Het Cloud Sovereignty Framework is een beleids- en beoordelingskader dat de Europese Commissie in april 2026 publiceerde om publieke organisaties objectieve criteria te geven bij de inkoop van clouddiensten. Het framework definieert acht soevereiniteitsdoelstellingen, introduceert vier meetbare SEAL-niveaus en is uitgewerkt in de bijbehorende mededeling CADA COM(2026) 502. Voor compliance officers en IT-beslissers in de publieke sector biedt het een directe vertaling naar aanbestedingsdocumenten.
Waarom de publieke sector een soevereiniteitskader nodig heeft
Zonder gestandaardiseerde criteria kunnen aanbesteders aanbiedingen van cloudleveranciers niet objectief vergelijken op jurisdictionele risico’s. Dat probleem is niet theoretisch.
Meer dan 80 procent van de EU-overheidsinstellingen maakt gebruik van clouddiensten van niet-Europese hyperscalers, waardoor jurisdictionele risico’s onder wetten als de US CLOUD Act structureel aanwezig zijn (Europees Parlement, rapport ‘Cloud for Europe’, 2023). Wetten als de US CLOUD Act en de Foreign Intelligence Surveillance Act verplichten Amerikaanse bedrijven gegevens te verstrekken aan Amerikaanse autoriteiten, ook wanneer die gegevens fysiek op Europese servers staan. Een verwerkersovereenkomst of een standaardcontractsbepaling heft die wettelijke verplichting niet op.
ENISA stelde vast dat 46 procent van alle significante cyberincidenten bij Europese overheidsorganisaties in 2023 betrekking had op cloudinfrastructuur (ENISA Threat Landscape 2023). Dit onderstreept dat soevereiniteit niet alleen een juridische maar ook een technische beveiligingsvraag is.
De acht soevereiniteitsdoelstellingen van het framework
Het Cloud Sovereignty Framework werkt met acht objectieve doelstellingen waarop leveranciers worden beoordeeld. Samen vormen zij de basis voor de SEAL-score.
De acht doelstellingen zijn: (1) gegevenslokalisatie binnen de Europese Economische Ruimte, (2) juridische onafhankelijkheid van niet-EU-rechtsstelsels, (3) operationele autonomie van de aanbieder ten opzichte van niet-EU-moederbedrijven, (4) Europese controle over encryptiesleutels, (5) transparantie over toeleveringsketens en subverwerkers, (6) auditrechten voor de afnemer of een aangewezen Europese toezichthouder, (7) incidentrespons zonder verplichte betrokkenheid van entiteiten buiten de EU, en (8) continuïteitsgaranties inclusief portabiliteit en uitstapmogelijkheden.
Leveranciers worden per doelstelling gescoord en krijgen vervolgens een geaggregeerd SEAL-niveau toegewezen. Dit maakt de beoordeling herleidbaar en aanvechtbaar, twee vereisten voor een rechtsgeldige Europese aanbesteding.
De vier SEAL-niveaus uitgelegd
De Sovereignty Effectiveness Assurance Levels (SEAL 0 tot en met 4) geven een oplopende mate van soevereiniteitsgarantie en zijn bedoeld als selectie- en gunningscriterium.
| SEAL-niveau | Kenmerk | Geschikt voor |
|---|---|---|
| SEAL 0 | Geen soevereiniteitseisen; standaard publieke cloud | Openbare communicatie, niet-gevoelige data |
| SEAL 1 | Datalocatie EU, basiscontractuele garanties | Interne samenwerking zonder persoonsgegevens |
| SEAL 2 | EU-datalocatie, operationele onafhankelijkheid aantoonbaar | Gevoelige persoonsgegevens, vertrouwelijke beleidsdocumenten |
| SEAL 3 | SEAL 2 plus Europese sleutelcontrole, geen technische toegangsroutes voor derde landen | Kritieke overheidssystemen, strafrechtelijke data, zorgdossiers |
| SEAL 4 | Volledige Europese juridische en technische soevereiniteit, on-premise of gecertificeerde soevereine cloud | Staatsgeheimen, kritieke nationale infrastructuur |
De €180 miljoen aanbesteding en wat zij leert over marktaanbod
De Europese Commissie selecteerde via het Cloud III Dynamic Purchasing System (Cloud III DPS) vier aanbieders voor een soeverein cloudcontract ter waarde van €180 miljoen. De selectie geeft inkopers een realistisch beeld van wat de markt op SEAL 2- en SEAL 3-niveau kan leveren.
De vier geselecteerde partijen zijn Proximus (Belgische staatsgelieerde telecomoperator), S3NS (een joint venture van het Franse defensie- en technologiebedrijf Thales met Google Cloud, waarbij sleutelbeheer volledig bij Thales blijft), Clarence (een Franse soevereine cloudprovider zonder niet-EU-aandeelhouders) en Mistral AI (Frans AI-platform gericht op taalmodellen onder Europese controle).
De aanwezigheid van S3NS toont aan dat de Commissie hybride constructies, waarbij een Europese entiteit de operationele en cryptografische controle houdt over infrastructuur van een Amerikaanse hyperscaler, als acceptabel beschouwt voor SEAL 2-toepassingen, mits de sleutelcontrole en het incidentbeheer aantoonbaar Europees zijn. Zuiver Europese aanbieders zoals Clarence zijn doorgaans noodzakelijk voor SEAL 3- en SEAL 4-toepassingen.
“Sovereignty is not protectionism. It is about ensuring that European institutions can operate their data without being subject to the extraterritorial application of third-country laws,” aldus Europees Commissaris Johannes Hahn bij de presentatie van het Cloud Sovereignty Framework (Europese Commissie, 2026).
Vertaling naar Nederlandse aanbestedingsprocedures
Nederlandse gemeenten, provincies en rijksdiensten vallen onder de Aanbestedingswet 2012 en de Europese drempelwaarden voor IT-diensten. Het Cloud Sovereignty Framework is geen verordening en dus niet automatisch bindend, maar de SEAL-niveaus en de acht doelstellingen zijn direct bruikbaar als objectieve gunningscriteria.
Stap 1: Dataclassificatie als vertrekpunt
Bepaal voorafgaand aan de aanbesteding welk type data in de beoogde cloudomgeving wordt verwerkt. De Baseline Informatiebeveiliging Overheid (BIO) biedt hiervoor een classificatieschema dat aansluit op de SEAL-niveaus. Verwerkingen met bijzondere persoonsgegevens in de zin van AVG artikel 9 vereisen minimaal SEAL 2. Systemen die raken aan kritieke infrastructuur als bedoeld in de NIS-2-richtlijn vereisen SEAL 3 of hoger.
Stap 2: SEAL-niveau vastleggen in het Programma van Eisen
Formuleer het vereiste SEAL-niveau als knock-outcriterium of als minimum uitsluitingseis in de selectieleidraad. Onderbouw de keuze met een motivering die verwijst naar de classificatie van de te verwerken data, de AVG-risicoanalyse (artikel 32 AVG), de NIS-2-risicobeheerverplichting, en de CADA COM(2026) 502-mededeling als beleidskader. Dit maakt de gunningsbeslissing herleidbaar en verdedigbaar bij een klacht bij de Commissie van Aanbestedingsexperts.
Stap 3: EUCS als aanvullende beveiligingseis
Het EU Cybersecurity Certification Scheme for Cloud Services (EUCS) van ENISA is een technisch certificeringsschema met drie assuranceniveaus: Basic, Substantial en High. Het Cloud Sovereignty Framework en EUCS vullen elkaar aan: EUCS-High garandeert een hoog technisch beveiligingsniveau, terwijl het SEAL-niveau de jurisdictionele en operationele soevereiniteit dekt. Voor aanbestedingen op SEAL 2 en hoger is het redelijk om EUCS Substantial als minimumeis te stellen, en EUCS High voor SEAL 3 en 4.
ENISA formuleerde het als volgt: “Het ontbreken van eenduidige soevereiniteitscriteria in aanbestedingsdocumenten maakt het voor inkopers onmogelijk om appels met appels te vergelijken. Een gestandaardiseerd framework is de enige weg naar marktwerking op dit vlak” (ENISA Cloud Security Report).
Stap 4: Documenteer de CADA-assuranceniveaus
CADA COM(2026) 502 introduceert assuranceniveaus die overeenkomen met de SEAL-structuur maar specifiek gericht zijn op de gegevenstoegankelijkheid en controlemaatregelen voor aanbestedende diensten. Neem in het aanbestedingsdossier een paragraaf op waarin u aangeeft welk CADA-niveau van toepassing is, wie de auditor is die naleving toetst, en op welke termijn leveranciers een conformiteitsbewijs moeten overleggen. Zo creëert u een afdwingbare contractuele grondslag naast de selectiecriteria.
Praktische inkooptips voor gemeenten en provincies
Gemeenten met een beperkt inkoopapparaat kunnen aansluiting zoeken bij bestaande raamovereenkomsten van de Rijksoverheid, zoals die via het Rijk ICT-inkoopportaal lopen. Controleer of de raamovereenkomst het vereiste SEAL-niveau afdekt voordat u een minicompetitie uitschrijft. Provinciaal samenwerken in een gezamenlijke aanbesteding verlaagt de transactiekosten en vergroot de onderhandelingsmacht tegenover grote aanbieders.
Leg in het aanbestedingsdossier ook vast hoe u omgaat met de situatie waarin een leverancier gedurende de looptijd zijn eigendomsstructuur wijzigt, bijvoorbeeld door overname door een niet-EU-partij. Een automatische contractbeëindigingsclausule bij eigendomswijzigingen die het SEAL-niveau in gevaar brengen, is juridisch verdedigbaar en wordt door PIANOo aanbevolen in complexe IT-inkoop.
FAQ: Cloud Sovereignty Framework en aanbesteding
Is het Cloud Sovereignty Framework juridisch bindend voor Nederlandse aanbesteders?
Nee, het framework is geen EU-verordening maar een beleids- en beoordelingskader. Nederlandse gemeenten, provincies en rijksdiensten zijn niet verplicht het te gebruiken, maar kunnen de SEAL-niveaus en de acht soevereiniteitsdoelstellingen als objectieve gunningscriteria opnemen in hun eigen aanbestedingsdocumenten onder de Aanbestedingswet 2012.
Wat is het verschil tussen SEAL-niveau 2 en SEAL-niveau 3?
Bij SEAL 2 verwerkt de leverancier data binnen de EU en heeft hij aantoonbare operationele onafhankelijkheid van niet-EU-moederbedrijven. SEAL 3 vereist bovendien dat de sleutelbeheerinfrastructuur volledig onder Europese jurisdictie valt en dat er geen technische toegangsroutes bestaan voor derde landen, ook niet via support- of updateprocessen.
Welke vier leveranciers zijn geselecteerd in de €180 miljoen cloudaanbesteding van de Europese Commissie?
De Europese Commissie selecteerde via het Cloud III DPS vier aanbieders: Proximus, S3NS, Clarence en Mistral AI. De selectie laat zien dat soeverein in de praktijk ook hybride Europees-Amerikaanse constructies omvat, mits sleutelbeheer en operationele controle Europees zijn.
Hoe verhoudt het Cloud Sovereignty Framework zich tot de EUCS-certificering?
EUCS is een technisch certificeringsschema van ENISA met assuranceniveaus Basic, Substantial en High. Het Cloud Sovereignty Framework voegt daar een jurisdictionele en operationele soevereiniteitslaag aan toe via de SEAL-niveaus. In een aanbesteding fungeert EUCS-High als minimumdrempel voor beveiliging, terwijl het SEAL-niveau bepaalt in welke mate de dienst vrij is van niet-EU-jurisdictionele risico’s. Beide kaders vullen elkaar aan.
Hoe documenteer ik een SEAL-niveaukeuze in een aanbestedingsdossier?
Begin met een dataclassificatie op basis van de gevoeligheid van de te verwerken informatie. Leg de keuze vast in het Programma van Eisen met een motivering die verwijst naar AVG artikel 32, de NIS-2-verplichting tot risicobeoordeling, en de BIO-baseline. Gebruik CADA COM(2026) 502 als Europese beleidsbasis om de terminologie te verankeren en de keuze in een Europese context te onderbouwen.
