Artikel4 min lezen
De CLOUD Act: feiten boven angst, en wat Azure External Key Management verandert
Wat de Amerikaanse CLOUD Act echt toestaat, hoe je beperkt wie je data kan lezen, en waarom sleutels buiten Azure het debat verschuiven van juridisch naar technisch.
De Clarifying Lawful Overseas Use of Data Act van de Verenigde Staten (VS), beter bekend als de CLOUD Act, wordt vaak gepresenteerd als een achterdeur waardoor de Verenigde Staten naar believen Europese data kunnen lezen. Dat beeld klopt niet, en beslissingen die erop gebaseerd zijn, kloppen meestal ook niet. Zo kijken wij ernaar, en dit verandert een nieuwe Azure-mogelijkheid.
Wat de CLOUD Act is, en wat niet
De CLOUD Act is geen spionagewet en geen instrument voor massale datatoegang. Het is een strafvorderlijk instrument voor gerichte bewijsvergaring in concrete onderzoeken naar ernstige misdrijven, altijd op basis van een rechterlijk bevel. Het geldt voor dienstverleners die in de VS gevestigd zijn, waar de data ook fysiek is opgeslagen.
Dat vraagt om nuchter risicomanagement, niet om paniek. Europa heeft vergelijkbare bevoegdheden, via het nationale strafrecht en de e-Evidence-verordening van de Europese Unie (EU). Voor de meeste organisaties is het CLOUD Act-risico laag en grotendeels theoretisch, zolang er geen strafrechtelijke context is.
De relevante vraag is dus niet “is de CLOUD Act eng?” maar “wie heeft technisch en juridisch toegang tot mijn data, en hoe beperk ik dat?”
Hoe we toegang beperken
We benaderen de CLOUD Act feitelijk en via architectuur, niet door de cloud principieel af te wijzen. Het doel is het risico meetbaar en beheersbaar maken. In de praktijk adviseren en implementeren we:
- Door de klant beheerde versleutelingssleutels, zodat de sleutels die je data beschermen van jou zijn om te beheren en in te trekken.
- Double Key Encryption en Hold Your Own Key voor de meest gevoelige informatie, zodat de data niet leesbaar is zonder jouw medewerking.
- Strikte identiteits- en toegangsmodellen, zodat alleen de mensen en diensten die data nodig hebben erbij kunnen.
- Dataclassificatie, want niet alle data heeft dezelfde mate van soevereiniteit nodig.
Het principe: technische maatregelen vóór contractuele beloften.
Wat External Key Management verandert
Tot voor kort lieten de meeste van deze maatregelen nog één ding bij de provider: de vertrouwensbasis. Zelfs met door de klant beheerde sleutels in een speciale hardware security module (HSM) leefde de sleutel zelf in de infrastructuur van Microsoft.
In juli 2026 bracht Microsoft External Key Management voor Azure Key Vault Managed HSM uit in openbare preview. Daarmee leeft de sleutel die je andere sleutels beschermt in een HSM die jij bezit en beheert, op je eigen locatie of bij een vertrouwde derde partij. Managed HSM bewaart die sleutel niet langer. Het stuurt de cryptografische bewerkingen door naar jouw HSM via een proxy die jij draait, en je kunt je HSM op elk moment loskoppelen om ontsleuteling in Azure te stoppen.
Dat verschuift de discussie van de juridische positie van Microsoft naar het technische onvermogen van Microsoft. Zelfs met een geldig rechterlijk bevel in de hand kan een provider die de sleutel nooit in handen heeft, die niet afgeven en de data niet ontsleutelen. Voor besturen, risicocommissies en toezichthouders die zich richten op digitale soevereiniteit weegt dat onderscheid zwaar.
Een realiteitscheck
- Het is een preview. Je Microsoft-accountteam moet het voor je abonnement inschakelen, en previewfuncties bieden geen productiegaranties.
- De reikwijdte is beperkt. Het dekt het wrappen en unwrappen van sleutels, voor Azure-diensten die al door de klant beheerde sleutels in Managed HSM ondersteunen.
- De beschikbaarheid is van jou. Als je HSM of proxy onbereikbaar is, stoppen de diensten die ervan afhangen. Er is geen Microsoft-serviceniveau voor de externe sleutel, en elke bewerking voegt een netwerkrondreis toe.
- De meeste organisaties hebben het niet nodig. Microsoft zelf adviseert standaard Managed HSM voor het merendeel van de gevallen. External Key Management is voor organisaties met een harde eis dat de cryptografische vertrouwensbasis buiten de cloudprovider ligt.
Feiten boven angst
External Key Management neemt niet elk juridisch risico weg. Het versterkt wel wezenlijk de positie van organisaties die moeten aantonen dat hun meest gevoelige sleutels onder hun eigen fysieke en operationele controle staan. Goede governance betekent de wet kennen, begrijpen hoe die wordt toegepast en je architectuur daarop ontwerpen. Als datasoevereiniteit hoog op je risicoregister staat, is het de moeite van een evaluatie waard, en we toetsen de businesscase graag samen met je.
Bekijk wat we bieden in cybersecurity en compliance en private en hybride cloud.