Waar worden uw gegevens opgeslagen? Een gids voor dataopslag in de EU en België

Jarenlang was dataopslag een technisch detail. U kocht voldoende capaciteit, bewaarde ergens een back-up en ging verder. Dat is vandaag niet meer zo. Voor Europese bedrijven is dataopslag in de EU en België een strategische beslissing geworden, met juridische, beveiligings- en zakelijke gevolgen. Belgische organisaties willen nu duidelijke antwoorden: waar worden onze gegevens precies opgeslagen, wie heeft er toegang toe en hoe snel krijgen we ze terug als er iets misloopt?

Drie factoren liggen aan de basis van die vraag. Europese regelgeving koppelt dataopslag nu rechtstreeks aan juridische verantwoordelijkheid. Ransomware heeft back-up en herstel tot een onderwerp voor de raad van bestuur gemaakt. En geopolitieke onzekerheid zet veel bedrijven ertoe aan om opnieuw na te denken over hun afhankelijkheid van aanbieders buiten de EU.

Dit artikel legt uit wat de Europese en Belgische regels echt vereisen, wat “gegevens opslaan in de EU” werkelijk betekent en hoe u een opslagomgeving uitbouwt die compliant, veerkrachtig en eenvoudig te beheren is.

Welke EU-regels bepalen hoe u gegevens opslaat?

Geen enkele Europese wet zegt dat “alle gegevens in Europa moeten worden opgeslagen”. Verschillende regelgevingen bepalen samen hoe u gegevens mag opslaan, wie u ermee mag vertrouwen en hoe goed u ze moet beschermen.

GDPR: ze regelt doorgiftes, niet alleen de locatie. De GDPR legt geen algemene regel op dat persoonsgegevens in de EU moeten blijven. Wat ze wel regelt, is de doorgifte buiten de EER. Gegevens buiten de EER opslaan, ze daar verwerken of iemand buiten de EER er toegang toe geven, kan allemaal als doorgifte gelden. In de praktijk vermijdt u veel juridische complexiteit door persoonsgegevens in de EU te houden, maar u moet nog altijd back-ups, subverwerkers en toegang voor support controleren, niet alleen de primaire opslaglocatie.

NIS2: veerkracht wordt een wettelijke plicht. De NIS2-richtlijn verplicht essentiële en belangrijke entiteiten om cyberrisico’s te beheren en te blijven functioneren na een ernstig incident. Back-up, disaster recovery en crisisbeheer maken daar uitdrukkelijk deel van uit. Bestuursorganen moeten deze maatregelen goedkeuren en kunnen aansprakelijk worden gesteld als ze tekortschieten.

De Data Act: u kunt uw cloudaanbieder verlaten. Sinds 12 september 2025 is de Europese Data Act van toepassing op cloud- en andere dataverwerkingsdiensten. Aanbieders moeten belemmeringen om over te stappen wegnemen, of het nu gaat om een andere aanbieder of om een terugkeer naar on-premises. Overstapkosten zijn tot 12 januari 2027 beperkt tot de directe kosten van de aanbieder, en vanaf die datum zijn ze volledig verboden. Daardoor wordt een duidelijk exitplan een realistisch onderdeel van elk opslagcontract.

Wat betekent NIS2 voor organisaties in België?

België was een van de eerste landen die NIS2 in nationale wetgeving omzette, en het toezicht is al volop bezig. De Belgische NIS2-wet van 26 april 2024 trad in werking op 18 oktober 2024, met het Centrum voor Cybersecurity België (CCB) als bevoegde autoriteit.

Enkele Belgische aandachtspunten:

• Reële boetes. Voor belangrijke entiteiten kunnen boetes oplopen tot 7 miljoen euro of 1,4% van de wereldwijde omzet. Voor essentiële entiteiten gelden hogere maxima en proactief toezicht.
• Het management is verantwoordelijk. Bestuursorganen moeten de cyberbeveiligingsmaatregelen goedkeuren, inclusief back-up en continuïteit, en toezien op de uitvoering ervan.
• Ook leveranciers worden geraakt. NIS2-entiteiten moeten risico’s bij derden beheren en leggen daarom steeds vaker beveiligingseisen op aan hun IT- en cloudleveranciers. Ook als uw bedrijf zelf niet onder NIS2 valt, kunnen uw klanten dat wel doen.

In België ziet de Gegevensbeschermingsautoriteit (GBA) toe op de naleving van de GDPR. Samen zorgen deze regels ervoor dat een Belgische organisatie op elk moment drie vragen moet kunnen beantwoorden: waar staan onze gegevens, wie kan erbij en hoe snel kunnen we ze herstellen?

Wat is het verschil tussen dataresidentie en datasoevereiniteit?

“Onze gegevens staan in een Europees datacenter” is een goed begin, maar niet het volledige antwoord. Twee begrippen worden vaak door elkaar gehaald:

• Dataresidentie is waar uw gegevens fysiek staan: het land of de regio van het datacenter.
• Datasoevereiniteit gaat over welke wetten op die gegevens van toepassing zijn, en wie kan worden verplicht om ze af te geven.

Een aanbieder met hoofdzetel buiten de EU kan nog altijd onder buitenlandse wetgeving vallen, ook als de servers in Europa staan. Het EU-VS-kader voor gegevensbescherming (Data Privacy Framework) maakt doorgiftes naar gecertificeerde Amerikaanse bedrijven momenteel rechtmatig, maar veel organisaties willen niet afhankelijk zijn van één juridische regeling die al eerder werd aangevochten. Daarom bewaren steeds meer Belgische bedrijven hun gevoeligste gegevens in een private of in de EU beheerde omgeving, en gebruiken ze de publieke cloud voor de rest.

Stel deze vragen wanneer u een opslag- of cloudaanbieder evalueert:

• In welk land en in welke datacenters worden onze gegevens opgeslagen?
• Waar worden back-ups en replica’s bewaard? Staan die op een aparte locatie?
• Wie heeft toegang tot de gegevens voor support of onderhoud, en van waaruit?
• Welke subverwerkers zijn betrokken?
• Hoe worden de gegevens versleuteld, in rust en tijdens transport, en wie beheert de sleutels?
• Hoe snel kunt u onze gegevens herstellen, en wanneer werd dat voor het laatst getest?
• Hoe ziet een exit eruit? Hoe krijgen we onze gegevens terug als we overstappen?

Gaat dataopslag alleen over capaciteit?

De regels hierboven hebben één gemeenschappelijk thema: het volstaat niet om gegevens op te slaan, u moet ze ook kunnen beschermen en terughalen. Een degelijke opslagstrategie bestaat uit vier lagen.

• Primaire opslag. Waar uw bestanden, databases en applicaties dagelijks staan: on-premises, in een private of gedeelde cloud, of in een publieke cloud zoals Microsoft Azure.
• Back-up. Een aparte kopie van uw gegevens, gescheiden van de primaire omgeving, zodat een ransomware-aanval, een hardwarepanne of een menselijke fout niet alles meesleurt.
• Disaster recovery. Een getest plan om systemen en gegevens snel te herstellen. Een back-up die nooit werd teruggezet, is een hoop, geen plan.
• Beheer en monitoring. Iemand die capaciteit, beveiliging en back-uptaken dagelijks opvolgt en ingrijpt wanneer er iets misloopt.

Een veelvoorkomende blinde vlek: Microsoft 365. Veel Belgische bedrijven bewaren het grootste deel van hun documenten in OneDrive, SharePoint en Teams. Microsoft zorgt ervoor dat het platform blijft draaien, maar volgens het model van gedeelde verantwoordelijkheid ligt de bescherming tegen verwijderde bestanden, kwaadaardige versleuteling of langdurig dataverlies grotendeels bij u. Een extra Microsoft 365-back-up dicht die kloof.

Hoe helpt ITAF bij opslag, bescherming en herstel?

Bij ITAF zien we opslag als meer dan “waar zetten we uw gegevens?”. Het gaat ook over hoe die gegevens worden beschermd, gemonitord en hersteld wanneer er iets misloopt. Daarom brengen we opslag, back-up, disaster recovery en beheer samen in zes domeinen.

Hybride als uitgangspunt. Niet elke workload hoort op dezelfde plek. ITAF ondersteunt hybride omgevingen die bestaande on-premises servers, Private Cloud en Microsoft Azure combineren. Gevoelige gegevens kunnen op private servers blijven terwijl andere workloads in de publieke cloud draaien. Zo kiest u voor elk type gegevens de juiste plek, in plaats van alles naar één bestemming te dwingen.

Eén partner voor de hele keten. Omdat hetzelfde team uw opslag, uw back-ups en uw herstelplan beheert, krijgt u duidelijke antwoorden op de vragen die NIS2, de GDPR en uw eigen klanten blijven stellen: waar uw gegevens staan, wie ze beheert en hoe snel ze terug beschikbaar zijn.

Waar staat uw organisatie vandaag?

Gebruik deze checklist om te zien waar u vandaag staat:

• We weten waar al onze bedrijfsgegevens zijn opgeslagen, inclusief back-ups.
• We weten welke aanbieders en subverwerkers toegang hebben tot onze gegevens.
• Onze back-ups worden gescheiden van onze primaire omgeving bewaard.
• Onze Microsoft 365-gegevens hebben een eigen back-up.
• We hebben een disaster recovery-plan en hebben het de voorbije 12 maanden getest.
• We weten of NIS2 op ons van toepassing is, of op onze klanten.
• We hebben een exitplan voor elke cloudaanbieder.

Kunt u niet alles aanvinken? Dan bent u niet de enige, en het is eenvoudiger op te lossen dan u misschien denkt. Neem contact op met ITAF voor een gesprek over uw opslag-, back-up- en herstelomgeving. Samen brengen we in kaart waar uw gegevens vandaag staan en bouwen we een opslagomgeving uit die compliant, veerkrachtig en volledig beheerd is.

Veelgestelde vragen

Verplicht de GDPR mij om mijn gegevens in de EU op te slaan?

Niet strikt. De GDPR laat toe dat persoonsgegevens de EER verlaten, maar alleen met een adequaatheidsbesluit of goedgekeurde waarborgen. Gegevens in de EU houden maakt compliance veel eenvoudiger, omdat u de meeste vragen rond doorgifte vermijdt.

Is NIS2 van toepassing op mijn bedrijf?

Dat hangt af van uw sector en omvang. Middelgrote en grote organisaties in sectoren zoals energie, vervoer, gezondheidszorg, digitale infrastructuur, maakindustrie en voeding vallen vaak onder NIS2. In België kan het CCB entiteiten ook rechtstreeks aanwijzen. Zelfs als u er niet onder valt, kunnen klanten die wel onder NIS2 vallen u vragen om aan gelijkaardige eisen te voldoen.

Worden Microsoft 365-gegevens automatisch geback-upt?

Microsoft zorgt ervoor dat de dienst beschikbaar blijft en biedt basisfuncties voor bewaring. De bescherming tegen per ongeluk verwijderde bestanden, ransomware of langdurig dataverlies is grotendeels uw verantwoordelijkheid. Een aparte Microsoft 365-back-up geeft u een onafhankelijke kopie waaruit u kunt herstellen.

Wat is het verschil tussen back-up en disaster recovery?

Een back-up is een kopie van uw gegevens. Disaster recovery is het geteste plan en proces om uw systemen en gegevens na een incident opnieuw aan de praat te krijgen. U hebt beide nodig: een back-up zonder herstelplan kan nog altijd dagen downtime betekenen.

Kan ik later overstappen naar een andere cloudaanbieder?

Ja. Volgens de Europese Data Act moeten cloudaanbieders overstappen mogelijk maken, en vanaf 12 januari 2027 mogen ze geen overstapkosten meer aanrekenen. Een duidelijk exitplan blijft verstandig, zodat uw gegevens en applicaties vlot verhuizen.

Moet ik alles naar de cloud verhuizen?

Nee. Met een hybride opzet houdt u gevoelige gegevens op private servers, terwijl andere workloads in de publieke cloud draaien. ITAF kan on-premises servers, Private Cloud en Microsoft Azure combineren in één beheerde omgeving.

Hoe begin ik met ITAF?

Neem contact op met ITAF voor een gesprek over uw huidige opslag-, back-up- en herstelomgeving. We brengen eerst in kaart waar uw gegevens vandaag staan en stellen daarna de juiste mix van cloud-, back-up- en herstelservices voor.

Book a free call