De Verenigde Staten hebben sinds kort het Internationaal Strafhof in Den Haag als instelling toegevoegd aan de OFAC-sanctielijst. Tegelijkertijd gaf Washington uitzonderingen waardoor onder meer telecom, e-mail, samenwerkingstools en bepaalde enterprise- en clouddiensten voorlopig kunnen blijven functioneren. Voor Europese organisaties is de zaak groter dan het ICC: ze toont hoe juridische controle over cruciale digitale infrastructuur niet noodzakelijk samenvalt met de plaats waar data fysiek worden opgeslagen.
Voor de voorbereidingen van de inhoud en creatie van de visuals wordt (uiteraard) gebruikgemaakt van generatieve AI.
Bezittingen en transacties geblokkeerd
Op 9 oktober zette het Amerikaanse Office of Foreign Assets Control, OFAC, het International Criminal Court als organisatie op de Specially Designated Nationals and Blocked Persons List. Daarmee werden de eerdere sancties tegen individuele rechters en medewerkers uitgebreid naar het Hof zelf. Het ICC is opgericht door het Statuut van Rome en wordt gesteund door 125 staten.
Voor Amerikaanse personen en ondernemingen betekent een SDN-notering in beginsel dat transacties met de gesanctioneerde partij verboden zijn en bezittingen onder Amerikaanse jurisdictie worden geblokkeerd, behalve wanneer OFAC een uitzondering verleent.
En precies daar zit momenteel een belangrijke nuance.
E-mail en cloud worden niet automatisch binnen zes maanden afgesloten
Samen met de sancties publiceerde OFAC vier algemene licenties.
General License 13 laat transacties toe die nodig zijn om bestaande activiteiten, contracten en overeenkomsten met het ICC te onderhouden of af te bouwen. Daaronder vallen onder meer lonen, huur, verzekeringen, nutsvoorzieningen en standaard commerciële diensten. Die vergunning loopt tot 7 april 2027.
Daarnaast is er General License 14, specifiek voor telecommunicatie en enterprise software. Die vergunning dekt onder meer e-mail, chat, videoconferencing, collaboration platforms, webhosting, authenticatiediensten, cybersecurity, databack-up en bepaalde cloudgebaseerde Software-as-a-Service. Opvallend: in de gepubliceerde licentie staat geen einddatum.
De conclusie dat het ICC over zes maanden automatisch zijn e-mail, cloudopslag en samenwerkingstools verliest, gaat dus te ver. De huidige Amerikaanse uitzonderingen laten zulke diensten juist expliciet toe.
Maar de gebeurtenis legt wel een bredere afhankelijkheid bloot.
‘Onze data staan in Europa’ lost jurisdictierisico niet op
Europese organisaties kijken bij cloudsoevereiniteit vaak eerst naar de fysieke locatie van hun data. Maar een datacenter in Frankfurt, Parijs of Amsterdam verandert op zichzelf niet onder welk recht een leverancier valt.
Executive Order 14203 definieert een Amerikaanse persoon onder meer als een onderneming die onder Amerikaans recht is georganiseerd en omvat daarbij ook buitenlandse filialen, dochterondernemingen en werknemers van zo’n entiteit.
De order maakt het bovendien mogelijk om buitenlandse partijen aan te wijzen wanneer zij volgens de Amerikaanse overheid materiële, financiële of technologische ondersteuning leveren aan activiteiten of personen die onder het sanctieregime vallen. Dat is geen automatische sanctie voor iedere Europese leverancier, maar het creëert wel een juridisch risico waarmee internationale dienstverleners rekening moeten houden.
De EU heeft inmiddels verklaard de institutionele sancties te betreuren en zegt maatregelen te willen nemen om de werking van het Hof te beschermen. Europese leiders wijzen daarbij expliciet op de ruimte die de overgangsperiode biedt voor overleg met Washington.
Wat bedrijven hiervan kunnen leren
Voor CIO’s en bestuurders is dit daarom vooral een concentratie- en continuïteitsvraagstuk.
Een organisatie hoeft zelf helemaal niet gesanctioneerd te zijn om gevolgen te ondervinden wanneer een kritieke leverancier door juridische beperkingen bepaalde klanten, regio’s of activiteiten niet langer mag bedienen.
Daarom verdient afhankelijkheid van cloud-, software- en betalingsleveranciers dezelfde aandacht als cybersecurity en privacy. Organisaties kunnen bijvoorbeeld inventariseren welke kernprocessen bij één jurisdictie of leverancier samenkomen, contractueel kijken naar sanctieclausules, dataportabiliteit en exitrechten, en bepalen hoe snel kritieke workloads naar een alternatief platform kunnen worden verhuisd.
Voor overheden, onderzoeksinstellingen, defensieorganisaties en andere geopolitiek gevoelige sectoren is een theoretisch exitplan daarbij onvoldoende. Er moet duidelijk zijn welke systemen eerst moeten worden gemigreerd, wie daarvoor verantwoordelijk is en hoeveel tijd een realistische overgang vraagt.
De ICC-sancties bewijzen niet dat Amerikaanse clouddiensten morgen uit Europa verdwijnen.
Ze maken wel zichtbaar dat digitale soevereiniteit uit meer bestaat dan de locatie van een server. Wie controle wil over zijn digitale continuïteit, moet absoluut weten onder wiens wetgeving zijn leverancier uiteindelijk valt.