De CADA soevereiniteitsassuranceniveaus (Cloud Act voor Digitale Autonomie, in EU-vocabulaire ook aangeduid als het Data Act-aanvullend kader voor cloudsoevereiniteit) definiëren per niveau exacte technische en organisatorische drempelwaarden waaraan cloudcomputingdiensten moeten voldoen voordat zij als soeverein beschouwd mogen worden. Voor compliance officers en IT-besluitvormers in overheid, juridische sector en gereguleerde industrieën bepaalt de keuze van het juiste niveau rechtstreeks welke architectuur, eigendomsstructuur en auditlast acceptabel zijn.
Wat CADA artikel 16 per niveau concreet eist
CADA artikel 16 en Annex II splitsen de soevereiniteitsassuranceniveaus op in vier lagen, elk met eigen minimumvereisten op het vlak van jurisdictie, eigendom, technische beveiliging en externe verificatie.
Niveau 1: transparantie als vertrekpunt
Op niveau 1 volstaat een cloudprovider met het openbaar maken van de gegevenslocatie, de toepasselijke rechtsstelsels en de contractuele mechanismen die de klant beschermen tegen onrechtmatige buitenlandse toegang. Er is geen externe audit vereist en er gelden geen eigendomsbeperkingen. Voor organisaties zonder wettelijke verplichting tot hogere soevereiniteitsgaranties kan dit niveau voldoende zijn als startpunt, maar het biedt geen bescherming tegen de extraterritoriale werking van wetten als de Amerikaanse CLOUD Act of Section 702 FISA.
Niveau 2: EU-jurisdictie en eerste auditplicht
Vanaf niveau 2 treden de eigendomsvereisten in werking. De cloudprovider moet aantoonbaar zijn opgericht en juridisch gevestigd in de Europese Economische Ruimte, en de uiteindelijke zeggenschap moet bij EU-entiteiten berusten. Dit betekent dat providers met een Amerikaans, Chinees of anderszins niet-EU-moederbedrijf niveau 2 niet kunnen behalen zonder structurele juridische afscherming, zoals een aparte EU-entiteit met operationeel gescheiden beheer en geen doorzichtige eigendomsinvloed van buiten de EER.
Op architectuurniveau verplicht niveau 2 dat alle klantgegevens uitsluitend worden verwerkt en opgeslagen binnen de EER. Hybride architecturen zijn toegestaan, maar het niet-EER-deel mag geen toegang hebben tot onversleutelde klantgegevens. Dit dwingt organisaties tot een zorgvuldige segmentatie: workloads die buiten de EER draaien, moeten cryptografisch van de soevereine kern worden afgescheiden.
Niveau 3: operationele autonomie en geavanceerde sleutelbeheervereisten
Niveau 3 voegt aan de niveau-2-vereisten toe dat de cloudprovider operationeel autonoom moet kunnen functioneren, ook wanneer verbindingen met niet-EU-entiteiten wegvallen. Dit vereist redundante, volledig EER-interne beheerinfrastructuur en sleutelbeheer waarbij de klant of een onafhankelijke EU-partij de cryptografische sleutels beheert, niet de provider zelf. Bring Your Own Key (BYOK) volstaat niet meer; vereist is Hold Your Own Key (HYOK) of een gelijkwaardige constructie waarbij de provider structureel geen toegang heeft tot onversleuteld materiaal.
Voor on-premise keuzes is niveau 3 het meest relevante ijkpunt: wie eigen hardware in een co-locatiecentrum exploiteert met zelfbeheerd sleutelbeheer en volledig EU-eigendom van de beheersoftware, voldoet in de regel aan de technische kern van niveau 3. De organisatie moet dan wel kunnen aantonen dat ook de softwarestack (hypervisor, orkestratie, monitoring) vrij is van componenten met niet-EU-moederbedrijven die toegangsrecht claimen.
Niveau 4: maximale assurance voor hoogrisicogegevens
Niveau 4 is bedoeld voor gerubriceerde overheidsinformatie en kritieke infrastructuursectoren. De vereisten omvatten fysieke toegangsbeveiliging conform nationale veiligheidsnormen, kwantumveilige cryptografie voor data-at-rest en data-in-transit, en continue monitoring door gecertificeerde SOC-teams die uitsluitend uit EU-onderdanen bestaan. Annex II specificeert dat de provider een door de nationale bevoegde autoriteit erkende conformiteitsbeoordelingsinstantie moet inschakelen voor de initiële certificering en voor elk jaarlijks hernieuwingsaudit.
De EUCS-koppeling: hogere cybersecuritycertificering als soevereiniteitsbewijs
CADA en het European Cybersecurity Certification Scheme for Cloud Services (EUCS) zijn ontworpen als complementaire kaders. CADA artikel 16 verwijst expliciet naar de EUCS-niveaus Substantial en High als erkend bewijs voor een reeks technische vereisten op respectievelijk niveau 3 en niveau 4.
Juhan Lepassaar, uitvoerend directeur van ENISA, formuleerde dit als volgt: “ENISA’s role under CADA is to maintain the technical benchmarks that tie cybersecurity certification levels to sovereignty assurance, ensuring that higher EUCS levels translate directly into stronger sovereignty guarantees.”
In de praktijk betekent dit dat een organisatie die een cloudprovider selecteert met een EUCS High-certificering, een deel van de technische due diligence kan overdragen aan het certificeringsproces. De auditinstantie die het EUCS High-certificaat heeft verleend, heeft al gecontroleerd op EER-only verwerking, penetratietests en incidentresponsprocedures. CADA accepteert dit als voldoende bewijs voor de overeenkomende technische vereisten, wat de totale auditlast beperkt. Wel blijven de soevereiniteitsspecifieke vereisten, zoals eigendomsstructuur en sleutelbeheer, een aparte toets vereisen die niet door EUCS wordt gedekt.
Auditprocedure via nationale autoriteiten en het Unierepository
Voor CADA-niveaus 2 tot en met 4 geldt de erkenningsprocedure van CADA artikel 17. Een cloudprovider die in het Unierepository soevereine clouddiensten wil worden opgenomen, doorloopt de volgende stappen:
- Samenstellen van een conformiteitsdossier met technische architectuurdocumentatie, eigendomsbewijzen en relevante certificeringen (waaronder EUCS indien aanwezig).
- Indiening bij de nationale bevoegde autoriteit van de lidstaat waar de provider zijn primaire EU-vestiging heeft.
- Beoordeling door een erkende conformiteitsbeoordelingsinstantie, die een auditrapport opstelt.
- Validatie door de nationale autoriteit en doorsturen naar de ENISA-coördinatiefunctie voor opname in het Unierepository.
Voor inkoopafdelingen is het kritisch te begrijpen dat opname in het Unierepository niet automatisch verlenging inhoudt. Elk jaar moet een hernieuwingsaudit worden uitgevoerd, waarvoor de Europese Commissie in haar impact assessment een bedrag van circa 14.000 euro per auditcyclus heeft geraamd. Dit bedrag dekt uitsluitend de externe auditkosten; interne voorbereidingsuren voor documentatie en stakeholdergesprekken zijn niet inbegrepen.
Lucilla Sioli, directeur-generaal AI en Digitale Industrie bij de Europese Commissie, benadrukte op de European Cloud and Edge Computing Conference 2023: “Sovereignty in the cloud is not a feature you can bolt on afterwards; it must be engineered into the architecture from the ground up, including ownership structures, operational control and cryptographic guarantees.”
TCO-berekening: auditkosten als structurele post
Het is een veelgemaakte fout om CADA-auditkosten als eenmalige aanloopkost te boeken. De hernieuwingscyclus maakt ze tot een jaarlijkse verplichting. Voor een correcte TCO-berekening over een contractperiode van vijf jaar moeten de volgende posten worden meegenomen:
| Kostenpost | Eenmalig | Jaarlijks terugkerend |
|---|---|---|
| Initiële conformiteitsaudit (niveaus 2-4) | €20.000 – €40.000 (schatting) | Niet van toepassing |
| Jaarlijkse hernieuwingsaudit | Niet van toepassing | circa €14.000 |
| Interne voorbereidingsuren (40-80 uur) | Niet van toepassing | €4.000 – €8.000 (afhankelijk van uurtarief) |
| Herstelmaatregelen bij auditbevindingen | Variabel | Variabel, reserveer 10-15% van auditkosten |
Over vijf jaar kan de compliance-last exclusief infrastructuurkosten al snel oplopen tot meer dan 100.000 euro, een bedrag dat in initiële offertes van cloudproviders doorgaans niet zichtbaar is. Inkoopafdelingen doen er goed aan deze posten expliciet op te nemen in het programma van eisen en bij gunningscriteria te vragen naar een gespecificeerde meerjarige auditplanning.
Architectuurimplicaties: on-premise als niveau-3-optie
Voor organisaties in de overheid en gereguleerde sectoren biedt een volledig on-premise of hybride architectuur met eigen sleutelbeheer een heldere route naar CADA-niveau 3. De kernvereisten, namelijk EU-eigendom van alle componenten, operationele autonomie en HYOK-sleutelbeheer, zijn met eigen hardware en open-source-orkestratiemiddelen zoals Kubernetes in combinatie met een EU-gebaseerde PKI-infrastructuur te realiseren zonder afhankelijkheid van een externe cloudprovider die zelf het Unierepository-traject moet doorlopen.
Het SEAL-niveaus 0-4 Cloud Sovereignty Framework, een aanvullend referentiekader dat door sectororganisaties wordt gebruikt naast CADA, bevestigt dit: on-premise deployments met aantoonbaar EU-eigendom van de volledige stack scoren structureel hoger op operationele autonomie dan publieke clouddiensten, ook wanneer die laatste in het Unierepository zijn opgenomen. Het framework benadrukt dat soevereiniteit geen binaire toestand is maar een spectrum, waarbij architectuurkeuzes op stack-, netwerk- en beheersniveau elk afzonderlijk bijdragen aan het totale assuranceprofiel.
Volgens ENISA verwerken overheidsinstanties in de EU momenteel meer dan 75% van hun cloudworkloads via providers met niet-EU-moederbedrijven, wat de structurele omvang van de transitie-opgave illustreert voor organisaties die richting CADA-niveau 2 of hoger willen bewegen.
FAQ
Wat is het verschil tussen CADA soevereiniteitsassuranceniveau 1 en niveau 2?
Niveau 1 stelt alleen basisvereisten aan transparantie over gegevenslocatie en toepasselijk recht. Niveau 2 voegt daaraan toe dat de cloudprovider aantoonbaar onder EU-jurisdictie en EU-eigendom valt, dat er een externe audit plaatsvindt en dat het aanbod geregistreerd staat in het Unierepository soevereine clouddiensten.
Vanaf welk CADA-niveau is EU-eigendom van de cloudprovider verplicht?
Vanaf niveau 2 moeten cloudproviders eigendom zijn van en gecontroleerd worden door entiteiten die onder EU-recht zijn opgericht. Dit sluit providers met een niet-EU-moederbedrijf effectief uit, tenzij er structurele juridische afscherming is aangetoond via een operationeel volledig gescheiden EU-entiteit.
Hoe werkt de koppeling tussen EUCS-certificering en CADA-niveaus in de praktijk?
CADA artikel 16 koppelt expliciet aan de EUCS-niveaus Substantial en High. Een EUCS High-certificering, uitgereikt op basis van ENISA-technische criteria, geldt als voldoende bewijs voor meerdere technische vereisten op CADA-niveau 3 en 4, waardoor dubbele audits deels vermeden kunnen worden. De soevereiniteitsspecifieke vereisten, zoals eigendomsstructuur en sleutelbeheer, blijven een separate toets vereisen.
Wat moet een inkoopafdeling regelen voordat een cloudprovider in het Unierepository wordt opgenomen?
De inkoopafdeling moet erop toezien dat de provider een conformiteitsdossier indient bij de nationale bevoegde autoriteit via de procedure van CADA artikel 17. Dit dossier omvat technische architectuurdocumentatie, eigendomsbewijzen, auditverslagen en eventuele EUCS-certificaten. Pas na validatie door de nationale autoriteit en ENISA is vermelding in het Unierepository mogelijk. Inkoopafdelingen moeten contractueel vastleggen wie verantwoordelijk is voor dit traject en de bijbehorende kosten.
Hoe verwerk ik auditkosten van circa €14.000 per jaar correct in een TCO-berekening voor soevereine cloudinkoop?
Tel de jaarlijkse auditkosten op bij de directe licentie- en infrastructuurkosten. Voeg ook interne voorbereidingsuren toe (doorgaans 40 tot 80 uur per auditcyclus) en reserveer een post voor herstelmaatregelen als een audit tekortkomingen blootlegt. Over een contractperiode van vijf jaar loopt dit al snel op tot meer dan 100.000 euro aan verborgen compliance-kosten die in een initieel bod niet zichtbaar zijn.
