang het duurde. De overstapregels van de Dataverordening steunen u daarbij. |
A foreign order for your data is rare. An unmapped flow, a dependency nobody registered and a service that stops are not.Een buitenlands bevel om uw data is zeldzaam. Een niet in kaart gebrachte stroom, een afhankelijkheid die niemand registreerde en een dienst die stopt zijn dat niet.
Disclosure of data that should never have been reachable, or weeks without mail, logins and customer records while you migrate under pressure.Afgifte van data die nooit bereikbaar had mogen zijn, of weken zonder mail, inlogs en klantgegevens terwijl u onder druk migreert.
While a provider's parent sits under non-EU law, the goal is a known and accepted level per data class, not zero exposure.Zolang de moeder van een aanbieder onder niet-EU-recht valt, is het doel een bekend en geaccepteerd niveau per dataklasse, niet nul blootstelling.
The CIO owns sourcing and exit. Legal owns the jurisdiction question. Data owners decide which class their data is in.De CIO is eigenaar van inkoop en exit. Legal is eigenaar van de rechtsmachtvraag. Data-eigenaren bepalen in welke klasse hun data valt.
% of critical suppliers with a scored sovereignty level · data flows leaving the EU without a known legal basis · critical SaaS with an exit tested in the last 12 months · share of the most sensitive class on keys you hold.% kritieke leveranciers met een gescoord soevereiniteitsniveau · datastromen die de EU verlaten zonder bekende rechtsgrond · kritieke SaaS met een in de laatste 12 maanden geteste exit · aandeel van de gevoeligste klasse op sleutels in eigen hand.
“Data and operations depend on providers under non-EU law and on SaaS outside the sovereign estate, so a foreign order, a switch-off or vendor lock-in can expose data or halt the business.”“Data en bedrijfsvoering hangen af van aanbieders onder niet-EU-recht en van SaaS buiten de soevereine omgeving, waardoor een buitenlands bevel, een uitschakeling of lock-in data kan blootleggen of het bedrijf kan stilleggen.”
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| GDPR | Every transfer of personal data outside the EU needs a legal basis (Chapter V): an adequacy decision such as the EU-US Data Privacy Framework (2023, upheld by the General Court in September 2025, appeal pending) or standard contractual clauses. A foreign order to disclose is only enforceable if it rests on an international agreement (Art. 48). | Ask for the transfer mechanism, the sub-processor list with countries, and the policy on government requests. A processing agreement is required (Art. 28). | A disclosure to a foreign authority without an EU legal basis can count as a personal data breach. Notify the Autoriteit Persoonsgegevens within 72 hours (Art. 33); inform the people affected when the risk is high (Art. 34). |
| NIS2 | NIS2 requires supply chain security, including the relationship with each direct supplier and service provider (Art. 21(2)(d)), taking account of each supplier's specific vulnerabilities (Art. 21(3)). In the Netherlands this runs through the Cyberbeveiligingswet, in force since 15 August 2026. | Ask which laws can compel the provider and its parent, and where support and security operations run. The Commission's eight objectives make a usable questionnaire. | A provider switch-off or disclosure that disrupts your service can count as a significant incident if it meets the thresholds. Early warning within 24 hours of becoming aware, incident notification within 72 hours, final report within one month. |
| DORA | DORA requires a register of all ICT third-party arrangements (Art. 28(3)), contract clauses naming the countries where services are provided and data is processed and stored (Art. 30(2)(b)), and exit strategies for critical or important functions (Art. 28(8)). | Check the countries and subcontractors in the contract against the report, and ask how exit assistance has been tested. | Classify promptly. Initial notification within 4 hours of classifying it as major (at most 24 hours after becoming aware), intermediate report within 72 hours of the initial notification, final report within one month. |
| SOC 2 | Criterion CC9.2 covers managing risks from vendors and business partners. A SOC 2 report describes where and how controls operate, not which foreign law reaches the entity. | Check which subservice organisations are carved out, the data centre countries, and whether remote support access is in scope. | A disclosure or outage at the provider will likely appear as an exception in the next report, if it is in scope at all. |
| ISAE 3402 | The focus is financial reporting. Jurisdiction and exit are outside its scope unless they affect the financial process. | The report rarely names the parent's law or the support locations. Ask for it in the contract instead. | ISAE 3402 creates no duty to notify user auditors. Expect a deviation in the next report, and ask for interim disclosure in the contract. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| AVG | Elke doorgifte van persoonsgegevens buiten de EU heeft een rechtsgrond nodig (hoofdstuk V): een adequaatheidsbesluit zoals het EU-VS Data Privacy Framework (2023, in september 2025 overeind gehouden door het Gerecht, hoger beroep loopt) of standaardcontractbepalingen. Een buitenlands bevel tot afgifte is alleen afdwingbaar als het steunt op een internationaal verdrag (art. 48). | Vraag naar het doorgiftemechanisme, de lijst van subverwerkers met landen, en het beleid bij verzoeken van overheden. Een verwerkersovereenkomst is verplicht (art. 28). | Afgifte aan een buitenlandse autoriteit zonder Europese rechtsgrond kan als datalek gelden. Meld het binnen 72 uur bij de Autoriteit Persoonsgegevens (art. 33); informeer de betrokkenen als het risico hoog is (art. 34). |
| NIS2 | NIS2 vraagt beveiliging van de toeleveringsketen, inclusief de relatie met elke directe leverancier en dienstverlener (art. 21 lid 2 onder d), rekening houdend met de specifieke kwetsbaarheden van elke leverancier (art. 21 lid 3). In Nederland loopt dit via de Cyberbeveiligingswet, van kracht sinds 15 augustus 2026. | Vraag welk recht de aanbieder en zijn moeder kan dwingen, en waar support en beveiligingsoperaties draaien. De acht doelen van de Commissie vormen een bruikbare vragenlijst. | Een uitschakeling of afgifte bij een aanbieder die uw dienstverlening verstoort, kan als significant incident gelden als het de drempels haalt. Vroegtijdige waarschuwing binnen 24 uur na ontdekking, incidentmelding binnen 72 uur, eindverslag binnen een maand. |
| DORA | DORA vraagt een register van alle ICT-overeenkomsten met derden (art. 28 lid 3), contractbepalingen die de landen noemen waar diensten worden geleverd en data wordt verwerkt en opgeslagen (art. 30 lid 2 onder b), en exitstrategieën voor kritieke of belangrijke functies (art. 28 lid 8). | Leg de landen en onderaannemers in het contract naast het rapport, en vraag hoe de exithulp is getest. | Classificeer snel. Eerste melding binnen 4 uur na classificatie als ernstig (uiterlijk 24 uur na ontdekking), tussenrapport binnen 72 uur na de eerste melding, eindrapport binnen een maand. |
| SOC 2 | Criterium CC9.2 gaat over het beheersen van risico's van leveranciers en zakenpartners. Een SOC 2-rapport beschrijft waar en hoe maatregelen werken, niet welk buitenlands recht de entiteit bereikt. | Controleer welke onderliggende dienstverleners buiten het rapport zijn gelaten, de landen van de datacenters, en of supporttoegang op afstand binnen scope valt. | Een afgifte of storing bij de aanbieder komt waarschijnlijk als afwijking in het volgende rapport, als die al binnen scope valt. |
| ISAE 3402 | De focus ligt op de financiële verslaggeving. Rechtsmacht en exit vallen buiten de scope, tenzij ze het financiële proces raken. | Het rapport noemt zelden het recht van de moeder of de supportlocaties. Vraag daar in het contract naar. | ISAE 3402 schept geen meldplicht aan de auditors van gebruikers. Verwacht een afwijking in het volgende rapport en vraag in het contract om tussentijdse melding. |
Checked against: European Commission Cloud Sovereignty Framework v1.2.1 (Oct 2025) and implementation guidance (June 2026), Cloud and AI Development Act proposal COM(2026) 502 (3 June 2026), 18 U.S.C. §2713 (CLOUD Act, 2018), GDPR Art. 28, 33–34, 44–49, NIS2 Art. 21 and 23, DORA Art. 19, 28–30, Data Act Art. 25, 29, 32, 50, Sénat hearing of Microsoft France (10 June 2025), General Court T-553/23 (3 Sep 2025), NCSC-NL (Aug 2026), Microsoft EU Data Boundary documentation (Feb 2025), AWS press release (15 Jan 2026), AICPA Trust Services Criteria CC9.2 (2017, points of focus 2022) · October 2026.
Gecontroleerd tegen: Europese Commissie Cloud Sovereignty Framework v1.2.1 (okt 2025) en implementatieleidraad (juni 2026), voorstel Cloud and AI Development Act COM(2026) 502 (3 juni 2026), 18 U.S.C. §2713 (CLOUD Act, 2018), AVG art. 28, 33–34, 44–49, NIS2 art. 21 en 23, DORA art. 19, 28–30, Dataverordening art. 25, 29, 32, 50, Sénat, verhoor Microsoft France (10 juni 2025), Gerecht T-553/23 (3 sep 2025), NCSC-NL (aug 2026), documentatie Microsoft EU Data Boundary (feb 2025), persbericht AWS (15 jan 2026), AICPA Trust Services Criteria CC9.2 (2017, aandachtspunten 2022) · oktober 2026.