De Cloud Act voor Digitale Autonomie (CADA) introduceert een gestructureerde risicobeoordelingsplicht voor Europese overheidsorganisaties die clouddiensten inkopen of gebruiken. Kern van de regeling: elke zogenoemde ‘contracting authority’ moet voor elke cloudtoepassing formeel vaststellen op welk soevereiniteitsniveau zij opereert, en bij een negatieve uitkomst binnen 12 maanden migreren naar een hoger niveau. Dit maakt het CADA-risicoassessment een directe bestuurlijke verplichting, niet een vrijblijvende kwaliteitscheck.
Wie valt onder de CADA-risicobeoordelingsplicht van artikel 29?
CADA artikel 29 geldt voor elke ‘contracting authority’ in de zin van het Europese aanbestedingsrecht, aangevuld met een soevereiniteitsdimensie die het bereik verder vergroot dan de klassieke aanbestedingswet.
De definitie omvat nationale ministeries en uitvoeringsorganisaties, maar ook decentrale overheden zoals gemeenten, provincies en waterschappen. Zelfstandige bestuursorganen (ZBO’s) zoals het UWV, de Autoriteit Persoonsgegevens en de Nederlandse Mededingingsautoriteit vallen er eveneens onder, evenals publiekrechtelijke instellingen die voor meer dan 50% door de overheid worden gefinancierd. Voor de Nederlandse context betekent dit dat tienduizenden medewerkers verspreid over honderden organisaties direct onder de artikel 29-verplichting vallen.
De risicobeoordeling richt zich niet op de organisatie als geheel, maar op elke afzonderlijke cloudtoepassing of clouddienst. Een gemeente die Microsoft 365 gebruikt voor kantoorautomatisering en tegelijkertijd een Europese SaaS-oplossing inzet voor zaakbeheer, moet voor beide afzonderlijk een soevereiniteitsniveau vaststellen en dit documenteren.
De 12-maandentermijn: hoe werkt de migratieverplichting in de praktijk?
Een negatieve risicobeoordeling activeert automatisch een wettelijke migratieverplichting: de organisatie heeft 12 maanden om de betrokken cloudtoepassing te verplaatsen naar een CADA-soevereiniteitsniveau dat wel aan de eisen voldoet.
De klok begint te lopen op het moment dat de risicobeoordeling formeel is vastgesteld en goedgekeurd door het bevoegde interne orgaan, doorgaans de Chief Information Officer of een aangewezen compliance-functionaris. Twaalf maanden klinkt ruim, maar in de praktijk omvat een migratie van een productieomgeving drie fasen die elk substantiële doorlooptijd vergen: selectie en aanbesteding van een alternatieve aanbieder, technische migratie inclusief datacleaning en integratiebeheer, en contractuele beëindiging van de bestaande dienst inclusief data-verwijdering en exitverificatie.
CADA voorziet in een formele uitstelregeling, maar die is geen automatisch recht. Een organisatie die de termijn dreigt te overschrijden, moet bij de bevoegde toezichthouder een gemotiveerd verzoek indienen. Daarin dient zij drie zaken te onderbouwen: welke specifieke technische of contractuele belemmeringen een tijdige migratie verhinderen, wat het alternatieve tijdpad is, en welke compenserende beveiligingsmaatregelen zij in de tussentijd neemt. Een verwijzing naar algemene complexiteit of budgettaire krapte is onvoldoende grondslag voor uitstel.
Standaardisering van de beoordelingsmethodologie via COM(2026) 502 final
De Europese Commissie ontwikkelt via het wetgevingsdossier COM(2026) 502 final een geharmoniseerde methodologie waarmee lidstaten soevereiniteitsrisicobeoordelingen op vergelijkbare wijze kunnen uitvoeren en documenteren.
De methodologie werkt met een gelaagd scoringsmodel dat vier dimensies beoordeelt: de juridische jurisdictie van de aanbieder en haar moederonderneming, de fysieke locatie van dataopslag en verwerking, de toegangsrechten van niet-EU-autoriteiten op basis van wetgeving zoals de US CLOUD Act of de USA PATRIOT Act, en de mate van operationele afhankelijkheid van niet-EU-personeel of niet-EU-infrastructuur.
De Commissie heeft bij de ontwikkeling van dit kader nauw samengewerkt met de EuroCloud Federation, de Europese brancheorganisatie voor clouddienstverleners, om te waarborgen dat de methodologie aansluit op bestaande certificeringsstandaarden zoals EUCS (European Union Cybersecurity Certification Scheme for Cloud Services).
Cruciaal is de aansluiting op NIS-2. Organisaties die als essentiële entiteit onder NIS-2 Annex I vallen, zijn al verplicht tot systematisch risicobeheer van hun ICT-toeleveringsketen. De CADA-methodologie is inhoudelijk op deze NIS-2-vereisten afgestemd, zodat een geïntegreerde beoordeling beide verplichtingen in één document kan afdekken. Organisaties die NIS-2 al serieus uitvoeren, beschikken daarmee over een bruikbaar raamwerk als startpunt voor het CADA-assessment.
Aanbestedingsverplichting: CADA artikel 30 en de assurance levels
CADA artikel 30 introduceert een minimumnorm voor alle cloudaanbestedingen door contracting authorities: elke opdracht voor clouddiensten moet minimaal CADA assurance level 1 vereisen.
| CADA Assurance Level | Kernvereisten | Toepasselijk voor |
|---|---|---|
| Level 1 | Voldoet aan EU-wetgeving, geen automatische toegang voor derde-landsautoriteiten | Alle overheidsopdrachten (minimumeis) |
| Level 2 | EU-locatie van data en operaties, operationele autonomie van aanbieder | Publieke-ordeactiviteiten, gevoelige persoonsgegevens |
| Level 3 | Volledige gegevens- en operationele soevereiniteit, Europese eigendomsstructuur | Kritieke infrastructuur, bijzondere persoonsgegevens |
| Level 4 | Nationale of gezamenlijk Europese cloudinfrastructuur, strikt toegangsbeheer | Staatsgeheimen, nationale veiligheid |
Inkoopafdelingen moeten de CADA-assurance-levels integreren in hun aanbestedingsdocumentatie vóórdat een procedure wordt gestart. Dit betekent concreet dat het programma van eisen een soevereiniteitsparagraaf bevat, dat gunningscriteria de CADA-classificatie van de aanbieder meewegen, en dat contracten een exitclausule bevatten die aansluит op de migratieverplichting van artikel 29.
CADA artikel 32 introduceert aanvullend de zogenoemde Unie-meerwaardecriteria, die aanbestedende diensten kunnen toepassen om Europese aanbieders met een aantoonbare meerwaarde voor de digitale autonomie van de Unie extra weging te geven. Dit is geen verplichting maar een facultatief instrument, vergelijkbaar met sociale of duurzaamheidscriteria in de huidige aanbestedingspraktijk.
Gevolgen voor Nederlandse decentrale overheden en ZBO’s
Voor Nederlandse gemeenten, provincies, waterschappen en ZBO’s die nu werken met Big Tech-clouddiensten, heeft CADA een directe en dwingende betekenis op het niveau van gevoelige overheidstaken.
Diensten als Microsoft 365, Google Workspace en Salesforce Government Cloud worden in de huidige configuratie niet gecertificeerd op CADA level 2 of hoger. De reden is de jurisdictionele blootstelling aan de US CLOUD Act van 2018, die Amerikaanse autoriteiten in bepaalde omstandigheden toegang verschaft tot data die door Amerikaanse bedrijven wordt beheerd, ook als die data fysiek in Europa staat opgeslagen. Dit is precies het type risico dat de CADA-risicobeoordeling in kaart moet brengen.
“Digitale soevereiniteit is geen luxe maar een strategische noodzaak. Europese overheden die hun data uitbesteden aan aanbieders onder buitenlandse jurisdictie nemen een juridisch risico dat zij niet langer kunnen negeren.” (Thierry Breton, voormalig Eurocommissaris voor de Interne Markt, Europese Commissie)
Meer dan 75% van Europese overheidsinstanties maakt gebruik van clouddiensten van aanbieders buiten de EU (Europees Parlement, EPRS, 2023). Dit getal illustreert de omvang van de opgave waarvoor de CADA-implementatie de publieke sector stelt.
ENISA rapporteerde in haar Threat Landscape 2023 dat overheidsinstanties en de gezondheidszorg samen goed zijn voor meer dan 40% van alle gemelde ransomware-incidenten in Europa. De concentratie van overheidstaken in grootschalige cloudomgevingen met beperkte soevereiniteit vergroot het aanvalsoppervlak en de impact van dergelijke incidenten.
“De NIS-2-richtlijn vereist dat organisaties een systematische risicobeoordeling uitvoeren van hun ICT-toeleveringsketen, inclusief cloudproviders. Dit sluit naadloos aan op de soevereiniteitsvereisten die de Commissie nu verder uitwerkt.” (ENISA, Europees Agentschap voor Cybersecurity, NIS-2 Implementation Guidance)
Nederland telt naar schatting enkele duizenden organisaties die als essentiële of belangrijke entiteit onder NIS-2 vallen (NCSC, 2024). Voor deze organisaties is de combinatie van NIS-2-toezicht en de CADA-migratieverplichting een dubbele prikkel om de soevereiniteitsrisicobeoordeling serieus te nemen.
Exitstrategie en documentatie van technische onhaalbaarheid
De 12-maandentermijn is bedoeld als strakke norm, maar de wetgever erkent dat sommige migratietrajecten om objectieve redenen meer tijd vergen. De sleutel ligt in de kwaliteit van de documentatie.
Een organisatie die uitstel wil aanvragen, dient een exitstrategiedocument op te stellen dat de volgende elementen bevat: een inventarisatie van alle afhankelijkheden van de te migreren dienst (inclusief integraties, API-koppelingen en dataformaten), een aantoonbare marktverkenning waaruit blijkt welke alternatieve aanbieders op welk CADA-level beschikbaar zijn, een realistische projectplanning met mijlpalen en risicomitigatie, en een beschrijving van de compenserende maatregelen die de informatiepositie van de organisatie beschermen zolang de migratie nog niet is voltooid.
Migratie van een integraal werkplek-ecosysteem, zoals een overgang van Microsoft 365 naar een soevereine Nextcloud-omgeving gecombineerd met een lokaal gehoste AI-assistent die nooit op klantdata traint, is technisch complex maar uitvoerbaar binnen 18 tot 24 maanden bij gedegen projectmanagement. Het exitstrategiedocument is daarmee geen vertragingstactiek, maar een instrument om een haalbaar en controleerbaar alternatief tijdpad te legitimeren tegenover de toezichthouder.
Veelgestelde vragen
Welke organisaties vallen als ‘contracting authority’ onder CADA artikel 29?
CADA definieert ‘contracting authority’ breed: nationale en decentrale overheden, zelfstandige bestuursorganen, publiekrechtelijke instellingen en entiteiten die voor meer dan 50% publiek worden gefinancierd. Voor Nederland vallen gemeenten, provincies, waterschappen, het UWV, de Belastingdienst en grote publiek gefinancierde kennisinstellingen allemaal onder deze definitie.
Wat gebeurt er als een organisatie de 12-maandentermijn niet haalt?
De organisatie moet bij de bevoegde toezichthouder een gemotiveerd uitstelverzoek indienen. Daarin moet zij specifieke technische of contractuele belemmeringen onderbouwen, een alternatief tijdpad presenteren en aantonen welke compenserende maatregelen zijn getroffen. Uitstel is geen automatisch recht.
Wat is het verschil tussen CADA assurance level 1 en de hogere niveaus?
Level 1 vereist naleving van EU-wetgeving zonder automatische toegang voor derde-landsautoriteiten. Level 2 voegt EU-locatievereisten en operationele autonomie toe. Level 3 vereist volledige soevereiniteit inclusief Europese eigendomsstructuur. Level 4 is bestemd voor staatsgeheimen en vereist nationale of gezamenlijk Europese cloudinfrastructuur. Publieke-ordeactiviteiten vereisen minimaal level 2.
Hoe sluit de CADA-risicobeoordeling aan op NIS-2?
De methodologie van COM(2026) 502 final is inhoudelijk afgestemd op de NIS-2-risicobeheercriteria voor essentiële entiteiten (NIS-2 Annex I). Organisaties die NIS-2 al serieus uitvoeren, kunnen hun bestaande risicodocumentatie gebruiken als basis voor het CADA-assessment, al blijven beide verplichtingen juridisch zelfstandig.
Kunnen gemeenten bij een negatieve beoordeling Microsoft 365 blijven gebruiken?
Niet zonder aanvullende maatregelen. Microsoft 365 voldoet in de standaardconfiguratie niet aan CADA level 2 of hoger vanwege de US CLOUD Act-blootstelling. Tijdelijke compenserende maatregelen, zoals end-to-end-encryptie met sleutelbeheer binnen de EU, kunnen de risicobeoordelingsuitkomst beïnvloeden, maar ontslaan de organisatie niet van de migratieverplichting als de beoordeling negatief uitpakt.
