Een CADA derde-partijaudit voor soevereiniteitsniveaus 2, 3 en 4 is een gestructureerde onafhankelijke beoordeling die vaststelt of een cloudaanbieder voldoet aan de SEAL-niveaus (Sovereignty Evaluation and Assurance Levels) zoals gedefinieerd binnen het Cloud Act Due Assurance (CADA)-kader. Dit kader, uitgewerkt in CADA artikel 16 tot en met 21, legt de bewijslast voor soevereiniteit bij de aanbieder en verplicht externe verificatie door een geaccrediteerde conformiteitsbeoordelingsinstantie. Voor compliance officers en IT-besluitvormers in de overheid, de juridische sector en gereguleerde branches is kennis van dit auditproces essentieel bij inkoop, contractbeheer en risicobeheersing.
Accreditatie-eisen voor CADA-auditors op niveaus 2, 3 en 4
Alleen een erkende conformiteitsbeoordelingsinstantie (CAB) mag een CADA-audit uitvoeren. De accreditatie-eisen zijn per niveau verschillend en nemen toe in intensiteit.
Voor niveau 2 volstaat een CAB die geaccrediteerd is door een nationale accreditatie-instantie (NAB) overeenkomstig ISO/IEC 17065 (producten, processen en diensten). De auditor toetst of de zelfverklaring van de aanbieder overeenkomt met aantoonbare technische configuraties, maar voert geen diepgaande juridische ketenanalyse uit.
Voor niveaus 3 en 4 gelden aanvullende eisen. De CAB moet beschikken over gecombineerde expertise in EU-gegevensbeschermingsrecht, operationele cloudbeveiligingsarchitectuur en leveranciersketenadministratie. CADA artikel 17 vereist bovendien dat de auditor aantoonbaar geen economische band heeft met de te beoordelen aanbieder of diens moedermaatschappij, inclusief geen gezamenlijk aandeelhouderschap boven de 5%. De NAB verifieert dit jaarlijks via de accreditatieherziening.
Technische en juridische criteria bij niveau 3 en niveau 4
De auditkaders voor niveau 3 (Digital Resilience) en niveau 4 (volledige EU-toeleveringsketen) overlappen deels, maar niveau 4 voegt een ketengebonden verificatielaag toe die niveau 3 niet kent.
SEAL niveau 3: Digital Resilience
Bij een niveau 3-audit controleert de CAB de volgende technische criteria: versleuteling van data in rust en in transit met sleutels die uitsluitend onder EU-juridische controle staan, uitsluitende toegang door personeel dat geen werkvergunning heeft in een jurisdictie met extraterritoriale vorderingsbevoegdheden, en aantoonbare afwezigheid van back-upstromen naar datacenters buiten de EER.
De juridische beoordeling omvat een eigendomsstructuuranalyse tot het uiteindelijke begunstigde niveau (UBO) en een toets of de aanbieder of een moedermaatschappij is onderworpen aan de definitie van “electronic communication service provider” onder de Amerikaanse CLOUD Act (18 U.S.C. §2713). Als dat het geval is, kan niveau 3 niet worden verleend, ongeacht de technische maatregelen.
SEAL niveau 4: volledige EU-toeleveringsketen
Niveau 4 voegt aan bovenstaande criteria een volledige toeleveringsketenaudit toe conform CADA artikel 19 tot en met 21. De CAB verifieert dat alle kritieke subverwerkers, hardwareleveranciers van sleutelbeheermodules (HSM’s) en netwerkoperatoren die de dienst ondersteunen, zelf ook zijn gecertificeerd op minimaal SEAL niveau 2 of een gelijkwaardig erkend kader. Ontbrekende schakels in de keten zijn grond voor weigering van het niveau 4-certificaat.
| Criterium | SEAL niveau 2 | SEAL niveau 3 | SEAL niveau 4 |
|---|---|---|---|
| Audittype | Beperkte externe toets | Volledige derde-partijaudit | Volledige derde-partijaudit incl. ketenaudit |
| Juridische UBO-analyse | Beperkt | Verplicht | Verplicht, inclusief subverwerkers |
| CLOUD Act-toets | Zelfverklaring | Onafhankelijke verificatie | Onafhankelijke verificatie, gehele keten |
| Sleutelbeheer | Enkelvoudige EU-locatie | EU-personeel exclusief | HSM-leverancier ook gecertificeerd |
| Herauditfrequentie | Tweejaarlijks | Jaarlijks | Jaarlijks of bij materiele wijziging |
Registratie in het EU Cloud Sovereignty Repository
Na afronding van een geslaagde audit dient de CAB het rapport, samen met het CADA artikel 19 Statement of Conformity, in bij de bevoegde nationale autoriteit (NCA) van de lidstaat waar de hoofdvestiging van de aanbieder zich bevindt. De NCA valideert de rapportage en stuurt een geanonimiseerde certificaatvermelding door naar het EU Cloud Sovereignty Repository, beheerd door ENISA.
Het repository is publiek doorzoekbaar via het ENISA-portaal. Inkoopafdelingen kunnen filteren op diensttype, SEAL-niveau, en lidstaat van certificering. Het volledige Statement of Conformity is beschikbaar als PDF-download en kan als bijlage worden opgenomen in een aanbestedingsdossier of due-diligencearchief. ENISA actualiseert de database binnen vijf werkdagen na ontvangst van een NCA-goedkeuring.
Gartner stelt dat meer dan 75% van de Europese overheidsorganisaties gebruikmaakt van clouddiensten van Amerikaanse hyperscalers (Gartner, 2023). Het repository is mede opgezet om inkopers een alternatief inzichtelijk te maken, maar de praktische bruikbaarheid hangt af van de volledigheid van nationale aanmeldingen door de NCA’s.
De rol van nationale bevoegde autoriteiten
Elke lidstaat wijst een NCA aan die verantwoordelijk is voor de toelating en het toezicht op geaccrediteerde CABs, de inhoudelijke validatie van auditverslagen en de doorzending naar ENISA. In Nederland berust die rol bij het Rijksinspectoraat Digitale Infrastructuur (RDI) in samenwerking met de Nationaal Cyber Security Centrum (NCSC). In Duitsland is dat het Bundesamt für Sicherheit in der Informationstechnik (BSI).
De NCA controleert geen volledige hertechnische beoordeling, maar toetst of de CAB de juiste accreditatiescope had, of de auditprocedure conform CADA artikel 16-21 is gevolgd, en of het rapport logisch consistent is. Bij twijfel kan de NCA een aanvullend verhoor van de CAB-lead auditor eisen. Een goedgekeurd rapport wordt door de NCA voorzien van een tijdstempel en een uniek certificaatnummer dat ENISA overneemt in het repository.
De Europese Commissie heeft in het kader van de Cybersecurity Act 2.0 (CSA2) voorgesteld dat NCA’s onderling auditbevindingen uitwisselen via een gestandaardiseerd machineleesbaar formaat, zodat grensoverschrijdend gebruik van gecertificeerde aanbieders eenvoudiger wordt geauditeerd.
Van auditresultaat naar contractuele garanties
Het CADA artikel 19 Statement of Conformity is een juridisch document dat bedoeld is om in contracten te worden geïncorporeerd, maar het is geen automatische contractuele garantie. Organisaties moeten actief vertaalstappen zetten.
In een verwerkersovereenkomst (conform AVG artikel 28) dient de SEAL-status als bijlage te worden opgenomen, inclusief het certificaatnummer, de datum en het CADA-auditorrapport. Daarbij horen twee aanvullende clausules. Ten eerste een doorlopende conformiteitsverplichting: de verwerker garandeert dat hij zijn SEAL-niveau gedurende de looptijd van de overeenkomst behoudt en actief meldt wanneer dit dreigt te wijzigen. Ten tweede een auditrecht: de verwerkende organisatie behoudt het recht om op redelijke termijn een eigen of derde-partijaudit te laten uitvoeren als aanvulling op de CADA-cyclus.
In een SLA verankeren organisaties prestatiemetrieken die rechtstreeks voortvloeien uit de SEAL-eisen, zoals maximum responstijd bij een toegangsvorderende overheidsinstantie uit een derde land, maximale downtime van het sleutelbeheersysteem en meldingstermijnen bij een eigendomswijziging. IDC raamt de Europese markt voor soevereine cloud op 106 miljard euro in 2030, een verdrievoudiging ten opzichte van 2022 (IDC, 2023), wat de contractuele specificiteit van dit segment sterk vergroot.
Margrethe Vestager, voormalig Uitvoerend Vicevoorzitter van de Europese Commissie voor het digitale beleid, stelde hierover: “Sovereignty is not a checkbox. It requires continuous verification by independent parties who understand both the legal exposure and the technical stack.” Deze uitspraak weerspiegelt de filosofie achter de doorlopende auditcyclus in CADA: een eenmalig certificaat is onvoldoende.
Statusverlies: oorzaken en gevolgen
Een gecertificeerde aanbieder kan zijn SEAL-status verliezen door drie hoofdoorzaken: overname door een niet-EU-entiteit, een wijziging in de eigendomsstructuur die een nieuwe UBO-analyse vereist, of de inwerkingtreding van nieuwe extraterritoriale wetgeving in een derde land die de aanbieder of zijn subverwerkers juridisch onderwerpt.
CADA artikel 16 stelt dat bij een materiele eigendomswijziging de aanbieder binnen 30 dagen de NCA en al zijn gecertificeerde klanten moet informeren. De NCA kan de SEAL-status op non-actief zetten in het EU Cloud Sovereignty Repository gedurende de herauditperiode. Klanten zien dit als een statusverandering in hun zoekresultaten.
Max Schrems, oprichter van noyb, verwoordt het structurele probleem treffend: “The Cloud Act creates a structural conflict with GDPR that cannot be resolved by contractual clauses alone; only architectural and jurisdictional separation offers genuine protection.” Dit illustreert waarom statusverlies door een acquisitie geen formaliteit is, maar een reëel compliance-incident.
Organisaties die contractueel hebben vastgelegd dat het SEAL-niveau een minimumvereiste is voor de verwerkersrelatie, kunnen bij statusverlies gebruikmaken van een opzeggingsclausule zonder boete. Zonder die clausule riskeren zij een situatie waarbij ze juridisch gebonden zijn aan een verwerker wiens soevereiniteitsstatus niet meer geldt, terwijl ze tegelijkertijd AVG- en NIS-2-verplichtingen hebben. NIS-2 (Richtlijn 2022/2555) legt boetes op tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor niet-naleving door organisaties in kritieke sectoren (Europees Parlement, 2022).
Bij verlies van status door nieuwe extraterritoriale wetgeving, zoals een uitbreiding van de definitie in de CLOUD Act of een nieuw Chinees dataveiligheidswetgevingsdecreet dat van toepassing wordt op een subverwerker, is de verplichting tot heraudit identiek. De aanbieder kan in dat geval kiezen voor een architectuurwijziging die de juridische onderwerping opheft, waarna een verkorte heraudit mogelijk is.
Praktische aanbevelingen voor inkoopafdelingen en compliance officers
Inkoopafdelingen die cloudcontracten sluiten voor overheidsinstellingen of gereguleerde entiteiten, dienen het EU Cloud Sovereignty Repository te raadplegen als eerste selectiestap, nog voor een RFP-procedure. Het CADA artikel 19 Statement of Conformity moet als verplicht onderdeel van de offertevraag worden opgenomen. Bij niveaus 3 en 4 is het raadzaam om de volledige auditrapportage op te vragen, niet alleen het certificaat, zodat juridisch adviseurs de CLOUD Act-toets en de UBO-analyse zelfstandig kunnen beoordelen.
Compliance officers dienen jaarlijks te controleren of de SEAL-status van hun actieve cloudleveranciers nog geldig is in het repository, en een intern escalatieprotocol te onderhouden voor het geval de status verandert. Dit protocol moet aansluiten op de DPIA-cyclus (AVG artikel 35) en de incidentresponsprocedure onder NIS-2.
FAQ: CADA derde-partijaudit soevereiniteitsniveaus
Wat is het verschil tussen CADA soevereiniteitsniveau 2 en niveau 3?
Niveau 2 vereist een beperkte externe toets op datapositie en encryptie, aangevuld met een zelfverklaring. Niveau 3 vereist een volledige derde-partijaudit die ook operationele controle, uitsluitende EU-toegang en bewijslast van afwezigheid van extraterritoriale rechtsonderwerping verifieert. De bewijslast en diepte zijn fundamenteel anders.
Wie mag een CADA derde-partijaudit uitvoeren?
Alleen CABs die geaccrediteerd zijn door een NAB conform ISO/IEC 17065 en erkend zijn door de relevante NCA mogen CADA-audits uitvoeren. Voor niveaus 3 en 4 gelden aanvullende onafhankelijkheidseisen en multidisciplinaire expertisevereisten die in CADA artikel 17 zijn vastgelegd.
Hoe raadpleegt een inkoopafdeling het EU Cloud Sovereignty Repository?
Het repository is publiek toegankelijk via het ENISA-portaal. Inkoopafdelingen kunnen filteren op SEAL-niveau, diensttype en jurisdictie, en het CADA artikel 19 Statement of Conformity downloaden als bijlage bij aanbestedingsdossiers of due-diligencearchief.
Wat moet een organisatie doen als haar cloudleverancier wordt overgenomen door een niet-EU-partij?
Een eigendomswijziging triggert een verplichte heraudit onder CADA artikel 16-21. Zolang de heraudit niet is afgerond en goedgekeurd door de NCA, verliest het SEAL-certificaat zijn geldigheid. Organisaties dienen in hun verwerkersovereenkomst een opzeggingsrecht op te nemen dat ingaat bij verlies van soevereiniteitsstatus.
Vervangt een CADA-audit een GDPR-gegevensbeschermingseffectbeoordeling (DPIA)?
Nee. Een CADA-audit beoordeelt soevereiniteit en technische weerbaarheid. Een DPIA is een afzonderlijke verplichting onder AVG artikel 35 en blijft verplicht wanneer verwerking een hoog risico oplevert, ongeacht het SEAL-niveau van de cloudleverancier.
