Tijdens de coronapandemie ontdekten veel organisaties hoe kwetsbaar internationale toeleveringsketens konden zijn. Plots werd duidelijk hoe afhankelijk bedrijven waren van leveranciers aan de andere kant van de wereld. Die ervaring heeft het denken over productie en bevoorrading blijvend veranderd. Vandaag voltrekt zich een gelijkaardige evolutie in IT. De geopolitieke context zet organisaties ertoe aan om kritischer te kijken naar hun afhankelijkheid van cloudplatformen en leveranciers buiten de Europese Unie.
Cloudsoevereiniteit groeit daardoor uit tot een strategisch aandachtspunt.
Organisaties willen weten hoeveel controle ze werkelijk hebben over hun digitale omgeving en welke afhankelijkheden daarbij een rol spelen. De technologie is grotendeels dezelfde gebleven, maar de context waarin organisaties die technologie gebruiken, is fundamenteel veranderd. De centrale vraag is eigenlijk eenvoudig: hoeveel controle heeft u echt over uw cloudomgeving? Wie heeft er toegang tot uw data? Welke wetgeving is van toepassing? En blijft alles operationeel als een externe leverancier morgen wegvalt?
Precies daarom zoeken steeds meer organisaties naar een objectieve manier om hun digitale onafhankelijkheid te beoordelen.
Wat is het Europese Cloud Sovereignty Framework?
Organisaties gebruiken cloudsoevereiniteit vaak als verzamelbegrip. De ene leverancier legt de nadruk op de locatie van data, de andere op wetgeving, security of operationele controle.
Om daar meer duidelijkheid over te scheppen, ontwikkelde de Europese Commissie het Cloud Sovereignty Framework. Dat framework biedt een objectieve beoordelingsmethodiek waarmee organisaties de digitale onafhankelijkheid van een cloudomgeving kunnen evalueren.
Het framework toetst een cloudomgeving aan 48 criteria, verdeeld over acht domeinen:
- strategische soevereiniteit
- juridische onafhankelijkheid
- datasoevereiniteit
- operationele autonomie
- de supply chain
- technologische onafhankelijkheid
- security
- duurzaamheid
Samengevat beoordelen die criteria hoeveel controle een organisatie werkelijk behoudt over haar cloudomgeving. Zo ontstaat voor het eerst een gemeenschappelijke meetlat waarmee organisaties hun cloudomgeving op een consistente manier kunnen beoordelen.
Wat betekent SEAL-2 voor cloudsoevereiniteit
Op basis van die beoordeling kent het framework een Sovereignty Effectiveness Assurance Level (SEAL) toe. SEAL-2 geldt als het niveau waarop een cloudomgeving operationeel zelfstandig kan functioneren, ook wanneer ze gebruikmaakt van technologie van leveranciers buiten de Europese Unie. De cloudomgeving van Cheops werd aan dit Europese framework getoetst en voldoet aan de SEAL-2-vereisten.
Voldoen aan de SEAL-2-eisen betekent niet dat alle gebruikte hardware en software Europees moeten zijn. Voor software bestaan verschillende Europese alternatieven, al zijn die niet altijd even volwassen. Voor hardware is de keuze nog beperkter. Er zijn nauwelijks Europese leveranciers die een volwaardig alternatief bieden voor de grote internationale spelers. Organisaties zullen dus ook in de toekomst technologie van buiten Europa blijven gebruiken.
Het zwaartepunt ligt daarom bij de controle over de cloudomgeving. De herkomst van de technologie speelt daarbij een kleinere rol. Die controle valt uiteen in twee kernbegrippen: datasoevereiniteit en operationele soevereiniteit. Datasoevereiniteit gaat over waar data wordt opgeslagen, onder welke wetgeving die valt en wie er toegang toe heeft. Operationele soevereiniteit draait om de vraag wie de infrastructuur beheert en of de dienstverlening blijft functioneren wanneer een leverancier tijdelijk wegvalt. Deze twee aspecten bepalen in de praktijk het grootste deel van de score, omdat volledige technologische onafhankelijkheid vandaag nog niet haalbaar is.
Waarom dataresidentie slechts één onderdeel is van cloudsoevereiniteit
Wanneer organisaties over cloudsoevereiniteit spreken, gaat het gesprek vaak uitsluitend over de locatie van data. Het Europese framework kijkt bewust veel breder. Ook de volgende elementen bepalen mee de uiteindelijke score:
- Onder welke wetgeving valt de cloudomgeving?
- Wie heeft toegang tot de data?
- Hoe afhankelijk bent u van leveranciers buiten de Europese Unie?
- Blijft uw cloudomgeving operationeel wanneer een externe leverancier tijdelijk niet beschikbaar is?
Die bredere benadering sluit beter aan bij de uitdagingen waarmee organisaties vandaag worden geconfronteerd. Digitale onafhankelijkheid is immers het resultaat van juridische én operationele keuzes.
Hoe de sovereign cloud van Cheops voldoet aan SEAL-2
Cheops besloot zijn cloudomgeving volledig af te toetsen aan het Europese framework via een uitgebreide self-assessment. Die oefening bevestigde dat de omgeving voldoet aan SEAL-2. Voor klanten biedt dat extra zekerheid. Organisaties die bewust kiezen voor een sovereign cloud, weten dat ze daarvoor bij Cheops terechtkunnen. Die score is geen gevolg van recente aanpassingen om aan het framework te voldoen. Ze vloeit voort uit keuzes die Cheops al jaren consequent maakt.
Die aanpak wordt bovendien bevestigd door externe certificeringen. Cheops behaalde het ISO 27001-certificaat voor zijn volledige informatiebeveiliging en het NIS2 Label for Essential Companies, het hoogste niveau binnen de Europese NIS2-richtlijn voor organisaties die essentieel zijn voor de economie. Beide tonen aan dat de operationele soevereiniteit van Cheops niet alleen steunt op een eigen beoordeling, maar ook onafhankelijk werd getoetst. De cloud draait op eigen hardware in Belgische datacenters en valt onder de Belgische wetgeving. Het dagelijkse beheer gebeurt door eigen medewerkers. Klanten krijgen geen anoniem supportplatform of een internationale helpdesk, maar rechtstreeks toegang tot de specialisten die hun omgeving beheren. Wanneer zich een probleem voordoet, weten ze wie ze kunnen bellen. Die nabijheid zorgt ervoor dat klanten van Cheops niet verdwalen in complexe escalatieprocedures, maar snel kunnen schakelen - in hun eigen taal en tijdszone - met specialisten die hun omgeving door en door kennen.
Die nabijheid vormt een belangrijk onderscheid ten opzichte van grotere internationale cloudomgevingen. Cheops combineert de schaal en expertise van een Managed Service Provider met lokale dienstverlening, waarbij klanten rechtstreeks contact hebben met de specialisten die hun omgeving kennen.
Zoals vrijwel elke Managed Service Provider maakt ook Cheops gebruik van technologie van internationale leveranciers. Het verschil zit echter in de operationele controle. Die blijft volledig in eigen handen. Daardoor blijft de cloudomgeving zelfstandig functioneren, ook wanneer een leverancier tijdelijk geen ondersteuning kan bieden.
De lokale aanpak spreekt ook organisaties met bedrijfskritische IT-omgevingen aan. Haeger & Schmidt Logistics Belgium rekent bijvoorbeeld al meer dan vijftien jaar op Cheops voor zijn cloud- en datacenterdiensten. Die langdurige samenwerking steunt op dezelfde principes die ook binnen het Europese raamwerk centraal staan: continuïteit, operationele controle en een lokale partner die de omgeving door en door kent.
Cloudsoevereiniteit als strategische keuze
In aanbestedingen duikt de vraag naar het SEAL-niveau steeds vaker op. Enkele recente tenders bevatten al criteria rond digitale onafhankelijkheid, vooral bij organisaties die onder regelgeving zoals NIS2 en DORA vallen.
Het Europese Cloud Sovereignty Framework biedt organisaties voor het eerst een objectieve manier om die digitale onafhankelijkheid te beoordelen. Cloudsoevereiniteit verschuift daardoor van een abstract begrip naar een concrete strategische afweging, waarbij controle en continuïteit even belangrijk zijn als de locatie van de data.
Wilt u weten of een sovereign cloud aansluit bij de behoeften van uw organisatie?
Neem dan contact op met de experts van Cheops voor een vrijblijvend gesprek over uw cloudstrategie en digitale onafhankelijkheid.