Datasoevereiniteit betekent dat jouw organisatie bepaalt onder welke wetgeving je data valt, wie erbij kan en wat ermee gebeurt, los van het datacenter waar die data fysiek staat. Leveranciers beantwoorden meestal een andere vraag: in welk land de servers staan. Maar een kopie van je hele bedrijfsvoering kan bij Amsterdam staan en toch onder Amerikaans recht vallen, omdat de leverancier Amerikaans is.
Tot een paar jaar geleden was dat een detail voor de IT-afdeling. Sinds digitale toegang van de ene op de andere dag kan worden afgesloten door een besluit in een ander land, is het een directievraag. En nergens wordt die vraag zo scherp als in je BI-omgeving, want daar komt van alles een kopie samen.
Wat is datasoevereiniteit?
Het begrip wordt op drie manieren gebruikt, en leveranciers profiteren daarvan.
- Dataresidentie is de fysieke locatie: het datacenter waar je data staat.
- Datasoevereiniteit is de juridische zeggenschap: welk recht geldt, wie toegang kan afdwingen en wie bepaalt wat ermee mag.
- Digitale soevereiniteit is het bredere plaatje: ook de software, de rekenkracht en de leveranciers waar je niet meer zonder kunt.
Residentie kun je kopen. Soevereiniteit moet je organiseren. Een Nederlands datacenter beantwoordt de eerste vraag, niet de tweede.
Waarom datasoevereiniteit nu op de directietafel ligt
Drie ontwikkelingen hebben de vraag naar de bestuurskamer verplaatst.
De eerste is de CLOUD Act, een Amerikaanse wet uit maart 2018 die Amerikaanse diensten de bevoegdheid geeft om data op te vragen bij Amerikaanse aanbieders, waar ter wereld die data ook staat.
De tweede is dat het niet bij theorie bleef: sancties hebben laten zien dat een account of een hele omgeving van buitenaf kan worden geblokkeerd, zonder dat jij iets verkeerd deed.
De derde komt uit Europa zelf: de AVG, NIS2 en de Data Act, van toepassing sinds 12 september 2025, die je het recht geeft om zonder hindernissen van cloudleverancier te wisselen. Dat recht is alleen iets waard als je weet wat je zou moeten verhuizen.
Waar staat je data eigenlijk?
Herkenbaar? De omzet staat in het boekhoudpakket, de pijplijn in het CRM, de uren in een planningstool en de begroting in een Excel op iemands OneDrive. Zodra twee van die bronnen elkaar tegenspreken, gaat de vergadering over welk cijfer klopt in plaats van over wat je eraan doet. Diezelfde versnippering maakt “waar staat onze data” bijna onbeantwoordbaar: op zeven plekken, bij vijf leveranciers, onder minstens twee rechtsstelsels.
Bij een Nederlands mkb-bedrijf:
- Boekhouding en HR in AFAS of Exact Online: Nederlandse leveranciers, datacenters in Nederland of de EU.
- CRM en marketing in HubSpot, Salesforce of Pipedrive: vaak Amerikaanse bedrijven, ook met de EU-regio aangevinkt.
- Documenten en e-mail in Microsoft 365: opslag in Europa, leverancier in de Verenigde Staten.
- Rapportage in Power BI, waar van al het bovenstaande een kopie samenkomt.
Die laatste regel is waar het om draait: elk bronsysteem bevat een deel van je bedrijf, je BI-omgeving bevat alles tegelijk. Wie datasoevereiniteit serieus neemt, begint daarom niet bij de servers, maar bij de laag waar de kopieën staan.
Wat betekent datasoevereiniteit voor Power BI en Microsoft Fabric?
Power BI haalt in de standaardinstelling, Import, een kopie van je brondata op en zet die in een semantisch model in de thuisregio van je Microsoft-tenant, vastgelegd op de dag dat de tenant werd aangemaakt. Je vindt die regio in Power BI via Help en dan Info, achter “Je gegevens worden opgeslagen in”. Bij Nederlandse organisaties staat daar meestal West-Europa, een Azure-regio die fysiek in Nederland staat.
Wie die regio destijds koos, weet meestal niemand meer. Vaak was het de beheerder die het Microsoft 365-abonnement aanmaakte, ergens tussen de printer en de lunch, en die werkt inmiddels ergens anders.
Daarbovenop geldt de EU Data Boundary: Microsofts toezegging dat klantdata van Microsoft 365, Azure en het Power Platform binnen de EU blijft, op een beperkt aantal gedocumenteerde uitzonderingen na. Dat regelt de residentie, niet de jurisdictie: Microsoft blijft een Amerikaans bedrijf en valt dus onder de CLOUD Act. De EU-datagrens is een belofte over locatie, geen immuniteit.
Wat je wél zelf bepaalt: welke bronnen je importeert, wie de tenant beheert, en of vertrouwelijke rapporten een gevoeligheidslabel dragen dat meereist bij export. Dat zijn keuzes, geen Microsoft-instellingen.
De afhankelijkheid die niemand meetelt: je BI-partner
Het grootste soevereiniteitsrisico zit voor veel mkb-bedrijven niet in Redmond, maar dichter bij huis. Een BI-bureau bouwt je rapporten, en de werkruimte, het datamodel en soms de licenties blijven in de omgeving van dat bureau staan. Jij krijgt een link. Zij houden de sleutels. Met elk rapport dat erbij komt, groeit je afhankelijkheid van die ene partij, en dat merk je pas als je wilt overstappen.
Dat is dezelfde vraag als die over de Amerikaanse cloud, alleen veel makkelijker op te lossen: de omgeving staat in jouw eigen tenant, minstens twee eigen medewerkers zijn beheerder en de bronbestanden liggen bij jou. Hoe je dat vastlegt staat in ons stuk over Power BI-licenties, en het is de reden dat onze aanpak het beheer bewust overdraagt aan je eigen team.
Moet je uit de Amerikaanse cloud?
Voor de meeste mkb-organisaties: nee. Er zijn drie reacties, en twee daarvan zijn verkeerd. Niets doen laat je onbeschermd. Alles naar een Europese stack verhuizen kost functionaliteit, geld en jaren, voor een risico dat voor het grootste deel van je data niet bestaat. De derde is de enige die werkt: bepaal per soort data hoe gevoelig die is, en beslis daarna waar die mag staan en wie erbij mag. Die classificatie is het eerste hoofdstuk van je datastrategie, geen bijlage bij het cloudcontract.
Er is één groep voor wie dat niet geldt. Werk je voor defensie, delen van de overheid of een sector met wettelijke soevereiniteitseisen, dan is een Europese stack geen keuze maar een voorwaarde, en dan ben je bij ons niet aan het juiste adres. Wij bouwen op Microsoft, en dat zeggen we liever vooraf dan halverwege.
Weten jullie vandaag onder welk recht de kopie van je bedrijfsdata in je BI-omgeving valt, of gaan jullie ervan uit dat het wel goed zit? Neem contact op, dan lopen we de inventarisatie samen door.
Veelgestelde vragen
Wat is datasoevereiniteit?
Datasoevereiniteit betekent dat jouw organisatie bepaalt onder welke wetgeving je data valt, wie erbij kan en wat ermee mag gebeuren. De fysieke locatie van de servers is daar maar één onderdeel van. Net zo bepalend is welk bedrijf de dienst levert en onder welk recht dat bedrijf valt.
Wat is het verschil tussen dataresidentie en datasoevereiniteit?
Dataresidentie is de plek waar je data fysiek is opgeslagen, bijvoorbeeld een datacenter bij Amsterdam. Datasoevereiniteit gaat over wie juridisch zeggenschap heeft over die data. Data kan in Nederland staan en toch onder buitenlandse wetgeving vallen als de leverancier daar gevestigd is.
Wat is digitale soevereiniteit?
Digitale soevereiniteit is het bredere begrip: niet alleen zeggenschap over je data, maar ook over de software, de rekenkracht en de leveranciers waar je van afhankelijk bent. Datasoevereiniteit is daar een onderdeel van. Voor de meeste organisaties is data het onderdeel waar de vraag het eerst concreet wordt.
Is mijn data soeverein als die in een Nederlands datacenter staat?
Niet automatisch. Is de leverancier van de dienst een Amerikaans bedrijf, dan kan de Amerikaanse overheid op grond van de CLOUD Act uit 2018 toegang eisen tot die data, ook als die in Nederland staat. Locatie is een voorwaarde, geen garantie.
Wat is de CLOUD Act?
De Clarifying Lawful Overseas Use of Data Act is een Amerikaanse wet uit maart 2018. Die geeft Amerikaanse opsporingsdiensten de mogelijkheid om data op te vragen bij Amerikaanse aanbieders, ongeacht waar ter wereld die data is opgeslagen. Het is de belangrijkste reden dat een Europese opslaglocatie alleen niet volstaat.
Waar staat mijn Power BI-data?
In de thuisregio van je Microsoft-tenant, die is vastgelegd toen de tenant werd aangemaakt. Je vindt hem in Power BI via Help en dan Info, achter "Je gegevens worden opgeslagen in". Voor Nederlandse organisaties staat daar meestal West-Europa, een Azure-regio die fysiek in Nederland staat.
Moet ik stoppen met Microsoft of de Amerikaanse cloud?
Voor de meeste mkb-organisaties niet. Wel moet je weten welke data echt gevoelig is en die bewust plaatsen, in plaats van alles op één hoop te gooien. Alleen voor organisaties met wettelijke soevereiniteitseisen, zoals defensie of delen van de overheid, is een Europese stack de logische keuze.
