CADA artikel 18 (COM(2026) 502) introduceert een formeel EU-erkenningsregime voor cloudproviders gevestigd buiten de Europese Unie. Dit regime bepaalt of zulke providers mogen meedingen naar overheidsopdrachten die cloudsoevereiniteitsniveau 3 of hoger vereisen, zoals gedefinieerd in CADA Annex II. De erkenningsprocedure is bewust gescheiden van de bestaande AVG-adequaatheidsbeslissingen en vergt een zelfstandige beoordeling van juridische, technische en organisatorische criteria.
Wat is CADA artikel 18 en welke soevereiniteitsniveaus zijn er?
CADA, de Cloud Act for Data Administration (COM(2026) 502), ordent cloudgebruik door Europese overheden in vier soevereiniteitsniveaus in Annex II. Niveau 1 en 2 stellen basisvereisten aan gegevensbeveiliging. Niveau 3 vereist dat data fysiek en juridisch buiten het bereik van buitenlandse rechtshandhavingsbevelen blijft. Niveau 4 is voorbehouden aan gerubriceerde staatsinformatie met aanvullende eisen zoals end-to-end-versleuteling en geïsoleerde beheeromgevingen.
Voor niveau 3 geldt concreet dat de cloudprovider niet onderworpen mag zijn aan wetgeving die buitenlandse autoriteiten directe toegang tot data verschaft zonder voorafgaande rechterlijke toetsing in de EU. Dit sluit Amerikaanse providers die vallen onder de US CLOUD Act of de Foreign Intelligence Surveillance Act (FISA Section 702) in beginsel uit, tenzij zij via contractuele en technische maatregelen aantonen dat die wetgeving feitelijk geen toegang oplevert. Dat bewijs is tot nu toe door geen enkele grote Amerikaanse hyperscaler geleverd op een wijze die de Europese Commissie als afdoende heeft beschouwd.
Erkenningsvoorwaarden voor providers uit derde landen
De Europese Commissie erkent een cloudprovider uit een derde land voor soevereiniteitsniveau 3 als aan vier cumulatieve hoofdcriteria is voldaan.
Ten eerste moet het rechtsstelsel van het derde land waarborgen dat geen eenzijdige extraterritoriale toegangsbevelen mogelijk zijn zonder rechterlijke toetsing die voldoet aan EU-rechtelijke minimumnormen. Zwitserland scoort hier relatief gunstig: de Zwitserse Bondsraad heeft geen wetgeving vergelijkbaar met de US CLOUD Act. Toch is dit geen automatische vrijbrief, omdat CADA vereist dat de juridische waarborgen ook expliciet worden getoetst in het erkenningsbesluit.
Ten tweede moet de provider aantonen dat operationele controle, inclusief beheer van versleutelingssleutels, uitsluitend berust bij in de EU of het erkende derde land gevestigde rechtspersonen zonder doorslaggevende zeggenschap van buiten die kring.
Ten derde moet een onafhankelijke derde-partijaudit, uitgevoerd door een door ENISA geaccrediteerde conformiteitsbeoordelingsinstantie (CAB), bevestigen dat de technische architectuur voldoet aan de EUCS (EU Cloud Cybersecurity Scheme) op het niveau dat overeenkomt met Annex II niveau 3.
Ten vierde moet het derde land een handhavings- en wederzijdse rechtshulpverdrag (MLAT) hebben met de Europese Unie of met een voldoende aantal lidstaten, zodat juridische conflicten via gecontroleerde kanalen worden opgelost in plaats van via unilaterale bevelen.
Procedurele stappen voor lidstaten en auditvereisten
CADA artikel 18 belegt de initiatiefrol bij de nationale competente autoriteiten (NCA’s) van de lidstaten. Een NCA dient een onderbouwd voordrachtsverzoek in bij de Europese Commissie. Dit verzoek bevat een juridische analyse van de relevante wetgeving in het derde land, een overzicht van de marktpartijen die naar verwachting van de erkenning gebruik zullen maken, en een advies over de proportionaliteit van de erkenning in het licht van het gemeenschappelijk veiligheidsbelang.
De Commissie opent vervolgens een formele consultatieronde van zestig dagen waarin andere lidstaten, het Europees Parlement en de European Data Protection Board (EDPB) zienswijzen kunnen indienen. Na sluiting van de consultatieronde heeft de Commissie negentig dagen om een concept-uitvoeringshandeling te publiceren. De definitieve uitvoeringshandeling wordt gepubliceerd in het Publicatieblad van de Europese Unie en treedt in werking op de datum die erin is bepaald.
Auditvereisten gelden op twee niveaus. Op het niveau van het derde land als geheel: de Commissie kan een missie ter plaatse gelasten waarbij EU-ambtenaren en onafhankelijke experts de wetgevingspraktijk en handhavingscultuur beoordelen. Op het niveau van de individuele provider: de EUCS-certificering door een geaccrediteerde CAB moet zijn afgegeven voor het toepasselijke zekerheidsniveau (High of boven) en mag niet ouder zijn dan drie jaar op het moment van gunning.
Verhouding tot AVG-adequaatheidsbeslissingen en het EU-VS Data Privacy Framework
Een veelgestelde misvatting is dat een bestaand AVG-adequaatheidsbesluit een shortcut biedt naar CADA-erkenning. Dat is niet het geval, en de juridische grondslag maakt duidelijk waarom.
| Kader | Juridische basis | Wat het regelt | Voldoende voor CADA niveau 3? |
|---|---|---|---|
| AVG-adequaatheidsbesluit Zwitserland | AVG artikel 45 | Rechtmatigheid doorgifte persoonsgegevens | Nee |
| EU-VS Data Privacy Framework | AVG artikel 45, Uitv.besluit 2023/1795 | Doorgifte naar gecertificeerde Amerikaanse organisaties | Nee |
| CADA artikel 18-erkenning | CADA COM(2026) 502 art. 18 | Soevereiniteitswaarborgen voor overheidsopdrachten | Ja, mits verkregen |
Het EU-VS Data Privacy Framework (2023) stelt gecertificeerde Amerikaanse organisaties in staat persoonsgegevens te ontvangen zonder aanvullende doorgifte-instrumenten. Het Framework vereist echter geen enkele beperking op de bevoegdheden van de NSA of FBI onder FISA 702, al bevat het wel een beroepsmechanisme (Data Protection Review Court). Margrethe Vestager, voormalig Uitvoerend Vicevoorzitter van de Europese Commissie belast met digitaal beleid, stelde hierover: “Adequacy under GDPR and eligibility under the Cloud Act framework are fundamentally different legal questions. Meeting one does not automatically satisfy the other.”
Voor Zwitserland geldt bovendien dat het Zwitserse adequaatheidsbesluit uit 2000 dateert en in 2024 is herzien in het licht van de Zwitserse nDSG (nieuw Federaal Gegevensbeschermingswet). Die herziening verbetert de AVG-congruentie, maar verandert niets aan de vraag of Zwitserland als derde land voldoet aan de specifieke soevereiniteitscriteria van CADA artikel 18. Die vraag vereist een eigen procedure.
Statistisch onderbouwt de urgentie zich als volgt: AWS, Microsoft Azure en Google Cloud controleren samen circa 69% van de Europese publieke cloudmarkt (ENISA Cloud Report 2023, gebaseerd op Synergy Research Group-data). Tegelijkertijd draaide in 2023 meer dan 75% van de EU-overheidsinstellingen op cloudinfrastructuur waarvan de uiteindelijke moedermaatschappij buiten de EU is gevestigd (Europese Rekenkamer, Speciaal Verslag 2023/18). Dit illustreert de systeemrisico’s die CADA beoogt te adresseren.
Praktische gevolgen voor Zwitserse cloudproviders
Zwitserse aanbieders zoals providers die vallen onder de regulering van de Swiss Financial Market Supervisory Authority (FINMA) of het Zwitserse Federale Informaticacentrum (BIT) bevinden zich in een gunstige uitgangspositie ten opzichte van Amerikaanse concurrenten, maar staan voor concrete actiepunten.
ENISA stelt hierover in haar EUCS Technical Report: “Sovereignty requirements in public procurement must be operationalised through clear technical and legal criteria, not left to individual contracting authorities to interpret.” Dit betekent dat Zwitserse providers die niveau 3 willen bedienen, proactief moeten investeren in EUCS High-certificering, inclusief onafhankelijke penetratietests, leveranciersbeheercontroles en bewijs van sleutelbeheer dat uitsluitend binnen Zwitserland of de EU plaatsvindt.
Bovendien moeten Zwitserse providers hun contractuele documentatie aanpassen zodat klanten in EU-lidstaten kunnen aantonen dat aan de CADA-vereisten is voldaan. Dit omvat expliciete garanties dat geen buitenlandse toegangsbevelen stilzwijgend worden nageleefd, en dat klanten onmiddellijk worden geïnformeerd als een dergelijk bevel wordt ontvangen, voor zover nationaal recht dit toelaat.
Gevolgen voor inkopers bij ontbreken van erkenning
Voor inkopers die via het Cloud III Dynamic Purchasing System (DPS) of via eigen openbare aanbestedingen op soevereiniteitsniveau 3 of 4 willen aanbesteden, heeft het ontbreken van een CADA artikel 18-erkenning directe rechtsgevolgen. Een provider zonder erkenning mag niet worden uitgenodigd voor het relevante perceel, ongeacht zijn technische kwaliteit of prijscompetitiviteit. Gunning aan een niet-erkende provider is nietig en blootstelt de aanbestedende dienst aan aansprakelijkheid.
Inkopers moeten in hun aanbestedingsdocumenten expliciet verwijzen naar het toepasselijke CADA-niveau en naar de vereiste erkenningsstatus. Een verwijzing naar EUCS-certificering alleen is onvoldoende: EUCS-certificering is een voorwaarde voor CADA-erkenning, maar niet hetzelfde als die erkenning. De per begin 2025 door de Europese Commissie afgegeven adequaatheidsbeslissingen voor dertien landen, waaronder Zwitserland, bieden geen substituut.
Risicobeheersing bij statusverlies van een erkend derde land
Geopolitieke of juridische wijzigingen kunnen ertoe leiden dat de Europese Commissie de erkenning van een derde land herziet, schorst of intrekt. De procedure daarvoor is analoog aan de herzieningsprocedure voor AVG-adequaatheidsbeslissingen, maar de Commissie heeft de mogelijkheid een erkenning met onmiddellijke ingang te schorsen bij acute veiligheidsrisico’s.
Inkopers beheersen dit risico via drie mechanismen. Ten eerste nemen zij in langlopende cloudcontracten een resolutieve voorwaarde op die het contract automatisch openbreekt bij statusverlies, zonder schadevergoeding aan de leverancier. Ten tweede eisen zij van de provider een migratie-exitplan dat binnen negentig dagen uitvoerbaar is, met gestandaardiseerde data-export in open formaten. Ten derde monitoren zij via hun NCA de actuele erkenningslijst, die de Commissie verplicht is te publiceren en bij te houden in het Publicatieblad.
Voor organisaties die al gebruik maken van het Cloud III DPS is de procedure beschreven in de DPS-voorwaarden: bij statuswijziging van een erkend derde land worden aanbieders automatisch geherclassificeerd en kunnen lopende mini-competities worden heropend. Inkopers dienen in hun planningskalender rekening te houden met een herbeoordeling van minimaal eens per twee jaar, ook als geen statuswijziging is opgetreden.
FAQ: CADA artikel 18 en derde-landen-erkenning
Is een Zwitserse cloudprovider automatisch geschikt voor soevereiniteitsniveau 3 dankzij het bestaande AVG-adequaatheidsbesluit?
Nee. Het AVG-adequaatheidsbesluit voor Zwitserland regelt uitsluitend de rechtmatigheid van persoonsgegevensoverdrachten. CADA artikel 18 vereist een aparte erkenning die ook technische, organisatorische en juridische soevereiniteitswaarborgen toetst, inclusief de afwezigheid van extraterritoriale toegangsverplichtingen.
Welke lidstaat kan een derde land voordragen voor erkenning onder CADA artikel 18?
Elke EU-lidstaat kan via zijn nationale competente autoriteit een voordracht indienen bij de Europese Commissie. De Commissie beoordeelt of het derde land aan de criteria van Annex II voldoet en publiceert een uitvoeringshandeling in het Publicatieblad.
Wat gebeurt er als een erkend derde land zijn status verliest na een geopolitieke of juridische wijziging?
De Commissie kan de erkenning schorsen of intrekken. Lopende aanbestedingscontracten met een voorziene resolutieve clausule kunnen worden opengebroken. Inkopers die het Cloud III DPS gebruiken zijn verplicht erkende aanbieders te herevalueren zodra een statuswijziging wordt gepubliceerd.
Mogen inkopers op soevereiniteitsniveau 3 aanbesteden bij een provider zonder CADA artikel 18-erkenning?
Nee, niet voor gerubriceerde of gevoelige overheidsgegevens die onder niveau 3 of 4 vallen. Zonder erkenning mag een derde-landsprovider alleen worden ingezet voor niveau 1 of 2, waarbij gegevenssoevereiniteit geen vereiste is.
Hoe verhoudt de CADA-erkenning zich tot het EU-VS Data Privacy Framework?
Het EU-VS Data Privacy Framework regelt de doorgifte van persoonsgegevens naar gecertificeerde Amerikaanse organisaties onder de AVG. CADA artikel 18 gaat verder en stelt eisen aan juridische immuniteit voor buitenlandse toegangsbevelen, technische encryptie-architectuur en operationele controle. Een provider die onder het DPF valt voldoet daarmee nog niet automatisch aan CADA soevereiniteitsniveau 3.
