Bij de keuze voor een managed hosting- en cloudprovider wordt digitale soevereiniteit steeds vaker een beslissend criterium. Organisaties willen niet alleen weten waar hun data staat, maar vooral onder welke jurisdictie en operationele controle die data valt. De uitdaging: “soevereiniteit” wordt vaak genoemd, maar zelden eenduidig gemeten. In dit artikel leggen we uit hoe digitale soevereiniteit kan worden gestructureerd, welke frameworks daarbij ontstaan en hoe Shock Media dit toetsbaar maakt ten aanzien van Cloud dienstverlening.
Wat is digitale soevereiniteit?
Digitale soevereiniteit gaat over de mate waarin een organisatie feitelijke controle heeft over data, infrastructuur en beheerlagen: juridisch, operationeel en technisch. Belangrijk is dat fysieke datalocatie slechts één aspect is. Een datacenter in Nederland betekent niet automatisch dat alle bijbehorende processen onder Nederlandse of Europese zeggenschap vallen. Een concreet voorbeeld dat dit vraagstuk zichtbaar heeft gemaakt in Nederland is de discussie rondom Solvinity, de IT-dienstverlener achter de infrastructuur van DigiD.
In bepaalde gevallen kan buitenlandse wetgeving, zoals de Amerikaanse CLOUD Act, via juridische procedures ook impact hebben op data die buiten de VS is opgeslagen. Dit geldt onder voorwaarden voor aanbieders die onder Amerikaanse jurisdictie vallen, waaronder grote hyperscalers zoals AWS, Microsoft Azure en Google Cloud. Voor organisaties die werken met persoonsgegevens, medische data, financiële informatie of bedrijfskritische systemen is dit geen theoretisch vraagstuk, maar een structureel risico dat expliciet moet worden meegenomen in de selectie van leveranciers en bij architectuurkeuzes.
Maar hoe meet je soevereiniteit?
Tot voor kort ontbrak een gestandaardiseerde methode om digitale soevereiniteit van cloudproviders objectief te beoordelen. Daar is verandering in gekomen. In oktober 2025 publiceerde de Europese Commissie het EU Cloud Sovereignty Framework (CSF). Dit framework introduceert een gestructureerde beoordelingsmethodiek waarmee cloud- en hostingdiensten kunnen worden geëvalueerd op meerdere dimensies van soevereiniteit. Het framework beoordeelt onder andere:
- juridische verankering en jurisdictie
- operationele controle en beheer
- supply chain-transparantie
- technische afhankelijkheden
- security- en governance-structuren
De uitkomst wordt uitgedrukt in een SEAL-score (0–4), die de mate van soevereiniteit per dienst weergeeft. Binnen dit kader wordt SEAL-3 in beleidscontexten regelmatig aangehaald als referentieniveau voor organisaties met gevoelige of kritieke data. Daarnaast publiceerde DICTU in maart 2026 het Toetsingsinstrument Soevereiniteit Clouddiensten, dat een aanvullende set beoordelingscriteria biedt voor publieke organisaties. Dit instrument richt zich op onder meer autonomie, wet- en regelgeving, betrouwbaarheid en leveranciersonafhankelijkheid bij Cloudproviders.
Hoe Shock Media dit toepast
Zowel het EU CSF als het DICTU-instrument zijn op dit moment geen formele certificeringsstandaarden. Om toch volledige transparantie te bieden over hoe onze dienstverlening zich tot deze kaders verhoudt, heeft Shock Media haar eigen Digital Cloud Sovereignty Assessment ontwikkeld, waarmee transparantie wordt geboden in de soevereiniteitsaspecten van onze managed hosting dienstverlening. Dit assessment brengt onze Managed Hosting dienstverlening in kaart op basis van:
- de criteria uit het EU CSF
- de beoordelingsdimensies uit het DICTU-toetsingsinstrument
Op basis van het Digital Cloud Sovereignty Assessment valt onze core dienstverlening binnen SEAL-4 binnen de EU-CSF-methodiek zoals wij die toepassen op onze architectuur en governance-modellen. Ten opzichte van het DICTU-toetsingsinstrument positioneert onze dienstverlening zich binnen het hoogste segment van de gehanteerde schaal binnen onze interpretatie van dit model. Dit sluit aan op hoe onze dienstverlening al jaren is ingericht:
- Alle data wordt verwerkt en opgeslagen in datacenters binnen de EU (Nederland), uitsluitend onder Nederlands en Europees recht.
- Shock Media is volledig in Nederland gevestigd en juridisch verankerd. Er is geen blootstelling aan de CLOUD Act of vergelijkbare buitenlandse wetgeving.
- Onze volledige operationele aansturing, engineering en support zijn gebaseerd in Nederland.
- Wij lopen voorop met het gebruik van open standaarden en vermijden proprietaire afhankelijkheden, met name van buitenlandse derde partijen.
- Ook onze supply chain wordt doorlopend streng beoordeeld, van diensten tot hardware en software, en is transparant traceerbaar naar EU- gevestigde partijen.
Voldoen aan deze belangrijke digitale soevereiniteitseisen vult onze bestaande certificeringen op het gebied van Security & Compliance aan. Met ISO 27001, NEN 7510, ISO 9001, en onze SOC 2 en ISAE 3402 Type II-rapportages zonder bevindingen, toont Shock Media al structureel aan hoe wij omgaan met beveiliging, kwaliteit en compliance. Het Digital Cloud Sovereignty Assessment voegt daar de soevereiniteitsdimensie aan toe.
Wat betekent dit voor onze klanten?
Door je bedrijfskritische applicaties onder te brengen bij Shock Media versterk je je eigen compliance en kun je richting toezichthouders, auditors en eindklanten aantonen dat jouw infrastructuur Europees verankerd is. Dat is direct relevant als je valt onder NIS2, DORA of de AVG, als je werkt voor of met overheidsinstanties, of als je simpelweg geen juridische verrassingen wil over wie toegang kan krijgen tot jouw data.
Het volledige Digital Cloud Sovereignty Assessment (inclusief mapping naar de EU-CSF en het Dictu Toetsingsinstrument Soevereiniteit Clouddiensten), is te downloaden via ons klantenportaal. Wil je weten wat dit concreet betekent voor jouw omgeving? Neem contact met ons op voor een vrijblijvend gesprek.
