Euralarm zet criteria voor Europese soevereine cloud op een rij

Cloudsoevereiniteit draait om veel meer dan de vraag in welk land een server staat. Dat is een van de belangrijkste boodschappen van een nieuwe richtlijn van Euralarm over het gebruik van Europese soevereine clouddiensten voor brandveiligheid en fysieke beveiliging. De organisatie wil fabrikanten, dienstverleners, systeemintegrators en eindgebruikers hiermee meer houvast geven bij het selecteren van cloudomgevingen voor steeds kritischer wordende toepassingen.

Dat die discussie juist binnen de brandveiligheids- en beveiligingssector steeds belangrijker wordt, is niet verrassend. Cloudtechnologie speelt een groeiende rol bij onder meer diagnose op afstand, alarmdoorgifte, voorspellend onderhoud en analyse van gegevens. Daarmee verschuiven functies die vroeger vrijwel volledig lokaal werden uitgevoerd steeds vaker naar externe digitale infrastructuren.

Voor organisaties die kritieke infrastructuur als datacenters of publieke diensten beheren, ontstaat daarmee een nieuwe vraag: niet alleen of een cloudomgeving technisch veilig is, maar ook wie uiteindelijk controle heeft over de infrastructuur, software en gegevens.

Volgens Euralarm is het onvoldoende om bij een soevereine cloud uitsluitend te kijken naar de plaats waar gegevens worden opgeslagen. Een datacenter binnen de Europese Unie betekent immers niet automatisch dat de betreffende clouddienst volledig onder Europese controle valt.

De richtlijn onderscheidt daarom vijf dimensies die gezamenlijk bepalen hoe soeverein een cloudomgeving daadwerkelijk is: technologische soevereiniteit, operationele soevereiniteit, juridische soevereiniteit, de locatie waar gegevens worden opgeslagen en naleving van relevante wet- en regelgeving.

Daarmee komt bijvoorbeeld ook de vraag in beeld in hoeverre een organisatie afhankelijk is van technologie van een bepaalde leverancier. Ook operationele controle is belangrijk: wie kan systemen beheren, aanpassen of uitschakelen? Daarnaast moet worden gekeken onder welke juridische jurisdictie de leverancier en eventuele moedermaatschappijen vallen. Dat laatste is vooral relevant wanneer buitenlandse wetgeving bedrijven kan verplichten gegevens beschikbaar te stellen, ook wanneer die informatie fysiek in Europa is opgeslagen.

Euralarm pleit nadrukkelijk niet voor één technische architectuur die voor iedere organisatie moet gelden. In plaats daarvan kiest de brancheorganisatie voor een risicogebaseerde aanpak. Organisaties moeten volgens die benadering eerst bepalen hoe gevoelig een toepassing is, hoe kritiek de betreffende dienstverlening is en welke gevolgen mogelijke buitenlandse juridische of operationele invloed kan hebben. Vervolgens kan worden bepaald welk niveau van cloudsoevereiniteit noodzakelijk is.

Dat betekent dat een organisatie voor een relatief weinig kritieke cloudapplicatie andere eisen kan stellen dan voor systemen die bijvoorbeeld alarmmeldingen verwerken of onderdeel zijn van de beveiliging van kritieke infrastructuur. Deze benadering moet voorkomen dat iedere cloudomgeving automatisch aan de zwaarst mogelijke soevereiniteitseisen wordt onderworpen. Strenge eisen kunnen risico's verminderen, maar tegelijkertijd de kosten verhogen en cloudarchitecturen aanzienlijk complexer maken.

De nieuwe richtlijn besteedt daarom behalve aan dataopslag ook aandacht aan onderwerpen als governance, juridische regiems en operationele onafhankelijkheid. Organisaties moeten bijvoorbeeld beoordelen wat er gebeurt wanneer de relatie met een leverancier verandert of wanneer externe omstandigheden ertoe leiden dat bepaalde technologie of ondersteuning niet langer beschikbaar is. Daarmee raakt cloudsoevereiniteit direct aan digitale veerkracht. Voor brandveiligheids- en beveiligingssystemen is immers niet alleen vertrouwelijkheid van gegevens belangrijk. Ook beschikbaarheid en continuïteit spelen een grote rol.

De publicatie past daarmee in een bredere ontwikkeling binnen de sector. Euralarm publiceerde eerder al richtlijnen rond het contracteren van clouddiensten voor veilige externe toegang tot alarmsystemen en veilige alarmtransmissie. In juni publiceerde de organisatie bovendien een whitepaper over brandveiligheid in een steeds verder verbonden wereld, waarin onder andere remote services en cybersecurity aan bod komen.