De Preparedness Union Strategy cloudafhankelijkheid als systeemrisico: dat is de kern van COM(2025) 130, het EU-beleidskader dat de Europese Commissie in maart 2025 publiceerde. De strategie stelt expliciet dat het concentreren van kritieke overheidsfuncties en essentiële diensten bij een handvol niet-EU-cloudaanbieders een structureel risico vormt voor de weerbaarheid van de Europese Unie als geheel. Voor compliance officers en IT-beslissers in gereguleerde sectoren is dit geen abstracte beleidsnotitie, maar een directe aanleiding om risicoregisters, continuïteitsplannen en sourcingbeslissingen te herijken.
Hoe de strategie cloudafhankelijkheid definieert als systeemrisico
De EU Preparedness Union Strategy (COM(2025) 130) benoemt cloudconcentratie als een vorm van systeemrisico: een risico dat zich niet beperkt tot één organisatie, maar dat bij realisatie meerdere sectoren en lidstaten tegelijk kan treffen. De redenering is helder: wanneer meer dan 70 procent van alle Europese clouduitgaven naar drie Amerikaanse hyperscalers gaat (Europese Commissie, Digital Decade Policy Programme, 2024), is een enkelvoudige storing, een sanctiemaatregel of een juridisch bevel voldoende om vitale functies in meerdere landen te onderbreken.
EU-commissaris voor Crisismanagement en Preparedness Hadja Lahbib formuleerde het bij de presentatie van de strategie als volgt: “We kunnen ons geen situatie permitteren waarbij de uitval van één buitenlandse cloudprovider de kritieke infrastructuur van meerdere lidstaten tegelijk lamslegt.” Die uitspraak weerspiegelt de bestuurlijke urgentie achter een document dat technisch en juridisch concrete verplichtingen schept.
Verplichtingen voor lidstaten en publieke organisaties
De strategie legt een gelaagd stelsel van verplichtingen op. Lidstaten worden geacht hun nationale weerbaarheidsplannen te actualiseren met expliciete aandacht voor digitale afhankelijkheden. Publieke organisaties en essentiële entiteiten in de zin van NIS-2 moeten aantoonbaar kunnen uitwijken naar alternatieve dienstverleners of eigen infrastructuur wanneer een primaire cloudaanbieder wegvalt.
Concreet betekent dit dat organisaties moeten beschikken over:
- Een actuele inventarisatie van alle cloudafhankelijkheden, inclusief juridische jurisdictie van de aanbieder.
- Gedocumenteerde uitwijkscenario’s per kritieke dienst, met aantoonbare testresultaten.
- Contractuele exitclausules en dataportabiliteitsprocedures.
- Een vastgestelde maximaal aanvaardbare uitvalduur (RTO) per dienst, ook bij scenario’s buiten de eigen invloedsfeer.
De Cyber Solidarity Act, die parallel wordt ontwikkeld, voorziet in een Europees netwerk van Security Operations Centers (SOC’s) en een noodfonds voor grensoverschrijdende cyberincidenten. De Preparedness Union Strategy en de Cyber Solidarity Act zijn complementaire instrumenten: de eerste richt zich op preventie en voorbereiding, de tweede op detectie en respons.
Relatie met CADA artikel 29 en NIS-2 artikel 21
De Preparedness Union Strategy kan niet los worden gezien van twee andere regelgevingsinstrumenten die compliance officers direct raken: de Cloud and AI Development Act (CADA) en NIS-2.
CADA artikel 29: de soevereiniteitstijdlijn-risicobeoordelingsplicht
CADA artikel 29 introduceert een periodieke risicobeoordelingsplicht voor organisaties die cloudservices afnemen boven een bepaald kritikaliteitsdrempel. Organisaties worden ingedeeld in soevereiniteitsniveaus op basis van de gevoeligheid van de verwerkte data en de kritikaliteit van de bedrijfsprocessen. Per niveau geldt een tijdlijn waarbinnen mitigerende maatregelen moeten zijn geïmplementeerd, gedocumenteerd en geaudit. Dit maakt CADA artikel 29 tot het operationele verlengstuk van de Preparedness Union Strategy: waar de strategie de richting bepaalt, geeft CADA de tijdlijnen en beoordelingscriteria.
NIS-2 artikel 21: technische en organisatorische maatregelen
NIS-2 artikel 21 verplicht essentiële en belangrijke entiteiten tot passende maatregelen op het gebied van risicobeheer, bedrijfscontinuïteit, toeleveranciersbeveiliging en incidentrespons. De Preparedness Union Strategy scherpt de invulling van “passend” aan: een continuïteitsplan dat geen rekening houdt met de uitval van een primaire cloudaanbieder of met geopolitieke verstoringen, wordt onder het nieuwe kader niet langer als toereikend beschouwd.
ENISA stelt hierover in haar richtlijnen voor NIS-2-implementatie: “NIS-2 is geen papieren exercitie. Wie geen actueel risicoregister bijhoudt waarin toeleveranciers en cloudproviders zijn opgenomen, voldoet simpelweg niet aan de wet.”
Wat compliance officers nu al moeten vastleggen
De koppeling tussen de Preparedness Union Strategy, CADA en NIS-2 heeft directe gevolgen voor de inrichting van het risicoregister. Wachten op definitieve nationale implementatiewetgeving is riskant: toezichthouders in meerdere lidstaten hebben aangekondigd de Preparedness Union Strategy al als richtsnoer te gebruiken bij inspecties.
| Onderdeel risicoregister | Vereist door | Minimale inhoud |
|---|---|---|
| Cloudaanbieder inventarisatie | NIS-2 art. 21, CADA art. 29 | Naam, jurisdictie, soevereiniteitsniveau, kritikaliteit |
| Risicobeoordeling per aanbieder | CADA art. 29, Preparedness Union Strategy | Kans, impact, extraterritoriale blootstelling (CLOUD Act, Patriot Act) |
| Mitigerende maatregelen | NIS-2 art. 21 | Versleuteling, eigen sleutelbeheer, alternatieve hostinglocatie |
| Continuïteitsscenario’s | Preparedness Union Strategy, NIS-2 art. 21 | Uitval hyperscaler, geopolitieke afsluiting, sanctiescenario |
| Testfrequentie en -resultaten | NIS-2 art. 21, Cyber Solidarity Act | Datum, scenario, uitkomst, actiepunten |
Een punt dat in de praktijk vaak wordt onderschat: de registratie van extraterritoriale juridische risico’s. De US CLOUD Act en de Foreign Intelligence Surveillance Act geven Amerikaanse autoriteiten onder bepaalde omstandigheden toegang tot data die wordt beheerd door Amerikaanse bedrijven, ongeacht waar die data fysiek is opgeslagen. Dit juridische blootstellingsrisico is een verplicht onderdeel van de risicoanalyse onder CADA artikel 29 en dient als zodanig te worden opgenomen in het risicoregister, inclusief de compenserende maatregel (zoals end-to-end-versleuteling met sleutels buiten de invloedsfeer van de aanbieder).
Noodscenario’s die organisaties moeten documenteren en testen
De Preparedness Union Strategy is expliciet over het type scenario’s dat organisaties moeten kunnen doordenken en beproeven. Drie categorieën zijn daarbij onvermijdelijk.
Technische uitval van een hyperscaler
Een regionale of globale storing bij een grote cloudaanbieder is geen hypothetisch scenario: dergelijke storingen komen periodiek voor en treffen dan tegelijk duizenden organisaties die van dezelfde infrastructuur afhankelijk zijn. Organisaties moeten documenteren hoe lang zij kunnen functioneren zonder toegang tot hun primaire cloudomgeving en welke handmatige of alternatieve processen dan in werking treden. ENISA Threat Landscape 2024 wijst erop dat ransomware de meest impactvolle cyberdreiging blijft voor essentiële diensten, waarbij overheids- en gezondheidssectoren het zwaarst worden getroffen.
Geopolitieke afsluiting of sancties
Een scenario waarbij een niet-EU-aanbieder zijn dienstverlening aan Europese klanten moet staken als gevolg van internationale sancties of exportbeperkingen is realistisch in het huidige geopolitieke klimaat. Organisaties in gereguleerde sectoren moeten documenteren hoe zij in dat geval binnen een vastgestelde tijdspanne kunnen overschakelen op een alternatieve infrastructuur, zonder dataverlies en met behoud van continuïteit voor eindgebruikers.
Juridische toegang door derde partijen
De Preparedness Union Strategy benoemt ook het scenario waarbij een aanbieder op grond van extraterritoriale wetgeving verplicht wordt data ter beschikking te stellen aan een buitenlandse overheidsinstantie, zonder dat de Europese klant hiervan op de hoogte is of hiertegen bezwaar kan maken. Dit raakt direct aan de GDPR en aan de beroepsgeheimhouding van juridische en medische organisaties. De compenserende maatregel, end-to-end-versleuteling waarbij de klant zelf de sleutels beheert, moet aantoonbaar geïmplementeerd en getest zijn.
De economische schade van onvoldoende voorbereiding is substantieel: de Europese Commissie schat dat de wereldwijde economische schade van grootschalige cyberincidenten oploopt tot meer dan 5,5 biljoen euro per jaar (NIS-2 impactbeoordeling, EUR-Lex, 2022).
Praktische stappen voor de korte termijn
De regelgeving convergeert snel. Organisaties die nu beginnen met de volgende stappen, bouwen een documenteerbare compliance-positie op die bij inspectie standhoudt:
- Stel een multidisciplinair team samen van IT, juridische zaken en compliance voor de cloudafhankelijkheidsanalyse.
- Inventariseer alle cloudaanbieders inclusief subverwerkers, en classificeer ze op jurisdictie en soevereiniteitsniveau conform CADA.
- Voer een juridische blootstellingsanalyse uit per aanbieder, inclusief de toepasselijkheid van de CLOUD Act en vergelijkbare wetgeving.
- Documenteer minimaal drie concrete noodscenario’s in het risicoregister, inclusief RTO, verantwoordelijke personen en testplanning.
- Plan een tabletop-oefening waarbij het geopolitieke afsluitingsscenario wordt doorlopen met relevante beslissers.
- Laat de resultaten valideren door een onafhankelijke auditor en leg de testdatum en bevindingen vast.
De combinatie van de EU Preparedness Union Strategy, de ProtectEU Strategy, de Cyber Solidarity Act, CADA artikel 29 en NIS-2 artikel 21 vormt geen lappendeken van losse verplichtingen. Het is een samenhangend regelgevingskader dat cloudsoevereiniteit, weerbaarheid en continuïteit integreert in één handhavingsstructuur. Organisaties die dat kader nu serieus nemen, zijn niet alleen compliant, maar ook daadwerkelijk beter beschermd tegen de risico’s die de strategie beschrijft.
Veelgestelde vragen
Wat is de EU Preparedness Union Strategy en waarom is die relevant voor IT-beslissers?
De EU Preparedness Union Strategy (COM(2025) 130), gepubliceerd in maart 2025, is een overkoepelend EU-beleidskader dat afhankelijkheid van kritieke digitale infrastructuur, waaronder niet-EU-clouddiensten, expliciet benoemt als systeemrisico. IT-beslissers en compliance officers bij overheden en essentiële entiteiten zijn verplicht deze risico’s te documenteren en continuïteitsplannen te testen.
Wat schrijft CADA artikel 29 precies voor ten aanzien van soevereiniteitsrisico’s?
CADA artikel 29 verplicht organisaties die vallen onder de soevereiniteitsniveaus om een periodieke risicobeoordelingsplicht uit te voeren, ook wel de soevereiniteitstijdlijn-risicobeoordelingsplicht genoemd. Dat betekent dat de afhankelijkheid van specifieke cloudaanbieders inclusief hun jurisdictie periodiek moet worden geëvalueerd en gedocumenteerd, met concrete tijdlijnen voor mitigatie.
Hoe verhoudt NIS-2 artikel 21 zich tot de continuïteitsverplichtingen in de Preparedness Union Strategy?
NIS-2 artikel 21 verplicht essentiële en belangrijke entiteiten tot passende technische en organisatorische maatregelen, waaronder bedrijfscontinuïteitsplanning, back-upbeheer en herstel na incidenten. De Preparedness Union Strategy bouwt hierop voort door te eisen dat scenario’s zoals de uitval van een hyperscaler of geopolitieke afsluiting van een cloudregio expliciet worden gedocumenteerd en periodiek worden getest, niet alleen beschreven.
Welke noodscenario’s moeten organisaties nu al documenteren?
Op basis van de Preparedness Union Strategy en NIS-2 moeten organisaties minimaal drie typen scenario’s documenteren en testen: technische uitval van een primaire niet-EU-hyperscaler inclusief regionale storingen, geopolitieke afsluiting waarbij toegang tot diensten wordt geblokkeerd door sancties of exportbeperkingen, en juridische toegang door derden op grond van extraterritoriale wetgeving zoals de US CLOUD Act.
Wat moet er concreet in het risicoregister staan als gevolg van deze regelgeving?
Compliance officers dienen in het risicoregister op te nemen: de naam en jurisdictie van elke cloudaanbieder, het soevereiniteitsniveau conform CADA, de kans en impact van uitval of juridische blootstelling, de aanwezige compenserende maatregelen (zoals versleuteling, eigen sleutelbeheer of een alternatieve hostinglocatie), en de testfrequentie van de continuïteitsplannen. Dit register moet aantoonbaar periodiek worden herzien.
