De meeste organisaties zitten bij Microsoft. Teams, Outlook, Word en Excel zijn inmiddels zo ingeburgerd dat de vraag ‘gebruiken we Microsoft?’ eigenlijk niet vaak meer gesteld wordt. En eerlijk gezegd is dat ook begrijpelijk. Microsoft 365 is volwassen, breed ondersteund en de meeste medewerkers hebben hier al ervaring mee.

Maar er speelt een discussie die de laatste jaren steeds groter wordt en die de moeite waard is om te begrijpen. Die discussie gaat over digitale soevereiniteit. Wie heeft er eigenlijk toegang tot jouw data en wat betekent het dat jij software gebruikt van een Amerikaans bedrijf? En maak je hier als organisatie een bewuste keuze in?

Wat is digitale soevereiniteit?

Digitale soevereiniteit betekent dat je zelf bepaalt waar je data staat, wie er toegang toe heeft en onder welke wet dat gebeurt. Dat klinkt vanzelfsprekend, maar dat is niet altijd zo in de praktijk. Wanneer je Microsoft 365 of Google Workspace gebruikt, sla je gegevens op bij een Amerikaans bedrijf. Dat heeft juridische gevolgen waar niet alle organisaties over nadenken.

De CLOUD Act

In 2018 voerde de Amerikaanse overheid de CLOUD Act (Clarifying Lawful Overseas Use of Data Act) in. Die wet verplicht Amerikaanse technologiebedrijven om data te overhandigen aan de Amerikaanse overheid als die erom vraagt, ook als die data fysiek in Europa opgeslagen staat.

Dat het geen hypothetisch scenario is, zagen we in mei 2025. Toen blokkeerde Microsoft, op verzoek van de Amerikaanse overheid, de e-mailbox van de hoofdaanklager van het Internationaal Strafhof (ICC) in Den Haag.

Maar het is ook goed om eerlijk te zijn over de schaal van het risico. Het NCSC concludeerde dat het risico ‘voorstelbaar, maar in de praktijk heel klein’ is. Microsoft ontving tussen 2018 en het moment van het onderzoek twaalf verzoeken voor niet-Amerikaanse enterprise data. Dat onderzoek is wel uitgevoerd in 2022, vóór de huidige geopolitieke spanningen en ‘klein’ is niet hetzelfde als ‘nul’.

Wat Microsoft doet om dit te adresseren

Microsoft is zich bewust van de zorgen en heeft stappen gezet. In 2022 introduceerden ze de EU Data Boundary, waarmee klantdata van Europese organisaties binnen Europa blijft. In 2025 werd de laatste fase uitgerold. In juni 2025 kondigde Microsoft vervolgens aanvullende ‘sovereign solutions’ aan, waaronder tools waarmee organisaties zelf de encryptiesleutels kunnen beheren. Zo heeft Microsoft technisch gezien geen toegang meer tot de leesbare inhoud van die data.

Dat laatste is belangrijk. Als je zelf je encryptiesleutel beheert, kan Microsoft bij een CLOUD Act-verzoek wel je versleutelde data overhandigen, maar niet de leesbare inhoud. Dat biedt bescherming, maar het vereist wel een bewuste technische keuze en extra configuratie.

De vraag is of de beloftes van Microsoft genoeg zijn. Strategisch gezien investeert Microsoft miljarden in Europese infrastructuur en willen ze voorkomen dat nationale cloudinitiatieven en Europese regelgeving hun marktpositie aantasten. De commerciële belangen zijn dus duidelijk. Of de juridische bescherming even stevig is als de marketingbeloften, is een andere vraag.

Google Workspace: hetzelfde probleem, een andere verpakking

Google Workspace biedt vergelijkbare functionaliteiten als Microsoft 365, zoals e-mail, documenten, opslag en videovergaderingen. Op het gebied van soevereiniteit is de situatie vergelijkbaar, omdat Google ook een Amerikaans bedrijf is en daarmee ook onder de CLOUD Act valt.

Google heeft net zoals Microsoft stappen gezet richting soevereiniteit. In mei 2025 kondigden ze uitgebreide soevereine cloudoplossingen aan, waaronder de Google Cloud Data Boundary waarmee klanten zelf kunnen bepalen waar hun data wordt opgeslagen en verwerkt. Ook biedt Google via partnerschappen met lokale Europese partijen (zoals Thales in Frankrijk en T-Systems in Duitsland) zogenaamde ‘supervised cloud’ oplossingen waarbij een Europese partij de operatie beheert. Maar net zoals bij Microsoft geldt dat een datacenter in Europa Google niet tot een Europees bedrijf maakt. Zolang Google LLC als Amerikaans moederbedrijf de infrastructuur beheert, blijft de CLOUD Act van toepassing.

Daarnaast is Google Workspace bij de meeste (mkb-)organisaties minder ingeburgerd dan Microsoft. Het wordt vaker ingezet bij organisaties die bewust hebben gekozen voor een alternatief voor Microsoft, of bij bedrijven die vanuit een Google-first werkwijze zijn gegroeid. Voor die organisaties verandert dit blog weinig aan de afweging, want ook zij zitten bij een Amerikaans bedrijf met dezelfde juridische kwetsbaarheden.

Europese alternatieven: veelbelovend, maar niet zonder haken en ogen

Er zijn veel Europese alternatieven voor Microsoft 365 en Google Workspace. Denk bijvoorbeeld aan Nextcloud voor bestandsopslag en samenwerking, Proton Mail voor e-mail of Zivver voor veilig berichtenverkeer. Voor specifieke toepassingen zijn er steeds meer volwassen Europese opties beschikbaar.

Op grotere schaal werkt KPN samen met het Europese STACKIT aan een Nederlandse soevereine cloud, die naar verwachting medio 2027 beschikbaar komt. En in 2025 riep de Tweede Kamer op tot een nationale rijkscloud en het terugdringen van afhankelijkheid van Amerikaanse techbedrijven. Maar het is duidelijk dat een volledig Europese hyperscale cloud op korte termijn geen realistisch alternatief is. Voor organisaties die nu al meer grip willen op hun data dan een publieke cloud biedt, hebben wij bij SPINO ook een eigen optie. Op kleinere schaal bieden we soevereine infrastructuur op eigen hardware, in samenwerking met Nederlandse en Europese partners.

Maar de eerlijke boodschap is dat Europese alternatieven voor de meeste (mkb-)organisaties vandaag nog niet de volledige functionaliteit bieden van Microsoft 365 of Google Workspace. Ze hebben minder integraties, kleinere ecosystemen en minder AI-functionaliteit. Dat gaat veranderen, maar het is nog niet zo ver.

De eerlijke afweging

Voor de meeste mkb-organisaties is Microsoft 365 voorlopig de meest praktische keuze. De functionaliteit is breed, de ondersteuning is goed, de integraties met andere software zijn talrijk en iedereen is ermee bekend. Maar dat betekent niet dat je er niet bewust over na hoeft te denken. Een paar vragen die de moeite waard zijn:

• Welke data sla je op in Microsoft 365 of Google Workspace?
• Beheer je zelf de encryptiesleutels of heeft Microsoft of Google toegang tot jouw data?
• Heb je in je verwerkersovereenkomst vastgelegd waar data wordt opgeslagen?
• Wat gebeurt er als er een overheidsverzoek binnenkomt?

Dat zijn geen vragen die een reden zijn om te stoppen met Microsoft of Google, maar het zijn wel vragen die een goed ICT-beleid zou moeten beantwoorden.

Hoe wij naar dit vraagstuk kijken

Wij werken voor mkb-organisaties die praktisch willen omgaan met ICT. Dat betekent niet dat we adviseren om Microsoft of Google te verlaten puur vanwege soevereiniteitszorgen. Maar het betekent dat we onze klanten helpen om bewuste keuzes te maken.

Onze eerlijke conclusie is dat voor de meeste van onze klanten Microsoft 365 vandaag de dag nog de functioneel logische keuze is. Wie nu overstapt naar een Europees alternatief, doet dat vaak niet omdat het beter werkt. Dit wordt gedaan vanuit overtuiging, omdat ze principieel niet willen afhangen van Amerikaanse wetgeving en infrastructuur.

Wat wij onze klanten meegeven is dat je begrijpt waar je voor kiest. Niet omdat Microsoft onveilig is, maar omdat bewust kiezen altijd beter is dan onbewust accepteren. Wil jij hier eens over sparren? Neem vrijblijvend contact met ons op.