Kyndryl neemt Solvinity over - vragen over datasoevereiniteit

Kyndryl, een toonaangevende Amerikaanse IT-dienstverlener, heeft plannen aangekondigd om het Nederlandse cloudbedrijf Solvinity over te nemen. Hoewel de deal bedoeld is om het aanbod van veilige clouddiensten van Kyndryl uit te breiden, roept deze ook vragen op over datasoevereiniteit, aangezien de diensten van Solvinity onder de jurisdictie van de Amerikaanse Cloud Act zullen vallen. Deze wet geeft de Amerikaanse overheid toegang tot gegevens die zijn opgeslagen door Amerikaanse bedrijven, zelfs als deze zich in het buitenland bevinden. Deskundigen waarschuwen dat deze overname de inspanningen van Europa om een eigen digitale infrastructuur op te bouwen en de afhankelijkheid van Amerikaanse techgiganten te verminderen, zou kunnen ondermijnen.

De overname van Solvinity door Kyndryl, aangekondigd op 4 november, heeft tot doel zijn veilige beheerde clouddiensten in Nederland te versterken. De deal combineert de expertise van Kyndryl op het gebied van advies, implementatie en beheerde diensten met het aanbod van Solvinity op het gebied van private en hybride soevereine clouddiensten. Volgens Petra Goude, president van Kyndryl Strategic Markets, zal deze overname Kyndryl in staat stellen om uitgebreide diensten aan te bieden op het gebied van modernisering, innovatie en beveiliging van gevoelige en complexe workloads voor zijn klanten. De uitgebreide mogelijkheden zijn bedoeld om klanten te ondersteunen die zeer gevoelige workloads uitvoeren en tegelijkertijd moeten voldoen aan strenge beveiligings- en nalevingsvereisten en moeten navigeren door de steeds veranderende regelgeving op het gebied van gegevenssoevereiniteit. De klanten van Kyndryl zullen naar verwachting profiteren van een verbeterd portfolio van beveiligingsmogelijkheden, cloudplatformdiensten, AI-ondersteuning en het team van experts van het bedrijf met nationale en internationale certificeringen. De financiële voorwaarden van de transactie blijven geheim.

Zorgen over datasoevereiniteit en de Amerikaanse CLOUD Act

De overname heeft in Nederland en Europa tot bezorgdheid geleid vanwege de implicaties van de Amerikaanse CLOUD Act. Deze wet stelt de Amerikaanse overheid in staat om gegevens op te vragen bij in de VS gevestigde bedrijven, ongeacht waar die gegevens zijn opgeslagen. Nu Solvinity, dat actief is op de Nederlandse overheidsmarkt, onder de Amerikaanse jurisdictie valt, bestaat de vrees dat de Amerikaanse overheid toegang krijgt tot gevoelige overheidsgegevens die door Solvinity worden beheerd. Dit roept belangrijke vragen op over dataprivacy en digitale soevereiniteit, vooral omdat Solvinity de Justitienet-omgeving voor het Nederlandse ministerie van Justitie en Veiligheid beheert. Sommige deskundigen beschouwen de overname als een ‘ongewenste situatie’ en vrezen dat de Nederlandse overheid niet snel genoeg zal reageren, gezien haar passiviteit in soortgelijke gevallen in het verleden. Er zijn ook zorgen geuit over mogelijk toezicht op de ingenieurs van Solvinity door het Amerikaanse moederbedrijf.

Het Europese alternatief

Europese drang naar digitale soevereiniteit

De overname van Solvinity komt op een moment dat Europa actief streeft naar versterking van zijn digitale soevereiniteit en vermindering van zijn afhankelijkheid van Amerikaanse technologiebedrijven. De Tweede Kamer heeft zelfs ingestemd met een motie om investeringen in Europese cloudalternatieven te versnellen. Deze motie, ingediend door Kamerlid Koekkoek (Volt), heeft tot doel de digitale autonomie van Europa te waarborgen, omdat deze essentieel wordt geacht voor de economische, technologische en nationale veiligheid. De motie roept de EU ook op om te pleiten voor versnelde investeringen in Europese cloudalternatieven en digitale infrastructuur, en verzoekt de Nederlandse regering om aanvullende nationale middelen te identificeren om Europese cloudoplossingen te stimuleren. Ondanks aanzienlijke investeringen van Amerikaanse technologiebedrijven zoals Amazon Web Services (AWS) in de EU, blijft de behoefte aan Europese alternatieven groot vanwege bezorgdheid over de toegang tot gegevens onder de CLOUD Act.

Het EuroStack-rapport

Een recent EuroStack-rapport dringt er bij Europa op aan om zijn eigen digitale toekomst op te bouwen en roept op tot een investering van 300 miljard euro om Europa te transformeren tot een wereldleider op het gebied van waardegedreven, duurzame digitale innovatie. Het rapport schetst een visie voor een Europees digitaal ecosysteem dat geworteld is in soevereiniteit, duurzaamheid en democratische waarden. Het beveelt aan om een EU Sovereign Tech Fund op te richten, dat zich richt op ‘Made-in-Europe’-normen en strategische publiek-private partnerschappen nastreeft. Het EuroStack-initiatief stelt een gefedereerde, gedecentraliseerde aanpak voor die gebruikmaakt van de diversiteit van Europa en tegelijkertijd strategische coördinatie handhaaft. De voorgestelde infrastructuur omvat EuroChips (eigen productie van halfgeleiders), SovereignCloud (veilige Europese clouddiensten), SmartEurope IoT-netwerken, DataCommons voor gefedereerde gegevensuitwisseling en SovereignAI-diensten. Zonder een sterke interne digitale infrastructuur loopt Europa het risico op banenverlies, verminderde waardecreatie, technologische afhankelijkheid en een uitholling van de democratische controle over gevoelige informatie.

Soevereine clouds: een wereldwijde trend

Overheden over de hele wereld onderzoeken in toenemende mate ‘soevereine clouds’ om gevoelige gegevens binnen hun eigen rechtsgebied te beheren en te beschermen. Deze interne cloudsystemen zijn bedoeld om meer binnenlandse controle en autonomie te bieden en gegevens te beschermen tegen geopolitieke conflicten en wereldwijde storingen in het cloudnetwerk. De Amerikaanse CLOUD Act van 2018 is een belangrijke drijfveer voor overheden om soevereine clouds in te voeren, zodat gevoelige informatie binnen het rechtsgebied van het land blijft. Soevereine clouds bieden ook economische voordelen door de cloudinfrastructuur te lokaliseren, hoogwaardige technologische banen te creëren en een zelfvoorzienend digitaal ecosysteem te bevorderen. Belangrijke criteria voor een succesvolle soevereine cloud zijn onder meer controle over en eigendom van de infrastructuur, gegevensopslag en naleving, gegevensscheiding en -isolatie, gegevensbeveiliging en gebruikersprivacy, operationele controle en training, servicekwaliteit en betrouwbaarheid, transparantie en governance, en schaalbaarheid, innovatie en interoperabiliteit.

Implementatie van soevereine clouds

De implementatie van soevereine clouds gaat niet zonder uitdagingen, waaronder hoge kosten, een tekort aan vaardigheden en de noodzaak van effectieve partnerschappen. Overheden moeten een evenwicht vinden tussen het gebruik van de tools die hyperscalers bieden en het waarborgen van gegevenssoevereiniteit. Er bestaan twee gangbare modellen: een hyperscaler-cloud met soevereiniteitskenmerken (beheerd door hyperscalers, met kostenbesparingen maar beperkte controle) en een soevereine cloud met een hyperscaler (volledig lokale controle, maar duurder en ingewikkelder om te implementeren).