Waarom de plek van je data maar de helft van de vraag is
De meeste clouddiensten draaien op drie Amerikaanse aanbieders: Amazon (AWS), Microsoft (Azure) en Google Cloud. Die bedrijven vallen onder Amerikaans recht, waar hun servers ook staan.
De Amerikaanse CLOUD Act uit 2018 maakt dat concreet. Amerikaanse autoriteiten kunnen data opvragen die onder de controle van een Amerikaans bedrijf valt, ook als die data in een Europees datacenter staat. Een datacenter in Frankfurt of Amsterdam verandert daar niets aan.
Voor de zorg weegt dat zwaarder dan voor andere sectoren. Gezondheidsgegevens zijn onder de AVG bijzondere persoonsgegevens: er geldt een strengere grondslag en je moet kunnen uitleggen wie toegang heeft.
Daar komt bij dat de juridische basis voor doorgifte naar de Verenigde Staten al twee keer door de Europese rechter ongeldig is verklaard. De regeling die er nu ligt, staat opnieuw onder druk.
De vraag is dus niet wáár je data staat, maar wie er juridisch bij kan.
Drie soorten cloud, drie niveaus van zeggenschap
Grofweg valt de markt in drie groepen uiteen. Ze verschillen minder in wat ze technisch kunnen dan in de juridische positie waarin je terechtkomt.
Amerikaanse hyperscalers
Het breedste en meest volwassen aanbod, met datacenters in Europa. Het moederbedrijf is Amerikaans, dus de CLOUD Act blijft van toepassing.
Soevereine cloud van dezelfde partijen
Aparte Europese rechtspersonen, Europees personeel en stevige technische waarborgen. AWS opende deze variant in januari 2026 in Brandenburg als zelfstandige Duitse onderneming; uitbreiding naar Nederland is aangekondigd. Juristen zijn verdeeld of het CLOUD Act-risico daarmee helemaal verdwijnt, omdat het moederbedrijf Amerikaans blijft.
Europese aanbieders
Geen Amerikaanse blootstelling. Het beeld dat deze partijen ver achterlopen is achterhaald: het aanbod groeit snel en partijen als Scaleway en StackIT leveren inmiddels beheerde databases, wachtrijen en Kubernetes. Het pakket kant-en-klare diensten is nog wel smaller, dus bouw je vaker zelf of met open source.
Wie er zijn en waar ze voor gecertificeerd zijn
Wij bouwen zelf op open source en Europese infrastructuur, dat is onze insteek. De opties hieronder staan zoals ze zijn, zodat je zelf kunt wegen wat voor jouw organisatie zwaarder telt.
Twee keurmerken komen vaak terug. BSI C5 (Duitsland) is een verklaring: een auditor stelt vast dat de maatregelen bestaan. SecNumCloud (Frankrijk) gaat verder en is een certificering: een autoriteit toetst ook de juridische situatie van de aanbieder. Geen van beide vervangt NEN 7510, daarover hieronder meer.
| Aanbieder | Land | Aanbod | Keurmerken | Past bij |
|---|---|---|---|---|
| OVHcloud | Frankrijk | Breed platform | ISO 27001 BSI C5 SecNumCloud |
Een breed aanbod binnen EU-recht, met het zwaarste keurmerk |
| Scaleway | Frankrijk | Breed platform | ISO 27001 HDS |
Zorgdata bij een Franse partij; HDS is de Franse zorgcertificering |
| StackIT | Duitsland | Platform, gericht op gereguleerde sectoren | ISO 27001 BSI C5 |
Duitse waarborgen; onderdeel van Schwarz Digits |
| IONOS | Duitsland | Breed platform | ISO 27001 BSI C5 |
Een breed Duits alternatief |
| Hetzner | Duitsland | Vooral infrastructuur, bewust geen beheerde diensten | ISO 27001 BSI C5 |
Zelf beheren en scherp op kosten letten |
| UpCloud | Finland | Infrastructuur en rekenkracht | ISO 27001 | Noord-Europese jurisdictie |
| Leaseweb | Nederland | Vooral infrastructuur | ISO 27001 | Nederlands eigendom; let op dat er ook datacenters buiten de EU zijn |
Dit is een selectie en geen volledig overzicht. De markt beweegt snel. Controleer de actuele keurmerken zelf voordat je besluit; een certificaat heeft een houdbaarheidsdatum.
Vier regels die het veld smaller maken
Een cloudkeuze in de zorg is niet alleen technisch. Vier regels bepalen wat er úberhaupt kan.
NEN 7510 is ISO 27001, toegespitst op de zorg
NEN 7510 is een Nederlandse uitwerking van ISO 27001, met eisen die specifiek op de zorg zijn toegespitst. Internationale aanbieders hebben die uitwerking doorgaans niet, maar ISO 27001 vrijwel altijd wel. Het gat is dus kleiner dan het lijkt: de basis staat er, de zorgspecifieke aanvulling regel je zelf of met een partij die NEN 7510 heeft. Zorgaanbieders zijn daar sinds 2018 toe verplicht bij gebruik van een zorginformatiesysteem. Handig om te weten: NEN 7510, 7512 en 7513 zijn gratis op te vragen, via een afspraak tussen VWS en NEN.
De Cyberbeveiligingswet geldt sinds 15 augustus 2026
De Nederlandse uitwerking van de Europese NIS2-richtlijn is op 15 augustus 2026 in werking getreden, na goedkeuring door de Eerste Kamer op 7 juli. De zorg valt eronder, er is géén algemene overgangsperiode en de wet stelt ook eisen aan je toeleveranciers. Je cloudkeuze is daarmee onderdeel van je naleving.
Gezondheidsdata valt onder een streng AVG-regime
Gezondheidsgegevens zijn bijzondere persoonsgegevens. Er geldt een strengere grondslag, een verwerkersovereenkomst met je leverancier is verplicht en je moet kunnen aantonen wie toegang heeft tot welke gegevens.
De EHDS komt eraan, gefaseerd vanaf 2027
De Europese verordening voor de gezondheidsdataruimte trad in maart 2025 in werking. De algemene toepassingsdatum is 26 maart 2027; uitwisseling van patiëntsamenvattingen en e-recepten volgt in 2029, beeldmateriaal en labuitslagen in 2031. Open standaarden en overdraagbaarheid worden daarmee geen luxe meer.
Wij werken zelf in dit speelveld: Timformatie is gecertificeerd voor zowel ISO 27001 als NEN 7510. Lees hoe wij informatiebeveiliging aanpakken.
Welke kant kun je op kijken?
Één vraag bepaalt het grootste deel: is de data te herleiden tot een individuele patiënt? Vanaf daar blijven er drie routes over.
En ja, dat laatste doen wij ook. Je houdt het eigenaarschap alleen zelf, dus je kunt altijd van beheerder wisselen of het in eigen hand nemen.
Vijf vragen voor je leverancier
Welke route je ook kiest, deze vijf zijn het waard om op tafel te leggen. Neem ze mee naar je volgende gesprek met een aanbieder.
“Onder welk recht vallen jullie en kan het moederbedrijf bij onze data?”
Dit is de belangrijkste vraag. Een Europees datacenter beantwoordt hem niet voor je.
“Als we over een paar jaar andere tools willen, kunnen we ons platform dan meenemen?”
Niet je data maar je gereedschap is vaak de echte afhankelijkheid. Draait je platform op open standaarden, dan wissel je een tool uit zonder alles opnieuw te bouwen.
“Als we over drie jaar weg willen, hoe krijgen we onze data eruit en wat kost dat?”
Data wegzetten is vaak gratis, ophalen niet. Daar zit de rekening en daarmee de afhankelijkheid.
“Wie beheert dit en wat moeten wij zelf in huis hebben?”
Voorkomt dat je iets koopt dat je organisatie niet kan bedienen.
“Waar staan jullie datacenters en wat gebeurt er als jullie omvallen?”
Ook Europese aanbieders hebben soms datacenters buiten de EU. Continuïteit is in de zorg bovendien geen bijzaak.
Een Europese cloud is de helft van het verhaal
Waar je platform draait is één vraag. Waarmee je het bouwt is de volgende. Je kunt je data netjes in een Europees datacenter zetten en er vervolgens Databricks of Snowflake bovenop zetten.
In dat geval liggen je verwerking, je datamodel en een deel van je kennis alsnog bij een Amerikaanse leverancier. De afhankelijkheid is niet weg, maar verschoven van de infrastructuur naar het gereedschap.
Bij een platform kijken we daarom naar beide lagen. Open standaarden en open formaten zorgen ervoor dat je een tool kunt vervangen zonder je platform kwijt te raken.
Welke Europese en open alternatieven er voor die gereedschapslaag bestaan, is een onderwerp apart. We schrijven daar binnenkort meer over.
Wat past, hangt af van jouw situatie
Deze pagina geeft je de vorm van de afweging, niet het antwoord voor jouw organisatie. Dat hangt af van je data, je systemen en wat je zelf kunt beheren. Bel of app Tim vrijblijvend, we denken graag met je mee.
Plan een kennismaking →
Verantwoording en bronnen
Laatst gecontroleerd: 3 september 2026. Regels en keurmerken veranderen; controleer tijdgevoelige feiten zelf voordat je er een besluit op baseert.
- Europese Commissie: verordening Europese gezondheidsdataruimte (EHDS)
- NCSC: Cyberbeveiligingswet (NIS2)
- Data voor gezondheid: wat de Cyberbeveiligingswet betekent voor de zorg
- NEN: informatiebeveiliging in de zorg (NEN 7510, 7512, 7513)
- AWS: lancering European Sovereign Cloud, januari 2026
- Europese Commissie: Cloud Sovereignty Framework
- IAPP: stand van zaken EU-US Data Privacy Framework