Soevereine cloudkaders in Europa

De belangrijkste kaders

• EU Cloud Sovereignty Framework (SEAL). De schaal van de Europese Commissie voor soevereiniteit bij de inkoop van cloud, per doelstelling gescoord van SEAL-0 tot SEAL-4.
• BIO (Nederland). De Baseline Informatiebeveiliging Overheid, de normenset voor informatiebeveiliging bij Nederlandse overheidsorganisaties.
• BSI C5 (Duitsland). De Cloud Computing Compliance Criteria Catalogue van het Duitse Bundesamt für Sicherheit in der Informationstechnik, een veelgebruikte auditstandaard voor cloudbeveiliging.
• SecNumCloud (Frankrijk). De kwalificatie van het Franse cybersecurityagentschap ANSSI voor betrouwbare clouddiensten, met strenge eisen aan immuniteit voor niet-Europees recht.
• ENS (Spanje). Het Esquema Nacional de Seguridad, het nationale beveiligingskader voor informatiesystemen van de publieke sector.
• ACN-kwalificatie (Italië). De kwalificatie van clouddiensten voor de Italiaanse overheid door het nationale cybersecurityagentschap.

Wat het betekent voor een videoplatform

De meeste kaders hebben dezelfde kern: Europese zeggenschap, duidelijke jurisdictie, gedocumenteerde beveiliging en de mogelijkheid om te vertrekken. StreamZilla publiceert zijn complianceverklaringen en SEAL-zelfbeoordeling en levert de onderbouwing voor je aanbesteding. Een mapping van onze maatregelen naar de BIO stellen we op verzoek op. Vraag ons aan welk kader je moet voldoen.

Zo werkt de SEAL-schaal

Het EU Cloud Sovereignty Framework scoort acht soevereiniteitsdoelstellingen, SOV-1 tot en met SOV-8, elk van SEAL-0 tot SEAL-4. Twee mechanismen werken naast elkaar:

• Een ondergrens per doelstelling. Het totale SEAL-niveau is het laagste niveau dat op een van de doelstellingen wordt gehaald. Eén zwakke plek bepaalt het niveau.
• Een gewogen score. De Sovereignty Score weegt alle acht doelstellingen en rangschikt de aanbiedingen die de ondergrenzen halen. Ketensoevereiniteit weegt het zwaarst, met 20 procent.

Achter SEAL zit geen certificeringsschema. Een officieel niveau bestaat alleen als een aanbestedende dienst een leverancier in een aanbesteding beoordeelt. Wees op je hoede voor leveranciers die SEAL als keurmerk presenteren.

De zelfbeoordeling van StreamZilla: SEAL-4 op zeven van de acht doelstellingen

We hebben onszelf beoordeeld op alle acht doelstellingen, met bewijs voor elke claim. StreamZilla haalt SEAL-4 op zeven doelstellingen en SEAL-3 op één. Omdat het totale niveau de laagste score is, is ons totale niveau vandaag SEAL-3.

• SOV-1 Strategisch (SEAL-4): een Nederlands bedrijf met een Nederlands moederbedrijf, eigendom en financiering volledig in Nederland, geen zeggenschap van een partij buiten de EU.
• SOV-2 Juridisch en jurisdictioneel (SEAL-4): alleen Nederlands en Europees recht. Geen moeder, dochter of aandeelhouder buiten de EU, en geen kanaal waarlangs een niet-EU-overheid toegang tot data kan afdwingen.
• SOV-3 Data en AI (SEAL-4): alle verwerking binnen de EER, versleuteling met sleutels in eigen hand, geen verdienmodel op je content of data. AI-functies draaien op open modellen op onze eigen infrastructuur in de EU, en je content traint nooit iemands model.
• SOV-4 Operationeel (SEAL-4): beheer, support en ontwikkeling volledig door onze eigen medewerkers in Nederland, zonder uitbesteding of offshore support.
• SOV-5 Keten (SEAL-4): een uitzonderlijk korte keten van twee Europese leveranciers, elk bij naam genoemd met land en toepasselijk recht. Geen hyperscaler, geen analytics- of advertentienetwerken. De dienst draait op standaard servers, zonder afhankelijkheid van één hardwareleverancier.
• SOV-6 Technologie (SEAL-4): open standaarden, geen eigen formaten, geen exit- of egress-kosten, en de keuze om te draaien op gedeelde infrastructuur, je eigen hardware of volledig air-gapped op je eigen locatie.
• SOV-7 Beveiliging en compliance (SEAL-3): beveiliging in eigen Nederlandse hand, met een werkend ISMS en vrijwillige naleving van de NIS2-zorgplicht. Deze doelstelling blijft op SEAL-3 tot onze ISO 27001-certificering rond is: een kwestie van bewijs, niet van zeggenschap.
• SOV-8 Milieuduurzaamheid (SEAL-4): gecertificeerd groene datacenters op duurzame energie, en zeer efficiënte encoding die veel minder opslag en verkeer nodig heeft.

Zodra de ISO 27001-certificering rond is, staan alle acht doelstellingen op SEAL-4. Klanten en aanbestedende diensten kunnen de volledige zelfbeoordeling opvragen, met het bewijs per doelstelling. Zie vertrouwen en compliance.