Softwaregedefinieerde regionaliteit: wanneer landsgrenzen een kwestie van code worden
Stel je een pakketje voor dat de douane niet passeert bij een fysieke grenspost, maar dat overal ter wereld automatisch weet in welk land het zich mag bevinden, wie het mag openen en onder welke wet het valt — ongeacht waar het magazijn daadwerkelijk staat. Zoiets gebeurt inmiddels met data. Softwaregedefinieerde regionaliteit is de verzamelnaam voor technieken waarmee bedrijven en overheden via software afdwingen dat digitale gegevens en diensten aan een bepaalde regio, jurisdictie of wetgeving gebonden blijven, zonder dat daarvoor per se aparte fysieke datacenters per land nodig zijn.
Een concreet voorbeeld: een Nederlands ziekenhuis slaat patiëntgegevens op bij een grote cloudleverancier. Fysiek staan de servers in Frankfurt, maar via software wordt afgedwongen dat alleen personeel binnen de EU toegang krijgt, dat de encryptiesleutels nooit het Europese grondgebied verlaten en dat onderhoudspersoneel buiten Europa niets kan inzien. De "regio" is dan niet langer alleen een plek op de kaart, maar een set regels die de software continu controleert en afdwingt.
Wat is het precies?
Van oudsher was regionaliteit in de IT simpel: een bedrijf koos een datacenter in een bepaald land, en daarmee lag vast onder welke wetgeving de gegevens vielen. Grote cloudleveranciers als Amazon (AWS), Microsoft en Google bieden zulke "regio's" nog steeds aan — fysieke clusters van datacenters in bijvoorbeeld Frankfurt, Dublin of Amsterdam.
Softwaregedefinieerde regionaliteit voegt daar een besturingslaag aan toe. In plaats van dat de fysieke locatie de enige garantie is, bepalen software-regels ("beleid" of policies) wie welke data mag benaderen, van waar, en onder welke voorwaarden. Dit bouwt voort op een ouder concept uit de netwerkwereld: software-defined networking (SDN), waarbij de besturing van een netwerk wordt losgekoppeld van de fysieke apparatuur en centraal via software wordt geregeld. Softwaregedefinieerde regionaliteit past dat idee toe op geografische en juridische grenzen.
In de praktijk bestaat dit uit een aantal bouwstenen. Ten eerste geofencing: software die op basis van locatiegegevens toegang blokkeert of toestaat. Ten tweede sleutelbeheer: de encryptiesleutels waarmee data wordt versleuteld, worden apart en regionaal beheerd, vaak door lokale medewerkers of een lokale entiteit, zodat een buitenlandse moederorganisatie de data zelf niet kan ontsleutelen. Ten derde policy engines, software die continu regels toetst (bijvoorbeeld: "deze dataset mag alleen door EU-personeel worden ingezien") en dit vastlegt in controleerbare logboeken. Tot slot spelen ook telecomnetwerken een rol: met network slicing in 5G-netwerken kan een virtueel, geografisch begrensd "deelnetwerk" worden gecreëerd zonder dat daar apart fysiek kabelwerk voor nodig is.
Wat wil men ermee bereiken?
De belangrijkste drijfveer is wetgeving. De Europese privacywet AVG (GDPR) en vergelijkbare regels elders leggen strenge eisen op aan waar persoonsgegevens mogen worden verwerkt en wie erbij mag. Bedrijven en overheden willen kunnen aantonen dat zij aan die regels voldoen, het liefst zonder voor elk land apart een compleet nieuw datacenter te bouwen — dat is namelijk peperduur.
Een tweede drijfveer is digitale soevereiniteit: de wens van Europese overheden en bedrijven om minder afhankelijk te zijn van Amerikaanse of Chinese techbedrijven, en om te voorkomen dat buitenlandse wetten (zoals de Amerikaanse CLOUD Act, die Amerikaanse bedrijven onder bepaalde omstandigheden verplicht data af te staan aan Amerikaanse autoriteiten, ook als die data in Europa staat) alsnog grip geven op Europese gegevens.
Ten derde is er een economisch motief: cloudleveranciers willen hun wereldwijde infrastructuur efficiënt blijven benutten en niet voor elk land een volledig gescheiden systeem bouwen. Software-gestuurde regionale controles zijn goedkoper en flexibeler dan volledig gescheiden fysieke infrastructuur, en kunnen sneller worden aangepast als wetgeving verandert.
Voorbeelden uit de praktijk
Gaia-X (opgestart in 2019-2020 door Frankrijk en Duitsland, later een breder Europees samenwerkingsverband) is een initiatief dat standaarden ontwikkelt voor een federatieve, Europese data-infrastructuur met "soevereiniteit door ontwerp" als uitgangspunt. Het project verloopt trager dan gehoopt en heeft te maken gehad met kritiek op bureaucratie en het uitblijven van concrete resultaten.
Microsoft EU Data Boundary, geleidelijk uitgerold vanaf 2021 en verder uitgebreid in de jaren daarna, zorgt ervoor dat verwerking en opslag van klantgegevens binnen de Microsoft-cloud grotendeels binnen de EU en de EVA blijft, met aanvullende toezeggingen over wie waar toegang heeft.
AWS European Sovereign Cloud, in 2023 aangekondigd door Amazon, moet een aparte, binnen de EU beheerde cloudomgeving worden met een eigen bestuur en lokaal personeel, met een eerste locatie in Duitsland. Amazon heeft aangegeven dat deze omgeving stapsgewijs operationeel wordt; exacte opleverdata zijn in de loop van het project bijgesteld, dus lezers doen er goed aan de actuele stand bij AWS zelf te checken.
Google Cloud werkte vanaf 2021 samen met het Duitse T-Systems (onderdeel van Deutsche Telekom) aan een "soevereine cloud" voor de Duitse markt, waarbij een Duitse partij een deel van de controle over toegang en sleutelbeheer op zich neemt.
In de telecomsector experimenteren operators als Deutsche Telekom, Vodafone en KPN met 5G network slicing, een techniek die sinds de 3GPP-standaard uit 2018 mogelijk is en waarmee een deel van het mobiele netwerk softwarematig wordt afgezonderd voor specifiek gebruik of een specifieke regio, bijvoorbeeld voor een haven, fabriek of hulpdiensten.
Hoe ver is de techniek?
De losse bouwstenen zijn technisch behoorlijk volwassen: SDN wordt al jaren breed toegepast in datacenters, regionaal sleutelbeheer is standaardpraktijk bij grote cloudleveranciers, en policy engines zoals Open Policy Agent worden veelvuldig gebruikt. Wat nieuwer en minder uitgekristalliseerd is, is de combinatie van deze bouwstenen tot een samenhangend "soeverein" of "regionaal" product dat ook juridisch en organisatorisch waterdicht is.
Daar zit meteen het belangrijkste obstakel: techniek alleen lost het probleem niet volledig op. Zolang een cloudleverancier zijn hoofdkantoor in de Verenigde Staten heeft, blijft de discussie bestaan of Amerikaanse wetgeving als de CLOUD Act toch grip kan krijgen op data, ook als die technisch en operationeel in Europa wordt beheerd. Critici, waaronder Europese juristen en toezichthouders, wijzen erop dat "soevereiniteit" pas echt overtuigend is als ook het moederbedrijf, de rechtspraak en het aandeelhouderschap buiten bereik van vreemde wetgeving vallen — iets wat software alleen niet kan garanderen.
Daarnaast is onafhankelijke controle lastig: hoe bewijs je aan een toezichthouder of klant dat de software-regels ook echt worden nageleefd, en niet omzeild kunnen worden door de leverancier zelf? Auditing en certificering van dit soort systemen staan nog in de kinderschoenen. Kortom: de losse technieken zijn er, maar het geheel is nog volop in ontwikkeling en wordt sterk gestuurd door veranderende regelgeving, wat het ook lastig maakt om nu al harde uitspraken te doen over wanneer het "af" is.
Wie werken eraan?
De grote Amerikaanse cloudleveranciers — Amazon Web Services, Microsoft Azure en Google Cloud — investeren fors in regionale en soevereine cloudvarianten voor de Europese markt. Europese spelers zoals OVHcloud (Frankrijk), T-Systems/Deutsche Telekom (Duitsland) en SAP profileren zich juist als alternatief met volledig Europees eigenaarschap.
Op beleidsniveau trekt de Europese Commissie via initiatieven als Gaia-X en de bredere digitale strategie aan de kar, met ondersteuning van agentschappen zoals ENISA (het Europese cybersecurity-agentschap) op het gebied van standaarden en beveiligingseisen. Op het gebied van netwerktechnologie zijn standaardisatieorganisaties als 3GPP en ETSI, en organisaties zoals de Open Networking Foundation, verantwoordelijk voor de onderliggende SDN- en network-slicing-standaarden. Telecomoperators als Deutsche Telekom, Vodafone en KPN passen deze standaarden in de praktijk toe.