Wat is het model van gedeelde verantwoordelijkheid van Microsoft 365?

Wat zegt het model van gedeelde verantwoordelijkheid?

Microsoft is verantwoordelijk voor de cloud, en jij voor wat je erin zet en wie erbij kan. Microsoft publiceert deze verdeling voor al zijn clouddiensten, ook Microsoft 365.

Volgens de pagina van Microsoft over gedeelde verantwoordelijkheid in de cloud blijf je bij elk type implementatie altijd verantwoordelijk voor je data (inclusief gegevensbescherming), je endpoints (laptops, desktops en mobiele apparaten), je accounts en je toegangsbeheer. Bij een SaaS-dienst zoals Microsoft 365 neemt Microsoft het fysieke datacenter, het fysieke netwerk, de fysieke hosts, het besturingssysteem en de netwerkcontroles over. Applicaties en apparaten van gebruikers zijn gedeeld.

Voor organisaties onder NIS2 is dit belangrijk, want de wet vraagt je de risico's aan je eigen kant te beheren, niet aan die van Microsoft. De volledige verplichtingen staan op onze pagina over NIS2 Compliance. Dit artikel gaat over wat het model betekent voor je Microsoft 365-data.

Wie is waarvoor verantwoordelijk in Microsoft 365?

Microsoft is eigenaar van de infrastructuur en houdt de dienst beschikbaar. Jij bent eigenaar van configuratie, identiteiten, data en herstel.

De tabel volgt de verdeling die Microsoft publiceert. De ransomware-richtlijnen voor Microsoft 365 maken een vergelijkbaar onderscheid tussen controles op tenantniveau (de mensen in je organisatie en de infrastructuur en diensten waarvan je organisatie eigenaar is en die ze beheert) en de controles op serviceniveau van Microsoft. Zie Ransomware protection in Microsoft 365.

Beschermt de replicatie van Microsoft mijn data dan niet?

Ze beschermt de dienst tegen hardwarestoringen, niet je data tegen wijzigingen. Replicatie kopieert verwijderingen, overschrijvingen en versleuteling naar elke replica.

De documentatie van Azure Storage over redundantie zegt het rechtstreeks: "Verwijderingen en overschrijvingen worden gelijktijdig op alle kopieën toegepast. Redundantie beschermt tegen hardwarestoringen, niet tegen bewerkingen die data wijzigen." Zelfs de Microsoft Services Agreement, die over consumentendiensten gaat en niet over zakelijke tenants, adviseert gebruikers: "We raden aan dat je regelmatig een back-up maakt van je content en data die je op de diensten opslaat."

Native prullenbakken en versiegeschiedenis zijn nuttig, maar kort. Verwijder je bijvoorbeeld een gebruiker, dan geeft de eigen beheerdocumentatie van Microsoft je 30 dagen om het account terug te zetten. Daarna staat de OneDrive van een vertrekkende medewerker 93 dagen in de prullenbak en wordt die definitief verwijderd. Alle native termijnen vind je in Maakt Microsoft 365 een back-up van mijn data?

Hoe vertaalt het model zich naar NIS2 en de AVG?

Beide wetten leggen de verplichting bij jou, niet bij je cloudaanbieder. Met Microsoft 365 verschuif je je NIS2- of AVG-plichten niet naar Microsoft. Microsoft wordt een van de leveranciers wier risico's je beheert.

De verwijzingen naar NIS2 gaan over Richtlijn (EU) 2022/2555 en die naar de AVG over Verordening (EU) 2016/679. In Nederland gelden de NIS2-regels via de Cyberbeveiligingswet (Cbw), die volgens de Nederlandse overheid sinds 15 augustus 2026 in werking is. De Duitse NIS2UmsuCG geldt sinds 6 december 2025, zoals de BSI aankondigde. Lees ook onze uitleg van de tien maatregelen van artikel 21.

Wat gaat er mis als je het model verkeerd leest?

Data verdwijnt door acties die er normaal uitzien en die het platform van Microsoft precies uitvoert zoals opgedragen. De dienst blijft beschikbaar terwijl de data verloren gaat.

• Opruimen bij vertrek: een account wordt verwijderd, de bewaartermijnen verstrijken en contracten of correspondentie verdwijnen mee.
• Fouten in bulk: een synctool, script of wijziging in het bewaarbeleid verwijdert of overschrijft een grote set bestanden.
• Insiders: een vertrekkende medewerker maakt een mailbox of een SharePoint-bibliotheek leeg.
• Overgenomen accounts: een aanvaller met geldige inloggegevens versleutelt gesynchroniseerde bestanden. Met beheerrechten verwijdert hij data en verkort hij de bewaartermijn.

Dat laatste punt groeit het snelst. Uit het Microsoft Digital Defense Report 2025 bleek dat aanvallen op identiteiten in de eerste helft van 2025 met 32% stegen en dat minstens 52% van de aanvallen met een bekend motief werd gedreven door afpersing of ransomware. Hetzelfde rapport zegt dat MFA meer dan 99% van de aanvallen op identiteiten kan blokkeren. Daarom ligt toegangsbeheer aan je eigen kant van de lijn.

Hoe dek je je eigen kant van het model af?

Zes stappen dekken het grootste deel. Elke stap levert bewijs op dat je aan een auditor of verzekeraar kunt laten zien.

1. Breng je data in kaart. Maak een lijst van wat er in Exchange, OneDrive, SharePoint en Teams staat, en welke gegevens je moet bewaren en hoelang.
2. Beveilig identiteiten. Dwing MFA af voor iedereen, beperk het aantal globale beheerders en controleer beheerdersrollen regelmatig.
3. Maak een onafhankelijke back-up. Bewaar een kopie buiten je tenant, met aparte inloggegevens. Onze Microsoft 365-back-up dekt Exchange, OneDrive, SharePoint en Teams, slaat data onveranderbaar op in onze eigen datacenters in Nederland en Duitsland en vereist MFA voor beheeracties.
4. Pas het proces voor vertrekkende medewerkers aan. Zorg dat er een back-up bestaat voordat een account wordt verwijderd.
5. Beoordeel leveranciers. Behandel Microsoft en je back-upleverancier als onderdeel van je keten. In onze gids over NIS2-ketenbeveiliging lees je hoe.
6. Test en documenteer. Voer minstens elk kwartaal een hersteltest uit en bewaar de resultaten.

Dezelfde verdeling geldt in de publieke cloud. Draai je ook workloads in AWS of Google Cloud, lees dan waarom data in AWS nog geen back-up is en het model van gedeelde verantwoordelijkheid van Google Cloud.

Wat je nu kunt doen

Het model van gedeelde verantwoordelijkheid is geen grijs gebied: Microsoft houdt Microsoft 365 draaiend, en je data, identiteiten en herstel moet je zelf beheren en kunnen aantonen. Onder NIS2 en de AVG hoort dat bewijs bij de naleving. Het is geen optionele extra.

Begin met een helder beeld van je hiaten. Op onze pagina over NIS2 Compliance lees je hoe dit past bij de bredere verplichtingen. Je kunt ook een gratis assessment aanvragen van je opzet voor back-up en herstel van Microsoft 365.

Dit artikel is algemene informatie, geen juridisch advies.