The cloud provider secures the cloud. You secure what you put in it. Where that line sits depends on whether you buy servers, a platform or a finished service — and most incidents happen on the side people assumed was the other party's job. De cloudleverancier beveiligt de cloud. U beveiligt wat u erin zet. Waar die grens ligt, hangt af van of u servers, een platform of een kant-en-klare dienst koopt — en de meeste incidenten gebeuren aan de kant waarvan men dacht dat de ander ervoor zorgde.
Every large cloud provider can show you a SOC 2 report, an ISO 27001 certificate and a data-centre audit. All of it is real, and all of it stops at a line. Below the line — buildings, hardware, the hypervisor, for platform services also the operating system and runtime, and for software services also the application — the provider is responsible. Above the line — your data, your users and their rights, your configuration, your code — you are. The line sits low for infrastructure, higher for platforms, highest for software as a service. It never reaches the top: identity and data are yours in every model.
Business impact: a breach caused by our own open storage, our own leaked key or our own unmanaged account is not covered by the provider's certificate, their liability or their insurance. It is our incident, with our notification duty. Example: a provider's SOC 2 can receive a clean (unqualified) opinion in the same quarter that a customer's misconfigured storage exposes a million records. Both are true; the storage sits above the line. The misconfigurations on our side of the line have their own briefing.
Elke grote cloudleverancier kan u een SOC 2-rapport, een ISO 27001-certificaat en een datacenteraudit laten zien. Het is allemaal echt, en het stopt allemaal bij een grens. Onder de grens — gebouwen, hardware, de hypervisor, bij platformdiensten ook het besturingssysteem en de runtime, en bij softwarediensten ook de applicatie — is de leverancier verantwoordelijk. Boven de grens — uw data, uw gebruikers en hun rechten, uw configuratie, uw code — bent u dat. De grens ligt laag bij infrastructuur, hoger bij platforms, het hoogst bij software als dienst. Hij bereikt nooit de top: identiteit en data zijn in elk model van u.
Bedrijfsimpact: een datalek door onze eigen open opslag, onze eigen gelekte sleutel of ons eigen onbeheerde account valt niet onder het certificaat, de aansprakelijkheid of de verzekering van de leverancier. Het is ons incident, met onze meldplicht. Voorbeeld: de SOC 2 van een leverancier kan een goedkeurend oordeel krijgen in hetzelfde kwartaal waarin de verkeerd ingestelde opslag van een klant een miljoen records blootlegt. Beide zijn waar; de opslag ligt boven de grens. De misconfiguraties aan onze kant van de grens hebben een eigen briefing.
AI-driven scanning tools sweep the internet for exactly the customer-side mistakes a provider's certificate never covered, such as open storage, and match an exposed system to a company name within seconds of finding it.AI-gestuurde scantools doorzoeken het internet precies op de fouten aan klantzijde die het certificaat van de leverancier nooit dekte, zoals open opslag, en koppelen een blootgesteld systeem binnen seconden aan een bedrijfsnaam.
Staff increasingly ask an AI assistant to summarise a provider's certificate and conclude everything is covered, when the honest answer is that identity, data and configuration were always the customer's job, not the provider's.Medewerkers laten steeds vaker een AI-assistent het certificaat van de leverancier samenvatten en concluderen dat alles gedekt is, terwijl het eerlijke antwoord is dat identiteit, data en configuratie altijd de taak van de klant waren.
AI tools can read a provider's certification report and automatically list which layers it actually covers, turning dense audit language into a plain checklist. Someone on our side still has to sign the resulting matrix.AI-tools kunnen het certificeringsrapport van een leverancier lezen en automatisch tonen welke lagen het echt dekt, en dichte auditrapportage omzetten naar een simpele checklist. Iemand aan onze kant moet de resulterende matrix nog wel ondertekenen.
With infrastructure as a service you rent a virtual machine. The provider keeps the physical host and the hypervisor patched and running. Everything inside the machine — the operating system, the software on it, the firewall rules, the backups — is yours, exactly as it was in your own server room, only now reachable from the internet. With platform as a service the provider also runs the operating system and the database engine, but the application code, its libraries, and who is allowed to reach the database remain yours.
Business impact: the two most common cloud incidents are an unpatched virtual machine and a database endpoint left open to the world. Neither is a provider failure. Example: a virtual machine built for a project in 2023 is still running, nobody owns it, and the operating system has not been updated since it was built; or a managed database is created with “allow access from anywhere” to get a demo working, and the setting is never reverted. The provider's status page shows green throughout.
Bij infrastructuur als dienst huurt u een virtuele machine. De leverancier houdt de fysieke host en de hypervisor gepatcht en draaiend. Alles binnen de machine — het besturingssysteem, de software erop, de firewallregels, de back-ups — is van u, precies zoals in uw eigen serverruimte, alleen nu bereikbaar vanaf internet. Bij platform als dienst beheert de leverancier ook het besturingssysteem en de database-engine, maar de applicatiecode, de bibliotheken en wie de database mag benaderen blijven van u.
Bedrijfsimpact: de twee meest voorkomende cloudincidenten zijn een ongepatchte virtuele machine en een database-endpoint dat open staat naar de hele wereld. Geen van beide is een fout van de leverancier. Voorbeeld: een virtuele machine die in 2023 voor een project is gebouwd, draait nog steeds, niemand is eigenaar, en het besturingssysteem is sinds de bouw niet bijgewerkt; of een beheerde database wordt aangemaakt met “toegang vanaf overal” om een demo werkend te krijgen, en die instelling wordt nooit teruggedraaid. De statuspagina van de leverancier staat de hele tijd op groen.
Automated AI-assisted scanners continuously sweep every cloud IP range for unpatched virtual machines and database endpoints left open by mistake, and exploit known flaws within hours of finding them, long before any human notices.Geautomatiseerde AI-ondersteunde scanners doorzoeken doorlopend elk cloud-IP-bereik op ongepatchte virtuele machines en per ongeluk open database-endpoints, en misbruiken bekende fouten binnen uren na het vinden, lang voordat iemand het merkt.
AI coding assistants asked to get a demo working fast often generate infrastructure templates with an allow-access-from-anywhere default, and a developer under time pressure ships it without ever changing the setting back.AI-codeerassistenten die gevraagd worden een demo snel werkend te krijgen, genereren vaak infrastructuurtemplates met toegang-vanaf-overal als standaard, en een ontwikkelaar onder tijdsdruk levert dit op zonder de instelling ooit terug te draaien.
AI-based posture scanning checks every workload against the baseline continuously and flags an open endpoint or missing patch the same day it appears, instead of during the next scheduled review months later.AI-gebaseerde posture-scans toetsen elke workload continu aan de basisconfiguratie en signaleren een open endpoint of ontbrekende patch dezelfde dag dat die verschijnt, in plaats van bij de volgende geplande review maanden later.
Software as a service moves the most to the vendor: they run the application, patch it, keep it available and recover it when their side fails. What stays with you is smaller but decisive: who your users are, what rights they have, whether they use a second factor, how widely files are shared, how long data is kept, and what happens when one of your own people deletes something. The vendor's backup exists to restore their service after their failure. Your admin deleting a mailbox is not their failure.
Business impact: data loss and data exposure in software services are overwhelmingly caused by the customer's own settings and actions, and the contract usually says so. Example: during an offboarding an administrator deletes a departed director's account; the mailbox and personal drive go with it. Thirty days later the retention window closes, the vendor confirms the data is unrecoverable, and legal asks for those emails for a dispute. The vendor met every commitment it made.
Software als dienst verplaatst het meeste naar de leverancier: die draait de applicatie, patcht haar, houdt haar beschikbaar en herstelt haar wanneer zijn kant uitvalt. Wat bij u blijft is kleiner maar beslissend: wie uw gebruikers zijn, welke rechten ze hebben, of ze een tweede factor gebruiken, hoe breed bestanden worden gedeeld, hoe lang data wordt bewaard, en wat er gebeurt als een van uw eigen mensen iets verwijdert. De back-up van de leverancier bestaat om zijn dienst te herstellen na zijn storing. Uw beheerder die een mailbox verwijdert, is niet zijn storing.
Bedrijfsimpact: dataverlies en datablootstelling in softwarediensten worden overwegend veroorzaakt door de eigen instellingen en handelingen van de klant, en het contract zegt dat meestal ook. Voorbeeld: bij een uitdiensttreding verwijdert een beheerder het account van een vertrokken directeur; de mailbox en de persoonlijke schijf gaan mee. Dertig dagen later sluit de bewaartermijn, de leverancier bevestigt dat de data onherstelbaar is, en legal vraagt om precies die e-mails voor een geschil. De leverancier is elke toezegging nagekomen.
An attacker who wants a company's SaaS data gone can use an AI-generated voice or message impersonating an executive to talk a helpdesk into an account deletion the vendor's own backup policy will not reverse.Een aanvaller die de SaaS-data van een bedrijf kwijt wil, kan een AI-gegenereerde stem of bericht gebruiken die een leidinggevende nabootst, om een helpdesk een accountverwijdering te laten uitvoeren die het back-upbeleid van de leverancier niet ongedaan maakt.
An AI assistant built into the software service can search and summarise every file shared across the organisation the moment someone asks it a broad question, exposing sharing mistakes that used to stay buried and unnoticed.Een AI-assistent die in de softwaredienst is ingebouwd, kan elk gedeeld bestand in de hele organisatie doorzoeken en samenvatten zodra iemand een brede vraag stelt, waardoor deelfouten zichtbaar worden die voorheen onopgemerkt bleven.
AI-based anomaly detection can flag an admin deleting an account or widening a share outside their normal pattern, in time to stop it. Our own tested backup still matters, since the vendor will not restore our mistake.AI-gebaseerde anomaliedetectie kan signaleren dat een beheerder een account verwijdert of een share verbreedt buiten het normale patroon, op tijd om het te stoppen. Onze eigen geteste back-up blijft nodig, want de leverancier herstelt onze fout niet.
Customers were not individually informed.Klanten zijn niet individueel geïnformeerd.
A service level agreement is about their service being up. It says nothing about your data being intact, your configuration being right, or your incident being handled. The things that matter when something goes wrong — how fast they tell you about a breach on their side, where your data physically lives, which sub-processors see it, what audit rights you have, how you get your data out when you leave — exist only if someone on your side put them in the contract. Standard terms say “reasonable time”, “may use sub-processors” and “export available on request”.
Business impact: your own notification clock starts when you become aware, and a vendor who tells you late makes you late. Example: a breach at a software vendor is confirmed to the press on day eleven. Your first notice is the news item. The contract you signed allows notification “within a reasonable time”, so nothing was breached on paper — except your customers' data, and your regulator's patience.
Een service level agreement gaat over de vraag of hun dienst draait. Zij zegt niets over de vraag of uw data intact is, uw configuratie klopt of uw incident wordt afgehandeld. De zaken die ertoe doen als het misgaat — hoe snel zij u informeren over een datalek aan hun kant, waar uw data fysiek staat, welke subverwerkers die zien, welke auditrechten u hebt, hoe u uw data meekrijgt als u vertrekt — bestaan alleen als iemand aan uw kant ze in het contract heeft gezet. Standaardvoorwaarden zeggen “redelijke termijn”, “kan subverwerkers inzetten” en “export op verzoek beschikbaar”.
Bedrijfsimpact: uw eigen meldtermijn begint zodra u ervan weet, en een leverancier die u laat informeert, maakt u te laat. Voorbeeld: een datalek bij een softwareleverancier wordt op dag elf aan de pers bevestigd. Uw eerste bericht is het nieuwsitem. Het contract dat u tekende, staat melding “binnen een redelijke termijn” toe, dus op papier is niets geschonden — behalve de data van uw klanten en het geduld van uw toezichthouder.
A vague service level agreement is a paperwork gap, not a technical one, and no amount of AI on either side changes what a contract actually promises. The weakness sits in what was never negotiated.Een vage service level agreement is een gat op papier, geen technisch gat, en geen enkele hoeveelheid AI aan welke kant dan ook verandert wat een contract werkelijk belooft. De zwakte zit in wat nooit is onderhandeld.
Vendors increasingly add an AI feature that quietly sends our data to a new sub-processor, or trains a model on it, under a clause that only says they may use sub-processors, with no separate notice required.Leveranciers voegen steeds vaker een AI-functie toe die stilletjes onze data naar een nieuwe subverwerker stuurt, of er een model op traint, onder een clausule die alleen zegt dat zij subverwerkers mogen inzetten, zonder aparte melding.
AI tools can scan a draft contract against our checklist and flag missing clauses on breach notification, sub-processors and exit within minutes. The negotiation itself still has to be done by a person, not a tool.AI-tools kunnen een conceptcontract tegen onze checklist scannen en ontbrekende bepalingen over meldplicht, subverwerkers en exit direct signaleren. De onderhandeling zelf moet nog steeds een mens doen, geen tool.
| Control | Closes | In one line |
|---|---|---|
| Responsibility matrix | All four | One page per service: IaaS, PaaS or SaaS; who patches, who backs up, who manages identity, who monitors, who notifies whom. Signed by a named owner on our side. |
| CUEC list | Certified (01) | Read the provider's SOC 2 or ISAE 3402 and copy out the complementary user entity controls. That list is our side of the line, in the auditor's own words. |
| Owner per workload | IaaS · PaaS (02) | Every virtual machine, database and application has a named owner and a decommission date. No owner, no workload. |
| Baseline + posture scanning | IaaS · PaaS (02) | A configuration standard for our side, and a scanner that flags every deviation: open endpoints, missing patches, public storage. |
| Identity governance | SaaS (03) | In every software service: single sign-on, a second factor, sharing defaults set to internal, and an access review each quarter. |
| Our own SaaS backup | SaaS (03) | Where the vendor does not restore what our own users delete, we back up our own data, and we have tested the restore. |
| Contract checklist | Contract (04) | Breach notification in hours, data location, sub-processor list and change notice, audit rights, exit and data return; the EU Data Act (applies since 12 September 2025) ends switching charges from 12 January 2027. Non-negotiable items marked before procurement starts. |
| Cloud service inventory | All four | Every cloud service we use, tagged by model and by owner. New services are added when they are bought, not when they break. |
| The question before signing | All four | Procurement and IT ask “who is responsible for what?” before the contract, and file the answer with it. |
| Maatregel | Sluit | In één zin |
|---|---|---|
| Verantwoordelijkheidsmatrix | Alle vier | Eén pagina per dienst: IaaS, PaaS of SaaS; wie patcht, wie back-upt, wie identiteit beheert, wie bewaakt, wie wie informeert. Ondertekend door een eigenaar met naam aan onze kant. |
| CUEC-lijst | Gecertificeerd (01) | Lees de SOC 2 of ISAE 3402 van de leverancier en schrijf de complementary user entity controls over. Die lijst is onze kant van de grens, in de woorden van de auditor. |
| Eigenaar per workload | IaaS · PaaS (02) | Elke virtuele machine, database en applicatie heeft een eigenaar met naam en een uitfaseerdatum. Geen eigenaar, geen workload. |
| Basisconfiguratie + posture-scans | IaaS · PaaS (02) | Een configuratiestandaard voor onze kant, en een scanner die elke afwijking signaleert: open endpoints, ontbrekende patches, publieke opslag. |
| Identiteitsbeheer | SaaS (03) | In elke softwaredienst: single sign-on, een tweede factor, deelinstellingen standaard op intern, en elk kwartaal een toegangsreview. |
| Eigen SaaS-back-up | SaaS (03) | Waar de leverancier niet herstelt wat onze eigen gebruikers verwijderen, back-uppen we onze eigen data, en hebben we het herstel getest. |
| Contractchecklist | Contract (04) | Melding van een datalek in uren, datalocatie, lijst van subverwerkers en wijzigingsmelding, auditrechten, exit en teruggave van data; de EU Data Act (van toepassing sinds 12 september 2025) schaft overstapkosten af per 12 januari 2027. Niet-onderhandelbare punten gemarkeerd vóór de inkoop begint. |
| Inventaris clouddiensten | Alle vier | Elke clouddienst die we gebruiken, gelabeld per model en per eigenaar. Nieuwe diensten worden toegevoegd bij aankoop, niet als ze stukgaan. |
| De vraag vóór ondertekening | Alle vier | Inkoop en IT stellen vóór het contract de vraag “wie is verantwoordelijk voor wat?”, en archiveren het antwoord erbij. |
Every organisation uses cloud services in all three models, and few can show who owns which layer of each.Elke organisatie gebruikt clouddiensten in alle drie de modellen, en weinige kunnen laten zien wie welke laag van welke dienst bezit.
A data breach or data loss that is legally ours, with no recourse to the provider, plus late notification because the contract allowed it.Een datalek of dataverlies dat juridisch van ons is, zonder verhaal op de leverancier, plus een late melding omdat het contract dat toestond.
Once each service has a signed matrix, a scanner on our side and a contract with clocks in hours, what remains is ordinary operational risk.Zodra elke dienst een ondertekende matrix heeft, een scanner aan onze kant en een contract met termijnen in uren, blijft gewoon operationeel risico over.
The CIO owns the matrices and the technical side. Procurement owns the contract checklist. Neither can close this alone.De CIO is eigenaar van de matrices en de technische kant. Inkoop is eigenaar van de contractchecklist. Geen van beiden kan dit alleen sluiten.
% of cloud services with a signed responsibility matrix · % of SaaS with our own tested backup · % of services with MFA enforced for all users · % of contracts with breach notification in hours, not “reasonable time”.% clouddiensten met een ondertekende verantwoordelijkheidsmatrix · % SaaS met een eigen geteste back-up · % diensten met MFA afgedwongen voor alle gebruikers · % contracten met melding van een datalek in uren, niet “redelijke termijn”.
“Unclear division of security responsibility with cloud providers leaves our side of the line unmanaged, causing breaches, data loss and late notification that are legally ours.”“Onduidelijke verdeling van beveiligingsverantwoordelijkheid met cloudleveranciers laat onze kant van de grens onbeheerd, met datalekken, dataverlies en late meldingen die juridisch van ons zijn.”
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| NIS2 | Risk management and supply-chain security duties land on you regardless of service model. Outsourcing a layer does not outsource the obligation; management stays accountable for the whole. | Use it to fill in the provider's side of the matrix, then ask what they expect from you. Put notification duties, in hours, and cooperation during incidents in the contract. | An incident on either side of the line can count as significant if it meets the thresholds: early warning to the CSIRT or authority (in the Netherlands NCSC) within 24 hours of becoming aware, notification within 72 hours, final report within one month. The clock starts when you know, so late vendor notice does not excuse you. Confirm with legal. |
| DORA | For financial entities: a register of all ICT third-party arrangements with the service model recorded, contractual clauses prescribed by the regulation, and an exit strategy for critical services. | The report is evidence for the register, not a substitute for the contract. Critical providers need audit and access rights, sub-processor transparency and termination rights in writing. | A major ICT incident: initial notification to the supervisor within 4 hours of classifying it as major (at most 24 hours after becoming aware), intermediate report within 72 hours, final report within one month. A provider incident that hits your critical function is your incident. Confirm with legal. |
| SOC 2 | If you issue one, your own use of cloud services is in scope: auditors test how you manage what sits above the provider's line, and they expect you to have read your providers' reports. | The section on complementary user entity controls is the provider's own statement of your side of the line. Copy it into the matrix. Check the period, the services in scope and the sub-service organisations carved out. | A breach on your side can appear in your report as a deviation, and customers will ask whether the provider's or your controls failed. The matrix is the answer. |
| ISAE 3402 | Assurance over outsourced processes relevant to financial reporting. The service organisation sets the scope; layers outside it, and everything on your side, are not covered. | Read the control objectives and the user entity controls. If the report is silent on a layer you assumed they cover, that layer is yours until the contract says otherwise. | ISAE 3402 creates no duty to notify user auditors: expect a deviation in the next report, and ask for interim disclosure in the contract. Your own auditors will ask for evidence that you operated the user entity controls. Without the list, you cannot show it. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| NIS2 | Risicobeheer en beveiliging van de toeleveringsketen zijn uw plichten, ongeacht het dienstmodel. Een laag uitbesteden besteedt de verplichting niet uit; het bestuur blijft verantwoordelijk voor het geheel. | Gebruik het om de kant van de leverancier in de matrix in te vullen, en vraag daarna wat zij van u verwachten. Leg meldplichten, in uren, en samenwerking bij incidenten vast in het contract. | Een incident aan welke kant van de grens ook kan als significant gelden als het de drempels haalt: vroege waarschuwing aan het CSIRT of de autoriteit (in Nederland het NCSC) binnen 24 uur nadat u het weet, melding binnen 72 uur, eindrapport binnen een maand. De klok start zodra u het weet, dus een late melding van de leverancier is geen excuus. Bevestig met juristen. |
| DORA | Voor financiële instellingen: een register van alle ICT-uitbestedingen met het dienstmodel erin, de contractbepalingen die de verordening voorschrijft, en een exitstrategie voor kritieke diensten. | Het rapport is bewijs voor het register, geen vervanging van het contract. Kritieke leveranciers hebben audit- en toegangsrechten, transparantie over subverwerkers en opzegrechten nodig, op papier. | Een ernstig ICT-incident: eerste melding aan de toezichthouder binnen 4 uur na classificatie als ernstig (uiterlijk 24 uur na kennisname), tussentijds rapport binnen 72 uur, eindrapport binnen een maand. Een incident bij de leverancier dat uw kritieke functie raakt, is uw incident. Bevestig met juristen. |
| SOC 2 | Als u er zelf een afgeeft, valt uw eigen gebruik van clouddiensten binnen scope: auditors testen hoe u beheert wat boven de grens van de leverancier ligt, en verwachten dat u de rapporten van uw leveranciers hebt gelezen. | De paragraaf over complementary user entity controls is de eigen verklaring van de leverancier over uw kant van de grens. Neem haar over in de matrix. Controleer de periode, de diensten binnen scope en de uitgesloten subserviceorganisaties. | Een lek aan uw kant kan in uw rapport als afwijking verschijnen, en klanten vragen of de maatregelen van de leverancier of de uwe faalden. De matrix is het antwoord. |
| ISAE 3402 | Zekerheid over uitbestede processen die relevant zijn voor de financiële verslaggeving. De serviceorganisatie bepaalt de scope; lagen daarbuiten, en alles aan uw kant, zijn niet gedekt. | Lees de beheersdoelstellingen en de user entity controls. Zwijgt het rapport over een laag waarvan u aannam dat zij die dekken, dan is die laag van u tot het contract anders zegt. | ISAE 3402 schept geen plicht om de auditors van klanten te informeren: verwacht een afwijking in het volgende rapport, en vraag in het contract om tussentijdse melding. Uw eigen auditors vragen bewijs dat u de user entity controls hebt uitgevoerd. Zonder de lijst kunt u dat niet laten zien. |
Checked against: EU Data Act Art. 29 and 50 (2023), NIS2 Art. 23 (2022), Delegated Regulation (EU) 2025/301 (2025), NCSC-NL on the Cbw (Aug 2026) · September 2026.
Gecontroleerd tegen: EU Data Act art. 29 en 50 (2023), NIS2 art. 23 (2022), Gedelegeerde Verordening (EU) 2025/301 (2025), NCSC over de Cbw (aug 2026) · september 2026.