De CADA-erkenning voor private cloudaanbieders is het formele EU-kader waarmee cloudproviders kunnen aantonen dat zij soevereine diensten mogen leveren aan publieke organisaties, waarbij onafhankelijkheid van niet-Europese rechtsmacht en aantoonbare databescherming de kern vormen. Voor compliance officers en IT-beslissers in overheid, rechtspraktijk en gereguleerde sectoren is begrip van dit kader geen optionele verrijking maar een aanbestedingseis.
Wat zijn de vier CADA-assuranceniveaus en wat eisen ze concreet?
De CADA-verordening introduceert via de artikelen 14 tot en met 17 vier assuranceniveaus die overeenkomen met de mate van soevereiniteitsgarantie die een aanbieder kan bieden. Elk niveau bouwt op het vorige en voegt zwaardere technische, juridische en operationele vereisten toe.
| Niveau | Technische eisen | Juridische eisen | Operationele eisen |
|---|---|---|---|
| 1 (Basis) | Versleuteling in rust en transit, ISO 27001 | Verwerkingslocatie in de EU of EER | Zelfverklaring aanbieder, jaarlijkse review |
| 2 (Verhoogd) | EUCS Substantieel, transparantie softwaretoeleveringsketen, auditlogging | Geen juridische bindingen met derde-landenentiteiten die toegang kunnen afdwingen | Onafhankelijke derde-partijaudit, SBOM (software bill of materials) |
| 3 (Hoog) | EUCS Hoog, technische sleutelbeheersoevereiniteit, encryptie met klantbeheerde sleutels | Volledige EU-eigendomsstructuur of aantoonbare juridische ringfencing | Nationale toezichthouder erkent de auditinstelling, jaarlijkse penetratietest |
| 4 (Maximaal) | Post-quantum cryptografie, hardwarebeveiligde sleutelopslag (HSM), air-gap-opties | Uitsluitend EU-moederentiteiten, contractueel verbod op extraterritoriale gegevensverstrekking | Continue monitoring door nationale CSIRT, leverancierscertificering voor alle subverwerkers |
Op niveau 2 wordt voor het eerst expliciet gevraagd om een software bill of materials: een machine-leesbaar overzicht van alle componenten in de stack inclusief hun herkomst en licentievorm. Dit is waarom aanbieders die deels op VMware-, Microsoft- of AWS-bouwstenen draaien al in een vroeg stadium moeten beoordelen of die afhankelijkheden een juridisch risico vormen.
Hoe verloopt de CADA-erkenningsprocedure stap voor stap?
De erkenningsprocedure is een meerfasig traject waarbij de aanbieder zich aanmeldt bij de bevoegde nationale autoriteit, een conformiteitsdossier indient en een onafhankelijke auditinstelling inschakelt die op grond van de 48 soevereiniteitscriteria een oordeel geeft.
De procedure begint met een vooraanmeldingsgesprek bij de nationale toezichthouder (in Nederland is dat de Rijksinspectie Digitale Infrastructuur in samenwerking met het NCSC). Daarna volgt de formele indiening van het conformiteitsdossier, dat minimaal omvat: de juridische eigendomsstructuur tot op het niveau van uiteindelijk belanghebbenden, een volledig overzicht van verwerkingslocaties, het SBOM-rapport, en bewijsstukken van de technische beveiliging die overeenkomen met het aangevraagde niveau.
De auditinstelling voert vervolgens een soevereiniteitsaudit uit aan de hand van de 48 criteria. Deze criteria zijn gegroepeerd in vier domeinen: technische onafhankelijkheid, juridische structuur, operationele transparantie en incidentrespons-soevereiniteit. Na een positief auditrapport neemt de nationale autoriteit een erkenningsbesluit en schrijft de aanbieder in het Europese CADA-register in.
Wat betekent ‘onafhankelijkheid van derde landen’ concreet op niveau 2?
De CADA-eis van onafhankelijkheid van derde landen richt zich niet alleen op de nationaliteit van de aanbieder zelf, maar op elke rechtsbetrekking die een niet-EU-autoriteit in staat zou kunnen stellen toegang tot data af te dwingen. Dit is de directe respons op de extraterritoriale werking van de US CLOUD Act (2018) en de bredere reikwijdte van de US Patriot Act.
Voor een aanbieder die deels op Amerikaanse technologie draait, betekent niveau 2 in de praktijk het volgende: elk softwarecomponent waarvan de intellectuele eigendomsrechten bij een in de VS gevestigde entiteit liggen, moet worden beoordeeld op de vraag of de licentieovereenkomst of de servicerelatie een poort opent voor gedwongen toegang. Dit geldt niet alleen voor SaaS-componenten, maar ook voor on-premise software met telemetrie-callbacks of automatische licentievalidatie via servers buiten de EU.
Hoe verhouden de 48 soevereiniteitscriteria zich tot EUCS Hoog?
EUCS Hoog, het hoogste niveau van het EU Cybersecurity Certification Scheme for Cloud Services van ENISA, en de CADA-soevereiniteitscriteria zijn complementair maar niet uitwisselbaar. ENISA formuleert het zelf helder: EUCS Hoog is een noodzakelijke maar niet voldoende voorwaarde voor CADA niveau 3 of 4.
Statistisch gezien heeft meer dan 20 van de 27 EU-lidstaten in 2024 al een nationale soevereine cloudstrategie gepubliceerd (Europese Commissie, 2024), wat de druk op aanbieders om beide certificeringen te hebben versnelt. De herziening van de Cybersecurity Act in 2026 integreert post-quantum cryptografievereisten in de EUCS-baselines, wat betekent dat aanbieders die nu beginnen aan het CADA-traject meteen ook hun cryptografische architectuur toekomstbestendig moeten maken.
Beide trajecten zijn cumulatief vereist voor opdrachten in de hoogste risicocategorieën, maar bewijsstukken mogen gedeeltelijk worden gedeeld. Een ISO 27001-audit die voor EUCS is uitgevoerd, hoeft niet te worden overgedaan voor CADA, mits de scope identiek is.
Lessen uit de Cloud III DPS-praktijk voor CADA-voorbereiding
De Cloud III Dynamisch Aankoopsysteem (DPS) van de Nederlandse rijksoverheid gebruikt de SEAL-scoremethodiek om cloudaanbieders te beoordelen op een gewogen schaal van beveiliging, continuïteit en soevereiniteit. Aanbieders als OVHcloud, STACKIT, Scaleway en Proximus/S3NS die actief deelnemen aan Europese overheidsaanbestedingen hebben hieruit concrete lessen getrokken.
Circa 65 procent van de Europese publieke cloudmarkt is in handen van de drie grote Amerikaanse hyperscalers (ENISA Cloud Cybersecurity Market Analysis 2023), wat de positie van Europese aanbieders in aanbestedingen bemoeilijkt tenzij zij op soevereiniteitskenmerken differentiëren. De SEAL-methodiek maakt die differentiatie zichtbaar: aanbieders die hun eigendomsstructuur, verwerkingslocaties en toeleveranciersverklaringen al in de offertefase hebben gecertificeerd, scoren significant hoger op de soevereiniteitscomponent.
OVHcloud heeft zijn “Trusted Cloud”-architectuur specifiek afgestemd op de SEAL-criteria door volledige eigendomstransparantie te bieden en contractueel af te zien van data-overdracht buiten de EU. STACKIT (Schwarz Group) operationeel in Duitsland, speelt in op de vereiste juridische ringfencing door zijn clouddiensten via een volledig Europese holdingstructuur te aanbieden. Scaleway en Proximus/S3NS (het gezamenlijke initiatief van Proximus en Thales gebaseerd op Google Cloud-technologie met een soevereiniteitsovertrek) hanteren verschillende benaderingen: Scaleway via volledige Europese stack, S3NS via technische en contractuele isolatie van Google-infrastructuur. De S3NS-benadering is voor de CADA-procedure bijzonder interessant omdat zij rechtstreeks raakt aan de vraag of technische isolatie juridische onafhankelijkheid vervangt, een vraag die de soevereiniteitsaudit expliciet moet beantwoorden.
Het CADA artikel 18 derde-landenerkenningsmechanisme
Via artikel 18 van de CADA-verordening kunnen cloudaanbieders gevestigd buiten de EU toch een CADA-erkenning verkrijgen, mits aan strikte cumulatieve voorwaarden wordt voldaan. Dit mechanisme is relevant voor onder meer Zwitserse aanbieders, die profiteren van het Zwitserse adequaatheidsstatuut onder de GDPR.
De voorwaarden zijn: het derde land moet een formeel gelijkwaardigheidsbesluit of adequaatheidsovereenkomst hebben met de EU op het gebied van gegevensbescherming; de aanbieder moet juridisch aantoonbaar niet onderworpen zijn aan wetgeving die extraterritoriale toegang tot data van EU-burgers of -organisaties mogelijk maakt; en de aanbieder moet bereid zijn zich te onderwerpen aan toezicht door een EU-lidstaatautoriteit. Dit laatste betekent in de praktijk dat de aanbieder een juridische vertegenwoordiger in de EU aanwijst en een serviceovereenkomst sluit die Europees recht als toepasselijk recht aanwijst.
Zwitserland heeft een eigen adequaatheidsbesluit op grond van GDPR, maar de Zwitserse wetgeving kent zijn eigen beperkingen: de Federal Act on Intelligence (NDG/LRens) bevat bepalingen die onder bepaalde omstandigheden toegang door Zwitserse inlichtingendiensten kunnen faciliteren. Aanbieders die de artikel 18-route bewandelen, moeten in hun auditdossier ook dit risico expliciet adresseren. 58 procent van de Europese publieke organisaties noemt GDPR-compliantie als primaire reden voor de keuze van een Europese cloudaanbieder (Eurobarometer Special Survey on Cloud Computing, 2023), wat het gewicht van dit mechanisme in aanbestedingsbeslissingen onderstreept.
Praktische implicaties voor compliance officers en IT-beslissers
Voor organisaties in de overheid, rechtspraktijk en gereguleerde sectoren die migreren van een US hyperscaler naar een soevereine omgeving, biedt de CADA-erkenning een objectief toetsingskader bij de selectie van een private cloudaanbieder. NIS-2 (Richtlijn 2022/2555) en GDPR (Verordening 2016/679) eisen al een risicogebaseerde beoordeling van cloudleveranciers, maar CADA formaliseert die eis in een gestandaardiseerde auditstructuur.
De meest concrete actie voor een compliance officer is het opnemen van CADA-niveau als gunningscriterium in aanbestedingsdocumenten, en het verlangen van een SBOM als verplicht contractbijlage. Voor IT-beslissers betekent dit dat de architectuurkeuze (on-premise, private cloud, hybride) al in de ontwerpfase moet worden afgestemd op het vereiste CADA-niveau, omdat een latere migratie van niveau 1 naar niveau 3 aanzienlijke herarchitectuurinspanningen vergt.
Veelgestelde vragen
Is een CADA-erkenning op niveau 3 of 4 automatisch geldig als je al een EUCS Hoog-certificaat hebt?
Nee. EUCS Hoog dekt de technische en organisatorische beveiligingseisen, maar CADA voegt daar 48 soevereiniteitscriteria aan toe die betrekking hebben op juridische onafhankelijkheid van derde landen, eigendomsstructuur en softwaretoeleveringsketen. Beide trajecten zijn cumulatief en moeten afzonderlijk worden doorlopen, al kunnen bewijsstukken gedeeltelijk worden gedeeld.
Wat houdt het CADA artikel 18 derde-landenerkenningsmechanisme in voor een niet-EU-aanbieder zoals een Zwitserse cloudprovider?
Via artikel 18 kan een aanbieder uit een derde land erkend worden als het land een adequaatheidsovereenkomst heeft met de EU en als de aanbieder juridisch aantoonbaar niet onderworpen is aan extraterritoriale toegangswetten zoals de US CLOUD Act. Zwitserland heeft een eigen adequaatheidsbesluit onder GDPR, maar aanbieders moeten per geval aantonen dat zij volledig voldoen aan alle technische en juridische criteria, inclusief een analyse van eventuele nationale inlichtingenwetgeving.
Wat zijn de minimumvereisten voor CADA niveau 2 wat betreft transparantie over de softwaretoeleveringsketen?
Op niveau 2 moet een aanbieder een volledig SBOM-rapport kunnen overleggen van alle softwarecomponenten, inclusief open-source bibliotheken en licentieherkomst. Hij moet aantonen dat geen enkel onderdeel van de stack een bindende rechtsbetrekking heeft met een entiteit die valt onder de rechtsmacht van een derde land. Het gebruik van software van Amerikaanse moederbedrijven vereist een formele juridische en technische risicoanalyse.
Hoe beïnvloedt de Cybersecurity Act 2026-herziening de geldigheid van al afgegeven EUCS-certificaten in relatie tot CADA?
De herziening introduceert geactualiseerde technische baselines voor EUCS, waaronder post-quantum cryptografievereisten. Bestaande EUCS-certificaten behouden tijdelijk hun geldigheid maar moeten bij hernieuwing aan de nieuwe standaard voldoen. Voor CADA-erkende aanbieders betekent dit dat hun soevereiniteitsaudit automatisch opnieuw getriggerd wordt zodra een onderliggend EUCS-certificaat verloopt.
Wat leert de Cloud III DPS SEAL-scoremethodiek aanbieders over CADA-readiness?
De SEAL-methodiek beoordeelt cloudaanbieders op technische beveiliging, operationele continuïteit en soevereiniteitskenmerken. Aanbieders die laag scoren op de soevereiniteitscomponent zien dat direct terug in hun gunningsscore. De praktijkles is dat CADA-relevante bewijsstukken (eigendomsstructuur, verwerkingslocaties, toeleveranciersverklaringen) al in de aanbestedingsfase gecertificeerd moeten zijn en niet achteraf kunnen worden samengesteld.
