Digitale Soevereiniteit: bescherm jouw bedrijfsdata met Azure

Het Witte Huis doet een uitspraak en je telefoon trilt op tafel. Zijn we soeverein? Klopt onze cloud-strategie nog?

Tijdens ons webinar 'Digitale soevereiniteit zonder sprookjes' hoorden we de scherpste versie van die vraag terug uit de zaal. "Wat als Trump op die rode knop drukt of de kill switch doet en op een gegeven moment onze business stil gaat leggen? Wat gebeurt er dan?"

De vraag speelt ondertussen overal, terwijl 'soevereiniteit' op elk congrespaneel staat en in elke whitepaper opduikt. Wat het concreet betekent, weet bijna niemand precies.

Drie aannames komen telkens terug. Soevereiniteit zou alleen voor overheden zijn, public cloud zou het uitsluiten en cloud-innovatie zou je inleveren voor controle. Tijd om ze één voor één te ontmantelen, en je te laten zien wat Azure er allang aan doet.

Liever de hele opname bekijken? De volledige webinar vind je hieronder:

Soevereiniteit is gelaagd, geen schakelaar

Wie soevereiniteit als één knop ziet, betaalt er meestal duur voor. Aan of uit, lokaal of internationaal, of in het ergste geval terug naar lokaal. Die manier van kijken houdt geen stand.

Tijdens het webinar gebruikten we daarvoor het beeld van een vliegreis. Jarenlang reisden we met z'n allen in een comfortabele businessclass naar Amerika, alles werd geregeld en we vlogen prima. Wat er in de cockpit gebeurde, wisten we eigenlijk niet.

Microsoft noemt het piramidemodel Basics in Place. Vier lagen die op elkaar bouwen.

• Foundation legt de basis voor wendbaarheid en controle
• Op Adaptation pak je technologische innovaties sneller dan de concurrent
• Acceleration laat digitale initiatieven snel opschalen
• Resilience staat voor anticiperen, weerstand bieden, herstellen en aanpassen

Soevereiniteit zit niet bovenaan deze piramide. Hij loopt door alle lagen heen. Wie MFA en Conditional Access op orde heeft, staat sterker op Foundation.

Wie Resilience wil afdwingen, vraagt iets anders. Daar spelen vragen over wie de sleutels houdt, wie mag inloggen en wat er gebeurt als Microsoft morgen iets verandert.

Tijdens het webinar viel telkens hetzelfde refrein. Zorg dat de basis op orde is, en weet welke data jouw kroonjuwelen zijn.

Weerbaarheid is meer dan backups en firewalls

Weerbaarheid blijft vaak hangen op Protect. Backups, firewalls, logging. Klinkt logisch.

Toch rust het hele begrip op vier pijlers in plaats van één.

Control bepaalt wie wat mag zien en doen in je omgeving. Zonder helder identity- en access-beleid is de rest een gebouw zonder voordeur. Protect zet de muren en de detectie eromheen, en die laag staat in jouw tenant waarschijnlijk al overeind.

Adapt is de pijler die meestal als laatste aan bod komt. NIS2-eisen schuiven volgende maand en een leverancier wisselt zijn key-management. Hoeveel weken kost het je om je policy bij te werken, en wie houdt dat in de gaten?

Evolve dwingt je om telkens te herijken. Cybervolwassenheid kent geen eindbestemming en vraagt om continu kijken en bijstellen.

Een organisatie die alleen in Protect investeert, staat weerbaar op één been. Zodra Control of Adapt het laat afweten, valt het hele blok om.

Op Azure liggen vier knoppen die je soeverein houden

Sprookje drie zegt dat soevereiniteit en Azure niet samengaan. Microsoft is Amerikaans, dus wat je ook bouwt, je geeft de sleutels uit handen. Het is een aannemelijk verhaal tot je ziet welke vier blokken Microsoft daarvoor heeft gebouwd.

Op Azure liggen vier bouwblokken waarmee je soevereiniteit aanzet.

• Sovereign Control Portfolio voor Azure Confidential Computing, Customer-Managed Keys en Azure Managed HSMs, waarmee je workloads en versleuteling buiten de toegang van Microsoft-engineers houdt
• Guardrails & Guidance via de Sovereign Landing Zone, met gecertificeerde architecturen en policy-templates die in je deployment meedraaien
• Compliance & Transparency, inclusief policy packs voor lokale wetgeving en Customer Lockbox voor het auditen van elke Microsoft-toegang tot je omgeving
• Public Cloud Capabilities, de snelheid, breedte en schaal van Azure die je in een eigen datacenter gewoon niet evenaart

Die knoppen staan er gewoon. Geen jarenlang project, geen volgende inkoopronde.

Customer Lockbox is een goed startpunt om dat tastbaar te maken. Microsoft-engineers die om welke reden dan ook bij je data moeten zijn, vragen het eerst aan jou. Jij ziet wie en waarom, jij keurt goed of weigert.

Het verzoek en wat er daarna gebeurt, verschijnen in de audit-log. Niets ongemerkt, niets buiten je zicht. Voor jou betekent dat een Microsoft-incident geen black box meer is, en dat je aan je board kunt vertellen wie wanneer wat heeft gezien.

Alleen de combinatie levert iets op. Een Sovereign Landing Zone zonder beleid achter de schermen is een dure architectuur zonder eigenaar. Een Customer-Managed Key zonder proces eromheen is een sleutel zonder kluis.

Wie houdt de sleutels van jouw kroonjuwelen

Het meest concrete soevereiniteitsblok is wat tijdens het webinar de sleutellaag heette. Customer-Managed Keys laten je de versleuteling van databases, backups en logs aansturen vanuit je eigen Azure Key Vault. Trek je de sleutel in, dan staat de data binnen minuten op zwart.

Een spreker vertelde over een test die hij met collega Thijs op Fabric had gedaan. Ze trokken de key in om te zien wat er gebeurde. Binnen minuten was de Fabric-workspace niet meer beschikbaar.

Dat zegt twee dingen tegelijk. Je hebt echt controle in je tenant. Een sleutel weghalen levert direct effect op.

Tegelijk vraagt die controle achter de schermen om beleid. Op orde brengen klinkt eenvoudig. In de praktijk vraagt key-management om sleutelrotatie, rolverdeling tussen security-team en data-team, fallback-procedures en geteste disaster-recovery.

Niet alle organisaties hebben dat beleid vandaag al op orde. Dat is geen hindernis. Het hoort bij het pad.

Eerst beleid, dan techniek.

Tijdens het webinar viel een zin die hier het beste samenvat. Als de sleutel niet beschikbaar is, dan is de data ook niet beschikbaar.

Je legt je kroonjuwelen in een kluis. Vraag jezelf af wie nu de sleutel houdt en wie er toegang toe heeft.

Aan de techniek zal het niet liggen

Het belangrijkste soevereiniteitsbesluit draait niet om Azure-policies. Het gaat over welke data jouw kroonjuwelen zijn, welk risico je accepteert en welke financiële uitruil je doet.

Dat is een directievraag. Wat de techniek aankan, houdt je in 2026 niet meer tegen. Tijdens het webinar viel die zin een paar keer.

Aan de techniek zal het niet liggen.

Wat ontbreekt, is meestal een visiestuk waarop IT, security en compliance samen kunnen bouwen. Dat is een board-discussie met strategische keuzes en forse prijskaartjes. En aan de andere kant moet je de hele organisatie meekrijgen.

Bij InSpark staat dat visiestuk klaar, samen met onze moedermaatschappij KPN geschreven. We ontvingen de Microsoft Country Partner of the Year voor Nederland 2025-2026, samen met KPN Zakelijke Markt. Vanuit die combinatie zitten we met klanten aan tafel over de soevereiniteitskeuzes die er echt toe doen.

We zien organisaties op twee manieren met soevereiniteit worstelen. Sommige zetten alles op slot en geven de cloud-snelheid op. Andere doen er niets aan en hopen dat de geopolitieke ruis voorbij gaat.

Geen van beide is een keuze. Wie nu kiest tussen controle en innovatie, mist de knoppen die er allang zijn.

Wil je weten welke Azure-knoppen in jouw situatie het meeste uithalen? Neem contact met ons op voor een strategiesessie en spar met een expert.