Soevereine cloudprocurement is het inkoopproces waarbij een organisatie bewust kiest voor clouddiensten die juridisch, technisch en organisatorisch buiten het bereik vallen van buitenlandse overheidsbevoegdheden, met name de Amerikaanse CLOUD Act en FISA Section 702. De kwalificatie ‘soeverein’ is geen productlabel, maar een juridische toestand die via contracten, eigendomsstructuren en auditrechten aantoonbaar gemaakt moet worden. Voor compliance officers en IT-beslissers in de publieke sector, de juridische sector en gereguleerde industrieën is dit onderscheid bepalend voor hun aansprakelijkheid onder NIS-2 en de AVG.
Waarom ‘Europese dataopslag’ bij een Amerikaans bedrijf onvoldoende is
De jurisdictie van een cloudleverancier wordt bepaald door de eigendomsstructuur, niet door de locatie van de servers. Zolang een aanbieder een Amerikaanse rechtspersoon is of een Amerikaanse moedermaatschappij heeft, geldt de CLOUD Act ongeacht waar de data fysiek staat opgeslagen.
Circa 65 tot 70 procent van de West-Europese publieke cloudmarkt bevindt zich in handen van de drie Amerikaanse hyperscalers AWS, Microsoft Azure en Google Cloud (Synergy Research Group, 2023). Dit marktaandeel betekent dat de meerderheid van Europese organisaties vandaag data host bij bedrijven die wettelijk verplicht kunnen worden tot medewerking aan Amerikaanse inlichtingen- en opsporingsverzoeken, ook zonder kennisgeving aan de betrokken organisatie of haar klanten.
NIS-2 artikel 21 stelt expliciet dat entiteiten risicobeheermaatregelen moeten treffen voor hun toeleveringsketen, inclusief cloudleveranciers. ENISA verduidelijkte in haar NIS-2-implementatiegids: “De NIS-2-richtlijn verplicht organisaties expliciet tot het beheersen van risico’s in de toeleveringsketen, inclusief cloudleveranciers. Dat is geen inspanningsverplichting, maar een resultaatverplichting.” Het inschakelen van een leverancier die onder buitenlandse dwangbevelen kan vallen, zonder dit risico contractueel te mitigeren, vormt daarmee een directe schending van NIS-2.
Het EU Cloud Sovereignty Framework en bestaande inkoopkaders
Het EU Cloud Sovereignty Framework (versie 1.2.1) van de Europese Commissie definieert vier soevereiniteitsdimensies: operationele soevereiniteit, juridische soevereiniteit, technische soevereiniteit en financiële soevereiniteit. Dit kader dient als referentie bij leveranciersselectie, maar is geen bindend juridisch instrument.
In de praktijk werken Europese inkopers met drie aanvullende kaders die wél normatief zijn:
| Kader | Bindend voor | Relevantie voor soevereiniteit |
|---|---|---|
| EUCS (EU Cybersecurity Certification Scheme for Cloud Services) | Vrijwillig, maar vereist door bepaalde aanbestedingen | Niveau ‘Hoog’ sluit aanbieders met buitenlandse juridische blootstelling uit |
| BIO2 (Baseline Informatiebeveiliging Overheid) | Verplicht voor Nederlandse overheidslagen | Stelt eisen aan toegangsbeheer en incidentrespons; dekt jurisdictie niet automatisch af |
| Cloud III DPS (Dynamic Purchasing System) | Aanbestedingsinstrument voor Rijksoverheid | Leveranciers in het systeem zijn voorgeselecteerd op basiskwalificaties; soevereiniteitscriteria moeten afzonderlijk worden gesteld |
Het EUCS ‘Hoog’-niveau is op dit moment het enige gecertificeerde kader dat eisen stelt aan de eigendomsstructuur en de juridische blootstelling van een aanbieder. Marietje Schaake, Tech Policy Director aan het Cyber Policy Center van Stanford University en voormalig Europarlementariër, verwoordde het als volgt: “Sovereignty is not a feature you buy; it is a legal and operational status you must verify through contract, audit and ownership structure.”
Onmisbare contractuele clausules bij soevereine cloudprocurement
Een robuust soeverein cloudcontract bevat ten minste de volgende contractuele bepalingen, die elk een specifiek juridisch risico afdekken.
Jurisdictieclausules en rechtskeuze
De overeenkomst moet uitdrukkelijk vastleggen dat uitsluitend het recht van een EU-lidstaat of een gelijkwaardig derde land (zoals Zwitserland) van toepassing is, en dat de leverancier geen medewerking verleent aan bevelen van niet-EU-autoriteiten zonder voorafgaande rechterlijke toetsing in de toepasselijke EU-jurisdictie. Een verplichting tot onmiddellijke melding aan de verwerkingsverantwoordelijke bij ontvangst van een buitenlands gerechtelijk bevel is eveneens essentieel.
Eigendomsstructuurverklaring
De leverancier dient te garanderen dat geen enkele entiteit in de eigendomsketen onderworpen is aan de CLOUD Act, FISA Section 702 of vergelijkbare wetgeving. Deze verklaring moet periodiek worden herbevestigd, bijvoorbeeld jaarlijks, en bij wijziging in de eigendomsstructuur direct worden gemeld.
Technische toegangsbeperkingen
Het contract moet specificeren dat encryptiesleutels uitsluitend in beheer zijn van de klant of een door de klant aangewezen Europese sleutelbeheerder, dat de leverancier technisch geen plaintext-toegang heeft tot klantdata, en dat logging van alle administratieve toegang beschikbaar is voor de klant.
Due diligence: soevereiniteit voorbij de marketingclaims
Compliance officers moeten bij de beoordeling van soevereiniteitsclaims een gestructureerde due diligence doorlopen. Marketingtermen als ‘sovereign cloud’, ‘EU-only’ of ‘GDPR-compliant’ zijn niet juridisch gedefinieerd en zeggen niets over de werkelijke jurisdictionele blootstelling.
De due diligence omvat ten minste:
- Verificatie van de volledige eigendomsketen via publieke registers (Kamer van Koophandel, relevante buitenlandse registers) tot op het niveau van uiteindelijk belanghebbenden (UBO).
- Opvragen van actuele auditrapportages: ISO 27001, SOC 2 Type II en, waar beschikbaar, EUCS-certificering. Let op de reikwijdte van de audit: een SOC 2-rapport van een dochteronderneming dekt de moedermaatschappij niet.
- Contractuele vastlegging van auditrechten: de organisatie moet het recht hebben om zelf of via een aangewezen derde periodiek audits uit te voeren op relevante technische en organisatorische maatregelen.
- Beoordeling van transparantierapportages: vraag of de aanbieder een jaarlijks transparantierapport publiceert over ontvangen overheidsverzoeken tot gegevensverstrekking.
- Subverwerkers: elke subverwerker moet dezelfde jurisdictionele eisen vervullen als de hoofdleverancier. De lijst van subverwerkers moet contractueel actueel gehouden worden en wijzigingen moeten vooraf worden gemeld.
ENISA rapporteerde in 2023 meer dan 220 significante ransomware-incidenten gericht op Europese publieke sector organisaties (ENISA Threat Landscape 2023). Een deel van deze incidenten betrof organisaties die wel een cloudcontract hadden, maar geen afdwingbare back-up- en herstelverplichtingen hadden vastgelegd.
Exitclausules en dataportabiliteit conform de EU Data Act
De EU Data Act (Verordening (EU) 2023/2854, artikelen 23 tot en met 31) legt cloudaanbieders expliciete verplichtingen op rondom dataportabiliteit en switching. In de contractpraktijk zijn deze wettelijke rechten echter nog niet altijd adequaat uitgewerkt.
Een exitclausule die aan de EU Data Act voldoet, bevat minimaal:
- Een maximale exporttermijn van 30 dagen na opzegging (wettelijk maximum conform artikel 25 EU Data Act).
- Specificatie van het exportformaat: open, gedocumenteerde en machineleesbare formaten zonder proprietaire afhankelijkheden.
- Een schriftelijke bevestiging van volledige verwijdering van klantdata na afloop van de exporttermijn.
- Functionele portabiliteit: de data moet niet alleen exporteerbaar zijn, maar ook zonder buitensporige inspanning importeerbaar in een alternatief systeem. Dit vereist afspraken over API-documentatie en migratieondersteuning.
- Een transitieperiode van minimaal drie maanden na opzegging, waarbij de leverancier technische ondersteuning biedt bij de migratie.
Bij aanbesteding via Cloud III DPS verdient het aanbeveling exitcriteria al in de programma’s van eisen op te nemen, zodat aanbieders bij inschrijving al een concrete exitprocedure aanleveren die technisch getoetst kan worden.
SLA-vereisten: realistische verwachtingen voor soevereine aanbieders
Soevereine Europese cloudaanbieders kunnen voor standaard beschikbaarheid (uptime) vergelijkbare garanties bieden als hyperscalers, maar het ecosysteem rondom de SLA verschilt substantieel. Hyperscalers bieden geautomatiseerde failover over meerdere continenten; soevereine aanbieders werken met geografisch beperkte redundantiezones, doorgaans binnen één of twee EU-landen.
Realistische SLA-parameters voor soevereine aanbieders in reguliere bedrijfsomgevingen zijn een beschikbaarheid van 99,5 procent voor kritieke systemen, met een aanvullende Business Continuity Agreement (BCA) die de hersteltiijdsdoelstelling (RTO) en herstelpuntdoelstelling (RPO) vastlegt. Cruciaal is dat SLA’s niet alleen percentages vermelden, maar ook boeteclausules bij niet-nakoming en een escalatieprotocol bij incidenten bevatten. SLA’s zonder financiële consequenties bij schending zijn in de praktijk niet meer dan een inspanningsverplichting.
Organisaties die NIS-2 artikel 21 naleven, dienen in hun SLA-documentatie te kunnen aantonen dat continuïteits- en herstelmaatregelen contractueel zijn verankerd bij hun cloudleverancier. Dit geldt ook voor organisaties die BIO2 toepassen: de BIO2-maatregelen voor bedrijfscontinuïteit (gebaseerd op ISO 27001 A.17) vereisen dat herstelcapaciteit periodiek wordt getest en dat testresultaten worden gedocumenteerd.
Praktische leveranciersselectie: van kader naar contract
De combinatie van het EU Cloud Sovereignty Framework (versie 1.2.1) als referentiekader, EUCS als certificeringsstandaard, BIO2 als Nederlands normatief kader en Cloud III DPS als aanbestedingsinstrument schept een gelaagde methodiek voor leveranciersselectie. In de praktijk werkt dit als volgt:
Eerst stelt de organisatie haar soevereiniteitsvereisten vast op basis van de vier dimensies uit het EU Cloud Sovereignty Framework. Vervolgens worden deze vereisten vertaald naar minimumeisen in de aanbestedingsdocumentatie, waarbij EUCS ‘Hoog’ als drempeleis geldt voor overheidsorganisaties met gevoelige data. BIO2-conformiteit wordt verlangd als baseline voor alle Nederlandse overheidslagen. Ten slotte worden de contractuele clausules, exitregelingen en auditrechten als afdwingbare bepalingen in de overeenkomst opgenomen, niet als bijlage of ‘best efforts’-formulering.
Veelgestelde vragen
Wat maakt een cloudcontract juridisch ‘soeverein’ ten opzichte van de CLOUD Act?
Een contract is pas juridisch beschermd als de aanbieder geen Amerikaanse rechtspersoon is en geen Amerikaanse moedermaatschappij heeft. Een ‘European data residency’-optie bij een Amerikaans bedrijf biedt geen bescherming, omdat de verplichting tot medewerking aan Amerikaanse gerechtelijke bevelen voortvloeit uit de eigendomsstructuur, niet uit de opslaglocatie.
Hoe verschilt EUCS ‘Hoog’-niveau van lagere niveaus bij leveranciersselectie?
Het EUCS ‘Hoog’-niveau vereist dat de aanbieder aantoonbaar geen toegang verleent aan autoriteiten buiten de EU. Lagere niveaus (Basis en Substantieel) stellen geen eisen aan jurisdictie of eigendomsstructuur. Voor overheidsorganisaties en sectoren onder NIS-2 is het Hoog-niveau daarmee de enige betekenisvolle drempeleis bij soevereine inkoop.
Wat moet een exitclausule minimaal bevatten conform de EU Data Act?
Op grond van artikelen 23 tot en met 31 van de EU Data Act moet een exitclausule vastleggen: de maximale exporttermijn (wettelijk maximum 30 dagen na opzegging), het dataformaat (open en machineleesbaar), een verwijderingsbevestiging door de aanbieder, en functionele dataportabiliteit zodat overstap naar een andere aanbieder technisch uitvoerbaar is.
Welke rol speelt BIO2 bij de inkoop van clouddiensten door Nederlandse overheidsorganisaties?
BIO2 is het verplichte normenkader voor alle Nederlandse overheidslagen en schrijft voor dat cloudleveranciers moeten voldoen aan beheersmaatregelen voor toegangsbeheer, gegevensclassificatie en incidentrespons. BIO2 sluit echter niet automatisch uit dat een aanbieder onder buitenlandse jurisdictie valt; dat vereist aanvullende contractuele bepalingen.
Zijn SLA’s van soevereine Europese cloudaanbieders vergelijkbaar met die van hyperscalers?
Voor standaard beschikbaarheid zijn Europese soevereine aanbieders veelal vergelijkbaar. Het verschil zit in het ecosysteem: hyperscalers bieden meer geautomatiseerde failover-opties en globale redundantie, terwijl Europese aanbieders doorgaans kleinere, geografisch beperkte redundantiezones hebben. Realistisch haalbaar is 99,5 procent voor kritieke systemen, mits contractueel met boeteclausules vastgelegd.
