Door Wouter Dammers | ICTrecht | 22 oktober 2025 | 12 min. leestijd
De massale clouduitval bij Amazon/AWS van de afgelopen week (oktober 2025) was meer dan een storing; het was een pijnlijke illustratie van onze extreme afhankelijkheid van een handvol Amerikaanse Big Tech-bedrijven. Deze concentratie veroorzaakt niet alleen technische verstoringen, maar creëert een acuut systeemrisico voor de Nederlandse economie. Toevallig of niet waarschuwen DNB en AFM net expliciet voor systeemrisico’s van de financiële sector door digitale afhankelijkheid.
In dit blogartikel leg ik uit ik hoe de Europese Unie dit probleem tackelt via een het “Digital Decade”-wetgevingspakket. Waar traditioneel bij uitval de strijd al werd verloren door veelal afdwingbare, beperkende exoneratieclausules in B2B-contracten, daar introduceren de EU-wetten nu wettelijke zorgplichten die deze traditionele contractsvrijheid beperken.
De kern van dit artikel is tweeledig:
Operationele Hefboom (NIS2 & DORA): De EU legt via de Network Information Security 2 (NIS2-) richtlijn en de Digital Operational Resilience Act (DORA) verplichte eisen op aan cloudproviders. De schending van deze wettelijke vereisten geven jou als B2B-afnemer een sterker juridisch instrument om eventuele aansprakelijkheidsbeperkingen in je contract (art. 6:233a BW) te bestrijden.
Exitstrategie (Data Act & DMA): De Data Act en de Digital Markets Act (DMA) doorbreken de technische en economische barrières van vendor lock-in (het gevangen zitten bij één provider). Dit maakt multi-cloud strategieën, inclusief Europese en open-source alternatieven, niet alleen technisch gewenst, maar ook juridisch en economisch haalbaar.
Kortom: De tijd van passieve acceptatie van de Big Tech voorwaarden kan voorbij zijn. Lees hier hoe je de nieuwe EU-regels strategisch inzet om jouw grip op data en continuïteit te herstellen.
Systeemrisico’s en governanceverlies door cloudconcentratie
Grootschalige clouduitval is geen theoretische angst meer. De Amazon/AWS-storing van oktober 2025 legde direct de systeemrisico’s bloot voor de wereldwijde digitale economie. Zelfs in Europa zagen we storingen en vertragingen bij diensten als Snapchat, Fortnite en AI-tools zoals Perplexity. Dit soort incidenten raakt dus niet alleen entertainment, maar ook essentiële digitale bouwstenen. Dit is niet enkel een technisch probleem: het is een maatschappelijk en governance probleem.
Zowel als grote private ondernemingen en organisaties zijn enorm afhankelijk van slechts een handvol grote, niet-Europese Big Tech-bedrijven (hyperscalers): AWS, Microsoft (Azure) en Google. Zij beheersen gezamenlijk meer dan 60% van de wereldwijde cloudmarkt, waarvan AWS ongeveer de helft.
Doordat financiële instellingen en vitale sectoren (gezondheidszorg, energie) vaak deze providers gebruiken, wordt een storing of cyberaanval bij één aanbieder een onmiddellijk systeemrisico dat meerdere instellingen tegelijk treft. Dit effect wordt versterkt door het “gure geopolitieke klimaat”, waarbij de controle over kritieke infrastructuur buiten de EU ligt.
Bovendien is er sprake van een structureel verlies van grip (governance) op drie essentiële pijlers van digitale soevereiniteit: de vertrouwelijkheid, wendbaarheid en weerbaarheid van onze digitale infrastructuur. Dit manifesteert zich in het democratisch tekort, waarbij Europese, nationale en lokale overheden niet meer volledig in control zijn over de ontwikkeling, het beheer en de zeggenschap over hun vitale ICT-systemen. Er zijn op cruciale onderwerpen (zoals grootschalige cloud) nauwelijks serieuze Europese alternatieven in de markt die op gelijke schaal kunnen concurreren.
Wat betekent cloudconcentratie voor jou als onderneming?
Voor jouw onderneming betekent dit dat je overgeleverd bent aan de standaardvoorwaarden van de hyperscalers. Dat leidt tot een vendor lock-in van Big Tech, omdat serieuze, schaalbare alternatieven ontbreken. Dit beperkt onderhandelingsruimte.
Ook kan het leiden tot bestuurdersaansprakelijkheid. Financiële instellingen en vitale entiteiten moeten aan toezichthouders zoals DNB en AFM kunnen uitleggen welke keuzes ze hebben gemaakt om te waarborgen dat hun data soeverein en veilig is. Dit vergt een proactieve governance-strategie om de afhankelijkheid te verantwoorden, ver buiten de standaard contractuele afspraken. Doe je dat niet, dan loop je het risico dat bestuurders zelf aansprakelijk worden gehouden.
Ten slotte leidt het tot systemische kwetsbaarheid: Jouw bedrijfscontinuïteit is niet alleen afhankelijk van je eigen contract, maar ook van de (onbekende) contracten en de stabiliteit van de gehele financiële of kritieke sector die dezelfde onderliggende Big Tech-diensten gebruikt. Ligt Big Tech eruit, dan lig jij eruit.
Waarschuwingen door de AFM en DNB
De Autoriteit Financiële Markten (AFM) en De Nederlandsche Bank (DNB) waarschuwden hier expliciet voor in een rapport: omdat financiële instellingen vaak dezelfde dienstverleners gebruiken, kan een storing of cyberaanval bij één aanbieder meerdere banken tegelijk treffen. Dit creëert een systeemrisico in een al “guur geopolitiek klimaat”.
Dit alles zorgt voor een steeds groter risico op het verlies van grip op de vertrouwelijkheid, wendbaarheid en weerbaarheid van onze digitale infrastructuur. De overheid en het bedrijfsleven hebben simpelweg geen controle meer over het beheer en de zeggenschap van hun vitale ICT-systemen. Dit probleem wordt het democratisch tekort in de digitale infrastructuur genoemd.
De Nederlandse overheid in spagaat
De Nederlandse overheid heeft die risico’s wel erkend, wat blijkt uit initiatieven zoals het Clingendael rapport en non-papers over het versterken van de cloudsoevereiniteit. De initiatiefnota roept op tot het terugdringen en voorkomen van afhankelijkheden van grote cloudaanbieders. Desondanks zit de overheid in een spagaat. In het Rijksbrede cloudbeleid (dat wordt ingeruild voor een overheidsbreed cloudbeleid en de Nederlandse Digitaliseringsstrategie) wordt het belang van goede beveiliging en potentiële kostenbesparing zwaarder gewogen dan het risico van afhankelijkheid. Dit botst direct met de ambitie voor digitale strategische autonomie. De paradox is duidelijk: we willen minder afhankelijk zijn, maar kiezen op beleidsniveau voor de grootste en meest efficiënte (lees: Amerikaanse) partijen.
Europese Digital Decade
Hier grijpt de EU in met een ambitieus wetgevingspakket voor de “Digital Decade“. Dit pakket is ontworpen om de juridische en economische kosten van structurele afhankelijkheid (vendor lock-in, operationele risico’s) kunstmatig te verhogen voor zowel de cloudprovider als de afnemende organisatie. Het is een structurele correctie op de markt.
Bij een systeemrisico is privaatrechtelijke aansprakelijkheid niet genoeg. De EU dwingt daarom een hoog niveau van operationele veerkracht af.
NIS2: Een verplichte Cyber- en Veiligheidsstandaard
De NIS2-richtlijn is in Nederland geïmplementeerd in de Cyberbeveiligingswet. Deze wet legt verplichte veiligheidsstandaarden op aan essentiële en belangrijke entiteiten. Cloud Service Providers (CSP’s) vallen hier expliciet onder, omdat ze worden gezien als Digitale Diensten Aanbieders (DSPs).
Dit dwingt Big Tech tot hogere preventieve investeringen in resilience dan een simpele Service Level Agreement (SLA) zou eisen. In Nederland houdt de Rijksinspectie Digitale Infrastructuur (RDI) hier toezicht op.
Cruciaal is de mogelijkheid tot sancties: bij bewezen grove nalatigheid na een cyberincident staat de deur open voor bestuurdersaansprakelijkheid. Dat zorgt voor een stok achter de deur om operationele veerkracht – wat uitval moet voorkomen – serieus te nemen.
DORA: Het veiligheidsnet voor de financiële sector
De Digital Operational Resilience Act (DORA), die vanaf januari 2025 geldt, richt zich specifiek op de financiële sector (banken, verzekeraars) en hun ICT-risicomanagement. DORA is het directe antwoord op de concentratie- en systeemrisico’s die AFM en DNB hebben gesignaleerd. Clouduitval in deze sector kan systemische crises veroorzaken.
DORA verplicht financiële instellingen daarom om een register van hun ICT-dienstverleners bij te houden en te delen met toezichthouders, zoals De Nederlandsche Bank (DNB). Op basis hiervan wijzen Europese autoriteiten de meest kritieke derde ICT-dienstverleners (waaronder de hyperscalers) aan.
Deze kritieke providers komen onder direct Europees toezicht te staan, ongeacht hun vestigingsplaats. Het idee daarachter is dat het B2B-klanten in de financiële sector een unieke, indirecte juridische hefboom geeft om de veerkracht van hun cloudprovider af te dwingen.
EU-regels bieden een juridische sloopkogel op exoneratieclausules
De grootste pijn zit bij uitval in de exoneratieclausules in je contract. Dat zijn de bepalingen waarmee cloudproviders hun aansprakelijkheid voor schade, storingen of dataverlies beperken of uitsluiten. Meestal beperkt tot de waarde van een paar maanden abonnementsgeld (SLA-credits) of een vast maximum (bv. € 500.000). Branchevoorwaarden zoals de NederlandICT-voorwaarden of NLDigital-voorwaarden bevatten standaard zo’n exoneratieclausule. Veel MKB-bedrijven accepteren dit helaas zonder meer.
Naar Nederlands recht geldt contractsvrijheid, en dus is zo’n exoneratieclausule in principe geldig. Maar er is een grens: een clausule mag niet onredelijk bezwarend zijn (art. 6:233a BW). De Nederlandse rechter heeft, zoals in de KPN/Fysicas-zaak, de reflexwerking van de grijze lijst toegepast. Dat betekent dat de uitsluiting onredelijk kan zijn als deze de kern van de overeengekomen dienst uitholt.
Wanneer sprake is van schending van de zorgplichten uit de NIS2 of DORA speelt dit ook een rol. Dit versterkt het argument dat de exoneratieclausule van de cloudprovider dan onredelijk bezwarend is. Een rechter zal kritischer kijken naar een Big Tech-speler die zijn aansprakelijkheid uitsluit voor schade die direct voortvloeit uit het niet voldoen aan bindende EU-wetgeving – als kern van de dienstverlening.
Exitstrategie
De meest structurele maatregelen tegen afhankelijkheid komen uit de Data Act en de Digital Markets Act, gericht op het doorbreken van de economische en technische barrières van vendor lock-in (het technisch en economisch gevangen zitten bij één provider).
Data Act en DMA maken overstappen makkelijker
De Data Act, die op 12 september 2025 van kracht is geworden, richt zich op het bevorderen van concurrentie in de data-economie, inclusief de cloudmarkt.
De wet introduceert wettelijke overstapprocessen:
- Switching charges (kosten voor de overstap zelf) worden vanaf 12 januari 2027 geheel verboden. Dit haalt de grootste economische drempel weg.
- Contracten moeten een uitputtende lijst bevatten van alle digitale activa (data, configuratie-instellingen, metadata) die een klant kan overdragen.
- Providers moeten meewerken aan een soepele overdracht binnen gedefinieerde, redelijke tijdlijnen.
De Data Act staat wel proportionele boetes (early termination penalties) toe voor vroegtijdige beëindiging van langlopende contracten. Dit moet providers compenseren voor investeringen, maar deze boetes moeten een proportionaliteitstoets kunnen doorstaan.
De Digital Markets Act (DMA) richt zich op de structurele marktmacht van de grootste platforms, die als Gatekeepers zijn aangewezen (Amazon is één van de zes). De DMA legt hen gedragsregels op. Het belangrijkste is de plicht om zakelijke gebruikers toegang te verlenen tot de data die zij op het platform genereren. De DMA garandeert dus het recht op toegang, wat cruciaal is voor een overstap.
De LAWFOX-checklist: Wat je nu moet doen
De AWS-storing en de EU-wetgeving vragen om actie. Het is tijd om je contracten en architectuur strategisch te herzien.
1. Contracten heronderhandelen (met de Data Act in de hand)
- Eis transparantie over switching: Vraag om contractuele bepalingen die voldoen aan de Data Act (vanaf september 2025). Laat je provider alle overdraagbare ‘digitale activa’ specificeren, inclusief metadata.
- Wapen je tegen exoneratie: Eis in je contracten dat de cloudprovider voldoet aan NIS2 en DORA als je in de financiële sector zit. Koppel de schending van deze wettelijke plichten aan een zwaarder aansprakelijkheidsregime.
- Exitkosten: Onderhandel over de (proportionele) termination penalties. Weiger nu al onredelijke switching fees met het oog op het verbod van 2027.
2. Ga voor digitale soevereiniteit
- Multi-cloud Strategie: De EU maakt de overstap naar een multi-cloud of hybrid-cloud architectuur juridisch en economisch haalbaarder. Dit is de meest effectieve architecturale verdediging tegen een grootschalige outage bij één hyperscaler.
- Concrete voorbeelden (Hyperscalers): Denk aan het spreiden van je data en applicaties over AWS + Azure + Google Cloud. Je kiest voor elke clouddienst de beste oplossing (bijvoorbeeld de specifieke AI-tools van Google Cloud en de schaalbaarheid van AWS). Een effectieve multi-cloud aanpak maakt vaak gebruik van gestandaardiseerde technologieën zoals Kubernetes (containertechnologie) om applicaties over deze verschillende omgevingen te verplaatsen en te beheren, waardoor vendor lock-in wordt beperkt.
- Europese alternatieven: De EU wil meer concurrentie zien, ook van Europese spelers. Grote, maar nog niet dominante, Europese infrastructuurproviders zijn bijvoorbeeld OVHcloud (Frankrijk) of Hetzner (Duitsland). Voor MKB en decentrale oplossingen zijn er sterkere Europese alternatieven voor opslag en samenwerking:
- Open Source & Zelf-hostbaar: Nextcloud (Duitsland) is een populair, open-source platform voor bestandsopslag, samenwerking en synchronisatie, dat je op je eigen servers kunt hosten. Seafile (Duitsland) is een ander self-hostable, open-source alternatief voor Google Drive/Dropbox.
- Privacy-First: Infomaniak kDrive en pCloud (beide uit Zwitserland) en Internxt (Spanje) bieden cloudopslag gericht op privacy en compliance.
- Verantwoorde data-soevereiniteit: De DNB en AFM eisen dat financiële instellingen kunnen uitleggen welke keuzes ze hebben gemaakt om te waarborgen dat hun data soeverein en veilig is. Je architectuurkeuze (multi-cloud/hybrid-cloud) moet die verantwoording ondersteunen, gesteund door de Data Act en de DGA. Ook wanneer je niet in de financiële sector werkt, is het aan te raden om hier goed over na te denken.
- Risicomanagement: Zorg dat je eigen organisatie voldoet aan de veerkrachtseisen van NIS2 of DORA. De kosten van non-compliance (inclusief boetes en reputatieschade) overstijgen al snel de kosten van een robuuste, gedistribueerde cloudoplossing.
De juridische slagkracht die je nodig hebt
De strijd om digitale soevereiniteit wordt niet gewonnen door afwachten. Het vereist dat je de juridische hefbomen van DORA, NIS2 en de Data Act strategisch vertaalt naar waterdichte contracten en een veerkrachtige architectuur. Wij van LAWFOX Advocaten kunnen je daarbij helpen. We assisteren onze cliënten geregeld met het (her-)onderhandelen van cloudcontracten met hyperscalers en vertalen de Data Act naar contractuele exitstrategieën. Ook helpen we organisaties, zeker in de vitale sector, om te voldoen aan NIS2 en DORA, zodat je bestuurlijk in control bent en aansprakelijkheidsrisico’s beperkt.
We geloven in samenwerking. Deel jouw ervaring.
We zien de kracht van samenwerking. We horen dus ook graag wat de grootste juridische of technische horde is die jouw organisatie momenteel ervaart bij het ontsnappen aan vendor lock-in – of heeft overwonnen! Laat het ons weten via W.Dammers@lawfox.nl of bel direct 013 207 7 107. Jouw praktijkervaring draagt bij aan de collectieve juridische slagkracht die nodig is om de cloudoorlog te winnen. Laten we samen de soevereiniteit over onze data herstellen.
