Europese bedrijven spreken steeds vaker over digitale soeve­rei­ni­teit, controle over data en minder afhan­ke­lijk­heid van buiten­landse techno­logie. Toch blijkt uit nieuw onder­zoek van CipherCue dat een groot deel van de publieke inter­net­in­fra­struc­tuur van Europese onder­ne­mingen nog steeds in handen is van Ameri­kaanse leveran­ciers. Vooral aan de voorkant van websites spelen Ameri­kaanse partijen een dominante rol.

Voor het onder­zoek analy­seerde CipherCue bijna 19.500 Europese bedrijf­sen­ti­teiten in zeven landen: Duits­land, Frank­rijk, Italië, Neder­land, Spanje, Polen en het Verenigd Konink­rijk. De onder­zoe­kers keken naar de infra­struc­tuur­le­ve­ran­cier achter de hoofd­do­meinen en www-adressen van bedrijven. Daarbij werd niet gekeken naar de fysieke locatie van servers, maar naar de organi­satie die technisch verant­woor­de­lijk is voor het beant­woorden van DNS-verzoeken en daarmee zicht­baar is aan de internetzijde.

Nederlandse websites vooral afhankelijk van Amerikaanse leveranciers

De cijfers laten zien dat Ameri­kaanse infra­struc­tuur­le­ve­ran­ciers in meerdere Europese landen een dominante positie hebben. In het Verenigd Konink­rijk wordt 67,5 procent van de onder­zochte bedrijfs­web­sites bediend door Ameri­kaanse leveran­ciers. Neder­land volgt met 53,6 procent. Ook in Italië, Spanje en Frank­rijk hebben Ameri­kaanse partijen een groter aandeel dan Europese of lokale aanbieders.

Duits­land en Polen vormen uitzon­de­ringen. Daar is de positie van lokale hosting­be­drijven aanzien­lijk sterker. CipherCue wijst onder meer op de aanwe­zig­heid van Duitse aanbie­ders zoals Hetzner en IONOS als belang­rijke verkla­ring voor de grotere binnen­landse infrastructuurpositie

Cloudflare grootste speler in alle onderzochte landen

Een opval­lende uitkomst van het onder­zoek is de dominante positie van Cloud­flare. Volgens CipherCue is Cloud­flare in alle zeven onder­zochte landen de grootste indivi­duele infra­struc­tuur­le­ve­ran­cier voor bedrijfs­web­sites. In Neder­land wordt 36,8 procent van de onder­zochte websites aan Cloud­flare gekop­peld. Duits­land kent het laagste percen­tage, maar ook daar blijft Cloud­flare met 17,9 procent de grootste indivi­duele leverancier.

Andere grote Ameri­kaanse spelers die in het onder­zoek worden genoemd zijn onder meer Amazon Web Services, Google Cloud en Micro­soft Azure.

Hostinglocatie zegt niet alles over afhankelijkheid

Een belang­rijk punt in de analyse van CipherCue is dat de aanwe­zig­heid van een Ameri­kaanse leveran­cier niet automa­tisch betekent dat data ook buiten Europa wordt opgeslagen. Vooral bij partijen als Cloud­flare gaat het om de internet-facing laag: de infra­struc­tuur die bezoe­kers als eerste aanspreekt.

Een website achter Cloud­flare kan bijvoor­beeld gebruik­maken van een Europese hosting­pro­vider als origin-server, terwijl Cloud­flare de bezoe­kers afhan­delt via een Europees edge point of presence. De fysieke locatie van systemen is daarmee slechts één onder­deel van de digitale afhankelijkheidsvraag.

Juist daarom wordt deze analyse relevant voor discus­sies over digitale soeve­rei­ni­teit. Volgens CipherCue zouden organi­sa­ties niet alleen moeten kijken naar waar hun data staat, maar ook naar welke leveran­ciers een directe rol spelen in de publieke digitale infra­struc­tuur, zoals DNS, CDN’s, bevei­li­ging en toegangsbeheer.

Digitale soevereiniteit begint bij inventarisatie

De resul­taten sluiten aan bij een bredere trend waarin Europese organi­sa­ties opnieuw kijken naar hun afhan­ke­lijk­heid van buiten­landse techno­logie. Onder­werpen als cloud­keuze, leveran­ciers­ri­si­co’s, regel­ge­ving en opera­ti­o­nele conti­nu­ï­teit krijgen steeds meer aandacht.

Voor Europese hosting­be­drijven biedt het onder­zoek tegelij­ker­tijd een duide­lijk beeld van de markt. Hoewel Ameri­kaanse infra­struc­tuur­le­ve­ran­ciers sterk aanwezig zijn, blijft er ruimte voor Europese aanbie­ders die zich onder­scheiden met lokale kennis, Europese regel­ge­ving, trans­pa­rantie en controle over infrastructuur.

De belang­rijkste conclusie van CipherCue is dan ook niet dat Europese bedrijven massaal moeten overstappen naar andere leveran­ciers. De studie laat vooral zien dat veel organi­sa­ties onvol­doende zicht hebben op welke partijen momen­teel een rol spelen in hun publieke inter­net­in­fra­struc­tuur. Pas wanneer die afhan­ke­lijk­heden inzich­te­lijk zijn, kunnen bedrijven en overheden gerichte keuzes maken over digitale autonomie en risicobeheersing.