EURO-3C Europese edge cloud infrastructuur soevereiniteit verwijst naar de technische en juridische architectuur waarbij Europese data wordt verwerkt op gedistribueerde, federatief verbonden edge-nodes die uitsluitend onder Europese jurisdictie vallen. Het EURO-3C-project, gefinancierd met 75 miljoen euro vanuit het Horizon Europe-programma, is de meest concrete Europese poging om die architectuur operationeel te maken via een samenwerking van telecomaanbieders, cloudoperators en onderzoeksinstellingen.
Wat is EURO-3C en waarom is het anders dan bestaande cloudoplossingen
EURO-3C staat voor “European Telco-Edge-Cloud” en is een grootschalig onderzoeks- en infrastructuurproject dat een federatief netwerk van edge-cloudnodes bouwt over heel Europa. Waar bestaande cloudoplossingen van hyperscalers als Microsoft Azure, Google Cloud of Amazon Web Services data concentreren in grote, gecentraliseerde datacenters, verplaatst EURO-3C de rekenkracht naar de rand van het netwerk: dicht bij de gebruiker, dicht bij de data en onder jurisdictie van de lidstaat waar die data ontstaat.
Het project brengt Europese telecomaanbieders, edge-cloudoperators en universiteiten samen in een gedeeld interoperabiliteitskader. Deelnemers delen geen infrastructuur in de traditionele zin, maar werken met gestandaardiseerde API’s, identiteitsmanagement en trust-protocollen die onderling uitwisseling van workloads mogelijk maken zonder controle af te staan aan een centrale partij buiten Europa. Commerciële Europese aanbieders zoals OVHcloud en Scaleway kunnen als deelnemende operators binnen dit federatieve kader functioneren, maar het EURO-3C-project zelf is gericht op de standaarden en soevereiniteitswaarborgen die het hele ecosysteem schragen.
Jurisdictionele risico’s van gecentraliseerde hyperscaler-diensten
De kern van het probleem met publieke hyperscaler-diensten voor Europese overheids- en juridische organisaties is niet primair een technisch risico, maar een juridisch-structureel risico. De Amerikaanse CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) staat Amerikaanse autoriteiten toe om via een rechterlijk bevel data op te vragen bij Amerikaanse technologiebedrijven, ook als die data fysiek in een Europees datacenter staat. Zelfs Microsoft Azure Duitsland of Google Cloud met EU-contracten bieden geen absolute bescherming zolang de moedermaatschappij Amerikaans eigendom is.
Thierry Breton, voormalig Europees Commissaris voor de Interne Markt, formuleerde het scherp: “Digitale soevereiniteit betekent dat Europa de capaciteit heeft om zijn eigen digitale toekomst vorm te geven, onafhankelijk van externe technologische afhankelijkheden.” Die afhankelijkheid is voor veel Europese organisaties nog steeds acuut.
Meer dan 80 procent van de Europese organisaties verwerkt gevoelige data via aanbieders die onder buitenlandse jurisdictie vallen, zo signaleerde ENISA in haar rapportage over cloudbeveiliging voor kritieke infrastructuur (ENISA, 2023). Voor rechtbanken, gemeenten en zorgorganisaties die werken met privacygevoelige of staatsgeheime informatie is dit een direct complianceprobleem onder de AVG (Verordening EU 2016/679) en de NIS-2-richtlijn (Richtlijn EU 2022/2555).
Voordelen van gedistribueerde edge-cloud voor gereguleerde sectoren
Een gedistribueerde edge-cloudarchitectuur zoals EURO-3C biedt gereguleerde organisaties drie concrete voordelen ten opzichte van gecentraliseerde hyperscaler-diensten: jurisdictionele controle, latentiereductie en verhoogde weerbaarheid.
ENISA omschrijft het als volgt in haar rapport over edge computing: “Edge computing brengt rekenkracht en dataverwerking naar de plek waar data ontstaat, waardoor zowel latentie als jurisdictionele risico’s worden verkleind.” Dit is geen theoretische stelling. Voor een rechtbank die werkt met realtime audio-transcriptie van zittingen, of een gemeente die camerabeelden verwerkt voor publieke veiligheid, maakt lokale verwerking het verschil tussen werkbare en onwerkbare systemen. Tegelijkertijd blijft de data buiten het bereik van externe juridische claims.
| Kenmerk | Gecentraliseerde hyperscaler | EURO-3C federatieve edge-cloud |
|---|---|---|
| Juridische jurisdictie | VS (CLOUD Act van toepassing) | Europese lidstaat waar node staat |
| Datalocatie | Grote centrale datacenters, soms in regio EU | Edge-node dicht bij gebruiker, binnen EU |
| Latentie | Afhankelijk van datacenterafstand | Laag door nabijheid van verwerking |
| Eigendomsstructuur | Amerikaans of buiten-Europees bedrijf | Europese telecom- of cloudoperator |
| Interoperabiliteit | Vendor lock-in via propriëtaire API’s | Open standaarden, federatief kader |
Overheids- en juridische organisaties als primaire doelgroep
Gemeenten, rechtbanken, notarissen, advocatenkantoren en publieke zorginstellingen zijn de organisaties waarvoor EURO-3C-infrastructuur het meest direct relevant is. Zij vallen onder strenge sectorale wetgeving, verwerken persoonsgegevens van burgers en zijn in veel gevallen aangemerkt als “essentiële entiteiten” onder NIS-2, waarvoor strengere beveiligingseisen gelden.
De NIS-2-richtlijn (EU 2022/2555), waarvan de omzettingsdeadline voor lidstaten oktober 2024 was, verplicht essentiële en belangrijke entiteiten onder meer tot het treffen van technische en organisatorische maatregelen voor de beveiliging van netwerk- en informatiesystemen, inclusief de beheersing van risico’s in de toeleveringsketen. Een rechtbank die haar zaakbeheersysteem draait op een hyperscaler waarvan de moedermaatschappij onder de CLOUD Act valt, heeft een aantoonbaar toeleveringsketenrisico dat moeilijk te mitigeren is zolang die afhankelijkheid structureel blijft.
EURO-3C-infrastructuur adresseert dit door de verwerking te beleggen bij een Europese telecomoperator die deelneemt aan de federatie, met contractuele en technische garanties over data-locatie en toegangsbeheer die aansluiten op het GAIA-X Trust Framework. Voor kleinere gemeenten of rechtbanken is dit bovendien toegankelijker dan een volledig on-premise alternatief, omdat zij kunnen aansluiten via regionale telecompartners zonder zelf grote datacenterinvesteringen te doen.
Compliance-eisen voor deelname aan gefedereerde Europese cloudinfrastructuren
Aansluiting op of deelname aan EURO-3C-compatibele infrastructuur stelt concrete eisen aan organisaties. Vanuit complianceperspectief zijn dit de voornaamste lagen.
De eerste laag is het GAIA-X Trust Framework. GAIA-X, de Europese digitale infrastructuurassociatie, heeft een Trust Framework ontwikkeld dat beschrijft welke eisen aanbieders en gebruikers moeten naleven op het gebied van transparantie, data-locatie, toegangsbeheer en interoperabiliteit. EURO-3C sluit hierop aan en hanteert de GAIA-X-federatieprincipes als basis voor de interoperabiliteit tussen deelnemende nodes.
De tweede laag is de AVG. Elke organisatie die persoonsgegevens verwerkt, moet kunnen aantonen dat die verwerking plaatsvindt op een rechtmatige grondslag en dat de data niet wordt doorgegeven aan landen buiten de EER zonder passende waarborgen. Verwerking op EURO-3C-compatibele Europese edge-nodes voldoet aan deze eis, mits de contractuele relatie met de operator correct is ingericht via een verwerkersovereenkomst conform artikel 28 AVG.
De derde laag is de NIS-2-richtlijn voor essentiële en belangrijke entiteiten. Zij moeten toeleveringsketenrisico’s in kaart brengen en beheersen. Gebruik van EURO-3C-infrastructuur vereist documentatie van de gehele keten, van het edge-node-beheer tot de federatieve verbindingen.
EURO-3C in verhouding tot GAIA-X en de CADA-soevereiniteitsniveaus
EURO-3C, GAIA-X en de CADA zijn geen concurrerende initiatieven maar aanvullende lagen in het Europese soevereiniteitslandschap. GAIA-X levert het federatieve vertrouwenskader en de interoperabiliteitsnormen. EURO-3C levert de concrete technische infrastructuur en de Telco-Edge-integratie. De CADA biedt het juridische kader dat soevereiniteitsniveaus definieert voor cloud- en AI-diensten die door Europese overheden worden ingekocht of gebruikt.
Waar GAIA-X primair een normatief en governancekader is, is EURO-3C een operationeel infrastructuurproject dat die normen implementeert in een netwerk van fysieke edge-nodes en telecomverbindingen. Dat maakt EURO-3C concreter bruikbaar voor organisaties die niet alleen een certificering willen, maar daadwerkelijk willen overstappen naar soevereine verwerking van operationele workloads.
De CADA-soevereiniteitsniveaus stellen eisen aan drie dimensies: waar data wordt opgeslagen, wie er juridisch toegang toe kan vorderen, en wie de operationele controle heeft. EURO-3C is gebouwd om aan de strengste combinatie van die dimensies te voldoen: Europese opslag, Europese juridische jurisdictie en Europees beheer. Daarmee positioneert het project zich als de infrastructurele ruggengraat voor organisaties die het hoogste CADA-soevereiniteitsniveau willen bereiken, iets wat met bestaande hyperscaler-diensten structureel onmogelijk is zolang die bedrijven onder Amerikaanse jurisdictie vallen.
Praktische stappen voor compliance officers en IT-beslissers
Voor compliance officers en IT-beslissers in overheids- en juridische organisaties is de concrete vraag hoe zij van de huidige situatie naar een EURO-3C-compatibele omgeving komen. De richting is helder: inventariseer welke workloads en datasets het hoogste jurisdictionele risico dragen, toets de huidige aanbieders op eigendomsstructuur en toepasselijke wetgeving, en breng in kaart welke regionale telecomoperators deelnemen aan de EURO-3C-federatie of het GAIA-X Trust Framework.
Migratie van Microsoft 365 naar een soevereine werkruimte, bijvoorbeeld gebaseerd op Nextcloud op Europese on-premise of edge-cloud infrastructuur, is een veelgekozen stap. Die migratie raakt aan documentbeheer, e-mail, videovergaderen en identiteitsbeheer. Elk van die componenten moet worden getoetst op de jurisdictionele positie van de verwerker. Binnen een EURO-3C-compatibele omgeving kunnen al deze componenten worden geborgd op Europese nodes, met contractuele verankering via AVG-verwerkersovereenkomsten en aansluiting op het GAIA-X Trust Framework.
De combinatie van NIS-2-verplichtingen, AVG-vereisten en de aankomende CADA-niveaus maakt het voor gereguleerde organisaties steeds minder een strategische keuze en steeds meer een complianceverplichting om data-soevereiniteit structureel te borgen. EURO-3C biedt daarvoor de infrastructurele basis die gecentraliseerde hyperscaler-diensten niet kunnen leveren.
Veelgestelde vragen
Wat onderscheidt EURO-3C van gewone Europese clouddiensten zoals OVHcloud of Scaleway?
EURO-3C is geen commerciële clouddienst maar een door Horizon Europe gefinancierd onderzoeks- en infrastructuurproject dat een federatief raamwerk bouwt voor telecom-aanbieders en edge-nodes. OVHcloud en Scaleway zijn commerciële aanbieders die binnen dat raamwerk kunnen opereren, maar het EURO-3C-project zelf richt zich op de onderliggende interoperabiliteitsstandaarden en soevereiniteitswaarborgen voor het hele ecosysteem.
Valt data op EURO-3C-infrastructuur buiten het bereik van de Amerikaanse CLOUD Act?
Wanneer data uitsluitend verwerkt en opgeslagen wordt op infrastructuur van Europese aanbieders zonder Amerikaanse moedermaatschappij, eigendom of personeel met US-persoon-status, valt die data in principe buiten het bereik van de CLOUD Act. EURO-3C stelt als architectuureis dat deelnemende nodes onder Europese jurisdictie vallen. Organisaties dienen dit contractueel te borgen en juridisch te laten toetsen per specifieke situatie.
Wat zijn de minimale compliance-eisen om aan te sluiten op een gefedereerde Europese cloudinfrastructuur?
Deelnemende organisaties moeten voldoen aan het GAIA-X Trust Framework, inclusief de verplichting tot transparantie over data-locatie, toegangsbeheer en verwerkers. Daarnaast gelden de AVG (GDPR), de NIS-2-richtlijn (EU 2022/2555) voor sectoren die als essentieel of belangrijk zijn aangemerkt, en afhankelijk van de sector aanvullende sectorale eisen zoals de BIO (Baseline Informatiebeveiliging Overheid) in Nederland.
Hoe verhouden de CADA-soevereiniteitsniveaus zich tot wat EURO-3C biedt?
De voorgestelde Cloud and AI Development Act (CADA) definieert meerdere soevereiniteitsniveaus op basis van data-locatie, juridische jurisdictie en operationele controle. EURO-3C-infrastructuur is ontworpen om te voldoen aan de hogere soevereiniteitsniveaus van dit kader, waarbij verwerking plaatsvindt op Europese edge-nodes zonder afhankelijkheid van niet-Europees eigendom of beheer.
Is EURO-3C ook relevant voor kleinere gemeenten of rechtbanken, of alleen voor grote overheidsinstanties?
Het gedistribueerde karakter van EURO-3C maakt het juist toegankelijk voor kleinere entiteiten. Omdat verwerking plaatsvindt op edge-nodes dicht bij de gebruiker, hoeven gemeenten of rechtbanken geen grootschalige eigen datacenterinvestering te doen. Zij kunnen aansluiten via regionale telecompartners die deelnemen aan de federatie, mits die partners voldoen aan de Trust Framework-eisen.
