Het begrip soevereine cloud verwijst naar clouddiensten waarbij de juridische controle over data, de encryptiesleutels en de operationele toegang aantoonbaar buiten de invloedssfeer van niet-EU-rechtsmacht valt. De aanbesteding Cloud III Dynamic Purchasing System van de Europese Commissie heeft dit begrip geoperationaliseerd via een gestructureerd beoordelingskader, maar de uitkomst roept ook nieuwe vragen op: zijn alle vier de geselecteerde leveranciers werkelijk soeverein, en wat betekent dit voor organisaties buiten de EU-instellingen?
De Cloud III-constructie: vier winnaars, één opvallende structuur
De Europese Commissie selecteerde via het Cloud III Dynamic Purchasing System vier leveranciers voor soevereine clouddiensten aan EU-instellingen. De geselecteerde partijen zijn Post Telecom/OVHcloud, STACKIT (onderdeel van de Schwarz Gruppe), Scaleway en de joint venture S3NS, een samenwerking tussen Thales en Google Cloud, aangeboden via Proximus als Belgisch toegangspunt.
OVHcloud en Scaleway zijn volledig Europees eigendom en bouwen op eigen hardware en datacenters. STACKIT opereert eveneens vanuit een volledig Europese structuur, met datacenters in Duitsland. De positie van S3NS wijkt hier structureel van af: Google Cloud levert de onderliggende technologie, terwijl Thales als erkende Franse entiteit de operationele controle claimt te voeren, inclusief het beheer van de encryptiesleutels.
De rol van Proximus in de S3NS-aanbieding
Proximus treedt op als Belgische contractspartner en biedt via S3NS toegang tot de Google Cloud-infrastructuur in een zogenaamd “trusted cloud”-model. De versleuteling wordt beheerd door Thales, zodat Google Cloud-medewerkers in principe geen toegang hebben tot de plaintext data. Dit is de technische kern van de soevereiniteitsaanspraak.
Residuele jurisdictierisico’s: wat de SEAL-kwalificatie niet wegneemt
Een SEAL-kwalificatie vermindert bepaalde risico’s, maar elimineert de Amerikaanse jurisdictie over Google-entiteiten niet volledig.
De Amerikaanse CLOUD Act (Clarifying Lawful Overseas Use of Data Act, ondertekend in maart 2018) verplicht Amerikaanse technologiebedrijven om data over te dragen aan Amerikaanse autoriteiten wanneer die data “in the possession, custody, or control” is van dat bedrijf, ongeacht waar de data fysiek is opgeslagen. De sleutelvraag bij S3NS is of Google LLC juridisch gezien “custody or control” heeft over data waarvoor Thales de encryptiesleutels beheert.
Het antwoord is juridisch genuanceerd. Als de versleuteling robuust is en Google technisch aantoonbaar geen toegang heeft tot de plaintext, verzwakt dit de CLOUD Act-grondslag voor een succesvolle vordering. Maar de juridische procedure zelf kan worden gestart, en de uitkomst hangt af van hoe een Amerikaanse rechtbank de feitelijke technische en contractuele relatie tussen Google Cloud en Thales kwalificeert. Dit residu van juridische onzekerheid is voor organisaties met een hoog soevereiniteitsvereiste een reden tot terughoudendheid.
Het European Data Protection Board bevestigde in zijn Aanbevelingen 01/2020 dat Standard Contractual Clauses zonder aanvullende technische maatregelen onvoldoende bescherming bieden bij datatransfers naar de VS. Technische scheiding via sleutelbeheer kan zo’n aanvullende maatregel zijn, maar vereist een per-geval-beoordeling.
“Soevereiniteit begint niet bij de datalocatie, maar bij de vraag wie de sleutels beheert en wie juridisch toegang kan afdwingen.” (European Data Protection Supervisor, EDPS)
Het EU Cloud Sovereignty Framework: 48 criteria als zelfbeoordelingsinstrument
Het Cloud Sovereignty Framework dat de Commissie publiceerde biedt ook buiten de Cloud III-aanbesteding een bruikbare structuur voor inkoopbeslissingen.
Het framework omvat 48 criteria verdeeld over vijf domeinen (datalocatie, operationele controle, encryptie en sleutelbeheer, supply chain, en juridische structuur) en kent drie SEAL-niveaus:
| SEAL-niveau | Kernvereisten | Geschikt voor |
|---|---|---|
| Bronze | Data in EU, contractuele transparantie, geen niet-EU dataoverdracht zonder toestemming | Administratieve systemen, niet-geclassificeerde werkprocessen |
| Silver | Operationele controle door EU-entiteit, EU-beheerde encryptiesleutels, audits | Gevoelige beleidsdocumenten, persoonlijke gegevens onder AVG/GDPR |
| Gold | Volledige technologische onafhankelijkheid van niet-EU-spelers, open broncode of verifieerbare stack | Staatsgeheimen, kritieke infrastructuur, inlichtingendiensten |
Compliance officers kunnen de 48 criteria gebruiken als checklist bij eigen aanbestedingen. Concreet betekent dit: vraag leveranciers per criterium om schriftelijk bewijs, niet om een verklaring. Encryptie op Gold-niveau vereist bijvoorbeeld dat de sleutelbeheersoftware zelf geen Amerikaanse componenten bevat en dat de broncode auditeerbaar is.
“Organisaties mogen niet aannemen dat een ‘soeverein’ label automatisch bescherming biedt tegen buitenlandse rechtsmacht; zij moeten zelf de contractuele en technische waarborgen doorlichten.” (ENISA, EU-agentschap voor cybersecurity)
Exitclausules en portabiliteitsrechten per leverancier
Vendor lock-in is een concreet risico bij alle vier de Cloud III-leveranciers, zij het in verschillende mate.
OVHcloud en Scaleway opereren op basis van open standaarden (S3-compatibele objectopslag, OpenStack, Kubernetes) en bieden structureel betere portabiliteitsgaranties dan propriëtaire stacks. STACKIT leunt deels op SAP-gebaseerde diensten, wat platformspecifieke afhankelijkheden kan creëren. S3NS erft de propriëtaire Google Cloud API-laag, wat migratie naar een andere aanbieder complexer maakt.
Organisaties moeten bij contractonderhandeling minimaal de volgende clausules opnemen:
- Exportrecht voor alle data in open, gedocumenteerde formaten (ODF, CSV, JSON, open API-specificaties) zonder extra kosten.
- Een gegarandeerde migratieperiode van minimaal zes tot twaalf maanden na opzegging, inclusief technische ondersteuning.
- Expliciet verbod op dataretentie of -gebruik door de leverancier na contracteinde.
- Volledige technische documentatie van configuraties, inclusief netwerktopologie en rolstructuren.
- Recht op onafhankelijke technische audit gedurende de contractperiode.
Hybride soevereine cloud versus NIS-2, DORA en de Cyberbeveiligingswet
Voor organisaties die vallen onder NIS-2 (Richtlijn EU 2022/2555) of DORA (Verordening EU 2022/2554) is de keuze voor een hybride soevereine cloud geen louter technische beslissing.
NIS-2 verplicht aanbieders van essentiële en belangrijke diensten tot expliciete risicobeheersing voor de volledige ICT-toeleveringsketen, inclusief cloud- en hostingdiensten. Dit omvat eisen rond incidentmelding, toegangsbeheer en continuïteit. Een SEAL-kwalificatie adresseert een deel van deze eisen, maar NIS-2 vereist ook dat organisaties zelf aantoonbaar inzicht hebben in de toeleveringsketen van hun cloudleverancier, tot op het niveau van subverwerkers.
DORA, gericht op de financiële sector, voegt hieraan toe dat kritieke ICT-dienstverleners contractueel moeten voldoen aan specifieke auditrechten, exitrechten en concentratierisicomonitoring. Een constructie waarbij Google Cloud als technologieleverancier niet rechtstreeks partij is in het contract (maar via Thales/S3NS opereert) kan de uitoefening van DORA-auditrechten bemoeilijken.
Voor organisaties onder de Belgische Cyberbeveiligingswet (omzetting NIS-2) of de Nederlandse implementatiewetgeving geldt hetzelfde: de nationale toezichthouders (CCB in België, NCSC/RDI in Nederland) beoordelen niet de SEAL-status, maar de feitelijke beheersmaatregelen van de individuele organisatie.
Lessen voor decentrale overheden en private organisaties
De Cloud III-aanbesteding is primair bedoeld voor EU-instellingen. Decentrale overheden, gemeenten, zorginstellingen en private ondernemingen in gereguleerde sectoren kunnen het framework echter als referentiekader gebruiken voor eigen inkoop.
De belangrijkste les is dat soevereiniteit een specificatieverplichting is, geen leveranciersbelofte. Concreet betekent dit:
- Definieer vooraf welk SEAL-niveau past bij de risicobereidheid van uw organisatie en de gevoeligheid van de data, en leg dit vast in de aanbestedingseisen.
- Vraag leveranciers om per criterium aantoonbaar bewijs, niet om een algemene verklaring van soevereiniteit.
- Onderscheid technologische soevereiniteit (wie levert de onderliggende software) van operationele soevereiniteit (wie beheert de systemen) en juridische soevereiniteit (welk recht is van toepassing op datavorderingen).
- Weeg de exitkosten mee in de totale kostprijsberekening, niet alleen de licentie- en hostingkosten.
Decentrale overheden die samenwerken met EU-instellingen (bijvoorbeeld in Interreg-programma’s of gedeelde databases) moeten bovendien nagaan of hun cloudkeuze compatibel is met de Cloud III-vereisten van hun EU-partner. Een mismatch in soevereiniteitsniveau kan de gegevensuitwisseling juridisch compliceren.
Voor organisaties die vanuit een Microsoft 365-omgeving willen migreren naar een soevereinere werkruimte biedt het Cloud Sovereignty Framework ook handvatten: de criteria rond sleutelbeheer, subverwerkers en auditrechten zijn direct toepasbaar op de evaluatie van alternatieven als een zelfgehoste Nextcloud-omgeving of een Europese SaaS-aanbieder zonder Amerikaanse moedermaatschappij.
