Vrijwel ieder digitaal bedrijf is afhankelijk van infrastructuur van anderen. Servers, e-mail, opslag, authenticatie, monitoring en communicatie draaien ergens — en vaak bij een handvol grote technologiebedrijven. Daar is op zichzelf niets mis mee. Grote cloudplatformen hebben de ontwikkeling van moderne software enorm versneld en bieden krachtige diensten. Maar gemak heeft ook een keerzijde.
Wanneer steeds meer onderdelen van een organisatie binnen hetzelfde ecosysteem terechtkomen, ontstaat afhankelijkheid. E-mail, bestanden, accounts, hosting en interne tools raken met elkaar verweven. Overstappen wordt daardoor steeds ingewikkelder en één leverancier krijgt een steeds centralere positie binnen je digitale infrastructuur.
Bij Gract proberen we daar bewust anders mee om te gaan.
Onze belangrijkste infrastructuur draait in Europa. Onze servers draaien bij Hetzner in Duitsland en voor onze zakelijke e-mail gebruiken we Tuta, eveneens een Duitse aanbieder.
Dat is geen toevallige technische keuze. Het past bij hoe wij naar security, privacy en digitaal eigenaarschap kijken.
Een server is niet zomaar "ergens in de cloud"
De cloud bestaat uiteindelijk gewoon uit computers in datacenters.
Achter iedere cloudomgeving staan fysieke servers, opslagapparatuur, netwerkverbindingen en bedrijven die deze infrastructuur beheren. Waar die infrastructuur zich bevindt en welk bedrijf erachter zit, kan daarom relevant zijn.
Voor onze eigen serverinfrastructuur hebben wij bewust gekozen voor een Duitse locatie van Hetzner.
Daarmee kunnen we onze primaire serverinfrastructuur fysiek binnen Duitsland en daarmee binnen de Europese Unie plaatsen.
Dat betekent niet dat een server automatisch veilig is omdat hij in Duitsland staat.
Security blijft afhankelijk van onder andere architectuur, updates, toegangsbeheer, encryptie, monitoring, backups en verantwoord beheer.
Maar de locatie en juridische positie van je infrastructuur zijn wel onderdelen van die afweging.
Niet alleen de serverlocatie telt
Een veelgehoorde uitspraak is:
"Onze data staat in Europa, dus valt die alleen onder Europese regels."
Zo eenvoudig is het helaas niet altijd.
Niet alleen de locatie van de server is relevant. Ook het bedrijf dat de server of clouddienst beheert en de jurisdicties waaronder dat bedrijf valt, kunnen een rol spelen.
Dat is bijvoorbeeld relevant bij Amerikaanse cloudaanbieders die Europese datacenters aanbieden.
De Amerikaanse CLOUD Act
In 2018 namen de Verenigde Staten de Clarifying Lawful Overseas Use of Data Act, beter bekend als de CLOUD Act, aan.
De wet verduidelijkte onder andere dat een aanbieder die onder Amerikaanse jurisdictie valt in bepaalde gevallen kan worden verplicht gegevens te verstrekken die zich in zijn possession, custody or control bevinden — ook wanneer die gegevens fysiek buiten de Verenigde Staten zijn opgeslagen.
Dat betekent niet dat Amerikaanse autoriteiten onbeperkt of zonder juridische procedure iedere Europese server kunnen uitlezen.
Er gelden juridische voorwaarden en procedures voor het verkrijgen van gegevens.
Maar het laat wel zien waarom alleen de locatie van een datacenter niet het hele verhaal vertelt.
Een Amerikaanse cloudaanbieder met een datacenter in Frankfurt blijft immers een Amerikaanse onderneming waarop Amerikaanse wetgeving van toepassing kan zijn.
Daarom kijken wij niet uitsluitend naar:
Waar staat de server?
Maar ook naar:
Wie beheert de server en onder welke jurisdictie valt die organisatie?
Waarom wij daarom voor Hetzner in Duitsland kiezen
Voor onze eigen servers gebruiken we Hetzner en hebben we bewust gekozen voor infrastructuur in Duitsland.
Hetzner is een Duitse onderneming en onze gebruikte serverlocatie bevindt zich in Duitsland.
Daarmee combineren we twee zaken die wij belangrijk vinden:
- de fysieke infrastructuur staat binnen de Europese Unie;
- de leverancier zelf is Europees.
Dat maakt onze infrastructuur niet ineens volledig onafhankelijk en het betekent ook niet dat gegevens nooit op basis van een rechtsgeldig bevel kunnen worden gevorderd.
Ook Europese bedrijven moeten zich uiteraard aan wetgeving houden.
Het verschil is dat we bewust proberen te voorkomen dat onze kerninfrastructuur onnodig onder meerdere buitenlandse jurisdicties valt.
Voor ons is dat onderdeel van goed risicobeheer.
Ook onze e-mail is een bewuste keuze
E-mail bevat vaak veel gevoelige informatie.
Offertes, technische informatie, klantvragen, contracten, interne gesprekken en accountgegevens komen allemaal via een mailbox binnen.
Toch wordt zakelijke e-mail vaak bijna automatisch ondergebracht bij Google Workspace of Microsoft 365.
Wij hebben ervoor gekozen om onze zakelijke e-mail via Tuta Mail te laten verlopen.
Tuta is een Duitse aanbieder en geeft aan dat gegevens op servers in Duitsland worden opgeslagen. De dienst richt zich daarnaast sterk op encryptie en privacy.
Ook hier gaat het ons niet alleen om de naam van de leverancier.
Het gaat om de vraag of we onze communicatie automatisch onderdeel willen maken van hetzelfde ecosysteem waarin mogelijk ook onze documenten, accounts, bestanden, analytics, authenticatie en cloudinfrastructuur zitten.
Ons antwoord is: niet als dat niet nodig is.
Niet anti-Google of anti-Microsoft
Digitale onafhankelijkheid betekent voor ons niet dat Amerikaanse technologie slecht is.
Google, Microsoft, Amazon, Apple en andere grote technologiebedrijven bouwen indrukwekkende en vaak uitstekende producten.
Ook wij sluiten niet uit dat we technologie van Amerikaanse bedrijven gebruiken wanneer dat de beste oplossing is.
Het verschil zit in afhankelijkheid.
Stel dat een organisatie Gmail gebruikt voor e-mail, Google Drive voor bestanden, Google Docs voor documenten, Google Calendar voor planning, Google Cloud voor infrastructuur en Google Identity voor authenticatie.
Ieder product afzonderlijk kan uitstekend functioneren.
Maar gezamenlijk ontstaat een ecosysteem waar steeds moeilijker uit te stappen is.
Een wijziging in voorwaarden, prijzen, beschikbaarheid, accounts of beleid bij één leverancier kan dan gevolgen hebben voor een groot deel van de organisatie.
Dat noemen we vendor lock-in.
En juist die afhankelijkheid proberen wij waar praktisch mogelijk te beperken.
Europese wetgeving verdient dezelfde kritische blik
Een Europese leverancier kiezen betekent overigens niet dat wij vinden dat Europese wetgeving automatisch goed is voor privacy.
Digitale autonomie betekent juist dat je kritisch blijft kijken naar wetgeving — ongeacht of die uit Washington of Brussel komt.
Een actueel voorbeeld daarvan is het Europese dossier dat vaak "Chat Control" wordt genoemd.
De officiële discussie gaat over Europese regels om online seksueel misbruik van kinderen te voorkomen en te bestrijden.
Dat doel vinden wij belangrijk.
Tegelijkertijd bestaat er binnen Europa een fundamentele discussie over de vraag hoe ver aanbieders van communicatiediensten mogen of moeten gaan bij het detecteren van dergelijk materiaal in privécommunicatie.
Chat Control en versleutelde communicatie
De discussie is technisch ingewikkeld omdat moderne privacyvriendelijke communicatiediensten vaak gebruikmaken van end-to-end-encryptie.
Bij echte end-to-end-encryptie kunnen in principe alleen de verzender en ontvanger de inhoud van een bericht lezen.
Dat is belangrijk voor gewone burgers, maar bijvoorbeeld ook voor bedrijven, journalisten, advocaten, onderzoekers en overheidsorganisaties.
Wanneer een dienst berichten automatisch moet analyseren vóór of na encryptie, ontstaat daarom een belangrijke technische en maatschappelijke vraag:
Kun je privécommunicatie structureel controleren zonder de vertrouwelijkheid van die communicatie fundamenteel te verzwakken?
Juist daarom is het Europese dossier zo controversieel.
Wat is de situatie op dit moment?
Het is belangrijk om hier precies te zijn. Er bestaat op dit moment geen algemene Europese wet die verplicht alle end-to-end-versleutelde berichten van iedereen te scannen.
In juli 2026 werden opnieuw tijdelijke Europese regels goedgekeurd waarmee bepaalde online aanbieders vrijwillig materiaal rond seksueel misbruik van kinderen kunnen detecteren, melden en verwijderen. Bij die tijdelijke regeling heeft het Europees Parlement expliciet een uitzondering opgenomen voor communicatie waarop end-to-end-encryptie wordt, werd of zal worden toegepast. De Raad heeft die wijzigingen geaccepteerd. De tijdelijke regeling geldt tot uiterlijk 3 april 2028. Daarmee is de discussie echter niet beëindigd. De Europese instellingen onderhandelen nog steeds over het permanente juridische kader. De Raad heeft bovendien expliciet aangegeven dat het accepteren van de encryptie-uitzondering in de tijdelijke regeling niet automatisch betekent dat dezelfde formulering wordt geaccepteerd voor de toekomstige permanente regelgeving. Het is dus onjuist om te zeggen dat "Chat Control al is ingevoerd en al onze berichten worden gescand". Maar het is net zo goed onjuist om te zeggen dat de discussie voorbij is. De uiteindelijke langetermijnregels zijn nog onderwerp van Europese onderhandelingen.
Waarom dit voor ons relevant is
De CLOUD Act en de discussie rond Chat Control komen uit totaal verschillende juridische systemen en hebben verschillende doelen. Toch illustreren ze voor ons dezelfde fundamentele realiteit:
digitale infrastructuur bestaat nooit los van wetgeving. Je kunt een technisch uitstekend systeem bouwen, maar uiteindelijk worden servers en communicatiediensten beheerd door bedrijven die onder een bepaalde jurisdictie vallen. Daarom kijken wij bij infrastructuur niet alleen naar CPU's, RAM, opslag, latency of prijs.
We kijken ook naar:
- waar infrastructuur fysiek staat;
- waar een leverancier gevestigd is;
- welke wetgeving op die leverancier van toepassing is;
- hoe gegevens worden versleuteld;
- hoeveel toegang de leverancier technisch zelf tot gegevens heeft;
- hoe eenvoudig gegevens geëxporteerd kunnen worden;
- en hoe afhankelijk we van één aanbieder worden.
Dat zijn voor ons allemaal onderdelen van security.
Encryptie is meer dan een privacyfeature
Sterke encryptie wordt soms neergezet als iets dat vooral interessant is voor mensen die iets te verbergen hebben.
Wij zien dat anders. Encryptie beschermt heel normale zaken. Wachtwoorden. Bedrijfsgeheimen. Contracten. Financiële gegevens. Medische gegevens. Persoonlijke gesprekken. API-sleutels. Broncode. Communicatie tussen bedrijven en hun klanten. Een kwetsbaarheid die bewust wordt ingebouwd om één partij toegang te geven, kan bovendien niet technisch garanderen dat uitsluitend die bedoelde partij er ooit gebruik van kan maken.
Daarom vinden wij sterke encryptie fundamenteel voor een veilig internet. Het beschermen van kinderen en het opsporen van ernstige criminaliteit zijn legitieme en belangrijke doelen. Maar juist bij dergelijke wetgeving moet zorgvuldig worden gekeken naar proportionaliteit, technische haalbaarheid en de gevolgen voor de veiligheid van alle gebruikers. Security vraagt soms om ongemakkelijke afwegingen. Die discussie moet daarom inhoudelijk gevoerd kunnen worden zonder privacy tegenover veiligheid te zetten alsof er slechts één van de twee gekozen kan worden.
Technologie moet vervangbaar blijven
Wij vinden dat goede infrastructuur niet alleen vandaag moet functioneren. Ze moet ook morgen nog beheersbaar zijn. Dat betekent dat we waar praktisch mogelijk kiezen voor open standaarden, overdraagbare data en technologie die niet volledig afhankelijk is van één leverancier. Een database moet verhuisd kunnen worden. Een applicatie moet niet uitsluitend functioneren omdat één specifieke cloudprovider een propriëtaire dienst aanbiedt. Een domeinnaam moet van ons blijven. Data moet geëxporteerd kunnen worden. En wanneer een leverancier niet langer aansluit bij onze technische, juridische of zakelijke eisen, moet overstappen een realistische mogelijkheid blijven. Volledig onafhankelijk zijn van leveranciers is onmogelijk. Ook wij zijn afhankelijk van hostingbedrijven, netwerkproviders, softwareprojecten en andere partners. Het doel is daarom niet om iedere afhankelijkheid te verwijderen. Het doel is om controle te houden over welke afhankelijkheden we accepteren.
Digitale autonomie is onderdeel van security
Security wordt vaak beschreven in termen van firewalls, encryptie, kwetsbaarheden en sterke wachtwoorden. Maar security gaat ook over controle. Wie beheert je infrastructuur? Waar staat je data? Onder welke wetgeving valt je leverancier? Wie kan technisch bij de data? Kun je bij je gegevens wanneer een leverancier zijn voorwaarden verandert? Kun je overstappen? Kun je je applicatie ergens anders opnieuw opbouwen? En wat gebeurt er wanneer één account of leverancier plotseling niet beschikbaar is? Een technisch veilig systeem dat volledig afhankelijk is van één externe partij kan nog steeds een belangrijk bedrijfsrisico bevatten. Daarom zien wij digitale autonomie als onderdeel van een bredere securitystrategie. Niet als vervanging voor technische beveiliging, maar als aanvulling daarop.
Europa als bewuste basis
Onze keuze voor Europese infrastructuur is daarom geen marketinglabel. Het is een technische en organisatorische keuze. Onze servers draaien bij Hetzner in Duitsland. Voor onze zakelijke e-mail gebruiken we Tuta, waarbij de infrastructuur eveneens in Duitsland is gevestigd. Daarmee houden we belangrijke onderdelen van onze eigen digitale bedrijfsvoering bewust binnen Europa en beperken we waar mogelijk onnodige afhankelijkheid van niet-Europese infrastructuur. Dat betekent niet dat iedere externe dienst die we ooit gebruiken Europees moet zijn. Het betekent ook niet dat Europese software automatisch beter, veiliger of privacyvriendelijker is. De discussie rondom Chat Control laat juist zien waarom ook Europese technologie en wetgeving kritisch bekeken moeten blijven worden. We beoordelen technologie op wat ze doet, hoe ze met data omgaat, onder welke jurisdictie ze valt en hoeveel controle we zelf behouden. Wanneer er een goede Europese oplossing beschikbaar is die technisch aan onze eisen voldoet, vinden wij het logisch om die mogelijkheid serieus mee te wegen.
Het standpunt van Gract
Wij geloven dat goede digitale infrastructuur niet alleen snel en veilig moet zijn, maar ook beheersbaar moet blijven.
Voor ons betekent dat:
- belangrijke infrastructuur waar mogelijk binnen Europa hosten;
- bewust kijken naar zowel de serverlocatie als de jurisdictie van de leverancier;
- rekening houden met wetgeving zoals de Amerikaanse CLOUD Act;
- kritisch blijven op Europese ontwikkelingen die digitale privacy en encryptie kunnen beïnvloeden;
- sterke encryptie beschermen;
- bewust omgaan met waar bedrijfs- en klantdata terechtkomen;
- voorkomen dat onze volledige bedrijfsvoering afhankelijk wordt van één technologiebedrijf;
- open standaarden en overdraagbare systemen verkiezen wanneer dat technisch zinvol is;
- leveranciers kiezen op basis van hun technologie en werkwijze, niet omdat we al vastzitten in hun ecosysteem;
- infrastructuur zo ontwerpen dat migreren mogelijk blijft.
Digitale onafhankelijkheid betekent niet dat je alles zelf moet bouwen. En het betekent ook niet dat je buiten wet- en regelgeving probeert te opereren. Het betekent dat je bewust bepaalt waar je infrastructuur draait, wie er technisch controle over heeft en van welke partijen en jurisdicties je afhankelijk wilt zijn. Onze keuze voor Duitse serverinfrastructuur en Duitse e-maildiensten is daar maar één onderdeel van. Maar het is wel een bewuste. Want uiteindelijk gaat digitaal eigenaarschap niet alleen over wie eigenaar is van de code.
Het gaat ook over wie controle houdt over de infrastructuur, communicatie en data waarop een digitaal bedrijf is gebouwd.