Help us improve
Share bugs, ideas, or general feedback.
From cloud-sovereignty
Analyseert cloud-architecturen op digitale soevereiniteitsrisico's, met focus op de Amerikaanse CLOUD Act, FISA 702, en extraterritoriale jurisdictie. Identificeert blootstellingspunten in dataflows, classificeert clouddiensten volgens het Nederlandse cloudbeleid (BZK CIO-Rijk), en adviseert BIO2-conforme soevereine alternatieven. Gebruik voor technische due diligence, vendor assessment, en architectuurreviews van cloud-migraties en SaaS-oplossingen met overheidsdata. Gebruik deze skill wanneer de gebruiker vraagt over 'CLOUD Act', 'soevereiniteit', 'digitale soevereiniteit', 'cloud classificatie', 'cloud governance', 'hyperscaler risico', 'extraterritoriale jurisdictie', 'FISA 702', 'data residency', 'data lokalisatie', 'soevereine cloud', 'BIO2 cloud', 'overheidscloud', 'cloud vendor lock-in', 'SaaS soevereiniteit', 'Amerikaanse cloudwetgeving', 'Patriot Act cloud', 'Executive Order 12333', 'GAIA-X', 'Franse cloud', 'SecNumCloud', 'EUCS', 'European Cybersecurity Certification', 'BBN cloud', 'BIO cloud maatregelen', 'vendor assessment overheid', 'DPIA cloud', 'DPF cloud', 'Data Privacy Framework', 'Schrems cloud', 'NDS cloud', of wanneer de gebruiker een cloud-architectuur wil toetsen op jurisdictierisico's of soevereine alternatieven wil evalueren.
npx claudepluginhub djimit/cloud-sovereigntyHow this skill is triggered — by the user, by Claude, or both
Slash command
/cloud-sovereignty:cloud-sovereigntysonnetThis skill is limited to the following tools:
The summary Claude sees in its skill listing — used to decide when to auto-load this skill
Analyseer cloud-architecturen op jurisdictierisico's en digitale soevereiniteit. Dit raamwerk combineert technische analyse van dataflows met juridische risico-classificatie volgens het Nederlandse cloudbeleid.
Guides Payload CMS config (payload.config.ts), collections, fields, hooks, access control, APIs. Debugs validation errors, security, relationships, queries, transactions, hook behavior.
Builds scalable data pipelines, modern data warehouses, and real-time streaming architectures using Apache Spark, dbt, Airflow, and cloud-native platforms.
Share bugs, ideas, or general feedback.
Analyseer cloud-architecturen op jurisdictierisico's en digitale soevereiniteit. Dit raamwerk combineert technische analyse van dataflows met juridische risico-classificatie volgens het Nederlandse cloudbeleid.
Voer voor elke clouddienst of -architectuur deze scan uit:
LAAG 1 — INFRASTRUCTUUR: Wie beheert de fysieke infra?
├── Eigendom → jurisdictie van eigendom
├── Datacenter locatie → fysieke toegang
└── Beheerder nationaliteit → personele jurisdictie
LAAG 2 — PLATFORM/DATA: Waar staan de data?
├── Data-at-rest locatie(s)
├── Encryptiesleutelbeheer (waar liggen de sleutels?)
└── Backup en DR locaties
LAAG 3 — JURIDISCH/CONTRACTUEEL: Welk recht geldt?
├── Toepasselijk recht in contract
├── Geschillenbeslechting forum
├── Moederbedrijf jurisdictie
└── Sub-processing keten (waar zitten subverwerkers?)
De Clarifying Lawful Overseas Use of Data Act (CLOUD Act, 2018) geeft Amerikaanse wetshandhaving de bevoegdheid om data op te vragen van Amerikaanse techbedrijven, ongeacht waar ter wereld die data is opgeslagen.
Amerikaanse rechtbank/rechter
└── Uitvaardiging van "warrant" of "subpoena" aan:
└── Elke "U.S.-based electronic communication service provider"
└── Moet ALLE data onder zijn "possession, custody, or control" overhandigen
└── Ongeacht serverlocatie (Amsterdam, Frankfurt, Parijs)
└── Bedrijf KAN weigeren, MAAR:
└── Comity-analyse (Art. 2703(h)):
├── VS-belang bij toegang
├── Buitenlands belang bij privacy
├── Nationaliteit van data subject
└── Mogelijkheid tot conflict via diplomatie
| Aspect | CLOUD Act | AVG/GDPR (Art. 48) |
|---|---|---|
| Buitenlands verzoek om data | Directe toegang via warrant | Verboden — alleen via wederzijdse rechtshulp (MLA) of adequaatheidsbesluit |
| Reikwijdte | Alle data onder "control" van US provider | Alle persoonsgegevens in EU/over EU-burgers |
| Rechtsgrond | Soevereine VS-wet | Grondrechtenhandvest EU + AVG |
| Conflictoplossing | Comity-analyse (rechterlijke belangenafweging) | Art. 48 verbod = absoluut |
Praktijkconflict: Een verzoek onder CLOUD Act is expliciet verboden onder AVG Art. 48. Maar de Amerikaanse provider kan in de VS een dwangsom krijgen voor niet-naleving. Dit zet de provider klem tussen twee conflicterende wettelijke verplichtingen.
Categorie 1 — Direct onder CLOUD Act (zeker):
Categorie 2 — Indirect risico (sub-processors):
Categorie 3 — Vrijwel geen risico:
Naast de CLOUD Act bestaan er aanvullende Amerikaanse toegangsmechanismen:
Cumulatief risico: CLOUD Act + FISA 702 + EO 12333 = een web van Amerikaanse toegangsmechanismen tot data die in Europa staat opgeslagen, zodra die data onder "control" van een Amerikaanse entiteit valt.
Het EU-US Data Privacy Framework (juli 2023) vervangt Privacy Shield, maar:
| Beschermt tegen | Beschermt NIET tegen |
|---|---|
| Commerciële dataverwerking zonder waarborgen | Nationale veiligheids-toegang (FISA 702, EO 12333) |
| Gebrek aan redress-mechanismen | CLOUD Act warrants |
| Onvoldoende toezicht onder Privacy Shield | Bulk surveillance door inlichtingendiensten |
| Data onder directe "control" van US provider |
Conclusie voor overheidsdata: DPF is onvoldoende waarborg voor Nederlandse overheidsdata. Het lost het fundamentele jurisdictieprobleem niet op.
Het EU Cloud Services-certificeringsschema (EUCS) is in ontwikkeling onder de EU Cybersecurity Act (2019/881):
| Niveau | Vereisten | Soevereiniteitswaarborg |
|---|---|---|
| Basic | Basis cybersecurity | Geen jurisdictie-eisen |
| Substantial | Aantoonbare security controls | Beperkte jurisdictie-eisen |
| High | Verregaande security + soevereiniteit | Data uitsluitend in EU opgeslagen en verwerkt; dienstverlener vrij van niet-EU wetgeving; hoofdkantoor in EU |
Status (mei 2026): EUCS nog niet formeel aangenomen. Frankrijk en enkele lidstaten dringen aan op soevereiniteitseisen in 'High'-niveau. NL-positie: ondersteunt EUCS met soevereiniteitsclausules.
| Classificatie | Data type | Toegestane cloud | Jurisdictie-eis |
|---|---|---|---|
| Departementaal vertrouwelijk | Gevoelig + niet-openbaar | Private cloud of on-premise only | NL/EU jurisdictie, geen niet-EU toegang |
| Staatsgeheim | Gerubriceerd | Uitsluitend on-premise, air-gapped | NL soevereiniteit |
| Persoonsgegevens (bijzonder) | BSN, medisch, politiek, etc. | Maximaal EU-cloud met aantoonbare waarborgen | EU jurisdictie, verwerkersovereenkomst met jurisdictiegaranties |
| Niet-gevoelig / openbaar | Open data, publicaties | Publieke cloud toegestaan | Risico-acceptatie vereist |
BIO2-maatregel 5.23.01 vereist een Cloud Service Provider-beleid voor selectie, beoordeling, beheer en beëindiging van clouddiensten. Minimumvereisten:
| Oplossing | Type | Jurisdictie | BIO2-fit |
|---|---|---|---|
| Sovereign AI-in-a-Box (DjimIT) | Turnkey on-prem AI stack | NL | Volledig BIO2-conform |
| Fundaments (voorheen Cyso) | NL Sovereign IaaS | NL | BIO2, NEN 7510, ISO 27001 |
| BIT | NL IaaS/cloud | NL | BIO2, NEN 7510 |
| Leafcloud | NL IaaS (warmtepomp-datacenters) | NL | ISO 27001 |
| TuxCare (CloudLinux) | Secure Linux infra | US met EU-entiteiten | Beperkt |
| Oplossing | Type | Jurisdictie | Aandachtspunt |
|---|---|---|---|
| OVHcloud | EU hyperscaler-alternatief | Frankrijk | SecNumCloud gecertificeerd, geen US entiteit |
| IONOS Cloud | EU IaaS | Duitsland | Geen US moeder, BSI C5 |
| StackIT (Schwarz Group) | EU IaaS | Duitsland/Duits recht | Lidl/Kaufland moeder |
| Elastx | SE IaaS | Zweden | GDPR-compliant, geen US |
| UpCloud | FI IaaS | Finland | GDPR, Helsinki HQ |
| Exoscale (A1 Digital) | AT/EU IaaS | Oostenrijk/Duitsland | ISO 27001, GEEN US-nexus |
| Oplossing | Type | Jurisdictie | Aandachtspunt |
|---|---|---|---|
| Nextcloud | File sync / collab | Duitsland | Self-hosted of EU-only |
| Hetzner + Nextcloud | IaaS + SaaS | Duitsland | Combinatie volledig EU |
| OpenProject | Project management | Duitsland | EU SaaS of on-premise |
| CryptPad | Collaborative docs | Frankrijk | Zero-knowledge, open source |
| Categorie | Voorbeeld | Rode vlag |
|---|---|---|
| US HQ + US jurisdictie | AWS, Azure, GCP, Salesforce, ServiceNow, Workday, Slack, Zoom | Direct onder CLOUD Act, FISA 702 |
| US moeder, EU-dochter | OVH met US partners, SAP met US hosting | Dataflow-analyse vereist; contractuele barrières onvoldoende |
| EU SaaS op US hyperscaler | Franse GovTech op AWS | Infrastructuurlaag = blootstellingspunt |
| Chinese hyperscalers | Alibaba Cloud, Huawei Cloud, Tencent Cloud | Chinese inlichtingenwet 2017 (vergelijkbaar met CLOUD Act), andere jurisdictie- en ethische risico's |
Overheidsorganisatie netwerk
└── Eigen datacenter of colocatie
├── OpenShift / Kubernetes bare-metal
├── Ceph of MinIO object storage
├── Self-hosted databases (PostgreSQL, etc.)
├── Self-hosted AI (Ollama, vLLM, LocalAI)
└── Eigen key management (HashiCorp Vault, HSM)
Fit: Departementaal vertrouwelijk, staatsgeheim, bijzondere persoonsgegevens.
Overheidsorganisatie controleert encryptiesleutels
└── Data-at-rest: altijd versleuteld (AES-256-GCM, sleutel NIET bij provider)
└── EU IaaS (bijv. OVH, IONOS, BIT, Fundaments)
├── Bring Your Own Key (BYOK)
├── HSM of eigen KMS in eigen netwerk
├── Versleutelde backups naar apart EU-datacenter
└── Contractuele auditrecht + exit clause
Fit: Persoonsgegevens, niet-gerubriceerd vertrouwelijk.
Gebruiker → EU SaaS frontend (Europese B.V.)
└── Verwerkt metadata en applicatielaag in EU
└── Data storage: EU IaaS met BYOK
└── GEEN US sub-processors voor primaire data
Fit: Algemene bedrijfsvoering, niet-gevoelige persoonsgegevens.
Gebruik deze checklist bij elke cloud vendor assessment:
Bij een DPIA (AVG) voor clouddiensten, voeg deze cloud-specifieke analyse toe:
Data van de Rechtspraak (uitspraken, persoonsgegevens in zaken, interne deliberaties) = maximale soevereiniteitseis. Concreet:
Gemeenten verwerken BRP, BSN, WMO, jeugdzorg, schuldhulpverlening — allemaal minimaal "bijzondere persoonsgegevens":
Aanvullend op BIO2 en AVG: NEN 7510-certificering vereist voor cloudverwerkers in de zorg.
De NDS benadrukt "regie op eigen data" en "digitale autonomie" als strategische pijlers. De cloud sovereignty scan sluit aan op NDS-doelen: