CADA-soevereiniteitsinkoop voor het MKB in gereguleerde sectoren is het proces waarbij organisaties buiten de centrale overheid, zoals zorgaanbieders, juridische kantoren en financiële instellingen, cloudleveranciers selecteren en contracteren op basis van Europese soevereiniteitsnormen, met als doel jurisdictionele risico’s te beheersen en te voldoen aan verplichtingen onder AVG, NIS-2, DORA en sectorspecifieke wetgeving.
Waarom soevereiniteitsinkoop ook voor het MKB urgent is
Veel middelgrote organisaties beschouwen digitale soevereiniteit als een thema voor grote overheidsinstanties. Die aanname is inmiddels achterhaald. Meer dan 70% van Europese MKB-bedrijven maakt gebruik van diensten van Amerikaanse cloudaanbieders voor bedrijfskritische data (Eurostat, 2023). Tegelijk heeft de VS via de CLOUD Act en de Patriot Act extraterritoriale bevoegdheden die Amerikaanse bedrijven verplichten data af te staan, ook als die data zich fysiek op Europees grondgebied bevindt. Voor organisaties die werken met bijzondere persoonsgegevens, bedrijfsgeheimen of gegevens van rechtsbeschermd belang is dit een direct juridisch risico, niet alleen een theoretisch bezwaar.
ENISA rapporteerde in 2023 dat 34% van alle geregistreerde cyberincidenten in Europa gericht was op de gezondheidszorg, overheid en financiële sector (ENISA Threat Landscape 2023). De combinatie van jurisdictionele kwetsbaarheid en verhoogde dreigingsdruk maakt dat compliance officers in deze sectoren soevereiniteitsinkoop nu concreet moeten aanpakken.
Het CADA-framework: wat is proportionele toepassing voor het MKB?
Het CADA-soevereiniteitsframework, uitgewerkt in onder meer artikel 16, introduceert een gelaagd model waarbij soevereiniteitseisen worden afgestemd op het risicoprofiel van de verwerking. Voor MKB-organisaties in gereguleerde sectoren betekent proportionele toepassing niet dat zij minder zorgvuldig hoeven te zijn, maar wel dat zij de diepgang van hun beoordeling mogen kalibreren op hun omvang en de aard van de data.
CADA artikel 16 legt vast dat aanbieders van clouddiensten transparant moeten zijn over de juridische entiteiten die toegang kunnen hebben tot klantdata, inclusief entiteiten buiten de EU. Voor een inkoopproces in de private sector betekent dit concreet dat leveranciersselectie moet beginnen met het vaststellen van de rechtsvorm, het moederbedrijf en de jurisdictionele reikwijdte van elke kandidaat-leverancier, vóórdat technische criteria worden beoordeeld.
SEAL-niveaus: realistische ambities buiten de publieke sector
| SEAL-niveau | Beschrijving | Realistisch voor | Geaccepteerd restrisico |
|---|---|---|---|
| SEAL-1 | Minimale soevereiniteitswaarborgen, datalocatie niet gegarandeerd | Laagrisico-verwerking, interne communicatietools | Hoog: jurisdictionele blootstelling mogelijk |
| SEAL-2 | Dataopslag exclusief EU, contractuele toegangsbeperking | MKB zorg, juridisch, financieel (standaarddoeleinden) | Matig: restrisico bij gelinkte moedermaatschappij buiten EU |
| SEAL-3 | Volledig EU-gecontroleerde entiteit, auditmogelijkheden, versleuteling klantbeheerd | Instellingen met bijzondere categorieën persoonsgegevens op schaal | Laag: juridisch robuuste scheiding |
| SEAL-4 | On-premise of privécloud, volledige controle | Centrale overheid, vitale infrastructuur | Minimaal |
Voor de meeste MKB-organisaties in de zorg, de advocatuur en de financiële dienstverlening is Cloud Sovereignty Framework SEAL-2 het realistisch haalbare minimumniveau dat tegelijk zinvol bescherming biedt. SEAL-1 is voor gereguleerde sectoren in de praktijk onvoldoende, omdat het jurisdictionele restrisico te groot is om te rechtvaardigen tegenover toezichthouders.
Raakvlakken met NIS-2, AVG, NEN 7510 en DORA
De CADA-soevereiniteitsbeoordeling staat niet op zichzelf. Zij overlapt structureel met verplichtingen die MKB-organisaties al hebben onder bestaande wetgeving.
De NIS-2 Implementing Regulation (EU) 2024/2690 verplicht aanbieders en gebruikers van essentiële en belangrijke diensten tot een gedocumenteerd leveranciersrisicobeleid. Dat beleid moet aantoonbaar de supply chain-risico’s adresseren, inclusief de jurisdictionele positie van ICT-toeleveranciers. Een CADA-soevereiniteitsbeoordeling levert direct bewijs voor dit leveranciersrisicobeleid en voorkomt dubbel werk.
DORA artikel 28 over ICT-toeleveranciersrisico verplicht financiële entiteiten tot contractuele minimumvereisten met kritieke ICT-aanbieders, waaronder auditmogelijkheden, exitstrategieën en rapportage over subuitbestedingen. Deze vereisten overlappen sterk met de contractuele waarborgen die SEAL-2 vereist. Compliance officers kunnen de CADA-inkoopbeoordeling en de DORA-contractreview combineren in één leveranciersdossier.
NEN 7510 zorginformatiebescherming schrijft voor dat zorgorganisaties maatregelen treffen om ongeoorloofde toegang tot patiëntgegevens te voorkomen, ook bij uitbesteding. Een leverancier die SEAL-2 haalt, voldoet aan de technische en organisatorische randvoorwaarden die NEN 7510 stelt aan cloudverwerking, maar NEN 7510 vereist aanvullend dat de zorginstelling zelf de verwerkingsverantwoordelijkheid expliciet borgt in haar beleid.
In 2023 bedroegen GDPR-boetes in de Europese gezondheidszorgsector gezamenlijk meer dan 40 miljoen euro (EDPB Annual Report 2023). Dat illustreert dat toezichthouders actief handhaven op datalekken die mede het gevolg zijn van onvoldoende leveranciersbeoordeling.
CADA artikel 29-31: risicoanalyse zonder grote overheidsapparaat
CADA artikel 29-31 legt een risicobeoordelingsplicht op aan organisaties die clouddiensten inkopen voor gevoelige verwerkingen. De artikelen vereisen dat de inkoopende partij de jurisdictionele risico’s van de leverancier expliciet beoordeelt en documenteert. Voor een compliance officer van een middelgrote organisatie is dit uitvoerbaar in een compact proces van drie stappen.
Eerste stap: inventariseer de rechtsvorm en eigendomsstructuur van de leverancier. Stel vast of het moederbedrijf of enige gelieerde entiteit is onderworpen aan niet-EU-wetgeving met extraterritoriale werking, zoals de CLOUD Act of equivalente Chinese wetgeving. Gebruik hiervoor openbare registers en de door de leverancier verplicht te verstrekken informatie conform CADA artikel 16.
Tweede stap: classificeer de te verwerken data naar gevoeligheid. Bijzondere categorieën persoonsgegevens (gezondheidsdata, juridische dossiers, financiële klantdata) vereisen een hogere soevereiniteitsdrempel dan gewone bedrijfsadministratie. Koppel de dataclassificatie direct aan het vereiste SEAL-niveau.
Derde stap: leg de uitkomst vast in een beknopt risicorapport dat de gekozen mitigerende maatregelen onderbouwt, de contractuele afspraken beschrijft en de restrisico’s expliciet benoemt. Dit rapport is tevens het bewijs richting toezichthouders dat de organisatie aan haar zorgplicht heeft voldaan.
Contractuele minimumwaarborgen voor SEAL-2
Kleine gereguleerde organisaties moeten bij iedere cloudinkoop specifieke contractuele clausules eisen om een minimaal SEAL-2-soevereiniteitsniveau te realiseren. Generieke servicevoorwaarden van grote hyperscalers voldoen hier doorgaans niet aan.
De Europese Commissie heeft via het Cloud Sovereignty Framework een set minimumcriteria geformuleerd waaraan leverancierscontracten moeten voldoen voor SEAL-2-erkenning. Concreet gaat het om de volgende clausules: (1) exclusieve opslag en verwerking van data op locaties binnen de Europese Economische Ruimte, zonder mogelijkheid tot automatische replicatie naar datacenters buiten de EER; (2) een expliciet verbod op doorgifte van data aan niet-EU-autoriteiten zonder voorafgaande schriftelijke toestemming van de klant en, waar van toepassing, de nationale toezichthouder; (3) een meldingsplicht richting de klant zodra de leverancier een overheidsverzoek tot data-inzage ontvangt, voor zover de wet dit toestaat; (4) auditmogelijkheden voor de klant of een door de klant aangewezen derde partij; (5) een uitgewerkte exitstrategie inclusief gegarandeerde data-export in een interoperabel formaat.
De European Data Protection Supervisor stelt hierover: “Digitale soevereiniteit is geen technische luxe maar een juridische noodzaak voor elke organisatie die persoonsgegevens van Europese burgers verwerkt onder niet-Europees recht.” (EDPS Opinion on Digital Sovereignty)
ENISA bevestigt deze lijn: “Inkoopbesluiten voor cloud moeten rekening houden met de jurisdictionele reikwijdte van derde landen, met name wetten die extraterritoriale toegang tot data mogelijk maken.” (ENISA Cloud Security for Healthcare)
Praktische inkooptools voor compliance officers
De Europese Commissie biedt via het Cloud Sovereignty Framework een zelfevaluatietool waarmee organisaties de SEAL-score van een leverancier kunnen beoordelen op basis van openbaar gepubliceerde criteria. Aanvullend publiceert ENISA technische richtlijnen voor cloudinkoop in gereguleerde sectoren, inclusief checklists voor contractbeoordeling. Deze documenten zijn kosteloos beschikbaar via de websites van de Europese Commissie (ec.europa.eu) en ENISA (enisa.europa.eu).
Voor NEN 7510-plichtige zorginstellingen biedt het NEN-normalisatie-instituut een toetsingskader dat direct verwijst naar relevante beveiligingseisen bij clouduitbesteding. Dit kader is bruikbaar als aanvullend controle-instrument naast de CADA-risicoanalyse.
Compliance officers die een gecombineerde aanpak willen hanteren voor CADA, NIS-2 en DORA, kunnen het leveranciersdossier inrichten als één geïntegreerd document: de CADA-risicoanalyse vormt de kern, de DORA-contractcheck en de NIS-2-leveranciersrisicocriteria worden als bijlagen toegevoegd. Dat bespaart capaciteit en maakt het geheel inzichtelijk voor externe auditors of toezichthouders.
FAQ: CADA soevereiniteitsinkoop voor het MKB
Moet een MKB-zorginstelling altijd SEAL-3 of hoger nastreven?
Nee. SEAL-2 is voor de meeste MKB-zorginstellingen een proportioneel en haalbaar startniveau, mits contractuele waarborgen de datalocatie en toegangsbeperking vastleggen. SEAL-3 is aangewezen voor instellingen die bijzondere categorieën persoonsgegevens op grote schaal verwerken, zoals academische ziekenhuizen of grote GGZ-instellingen.
Hoe verhoudt CADA artikel 29-31 zich tot de AVG-verwerkersovereenkomst?
CADA artikel 29-31 schrijft een risicoanalyse voor die verder gaat dan de AVG-verwerkersovereenkomst: het vereist een expliciete beoordeling van jurisdictionele risico’s, inclusief toegang door derde-landenautoriteiten. De AVG-verwerkersovereenkomst blijft naast de CADA-beoordeling verplicht. Beide documenten vullen elkaar aan en moeten samen in het leveranciersdossier worden opgenomen.
Geldt DORA artikel 28 ook voor kleine financiële instellingen?
Ja. DORA artikel 28 over ICT-toeleveranciersrisico geldt voor alle onder DORA vallende entiteiten, inclusief kleinere financiële instellingen. Wel kent DORA een proportionaliteitsbeginsel: de diepgang van het risicobeheerprogramma mag worden afgestemd op de omvang en complexiteit van de organisatie. Een kleine kredietunie heeft minder omvangrijke documentatievereisten dan een grote verzekeraar, maar de kernverplichtingen blijven gelden.
Is NEN 7510 gecombineerd met SEAL-2 voldoende voor een ziekenhuis?
NEN 7510 richt zich op informatiebeveiliging binnen de zorginstelling zelf, terwijl SEAL-2 de jurisdictionele soevereiniteit van cloudopslag borgt. Beide kaders vullen elkaar aan en zijn samen een solide basis voor middelgrote ziekenhuizen. Voor academische ziekenhuizen of instellingen met hoogrisico-verwerking, zoals oncologische of psychiatrische data op grote schaal, is aanvullende beoordeling richting SEAL-3 verstandig.
Wat is het minimale contractuele vereiste voor SEAL-2 bij een MKB-juridisch kantoor?
Een juridisch kantoor moet voor SEAL-2 minimaal vastleggen: exclusieve dataopslag op EU-grondgebied, een verbod op overdracht aan niet-EU-autoriteiten zonder expliciete toestemming, een meldingsplicht bij overheidsverzoeken om toegang, auditmogelijkheden voor het kantoor zelf, en een exitstrategie met gegarandeerde data-export. Vertrouwelijkheid van cliëntgegevens vereist bovendien dat subverwerkers expliciet worden benoemd en aan dezelfde jurisdictionele eisen voldoen.
