De soevereine noodzaak.

Managementsamenvatting

Een Cyber-Geopolitieke Strategie voor Nederland en Europa (2025-2035)

Dit rapport analyseert de systemische risico’s in de digitale transitie van de Europese Unie (EU) en Nederland, met een strategische horizon tot 2035. De centrale conclusie is dat de perceptie van digitale infrastructuur (cloud, AI, halfgeleiders) als een neutrale, commerciële nutsvoorziening achterhaald en gevaarlijk is. Deze technologieën zijn geëvolueerd tot het primaire domein van geopolitieke machtsuitoefening en een fundamentele pijler van nationale soevereiniteit.

De analyse stelt een structurele en alarmerende afhankelijkheid van de EU vast van een oligopolie van niet-Europese, voornamelijk Amerikaanse, ‘hyperscaler’ cloudleveranciers, die circa 70% van de Europese markt controleren.¹ Deze afhankelijkheid is niet langer een theoretisch risico op spionage; het is een bewezen, actief risico op operationele ontzegging (‘denial-of-service’). Het incident in 2025, waarbij de e-mailaccount van de hoofdaanklager van het Internationaal Strafhof (ICC) in Den Haag werd opgeschort door Microsoft na Amerikaanse sancties, dient als een keerpunt en bewijst het bestaan van een de facto geopolitieke ‘kill switch’ op vitale digitale functies.³

Commerciële pogingen van Amerikaanse leveranciers om dit risico te mitigeren via ‘Sovereign Cloud’-producten ⁶ worden in dit rapport geanalyseerd als een commerciële coöptatie van het soevereiniteitsbegrip. Deze oplossingen bieden technische (data-residentie) maar geen juridische bescherming tegen extraterritoriale wetgeving zoals de U.S. CLOUD Act.⁸ Ze riskeren de EU op te sluiten in een ‘soevereine kooi’: een gereguleerde, maar technologisch volledig afhankelijke markt.

In het halfgeleider domein beschikt Europa, en specifiek Nederland, over een unieke machtspositie via het EUV-lithografiemonopolie van ASML.¹⁰ Deze hefboom wordt echter voornamelijk reactief ingezet onder druk van bondgenoten (VS) ¹² in plaats van proactief als fundament voor Europees beleid. De EU Chips Act, hoewel ambitieus, wordt beoordeeld als “zeer onwaarschijnlijk” om zijn doelstelling van 20% marktaandeel in 2030 te halen ¹⁴, mede omdat het focust op het subsidiëren van buitenlandse fabrikanten ¹⁵ in plaats van het versterken van de eigen intellectuele keten.

Dit rapport presenteert vier cyber-geopolitieke scenario’s (O3) voor de periode 2030-2040, variërend van een crisis (“De Digitale Winter”) tot een pessimistische baseline (“De Soevereine Kooi”). Uit deze analyse volgt een concrete architectuur-roadmap (O4) voor technologische weerbaarheid. Deze roadmap verwerpt het mislukte ‘bouwen van een hyperscaler’-model van Gaia-X ¹⁶ en pleit voor een tweeledige strategie:

1. Publieke Sector Architectuur: Een 3-Tier Hybride Model voor de Nederlandse Rijksoverheid, dat niet-gevoelige data (Tier 1) in de publieke cloud toestaat, maar vitale functies (Tier 3) chirurgisch amputeert van het geopolitieke risico door migratie naar een “Nationale Soevereine Cloud”.¹⁸
2. Industriële Architectuur: Het financieren van een open-source ecosysteem via een “EU Sovereign Tech Fund” ¹⁹ en het strategisch ondersteunen van verticale allianties, zoals de ASML-Mistral AI-alliantie ²¹, als de enige geloofwaardige Europese ‘full stack’-strategie.

Het rapport sluit af met zeven strategische aanbevelingen (O5) voor de C-suite en de Nederlandse overheid. Kernpunten zijn:

• Voor de C-Suite: Behandel de CLOUD Act en het ‘kill switch’-risico (ICC-zaak) als een materieel, feitelijk bedrijfsrisico, niet als een theoretisch compliance-vraagstuk. Implementeer verplichte multi-cloud strategieën om systeemrisico’s te mitigeren.
• Voor de Nederlandse Overheid (Binnenlands): Herzie het Rijksbrede cloudbeleid ²² op basis van het 3-Tier model. Repareer de structurele frictie in de publiek-private cybersecurity-samenwerking door een wettelijke vrijstelling van de Wet Openbaarheid Bestuur (WOB) te creëren voor gedeelde dreigingsinformatie, die momenteel de effectiviteit van het NCSC ondermijnt.²³
• Voor de Nederlandse Rol in Europa (Geopolitiek): Transformeer de rol van “Digital Gateway” ²⁴ van een passieve magneet voor hyperscalers naar een actieve “Architect van de Open Alliantie”. Gebruik de ASML-hefboom ¹⁰ proactief in Brussel en neem het voortouw in het opzetten van een Joint EU-NATO Cyber-Geopolitical Threat Hub in Den Haag om de geïdentificeerde kloof in shared situational awareness te dichten.²⁵

Deel 1: Het Tijdperk van Wapenafhankelijkheid: Analyse van de Digitale Machtsbalans

1.1 De Illusie van de Commerciële Cloud: Kwantificering van de Afhankelijkheid

De digitale transitie van Europa en Nederland rust op een fundament dat grotendeels in buitenlandse handen is. De Europese markt voor cloud-infrastructuur (IaaS en PaaS) wordt gedomineerd door een oligopolie van Amerikaanse ‘hyperscalers’. Data van Synergy Research Group (2024-2025) tonen aan dat Amazon (AWS), Microsoft (Azure) en Google (GCP) gezamenlijk een marktaandeel van 70% in Europa bezitten.¹ In het IaaS-segment (de meest basale laag) is deze concentratie nog sterker.

Deze dominantie is structureel en neemt toe, ondanks de Europese ambitie voor strategische autonomie. Terwijl de totale Europese cloudmarkt (geraamd op €61 miljard in 2024) robuust groeit met 24% per jaar ¹, komt deze groei primair ten goede aan de Amerikaanse leiders. De positie van Europese cloud service providers (CSP’s) is significant geërodeerd. Hun collectieve marktaandeel is gedaald van 29% in 2017 naar een gestagneerd niveau van circa 15% sinds 2022.¹ De grootste Europese spelers, zoals SAP en Deutsche Telekom, hebben elk slechts 2% van de markt in handen.² Een analyse van het Clingendael Instituut (2024) bevestigt dat Europese alternatieven “beperkt” zijn, zowel in aantal als in schaal, en vaak slechts een “subset” van specifieke diensten aanbieden, in tegenstelling tot de “one-stop-shop” benadering van hun Amerikaanse concurrenten.²⁷

Deze macro-economische afhankelijkheid heeft zich direct vertaald naar de Nederlandse publieke sector. Een alarmerend rapport van de Algemene Rekenkamer (januari 2025) stelt vast dat alle Nederlandse ministeries clouddiensten gebruiken.²⁸ Deze adoptie is echter niet geleid door een coherente, centrale governancestructuur. Het rapport onthult dat de ministeries in 26% van de 1.588 gerapporteerde clouddiensten niet weten welk type cloud (publiek, privaat, hybride) ze gebruiken.²⁸ Dit duidt op een wijdverbreide ‘governance-blindheid’, waarbij afhankelijkheden organisch en onbeheerd zijn ontstaan, zonder een centrale afweging van de soevereiniteit risico’s.

De afhankelijkheid van de Nederlandse Rijksoverheid is bovendien sterk geconcentreerd. De overheid is diep verankerd in het Microsoft ecosysteem. Data Protection Impact Assessments (DPIA’s) die sinds 2018 zijn uitgevoerd in opdracht van Strategisch Leveranciersmanagement Rijk (SLM Rijk) bevestigen het grootschalige gebruik van Microsoft 365 door 300.000 overheidsmedewerkers.²⁹ Hoewel het Rijkscloud Beleid van 2022 het gebruik van public cloud diensten toestaat (met uitzondering van staatsgeheimen) ²⁷, is er recent een politieke tegenbeweging ontstaan. Moties in de Tweede Kamer (2025) roepen op tot een her-evaluatie van het gebruik van Amerikaanse Cloud Services en een voorkeur voor Europese aanbieders (“Buy European”) ¹⁸, wat wijst op een groeiend politiek bewustzijn van het risico dat is ontstaan.

1.2 De “ICC Case Study”: Geopolitiek als een Dienst (Geopolitics-as-a-Service)

De abstracte vrees voor de ‘wapenisering’ van deze cloud afhankelijkheid werd in 2025 een harde realiteit, met een incident dat zich ironisch genoeg in Den Haag, de stad van internationaal recht, afspeelde.

Na de aankondiging van sancties door de Amerikaanse regering (onder de Trump 2.0 administratie) tegen de hoofdaanklager van het Internationaal Strafhof (ICC), Karim Khan, werd diens officiële Microsoft-e-mailaccount geblokkeerd of geannuleerd.³ De operationele impact was onmiddellijk: de hoofdaanklager verloor de toegang tot zijn primaire professionele communicatiemiddel. Medewerkers van het ICC gaven aan dat Khan gedwongen was uit te wijken naar een Europese, end-to-end versleutelde dienst (Proton Mail) om zijn werk voort te kunnen zetten.⁴

De reactie van Microsoft op het incident is semantisch en juridisch cruciaal. Microsoft President Brad Smith ontkende publiekelijk dat het bedrijf “op enig moment zijn diensten aan het ICC had stopgezet of opgeschort”.³¹ Andere bronnen bevestigden echter dat Microsoft wel actie had ondernomen tegen het individuele account van de gesanctioneerde functionaris, zoals vereist onder de Amerikaanse sanctiewetgeving.⁵ Dit incident toont een fundamentele verschuiving in het dreigingsbeeld. Het traditionele soevereiniteit risico was gericht op passieve spionage (inzage in data). Het ICC-incident demonstreert een actief, kinetisch risico: operationele ontzegging (denial-of-service).

Het bewijst dat de Amerikaanse overheid, via haar sanctiewetgeving, een Amerikaans bedrijf (Microsoft) de facto kan dwingen om de operationele continuïteit van een vitale internationale organisatie (het ICC) te verlammen. Dit functioneert als een geopolitieke ‘kill switch’.³

Deze gebeurtenis veroorzaakte een politieke schokgolf in Nederland. Leden van de Tweede Kamer (onder meer van GroenLinks-PvdA en CDA) stelden onmiddellijk vragen over de implicaties voor de nationale veiligheid.⁵ De kernvraag: als dit kan gebeuren bij het ICC in Den Haag, dat relatieve onafhankelijkheid geniet, wat zijn dan de risico’s voor Nederlandse overheidsorganisaties die volledig afhankelijk zijn van dezelfde Amerikaanse software- en cloudleverancier?.⁵ Het incident legt de kwetsbaarheid bloot van de diepe verankering van Microsoft 365 binnen de Nederlandse Rijksoverheid.³³

1.3 De Juridische Breuklijn: CLOUD Act vs. GDPR en de “Sovereign Cloud” Valse Vlag

De kern van de soevereiniteit is een fundamenteel en onoplosbaar juridisch conflict tussen de EU en de VS.

Enerzijds verplicht de U.S. Clarifying Lawful Overseas Use of Data Act (CLOUD Act) van 2018 Amerikaanse communicatie- en cloud dienstverleners om data te overhandigen aan Amerikaanse autoriteiten op basis van een bevel, ongeacht waar ter wereld die data fysiek is opgeslagen.³⁴ De wet is expliciet ontworpen om de trage, traditionele diplomatieke kanalen (Mutual Legal Assistance Treaties, MLATs) te omzeilen.³⁵

Anderzijds verbiedt de Algemene Verordening Gegevensbescherming (AVG/GDPR) van de EU de doorgifte van persoonsgegevens naar derde landen (zoals de VS) die geen ‘adequaat’ beschermingsniveau bieden. Een bevel onder de CLOUD Act wordt door de EU niet als een geldige rechtsgrond voor doorgifte beschouwd, wat een directe juridische contradictie creëert.⁸

Om de bezorgde en lucratieve Europese markt (die $70 miljard waard was in 2024 ²) te behouden, hebben de Amerikaanse hyper scalers een geavanceerd marketing- en product offensief gelanceerd onder de vlag van ‘soevereiniteit’. Dit omvat “AWS European Sovereign Cloud” ⁶, “Microsoft Cloud for Sovereignty” ⁶ en Google’s “Assured Workloads”.⁷

De architectuur van deze ‘oplossingen’ is gebaseerd op twee pijlers:

1. Data-residentie: Een belofte dat alle klantdata fysiek binnen de grenzen van de EU wordt opgeslagen en verwerkt.³⁸
2. Operationeel Beheer: Een belofte dat de infrastructuur uitsluitend wordt beheerd en ondersteund door personeel dat in de EU is gevestigd en gescreend.³⁸

Deze diensten gebruiken geavanceerde technische middelen, zoals confidential computing en client-side encryptie, om de “klant de controle” te geven over de data.⁷ Deze maatregelen zijn echter juridisch irrelevant voor het kernprobleem. Ze lossen het technische risico op een malafide interne medewerker of een buitenlandse hacker, maar ze lossen niet het geopolitieke risico op. Een Amerikaans moederbedrijf (Amazon, Microsoft, Google) blijft te allen tijde onderworpen aan de Amerikaanse jurisdictie.⁹ Het kan juridisch gedwongen worden om data over te dragen of, zoals de ICC-zaak bewijst, de dienst te stoppen, ongeacht wat hun ‘soevereine’ marketing in de EU beweert.³ AWS stelt zelf dat de CLOUD Act geen nieuwe bevoegdheden creëerde en dat het bedrijf zal voldoen aan wettelijke verplichtingen.⁴¹

Deze ‘Sovereign Clouds’ zijn in feite een Trojaans paard. Ze zijn niet primair ontworpen om de soevereiniteit van de EU te beschermen, maar om de soevereiniteits-markt te veroveren. Door een voldoende ‘compliant’ product aan te bieden, neutraliseren ze de business case voor opkomende, échte Europese alternatieven (zoals het Gaia-X initiatief).⁴² Ze bieden een commerciële coöptatie van een geopolitiek concept, waardoor Europa het risico loopt een ‘soevereine kooi’ binnen te stappen: perfect gereguleerd, maar volledig afhankelijk.

1.4 Output (O2): Cyber-Soevereiniteits Risicoregister (EU/NL) 2025-2035

De geïdentificeerde afhankelijkheden en geopolitieke dreigingen worden hieronder geformaliseerd in een risicogebied, zoals vereist (O2).

Tabel 1: Cyber-Soevereiniteits Risicoregister (EU/NL)

E=Economisch; M=Maatschappelijk; V=Nationale Veiligheid (Veiligheid)

Deel 2: De Halfgeleider-Paradox: Het Fundament van Macht

De geopolitieke strijd om de 21e eeuw wordt niet alleen gevoerd in de cloud, maar ook op het fysieke fundament daaronder de halfgeleider. In deze arena is de positie van Europa, en specifiek Nederland, hoogst paradoxaal.

2.1 Het ASML-Machtsevenwicht: De Nederlandse Hefboom en Kwetsbaarheid

Nederland herbergt ASML, het meest waardevolle tech-bedrijf van Europa. ASML bezit een de facto wereldwijd monopolie op de enige technologie die in staat is om de meest geavanceerde halfgeleiders te produceren: Extreme Ultraviolet (EUV) lithografie.¹⁰ Zonder de machines van ASML kan niemand noch TSMC in Taiwan, noch Samsung in Zuid-Korea, noch Intel in de VS de geavanceerde chips (onder 7nm) produceren die essentieel zijn voor AI, 5G en moderne defensiesystemen.¹⁰

Dit maakt ASML tot het ultieme chokepoint in de wereldwijde waardeketen en geeft Nederland, als gastland, een ongekende geopolitieke hefboom.⁵⁹ Deze hefboom is echter al geactiveerd, maar niet op initiatief van Europa. De Verenigde Staten hebben de Nederlandse regering succesvol onder druk gezet om exportlicenties van ASML’s geavanceerde EUV- en zelfs oudere DUV-machines naar China te blokkeren.¹⁰

Dit plaatst de Nederlandse regering in een diplomatieke ‘spagaat’.¹³ Zij moet balanceren tussen haar belangrijkste veiligheids bondgenoot (de VS) en de commerciële belangen van haar kroonjuweel (ASML), waarvoor China (na Taiwan) de op een na grootste markt is.¹³ De Nederlandse economie is zelf direct afhankelijk van deze geopolitieke balans. Een escalatie in de Taiwan-Straat, de thuisbasis van ASML’s grootste klant TSMC ⁶⁰, zou desastreuze gevolgen hebben voor de Nederlandse economie.⁶¹

De huidige inzet van ASML als geopolitiek wapen door de VS is strategisch kortzichtig. Het dwingt China om miljarden te investeren in het ontwikkelen van een eigen alternatief, wat op de lange termijn het Nederlandse monopolie zal eroderen. De ware strategische hefboom van ASML ligt niet in exportbeperking, maar in het garanderen van betrouwbare toegang, waardoor de wereld structureel afhankelijk blijft van de Nederlandse technologie.

2.2 De Illusie van de EU Chips Act: Subsidie versus Soevereiniteit

De EU Chips Act, gelanceerd in 2022 met een budget van €43 miljard, is Europa’s directe beleidsreactie op de chip-tekorten van 2021, die de Europese auto-industrie hard raakten.⁵¹ Het expliciete doel is om het marktaandeel van de EU in wereldwijde halfgeleider productie te verdubbelen van minder dan 10% naar 20% in 2030.⁴⁸

Dit doel wordt breed als onrealistisch beschouwd. Een kritisch rapport van de Europese Rekenkamer (ECA) van april 2025 concludeert dat het “zeer onwaarschijnlijk” is dat de wet dit “overdreven ambitieuze” doel zal halen.¹⁴ De ECA merkt bovendien op dat de eigen prognose van de Europese Commissie (juli 2024) het te behalen marktaandeel op slechts 11.7% schat.¹⁴ De financiering is onvoldoende en te geconcentreerd, waardoor het mislukken van één enkel groot project de hele strategie kan doen ontsporen.¹⁴

Er is echter een fundamentele strategische fout. De EU-strategie is niet gericht op het creëren van een eigen, soevereine ‘TSMC’ of ‘Samsung’. De strategie is gericht op het aantrekken van deze buitenlandse bedrijven (TSMC, Intel) met enorme subsidies om fabrieken (fabs) in Europa te bouwen.¹⁵

Dit lost het soevereiniteit probleem niet op. Ten eerste, de IP en de meest geavanceerde productieprocessen blijven in handen van buitenlandse entiteiten. TSMC heeft publiekelijk verklaard dat zijn prioriteit “Taiwan, Taiwan en Taiwan” is.¹⁵ Het zal zijn meest geavanceerde (bv. 2nm) processen nooit naar Europa verplaatsen, omdat de afhankelijkheid van de wereld van het eiland Taiwan de kern vormt van hun geopolitieke ‘silicon shield’-strategie.¹⁵ Europa subsidieert dus de bouw van minder geavanceerde fabs.

Ten tweede mist Europa een grote ‘fabless’ ontwerp-industrie (zoals de Amerikaanse bedrijven NVIDIA, Apple of AMD).⁶⁷ Dit betekent dat de (met EU-subsidie gebouwde) buitenlandse fabs in Europa nog steeds primair Amerikaanse ontwerpen zullen produceren, op basis van Aziatische IP. De EU Chips Act is feitelijk een industriepolitieke subsidie vermomd als een soevereiniteit strategie. Het mitigeert een logistiek risico (chips op een boot) door een geopolitiek risico te creëren (buitenlandse controle over kritieke infrastructuur binnen de EU-grenzen).

2.3 De AI-Infrastructuur Oorlog: De Strijd om de ‘Stack’

De opkomst van Generatieve AI (GenAI) heeft de geopolitieke ‘arms race’ verplaatst naar de infrastructuurlaag.⁶⁸ Deze race wordt volledig gedomineerd door Amerikaanse bedrijven (OpenAI, Google, Meta, Anthropic).⁶⁸ OpenAI (gesteund door Microsoft) heeft begin 2025 bijna 80% van het wereldwijde webverkeer naar GenAI-tools in handen.⁶⁹ Europese alternatieven zijn vrijwel onzichtbaar op de wereldmarkt.⁷⁰

De reactie van de EU is tweeledig geweest: (1) Regulering via de AI Act, die zich richt op gebruiksregels maar geen industrieel kampioen creëert ⁷¹; en (2) de roep om “Sovereign AI”, wat de controle over AI-technologie vereist om nationale waarden en veiligheid te beschermen.⁷²

Het enige geloofwaardige Europese AI-alternatief dat is opgestaan, is het Franse Mistral AI.⁷⁴ Dit bedrijf wordt nu actief omarmd door Europese overheden (zoals Luxemburg) als een strategische, soevereine partner.⁷⁵

Een cruciale en veelbelovende ontwikkeling vond plaats in 2025: het Nederlandse ASML investeerde €1.3 miljard en werd daarmee de grootste aandeelhouder in Mistral AI.²¹ Dit is geen gewone investering; het is een diep strategische alliantie die de twee Europese ‘chokepoints’ met elkaar verbindt: de onvervangbare hardware-productie-IP (ASML) en de meest veelbelovende AI-model-IP (Mistral).²¹

De logica is briljant: ASML heeft geavanceerde AI nodig om de complexiteit van de volgende generatie lithografiemachines te ontwerpen. Mistral heeft gegarandeerde toegang tot kapitaal en (via ASML’s connecties) prioritaire toegang tot de meest geavanceerde chips nodig. Deze alliantie is de de facto geboorte van een Europese industriële soevereiniteit strategie. Het is alles wat Gaia-X (een top-down, bureaucratisch “papieren monster” ¹⁶) had moeten zijn: marktgedreven, verticaal geïntegreerd (van chip tot model), en geleid door de industrie. Dit is de enige geloofwaardige architectuur (Q10) die kan concurreren met de Amerikaanse (Microsoft/OpenAI) en Chinese ‘full stack’-benaderingen.

Deel 3: De Toekomst Onthuld: Vier Cyber-Geopolitieke Scenario’s (2030-2040)

Deze scenario’s (een expliciete vereiste, O3) zijn geen voorspellingen maar strategische stresstests. Ze zijn ontworpen om de risico’s uit Deel 1 en 2 (zie Risicoregister, Tabel 1) te extrapoleren en de veerkracht van de architecturen uit Deel 4 te toetsen.

3.1 Scenario 1 (Crisis): “De Digitale Winter” (De ‘Perfect Storm’, 2028-2030)

Dit scenario combineert de twee grootste externe dreigingen (R-SC-01 en R-HY-01) in een gelijktijdige crisis.

• De Schok: Een maritieme blokkade of militair conflict rond Taiwan escaleert.⁴⁹ De export van TSMC, dat 90% van ’s werelds meest geavanceerde chips produceert ⁴⁸, stopt onmiddellijk. Tegelijkertijd lanceert een statelijke actor (bv. Rusland, als hybride escalatie van het conflict in Oekraïne) een gecoördineerde cyber- en sabotage campagne tegen West-Europese vitale infrastructuur. Deze campagne richt zich op de interconnecties van het Europese elektriciteitsnet en onderzeese datakabels.⁵²
• Cascaderende Gevolgen: De chip-stop leidt binnen 1-3 maanden tot een volledige productiestop bij de Europese (vooral Duitse) auto-industrie ⁶³ en de defensie-industrie. De EU Chips Act-fabrieken ⁶⁶ zijn irrelevant; ze zijn óf nog niet operationeel, óf produceren niet de benodigde geavanceerde chips, óf zijn zelf afhankelijk van grondstoffen uit Azië. De aanval op het elektriciteitsnet veroorzaakt cascaderende blackouts, vergelijkbaar met de (niet-kwaadaardige) Spaanse storing van 2025.⁵⁶ Dit legt niet alleen treinen en huishoudens plat, maar ook de datacenters (die afhankelijk zijn van externe stroom ⁴⁴), mobiele netwerken en financiële transactiesystemen. De VS activeert sancties en eist dat de Nederlandse regering alle servicecontracten van ASML met China verbreekt.⁶¹
• Resultaat: Systemische ineenstorting. Het scenario onthult de interconnectiviteit van afhankelijkheid: de digitale (cloud), industriële (semiconductors) en fysieke (energie) infrastructuren zijn niet drie afzonderlijke risicodomeinen, maar één gecombineerd aanval oppervlak in moderne hybride oorlogsvoering.⁵⁴

3.2 Scenario 2 (Pessimistisch): “De Soevereine Kooi” (De ‘Baseline-val’, 2025-2030)

Dit is het ‘boiling frog’-scenario. Er gebeurt geen grote crisis, en de huidige trends zetten door.

• De Schok (De ‘Anti-Schok’): De politieke wil voor strikte (op eigendom gebaseerde) soevereiniteit vereisten in de Europese cloud certificering (EUCS) ⁴³ wordt verwaterd. Dit gebeurt door succesvolle lobby-activiteiten en de wens van ‘liberale’ lidstaten (waaronder ³⁹ Nederland noemt) om de markt ‘open’ te houden en innovatie niet te remmen.
• Cascaderende Gevolgen: De “Sovereign Cloud” producten van AWS, Microsoft en Google ⁶ worden de de facto standaard voor ‘soevereine compliance’ in Europa. Ze worden EUCS-gecertificeerd op een lager, ’technisch’ niveau. Het Gaia-X-initiatief ⁸¹ wordt een “dure afleiding” ⁸² en een “papieren monster” ¹⁶ dat faalt om een technisch alternatief te bieden. Het wordt effectief “gekaapt” (“hijacked”) door de Amerikaanse hyper scalers die lid zijn geworden.¹⁷
• Resultaat: Europa is een “gereguleerde kolonie”. Het heeft ’s werelds strengste wetgeving (GDPR, AI Act) maar nul controle over de infrastructuur die de data verwerkt. Het juridische conflict (CLOUD Act⁸) en het ‘kill switch’-risico (R-CL-01) ³ blijven 100% intact, maar verborgen achter een marketing-fineer van ‘soevereiniteit’. De roep om soevereiniteit leidt tot een “splinternet”-effect ⁸³ en innovatievertraging, zonder feitelijke soevereiniteit te vergroten.

3.3 Scenario 3 (Optimistisch): “De Open Autonome Alliantie” (Het ‘Sputnik-Moment’, 2026-2035)

Dit scenario gaat uit van een succesvolle beleid omslag, getriggerd door de schokken van 2025.

• De Schok (Het ‘Sputnik-Moment’): De combinatie van de grote, technische AWS/Azure-storingen (okt/nov 2025) ⁴⁵ en de politieke schok van het ICC/Microsoft-incident ³ creëert een unaniem gevoel van urgentie bij de EU-lidstaten (vooral NL, DE, FR).
• De Beleidsomslag: Europa stopt met het proberen te vervangen van hyperscalers (de Gaia-X-fout ¹⁶). De strategie wordt: (1) Het creëren van een geloofwaardig alternatief en (2) het diversifiëren van de afhankelijkheid, conform de principes van Digital Open Strategic Autonomy (DOSA).⁸⁶
• Gecoördineerde Acties: De ASML-Mistral-alliantie ²¹ wordt actief ondersteund als het model voor een nieuwe Europese industriële ‘stack’-strategie. De EU-lidstaten (o.l.v. Duitsland, Frankrijk, Italië, Nederland ⁸⁷) lanceren een European Digital Infrastructures Consortium (EDIC) ⁸⁸ en een “EU Sovereign Tech Fund” (gemodelleerd naar het succesvolle Duitse fonds ¹⁹). Dit fonds investeert €350M+ ²⁰ in het onderhouden en beveiligen van bestaande kritieke open-source infrastructuurprojecten.⁸⁹
• Resultaat: Tegen 2035 bestaat er een federatieve, interoperabele, open-source Europese cloud-stack. Deze is niet de marktleider, maar fungeert als de ‘go-to’ infrastructuur voor de Europese publieke sector en vitale industrieën. Dit creëert echte keuzevrijheid, veerkracht en soevereiniteit, niet door autarkie (isolatie), maar door het bezitten van een geloofwaardig, open alternatief.

3.4 Scenario 4 (Basaal): “De Gefragmenteerde Verdediging” (De ‘Hybride Slijtageslag’, 2025-2030)

Dit scenario is de voortzetting van de huidige status quo van low-intensity hybride oorlogsvoering.

• De Schok (De ‘Grijze Zone’): Er is geen ‘Digitale Winter’ (Scenario 1), maar een constante ‘slijtageslag’ (R-HY-01). Dit omvat spionage (bv. Russische surveillance van Nederlandse energie-infrastructuur ⁹⁰), cyber aanvallen op vitale sectoren ⁵⁷, en des informatiecampagnes.⁵⁴
• De Respons (Fragmentatie): De respons is op alle niveaus gefragmenteerd.

• EU-NATO: De samenwerking is op papier uitstekend ⁵⁵, maar in de praktijk gebrekkig. Er is een chronisch gebrek aan “shared situational awareness” en een onwil om geclassificeerde inlichtingen te delen.²⁵
• EU-Intern: De lidstaten zijn verdeeld. Frankrijk bouwt zijn eigen ‘fort’ (via de strikte SecNumCloud ³⁹), terwijl Nederland pleit voor een open, liberale benadering.³⁹ Deze interne EU-fragmentatie ⁹⁵ voorkomt een eenduidige soevereiniteit architectuur.
• NL-Intern: De Nederlandse strategie (NLCS 2022-2028 ⁵⁷) leunt zwaar op publiek-private samenwerking (PPP). Maar (zoals Risico R-NL-01 stelt) deze PPP wordt structureel ondermijnd door interne juridische frictie, met name de Wet Openbaarheid Bestuur (WOB). Private partijen zijn huiverig om cruciale dreigingsinformatie te delen met het NCSC, uit angst dat deze informatie openbaar wordt.²³
• Resultaat: De grootste kwetsbaarheid van Europa en Nederland is niet de externe dreiging, maar de interne fragmentatie.

3.5 Output (O3b): Scenario-Impactmatrix

De vier scenario’s worden hier samengevat in hun impact op de vitale belangen van de EU en Nederland.

Tabel 2: Scenario-Impactmatrix op Vitale Belangen (EU/NL) 2030-2040

Deel 4: Een Soevereine Architectuur: Roadmap voor Technologische Weerbaarheid (2025-2035)

Om Scenario 1 en 2 af te wenden en Scenario 3 te realiseren, is een concrete architectuur-roadmap (O4) vereist die de geïdentificeerde risico’s mitigeert. Deze roadmap moet zowel technologisch (Q10) als governance-gericht zijn.

4.1 Voorbij Gaia-X: De Open-Source Infrastructuur Stack

De poging om een Europese hyperscaler te bouwen (het oorspronkelijke ‘AI-Airbus’-idee van Gaia-X ⁴²) is mislukt.¹⁶ De afhankelijkheid van niet-Europese software is echter een toprisico.⁹⁶ De enige manier om de ‘vendor lock-in’ ⁴⁰ van de gesloten hyperscaler-ecosystemen te doorbreken is niet met een concurrerend gesloten systeem, maar met een superieur open ecosysteem.

Architectuur: Een federatieve ⁹⁷ architectuur gebaseerd op open-source standaarden en componenten.⁸⁹

Roadmap (Actieplan):

1. Stap 1 (2025-2027): Financier de Fundamenten. Stop met het financieren van nieuwe ‘grand designs’. Lanceer een “EU Sovereign Tech Fund”, gemodelleerd naar het succesvolle Duitse fonds.¹⁹ Met een voorgesteld budget van €350M+ ²⁰ moet dit fonds bestaande, kritieke open-source projecten (waar de EU-infrastructuur reeds op draait) onderhouden, beveiligen en professionaliseren.
2. Stap 2 (2027-2030): Bouw de Alliantie. Creëer een European Digital Infrastructures Consortium (EDIC) ⁸⁸, specifiek voor Open Source Infrastructure. Nederland, Frankrijk, Duitsland en Italië hebben hiertoe al een aanzet gegeven ⁸⁷ en moeten dit leiden.
3. Stap 3 (2028-2035): Migreer via Aanbesteding. Gebruik “Buy European” ¹⁸ en “Buy Open Source”-mandaten in publieke aanbestedingen om deze gefinancierde, veilige en open-source stack de de facto standaard te maken voor de Europese publieke sector.

4.2 De ‘Gecontroleerde’ Hybride Cloud: Architectuur voor de Nederlandse Rijksoverheid

Het probleem van de Rijksoverheid is niet alleen de afhankelijkheid van Microsoft 365 ³³, maar het gebrek aan governance om deze afhankelijkheid te beheersen (26% onbekende cloud-types).²⁸ De motie voor een “Nationale Cloud” ¹⁸ is een politiek signaal. De architectuur moet dit praktisch uitvoerbaar maken. Het doel kan niet zijn om M365 te vervangen, wat operationeel en financieel niet realistisch is. Het doel moet zijn om de vitale functies (Tier 3) chirurgisch te amputeren van het geopolitieke ‘kill switch’-risico.³

Architectuur: Een Data-Gecentrisseerd, Drie-Tier Hybride Model.

Roadmap (Actieplan):

1. Stap 1 (2025-2026): Triage & Classificatie. Voer een Rijksbrede, verplichte inventarisatie uit (o.l.v. NCSC/NCTV). Classificeer alle data en applicaties in drie tiers:

• Tier 1 (Publiek/Ongevoelig): Data zonder privacy- of staatsgeheim-impact. Architectuur: Publieke Cloud (AWS, Azure, M365) toegestaan, mits multi-cloud (om risico R-CL-02 te mitigeren).
• Tier 2 (Gevoelig/Privacy): Alle persoonsgegevens (GDPR), gevoelige beleidsdata. Architectuur: “Qualified Sovereign Cloud”. Dit kunnen de ‘Sovereign’ aanbiedingen van US-spelers ⁷ zijn of (bij voorkeur) EU-spelers (bv. OVHcloud), mits zij voldoen aan de hoogste EUCS-certificering (inclusief soevereiniteitseisen ⁴³). Data-residentie en -beheer in de EU is een harde eis.
• Tier 3 (Vitaal/Staatsgeheim): Defensie-data ²⁷, inlichtingen (AIVD/MIVD), controle-systemen voor vitale infrastructuur (NCTV ⁸⁰), en data van organisaties die (zoals het ICC) doelwit kunnen zijn van buitenlandse sancties. Architectuur: Nationale Soevereine Cloud.

2. Stap 2 (2026-2029): Bouw de ‘Nationale Soevereine Cloud’ (Tier 3). Dit is geen publieke cloud. Het is een Community Cloud ⁹⁸ of on-premise Private Cloud ⁹⁸, beheerd door een 100% Nederlandse of gescreende Europese partij, fysiek in Nederland, en juridisch afgeschermd (“air-gapped”) van niet-EU-jurisdictie. Het mag geen componenten bevatten die eigendom zijn van een U.S. CLOUD Act-entiteit.

4.3 De Soevereine AI-pijplijn: Van Chip tot Model

AI-soevereiniteit ⁷² vereist een volledige keten (stack) van hardware, data en modellen, die Europa momenteel niet bezit.⁷¹ De ASML-Mistral alliantie ²¹ biedt de blauwdruk.

Architectuur: Een Geïntegreerde ‘Stack’-Alliantie.

Roadmap (Actieplan):

1. Stap 1 (Hardware): Heroriënteer de EU Chips Act.⁵¹ Focus subsidies niet op het lokken van buitenlandse fabs voor oude nodes, maar op strategische investeringen in de Europese toeleveringsketen van ASML ¹¹, R&D (Imec, Fraunhofer) en geavanceerde packaging (een huidige EU-zwakte).
2. Stap 2 (Compute): Creëer (via EuroHPC) dedicated AI-supercomputers met de enige missie het trainen van Europese soevereine modellen (zoals Mistral AI).¹⁰⁰
3. Stap 3 (Data): Versnel de uitrol van de Common European Data Spaces ¹⁰¹ om de (GDPR-conforme) trainingsdata voor deze modellen te leveren.
4. Stap 4 (Modellen): Gebruik de publieke aanbesteding (NL, FR, DE) om de vraag naar de output van deze modellen te garanderen (zoals Luxemburg doet met Mistral ⁷⁵). Dit creëert een vicieuze cirkel van innovatie: de AI verbetert het chipontwerp, en de betere chips trainen de AI.²¹

4.4 Het Oplossen van de Privacy-Veiligheidsparadox (Governance)

Europa’s streven naar soevereiniteit wordt intern ondermijnd door een fundamentele beleidsmatige contradictie. Enerzijds vernietigt het Europese Hof van Justitie (CJEU) nationale wetten voor algemene data-retentie, zelfs voor nationale veiligheid, uit naam van de privacy (GDPR).¹⁰¹ Anderzijds stelt de Europese Commissie “Chat Control” (CSAM-verordening) voor, wat algemene surveillance (client-side scanning) vereist en daarmee de end-to-end encryptie breekt.¹⁰⁷

Dit is onhoudbaar. Echte soevereiniteit vereist beide: het beschermt de vertrouwelijkheid van burgers (privacy/encryptie) en het beschermt de staat (nationale veiligheid). “Chat Control” vernietigt het eerste en creëert een massaal nieuw aanvalsoppervlak. Passiviteit vernietigt het tweede.

Governance-Architectuur:

1. Stap 1 (Verwerp ‘Chat Control’): De ‘Chat Control’-propositie is onverenigbaar met digitale soevereiniteit. Het vernietigt de digitale integriteit (encryptie) van de EU-infrastructuur ¹⁰⁷ en maakt deze kwetsbaar voor alle actoren, inclusief vijandige staten.
2. Stap 2 (Respecteer het CJEU-kader): Accepteer de CJEU-jurisprudentie.¹⁰⁵ Algemene en ongedifferentieerde surveillance (bulk data retention) is verboden.¹⁰⁴
3. Stap 3 (De ‘Chirurgische’ Oplossing): De enige weg voorwaarts (die het CJEU wel toestaat) is gerichte retentie, geactiveerd enkel “in situaties waar de lidstaat geconfronteerd wordt met een serieuze, reële en voorzienbare dreiging voor de nationale veiligheid”.¹⁰⁵ Dit vereist een ‘slapend’ crisis-protocol dat, na onafhankelijke toetsing, tijdelijke en gerichte bevoegdheden geeft bij een geactiveerde dreiging (zoals Scenario 1: De Digitale Winter).

Deel 5: Strategische Aanbevelingen voor Nederland in Europa

Gebaseerd op de voorgaande analyse, presenteert dit rapport zeven strategische aanbevelingen (O5), gericht op de C-suite (bedrijfsleven), de Nederlandse overheid (binnenlands beleid) en de geopolitieke positionering van Nederland binnen de EU (Q9, Q12).

5.1 Voor de C-Suite (Bedrijfsleven en Vitale Sectoren)

Aanbeveling 1: Behandel Cloud-risico’s als Systemisch, niet Technisch.

• Rationale: De recente AWS/Azure-storingen (okt/nov 2025) ⁴⁵ en het ICC-incident ³ zijn geen IT-problemen; het zijn externe, geopolitieke en systemische schokken die de bedrijfscontinuïteit direct bedreigen. De afhankelijkheid van één enkele (Amerikaanse) leverancier (R-CL-02) is een materieel risico dat in jaarverslagen en risico-analyses thuishoort.
• Actie: Verlaat de ‘single-vendor’-strategie. Implementeer een verplichte multi-cloud en multi-regio architectuur voor alle kritieke applicaties om de impact van technische storingen te mitigeren. Modelleer en kwantificeer de financiële impact van een 14-daagse R-CL-01 (‘Kill Switch’) lock-out.

Aanbeveling 2: Behandel de U.S. CLOUD Act en Sanctiewetgeving als een Feit, niet als een Risico.

• Rationale: Het ICC-incident ⁵ bewijst dat Amerikaanse providers de Amerikaanse wet zullen gehoorzamen, ongeacht marketingbeloften over ‘soevereiniteit’.³²
• Actie: Implementeer de 3-Tier architectuur (zie 4.2). Identificeer Tier 3 (vitaal, strategisch IP, data onderhevig aan sanctierisico) en migreer dit fysiek en juridisch buiten de jurisdictie van de CLOUD Act (bv. naar een Europese CSP of on-premise). Accepteer dat “AWS European Sovereign Cloud” ³⁸ juridisch geen mitigatie biedt voor deze specifieke dreiging.

5.2 Voor de Nederlandse Overheid (Governance & Binnenlands Beleid)

Aanbeveling 3: Herzie het Rijksbrede Cloudbeleid (2022) met de “ICC-Case” als Nieuw Dreigingsbeeld.

• Rationale: Het huidige beleid ²² is te permissief en gebaseerd op een technisch risicobeeld (privacy, data-verlies), niet een geopolitiek dreigingsbeeld (R-CL-01 ‘Kill Switch’). De ‘governance-blindheid’ vastgesteld door de Rekenkamer ²⁸ is onaanvaardbaar.
• Actie: Adopteer de 3-Tier architectuur (zie 4.2) als verplichtend kader voor de Rijksoverheid en (via NIS2) vitale sectoren. Geef de NCTV de bevoegdheid om Tier 3-data te definiëren. Start onmiddellijk de aanbesteding voor de “Nationale Soevereine Cloud” ¹⁸ voor deze Tier 3-data.

Aanbeveling 4: Repareer de Publiek-Private Cybersecurity Samenwerking (PPP).

• Rationale: De Nederlandse Cybersecurity Strategie (NLCS 2022-2028) ⁵⁷ en de werking van het NCSC ¹¹³ leunen volledig op PPP. Analyse van deze PPP ²³ (R-NL-01) bewijst dat deze samenwerking structureel defect is, omdat private partijen huiverig zijn om cruciale dreigingsinformatie te delen met het NCSC uit angst dat deze via de Wet Openbaarheid Bestuur (WOB) op straat komt te liggen.
• Actie: Creëer een wettelijk ’trust framework’. Wijzig de wetgeving om expliciet vrijwillig gedeelde, geclassificeerde dreigingsinformatie tussen vitale private partners en het NCSC/NCTV vrij te stellen van de WOB. Zonder deze veilige haven is de nationale cybersecurity-strategie ⁵⁸ onuitvoerbaar.

5.3 Voor de Nederlandse Rol in Europa (Cyber-Geopolitiek)

Aanbeveling 5: Wees de ‘Architect van de Open Alliantie’, niet de ‘Poortwachter van de Hyperscalers’.

• Rationale: De Nederlandse “Digital Gateway to Europe”-strategie ²⁴ is te passief en gericht op het aantrekken van (vooral Amerikaanse) datacenters.¹¹⁶ Dit verergert de afhankelijkheid. Nederland, als gastland van ASML ¹⁰ en een digitale hub ¹¹⁶, moet leiden.
• Actie: (1) Gebruik de ASML-hefboom ¹⁰ proactief in Brussel om de EU Chips Act ⁵¹ te sturen naar investeringen in de ASML-toeleveringsketen ¹¹ en R&D, in plaats van in buitenlandse fabs. (2) Leid de coalitie ⁸⁷ voor het “EU Sovereign Tech Fund” ¹⁹ en koppel dit aan de Nederlandse expertise in open-source.⁸⁹

Aanbeveling 6: Word de Drijvende Kracht achter Europese Cyber-Coalities.

• Rationale: Nederland heeft bewezen een effectieve ‘coalitiebouwer’ te zijn in het cyberdomein, o.a. via het International Counter Ransomware Initiative ¹¹⁷ en de recente steun (€10M) aan het “Tallinn Mechanism” voor Oekraïne.¹¹⁸
• Actie: Pas het ‘Tallinn Mechanism’-model intern toe. Lanceer een “Haags Mechanisme” (The Hague Mechanism) gericht op EU-interne veerkracht: een coalitie van ‘willing’ lidstaten (NL, DE, FR, SE, EE) die gezamenlijk dreigingsinformatie delen en investeren in de verdediging van elkaars vitale infrastructuur.

Aanbeveling 7: Sluit de EU-NATO Operationele Kloof (De ‘Haagse Hub’).

• Rationale: Zowel de EU als NATO erkennen de hybride dreiging op vitale infrastructuur.⁵⁵ Het operationele probleem is de fragmentatie ⁵⁶ en het gebrek aan een gezamenlijk dreigingsbeeld (“shared situational awareness”) ²⁵, specifiek door de onwil om geclassificeerde inlichtingen te delen.²⁵

Actie: Nederland is uniek gepositioneerd als gastland voor Europol/EC3 ¹¹⁶, de NATO NCI Agency ¹¹⁶, en het NCSC.¹¹³ Nederland moet het voortouw nemen om in Den Haag een “Joint Cyber-Geopolitical Threat Hub” (JCG-TH) op te richten. Deze Hub dient als operationele brug (niet alleen ‘dialoog’) tussen de EU (ENISA/EC3) en NATO (NCI) voor het real-time delen van geclassificeerde inlichtingen over hybride dreigingen (R-HY-01) tegen de vitale infrastructuur. Dit is de enige manier om Scenario 1 (“De Digitale Winter”) effectief te voorkomen.