De EU-cloud, waar soevereiniteit en kost dezelfde kant op wijzen

Een architect wijst in het cloudportaal naar de regio: Frankfurt. De data blijft in Europa, zegt hij, en technisch klopt dat. Toch is de belangrijkste vraag daarmee niet beantwoord. De schijven staan in Duitsland, de aanbieder zit in de Verenigde Staten, en dat tweede bepaalt onder welke wet uw gegevens vallen.

Zoom uit en de afhankelijkheid komt in beeld. Europese cloudaanbieders houden nog ongeveer 15% van hun eigen thuismarkt over, gedaald van 29% in 2017. AWS, Microsoft en Google nemen samen ongeveer 70% (Synergy Research Group, 2025). Voor een continent dat zijn data een strategische grondstof noemt, is dat een scheve verhouding. Ze bepaalt de onderhandelingspositie van elke Belgische organisatie, ook al staat ze zelden in een offerte.

Waar de data staat, en onder welke wet ze valt

Residentie en jurisdictie worden vaak door elkaar gehaald, terwijl het twee losse vragen zijn. Residentie gaat over de fysieke plaats van de schijven. Jurisdictie gaat over wie er langs juridische weg bij kan. De Amerikaanse CLOUD Act laat Amerikaanse autoriteiten toe om data op te vragen bij Amerikaanse cloudaanbieders, ongeacht waar die fysiek staat, ook in Europese datacenters (Orrick, 2026). Een datacenter in Frankfurt dat toebehoort aan een Amerikaans bedrijf, brengt uw gegevens dus niet buiten Amerikaans bereik.

Reden voor alarm is dat niet. In de praktijk gebeurt er zelden iets, en voor een groot deel van uw data maakt de vraag ook weinig uit. Maar denk aan een ziekenhuis met patiëntendossiers, een bank met transactiedata, een overheidsdienst met rijksregisternummers. Voor een directie die daar risico moet afwegen, is een juridisch kanaal dat u niet ziet en niet kunt betwisten een reële post. U hoeft de kans niet te overdrijven om ze mee te wegen.

De regelgeving duwt dezelfde kant op

Europa heeft die afhankelijkheid gezien en stuurt bij. De Data Act, Verordening (EU) 2023/2854, geldt sinds 12 september 2025 en legt overstapverplichtingen op: functionele gelijkwaardigheid, interoperabiliteit, en een afbouw van overstap- en egresskosten. Vertrekken bij een aanbieder wordt daarmee een recht, waar het vroeger een gunst was die u per gigabyte afkocht.

NIS2 werkt langs de kant van de verantwoordelijkheid. De richtlijn verwacht dat u kunt aantonen waar uw data staat en wie erbij kan, en legt het toezicht daarop bij het management. Zo verhuist de vraag waar uw gegevens wonen en onder welke jurisdictie ze vallen van de serverruimte naar de directietafel. Een cyber security audit zet precies die twee punten op tafel: onder welke wet valt uw data, en wat kost het u om te vertrekken.

De kost trekt aan dezelfde kant

Soevereiniteit is niet de enige reden waarom teams hun cloudpositie herbekijken. De rekening is dat evengoed. In de Flexera 2025 State of the Cloud noemt 84% van de organisaties het beheersen van cloudkosten hun grootste uitdaging, met een gemiddelde budgetoverschrijding van 17%. Wat begon als een variabele kost die met u meegroeit, staat na een paar jaar op de boeken als een vaste last die moeilijk terug te draaien is.

Die frustratie zet mensen in beweging. In de Barclays CIO Survey van 2024 wil 83% van de CIO's dat jaar minstens één workload terughalen uit de publieke cloud, tegen 43% eind 2020, met kost als belangrijkste drijfveer. De nuance telt: volledige exits blijven zeldzaam, de meeste organisaties blijven hybride. De inzet is niet weg uit de cloud, maar grip op de eigen positie, op welke cloud u draait en tegen welke prijs u er weer uit raakt.

De constructieve keuze: een open stack in eigen beheer op EU-cloud

Leg die twee lijnen naast elkaar, soevereiniteit en kost, en ze wijzen dezelfde kant op. De aanpak die uw juridische blootstelling verkleint, is meestal ook de aanpak die uw run-rate temt. Bij YK is dat één open-source platform in uw eigendom, op een Europese cloud, met een standaardstack die elke ontwikkelaar kan lezen: Kubernetes, PostgreSQL, ClickHouse, Metabase. De code staat vanaf dag 1 in uw repository, niet in de onze.

De interoperabiliteit die de Data Act als recht formuleert, zit bij deze opzet al in de bouwwijze. Dat werkt op vier vlakken tegelijk:

• Residentie: uw gegevens staan in een Europese regio, bij een Europese aanbieder, buiten het bereik van de CLOUD Act.
• Jurisdictie: u toont aan waar de data staat en wie erbij kan, precies wat een audit en NIS2 van u vragen.
• Portabiliteit: open source en open formaten, zodat een overstap geen reverse-engineering vraagt.
• Kost: een run-rate die u zelf stuurt, zonder licenties per gebruiker die met uw groei mee omhoog kruipen.

Voor finance verandert ook het rekenmodel. U betaalt voor de infrastructuur die u echt draait, plus het onderhoud, in plaats van een licentie per gebruiker die met elke aanwerving mee omhoog gaat. De cloudrekening blijft variabel, maar u kunt ze tegen alternatieven afzetten, want niets in de stack houdt u bij één aanbieder vast. Dat is het verschil tussen een kost die u ondergaat en een kost die u stuurt.

Een Europese cloud is niet automatisch goedkoper of rijker aan functies, en op dat vlak hebben de hyperscalers een echte voorsprong. De keuze gaat dan ook verder dan de featurelijst. Ze gaat over zeggenschap: wie beslist waar uw data woont, wie er formeel bij kan, en wat het kost om te vertrekken. Wie dat vooraan in het traject vastlegt in plaats van bij de verlenging, houdt de rekening én de controle aan zijn kant. Onze aanpak bouwt dat in golven met een go of no-go per stap, zodat de legacy blijft draaien tot elke golf stabiel is en u nooit alles ineens op het spel zet.