English version: scroll down

Cloudsoevereiniteit is een aantrekkelijk idee. Zeker in Europa, waar strategische autonomie het afgelopen jaar bijna een reflex is geworden. Net zoals tien jaar geleden de publieke cloud een commerciële reflex werd. De essentie is dat strategische data — inclusief de verwerking — “onder eigen controle” moet blijven, liefst binnen de eigen grenzen en onder eigen wetgeving. Het klinkt logisch, bijna vanzelfsprekend.

Maar het is ook een illusie. Niet omdat controle onbelangrijk is, maar omdat het uitgangspunt niet klopt. Data laat zich niet opsluiten binnen landsgrenzen. Het beweegt, wordt gekopieerd, verwerkt en bekeken — vaak gelijktijdig in meerdere jurisdicties. Wie digitale weerbaarheid wil begrijpen, moet daarom niet beginnen bij de vraag waar data staat, maar bij de vraag wat er gebeurt zodra data zich verplaatst.

Data is enerzijds, net als goud, een waardevol bezit dat je in een kluis wilt leggen; anderzijds is het, net als olie, vloeibaar en moet het naar elke plek kunnen stromen waar het bruikbaar is.

Digitale autonomie

Die verschuiving naar weerbaarheid zie je terug in de benadering van de Rijksinspectie Digitale Infrastructuur. Ook de stukken van het Bundesamt für Sicherheit in der Informationstechnik laten zien dat de discussie aan het kantelen is richting iets fundamentelers: digitale weerbaarheid. Niet cloudsoevereiniteit staat centraal, maar digitale autonomie: de mate waarin een organisatie grip heeft op haar afhankelijkheden, processen en risico’s — zowel wat betreft data als de verwerking.

Een Amerikaanse cloud kan acceptabel zijn, een Nederlandse cloud problematisch — afhankelijk van hoe die regie is ingericht. Soevereiniteit blijkt geen eigenschap van technische infrastructuren, maar van governance.

Toch mist er in die discussie vaak een cruciale laag: wetgeving volgt data, maar niet eenduidig. Data die in Nederland is opgeslagen, valt onder de Algemene verordening gegevensbescherming. Maar dezelfde data kan, via toegang of verwerking, ook onder andere regimes vallen. Denk aan extraterritoriale claims zoals de CLOUD Act, of aan data die tijdens transport en overslag (transit) tijdelijk — of simpelweg te lang — onder een andere jurisdictie valt.

Jurisdictie is daarmee een momentopname.

Van soevereiniteit naar weerbaarheid

Dat maakt het idee van een “master dataset” op eigen bodem aantrekkelijk, maar misleidend. Natuurlijk helpt het om een bron van waarheid te hebben — een archief dat onder eigen regie staat, binnen de kaders van bijvoorbeeld de Cyberbeveiligingswet. Het biedt houvast, auditability en herstelvermogen. Maar het verandert niets aan het feit dat elke kopie, elke verwerking en elke toegang juridisch zelfstandig relevant is.

Een dataset die via een website wordt ontsloten, verliest op dat moment zijn territoriale begrenzing. Een gebruiker aan de andere kant van de wereld maakt een kopie — al is het maar via een browsercache of screenshot — en die kopie valt onder een andere werkelijkheid. De master blijft netjes compliant, maar de verspreiding niet. Met de komst van AI-systemen is data bovendien nog moeilijker te begrenzen.

Die spanning is niet nieuw. Organisaties hebben altijd al keuzes moeten maken over hoe ze met waardevolle informatie omgaan: publiceren, bewijzen of geheimhouden — drie strategieën die elk een ander soort bescherming bieden. Dit is al eeuwen zo. Een Octrooi maakt kennis publiek en beschermt via het recht. Het recept van Coca-Cola blijft juist geheim en vertrouwt op afscherming. Daartussen ontstaat een derde route: formele registratie en daarmee aantonen dat je iets wist of had, zonder het volledig prijs te geven.

Data zonder herkomst?

In die tussenruimte past het idee van de non-fungible data-entry, zoals beschreven in NFD: het geboortebewijs van data. Geen claim op absolute controle, maar een vastlegging van herkomst op een open blockchain. Een moment waarop data ontstaat, voorzien van context, identiteit en tijd — niet om verspreiding te voorkomen, maar om altijd te kunnen bewijzen wat de oorsprong is. En dat die creatie compliant plaatsvond. En precies daar ontstaat een nieuw probleem — misschien wel het grootste van allemaal.

Zodra data zich loszingt van zijn bron en context, ontstaat wat je “weesdata” zou kunnen noemen: data zonder verwekker, zonder tijdstempel, zonder metadata en zonder aantoonbare oorsprong. Net als een vluchteling zonder papieren heeft deze data geen identiteit, geen nationaliteit en geen geschiedenis die eenvoudig te verifiëren is. En net als in de fysieke wereld leidt dat tot onzekerheid. Is de data betrouwbaar? Is ze gemanipuleerd? Valt ze onder regelgeving? Mag je haar gebruiken?

Hoe legaal is zwerfdata? 

In veel organisaties zwerft dit soort data al rond: CSV-bestanden zonder bronvermelding, datadumps zonder metadata, AI-modellen getraind op datasets waarvan de herkomst onduidelijk is. Het zijn geen uitzonderingen, maar eerder de norm. Weesdata is daarmee geen randverschijnsel, maar een structureel risico. Zie ook mijn eerdere blog ‘Weesdata’ hierover.

Waar soevereiniteit probeert data te controleren en NFD probeert data bij het ontstaan te identificeren, confronteert weesdata ons met het tegenovergestelde: het volledig ontbreken van grip. Niet omdat de infrastructuur faalt, maar omdat de context ontbreekt. En dat maakt weesdata misschien wel gevaarlijker dan data die zich buiten je jurisdictie bevindt.

Want data zonder herkomst is niet te vertrouwen, niet goed te beschermen en nauwelijks juridisch te plaatsen. De reflex is vaak om zulke data te blijven gebruiken “zolang het werkt”. Maar dat is vergelijkbaar met het accepteren van iemands identiteit zonder verificatie — een potentiële bron voor misbruik. Het kan goed gaan, tot het misgaat.

Digitale weerbaarheid

Digitale weerbaarheid vraagt om een andere houding. Niet alles hoeft gecontroleerd te worden, maar alles moet wel te herleiden zijn. Niet elke kopie hoeft te worden voorkomen, maar elke bron moet aantoonbaar zijn. En waar die herkomst ontbreekt, moet je een keuze maken: verrijken (context toevoegen), beperken (gebruik minimaliseren) of elimineren (data vernietigen). Dat zijn geen technische keuzes, maar bestuurlijke. In elke dataspace is de betrouwbaarheid van data de basis voor legaliteit.

Cloudsoevereiniteit probeert data binnen grenzen te houden. Digitale weerbaarheid accepteert dat die grenzen poreus zijn. En concepten zoals NFD voegen daar iets essentieels aan toe: niet controle over data, maar identiteit en context van data. Want uiteindelijk is niet de locatie van data doorslaggevend, maar de vraag of je kunt aantonen wat je in handen hebt. In een wereld vol kopieën en verspreiding is niet de best beveiligde dataset het meest waardevol, maar de dataset waarvan de herkomst onbetwistbaar is.

Misschien is dat wel de scherpste realiteit van dit moment: niet alle data is gelijk. Data met een identiteit kun je verdedigen. Data zonder identiteit moet je wantrouwen.

Photo by Markus Winkler

——————————-  Translated by ChatGPT    ——————————

Digital resilience begins where sovereignty ends

Cloud sovereignty is an appealing idea. Especially in Europe, where strategic autonomy has almost become a reflex over the past year—much like the public cloud became a commercial reflex a decade ago. The underlying premise is that strategic data—along with its processing—must remain “under our own control,” preferably within national borders and under domestic legislation. It sounds logical, almost self-evident.

But it is also an illusion. Not because control is unimportant, but because the premise itself is flawed. Data cannot be confined within national borders. It moves, is copied, processed, and accessed—often simultaneously across multiple jurisdictions. Anyone seeking to understand digital resilience should therefore not start with the question of where data resides, but with what happens once data begins to move.

On the one hand, data is like gold: a valuable asset you want to store securely in a vault. On the other hand, it is like oil: fluid, needing to flow to wherever it can be put to use.

Digital autonomy

This shift toward resilience is reflected in the approach of the Rijksinspectie Digitale Infrastructuur. Rather than focusing on cloud sovereignty, the emphasis is on digital autonomy: the degree to which an organization has control over its dependencies, processes, and risks—both in terms of data and its processing.

A U.S. cloud provider may be acceptable, while a Dutch one may be problematic—depending entirely on how governance is structured. Sovereignty turns out not to be a property of technical infrastructure, but of governance.

Yet one crucial layer is often missing from this discussion: legislation follows data, but not in a straightforward way. Data stored in the Netherlands falls under the Algemene verordening gegevensbescherming. However, that same data may also fall under other regimes through access or processing. Consider extraterritorial claims such as the CLOUD Act, or data that, during transit and routing, temporarily—or simply for too long—falls under another jurisdiction.

Jurisdiction, therefore, is a snapshot in time.

From sovereignty to resilience

This makes the idea of a “master dataset” on domestic soil attractive, but misleading. Of course, having a source of truth helps—an archive under your own control, within frameworks such as the Cyberbeveiligingswet. It provides stability, auditability, and recovery capability. But it does not change the fact that every copy, every processing action, and every access instance is legally relevant in its own right.

A dataset exposed through a website immediately loses its territorial boundaries. A user on the other side of the world creates a copy—whether through browser caching or a simple screenshot—and that copy exists under a different legal reality. The master remains compliant; the distribution does not. With the rise of AI systems, data has become even harder to contain.

This tension is not new. Organizations have always had to decide how to handle valuable information: publish, prove, or protect. These three strategies—centuries old—each offer a different form of protection.

A Octrooi makes knowledge public and protects it legally. The recipe of Coca-Cola remains secret, relying on strict confidentiality. In between lies a third path: formal registration—proving that you knew or possessed something without fully disclosing it.

Data without provenance?

It is within this middle ground that the concept of the non-fungible data entry (NFD) fits, as described in NFD: the birth certificate of data. It is not a claim to absolute control, but a record of origin on an open blockchain. A moment when data is created, enriched with context, identity, and time—not to prevent its spread, but to always be able to prove its origin and that its creation was compliant.

And this is precisely where a new problem emerges—perhaps the most significant of all.

Once data detaches from its source and context, what remains is “orphan data”: data without a creator, without a timestamp, without metadata, and without verifiable origin. Like a refugee without documents, such data has no identity, no nationality, and no easily verifiable history. See my previous blog ‘Orhan data’. 

And, as in the physical world, that leads to uncertainty.
Is the data reliable?
Has it been manipulated?
Does regulation apply?
Can it be used?

In many organizations, this kind of data is already widespread: CSV files without provenance, data dumps without metadata, AI models trained on datasets of unknown origin. These are not exceptions—they are the norm. Orphan data is not a fringe issue; it is a structural risk.

Where sovereignty seeks to control data and NFD seeks to identify it at creation, orphan data confronts us with the opposite: a complete absence of control. Not because infrastructure fails, but because context is missing. And that may make orphan data more dangerous than data that merely falls outside your jurisdiction.

Because data without provenance cannot be trusted, cannot be properly secured, and can hardly be placed within any legal framework. The common reflex is to continue using such data “as long as it works.” But that is comparable to accepting someone’s identity without verification—a potential source of abuse. It may work, until it doesn’t.

Digital resilience

Digital resilience requires a different mindset.

Not everything needs to be controlled, but everything must be traceable. Not every copy must be prevented, but every source must be verifiable. And where provenance is missing, a choice must be made: enrich (add context), restrict (limit usage), or eliminate (delete the data).

These are not technical decisions, but governance decisions. In any data space, trust in data forms the foundation of legality.

Cloud sovereignty attempts to keep data within boundaries. Digital resilience accepts that those boundaries are porous. Concepts like NFD add something essential: not control over data, but identity and context of data.

Ultimately, the decisive question is not where data resides, but whether you can prove what you are dealing with.

In a world of copies and constant distribution, the most valuable dataset is not the most secure one, but the one with indisputable provenance.

Perhaps that is the sharpest reality of our time: not all data is equal.
Data with identity can be defended.
Data without identity must be treated with suspicion.

Hashtags:
#DigitalResilience, #DataGovernance, #CloudSovereignty, #DataProvenance, #NFD, #Cybersecurity, #DataStrategy, #NIS2, #GDPR, #InformationSecurity