De CADA SME zelfattestatie soevereiniteitsniveau 1 is de vereenvoudigde conformiteitsprocedure waarmee cloudaanbieders die als mkb-onderneming kwalificeren kunnen aantonen dat hun dienst voldoet aan het laagste soevereiniteitsniveau binnen de Cyber Act Delegated Act (CADA), zonder dat daarvoor een onafhankelijke derde-partijaudit vereist is. Deze route is relevant voor inkoopafdelingen, compliance officers en IT-beslissers in de overheid, juridische sector en andere gereguleerde omgevingen die Europese cloudleveranciers willen vergelijken op geloofwaardigheid van hun conformiteitsverklaring.
Wat is CADA en hoe werkt het niveausysteem?
CADA is de gedelegeerde verordening die de Europese Commissie heeft vastgesteld op basis van de EU Cybersecurity Act. Het kader definiëert vier soevereiniteitsniveaus voor clouddiensten, waarbij elk hoger niveau strengere eisen stelt aan toegangsbeheer, gegevenslokalisatie, encryptie en externe afhankelijkheden. CADA artikel 16 omschrijft de criteria voor niveau 1, het instapniveau dat gericht is op diensten met een laag tot middel risicoprofiel.
Voor niveau 2 tot en met 4 is een conformiteitsbeoordeling door een geaccrediteerde derde partij verplicht. CADA artikel 19 introduceert de uitzondering: cloudaanbieders die kwalificeren als SME mogen niveau 1 aantonen via een Statement of Conformity, een door de aanbieder zelf opgestelde en ondertekende verklaring. De Nationale bevoegde autoriteit (NCA) van de betreffende lidstaat ontvangt deze verklaring en kan toezicht uitoefenen, maar is niet verplicht tot actieve voorafgaande goedkeuring.
Welke cloudaanbieders kwalificeren als SME onder CADA?
De SME-definitie in CADA verwijst naar Aanbeveling 2003/361/EG van de Europese Commissie. Een onderneming kwalificeert als mkb als zij aan alle drie de volgende criteria voldoet: maximaal 249 medewerkers, een jaaromzet van maximaal 50 miljoen euro, en een balanstotaal van maximaal 43 miljoen euro. Cloudaanbieders die een van deze drempels overschrijden, verliezen de SME-status en daarmee het recht op zelfattestatie voor niveau 1.
In de praktijk betekent dit dat een groot deel van de Europese cloudmarkt in aanmerking komt. Meer dan 99% van alle ondernemingen in de EU valt onder de mkb-definitie (Europese Commissie, Annual Report on European SMEs, 2023). Tegelijkertijd beheersen drie Amerikaanse hyperscalers, AWS, Microsoft Azure en Google Cloud, circa 65 tot 70% van de Europese cloudmarkt (Synergy Research Group, 2023). De CADA-vereenvoudiging richt zich dus op een segment dat qua aantal aanbieders groot is, maar qua marktaandeel klein.
Inhoud van een Statement of Conformity voor niveau 1
Een geldig Statement of Conformity voor CADA soevereiniteitsniveau 1 is meer dan een ondertekend formulier. Op basis van CADA artikel 32 en 33 moet de verklaring ten minste de volgende elementen bevatten: een nauwkeurige beschrijving van de aangeboden clouddienst en de scope van de conformiteit, een onderbouwing van de technische en organisatorische maatregelen die invulling geven aan de vereisten van artikel 16, een overzicht van alle subverwerkers en hun vestigingsland, en een verwijzing naar de relevante normen of standaarden die zijn gehanteerd, zoals ISO/IEC 27001 of de specificaties uit het EU Cloud Rulebook.
Het verschil met een derde-partijaudit voor de hogere niveaus is principieel. Bij niveau 2 tot en met 4 toetst een door ENISA of de NCA geaccrediteerde conformiteitsbeoordelingsinstantie de feitelijke implementatie. Bij zelfattestatie ontbreekt die onafhankelijke verificatie volledig. De aanbieder beoordeelt en beschrijft zijn eigen naleving, ondertekent de verklaring, en draagt daarmee de volledige bewijslast als later vragen rijzen.
| Kenmerk | Niveau 1 (zelfattestatie SME) | Niveau 2 tot 4 (derde-partijaudit) |
|---|---|---|
| Verificatie door | De aanbieder zelf | Geaccrediteerde conformiteitsinstantie |
| Betrokkenheid NCA | Ontvangst en toezicht achteraf | Actieve goedkeuring vereist |
| Vereiste voor SME-status | Ja, verplicht voor zelfattestatieroute | Niet relevant |
| Technische normen | Identiek aan overige niveaus (conform artikel 16) | Niveau-afhankelijk, oplopende strengheid |
| Aansprakelijkheid bij onjuistheid | Volledig bij aanbieder en indirect bij inkoper | Gedeeld met auditinstantie |
Hoe beoordeelt een inkoper de zelfattestatie betrouwbaar?
Het ontbreken van een onafhankelijke audit maakt de beoordelingsverantwoordelijkheid groter voor de inkooporganisatie. ENISA benadrukt dat organisaties die clouddiensten inkopen op basis van zelfattestatie hun eigen due diligence moeten uitvoeren, omdat de verificatielast bij de koper ligt (ENISA, EUCS-toelichting).
Inkoopafdelingen kunnen de betrouwbaarheid op vier manieren versterken. Ten eerste: vraag het volledige Statement of Conformity op en controleer of alle verplichte elementen van CADA artikel 32 en 33 aanwezig zijn, inclusief de subverwerkerlijst met vestigingslanden. Ten tweede: verifieer de SME-status van de aanbieder aan de hand van publieke jaarrekeningen of een verklaring van een externe accountant; een aanbieder die zijn SME-status ten onrechte claimt, kwalificeert niet voor zelfattestatie. Ten derde: toets of de genoemde technische maatregelen aantoonbaar zijn geïmplementeerd, bijvoorbeeld via beschikbare ISO 27001-certificaten, penetratietestresultaten of auditlogs. Ten vierde: raadpleeg het openbare register van de Nationale bevoegde autoriteit van de betreffende lidstaat om na te gaan of de zelfattestatie correct is ingediend en of er handhavingsmaatregelen bekend zijn.
Aansprakelijkheidsrisico’s bij een onjuiste zelfattestatie
Als een SME-cloudleverancier een onjuist Statement of Conformity heeft ingediend en een inkooporganisatie heeft op basis daarvan een contract gesloten, kunnen de gevolgen aanzienlijk zijn. Voor de aanbieder kan de NCA de zelfattestatie intrekken en sancties opleggen op grond van de Cybersecurity Act. Voor de inkoper, in het bijzonder een overheidsorganisatie of een organisatie die onder NIS-2 valt, is het risico meerledig.
Toezichthouders voor NIS-2 en de AVG/GDPR beoordelen of de inkoper aantoonbaar zorgvuldig heeft gehandeld bij de selectie van de cloudleverancier. Het simpelweg verwijzen naar een zelfattestatie zonder eigen verificatiestappen wordt in de jurisprudentie en toezichtspraktijk doorgaans als onvoldoende beschouwd. De inkoper kan aansprakelijk worden gesteld voor schade bij betrokkenen als de onjuiste attestatie heeft geleid tot een datalek of een beveiligingsincident. Bovendien kan de schijn van nalatigheid leiden tot reputatieschade en vertraagde hersteltrajecten.
Contractueel is het raadzaam om de juistheid van de zelfattestatie expliciet als garantieverplichting op te nemen, met een schadeverhaalclausule richting de leverancier bij aantoonbaar onjuiste verklaringen. Dit verschuift een deel van het risico terug naar de aanbieder, maar vervangt de due-diligenceplicht van de inkoper niet.
SME-vereenvoudiging en de 25%-doelstelling voor mkb-cloudinkoop
Het EU Cloud Rulebook, dat de Europese Commissie in 2023 heeft gepubliceerd als raamwerk voor cloudinkoop door overheden, bevat een expliciete doelstelling: lidstaten moeten 25% van hun cloudinkoop richten op innovatieve mkb-cloudaanbieders. De CADA SME zelfattestatie past in dit bredere beleidsontwerp. Door de conformiteitsprocedure te verlichten, verlaagt de Europese Commissie de drempel voor kleinere Europese aanbieders om gecertificeerde clouddiensten aan te bieden aan overheidsorganisaties.
De spanning is echter zichtbaar. De 25%-doelstelling stimuleert inkooporganisaties om bewust te kiezen voor mkb-aanbieders, ook wanneer die niet de robuuste auditdocumentatie kunnen tonen van grotere gecertificeerde spelers. Tegelijkertijd vraagt die keuze om extra investeringen in inkoperscompetentie: de organisatie moet zelf de beoordelingsrol vervullen die normaal door een geaccrediteerde instantie wordt ingevuld.
De CADA-SME-vereenvoudiging is daarmee geen louter administratieve maatregel; zij herdefinieert de rolverdeling in de conformiteitsketen. De Europese Commissie erkent dit impliciet door de NCA een toezichtsrol te geven op ingediende zelfattestaties, maar dat toezicht is in de meeste lidstaten nog in opbouw.
Praktische positie voor compliance officers en IT-beslissers
Organisaties in gereguleerde sectoren, zoals overheid, rechtspraak en financiële dienstverlening, die overwegen een SME-cloudleverancier in te kopen op basis van een CADA-zelfattestatie voor niveau 1, doen er goed aan een gelaagde aanpak te hanteren. Combineer de beoordeling van de zelfattestatie met een eigen risicoanalyse, maak de verificatiestappen intern aantoonbaar en documenteer de besluitvorming. Zo is de organisatie bij een later incident in staat te laten zien dat zij conform de zorgplicht heeft gehandeld.
Raadpleeg bij twijfel over de scope of de volledigheid van de zelfattestatie de Nationale bevoegde autoriteit van de lidstaat waar de aanbieder is gevestigd. In Nederland is de rol van NCA in het kader van de Cybersecurity Act belegd bij het Rijksinstituut voor Volksgezondheid en Milieu (RIVM) voor bepaalde sectoren en bij andere sectorale toezichthouders voor overige domeinen; check de actuele taakverdeling bij het Nationaal Cyber Security Centrum (NCSC) of via de Rijksoverheid.
FAQ: CADA SME zelfattestatie soevereiniteitsniveau 1
Welke drempels bepalen of een cloudaanbieder als SME kwalificeert onder CADA?
Een cloudaanbieder kwalificeert als SME op basis van Aanbeveling 2003/361/EG: maximaal 249 medewerkers, een jaaromzet van maximaal 50 miljoen euro of een balanstotaal van maximaal 43 miljoen euro. Alle drie criteria moeten gelijktijdig worden getoetst; overschrijding van één drempel kan de SME-status al doen vervallen.
Is een CADA-zelfattestatie voor niveau 1 juridisch bindend voor de cloudaanbieder?
Ja. De aanbieder ondertekent een Statement of Conformity en neemt daarmee formele verantwoordelijkheid voor de juistheid van de verklaring. Onjuistheden kunnen leiden tot intrekking van de attestatie door de Nationale bevoegde autoriteit en tot civielrechtelijke aansprakelijkheid jegens afnemers.
Welke documenten moet een inkoper minimaal opvragen bij een SME-cloudleverancier die op zelfattestatie leunt?
Vraag minimaal het ondertekende Statement of Conformity op, een actueel register van subverwerkers en hun vestigingsland, een overzicht van de technische en organisatorische maatregelen die niveau 1 onderbouwen, en eventuele correspondentie met de Nationale bevoegde autoriteit. Combineer dit met een eigen risicoanalyse op basis van CADA artikel 32 en 33.
Wat zijn de gevolgen voor een overheidsorganisatie als een ingekochte zelfattestatie naderhand onjuist blijkt?
De overheidsorganisatie kan aansprakelijk worden gesteld voor schendingen van NIS-2 en de AVG/GDPR als de onjuiste attestatie tot onvoldoende beveiligingsmaatregelen heeft geleid. Toezichthouders beoordelen of de inkoper voldoende due diligence heeft uitgevoerd; het ontbreken van eigen verificatie wordt doorgaans als onvoldoende zorgvuldigheid aangemerkt.
Vervangt CADA de bestaande GDPR-vereisten voor cloudinkoop?
Nee. CADA regelt cybersecurity-certificering; de AVG/GDPR blijft onverkort van kracht voor de verwerking van persoonsgegevens. Een CADA-certificaat voor niveau 1 is geen bewijs van GDPR-conformiteit. Beide kaders moeten gelijktijdig worden nageleefd.
