Het CADA-cloudaanbestedingskader is het geheel van geharmoniseerde inkoopregels dat de Cloud and AI Development Act (COM(2026) 502) oplegt aan publieke organisaties in de Europese Unie bij de inkoop van clouddiensten. Het kader vervangt geen nationale aanbestedingswetgeving, maar legt daar een EU-brede soevereiniteitslaag overheen die bepaalt aan welke technische, juridische en transparantievereisten een aanbieder moet voldoen om überhaupt in aanmerking te komen voor overheidsopdrachten met betrekking tot cloudinfrastructuur en AI-diensten.
Reikwijdte: voor welke organisaties geldt CADA?
CADA richt zich op alle aanbestedende diensten in de zin van Richtlijn 2014/24/EU, de Europese Aanbestedingsrichtlijn. Dat omvat rijksoverheden, decentrale overheden zoals gemeenten en provincies, uitvoeringsorganisaties en door de overheid gefinancierde instellingen in de brede publieke sector. Sectoren als gezondheidszorg, onderwijs en justitie vallen expliciet onder de reikwijdte wanneer zij voor meer dan vijftig procent publiek worden gefinancierd.
De wet introduceert een drempelwaarde die aansluit bij de Europese aanbestedingsdrempels. Cloudcontracten boven de geldende drempel voor leveringen en diensten vallen automatisch onder het CADA-kader. Contracten daaronder kunnen door lidstaten vrijwillig onder hetzelfde regime worden gebracht, iets wat de wet uitdrukkelijk aanmoedigt via de Public Sector Cloud Federation (CADA Policy Measure 17). Via die federatie kunnen kleinere aanbestedende diensten gezamenlijk inkopen en zo voldoen aan de CADA-criteria zonder de volledige administratieve last individueel te dragen.
“Public procurement is one of the most powerful levers the EU has to reshape the cloud market. If we set the right criteria, we can shift billions in annual spending toward sovereign, trustworthy infrastructure.” (Margrethe Vestager, voormalig Europees Commissaris voor Mededinging en Digitaal Beleid)
Ter illustratie van de urgentie: de EU-overheidssector geeft jaarlijks naar schatting 14 miljard euro uit aan clouddiensten (Europese Commissie, Digital Decade Policy Programme tussenrapportage, 2024). Meer dan 75 procent van overheidsorganisaties in de EU maakt daarbij gebruik van cloudinfrastructuur van niet-Europese aanbieders (ENISA Cloud Cybersecurity Market Analysis, 2023). Tegelijkertijd neemt circa 65 procent van de Europese publieke cloudmarkt wordt ingenomen door drie Amerikaanse hyperscalers (European Parliament Research Service, 2023).
Verhouding tot bestaande regels en het Cloud III DPS
CADA werkt als een lex specialis bovenop Richtlijn 2014/24/EU. Nationale aanbestedingswetten, zoals de Nederlandse Aanbestedingswet 2012, blijven van kracht voor procedurele aspecten: termijnen, rechtsbescherming en publicatievereisten. CADA voegt daar inhoudelijke minimumeisen aan toe die niet door nationale wetgeving kunnen worden afgezwakt.
Het Cloud III Dynamic Purchasing System (Cloud III DPS) van de Europese Commissie, dat instellingen van de EU al gebruiken voor gecentraliseerde cloudinkoop, wordt onder CADA het referentiekader voor interinstitutionele inkoop. CADA verplicht lidstaten niet om het Cloud III DPS te gebruiken, maar stelt wel dat nationale equivalente systemen aan dezelfde selectie- en gunningscriteria moeten voldoen. Dat betekent dat aanbestedende diensten die werken met nationale raamovereenkomsten voor cloud, deze raamovereenkomsten moeten toetsen aan de CADA-criteria bij de eerstvolgende verlenging of aanpassing.
| Kenmerk | Richtlijn 2014/24/EU | Cloud III DPS (huidige praktijk) | CADA COM(2026) 502 |
|---|---|---|---|
| Procedurele basis | Ja, volledig | Ja, volgt richtlijn | Verwijst naar richtlijn |
| Soevereiniteitscriteria verplicht | Nee | Gedeeltelijk (facultatief) | Ja, verplicht minimum |
| SBOM-vereiste | Nee | Nee | Ja, verplicht bij inschrijving |
| EUCS-koppeling | Nee | Aanbevolen | Verplicht (Substantial of High) |
| Eigendomsstructuurverklaring | Nee | Nee | Ja, verplicht |
Sectorspecifieke EU-meerwaardecriteria en besteksvereisten
CADA introduceert een stelsel van gunningscriteria dat aanbestedende diensten verplicht mee te wegen naast prijs en kwaliteit. De wet noemt deze criteria “EU-meerwaardecriteria” en koppelt ze aan het EU Cloud Sovereignty Framework met zijn SEAL-niveaus. Elk SEAL-niveau correspondeert met een oplopende mate van soevereiniteitsgarantie, van SEAL-1 (basale gegevenslocatie in de EU) tot SEAL-3 (volledige operationele en juridische onafhankelijkheid van niet-EU-jurisdicties).
Voor sectoren met bijzondere risicoprofielen, zoals defensie, justitie, kritieke infrastructuur en de gezondheidszorg, stelt CADA een minimumvereiste van SEAL-2 of hoger. Dat betekent dat de aanbieder niet alleen gegevens in de EU opslaat, maar ook dat de juridische entiteit die de dienst levert, niet onderhevig is aan buitenlandse wetgeving met extraterritoriale werking, zoals de US CLOUD Act of de Chinese Data Security Law.
Inkoopafdelingen kunnen deze criteria vertalen naar concrete besteksvereisten door:
- In de selectiefase te vragen om een verklaring van eigendomsstructuur, inclusief uiteindelijke zeggenschaphouders (UBO’s) en de jurisdictie van de moederentiteit.
- In de gunningscriteria een weging op te nemen voor het behaalde EUCS-certificeringsniveau (Basic, Substantial of High) conform het ENISA EUCS-schema.
- Als contractuele bijlage een actuele SBOM te vereisen, bij voorkeur in een machine-leesbaar formaat zoals SPDX of CycloneDX, die bij elke majeure release wordt bijgewerkt.
- Een contractuele bepaling op te nemen die de aanbieder verplicht tot melding binnen 72 uur wanneer een buitenlandse overheid toegang vraagt tot gegevens van de aanbestedende dienst, in lijn met NIS-2-meldverplichtingen.
“ENISA’s cloud certification scheme provides the technical backbone for distinguishing genuinely sovereign services from those merely marketed as such. Without this backbone, procurement criteria remain hollow.” (Juhan Lepassaar, uitvoerend directeur ENISA)
Ondersteuning voor kleinere Europese cloudaanbieders
Een van de expliciete beleidsdoelen van CADA is het verlagen van de drempel voor kleinere en middelgrote Europese cloudaanbieders. In de huidige markt concentreren overheidsopdrachten zich sterk bij een handvol hyperscalers, deels omdat kleinere aanbieders de administratieve lasten van Europese aanbestedingen moeilijk kunnen dragen. CADA adresseert dit via twee mechanismen.
Ten eerste introduceert Policy Measure 17, de Public Sector Cloud Federation, een samenwerkingsmodel waarbij aanbestedende diensten gezamenlijk raamovereenkomsten sluiten en kleinere aanbieders zo toegang krijgen tot grotere contractvolumes zonder dat elke aanbieder afzonderlijk aan alle administratieve vereisten moet voldoen. Ten tweede verplicht CADA de Europese Commissie tot het publiceren van gestandaardiseerde vragenlijsten en documentsjablonen die ook kleinere aanbieders kunnen invullen zonder specialistische aanbestedingsjuristen in huis te hebben.
Tegelijkertijd stelt CADA hogere technische eisen door de EUCS-koppeling verplicht te maken. Kleinere aanbieders zonder EUCS-certificering zijn daardoor in het nadeel, tenzij lidstaten de overgangsperiode benutten om gecombineerde certificerings- en aanbestedingstrajecten te faciliteren. Nederland en Duitsland hebben in het kader van de Gaia-X initiatieven al verkennende gesprekken gevoerd over gezamenlijke certificeringsondersteuning voor nationale cloudproviders.
SBOM en eigendomsstructuurvereisten: wat moet er concreet in het bestek?
De SBOM-verplichting in CADA is geen symbolische eis. Aanbestedende diensten moeten bij inschrijving een actuele SBOM ontvangen en verifiëren of daarin componenten voorkomen die vallen onder buitenlandse exportcontrole, sanctieregelgeving of wetgeving met extraterritoriale werking. De SBOM moet minimaal de componenten, licenties, bekende kwetsbaarheden (CVE-referenties) en de herkomst van de softwarecomponenten bevatten.
Naast de SBOM verplicht CADA tot een eigendomsstructuurverklaring waarin de aanbieder de volledige zeggenschapsketen openbaart tot het niveau van de uiteindelijk belanghebbende. Als de moederentiteit of een aandeelhouder met meer dan vijfentwintig procent belang is gevestigd buiten de EU of onderhevig is aan wetgeving met extraterritoriale werking, kan de aanbestedende dienst dit als uitsluitingsgrond hanteren voor contracten waarbij bijzondere categorieën persoonsgegevens of staatsgeheimen zijn betrokken.
Wat moeten compliance officers en inkoopjuristen nu concreet doen?
Voor organisaties die nu al cloudcontracten hebben lopen, zijn de volgende stappen relevant, ongeacht de definitieve inwerkingtreding van CADA.
Begin met een contractinventarisatie. Breng in kaart welke cloudcontracten wanneer aflopen of verlengd worden. Contracten die binnen twee jaar aan verlenging toe zijn, vallen waarschijnlijk onder CADA bij die verlenging. Maak per contract een gap-analyse op de CADA-criteria: SBOM-beschikbaarheid, eigendomsstructuur, EUCS-certificeringsniveau en SEAL-niveau.
Voeg bij lopende contracten waar mogelijk een addendum toe dat de aanbieder verplicht tot proactieve informatieverstrekking over wijzigingen in eigendomsstructuur of toeleveringsketen. Dit is nu al verdedigbaar onder GDPR artikel 28, dat verwerkersovereenkomsten vereist met doorgifte-informatieverplichtingen.
Actualiseer de standaard inkoopsjablonen. De combinatie van SBOM-vereiste, eigendomsstructuurverklaring en EUCS-koppeling moet worden opgenomen in de programma’s van eisen en de conceptcontracten die de organisatie standaard gebruikt. Wacht niet op de definitieve CADA-tekst: de richting is duidelijk genoeg om nu te handelen.
Stel ten slotte een intern escalatieprotocol op voor het geval een cloudaanbieder meldt dat een buitenlandse overheid toegang vraagt tot organisatiegegevens. Dit protocol moet aansluiten op de NIS-2-meldverplichtingen en de GDPR-procedure voor datalekken, en moet bepalen wie binnen de organisatie bevoegd is tot beoordeling en reactie.
FAQ
Geldt het CADA-aanbestedingskader ook voor decentrale overheden zoals gemeenten en provincies?
Ja. CADA richt zich op alle aanbestedende diensten in de zin van de Aanbestedingsrichtlijn 2014/24/EU, inclusief gemeenten, provincies, uitvoeringsorganisaties en door de overheid gefinancierde instellingen. Kleinere aanbestedende diensten krijgen via de Public Sector Cloud Federation (CADA Policy Measure 17) toegang tot gezamenlijke inkoopcapaciteit, zodat de administratieve last beheersbaar blijft.
Wat is het verschil tussen een SEAL-niveau en een EUCS-certificeringsniveau?
Het ENISA EUCS-schema beoordeelt technische beveiligingsmaatregelen op drie niveaus: Basic, Substantial en High. De EU Cloud Sovereignty Framework SEAL-niveaus voegen daar juridisch-organisatorische soevereiniteitscriteria aan toe, zoals de vestigingsplaats van de juridische entiteit en de afwezigheid van buitenlandse jurisdictie-aanknopspunten. CADA koppelt minimumeisen aan een combinatie van beide, afhankelijk van de sector en het gevoeligheidsniveau van de gegevens.
Wat is een SBOM en waarom is dit relevant voor cloudaanbestedingen onder CADA?
Een Software Bill of Materials is een gestructureerde inventaris van alle softwarecomponenten, bibliotheken en afhankelijkheden in een cloudoplossing. CADA verplicht aanbieders tot het aanleveren van een SBOM bij inschrijving, zodat aanbestedende diensten kunnen verifiëren of er componenten aanwezig zijn die onderhevig zijn aan buitenlandse wetgeving, zoals de US CLOUD Act, of die bekende kwetsbaarheden bevatten.
Hoe verhoudt CADA zich tot NIS-2 en GDPR voor compliance officers?
CADA, NIS-2 en GDPR vullen elkaar aan maar overlappen niet volledig. GDPR regelt de rechtmatigheid van gegevensverwerking en doorgifte; NIS-2 stelt eisen aan beveiligingsmaatregelen en incidentrapportage; CADA regelt via aanbestedingscriteria welke aanbieders überhaupt in aanmerking komen voor overheidsopdrachten. Een aanbieder kan GDPR-conform zijn maar toch niet voldoen aan CADA’s SBOM- of eigendomsstructuurvereisten.
Moeten lopende cloudcontracten worden opgezegd als ze niet voldoen aan CADA?
CADA bevat overgangsbepalingen. Lopende contracten hoeven niet direct te worden beëindigd, maar bij verlenging of heronderhandeling moet worden getoetst aan de nieuwe eisen. Compliance officers doen er verstandig aan nu al een gap-analyse te maken van bestaande contracten op de CADA-criteria, zodat er bij het eerstvolgende contractmoment een overgangsplan klaarligt.
