De Europese publieke sectorcloud-federatie, zoals omschreven in artikel 34 van de voorgestelde Cloud Act for Data Access (CADA), is een juridisch en technisch kader dat EU-lidstaten in staat stelt om soevereine rekencapaciteit onderling te delen, uitsluitend ten behoeve van overheidsinstanties. Daarmee beoogt CADA een structureel antwoord te geven op de huidige situatie waarin Europese overheden voor hun cloudinfrastructuur grotendeels afhankelijk zijn van niet-Europese technologiebedrijven die vallen onder buitenlandse jurisdicties.
Wat regelt CADA artikel 34 precies?
CADA artikel 34 legt de verplichting op aan lidstaten om gezamenlijk een gefedereerde cloudinfrastructuur voor de publieke sector op te zetten, waarbij iedere deelnemende lidstaat capaciteit kan inbrengen en afnemen. De federatie is geen centraal geleid platform, maar een netwerk van nationaal beheerde knooppunten die interoperabel zijn op basis van gemeenschappelijke technische en juridische standaarden.
Het toepassingsbereik is bewust beperkt: uitsluitend overheidsinstanties van EU-lidstaten komen in aanmerking als deelnemer. Dat omvat nationale ministeries, uitvoeringsorganisaties, rechterlijke instanties en decentrale overheden. Private aanbieders zijn uitgesloten als capaciteitsinbrenger, maar kunnen als gecertificeerde technologiepartner de infrastructuur leveren of onderhouden, mits zij voldoen aan de soevereiniteitsvereisten van CADA artikel 16.
De Europese Commissie, via DIGIT (Directoraat-Generaal Informatica), speelt een coördinerende rol: het publiceert de technische referentiearchitectuur, beheert het certificeringsstelsel voor inbrengers en houdt toezicht op interoperabiliteit. DIGIT werkt hierbij samen met de EuroCloud Federation, die als sectororganisatie de technische en governance-standaarden mee helpt vormgeven.
Juridische en technische vereisten voor deelnemende lidstaten
Lidstaten die capaciteit inbrengen in de federatie, moeten aan een reeks cumulatieve vereisten voldoen voordat hun infrastructuur als soeverein wordt erkend.
Juridische vereisten
De ingebrachte infrastructuur mag niet onderworpen zijn aan wetgeving buiten de EU die toegang door derden mogelijk maakt zonder Europese rechterlijke toetsing. Dit sluit aanbieders met een Amerikaanse moedermaatschappij effectief uit, omdat de Amerikaanse CLOUD Act extraterritoriale gegevensvorderingen mogelijk maakt, ook wanneer de data fysiek in Europa staat opgeslagen. Hetzelfde geldt voor de Patriot Act en de FISA Section 702, die inlichtingendiensten vergaande bevoegdheden geven.
Lidstaten moeten bovendien kunnen aantonen dat het eigendom en de zeggenschap over de infrastructuur volledig Europees is. Hybride constructies waarbij een Europese entiteit formeel eigenaar is maar de technologie licentieert van een Amerikaans bedrijf, volstaan niet voor het hoogste soevereiniteitsniveau.
Technische vereisten
Op technisch vlak schrijft CADA artikel 34 voor dat de federatieknooppunten onderling communiceren via open, gedocumenteerde API-standaarden. De Sovereign Cloud Stack (SCS), een open-sourceproject van de Open Source Business Alliance, is expliciet aangewezen als referentie-implementatie voor overheidsaanbieders die de federatie willen versterken. SCS biedt een volledig open stack op basis van OpenStack, Kubernetes en Ceph, zonder propriëtaire vergrendelingsmechanismen.
Encryptie in transit en at rest is verplicht, en sleutelbeheer moet uitsluitend in handen zijn van de verwerkende overheid. Post-quantum cryptografie is in de CADA-toelichting benoemd als toekomstig vereiste, in lijn met de ENISA-aanbevelingen over kwantumbestendige algoritmen (zoals CRYSTALS-Kyber en CRYSTALS-Dilithium) die in het NIST-standaardisatieproces zijn geselecteerd.
Toegang voor organisaties zonder eigen datacenter
Een van de kernbedoelingen van CADA artikel 34 is het bieden van een gelijkwaardige route voor kleinere lidstaten en decentrale overheden, zoals Nederlandse gemeenten, die geen eigen datacenterinfrastructuur bezitten of kunnen bekostigen.
Via de federatie kunnen deze organisaties rekencapaciteit afnemen bij een inbrengende lidstaat, op basis van bilateral of multilaterale overeenkomsten die zijn gestandaardiseerd door DIGIT. De afnemende organisatie behoudt daarbij volledige juridische controle over haar data: de verwerkersrelatie wordt vastgelegd in een verwerkersovereenkomst die conform AVG-vereisten is opgesteld, met expliciete bepalingen over incident response, datatransfers en beëindiging van de overeenkomst.
Het EuroHPC Joint Undertaking biedt hierbij een aanvullende laag: de meer dan 20 supercomputers die EuroHPC JU in 2024 beheerde, verspreid over EU-lidstaten met een gecombineerde investering van meer dan 7 miljard euro (EuroHPC JU, jaarverslag 2023), kunnen in specifieke gevallen worden ingezet voor rekentaken van overheden die de federatie gebruiken. Dit geldt met name voor complexe modellering, cryptografische verwerkingstaken en toekomstige AI-toepassingen in de publieke sector.
Soevereiniteitsniveaus onder CADA artikel 16
CADA artikel 16 definieert een gelaagd systeem van soevereiniteitsniveaus. Diensten die via de publieke sectorcloud-federatie worden aangeboden, moeten aantoonbaar het hoogste niveau bereiken.
| Niveau | Omschrijving | Toepassingsgebied |
|---|---|---|
| Niveau 1 | Basisnaleving AVG, datalocatie in EU | Commerciële clouddiensten, niet geschikt voor federatie |
| Niveau 2 | Europees eigendom, geen extra-EU juridische onderschikking | Overheidsdiensten met beperkte gevoeligheid |
| Niveau 3 (vereist voor federatie) | Volledig Europees eigendom en beheer, eigen sleutelbeheer, open architectuur, geen licentieafhankelijkheid buiten EU | Verplicht voor alle diensten via CADA artikel 34-federatie |
Margrethe Vestager, voormalig Europees Commissaris voor Digitale Zaken, verwoordde de urgentie: “Digitale soevereiniteit is geen luxe maar een strategische noodzaak voor Europese overheden. Zonder controle over de onderliggende infrastructuur is er geen echte zeggenschap over overheidsdata.” (Europese Commissie, Digital Decade conferentie)
Governance- en aansprakelijkheidsrisico’s bij grensoverschrijdende afhankelijkheid
Het federatiemodel introduceert een nieuw type afhankelijkheidsrisico: wanneer een Nederlandse gemeente rekencapaciteit afneemt bij, bijvoorbeeld, een Estse overheidsprovider, blijft de verwerkingsverantwoordelijkheid onder de AVG onverminderd bij de Nederlandse gemeente liggen. Een technische fout, een datalek of een service-onderbreking aan Estse zijde ontslaat de gemeente niet van haar meldplicht jegens de Autoriteit Persoonsgegevens.
Stéphanie Combes, directeur van de Health Data Hub en spreker op Europese datastrategie-conferenties, benadrukte een verwant risico: “De publieke sectorcloud-federatie kan alleen slagen als de governance-structuren zo zijn ingericht dat geen enkele lidstaat eenzijdig toegang kan ontzeggen of data kan inzien van een andere deelnemende overheid.” (Health Data Hub, publieke presentatie 2023)
Politiek continuïteitsrisico vormt een tweede categorie. Wanneer een lidstaat om politieke of budgettaire redenen besluit zijn capaciteit terug te trekken uit de federatie, moeten afnemende organisaties migratiescenario’s voorbereid hebben. CADA artikel 34 vereist daarom dat inbrengers minimaal 18 maanden opzegtermijn hanteren en tijdens die periode volledige data-portabiliteit garanderen in een open formaat.
Het Cloud Leadership Initiative, een adviesorgaan dat de Europese Commissie ondersteunt bij de uitvoering van de digitale-decenniumdoelstellingen, heeft aanbevolen dat lidstaten onderling wederzijdse auditrechten vastleggen, zodat de technische soevereiniteitsclaims van inbrengende partners onafhankelijk verifieerbaar zijn.
Verhouding tot nationale initiatieven
Meer dan 15 EU-lidstaten hadden eind 2023 een nationaal cloud- of datasouvereiniteitsinitiatief aangekondigd of operationeel (ENISA, Cloud Cybersecurity Market Analysis, 2023). De twee meest volwassen initiatieven zijn de Deutschland-Stack en de Franse Cloud de Confiance.
Deutschland-Stack
De Deutschland-Stack is een Duits overheidsinitiatief dat een volledig soevereine softwarestack beoogt voor de federale overheid, gebaseerd op open-sourcecomponenten. Het sluit nauw aan op de Sovereign Cloud Stack (SCS) als technische basis. De Deutschland-Stack is in principe inzetbaar als CADA-federatieknooppunt, maar de governance is op dit moment primair nationaal georiënteerd. Integratie in de Europese federatie vereist aanpassingen in de dienstverleningsovereenkomsten en openheid voor buitenlandse overheden als afnemers.
Cloud de Confiance (SecNumCloud)
De Franse Cloud de Confiance is gekoppeld aan het SecNumCloud-certificeringsschema van ANSSI (het Franse cyberbeveiligingsagentschap). SecNumCloud stelt vergelijkbare eisen als CADA niveau 3 en sluit expliciet aanbieders uit met eigendomsstructuren die onder niet-EU-recht vallen. De Cloud de Confiance is daarmee technisch goed voorbereid op federatiedeelname, maar de Française benadering is strikter ten aanzien van datalocatie dan de CADA-vereisten minimaal voorschrijven, wat onderhandelingen over capaciteitsinbreng kan compliceren.
Synthese
De CADA-federatie is geen vervanging van nationale initiatieven, maar een koepelstructuur die bestaande soevereine knooppunten verbindt. Lidstaten die al hebben geïnvesteerd in conforme nationale infrastructuur, kunnen als ankerpartners optreden voor lidstaten die dat nog niet hebben gedaan. De EuroCloud Federation coördineert de afstemming tussen nationale initiatieven en de Europese federatiestandaarden, en fungeert als forum voor technische harmonisatie buiten de formele wetgevingsprocedures om.
FAQ: CADA artikel 34 en de Europese publieke sectorcloud-federatie
Voor wie is CADA artikel 34 bedoeld en wie mag deelnemen aan de publieke sectorcloud-federatie?
CADA artikel 34 richt zich op overheidsinstanties van EU-lidstaten, waaronder nationale ministeries, uitvoeringsorganisaties en decentrale overheden zoals gemeenten. Deelname staat open voor instanties die voldoen aan de soevereiniteitsvereisten en de vastgestelde technische standaarden accepteren. Private partijen zijn uitgesloten als capaciteitsinbrenger, maar kunnen als gecertificeerde technologieleverancier ondersteuning bieden.
Welk soevereiniteitsniveau schrijft CADA voor diensten in de federatie voor?
Diensten aangeboden via de CADA artikel 34-federatie moeten het hoogste soevereiniteitsniveau halen: volledig Europees eigendom, geen juridische onderschikking aan niet-EU-wetgeving (waaronder de Amerikaanse CLOUD Act), en aantoonbare technische controle over encryptie en toegangsbeheer door de verwerkende overheid zelf.
Hoe verschilt de CADA-federatie van Gaia-X?
Gaia-X is een breder industrieel initiatief dat interoperabiliteitsnormen definieert voor zowel publieke als private clouddiensten en gebaseerd is op vrijwillige markttoetreding. CADA artikel 34 is bindende wetgeving die uitsluitend gericht is op de publieke sector en rechtstreekse verplichtingen oplegt aan lidstaten. De CADA-federatie kan Gaia-X-standaarden overnemen, maar heeft een strikter juridisch en sanctie-regime.
Wat zijn de aansprakelijkheidsrisico’s als een gemeente rekencapaciteit afneemt van een andere lidstaat?
De verwerkingsverantwoordelijkheid onder de AVG blijft bij de gemeente, ook als de technische fout bij de buitenlandse inbrenger lag. De gemeente blijft meldplichtig bij de Autoriteit Persoonsgegevens. Expliciete verwerkersovereenkomsten, duidelijke incidentresponsprocedures en vastgelegde hersteltijden in service level agreements zijn daarom geen optie maar een vereiste.
Hoe verhoudt de CADA-federatie zich tot de Deutschland-Stack en Cloud de Confiance?
Beide nationale initiatieven zijn technisch goed gepositioneerd als toekomstige knooppunten in de CADA-federatie, maar hun governance is momenteel nationaal georiënteerd. Integratie vereist aanpassingen in dienstverleningsovereenkomsten en erkenning van buitenlandse overheden als legitieme afnemers. Kleinere lidstaten zonder vergelijkbare nationale initiatieven zijn het sterkst gebaat bij de federatiestructuur omdat die hen soevereine rekencapaciteit biedt zonder eigen grootschalige investering.
