Ruim helft gemeentelijke webapplicaties op Amerikaanse cloud

Dit blijkt uit grootschalig onderzoek van beveiligingsbedrijf MindYourPass. De analyse is gebaseerd op bijna twee miljoen geanonimiseerde inlogmomenten bij meer dan 12.000 verschillende applicaties binnen 20 Nederlandse gemeenten gedurende het jaar 2025.

De illusie van lokale hosting

Een veelgehoord argument in de discussie over digitale soevereiniteit is dat data veilig is zolang de servers fysiek in Europa staan. De cijfers van MindYourPass nuanceren dit beeld echter scherp. Van de applicaties die op Amerikaanse infrastructuur draaien, wordt de helft (50,5 procent) rechtstreeks in de VS gehost of gerouteerd. De andere 46 procent staat weliswaar bij Amerikaanse providers op Europese bodem, maar dat biedt geen waterdichte garantie.

"We liepen hier zelf ook tegenaan," verklaart Merijn de Jonge, CEO van MindYourPass. "Wij kozen bewust voor een Europees datacenter bij een Amerikaanse cloudprovider, in de veronderstelling dat daarmee alles binnen Europa bleef. Pas toen we onze eigen infrastructuur analyseerden, zagen we dat dataverkeer alsnog via de VS kan lopen door de inrichting van netwerken en load balancers."

Dit betekent dat data niet alleen juridisch onder de Amerikaanse Cloud Act kan vallen, maar ook technisch de oceaan oversteekt, wat extra risico's met zich meebrengt voor de privacy en veiligheid van burgergegevens.

Kritieke processen en 'Schaduw-AI'

Het onderzoek keek ook specifiek naar applicaties die door gemeenten zelf als 'kritiek' of 'high-impact' zijn aangemerkt. Hoewel het aandeel Amerikaanse hosting hier met 40 procent lager ligt dan het gemiddelde, is de afhankelijkheid nog steeds aanzienlijk. Bij de helft van deze kritieke systemen, die de primaire processen van een gemeente ondersteunen, loopt het dataverkeer mogelijk via Amerikaanse servers.

Een ander zorgpunt is het gebruik van kunstmatige intelligentie. Terwijl veel gemeenten formeel beleid hebben rondom de inzet van Microsoft Copilot, wijst de praktijk uit dat 'schaduw-AI' regeert. De twintig meest gebruikte AI-tools binnen gemeenten worden stuk voor stuk in de Verenigde Staten gehost. ChatGPT van OpenAI voert hierbij de lijst aan, ondanks de strengere kaders die vaak voor andere tools gelden. Deze toepassingen worden structureel ingezet voor het schrijven, analyseren en samenvatten van gevoelige content.

Slechts een fractie volledig Europees

Slechts 39,3 procent van alle onderzochte applicaties kan worden aangemerkt als "volledig Europees": zowel de hostinglocatie als de eigenaar van de infrastructuur bevinden zich binnen Europa. De overige 1,5 procent van de applicaties draait op infrastructuur buiten Europa en de VS, zoals in Azië.

Noodzaak voor inzicht

Om gemeenten en beleidsmakers te helpen de controle terug te krijgen, heeft MindYourPass een interactieve kaart ontwikkeld die de feitelijke hostinglocaties en eigendomsstructuren van gemeentelijke applicaties inzichtelijk maakt. Omdat de kaart details bevat over de digitale infrastructuur van de overheid, is de toegang beperkt en moet deze door professionals worden aangevraagd.

Het onderzoek onderstreept de noodzaak voor een kritische herwaardering van de Europese cloudstrategie. Zolang technische infrastructuren onzichtbaar blijven voor de eindgebruiker, blijft digitale soevereiniteit voor veel Nederlandse gemeenten een papieren werkelijkheid.