Een functionele demo was goed doorlopen, de contractmanagers waren enthousiast, en toen kwam de security-review. IT stelde één vraag: onder welke jurisdictie valt deze leverancier? Niemand had het antwoord. Een half aanbestedingstraject verder viel het platform alsnog af. Niet op functionaliteit, maar op de vraag waar de contractdata staat en wie er juridisch bij kan.
Bij Nederlandse contractmanagement software draait de keuze steeds vaker om datasoevereiniteit. Sinds de Cyberbeveiligingswet op 15 augustus 2026 in werking trad, is de vraag waar je contractdata staat definitief van een IT-detail naar een aanbestedingscriterium verschoven. Nederlands of internationaal, en wat betekent dat verschil concreet voor je data?
Waarom de vraag “Nederlands of internationaal?” ineens telt
Tot voor kort ging softwarekeuze over features. Kon het platform KPI’s monitoren, indexaties berekenen, acties opvolgen? Dat blijft belangrijk, maar het is niet meer de eerste horde. Bij publiek, zorg en onderwijs beslist steeds vaker de security-review of een leverancier überhaupt in aanmerking komt.
In een Programma van Eisen staat tegenwoordig letterlijk waar de data mag staan, welke certificeringen verplicht zijn en wie toegang heeft. Een gemeente die een aanbesteding voor contractmanagement software opstelt, moet dataresidentie en AVG-borging als eis opnemen. Een hogeschool die ISO 27001 eist voor elke nieuwe applicatie, prikt door mooie demo’s heen zodra de jurisdictie onduidelijk is. De keuze wordt niet afgeschoten op wat de software kan, maar op waar je data terechtkomt.
Dataresidentie is niet hetzelfde als datasoevereiniteit
Dit is het hart van de kwestie, en precies waar veel leveranciers vaag blijven. Dataresidentie zegt waar je data fysiek staat: in welk datacenter, in welk land. Datasoevereiniteit gaat een stap verder: onder welk recht valt de partij die die data beheert.
Een voorbeeld. Een leverancier zet je contractdata in een datacenter in Frankfurt. “Onze data staat in de EU”, klinkt geruststellend. Maar als het moederbedrijf Amerikaans is, valt die leverancier onder de Amerikaanse CLOUD Act. Die wet verplicht Amerikaanse bedrijven om data af te geven aan hun autoriteiten, ongeacht waar de servers staan. Je data staat dan wel in Europa, maar buiten de bescherming van uitsluitend Europees recht.
Dat is het onderscheid dat een goede IT-poortwachter maakt. “Waar staat de data?” is de eerste vraag. “Onder welke jurisdictie valt de partij die erbij kan?” hakt de knoop door. Een EU-datacenter alleen geeft geen soevereiniteit. Het gaat om de combinatie van fysieke locatie én juridische zeggenschap.
Wat dit betekent voor publiek, zorg en onderwijs
Voor een commercieel bedrijf zonder gevoelige data is een internationale oplossing vaak prima. Voor publiek, zorg en onderwijs ligt dit anders. Deze sectoren beheren gevoelige informatie en leggen verantwoording af aan toezichthouders, een interne compliance-afdeling of de gemeenteraad.
Neem een contractmanager in een zorginstelling met 12 locaties en 40 uitbestede contracten. Die moet aan de auditor kunnen uitleggen waarom een leverancier is gekozen. Contracten bevatten leverancierskoppelingen naar patiëntgerelateerde processen. Vraagt de IGJ of de interne compliance-afdeling waar die data staat en wie erbij kan, dan is “ergens in de EU, denk ik” geen acceptabel antwoord. De verantwoording moet aantoonbaar zijn, geen aanname. Meer sectorspecifieke eisen lees je op de branchepagina voor de zorg.
Hier past een duidelijk standpunt. Voor deze sectoren is datasoevereiniteit geen luxe die je later regelt, maar een eis die je vooraan in het traject vastlegt. Een leverancier die pas in de security-review sneuvelt, kost je weken en soms een heel aanbestedingsjaar. Gebruik de jurisdictievraag als eerste filter, nog voor de functionele demo.
Je contractmanagement software is zelf een leverancier in je keten
Er zit een blinde vlek in veel selectietrajecten. Je koopt Nederlandse contractmanagement software om leveranciersrisico’s te beheersen, maar die software is zelf een leverancier in je keten. De partij die je contractdata verwerkt, is een schakel die je moet kunnen verantwoorden.
Sinds 15 augustus 2026 is de Cyberbeveiligingswet in werking, de Nederlandse invulling van NIS2, zonder algemene overgangstermijn. Circa 8.000 tot 10.000 organisaties zijn direct verplicht. Hoger onderwijs krijgt als enige uitzondering drie jaar de tijd. De wet verplicht je om cyberrisico’s uit je leveranciersketen aantoonbaar te beheersen: weten welke leveranciers er zijn, welke eisen in de contracten staan en welke afspraken openstaan.
Belangrijk om eerlijk te kaderen: GRIP is geen cybersecurity- of compliancetool en maakt niemand “NIS2-compliant”. Wat GRIP wel doet, is grip geven op de contractkant van die zorgplicht. En de software waarmee je dat doet, hoort zelf aan dezelfde eisen te voldoen die je aan je andere leveranciers stelt.
De vragen die je aan elke leverancier zou moeten stellen
Een korte checklist die een security-review vroeg in het traject afvangt in plaats van laat.
- Waar staat de data fysiek, in welk land en welk datacenter?
- Onder welke jurisdictie valt de leverancier en het moederbedrijf?
- Welke certificeringen zijn er, met certificaatnummer en scope? ISO 27001 voor informatiebeveiliging, ISO 9001 voor kwaliteitsmanagement.
- Wie heeft toegang tot de data, en hoe is die toegang geregeld en gelogd?
- Welke subverwerkers worden ingezet, en onder welk recht vallen die?
- Is er een verwerkersovereenkomst op basis van de AVG?
De vraag over subverwerkers wordt vaak vergeten. Een leverancier kan zelf Europees zijn, maar een Amerikaanse AI-dienst of hostingpartij inzetten. Vraag door tot je de hele keten kent. Wil je die eisen ook aan je eigen uitbestede contracten koppelen, dan doe je dat in het Contract Dashboard.
AVG-by-design en ISO 27001: wat het concreet betekent
Certificeringen zijn geen logo’s onderaan een website. Ze zeggen iets over hoe de software is opgebouwd. AVG-by-design betekent dat privacy in het ontwerp zit: dataminimalisatie, doelbinding en toegangscontrole zijn vanaf de basis ingebouwd, niet er later opgeplakt.
ISO 27001 is een certificering voor informatiebeveiliging. Een externe partij toetst hoe toegang, encryptie en incidentbeheer zijn geregeld. Bij GRIP wordt de contractdata uitsluitend verwerkt op Europese platformen, binnen de Europese Economische Ruimte en onder Europees recht. Daarmee valt die data buiten het bereik van de CLOUD Act. De AI-subverwerker is Mistral AI, een Frans bedrijf onder Europees recht met een verwerkersovereenkomst op basis van de AVG. Dat is het verschil tussen residentie claimen en soevereiniteit aantonen.
Veelgestelde vragen
Wat is het verschil tussen dataresidentie en datasoevereiniteit?
Dataresidentie zegt waar je data fysiek staat. Datasoevereiniteit gaat over onder welk recht de partij valt die de data beheert. Data in een EU-datacenter van een Amerikaans bedrijf valt via de CLOUD Act nog altijd onder Amerikaanse jurisdictie. Residentie alleen geeft dus geen soevereiniteit.
Waarom is de CLOUD Act relevant voor Nederlandse organisaties?
De CLOUD Act verplicht Amerikaanse bedrijven om data af te geven aan Amerikaanse autoriteiten, ongeacht waar de servers staan. Werk je met een leverancier die onder Amerikaans recht valt, dan kan je contractdata in theorie opgevraagd worden, ook als die in Europa staat.
Is een internationale contractmanagement-oplossing altijd een probleem?
Nee. Voor organisaties zonder gevoelige data of verantwoordingsplicht kan een internationale oplossing prima passen. Het gaat erom dat je weet wat je kiest en het kunt verantwoorden. Voor publiek, zorg en onderwijs is datasoevereiniteit vaak wel een harde eis.
Wat betekent NIS2 voor mijn keuze van contractmanagement software?
De Cyberbeveiligingswet verplicht je om cyberrisico’s in je leveranciersketen aantoonbaar te beheersen. Je contractmanagement software is zelf een leverancier in die keten. De software moet dus voldoen aan dezelfde eisen die je aan je andere leveranciers stelt.
Maakt GRIP mijn organisatie NIS2-compliant?
Nee. GRIP is geen cybersecurity- of compliancetool en maakt niemand NIS2-compliant. GRIP geeft grip op de contractkant van de zorgplicht: welke beveiligings- en continuïteitseisen in je uitbestede contracten staan en welke afspraken openstaan.
Welke certificeringen heeft GRIP?
GRIP is ISO 27001 gecertificeerd voor informatiebeveiliging en ISO 9001 voor kwaliteitsmanagement. De contractdata wordt uitsluitend binnen de Europese Economische Ruimte verwerkt, onder Europees recht.
Grip op je contractdata én op waar die staat
GRIP is Nederlandse contractmanagement software met dataresidentie binnen de EU, ISO 27001, ISO 9001 en AVG-by-design. Geen marketingvinkje, maar een concreet antwoord op de aanbestedingsvraag die je IT-afdeling toch al gaat stellen. Bekijk het Contract Dashboard en boek een demo.