De EuroCloud Federation, zoals voorzien in CADA artikel 34, is een pan-Europees juridisch en organisatorisch kader waarbinnen overheidsorganisaties gezamenlijk cloudinfrastructuur inrichten, beheren en gebruiken zonder afhankelijkheid van niet-Europese jurisdicties. Dit kader is een directe beleidsreactie op de structurele blootstelling van Europese overheden aan extraterritoriale wetgeving, waaronder de US CLOUD Act en de Patriot Act, die Amerikaanse autoriteiten toegang kunnen verlenen tot gegevens die opgeslagen zijn bij Amerikaanse cloudleveranciers, ook wanneer die gegevens fysiek in Europa staan.
Wat regelt CADA artikel 34?
CADA artikel 34 legt de juridische grondslag vast voor de EuroCloud Federation als gedeeld cloudkader voor publieke entiteiten in EU-lidstaten. De bepaling voorziet in een mechanisme waarbinnen lidstaten, regionale overheden en aangewezen publieke instellingen kunnen participeren in een gemeenschappelijke cloudinfrastructuur met afgesproken soevereiniteitsniveaus.
In de praktijk betekent dit dat een gemeente, een ministerie of een nationale veiligheidsdienst clouddiensten kan afnemen via de federatie in plaats van zelf een aanbestedingstraject te doorlopen voor een soevereine cloudoplossing. De federatie handelt de juridische, technische en contractuele randvoorwaarden centraal af, zodat deelnemende organisaties binnen een vooraf geverifieerd soevereiniteitskader opereren.
CADA onderscheidt meerdere soevereiniteitsniveaus, die variëren van basisvereisten voor dataresidenctie in de EU tot volledige juridische immuniteit voor extraterritoriale wetgeving, gecombineerd met operationele controle door Europese entiteiten. De EuroCloud Federation kwalificeert voor het hoogste niveau, omdat zij uitsluitend opereert onder EU-jurisdictie, gebruikmaakt van open-source software zonder propriëtaire lock-in, en aantoonbaar voldoet aan het Gaia-X Trust Framework, de technische en juridische standaard voor erkende soevereine Europese cloudaanbieders.
Digital Commons EDIC: de open-source ruggengraat
De Digital Commons EDIC (European Digital Infrastructure Consortium) is het aanvullende instrument dat de technologische en open-source laag levert waarop de EuroCloud Federation kan opereren. Waar de EuroCloud Federation het juridische en beleidsmatige kader biedt, voorziet Digital Commons EDIC in gedeelde, open-source softwarecomponenten die door publieke entiteiten gezamenlijk worden beheerd en doorontwikkeld.
De opzet van een EDIC is vastgelegd in EU-verordening 2021/694 (het Digital Europe Programme) en maakt het mogelijk dat consortia van lidstaten en publieke instellingen gezamenlijk digitale infrastructuur opbouwen zonder dat één partij eigendomsrechten claimt over de gedeelde componenten. Voor Digital Commons EDIC betekent dit concreet: gedeelde broncode, gedeelde beveiligingsaudits en gedeelde aansprakelijkheidsstructuren voor de onderliggende softwarelaag.
De aankomende Open Source Strategy van de Europese Commissie (verwacht juni 2026) versterkt dit kader verder door open-source inzet structureel te verankeren in aanbestedings- en inkoopbeleid voor Europese instellingen en lidstaten. De strategie bouwt voort op de Open Source Strategy 2020-2023 en verankert het beginsel dat publiek gefinancierde software in principe publiek beschikbaar moet zijn, het zogenoemde “public money, public code”-principe.
Open-source software speelt om twee redenen een centrale rol: transparantie en controleerbaarheid. Overheden die afhankelijk zijn van propriëtaire software, kunnen de werking ervan niet onafhankelijk verifiëren. Bij open-source software kunnen nationale veiligheidsautoriteiten en onafhankelijke auditors de broncode doorlichten, iets wat commerciële hyperscalers structureel weigeren voor hun kernsystemen.
Voordelen ten opzichte van individuele soevereine inkooptrajecten
Voor gemeenten en kleinere overheidsinstanties zijn individuele soevereine cloudinkooptrajecten een kostbare en juridisch complexe opgave. Een gemiddelde gemeente beschikt niet over de interne juridische capaciteit om zelfstandig een cloudcontract te toetsen aan CADA-soevereiniteitsniveaus, NIS-2 (Richtlijn EU 2022/2555) en de AVG tegelijkertijd.
| Kenmerk | Individueel soeverein inkooptraject | EuroCloud Federation (CADA art. 34) |
|---|---|---|
| Juridische toetsing soevereiniteit | Per organisatie, hoge kosten | Centraal afgehandeld, gedeelde lasten |
| Aanbestedingsplicht | Volledig van toepassing | Deels ondervangen via kadercontract |
| NIS-2 compliance | Eigen verantwoordelijkheid | Federatief geborgd |
| Open-source controleerbaarheid | Afhankelijk van leverancierskeuze | Verplicht via Digital Commons EDIC |
| Schaalvoordelen inkoop | Geen of beperkt | Aanzienlijk door gezamenlijk volume |
De federatieve structuur verlaagt de drempel voor kleinere publieke organisaties om te voldoen aan strenge soevereiniteitsvereisten, die anders alleen haalbaar zijn voor grote rijksdiensten met eigen juridische afdelingen.
“Een federatieve publieke sectorcloud is geen optie meer, het is een democratische noodzaak. Overheden die hun gegevens onderbrengen bij Amerikaanse hyperscalers dragen feitelijk soevereiniteit over aan private entiteiten die onder de CLOUD Act vallen.”
Marietje Schaake, technologiepolitica en voormalig Europarlementariër
De 8ra Initiative en pan-Europese aansluiting voor Nederlandse organisaties
De 8ra Initiative (Eight Regions Alliance) brengt acht Europese regio’s samen die gezamenlijk investeren in open-source digitale publieke infrastructuur. Voor Nederlandse overheidsorganisaties biedt de 8ra Initiative een vroeg instappunt in het pan-Europese ecosysteem, vooruitlopend op de formele uitrol van de EuroCloud Federation.
Aansluiting bij de 8ra Initiative of Digital Commons EDIC is niet strijdig met Nederlandse nationale soevereiniteitsverplichtingen, mits aan twee voorwaarden wordt voldaan. Ten eerste moet de gegevensverwerking plaatsvinden binnen de grenzen van de Baseline Informatiebeveiliging Overheid (BIO), die de minimale beveiligingsnormen voor Nederlandse overheidsorganisaties vastlegt. Ten tweede moet de verwerkingsverantwoordelijkheid juridisch bij de Nederlandse organisatie blijven, ook als de technische verwerking federatief plaatsvindt.
In de praktijk vereist dit een Data Processing Agreement (DPA) die expliciet de verwerkingsverantwoordelijkheid belegt bij de deelnemende Nederlandse overheidsinstantie, niet bij de federatie als geheel. De EuroHPC Joint Undertaking, die voor 2027 ruim 7 miljard euro aan investeringen heeft gemobiliseerd voor Europese cloudinfrastructuur, biedt hiervoor deels de technologische onderbouw, maar de juridische structuur van de EuroCloud Federation bepaalt wie uiteindelijk als verwerkingsverantwoordelijke optreedt.
Governance en aansprakelijkheid bij gedeelde publieke cloudinfrastructuur
Gedeelde cloudinfrastructuur onder EU-toezicht brengt specifieke governance- en aansprakelijkheidsvraagstukken met zich mee die bij individuele inkooptrajecten niet spelen.
Ten eerste: wie is aansprakelijk bij een datalek dat zijn oorsprong vindt in de gedeelde infrastructuur maar gevolgen heeft voor één specifieke deelnemende organisatie? Onder de AVG rust de meldplicht en primaire aansprakelijkheid bij de verwerkingsverantwoordelijke, dat wil zeggen de deelnemende overheidsorganisatie zelf. De federatie kan contractueel aansprakelijk worden gesteld als medeverwerkingsverantwoordelijke of verwerker, afhankelijk van de inrichting.
Ten tweede: hoe worden beslissingen over beveiligingsupdates, wijzigingen in de technische architectuur of contractuele aanpassingen genomen binnen de federatie? De EuroCloud Federation voorziet in een multilaterale bestuursstructuur waarbij lidstaten via stemrecht invloed uitoefenen, vergelijkbaar met de governance van de EuroHPC Joint Undertaking. Dit model voorkomt dat één lidstaat of één leverancier eenzijdig beslissingen kan doorvoeren die andere deelnemers raken.
Ten derde rijst de vraag naar controle bij incidenten. ENISA stelde vast dat 58 procent van de significante cyberincidenten in de publieke sector in 2022 te herleiden was tot gecompromitteerde cloudinfrastructuur of derdenleveranciers (ENISA Threat Landscape 2022). Bij federatieve infrastructuur vergroot een incident bij één deelnemer potentieel het aanvalsoppervlak voor andere deelnemers. NIS-2 artikel 21 verplicht betrokken entiteiten expliciet tot maatregelen voor het beheersen van risico’s in de toeleveringsketen, inclusief cloudleveranciers.
“Open source is niet slechts een technologische keuze, maar een bestuurlijke keuze: wie de broncode bezit, bepaalt uiteindelijk de spelregels van de digitale publieke ruimte.”
Thierry Breton, voormalig Eurocommissaris voor de Interne Markt, Europese Commissie Open Source Strategy
De Gaia-X Trust Framework biedt hiervoor een gedeeltelijke oplossing door technische interoperabiliteitseisen en minimale beveiligingsnormen te standaardiseren voor alle deelnemende aanbieders. Cloudproviders die willen participeren in de EuroCloud Federation moeten aantoonbaar voldoen aan het Gaia-X Trust Framework, wat een externe verificatielaag toevoegt bovenop interne governance-afspraken.
Soevereiniteitsnormen en kwalificatievereisten
Om te kwalificeren voor de hoogste soevereiniteitsclassificatie onder CADA moet een federatieve publieke sectorcloud voldoen aan een combinatie van eisen op vier domeinen. Op het juridische vlak: geen eigendoms- of bestuursstructuren die vatbaar zijn voor extraterritoriale wetgeving van derde landen. Op het technische vlak: end-to-end encryptie met sleutelbeheer uitsluitend door Europese entiteiten, en aantoonbare resistentie tegen toekomstige kwantumcomputeraanvallen via post-kwantumcryptografie conform NIST-standaarden. Op het operationele vlak: personeel en beheer uitsluitend onder EU-rechtsmacht. Op het auditieve vlak: toegankelijkheid voor nationale toezichthouders en onafhankelijke beveiligingsaudits.
Voor Nederlandse organisaties die overwegen aan te sluiten, is het advies om de BIO-classificatie van de te verwerken gegevens als uitgangspunt te nemen. Gegevens met een hoge vertrouwelijkheidsclassificatie vereisen aansluiting bij een EuroCloud Federation-node die het hoogste CADA-niveau haalt; voor minder gevoelige werkprocessen kan aansluiting op een lager soevereiniteitsniveau al volstaan.
FAQ
Wat regelt CADA artikel 34 precies en voor wie geldt het?
CADA artikel 34 legt de juridische basis vast voor de EuroCloud Federation, een gedeeld cloudkader voor overheidsorganisaties in EU-lidstaten. Het richt zich op publieke entiteiten die gezamenlijk cloudinfrastructuur willen inkopen en beheren met gegarandeerde Europese soevereiniteit, dus zonder blootstelling aan extraterritoriale wetgeving zoals de US CLOUD Act.
Wat is het verschil tussen de EuroCloud Federation en Digital Commons EDIC?
De EuroCloud Federation is het federatieve juridische en organisatorische kader voor gedeelde publieke sectorcloud, gebaseerd op CADA artikel 34. Digital Commons EDIC levert de open-source softwarelaag en de gedeelde digitale commons waarop de federatie draait. De EDIC biedt de technische en governance-infrastructuur; de EuroCloud Federation biedt de juridische en beleidsmatige structuur.
Kunnen Nederlandse gemeenten nu al aansluiten bij de EuroCloud Federation?
De EuroCloud Federation is nog in opbouw. Nederlandse gemeenten kunnen zich oriënteren via de VNG en het Rijks ICT-gilde. Aansluiting bij de 8ra Initiative of Digital Commons EDIC is al verder gevorderd en biedt een vroeg instappunt in de pan-Europese open-source cloudinfrastructuur, zonder dat dit strijdig is met nationale soevereiniteitsverplichtingen onder de BIO.
Welke soevereiniteitsniveaus erkent CADA en hoe kwalificeert de EuroCloud Federation daarvoor?
CADA onderscheidt meerdere soevereiniteitsniveaus op basis van dataresidenctie, operationele controle en juridische immuniteit voor extraterritoriale wetgeving. De EuroCloud Federation kwalificeert voor het hoogste niveau doordat zij uitsluitend opereert onder EU-jurisdictie, gebruikmaakt van open-source software zonder propriëtaire afhankelijkheden, en technisch en juridisch voldoet aan het Gaia-X Trust Framework.
Hoe verhoudt de EuroCloud Federation zich tot de EuroHPC Joint Undertaking?
De EuroHPC Joint Undertaking bouwt Europese supercomputing- en cloudinfrastructuur en fungeert als een van de technologische pijlers waarop de EuroCloud Federation kan steunen voor rekenkracht en opslagcapaciteit. De EuroCloud Federation richt zich meer op bestuurlijk en beleidsmatig vlak, terwijl EuroHPC de concrete hardware- en cloudcapaciteit levert die soeverein beheerd kan worden.
