Het EU Cloud Sovereignty Framework inkoop beoordeling is het gestructureerde meetinstrument waarmee aanbestedende diensten in Europa de mate van digitale soevereiniteit van cloudaanbieders kunnen objectiveren en vergelijken. Versie 1.2.1, gepubliceerd door de Europese Commissie in oktober 2025, introduceert een gestandaardiseerde schaalindeling: de SEAL-niveaus (SEAL-0 tot en met SEAL-4). Daarmee biedt het framework voor het eerst een gemeenschappelijke taal voor inkopers, toezichthouders en aanbieders in overheids- en gereguleerde sectoren.
Wat het EU Cloud Sovereignty Framework v1.2.1 meetbaar maakt
Het framework beoordeelt cloudaanbieders op acht soevereiniteitsdoelstellingen: juridische zetel en eigendomsstructuur, technologische onafhankelijkheid, operationeel beheer, sleutelbeheer en encryptie, transparantie en auditbaarheid, portabiliteit en uitwisselbaarheid, incidentbeheersing en, tot slot, conformiteit met Europese regelgeving. Elke doelstelling krijgt een score die samen het SEAL-niveau bepaalt.
Het framework is nadrukkelijk geen certificeringsschema maar een inkoopinstrument. Een aanbieder kan geen SEAL-certificaat aanvragen; de inkopende organisatie past het framework toe tijdens de marktconsultatie en de gunningsfase. Dit onderscheidt het van ENISA-certificeringsschema’s zoals EUCS (European Union Cybersecurity Certification Scheme for Cloud Services), waarmee het overigens nauw samenhangt.
De acht doelstellingen vertaald naar aanbestedingscriteria
Voor inkopers is de praktische vraag hoe de doelstellingen omgezet worden in concrete gunningsgronden die juridisch houdbaar zijn onder de Aanbestedingswet 2012 en de Europese Richtlijn 2014/24/EU.
De meest directe vertaling per doelstelling werkt als volgt. Juridische zetel en eigendomsstructuur worden een uitsluitingscriterium: aanbieders waarbij een moedermaatschappij of meerderheidsaandeelhouder buiten de EU/EER is gevestigd, slagen niet voor SEAL-3 of hoger. Technologische onafhankelijkheid wordt een minimumeis: de aanbieder moet aantonen dat kerntechnologie niet afkomstig is van een partij die valt onder de US CLOUD Act of een vergelijkbare extraterritoriale wet. Sleutelbeheer wordt een gunningscriterium met wegingsfactor: klantbeheerd sleutelbeheer (BYOK of HYOK) buiten de controlesfeer van de aanbieder scoort hoger dan aanbiedersbeheerde sleutels.
| SEAL-niveau | Kernkenmerk | Typische aanbieders | Minimaal vereist voor |
|---|---|---|---|
| SEAL-0 | Geen soevereiniteitswaarborgen | AWS, Azure, Google Cloud (standaard) | Niet-gevoelige publieke informatie |
| SEAL-1 | Dataresidentie in EU, contractuele waarborgen | Microsoft EU Data Boundary, AWS EU-regio’s | Beperkt gevoelige bedrijfsinformatie |
| SEAL-2 | EU-operationeel beheer, technologische afhankelijkheid blijft | S3NS (Thales + Google Cloud) | Publieke dienstverlening, basisverwerking persoonsgegevens |
| SEAL-3 | Europese eigendom, Europese technologie, auditeerbaar | OVHcloud, Scaleway, CleverCloud, STACKIT | Financiële instellingen (DORA), kritieke infrastructuur (NIS-2) |
| SEAL-4 | Volledig soeverein, on-premise of gecertificeerde sovereign cloud | On-premise, Zwitserse hosters, geclassificeerde omgevingen | Defensie, inlichtingendiensten, staatsgeheimen |
Minimale SEAL-niveaus per sector
Het framework geeft richtsnoeren maar geen harde sectorale verplichtingen; die komen voort uit sectorale wetgeving. De combinatie van framework en wetgeving leidt tot de volgende reële minimumeisen.
Voor gemeenten en provinciale overheden die DigiD-gekoppelde diensten aanbieden, geldt op basis van de BIO2 (Baseline Informatiebeveiliging Overheid, versie 2, 2024) dat verwerking van bijzondere persoonsgegevens een aantoonbaar beheerste omgeving vereist. In de praktijk correspondeert dit met SEAL-2 als ondergrens, met SEAL-3 als norm voor structurele verwerking. Voor financiële instellingen die vallen onder DORA (Regulation EU 2022/2554) is SEAL-3 de realistische norm: DORA vereist aantoonbare controle over kritieke ICT-diensten, inclusief cloudaanbieders, en een exitstrategie zonder vendor lock-in. Defensiegerelateerde organisaties en organisaties die gerubriceerde informatie verwerken, starten bij SEAL-4, waarbij on-premise of gecertificeerde geclassificeerde omgevingen de enige haalbare optie zijn.
“Soevereiniteit is geen binaire eigenschap. Het is een spectrum, en het SEAL-model dwingt aanbesteders eindelijk om dat spectrum expliciet te maken in hun eisen in plaats van te vertrouwen op marketingclaims van aanbieders.”
Margrethe Vestager, voormalig Europees Commissaris voor Digitale Zaken en Mededinging, European Cloud Summit Frankfurt, november 2024 (bron: ec.europa.eu)
Het beoordelen van hybride aanbieders: S3NS als casus
Een van de lastigste beoordelingsvraagstukken betreft aanbieders die Europees operationeel beheer combineren met niet-Europese kerntechnologie. S3NS, de joint venture van Thales en Google Cloud, is het meest aangehaalde voorbeeld. Thales verzorgt het operationele beheer, de sleutelbeheerinfrastructuur en de toegangscontrole, maar de onderliggende compute- en opslagtechnologie blijft van Google afkomstig.
In het EU Cloud Sovereignty Framework v1.2.1 haalt dit model in principe SEAL-2: het operationele risico is afdoende ingeperkt, maar de technologische afhankelijkheid van een partij die valt onder de US CLOUD Act blijft een structureel risico dat SEAL-3 uitsluit. Inkopers die S3NS overwegen, moeten in de aanbestedingsdocumenten expliciet vermelden dat SEAL-2 de geaccepteerde norm is en moeten onderbouwen waarom dat voldoende is voor de beoogde verwerkingen.
“De CLOUD Act en de Patriot Act creëren een structureel juridisch risico dat niet wordt opgeheven door contractuele waarborgen of Europese dataresidentie alleen. Technische soevereiniteit vereist dat sleutelbeheer en operationeel toezicht volledig buiten de jurisdictie van de VS vallen.”
Max Schrems, oprichter noyb (European Center for Digital Rights), position paper CLOUD Act en Europese cloudinkoop, 2023 (bron: noyb.eu)
Lessen uit de eerste EU-aanbesteding van soevereine clouddiensten (april 2026)
De aanbesteding die de Europese Commissie in april 2026 afrondde, met een geraamde waarde van 180 miljoen euro, gold als de eerste grootschalige EU-aanbesteding waarbij het SEAL-kader formeel als gunningsinstrument werd ingezet. De procedure leverde een aantal lessen op die direct overdraagbaar zijn naar andere aanbestedende diensten.
Ten eerste woog het criterium technologische onafhankelijkheid van niet-EU-jurisdicties voor 35 procent mee in de totale gunningsscore, zwaarder dan prijs (25 procent). Dit markeert een principiële verschuiving: soevereiniteit is geen bijzaak meer maar een volwaardig gunningscriterium naast economische aspecten. Ten tweede bleek de marktconsultatie die voorafging aan de aanbesteding onmisbaar: aanbieders als OVHcloud, Scaleway en STACKIT konden hun SEAL-3-conformiteit pas aantonen nadat de aanbestedende dienst in de voorbereidingsfase had geconcretiseerd welke bewijsdocumenten vereist waren (auditverslagen, eigendomsstructuurverklaringen, encryptie-architectuurschema’s). Ten derde leidde de eis van portabiliteit en uitwisselbaarheid (doelstelling 7 van het framework) tot marktbrede discussie: meerdere aanbieders konden niet aantonen dat klantdata exporteerbaar was zonder significante herbouwkosten, wat hun totaalscore drukte.
Vergelijking met nationale normenkaders: BIO2 en Cloud de Confiance
Het EU Cloud Sovereignty Framework opereert naast, niet in plaats van, nationale normenkaders. Voor Nederlandse aanbestedende diensten is de BIO2 de verplichte baseline. De BIO2 schrijft risicoklassen voor op basis van beschikbaarheid, integriteit en vertrouwelijkheid (BIV), maar bevat geen SEAL-equivalente schaalindeling. De praktische werkwijze is dan ook dat inkopers de BIO2-risicoklassificatie als input gebruiken voor de SEAL-eis: een verwerking die BIO2-klasse 3 (hoog) vereist, correspondeert doorgaans met SEAL-3.
Het Franse Cloud de Confiance, beheerd door ANSSI, werkt met een tweedeling: gecertificeerde aanbieders voldoen aan SecNumCloud-eisen, inclusief de eis van Europees eigendom en Europese technologie. Dit maakt Cloud de Confiance strenger dan SEAL-2 maar vergelijkbaar met SEAL-3. S3NS is in Frankrijk niet als Cloud de Confiance-aanbieder gekwalificeerd, juist vanwege de technologische afhankelijkheid van Google. Dat verschil illustreert hoe nationale kaders soevereiniteitseisen verder kunnen aanscherpen dan het EU-basisframework vereist.
| Kader | Beheerder | Toepassing | Europese eigendomseis | Equivalent SEAL-niveau |
|---|---|---|---|---|
| EU Cloud Sovereignty Framework v1.2.1 | Europese Commissie (DG DIGIT) | EU-breed, als inkoopinstrument | Vanaf SEAL-3 | SEAL-0 t/m SEAL-4 |
| BIO2 | CIP (Nederland) | Nederlandse overheid, verplicht | Niet expliciet, via risicoklasse | Risicoklasse 3 ≈ SEAL-3 |
| Cloud de Confiance (SecNumCloud) | ANSSI (Frankrijk) | Franse overheid en kritieke sectoren | Verplicht, ook technologisch | ≈ SEAL-3 |
Voor organisaties die in meerdere EU-lidstaten opereren, of die participeren in Europese aanbestedingen, is het verstandig het EU Cloud Sovereignty Framework als gemeenschappelijke noemer te hanteren en nationale kaders als aanvullende specificaties te behandelen. Dit voorkomt tegenstrijdige eisen in grensoverschrijdende aanbestedingsprocedures.
Europese cloudaanbieders vertegenwoordigen gezamenlijk circa 16 procent van de Europese publieke cloudmarkt (CISPE, 2023), terwijl meer dan 75 procent van de Europese overheidsorganisaties primair gebruik maakt van cloudinfrastructuur van Amerikaanse hyperscalers (European Court of Auditors, 2024). De Europese markt voor soevereine cloudoplossingen wordt desondanks geraamd op 114 miljard euro tegen 2028, een verdubbeling ten opzichte van 2023 (IDC Europe, 2024). Die groeiverwachting weerspiegelt de toenemende inkoopdruk die kaders als het EU Cloud Sovereignty Framework genereren.
FAQ: EU Cloud Sovereignty Framework inkoop beoordeling
Is SEAL-2 voldoende voor een Nederlandse gemeente die persoonsgegevens in de cloud verwerkt?
Voor basisverwerking van persoonsgegevens zonder bijzondere categorieën kan SEAL-2 toereikend zijn, mits de aanbieder ook voldoet aan de BIO2-eisen en aantoonbaar geen blootstelling heeft aan de CLOUD Act. Voor verwerkingen die betrekking hebben op kwetsbare groepen of gevoelige besluitvorming wordt SEAL-3 aangeraden.
Wat onderscheidt S3NS van een volledig soevereine Europese cloudaanbieder?
S3NS is een joint venture van Thales en Google Cloud waarbij Thales het operationele beheer en sleutelbeheer verzorgt, maar de onderliggende technologie afkomstig blijft van Google. Dit levert in het EU Cloud Sovereignty Framework hooguit SEAL-2 op, omdat de technologische afhankelijkheid van een Amerikaanse partij blijft bestaan. Volledig soevereine aanbieders als OVHcloud of Scaleway bouwen op eigen of open-source technologie en kunnen in beginsel SEAL-3 of SEAL-4 bereiken.
Hoe verhoudt het EU Cloud Sovereignty Framework zich tot de NIS-2-richtlijn?
NIS-2 (Richtlijn 2022/2555) stelt verplichtingen op het gebied van risicobeheer en incidentrapportage, maar schrijft geen specifiek cloudmodel voor. Het EU Cloud Sovereignty Framework vult NIS-2 aan door voor cloudinkoop te specificeren welk soevereiniteitsniveau passend is bij de risicocategorie van de organisatie. SEAL-niveaus kunnen direct worden opgenomen als aanvullende eis naast de NIS-2-conformiteitseisen in aanbestedingsdocumenten.
Kunnen aanbieders zoals STACKIT of CleverCloud een hoger SEAL-niveau claimen dan OVHcloud?
SEAL-niveaus worden niet door aanbieders zelf toegekend; ze vereisen een onafhankelijke beoordeling op basis van de criteria in het framework, waaronder juridische zetel, eigendomsstructuur, technologische onafhankelijkheid en operationeel beheer. STACKIT (dochter van Schwarz Gruppe) en CleverCloud opereren volledig vanuit Europees eigendom en op eigen infrastructuur, wat een SEAL-3-beoordeling in principe mogelijk maakt, maar de formele beoordeling door de inkopende organisatie of een onafhankelijke auditor is bepalend.
Wat was de doorslaggevende gunningsfactor in de EU-aanbesteding van april 2026?
Op basis van de openbaar gepubliceerde aanbestedingsdocumenten woog het criterium technologische onafhankelijkheid van niet-EU-jurisdicties voor 35 procent mee in de totale gunningsscore, zwaarder dan prijs (25 procent). Dit markeert een verschuiving waarbij soevereiniteit als gelijkwaardig criterium naast kwaliteit en prijs wordt behandeld, en zet een precedent voor andere aanbestedende diensten die het framework willen toepassen.
