Het CADA Cloud Sovereignty Framework, vastgelegd in Europese Commissiedocument COM(2026) 502, is een gestructureerd beoordelingsinstrument met 48 criteria verdeeld over acht soevereiniteitsdoelstellingen. Het framework introduceert SEAL-niveaus (SEAL-0 tot en met SEAL-4) als scoringsmodel voor de mate van cloudsoevereiniteit bij inkoop van clouddiensten. Hoewel het primair is ontwikkeld voor publieke aanbestedingen, biedt het ook private organisaties in gereguleerde sectoren een bruikbaar en citeerbaar kader voor leveranciersselectie.
Opbouw van de 48 criteria en acht soevereiniteitsdoelstellingen
Het CADA-framework structureert soevereiniteit niet als een binaire eigenschap, maar als een gelaagd spectrum. De acht soevereiniteitsdoelstellingen beslaan achtereenvolgens: datalocatie en residency, juridische jurisdictie, toegangscontrole door derden, operationele onafhankelijkheid, portabiliteit en uitwisselbaarheid, transparantie en auditbaarheid, versleuteling en sleutelbeheer, en continuïteitsgaranties.
Binnen deze acht clusters wegen de criteria rondom juridische jurisdictie en sleutelbeheer het zwaarst in de totaalscore. De reden is dat datalocatie op zichzelf onvoldoende bescherming biedt: een server die fysiek in Amsterdam staat maar wordt geëxploiteerd door een dochteronderneming van een Amerikaans bedrijf, valt alsnog onder de reikwijdte van de US CLOUD Act (18 U.S.C. § 2713) en de Foreign Intelligence Surveillance Act. Het CADA-framework benoemt dit expliciet als jurisdictioneel restrisico dat losstaat van fysieke locatie.
SEAL-niveaus als intern scoringsinstrument voor de private sector
Het SEAL-scoringssysteem is in de eerste plaats ontworpen voor het Cloud III Dynamic Purchasing System (Cloud III DPS), het dynamisch aankoopsysteem dat overheidsdiensten in het Verenigd Koninkrijk en vergelijkbare EU-lidstaten gebruiken bij cloudinkoop. Maar het model heeft een bredere toepasbaarheid.
Private organisaties kunnen de SEAL-schaal gebruiken als intern wegingsmodel bij een Request for Information (RFI) of Request for Proposal (RFP). De vijf niveaus lopen van SEAL-0 (geen soevereiniteitsvereisten, standaard publieke cloud) naar SEAL-4 (volledige technische en juridische soevereiniteit, met door de klant beheerde encryptiesleutels en een exploitant zonder niet-EU-moedermaatschappij). Voor de meeste compliance-gedreven organisaties in de private sector geldt SEAL-2 of SEAL-3 als realistische doelstelling.
| SEAL-niveau | Kernvereisten | Typische doelgroep |
|---|---|---|
| SEAL-0 | Geen bijzondere soevereiniteitsvereisten | Niet-gevoelige bedrijfsapplicaties |
| SEAL-1 | Data-residency EU, basisdocumentatie aanwezig | Algemeen bedrijfsgebruik |
| SEAL-2 | Geen niet-EU-toegang, EU-jurisdictie exploitant | Financiën, HR-data, klantdata |
| SEAL-3 | Geen niet-EU-eigendomsstructuur, operationele onafhankelijkheid | Zorg, juridische dienstverlening, overheid |
| SEAL-4 | Klantbeheerde sleutels, volledige technische en juridische soevereiniteit | Kritieke infrastructuur, defensie, staatsgeheimen |
Criteria specifiek relevant voor gereguleerde sectoren
Van de 48 criteria zijn er een tiental bijzonder relevant voor organisaties in financiën, zorg en juridische dienstverlening. In de financiële sector zijn dat de criteria rondom auditbaarheid en toegangsprotocollen, die aansluiten bij DORA (Verordening (EU) 2022/2554) en de EBA-richtsnoeren voor uitbesteding aan clouddienstverleners. In de zorg zijn criteria rondom dataclassificatie en bijzondere categorieën persoonsgegevens (AVG artikel 9) direct relevant, evenals vereisten voor versleuteling in rust en tijdens transport.
Voor juridische dienstverleners zijn criteria 14 tot en met 19 van het framework het meest kritiek. Deze criteria betreffen de juridische onmogelijkheid voor de cloudleverancier om zonder expliciete toestemming van de klant data te verstrekken aan buitenlandse autoriteiten. Dit raakt rechtstreeks aan het beroepsgeheim en aan de verplichtingen onder de Advocatenwet. Een advocatenkantoor dat Microsoft Azure of Amazon Web Services gebruikt zonder additionele contractuele en technische maatregelen, kan op grond van de CLOUD Act worden geconfronteerd met een verzoek dat zonder kennisgeving aan de klant wordt uitgevoerd.
Relatie met ISO 27001, ISAE 3402 en EUCS-niveaus
Het CADA-framework vervangt bestaande certificeringen niet, maar positioneert zich als een aanvullende jurisdictionele en soevereiniteitslaag. ISO 27001 en ISAE 3402 (SOC 2) meten primair of een organisatie haar eigen informatiebeheersprocessen beheerst. Ze zeggen niets over of een leverancier juridisch gedwongen kan worden data over te dragen aan een derde autoriteit zonder medeweten van de klant.
Het EUCS (EU Cybersecurity Certification Scheme for Cloud Services), beheerd door ENISA, kent drie niveaus: Basic, Substantial en High. EUCS High is de meest vergelijkbare standaard voor SEAL-3 en SEAL-4, maar de nadruk ligt op technische beveiligingscontroles. EUCS bevat in de huidige versie geen expliciete uitsluiting van leveranciers met een niet-EU-eigendomsstructuur, wat een politiek gevoelig punt is gebleven in de totstandkoming. CADA COM(2026) 502 vult dit gat expliciet op door eigendomsstructuur als afzonderlijk criterium op te nemen.
“The EUCS high level is specifically designed for sensitive data and critical infrastructure, making it the baseline for any serious cloud sovereignty assessment in regulated sectors.” (ENISA, toelichting bij het EUCS-certificeringsschema)
“Cloud sovereignty is not just about where data is stored, but about who can access it, under what legal conditions, and whether European law can effectively be enforced.” (Margrethe Vestager, voormalig Europees Commissaris voor Digitaal Beleid)
Een praktisch hanteerbaar stelsel combineert ISO 27001 als basiseis voor procesvolwassenheid, EUCS Substantial of High als technisch veiligheidscriterium, en het CADA SEAL-scoringsmodel als juridisch-soevereiniteitskader. ISAE 3402 Type II blijft relevant als bewijs van operationele controle over een auditperiode.
Praktische integratie in het inkoopproces
Compliance officers die de 48 criteria willen integreren in hun inkoopprocedure, doorlopen doorgaans vijf stappen. Eerst bepalen zij per verwerkingsactiviteit welk SEAL-niveau vereist is op basis van de dataclassificatie. Vervolgens vertalen zij de relevante criteria naar concrete vragen in een leveranciersbevraging. De derde stap is het opvragen van bewijs: certificaten, contractuele garanties, penetratietestresultaten en eigendomsdocumentatie.
In de vierde stap worden de antwoorden gewogen via een scorematrix waarin juridische jurisdictiecriteria een hogere wegingsfactor hebben dan louter technische criteria. Tot slot worden de bevindingen vastgelegd in een cloudleveranciersregister dat periodiek wordt bijgewerkt, een verplichting die volgt uit artikel 21 van de NIS-2-richtlijn (Richtlijn (EU) 2022/2555) en uit de DORA-vereisten voor financiële instellingen.
Europese leveranciers als OVHcloud, STACKIT, Scaleway en CleverCloud bieden documentatie aan die aansluit op SEAL-2 en SEAL-3 vereisten, maar geen van hen beschikt op dit moment over een formele onafhankelijke SEAL-certificatie, omdat het auditecosysteem rond het CADA-framework nog in ontwikkeling is.
Blinde vlekken en beperkingen van het CADA-framework
Het CADA-framework heeft enkele erkende beperkingen. De meest substantiële is de afwezigheid van gedetailleerde criteria voor telemetrie en diagnostische datastromen. Cloudplatforms genereren doorlopend metadata over gebruikspatronen, foutmeldingen en systeemgedrag. Deze stromen worden in de praktijk vaak verwerkt buiten de primaire dataopslaglocatie en vallen daarmee buiten de scope van de huidige 48 criteria. Voor een organisatie die Microsoft 365 vervangt door een soevereine Nextcloud-omgeving is dit relevant: ook een self-hosted Nextcloud-instantie kan telemetriedata terugsturen naar externe servers als de configuratie niet expliciet is dichtgezet.
Een tweede beperking is dat het framework geen bindende auditstandaard bevat. SEAL-niveaus zijn momenteel leveranciersverklaringen, geen onafhankelijk gecertificeerde statussen. Totdat ENISA of een erkende conformiteitsbeoordelingsinstantie een auditprotocol aan de SEAL-schaal koppelt, blijft de bewijslast bij de inkooporganisatie zelf liggen.
Ten slotte behandelt het framework de CLOUD Act-blootstelling op het niveau van eigendomsstructuur, maar adresseert het niet de mogelijkheid dat een Europese cloudleverancier Amerikaanse softwarecomponenten of open-source-afhankelijkheden gebruikt die indirect datapaden openen naar niet-EU-partijen. Dit vereist aanvullend technisch due diligence naast de CADA-criteria.
Drie kerncijfers uit het bredere beleidsdebat illustreren de urgentie: Eurostat rapporteerde in 2023 dat 41 procent van de EU-ondernemingen clouddiensten gebruikte, met een substantieel deel bij niet-EU-aanbieders. Het European Parliament Research Service stelde in 2023 vast dat de drie grootste Amerikaanse cloudaanbieders gezamenlijk circa 65 tot 70 procent van de Europese publieke cloudmarkt controleren. ENISA concludeerde in haar NIS Investments Report 2024 dat meer dan de helft van de NIS-2-plichtige organisaties de vereiste maatregelen nog niet volledig had geïmplementeerd.
FAQ: CADA Cloud Sovereignty Framework voor private-sector inkoop
Is het CADA Cloud Sovereignty Framework ook verplicht voor private organisaties buiten de publieke sector?
Nee, CADA COM(2026) 502 is primair een beleids- en inkoopinstrument voor overheidsdiensten. Private organisaties zijn niet wettelijk verplicht het te volgen, maar het SEAL-scoringssysteem is vrij bruikbaar als intern beoordelingskader bij cloudleveranciersselectie, zeker in gereguleerde sectoren waar GDPR, DORA of NIS-2 van toepassing is.
Wat is het verschil tussen SEAL-2 en SEAL-3 in de praktijk?
SEAL-2 vereist dat data uitsluitend binnen de EU wordt verwerkt en dat er geen indirecte toegang mogelijk is voor niet-EU-autoriteiten. SEAL-3 voegt daar operationele onafhankelijkheid aan toe: de leverancier mag geen controlerende eigendomsstructuur hebben bij een niet-EU-entiteit. Dit biedt extra bescherming tegen de reikwijdte van de CLOUD Act en vergelijkbare extraterritoriale wetgeving.
Dekt het CADA-framework ook telemetrie en diagnostische data?
Dit is een erkende blinde vlek. De 48 criteria richten zich primair op datalocatie, jurisdictie en toegangscontrole, maar bevatten geen gedetailleerde criteria voor de verwerking van telemetrie, logdata en diagnostische stromen die cloudplatforms doorlopend genereren. Organisaties dienen dit risico via aanvullend technisch due diligence te adresseren.
Hoe verhoudt SEAL-4 zich tot het EUCS High-niveau?
SEAL-4 vereist volledige technische en juridische soevereiniteit, inclusief end-to-end versleuteling waarbij de klant zelf de sleutels beheert. EUCS High richt zich meer op technische beveiligingseisen. SEAL-4 voegt daar expliciete juridische jurisdictiecriteria en eigendomsstructuurvereisten aan toe, waardoor het strenger is op het soevereiniteitsaspect.
Welke Europese cloudaanbieders zijn relevant in het kader van de hogere SEAL-niveaus?
OVHcloud, STACKIT, Scaleway en CleverCloud positioneren zich als EU-soevereine alternatieven en voldoen in beginsel aan de datalocatie- en jurisdictievereisten van SEAL-2 en SEAL-3. Formele onafhankelijke SEAL-certificering bestaat nog niet als gestandaardiseerd auditproduct. Organisaties moeten leveranciersclaims zelf toetsen aan de volledige set van 48 criteria, inclusief de eigendomsstructuurvereisten.
