Datasoevereiniteit in de industriële defensiebasis: wat aannemers moeten weten

Voor de meeste sectoren draait naleving van datasoevereiniteit om een geografische vraag: waar mogen gegevens zich bevinden en welke overheid heeft daar rechtsbevoegdheid over? Voor defensie-aannemers is die vraag noodzakelijk, maar niet voldoende. Soevereiniteit binnen de Industriële defensiebasis (DIB) werkt op twee sporen tegelijk — geografische beperkingen op waar gecontroleerde gegevens mogen verblijven, en autorisatiegebaseerde beperkingen op wie er toegang toe heeft, inclusief buitenlandse staatsburgers binnen de Verenigde Staten. Fouten op een van beide sporen leiden niet tot een boete, maar tot verlies van contracten, mogelijke uitsluiting en in ernstige gevallen strafrechtelijke aansprakelijkheid.

In deze post wordt uitgelegd hoe datasoevereiniteit in de defensie werkt, hoe het verschilt van andere sectoren, welke kaders het afdwingen en welke controles daadwerkelijk aan beide sporen voldoen.

Samenvatting

Belangrijkste idee: Datasoevereiniteit voor defensie-aannemers werkt op twee sporen. Het eerste is geografisch: CUI– en ITAR-gecontroleerde technische gegevens moeten zich bevinden op infrastructuur onder Amerikaanse rechtsbevoegdheid, en cloudproviders die onder buitenlandse toegangsregels vallen, creëren directe soevereiniteitsrisico’s, ongeacht de serverlocatie. Het tweede is autorisatiegebaseerd: ITAR beperkt toegang tot gecontroleerde technische gegevens door buitenlandse personen, ongeacht de locatie — een persoonsgebonden soevereiniteitseis zonder equivalent in GDPR, HIPAA of enig civiel kader. CMMC, ITAR en FedRAMP zijn de handhavingsmechanismen voor beide sporen.

Waarom dit belangrijk is: Vanaf 2026 vereisen alle DoD-contracten een passende CMMC-certificering. ITAR-overtredingen kunnen leiden tot boetes tot $1 miljoen per overtreding en strafrechtelijke aansprakelijkheid voor leidinggevenden. Niet-naleving betekent contractverlies en uitsluiting van de defensiemarkt — geen boete die je kunt permitteren.

Belangrijkste inzichten

1. Datasoevereiniteit in de defensie kent twee dimensies die civiele kaders niet hebben. Geografische beperkingen bepalen waar CUI mag verblijven. Persoonsgebonden beperkingen bepalen wie er toegang toe heeft — inclusief buitenlandse staatsburgers binnen de VS. De meeste civiele soevereiniteitskaders behandelen alleen het eerste.
2. De CLOUD Act creëert een geografisch soevereiniteitsrisico, zelfs voor gegevens die lokaal zijn opgeslagen. CUI bij een Amerikaanse cloudprovider valt onder Amerikaanse overheidsdwang, ongeacht in welk land de server staat. Encryptie beheerd door de klant is de enige controle die dit gat sluit.
3. ITAR’s deemed export-regel breidt soevereiniteit uit naar het personeel. Het tonen van ITAR-gecontroleerde technische gegevens aan een buitenlandse werknemer in de VS is juridisch gelijk aan export naar hun thuisland — fysieke gegevensoverdracht is niet vereist.
4. CMMC is een soevereiniteitsverplichting voor de toeleveringsketen, niet alleen een vereiste voor aannemers. De soevereiniteitsstatus van een hoofdaannemer wordt ondermijnd als een onderaannemer CUI opslaat op niet-conforme of blootgestelde infrastructuur.
5. Encryptie beheerd door de klant overbrugt geografische en autorisatie-soevereiniteit. Als de cloudprovider geen ontsleutelingssleutels heeft, levert een overheidsverzoek alleen versleutelde, ontoegankelijke gegevens op. Kiteworks’ Private Data Network BYOK/BYOE-ondersteuning sluit dit gat voor defensie-aannemers.

Hoe datasoevereiniteit in de defensie verschilt van andere sectoren

In de zorg, de financiële sector en algemene ondernemingen is datasoevereiniteit vooral geografisch: gegevens over individuen in een specifieke rechtsbevoegdheid vallen onder de wetten van die rechtsbevoegdheid, moeten vaak binnen de grenzen blijven en kunnen door de overheid worden opgevraagd via vastgelegde juridische procedures. GDPR, HIPAA en China’s PIPL zijn georganiseerd rond waar gegevens verblijven en welke rechten individuen daarover hebben. Defensie volgt dat geografische spoor, maar voegt persoonsgebonden toegangsbeperkingen toe zonder civiel equivalent:

De combinatie van beide sporen — geografische residentievereisten en persoonsgebonden toegangsbeperkingen — over een meerlagige toeleveringsketen maakt defensie tot de meest complexe soevereiniteitsomgeving waarin een organisatie kan opereren.

Spoor 1: Waar mag defensiegegevens verblijven?

De geografische soevereiniteitsvraag voor defensie-aannemers draait om één specifiek punt: ervoor zorgen dat gecontroleerde defensiegegevens niet bereikbaar zijn voor buitenlandse overheden of vijandige actoren via de infrastructuur waarop ze zich bevinden. Dit gaat verder dan alleen het kiezen van een datacenter in het juiste land.

De infrastructuurvereiste

Controlled Unclassified Information moet zich bevinden op systemen die voldoen aan de CMMC 2.0-nalevingsvereisten. Voor cloudinzet betekent dat FedRAMP-naleving — de validatie van de federale overheid dat de beveiligingscontroles, gegevensresidentiepraktijken en toegangsbeheer van een cloudprovider voldoen aan de normen voor CUI. Een defensie-aannemer die niet-FedRAMP-cloud gebruikt voor CUI heeft een soevereiniteitslek, ongeacht waar de servers van die provider zich bevinden. Naast autorisatie verbieden DoD-aanbestedingsregels expliciet bepaalde buitenlandse telecommunicatie-infrastructuur — een provider met Chinees of Russisch eigendom, zelfs via een dochteronderneming, creëert blootstelling aan buitenlandse overheids-toegang die geen enkel compliancebeleid kan elimineren.

Het CLOUD Act-probleem

De Amerikaanse CLOUD Act staat Amerikaanse wetshandhavers toe om Amerikaanse cloudproviders te dwingen klantgegevens te overhandigen, waar ter wereld die ook zijn opgeslagen. Voor defensie-aannemers creëert dit een tweezijdig risico: gegevens bij een Amerikaanse cloudprovider vallen onder Amerikaanse overheidsdwang, ongeacht de geografie; gegevens bij een buitenlandse provider kunnen onderhevig zijn aan de toegangsregels van dat land. Naleving van dataresidentie bepaalt waar gegevens verblijven — encryptie beheerd door de klant bepaalt wie ze kan lezen. Als de aannemer alle ontsleutelingssleutels beheert via BYOK of BYOE, levert een CLOUD Act-verzoek aan de provider alleen versleutelde, ontoegankelijke gegevens op.

Spoor 2: Wie mag toegang tot defensiegegevens?

Hier wijkt datasoevereiniteit in de defensie het sterkst af van civiele kaders. ITAR’s regels voor buitenlandse personen behandelen wie toegang heeft tot gecontroleerde gegevens als een soevereiniteitsvraag — niet alleen als een beveiligingsvraag — met nalevingsverplichtingen zonder equivalent in GDPR, HIPAA of enig sectorspecifiek kader.

ITAR’s deemed export-regel

Naleving van ITAR vereist het besef dat ‘buitenlandse persoon’ iedereen is die geen Amerikaans staatsburger, wettelijk permanent ingezetene of beschermd individu is volgens de Immigration and Nationality Act. De deemed export-regel beschouwt het geven van toegang tot ITAR-gecontroleerde technische gegevens aan een buitenlandse werknemer binnen de VS als juridisch gelijk aan export naar hun land van herkomst — en vereist dezelfde licentie als fysieke gegevensoverdracht naar het buitenland. Geen gegevensverplaatsing vereist. Geen datalek vereist. De toegang zelf is de overtreding.

Dit creëert personeelsgebonden soevereiniteitsverplichtingen zonder civiel equivalent. Defensie-aannemers moeten niet alleen weten wie systeemtoegang heeft, maar ook de nationaliteit van iedereen die gecontroleerde technische gegevens kan tegenkomen — en dat geldt ook voor cloudprovider-personeel: als systeembeheerders van een provider buitenlandse staatsburgers zijn met infrastructuurniveau-toegang tot systemen waar ITAR-gecontroleerde gegevens zich bevinden, is dat een potentieel deemed export-overtreding.

De drie datacategorieën en hun toegangsregels

De drie belangrijkste defensiedatacategorieën brengen elk specifieke soevereiniteitsverplichtingen met zich mee:

Het handhavingskader

CMMC 2.0 is het soevereiniteitsmandaat voor de toeleveringsketen. Elke DIB-aannemer die CUI verwerkt, moet — via een derde partij assessment op Level 2 — controles implementeren en aantonen voor toegang, encryptie, audit logs en incidentrespons. De 110 Level 2-controles zijn gebaseerd op NIST 800-171-naleving; Level 3’s 145 controles, gebaseerd op NIST 800-172, zijn voor de meest kritieke programma’s. Vanaf 2026 vereisen alle DoD-contracten waarbij CUI wordt verwerkt een passende certificering — contractgeschiktheid is het handhavingsgevolg.

ITAR, gehandhaafd door het Directorate of Defense Trade Controls van het State Department, regelt de export en overdracht van defensieartikelen en technische gegevens op de U.S. Munitions List. Het is persoonsgebonden waar CMMC controle-gebaseerd is: boetes lopen op tot $1 miljoen per overtreding, uitsluiting en strafrechtelijke aansprakelijkheid voor leidinggevenden. Een aannemer kan aan alle CMMC-controles voldoen en toch een ITAR-overtreding begaan door een buitenlandse werknemer toegang te geven tot een wapensysteemontwerp.

FedRAMP-naleving is de geografische validatie van datasoevereiniteit voor cloudinfrastructuur. DFARS 252.204-7012 en FAR 52.204-21 zijn de contractuele handhavingslaag, die NIST 800-171-naleving opnemen in contractvoorwaarden en een meldingsplicht van 72 uur bij incidenten toevoegen. Niet-naleving van DFARS kan leiden tot aansprakelijkheid onder de False Claims Act, niet alleen contractbeëindiging.

Waar defensie-aannemers datasoevereiniteit verkeerd aanpakken

Het cloudprovider-probleem. Gebruik van commerciële cloud zonder FedRAMP-autorisatie voor CUI, of zonder encryptie beheerd door de klant, laat beide soevereiniteitslijnen open. De Microsoft BitLocker-situatie — waarbij Microsoft bevestigde dat het de FBI encryptiesleutels had verstrekt om klantapparaten te ontgrendelen — illustreert het structurele probleem: als een cloudprovider jouw encryptiesleutels beheert, kan elk overheidsverzoek toegang krijgen tot jouw CUI. FedRAMP-geautoriseerde infrastructuur plus encryptie beheerd door de klant is de vereiste combinatie.

Het probleem van buitenlandse werknemers. Defensie-aannemers met internationale teams die vertrouwen op beleid in plaats van technische toegangscontroles om ITAR-beperkingen af te dwingen, zijn één systeemfout verwijderd van een deemed export-overtreding. Rolgebaseerde toegangscontrole en documentniveau-DRM zijn de technische implementatie van de deemed export-regel — geen vervanging ervan.

Het probleem in de toeleveringsketen. Een hoofdaannemer kan volledig CMMC-gecertificeerd zijn, maar CUI delen met een onderaannemer die dat niet is. Uit de enquête van Kiteworks in 2025 onder 104 organisaties die CMMC nastreven, bleek dat 62% geen uitgebreide governancecontroles had en slechts 22% contractuele beveiligingsvereisten met leveranciers implementeerde. Contractuele bepalingen leggen de verplichting vast — technische controles handhaven deze. Zie de CMMC-nalevingschecklist voor een volledig overzicht van de vereisten in de toeleveringsketen.

Het samenwerkingsprobleem. Standaard bestandsoverdracht met leveranciers, partners of buitenlandse bondgenoten onder exportlicentie verplaatst gegevens naar de omgeving van de ontvanger — en hun rechtsbevoegdheid. Samenwerkingstools zonder bezit, die documenten weergeven zonder bestanden over te dragen, elimineren het soevereiniteitsrisico volledig.

Hoe Kiteworks datasoevereiniteit in de defensie aanpakt

Datasoevereiniteit in de defensie is een tweesporenprobleem. Het geografische spoor — waar gegevens verblijven, op welke infrastructuur ze staan, welke overheid toegang kan afdwingen — lijkt op GDPR- of HIPAA-zorgen, met FedRAMP-autorisatie en encryptie beheerd door de klant als belangrijkste controles. Het autorisatiespoor — ITAR’s verbod op toegang door buitenlandse personen, ongeacht geografie — heeft geen civiel equivalent en vereist technische handhaving die beleid alleen niet kan bieden.

Het Kiteworks Private Data Network adresseert beide soevereiniteitslijnen via één platform, speciaal ontwikkeld voor de DIB.

Op het geografische spoor: FedRAMP-naleving op Matige autorisatie biedt de gevalideerde cloudinfrastructuurbasis voor CUI. Een single-tenant architectuur voorkomt datagevoelens. Encryptie beheerd door de klant (BYOK/BYOE) met FIPS 140-3 Level 1 gevalideerde encryptie, AES-256 in rust en TLS 1.3 tijdens transport sluit het CLOUD Act-gat — noch Kiteworks, noch een cloudprovider kan klantgegevens onder dwang ontsleutelen. Inzet loopt uiteen van on-premises, IaaS, FedRAMP-geautoriseerde cloud tot hybride, passend bij specifieke programmavereisten.

Op het autorisatiespoor: rolgebaseerde toegangscontrole handhaaft need-to-know op systeemniveau. SafeEDIT DRM maakt samenwerking zonder bezit mogelijk — leveranciers, partners en buitenlandse bondgenoten onder exportlicentie kunnen CUI- en ITAR-gecontroleerde technische documenten bekijken en annoteren zonder dat bestanden ooit de beveiligingsperimeter van de aannemer verlaten. Een uniforme, onveranderlijke audit log volgt alle CUI- en FCI-bewegingen over bestandsoverdracht, MFT, SFTP, e-mail en webformulieren — zichtbaar via het CISO-dashboard, exporteerbaar naar je SIEM en direct ondersteunend aan C3PAO-beoordelingen. Kiteworks ondersteunt bijna 90% van de CMMC 2.0 Level 2-vereisten standaard, wat certificeringstijdlijnen en beoordelingskosten drastisch vermindert.

Wil je meer weten over datasoevereiniteitsnaleving voor defensie-aannemers? Plan vandaag nog een aangepaste demo.

Aanvullende bronnen 

• Blog Post
  Datasoevereiniteit: een best practice of wettelijke vereiste?
• eBook 
  Datasoevereiniteit en GDPR
• Blog Post 
  Voorkom deze valkuilen bij datasoevereiniteit
• Blog Post &
  Datasoevereiniteit beste practices
• Blog Post 
  Datasoevereiniteit en GDPR [Inzicht in gegevensbeveiliging]