U gebruikt Microsoft 365, Google Workspace of Amazon AWS. Uw data staat in een datacenter in Amsterdam, Dublin of Frankfurt. Europees, toch? Technisch gezien: ja. Juridisch gezien: nee. Want de CLOUD Act maakt dat alle data bij Amerikaanse bedrijven — ongeacht de fysieke locatie — bereikbaar is voor de Amerikaanse overheid.
Dit artikel geeft u het concrete overzicht: wat de CLOUD Act inhoudt, welke data écht kwetsbaar is, en welke stappen u als MKB-directeur vandaag kunt zetten.
Wat is de CLOUD Act — en waarom raakt het u?
De Clarifying Lawful Overseas Use of Data Act (CLOUD Act, 2018) verplicht alle in de VS geregistreerde bedrijven om op verzoek van de Amerikaanse overheid data te overhandigen — ongeacht waar die data fysiek is opgeslagen. Microsoft, Google, Amazon, Meta: allemaal Amerikaans, allemaal gebonden.
In de praktijk betekent dit: een rechtbank in de VS kan Microsoft dwingen uw e-mails, OneDrive-documenten of Teams-gesprekken te overhandigen. Zonder dat u daarvan op de hoogte wordt gesteld. Zonder dat een Nederlandse rechter er aan te pas komt.
Welke data loopt risico — en voor wie?
Het risico is niet gelijk voor alle bedrijven. Voor de meeste Nederlandse MKB-directeuren is de kans op een actief CLOUD Act-verzoek klein. Maar het principe is van belang voor specifieke situaties.
Hoog risico — direct relevant
Handelsgeheimen, R&D-plannen, fusie- en overnamegesprekken, strategische klantdata, data van Amerikaanse concurrenten of zakenpartners, juridische correspondentie.
Middelmatig risico — bewustzijn vereist
Medewerkersdossiers, klantcontracten, financiële prognoses, leveranciersonderhandelingen. Niet acuut, maar gevoelig bij een scenario met Amerikaanse tegenpartijen.
Er is ook goed nieuws: als u client-managed encryptie gebruikt — waarbij de sleutels bij u liggen, niet bij de provider — ziet Microsoft of Google alleen versleutelde bestanden. Dat biedt technische bescherming. Maar dit vereist bewuste configuratie; de standaardinstellingen bieden deze bescherming niet.
Het recente EU-beleid: Europa haalt in
De Europese Commissie neemt digitale soevereiniteit steeds serieuzer. In april 2026 kende de EC contracten ter waarde van €180 miljoen toe aan vier Europese clouddienstverleners voor soevereine cloudinfrastructuur: OVHcloud, STACKIT, Scaleway en een consortium van Post Telecom en CleverCloud.
Tegelijkertijd bereidt de EC een tech sovereignty-pakket voor dat naar verwachting het gebruik van Amerikaanse cloudproviders voor gevoelige publieke sectordata — gezondheidszorg, justitie, financiën — zal verbieden. De richting is duidelijk: Europa wil af van technologische afhankelijkheid van de VS.
Europese cloud alternatieven: wat bestaat er in 2026?
Het gangbare beeld — dat Europese cloud duurder en minder krachtig is — klopt niet meer. Onafhankelijk onderzoek laat grote prijsverschillen zien.
| Provider | Jurisdictie | Sterktes | Prijs vs. AWS |
|---|---|---|---|
| Hetzner | EU (DE/FI) | Compute, storage, networking. Eenvoudig en transparant. | 14× goedkoper |
| OVHcloud | EU (FR) | Breed portfolio, managed services, 43 datacenters in 9 landen. | 40–60% goedkoper |
| STACKIT | EU (DE) | Enterprise-integraties (SAP, Salesforce), managed Kubernetes. | 30–50% goedkoper |
| Scaleway | EU (FR) | Developer-vriendelijk, AI/ML diensten, goede DX. | 4.8× goedkoper |
| Microsoft Azure | VS | Meest complete portfolio, AI, enterprise-ecosysteem. | Referentieprijs |
| Google Cloud | VS | Data/AI diensten, Kubernetes (GKE), BigQuery. | Vergelijkbaar met Azure |
Prijsvergelijking op basis van Callista benchmark (februari 2026). Hetzner CPX32: €16,36/maand vs. AWS equivalent: €162,88/maand.
De valkuil van "soevereine" Microsoft en Google opties
Zowel Microsoft als Google bieden 'soevereine' cloudopties aan voor Europese overheden — waarbij een Europese operator de service beheert. Klinkt goed. Maar er zijn twee kanttekeningen voor MKB:
Ten eerste zijn deze opties niet beschikbaar voor regulier MKB — ze zijn bedoeld voor overheidsorganisaties en zijn duur. Ten tweede: Microsoft heeft Copilot Flex Routing standaard ingeschakeld (per 17 april 2026), wat betekent dat AI-verwerking van uw data buiten Europa kan plaatsvinden tenzij u dit actief uitzet in het Microsoft 365 Admin Center.
Actie vereist voor Microsoft 365-gebruikers
Als u Microsoft 365 gebruikt met Copilot: controleer of Copilot Flex Routing uitgeschakeld is. Dit staat standaard aan na de update van 17 april 2026. Data wordt hiermee buiten de EU verwerkt.
Hoe: Microsoft 365 Admin Center → Instellingen → Org-instellingen → Copilot → Flex Routing → uitschakelen.
Wat moet u concreet doen? Drie stappen
Data-inventarisatie: wat staat waar?
Breng in kaart welke gevoelige data in welke clouddienst staat. Onderscheid: strategische data (handelsgeheimen, M&A, R&D) vs. operationele data (e-mails, agenda's). Strategische data heeft de hoogste prioriteit.
Configuratie en encryptie controleren
Controleer uw huidige encryptie-instellingen bij uw cloudprovider. Is er client-managed encryption actief voor gevoelige mappen/documenten? Zet Microsoft Copilot Flex Routing uit. Bekijk of uw provider een Data Processing Agreement (DPA) biedt die de CLOUD Act adresseert.
Risicogebaseerde beslissing: hybride of volledige migratie
Voor de meeste MKB-bedrijven is een volledige migratie naar Europese cloud niet noodzakelijk. Een hybride aanpak — gevoelige data op Europese infrastructuur (Hetzner, OVHcloud), operationele data bij Microsoft of Google — biedt een goede balans tussen risico en praktische bruikbaarheid.
Kosten: is de overstap duur?
Indicatieve kostenvergelijking — cloud opslag (per maand)
De overstapkosten bestaan voornamelijk uit eenmalige migratie-inspanning (technisch en organisatorisch), niet uit hogere licentiekosten. Voor gevoelige data-workloads is de overstap financieel vaak aantrekkelijk.
Wilt u weten hoe kwetsbaar uw cloud-setup is?
TechLeadNL voert cloud strategy assessments uit voor Nederlands MKB. Inclusief CLOUD Act-risicoanalyse, encryptie-beoordeling en concrete migratieaanbevelingen. 20 uur analyse, 30 pagina rapport.
Bronnen
Computable.nl — De CLOUD Act en digitale soevereiniteit ontrafelt (3 juni 2026) | Intermax.nl — De CLOUD Act: wat overheidsorganisaties moeten weten over jurisdictie en data | Europese Commissie — Tender sovereign cloud services €180 miljoen (april 2026) | Callista Group — European Cloud Providers Benchmark (februari 2026), via wolk.work | SoftwareSeni.com — The European Sovereign Cloud Provider Landscape in 2026 | Microsoft Learn — Copilot Flex Routing documentatie (april 2026) | Universal.cloud — Microsoft 365 prijsverhoging juli 2026 | eualternative.eu — EU Cloud Comparison Feature Matrix