Microsoft breidt zijn Europese Sovereign Cloud uit met externe encryptiesleutels, Europees toezicht op technische toegang, fraudebestendige toegangslogs en cloudinfrastructuur die lokaal en zelfs zonder internetverbinding kan draaien. Dat zijn substantiële stappen richting meer digitale autonomie. Toch verdwijnt één fundamenteel vraagstuk niet: bij gebruik van Microsofts publieke cloud kan Amerikaanse wetgeving nog steeds relevant zijn. Digitale soevereiniteit blijkt daardoor niet alleen een kwestie van waar data staat, maar ook van wie er technisch én juridisch controle over heeft.
Voor de voorbereidingen van de inhoud en creatie van de visuals wordt (uiteraard) gebruikgemaakt van generatieve AI.
Extra relevant voor overheden, gereguleerde sectoren en bedrijven met gevoelige data
Microsoft presenteerde een nieuwe reeks mogelijkheden voor zijn Sovereign Cloud. Vooral voor overheden, gereguleerde sectoren en bedrijven met gevoelige data zijn de veranderingen relevant.
Met External Key Management kunnen organisaties hun root-encryptiesleutel bewaren in hardware die ze zelf beheren, bijvoorbeeld in een eigen datacenter. Microsofts Azure Managed HSM blijft samenwerken met die externe infrastructuur, maar de sleutel zelf hoeft niet meer binnen Microsofts omgeving te staan.
Ook toegang door Microsoft-engineers wordt strenger gecontroleerd. Via Data Guardian wordt bepaalde remote toegang tot Europese productiesystemen gecontroleerd door een vertrouwde Europese partner. De nieuwe Production Touch Ledger legt zulke handelingen vervolgens vast in tamper-evident logs. Beide mogelijkheden worden uitgerold voor klanten in de EU en EFTA.
Een cloud die ook zonder cloudverbinding kan werken
Microsoft investeert daarnaast verder in Azure Local en zijn Sovereign Private Cloud.
SQL Server kan al lokaal en disconnected draaien. GitHub Enterprise Local en Foundry Local worden verder uitgebreid, terwijl Microsoft ook ondersteuning toevoegt voor lokale AI-modellen, confidential virtual machines en toepassingen die zonder permanente verbinding met Microsofts publieke cloud kunnen blijven functioneren.
Voor organisaties betekent dat iets belangrijks: gevoelige workloads hoeven niet noodzakelijk volledig afhankelijk te zijn van een hyperscale publieke cloud.
Technologisch wordt het dus steeds realistischer om kritieke onderdelen lokaal te houden en andere workloads wel naar de publieke cloud te sturen.
Maar locatie is niet hetzelfde als juridische onafhankelijkheid
Daarmee is het juridische soevereiniteitsvraagstuk echter niet verdwenen.
De Amerikaanse CLOUD Act bepaalt dat aanbieders onder bepaalde omstandigheden gegevens moeten bewaren of verstrekken die zich binnen hun “possession, custody or control” bevinden. De wet bepaalt expliciet dat het daarbij niet doorslaggevend is of die gegevens fysiek binnen of buiten de Verenigde Staten staan.
Dat betekent niet dat iedere Amerikaanse overheidsvraag automatisch resulteert in toegang tot Europese clouddata. De juridische situatie hangt af van het soort bevel, de gegevens, de technische architectuur en de toepasselijke Amerikaanse en Europese wetgeving.
Microsoft heeft bovendien contractueel beloofd overheidsverzoeken voor Europese klantgegevens aan te vechten wanneer daarvoor een wettelijke basis bestaat. Het bedrijf heeft ook toegezegd een eventueel bevel om Europese cloudactiviteiten stil te leggen juridisch te bestrijden.
Toch blijft er een structureel verschil tussen technische controle door de klant en juridische controle over de dienstverlener.
De CLOUD Act bevat een bijzondere bezwaarprocedure
Binnen de CLOUD Act bestaat een specifieke procedure waarmee een cloudprovider een bevel kan proberen te laten wijzigen of vernietigen wanneer openbaarmaking zou botsen met de wet van een zogenoemde qualifying foreign government.
Die procedure wordt door de provider gestart. Ze geldt bovendien alleen onder specifieke voorwaarden, waaronder dat de betrokken persoon geen Amerikaanse persoon is en niet in de VS woont.
Volgens het Amerikaanse ministerie van Justitie waren er in september 2026 slechts twee CLOUD Act-overeenkomsten daadwerkelijk van kracht: met het Verenigd Koninkrijk en Australië. Voor de EU als geheel bestaat zo’n overeenkomst momenteel niet.
Voor bedrijven draait soevereiniteit daarom om architectuur
De belangrijkste les voor Europese organisaties is niet dat Microsofts nieuwe maatregelen weinig voorstellen. Integendeel: klantgestuurde sleutels, Europees toezicht, controleerbare toegangslogs en lokale infrastructuur zijn concrete verbeteringen, ze lossen al verschillende problemen op.
Een eigen sleutel vermindert technische afhankelijkheid. Lokale infrastructuur verhoogt operationele continuïteit. Europese monitoring vergroot transparantie rond beheerstoegang. Maar geen van die maatregelen verandert op zichzelf de nationaliteit of juridische positie van de cloudprovider.
Bedrijven die digitale soevereiniteit serieus nemen, moeten daarom verder kijken dan de locatie van het datacenter.
De cruciale vraag blijft: welke delen van onze digitale infrastructuur moeten we technisch, operationeel én juridisch zelfstandig kunnen blijven controleren als de omstandigheden plots veranderen? Juist daar ligt het verschil tussen data in Europa opslaan en daadwerkelijk een soevereine cloudarchitectuur bouwen.