Op 26 augustus zette het Amerikaanse ministerie van Financiën het Italiaanse collectief Autistici/Inventati op de lijst van Specially Designated Global Terrorists. A/I, zoals ze zichzelf noemen, draaide al 25 jaar gratis e-mail, blogs en mailinglijsten, vooral voor activisten. Op 6 september kondigden ze aan dat ze stoppen. Zo’n 16.000 mailboxen, 10.000 blogs, 5.500 mailinglijsten en 1.500 websites gaan uit.
Over A/I zelf, hun politiek, en of die aanwijzing terecht is: daar kun je van alles van vinden en dat ga ik hier niet doen. Wat mij bezighoudt zijn de elf dagen ertussen. Want die elf dagen zijn een vrij exacte kaart van waar digitale soevereiniteit in de praktijk zit. En dat is niet waar de meeste organisaties hem zoeken.
Niemand heeft een server aangeraakt
De infrastructuur van A/I stond in Europa en staat daar nog. Geen machine in beslag genomen, geen inval in een datacenter, geen Europese rechter die eraan te pas kwam. Wat er wel gebeurde was een rij beslissingen van private partijen. Elk met een eigen reden waarom ze niet anders konden.
Dag één, 27 augustus. PayPal bevriest de donatierekening.
Dag twee, 28 augustus. Public Interest Registry, de Amerikaanse beheerder van .org, zet autistici.org op “serverHold”. Vanaf dat moment resolvet het domein nergens meer. Waar de servers staan doet er dan niet meer toe, niemand vindt ze. A/I moest uitwijken naar een reservedomein om überhaupt nog een persbericht online te krijgen.
Dag negen, 4 september. Banca Etica (ja, die heet echt zo) schort de rekening op en sluit hem daarna. Tienduizenden euro’s staan vast. De bank zegt publiekelijk dat ze het politieke gebruik van OFAC-lijsten veroordeelt. En dat ze geen keus had. Secundaire sancties zouden haar afsnijden van het Amerikaanse betalingsverkeer, en daarmee alle 130.000 klanten raken.
A/I noemt als reden om te stoppen niet de servers en niet het geld. De reden is dat doorgaan gebruikers en vrijwilligers zou blootstellen aan strafrechtelijke of financiële gevolgen. Dat is een ander soort risico dan waar een continuïteitsplan meestal over gaat.
Vier lagen die je waarschijnlijk niet in beeld hebt
De meeste gesprekken over digitale soevereiniteit waar ik aan tafel zit gaan over hosting. Waar staat de data, wie kan erbij, valt de provider onder de CLOUD Act. Prima vragen. Maar dat is laag één. Deze casus laat er nog vier zien die vrijwel nooit op een risicokaart staan.
Je domein. Eindigt het op .org, .com of .net, dan zit de registry onder Amerikaans recht. Wat er in je hostingcontract staat is dan niet relevant. Een domein dat niet resolvet is voor je gebruikers hetzelfde als een dienst die niet bestaat. Met .nl of .eu zit je onder een andere jurisdictie (SIDN, EURid). Dat lost niet alles op, maar het is in elk geval een andere keten met andere partijen die de knop kunnen omzetten.
Je betalingen. Loopt je omzet of je donatiestroom via een Amerikaanse processor, dan kan die stroom worden stilgezet zonder dat een rechter in je eigen land eraan te pas komt. Dit is precies waarom Adyen en Mollie op de Digital Sovereignty Heatmap als alternatieven voor Stripe staan. Niet omdat Stripe slecht is. Omdat de knop ergens anders zit.
Je bank. Zelfs een Europese bank met “ethisch” in haar naam volgt een buitenlandse sanctielijst. Het alternatief is dat ze dollarverkeer voor al haar klanten verliest. Dat is geen lafheid van die ene bank, het is hoe het internationale betalingssysteem in elkaar zit. Dus “onze bank is Europees” betekent weinig op het moment dat het ertoe doet.
Je mensen. De uiteindelijke reden om te stoppen was aansprakelijkheid van personen, niet beschikbaarheid van infrastructuur. Vertaal dat naar een bedrijf: bestuurders, een DPO, beheerders die persoonlijk risico lopen als een dienst doordraait onder een sanctieregime. NIS2 en straks de Cyberbeveiligingswet leggen die aansprakelijkheid trouwens ook al bij het bestuur, vanuit een andere hoek.
Ik had er nog een vijfde bij kunnen zetten, e-mailafleverbaarheid, maar dan wordt het stuk te lang. Kort: wie beslist of jouw mail als spam wordt gemarkeerd? Dat zijn ook geen Europese partijen.
Wat Europa deed
Op 3 september publiceerde EDRi, het Europese netwerk van digitale burgerrechtenorganisaties, een solidariteitsverklaring. 33 organisaties uit 13 landen. Hun kernargument: wie het aanbieden van algemene communicatiemiddelen behandelt als materiële steun aan terrorisme, schept een precedent dat op elke Europese aanbieder van digitale infrastructuur van toepassing is. EDRi vroeg de Europese instellingen om het Blocking Statute in te roepen, de verordening uit 1996 die Europese partijen zou moeten beschermen tegen extraterritoriale Amerikaanse sancties.
Op het moment van de sluiting: geen enkele officiële Europese reactie.
Of je nu vindt dat het Blocking Statute hier ingezet had moeten worden of niet, kijk naar het tempo. De private keten was in een paar dagen rond. Het publieke afweermechanisme is niet eens gestart. Die asymmetrie is waar elke Europese organisatie mee te maken heeft: de partijen die je kunnen uitschakelen bewegen in uren, de partijen die je zouden moeten beschermen bewegen in maanden. Als ze al bewegen.
De praktische vraag voor een bestuur
De vraag is dus niet “staan onze servers in de EU?”. De vraag is: voor elke afhankelijkheid tussen onze gebruikers en onze dienst, welke jurisdictie kan die uitschakelen, en hoe snel?
Loop hem eens af. Domeinregistry. DNS. CDN. Certificaatautoriteit. Betaalprocessor. Bank. Identity provider en MFA. App store. Per laag drie vragen: wie is de eigenaar, onder welk recht valt die eigenaar, en wat is de doorlooptijd van een blokkade.
De meeste organisaties kunnen dat vandaag niet beantwoorden. Ik heb het de afgelopen jaren in verschillende programma’s gevraagd en het antwoord is bijna altijd een stilte en daarna “dat zou de leverancier moeten weten”. Moeilijk is het niet, het is gewoon nooit gevraagd. Een inventarisatie, geen filosofisch debat. Daarom heb ik de Digital Sovereignty Heatmap gebouwd: 418 wereldwijde diensten met daartegenover 1.322 EU-gevestigde alternatieven in 29 landen en 80 categorieën, met per leverancier de eigendomsstructuur, de hostinglocatie en het licentiemodel. Je kunt er een assessment van je eigen stack mee doen, of gewoon op de kaart kijken wat er in jouw categorie bestaat.
A/I was een klein collectief zonder commercieel belang, en misschien denk je daarom: dit overkomt ons niet. Kan zijn. Maar de keten die hen uitschakelde (registry, processor, bank) is exact dezelfde keten waar jouw organisatie aan hangt. Bij een grotere partij met meer te verliezen gaat het wat mij betreft eerder sneller dan langzamer, omdat elke schakel meer te verliezen heeft door jou niet los te laten.
Veelgestelde vragen
Wat is Autistici/Inventati?
Een Italiaans collectief dat sinds 2001 gratis e-mail, blogs, websites en mailinglijsten aanbood, vooral aan activisten en maatschappelijke organisaties. Op 6 september 2026 kondigde het aan alle diensten te beëindigen.
Waarom is Autistici/Inventati gestopt?
Elf dagen na plaatsing op de Amerikaanse OFAC-lijst van Specially Designated Global Terrorists (26 augustus 2026). Niet omdat de servers of het geld op waren, maar omdat PayPal, de .org-registry en de eigen bank binnen dagen de dienst feitelijk onbereikbaar en onbetaalbaar hadden gemaakt, en omdat doorgaan gebruikers en vrijwilligers aan persoonlijke risico’s zou blootstellen.
Wat is OFAC en wat betekent een OFAC-sanctie voor een Europees bedrijf?
OFAC (Office of Foreign Assets Control) is het onderdeel van het Amerikaanse ministerie van Financiën dat sanctielijsten beheert. Een Europese partij op zo’n lijst wordt in de praktijk afgesneden van Amerikaanse dienstverleners (betaalprocessors, domeinregistries, cloudproviders) én van Europese banken, omdat die anders zelf secundaire sancties riskeren.
Wat is het EU Blocking Statute?
Verordening (EG) nr. 2271/96, bedoeld om Europese bedrijven te beschermen tegen de extraterritoriale werking van sancties van derde landen. Het verbiedt EU-partijen om bepaalde buitenlandse sancties na te leven. In de praktijk is het zelden ingezet en biedt het weinig bescherming tegen het verlies van toegang tot dollarverkeer.
Is een .nl- of .eu-domein veiliger dan .com of .org?
Anders, in elk geval. .nl wordt beheerd door SIDN (Nederland), .eu door EURid (België). Die vallen onder Europees recht. .com, .net en .org vallen onder Amerikaanse registries, en kunnen op Amerikaans verzoek worden geblokkeerd, ongeacht waar de servers staan.
Wat betekent digitale soevereiniteit voor mijn organisatie?
Meer dan de locatie van je data. Het gaat om de vraag welke jurisdictie elke schakel tussen je gebruikers en je dienst kan uitschakelen: domein, DNS, betalingen, bank, identity provider, app store. Digitale soevereiniteit begint met die schakels in kaart brengen. De Digital Sovereignty Heatmap helpt daarbij.
Wat heeft NIS2 hiermee te maken?
NIS2 (en in Nederland de Cyberbeveiligingswet) verplicht bestuurders van essentiële en belangrijke entiteiten om risico’s in de toeleveringsketen te beheersen en maakt hen daar persoonlijk verantwoordelijk voor. Afhankelijkheid van een leverancier die onder buitenlandse jurisdictie kan worden uitgeschakeld, is zo’n ketenrisico.
De volledige changelog van de heatmap staat op digitalsovereignty.accans.com/nl/changelog.
Vermelding van leveranciers impliceert geen affiliatie, sponsoring of goedkeuring.
Bronnen: verklaring van Autistici/Inventati, aanwijzing door het Amerikaanse State Department (26 augustus 2026), persbericht U.S. Treasury, OFAC recent actions 26 augustus 2026, solidariteitsverklaring EDRi (3 september 2026), The Next Web over de sluiting.
