Press Release

Eén op de drie organisaties heeft vorig jaar te maken gehad met een incident rondom datasoevereiniteit.

Kiteworks, dat organisaties in staat stelt om risico’s effectief te beheren bij elke verzending, het delen, ontvangen en gebruiken van privégegevens, heeft vandaag het 2026 Data Security and Compliance Risk: Data Sovereignty Report uitgebracht. Dit is een cross-regionale enquête onder professionals op het gebied van risicobeheer, compliance, IT en beveiliging, die een opvallende kloof in datasoevereiniteit blootlegt. Organisaties kennen de soevereiniteitsregels beter dan ooit, maar één op de drie heeft het afgelopen jaar toch een incident met betrekking tot soevereiniteit meegemaakt. Het rapport onderzocht professionals in Canada, het Midden-Oosten en Europa, met aandacht voor naleving van PIPEDA, PDPL, GDPR en opkomende AI-governancekaders.

De meest opvallende bevinding van het rapport is de samenkomst van bewustzijn en het hardnekkig optreden van incidenten. Ongeveer 44% van de respondenten in elke regio omschrijft zichzelf als “zeer goed geïnformeerd” over vereisten rondom datasoevereiniteit—Canada 44%, Midden-Oosten 44%, Europa 44%. Toch variëren de incidentpercentages van 23% in Canada tot 32% in Europa en 44% in het Midden-Oosten. De meest voorkomende incidenttypen zijn datalekken met soevereiniteitsimplicaties (17%), derde partij compliance-falen (17%), regulatoire onderzoeken (15%), ongeautoriseerde grensoverschrijdende overdrachten (12%) en overheidsverzoeken tot data-inzage (10%).

“Organisaties in alle regio’s die we onderzochten investeren miljoenen in soevereiniteitsnaleving, scoren hoog op bewustzijn, en krijgen toch te maken met datalekken, ongeautoriseerde overdrachten en overheidsverzoeken tot data-inzage,” zegt Dario Perfettibile, EMEA GM van GTM en Customer Operations bij Kiteworks. “De kloof zit niet in kennis. Het is de afstand tussen beleidsdocumenten en de architectuur die daadwerkelijk residentie afdwingt, toegang controleert en op verzoek auditklare bewijzen oplevert.”

Belangrijkste bevindingen: De soevereiniteitskloof is operationeel, niet informatief

Het rapport onthult diverse regionale dynamieken die conventionele aannames over soevereiniteitsvolwassenheid uitdagen. Het Midden-Oosten rapporteert het hoogste incidentpercentage (44%), ondanks dat 93% van de respondenten aangeeft dat PDPL- en SDAIA-regelgeving direct invloed heeft op de bedrijfsvoering en twee derde jaarlijks meer dan $1 miljoen uitgeeft. Canada heeft met 23% het laagste incidentpercentage, maar 40% van de Canadese respondenten noemt veranderingen in data delen tussen Canada en de VS als grootste zorg en 21% ziet de US CLOUD Act als directe soevereiniteitsdreiging.

In Europa noemt 44% garanties van aanbieders op het gebied van soevereiniteit als grootste belemmering voor cloudadoptie—het hoogste van alle regio’s—ondanks bijna universele GDPR-naleving. Opvallend is dat omgevingen zoals Microsoft GCC High, hoewel ze voldoen aan vereisten voor residentie binnen de rechtsbevoegdheid, geen exclusief eigendom van encryptiesleutels bieden—de aanbieder behoudt dus technisch de mogelijkheid om klantdata te benaderen, een gat dat de soevereiniteitsgaranties ondermijnt die veel organisaties eisen.

Technische infrastructuuraanpassingen (59%) en juridische en compliance-expertise (53%) voeren de lijst van middelenverslinders aan, en de meerderheid van de organisaties besteedt jaarlijks meer dan $1 miljoen aan soevereiniteitsnaleving. Toch laat het rapport zien dat de markt verschuift van beleid naar architectuur: Automatisering van compliance en verbeterde technische controles zijn de speerpunten van de tweejarige planningsstrategieën in alle drie de regio’s.

AI-governance wordt het volgende strijdtoneel voor soevereiniteit

Het rapport signaleert ook een groeiende uitdaging rondom AI-datasoevereiniteit. Ongeveer een derde van de respondenten houdt alle AI-trainingsdata binnen de eigen regio, een derde hanteert een gemengde aanpak op basis van gevoeligheid, en 21% is nog bezig met het ontwikkelen van een AI-soevereiniteitsbeleid. Nu de EU AI-wet van kracht is en SDAIA actief AI-governance in Saoedi-Arabië vormgeeft, identificeert het rapport deze laatste groep als zijnde op weg naar handhavingsrondes zonder plan.

Kiteworks’ Private Data Network biedt oplossingen voor deze uitdagingen met mogelijkheden die ontworpen zijn voor aantoonbare soevereiniteit:

Exclusief eigendom van encryptiesleutels: Kiteworks houdt het beheer van encryptiesleutels binnen de omgeving van de klant, waardoor de aanbieder technisch niet in staat is om inhoud te ontsleutelen—zelfs niet onder wettelijke dwang. Voor de 10% van de respondenten die overheidsverzoeken tot data-inzage als soevereiniteitsincident noemden, is dit het architectonische verschil tussen een workflowprobleem en een cryptografische onmogelijkheid.
Flexibele inzet per rechtsbevoegdheid: On-premise, private cloud, hybride en FedRAMP-inzetopties stellen organisaties in staat gevoelige inhoud uitsluitend binnen hun eigen rechtsbevoegdheid op te slaan—of dat nu Canada, het Midden-Oosten of de EU is—met geofencing afgedwongen via configureerbare IP-controles.
Onveranderlijke logs en geautomatiseerde compliance-rapportages: Gecentraliseerde, onveranderlijke logs en vooraf geconfigureerde sjablonen voor GDPR, PIPEDA, PDPL, DORA en NIS 2 leveren het exporteerbare bewijs dat het rapport aanwijst als het kritieke gat tussen verklaarde naleving en aantoonbare controle.
Geïntegreerd beheer van data-uitwisseling: E-mail, bestandsoverdracht, beheerde bestandsoverdracht, SFTP en webformulieren—de kanalen waar derde partij-falen en grensoverschrijdende incidenten zich concentreren—worden samengebracht op één zero-trust platform.

“Soevereiniteit betekende vroeger geografie—houd de data in het juiste land en je bent gedekt,” zegt Dario Perfettibile, EMEA GM van GTM en Customer Operations bij Kiteworks. “Die tijd is voorbij. Toezichthouders, klanten en inkoopteams willen nu bewijs: wie kan bij de data, wie beheert de sleutels, en kun je naleving op verzoek aantonen. De organisaties die dat bewijs in hun architectuur inbouwen, lopen voorop. De rest blijft de regels kennen en toch geraakt worden.”

Over Kiteworks

De missie van Kiteworks is om organisaties in staat te stellen risico’s effectief te beheren bij elke verzending, het delen, ontvangen en gebruik van privégegevens. Het Kiteworks-platform biedt klanten een Private Data Network dat gegevensbeheer, naleving en bescherming levert. Het platform verenigt, volgt, beheert en beveiligt gevoelige gegevens die binnen, naar en uit hun organisatie bewegen, wat het risicobeheer aanzienlijk verbetert en naleving van regelgeving bij alle uitwisselingen van privégegevens waarborgt. Met het hoofdkantoor in Silicon Valley beschermt Kiteworks meer dan 100 miljoen eindgebruikers en meer dan 1.500 wereldwijde ondernemingen en overheidsinstanties.

Perscontact
Martin Brindley
PR Manager
martin.brindley@kiteworks.com