Je kunt het er politiek mee eens of oneens zijn, over het Strafhof of over de VS. Daar gaat dit blog niet over. De kern is dat ICT wordt ingezet als wapen in een geopolitiek steekspel. Onze afhankelijkheid van Amerikaanse techbedrijven, die we notabene zelf financieren met licenties en abonnementen, kan keihard tegen je worden gebruikt.
Dat gebeurt met clouddiensten, e-mail, kantoorsoftware en servers waar ook jouw organisatie elke dag op draait. Deze sancties maken het nog explicieter dan ooit: zorg dat je je diensten in de EU host, onder EU-eigendom. Maar nog belangrijker: trap niet in Amerikaanse “sovereign” of air-gapped constructies, want ook die vallen onder de sancties.
Van één mailbox naar een heel hof
Het begon in februari 2025 met Executive Order 14203, gericht op toenmalig hoofdaanklager Karim Khan. Kort daarna kon hij volgens berichtgeving niet meer bij zijn Microsoft-mailbox.
Daarna ging het snel. In juni 2025 volgden vier rechters, in augustus 2025 beide plaatsvervangend aanklagers, in augustus 2026 ook de president van het hof. Eind september meldde het ICC dat negen van de achttien rechters onder sancties stonden. Op 9 oktober volgde het hof zelf.
Het ICC zag het aankomen en is voor e-mail en documenten al overgestapt van Microsoft naar openDesk, het open source werkplekpakket van het Duitse ZenDiS. Daarmee is het hof nog lang niet van de Amerikaanse clouds af, want tal van andere diensten zullen daar nog op draaien. Dat is precies de les van dit verhaal: wie wacht tot de sanctie er is, is te laat.
Wat er in de kleine lettertjes staat
De Executive Order verbiedt elke “US person” om goederen of diensten te leveren aan een partij op de lijst. Lees de definitie in de bijbehorende regelgeving: daaronder vallen ook de buitenlandse vestigingen, dochterbedrijven en werknemers van een Amerikaans bedrijf. De Nederlandse of Duitse BV van een Amerikaanse hyperscaler, met een datacenter in Amsterdam en een Europese directeur, valt er gewoon onder.
Het ontwijken van de sancties is specifiek verboden, en aanwijzingen hoeven niet vooraf te worden aangekondigd. Vooralsnog zit er nog even rek in: Brussel spreekt van zes maanden uitstel, en een algemene licentie staat e-mail, communicatie en enterprise software, inclusief cloud en SaaS, voor het ICC nog tijdelijk toe. Maar een licentie is een gunst, geen recht. Die kan met één pennenstreek worden ingetrokken, en dan gaat het licht uit.
“Maar wij hebben een sovereign cloud”
Amerikaanse techbedrijven hebben het antwoord klaar: een Europese dochter, Europese medewerkers, en voor de echte twijfelaars een zogeheten air-gapped variant die los van internet draait. Google biedt een volledig losgekoppelde cloud, Microsoft een sovereign private cloud die disconnected kan werken, en Amazon heeft een aparte Europese GmbH. Die GmbH is wel voor honderd procent eigendom van Amazon.
Een air gap knipt de netwerkkabel door, maar niet de juridische lijn naar het moederbedrijf. De software, de beveiligingsupdates, de support, de vervangende hardware: het komt allemaal van een Amerikaans bedrijf of haar dochter, en elk daarvan is een dienst die onder het verbod valt. Daarbovenop gelden de Amerikaanse exportregels voor die software, en ook daar wijst de licentie zelf expliciet op.
In de praktijk betekent dat: je krijgt geen updates meer, dus binnen een paar maanden een beveiligingsrisico. Als je geen geldige licentie meer hebt dan gaat de dienst op zwart. Air-gapped beschermt niet tegen Washington.
Dit gaat nu over Amerikaanse clouds. Overweeg je een Chinese of Russische cloud omdat die veiliger zou zijn? (Haha.) Ook daar kan de overheid bedrijven dwingen mee te werken, en ook daar wordt ICT ingezet als drukmiddel. Het antwoord is niet een andere grootmacht, maar Europese eigen regie.
Klem tussen Brussel en Washington
Nederland heeft de Europese Commissie gevraagd een blocking statute klaar te zetten, door minister Berendsen zelf de nucleaire optie genoemd. Die statute blokkeert de Amerikaanse sancties voor Europese bedrijven. Wordt die statute geactiveerd, dan mogen Europese bedrijven niet meewerken aan de Amerikaanse sancties.
Dat klinkt als bescherming, maar denk het even door. De Europese dochter van een Amerikaanse leverancier moet dan kiezen: gehoorzaamt deze Washington, dan overtreedt men Europees recht, en weigert men, dan overtreedt men Amerikaans recht. Raad eens wie uiteindelijk beslist: het moederbedrijf (en dat zit niet in Europa). Als klant sta je daar machteloos tussen. Europese oplossingen in Amerikaanse eigendom zijn geen oplossing.
Vandaag het Strafhof, morgen jij
“Ik ben toch geen internationaal strafhof”, hoor ik je denken. Klopt, en dat is misschien juist wel het probleem: je hoeft niets fout te doen om op zwart te gaan.
Scenario één: jij maakt gebruik van een dienst die door de sancties wordt getroffen. Een platform, een SaaS-pakket, een hostingpartij. Die leverancier komt op de lijst, of verliest van de ene op de andere dag zijn Amerikaanse cloud, licenties of betaaldiensten. Jij bent volstrekt onschuldig, maar jouw data en processen draaien op diezelfde dienst, dus ga jij mee op zwart. Jij bent collateral damage.
Scenario twee is nog verraderlijker: jouw ICT-leverancier heeft één klant, misschien een heel kleintje, die op de sanctielijst belandt. Wie een gesanctioneerde partij diensten levert, kan zelf op de lijst worden gezet. Dan gaat niet alleen die ene klant uit, maar de gehele dienst, voor alle klanten. Ook voor jou. (Weet jij eigenlijk wie de andere klanten van jouw leverancier zijn?) Er staan inmiddels ook ngo’s op de lijst, dus dit is geen theorie meer.
Het ICC is bovendien het bewijs dat het instrument werkt, en een werkend instrument wordt vaker gebruikt. Een handelsconflict, een Europese toezichthouder die een Amerikaans techbedrijf beboet, een land dat Washington niet bevalt: dit soort maatregelen kan vooralsnog overal op worden losgelaten.
Denk eens door wat het betekent als het jou overkomt. Je e-mail ligt eruit, je bestanden zijn onbereikbaar, je boekhouding en salarisadministratie draaien niet meer. Geen salaris meer uit te keren, en geen dienst meer naar de klant om te factureren. Instant uit, en wellicht failliet.
Wat je nu doet
De les is helder: hosting in de EU is niet genoeg, het gaat om de hele keten.
- EU-hosting én EU-eigendom én EU-beheer. Een Europees datacenter van een Amerikaans moederbedrijf is geen soevereiniteit, het is sovereignwashing.
- Geen Amerikaanse sovereign of air-gapped constructies voor je kritieke processen, want de juridische lijn naar het Amerikaanse moederbedrijf blijft.
- Open architectuur, gebaseerd op open standaarden en open source waar mogelijk, zodat je kunt wisselen van leverancier zonder je data of je werkwijze kwijt te raken. Het ICC laat zien dat het kan, al is het hof er nog lang niet.
- Een exitstrategie en multi-vendor, getest en wel, niet als papieren plan in een la.
- Toets de gehele keten, inclusief alle onderaannemers, tegen het EU Cloud Sovereignty Framework: minimaal SEAL-3 als harde voorwaarde, met SEAL-4 als doel. Zo moet jij ook jouw leveranciers toetsen, want jouw klanten gaan jou op dezelfde manier toetsen.
Ik spreek uit ervaring. Mijn eigen bedrijf heb ik volledig onafhankelijk gemaakt van clouds. In onze eigen scan tegen het EU Cloud Sovereignty Framework scoren we op zeven van de acht soevereiniteitsdoelen SEAL-4, en op één SEAL-3.
Ik deel graag mijn praktische ervaring: hoe je jouw afhankelijkheden inzichtelijk krijgt, en hoe je stap voor stap onafhankelijker wordt. Voor directies, RvT’s, RvC’s en teams geef ik briefings, presentaties en audits (en het past hopelijk in het budget). Mail me op stef@vdziel.com voor een kennismaking.