Het EU Tech Sovereignty Package van 3 juni 2026 is een samenhangend pakket van Europese wetgevende initiatieven dat digitale afhankelijkheid van niet-Europese technologieleveranciers structureel wil terugdringen. Het bundelt de Cloud and AI Data Act (CADA, COM(2026) 502), de vernieuwde Chips Act 2.0 en de EU Open Source Strategy 2026 tot één beleidsoffensief, gebaseerd op de strategische diagnose uit het Draghi-rapport en uitgewerkt langs de lijnen van het AI Continent Action Plan.
Wat het pakket inhoudt en waarom het nu komt
Het EU Tech Sovereignty Package geeft politiek en juridisch gewicht aan een urgentie die al jaren wordt besproken maar nog zelden is omgezet in afdwingbare regelgeving. De aanleiding is meervoudig: de extraterritoriale werking van de Amerikaanse CLOUD Act en Patriot Act maakt data in Amerikaanse cloudplatformen juridisch toegankelijk voor Amerikaanse autoriteiten, ook wanneer die data fysiek in Europa staat. Tegelijkertijd stelt het Draghi-rapport van 2024 dat Europa jaarlijks tot 800 miljard euro aan extra investeringen nodig heeft om de concurrentiekloof met de VS en China te dichten, inclusief op het gebied van digitale infrastructuur.
Ursula von der Leyen formuleerde de strategische logica al eerder kernachtig: “We cannot afford to depend on others for the technologies that will define our future. Digital sovereignty is not protectionism, it is strategic autonomy.” Mario Draghi sluit daarbij aan: “Europe’s competitive weakness is not the result of too little innovation, but of our failure to translate innovation into successful commercial scale-up.” Het pakket probeert beide problemen, regulatoire afhankelijkheid en onvoldoende opschaling, tegelijk aan te pakken.
De drie pijlers: CADA, Chips Act 2.0 en Open Source Strategy
De drie onderdelen van het pakket zijn geen losstaande maatregelen maar functioneren als een samenhangende beleidsarchitectuur.
CADA (COM(2026) 502): de soevereiniteitstoets voor cloud en AI
De Cloud and AI Data Act introduceert een verplichte soevereiniteitstoets voor organisaties die onder publiek toezicht staan of kritieke diensten aanbieden. Concreet betekent dit dat cloudleveranciers moeten aantonen dat zij niet onderworpen zijn aan extraterritoriale wetgeving van derde landen. Voor overheidsinstanties worden aanbestedingsprocedures aangescherpt: een leverancier die niet aan de CADA-soevereiniteitscriteria voldoet, kan worden uitgesloten van aanbestedingen voor gevoelige domeinen. CADA werkt daarmee als een aanvulling op de GDPR: waar de GDPR doorgifte naar derde landen al beperkt, voegt CADA een actieve verificatieplicht toe.
Chips Act 2.0: zekerheid van de hardwarelaag
De oorspronkelijke European Chips Act (2023) richtte zich op het verhogen van het Europese marktaandeel in halfgeleiders naar 20 procent in 2030. Chips Act 2.0, opgenomen in het Tech Sovereignty Package, breidt dit uit met verplichte stresstesten voor halfgeleiderleveringsketens, een EU-voorraadbeheersmechanisme en strengere subsidieregels voor productie op Europese bodem. Voor IT-beslissers in gereguleerde sectoren is het meest relevante onderdeel dat kritieke AI-hardware, zoals de processoren voor inferentieservers en HSM-modules voor post-kwantumcryptografie, onder het nieuwe zekerheidsregime valt. Organisaties die hun eigen on-premise AI-infrastructuur willen opbouwen, krijgen daarmee ook aan de hardwarekant een Europees kader om op te steunen.
EU Open Source Strategy 2026: voorkeur wordt verplichting
De EU Open Source Strategy 2026 verheft de tot nu toe vrijblijvende voorkeur voor open-source software bij overheidsinkoop naar een structureel vereiste in aanbestedingsprocedures. Platforms zoals Nextcloud en OpenDesk, die al door meerdere Europese overheidsinstanties worden ingezet als alternatief voor Microsoft 365, krijgen daarmee een expliciet aanbestedingstechnisch voordeel. De strategie verplicht lidstaten ook tot het publiceren van door overheden gefinancierde software onder open licenties, tenzij specifieke uitzonderingsgronden van toepassing zijn.
Concrete verplichtingen voor lidstaten en inkoopregelgeving in Nederland
Het pakket legt lidstaten op om binnen 18 maanden een nationale cloudstrategie vast te stellen die CADA-conform is. Voor Nederland betekent dit dat de Rijksoverheid haar bestaande Inkoopstrategie ICT moet actualiseren. Ministeries, gemeenten, provincies en semipublieke instellingen die publieke financiering ontvangen, zoals ziekenhuizen en onderwijsinstellingen, vallen onder de reikwijdte van de nieuwe inkoopregels.
In de praktijk betekent dit dat aanbestedende diensten bij cloudprocurements voortaan moeten toetsen op drie criteria: de jurisdictie van de leverancier en diens moederbedrijf, de fysieke locatie van dataopslag en verwerking, en de technische afdwingbaarheid van toegangscontrole (inclusief versleuteling waarbij de sleutels bij de klant blijven, ook wel customer-managed keys of bring your own key genoemd). Leveranciers die niet aan alle drie voldoen, kunnen worden geweerd bij aanbestedingen voor gevoelige data, een categorie die onder NIS-2, van kracht per oktober 2024, ten minste 18 kritieke sectoren omvat.
Open-source alternatieven als strategisch instrument
De combinatie van CADA-verplichtingen en de EU Open Source Strategy 2026 maakt Europese open-source platforms aantoonbaar sterker in aanbestedingsprocedures. Nextcloud, dat al door de Duitse deelstaat Thüringen, de Franse staat (via Tchap en Docs) en meerdere gemeenten wordt ingezet, heeft een architectuur die CADA-conformiteit technisch ondersteunt: data blijft op eigen servers of bij een Europese hostingpartner, sleutelbeheer is volledig in handen van de organisatie en de broncode is auditeerbaar.
OpenDesk, het open-source werkplekconcept dat oorspronkelijk door het Zentrum für Digitale Souveränität (ZenDiS) in Duitsland is ontwikkeld, integreert vergelijkbare componenten voor e-mail, agenda, documentbeheer en videoconferencing. Voor compliance officers biedt dit een onderbouwde migratieroute van Microsoft 365 naar een soeverein alternatief, waarbij de wettelijke basis voor de keuze nu ook expliciet in EU-wetgeving verankerd is.
| Criterium | Microsoft 365 (standaard) | Nextcloud (on-premise of EU-hosting) |
|---|---|---|
| Jurisdictie moederbedrijf | VS (CLOUD Act van toepassing) | Duitsland / EU (geen extraterritoriale werking) |
| CADA-soevereiniteitstoets | Niet zonder aanvullende contractuele maatregelen | Aantoonbaar conform bij correcte configuratie |
| Sleutelbeheer | Standaard bij Microsoft; BYOK mogelijk als betaalde add-on | Standaard bij de organisatie zelf |
| Open Source Strategy voorkeur | Nee (gesloten broncode) | Ja (AGPLv3-licentie, auditeerbare code) |
| NIS-2 toeleveringsrisico | Hoog zonder aanvullende contractuele garanties | Laag bij verifieerbare Europese toeleveringsketen |
Datacenterambitie en de markt voor soevereine infrastructuur
Het AI Continent Action Plan, dat parallel aan het Tech Sovereignty Package loopt, stelt als doel de Europese AI-datacapaciteit in vijf tot zeven jaar te verdrievoudigen. Dit heeft directe gevolgen voor de markt voor soevereine on-premise co-locatie en privécloudoplossingen. De verwachting is dat de combinatie van subsidiestromen uit het AI Continent Action Plan en de vraagstimulering via CADA-inkoopverplichtingen de businesscase voor Europese datacenters versterkt, waardoor co-locatieprijzen op middellange termijn concurrerender worden ten opzichte van hyperscaleroplossingen.
Voor organisaties die nu nog aarzelen tussen on-premise uitbreiding en migratie naar een Europese cloudprovider, biedt dit perspectief: de infrastructuurmarkt in Europa gaat de komende jaren aanzienlijk rijper worden. Leveranciers als Hetzner, OVHcloud en IONOS bieden al nu co-locatie en managed privéclouddiensten aan binnen de EU, zonder blootstelling aan de CLOUD Act. Het Tech Sovereignty Package maakt de keuze voor dergelijke aanbieders niet alleen technisch verantwoord, maar ook juridisch afdwingbaar als standaard bij overheidsinkoop.
Het pakket als onderbouwing voor een migratieprojectbusinesscase
Compliance officers en IT-beslissers die intern een businesscase moeten verdedigen voor migratie weg van Big Tech, beschikken met het Tech Sovereignty Package over drie concrete onderbouwingslagen. Ten eerste creëert CADA een aantoonbaar compliance-risico bij voortgezet gebruik van niet-soevereine cloudplatformen in gevoelige domeinen: dat risico is nu juridisch geformaliseerd en niet langer alleen een theoretische zorg. Ten tweede geeft de EU Open Source Strategy 2026 inkopende overheden en semipublieke instellingen een expliciete wettelijke grondslag om voorkeur te geven aan open-source alternatieven in aanbestedingsprocedures. Ten derde koppelt het AI Continent Action Plan subsidies en financiering aan gebruik van Europese datainfrastructuur, wat de totale eigendomskosten van een soevereine migratie op langere termijn drukt.
De migratiestructuur zelf, van Microsoft 365 naar een soevereine Nextcloud-werkplek of OpenDesk-omgeving, is daarmee niet meer alleen een technische operatie maar een strategische investering met een direct benoembaar wettelijk kader. Voor bestuurders en toezichthouders in sectoren als de zorg, het onderwijs, de rechtspraktijk en de overheid is dat precies het soort argumentatie dat besluitvorming versnelt.
FAQ
Wat is het EU Tech Sovereignty Package en wanneer treedt het in werking?
Het EU Tech Sovereignty Package is een samenhangend wetgevingspakket dat de Europese Commissie op 3 juni 2026 heeft gepubliceerd. Het bundelt CADA (COM(2026) 502), Chips Act 2.0 en de EU Open Source Strategy 2026. De afzonderlijke verordeningen kennen eigen inwerkingtredingsdata; lidstaten krijgen doorgaans 12 tot 24 maanden de tijd voor nationale implementatiemaatregelen.
Geldt CADA ook voor Nederlandse gemeenten en semipublieke instellingen?
Ja. CADA introduceert verplichte soevereiniteitscriteria voor cloudinkoop door overheidsinstanties. Nederlandse gemeenten, provincies en semipublieke instellingen die publieke financiering ontvangen, zoals zorginstellingen en onderwijsinstellingen, vallen onder de reikwijdte. De Rijksoverheid werkt aan een bijgewerkte Inkoopstrategie die CADA-conformiteit als vereiste opneemt in aanbestedingsprocedures.
Wat is het verschil tussen Chips Act 2.0 en de oorspronkelijke European Chips Act?
De oorspronkelijke European Chips Act (2023) richtte zich op het verdubbelen van het Europese marktaandeel in halfgeleiders naar 20 procent in 2030. Chips Act 2.0 breidt dit uit met verplichte stresstesten voor leveringsketens, een EU-voorraadbeheersmechanisme en aangescherpte subsidieregels. Voor IT-beslissers is relevant dat kritieke AI-hardware onder de nieuwe zekerstelling valt.
Hoe onderbouw ik een migratieproject naar Nextcloud of OpenDesk met het Tech Sovereignty Package?
Het pakket biedt drie onderbouwingslagen: (1) CADA maakt het juridisch riskant om gevoelige data in niet-soevereine clouds te bewaren; (2) de EU Open Source Strategy 2026 geeft inkopende overheden een expliciete voorkeur voor open-source oplossingen, wat aanbestedingstechnisch voordeel geeft aan Nextcloud en OpenDesk; (3) het AI Continent Action Plan koppelt subsidies aan gebruik van Europese datainfrastructuur, wat financieel voordeel kan opleveren.
Hoe verhoudt het Tech Sovereignty Package zich tot de bestaande GDPR-verplichtingen?
Het pakket vervangt de GDPR niet, maar versterkt en operationaliseert die. Waar de GDPR doorgifte buiten de EER al beperkt, voegt CADA een actieve soevereiniteitstoets toe: organisaties moeten aantonen dat de cloudleverancier niet onderworpen is aan extraterritoriale wetgeving van derde landen, zoals de Amerikaanse CLOUD Act. De combinatie is strenger dan elk instrument afzonderlijk.
