De Digital Markets Act (EU) 2022/1925 introduceert de categorie van de “gatekeeper”: een aanbieder van een kernplatformdienst met een zodanige marktpositie dat hij de toegang van zakelijke gebruikers tot eindgebruikers structureel bepaalt. In juni 2026 heeft de Europese Commissie een voorlopige gatekeeperaanwijzing uitgesproken voor de clouddiensten van Amazon Web Services (AWS) en Microsoft Azure. Voor compliance officers en IT-beslissers in de overheid, juridische sector en gereguleerde branches roept dit directe vragen op: wat betekent dit nu al, en wat nog niet?
De voorlopige aanwijzing: wat is er precies gebeurd?
Een voorlopige aanwijzing is geen definitief besluit. DG COMP, de directoraat-generaal Mededinging van de Europese Commissie, heeft in november 2025 een onderzoek geopend naar de marktpositie van grote cloudaanbieders. De voorlopige conclusie van juni 2026 stelt vast dat AWS en Azure voldoen aan de kwantitatieve drempelwaarden van de DMA: een jaaromzet van meer dan 7,5 miljard euro binnen de EU en meer dan 45 miljoen maandelijkse eindgebruikers.
Het definitieve besluit vereist een formele hoorzitting, waarbij de betrokken aanbieders verweer kunnen voeren. AWS en Microsoft hebben historisch gezien gebruik gemaakt van juridische procedures om aanwijzingen te vertragen of te beperken. Organisaties die nu beslissingen nemen over cloudstrategie, moeten rekening houden met het feit dat de volledige DMA-verplichtingen voor clouddiensten juridisch pas afdwingbaar worden na een onherroepelijk definitief besluit.
Welke verplichtingen volgen uit een definitieve aanwijzing?
De DMA legt gatekeepers een reeks verplichtingen op die direct relevant zijn voor cloudmobiliteit. De kernverplichtingen voor clouddiensten zouden, bij een definitieve aanwijzing, zijn gebaseerd op artikel 6 van de DMA.
| Verplichting | Wat het betekent voor cloudafnemers | Tijdlijn (indicatief) |
|---|---|---|
| Interoperabiliteit | Technische koppelvlakken (API’s) moeten toegankelijk zijn voor derde aanbieders | Binnen 6 maanden na definitief besluit |
| Verbod op anti-switching gedrag | Contractuele of technische drempels die migratie belemmeren zijn verboden | Direct na definitief besluit |
| Dataportabiliteit | Data moet overdraagbaar zijn in gangbare formaten, zonder buitensporige kosten | Binnen 6 maanden na definitief besluit |
| Transparantie over egresskosten | Aanbieders moeten kosten voor dataoverdracht duidelijk publiceren | Direct na definitief besluit |
Synergy Research Group rapporteerde in 2024 dat AWS circa 31% en Microsoft Azure circa 22% van de wereldwijde cloudmarkt in handen hebben. Deze concentratie is precies de marktmacht die de DMA wil corrigeren.
De Data Act loopt vooruit op de DMA
Voor organisaties die niet kunnen wachten op een definitief DMA-besluit, biedt de Data Act (EU) 2023/2854 al concrete rechten. De wet is per september 2025 van toepassing. Artikelen 23 tot en met 31 verplichten cloudaanbieders tot switchondersteuning, functionele equivalentie bij dataoverdracht, en het afbouwen van egresskosten naar nul binnen drie jaar na inwerkingtreding van de wet.
Margrethe Vestager, voormalig Executive Vice-President van de Europese Commissie, formuleerde het als volgt: “Cloud providers must not use technical or contractual means to prevent customers from switching or multi-homing. The DMA changes the power balance fundamentally.”
De Data Act geldt voor alle cloudaanbieders, niet alleen voor toekomstige DMA-gatekeepers. Dat maakt de switchrechten uit artikelen 23-31 nu al afdwingbaar, ook als de DMA-procedure nog loopt.
CADA: aanbestedingsverplichtingen voor overheden
Voor publieke organisaties zijn de artikelen 32 en 33 van de Data Act van bijzonder belang. Deze bepalingen, in de praktijk ook aangeduid als de CADA-migratievereisten, verplichten aanbestedende diensten om bij nieuwe cloudcontracten aantoonbare exitpaden te eisen. Dat betekent dat overheidsinstanties bij aanbestedingen moeten bedingen dat contractuele en technische portabiliteit is gewaarborgd, inclusief maximale afhankelijkheidsperiodes. Thierry Breton, voormalig EU-Commissaris voor de Interne Markt, onderstreepte dit: “The Data Act’s switching provisions are a floor, not a ceiling. Member states and procuring authorities can and should go further in requiring portability by contract.”
Wat vergroot de DMA in de praktijk, en wat niet?
Een definitieve DMA-aanwijzing vergroot de juridische drukmiddelen voor organisaties die van AWS of Azure willen migreren. Concreet betekent dit dat aanbieders geen disproportionele egresskosten meer mogen rekenen, dat technische blokkades op API-niveau verboden worden, en dat Europese toezichthouders handhavend kunnen optreden met boetes tot 10% van de wereldwijde jaaromzet.
Wat de DMA echter niet doet: zij dwingt AWS of Azure niet om hun propriëtaire diensten technisch identiek te maken aan alternatieven zoals Nextcloud of andere soevereine platforms. Organisaties die migreren van Azure naar een on-premise of Zwitserse cloudomgeving, zullen nog steeds zelf de technische migratiearbeid moeten verrichten. De DMA verlaagt de drempels, maar neemt het migratiewerk niet over.
Gartner stelde in 2023 vast dat dataoverdrachtskosten bij cloudmigraties kunnen oplopen tot 8-10% van de totale clouduitgaven. De Data Act dwingt dit naar nul, maar alleen na de overgangsperiode. Organisaties die nu migreren, komen deels nog in aanraking met de oude kostensystematiek.
Reële tijdlijn voor DMA-voordelen bij cloudmigratie
Compliance officers die een migratiestrategie plannen, moeten rekening houden met de volgende reële tijdlijn. Het DG COMP-onderzoek dat in november 2025 werd geopend, leidt naar verwachting in 2026-2027 tot een definitief besluit, afhankelijk van de complexiteit van het verweer van AWS en Microsoft. Daarna volgt een implementatietermijn van zes tot twaalf maanden voor de technische verplichtingen. Eventuele beroepsprocedures bij het Gerecht van de EU kunnen dit verder verlengen tot 2028 of later.
De Europese Commissie schatte in haar Data Act Impact Assessment dat lock-in praktijken Europese afnemers tot 27 miljard euro per jaar kunnen kosten. Dit getal illustreert de urgentie, maar ook de complexiteit van het probleem: de schade loopt nu al op, terwijl handhaving jaren vergt.
Het risico van afwachten als migratiestrategie
Sommige IT-beslissers redeneren dat zij kunnen wachten tot de DMA volledig van kracht is voordat zij een cloudmigratie initiëren. Dit is een risicovol standpunt om drie redenen.
Ten eerste blijven de risico’s van de Amerikaanse CLOUD Act en de Patriot Act onveranderd van kracht. Amerikaans federaal recht verplicht AWS en Microsoft om op bevel van een Amerikaanse rechtbank toegang te verlenen tot klantdata, ongeacht waar die data fysiek is opgeslagen. De DMA wijzigt dit niet. NIS-2-naleving en GDPR-aansprakelijkheid vereisen dat organisaties in gereguleerde sectoren deze jurisdictionele risico’s nu al beheersen, niet na 2028.
Ten tweede is de technische migratiecomplexiteit onafhankelijk van de DMA. Een migratie van Microsoft 365 naar een soevereine werkruimte op basis van Nextcloud vergt planning, datamapping, gebruikerstraining en beveiligingsinrichting, inclusief quantum-veilige encryptie conform de NIST-standaarden die in 2024 zijn gepubliceerd. Hoe langer deze voorbereiding uitblijft, hoe groter de afhankelijkheidsschade.
Ten derde biedt de Data Act, die al van toepassing is, al nu handvatten om egresskosten te betwisten en portabiliteitsverplichtingen contractueel af te dwingen. Organisaties die nu onderhandelen over cloudcontracten kunnen de Data Act-rechten al inroepen, zonder te wachten op de DMA.
Soevereine alternatieven en de verhouding tot DMA-rechten
De combinatie van DMA-rechten en Data Act-switchverplichtingen maakt de stap naar soevereine opslag, op eigen infrastructuur of bij Europese aanbieders in jurisdicties zoals Zwitserland, concreter en juridisch beter onderbouwd. Waar een organisatie voorheen volledig afhankelijk was van de goodwill van AWS of Azure bij een exittraject, biedt de combinatie van beide wetgevingen nu afdwingbare minimumstandaarden.
Voor organisaties in de overheid, rechtspraak of gezondheidszorg, waar NIS-2 en GDPR strikte eisen stellen aan datalokaliteit en verwerkersovereenkomsten, is deze juridische ondergrond een relevant argument richting bestuurders die besluitmomenten willen uitstellen. De wetgeving biedt een solide grondslag voor een businesscase voor soevereine alternatieven, los van de technologische merites van specifieke platforms.
De DMA-gatekeeperstatus van AWS en Azure is daarmee geen eindpunt, maar een beginpunt van een langdurig handhavingsproces. Organisaties die nu al de technische en contractuele stap zetten naar soevereine alternatieven, profiteren zowel van de al geldende Data Act-rechten als van de toekomstige DMA-verplichtingen, zonder de risico’s van de wachtperiode te dragen.
FAQ
Zijn AWS en Azure al officieel aangewezen als DMA-gatekeeper voor clouddiensten?
In juni 2026 is sprake van een voorlopige aanwijzing door de Europese Commissie. Een definitieve aanwijzing vereist een formeel besluit van DG COMP. Tot die tijd gelden de volledige DMA-verplichtingen voor clouddiensten nog niet.
Wat verandert de Data Act al nu voor organisaties die van AWS of Azure willen migreren?
De Data Act (EU) 2023/2854 is per september 2025 van toepassing. Artikelen 23-31 verplichten cloudaanbieders al nu tot het bieden van switchondersteuning, functionele equivalentie bij overdracht en het afbouwen van egresskosten naar nul binnen drie jaar na inwerkingtreding.
Wat zijn CADA artikelen 32-33 en voor wie gelden ze?
Artikelen 32 en 33 van de Data Act verplichten aanbestedende overheidsinstanties bij nieuwe cloudcontracten aantoonbare exitpaden te eisen, inclusief portabiliteitseisen en maximale afhankelijkheidsperiodes. Ze gelden voor alle publieke organisaties die vallen onder het aanbestedingsrecht.
Wat is het risico van wachten op volledige DMA-handhaving voordat ik migreer?
Handhaving duurt jaren: aanwijzing, bezwaar, rechtszaken en implementatietermijnen kunnen tot 2028-2030 lopen. Intussen blijven CLOUD Act-risico’s, NIS-2-verplichtingen en GDPR-aansprakelijkheid gewoon van kracht. Organisaties die nu al migreren, profiteren bovendien van lagere egress-tarieven die de Data Act afdwingt.
Verplicht de DMA AWS en Azure om hun diensten technisch interoperabel te maken met Nextcloud of andere soevereine alternatieven?
Een definitieve gatekeeperaanwijzing voor clouddiensten zou interoperabiliteitsverplichtingen kunnen opleggen op basis van artikel 6 DMA, maar de exacte reikwijdte hangt af van het Commissiebesluit. Technische interoperabiliteit met specifieke alternatieve platforms is geen automatisch gevolg van de DMA-status, en vervangt niet de noodzaak van een eigen migratietraject.
