De CADA Open Internet Stack en de bijbehorende soevereiniteitsniveaus zijn oorspronkelijk ontwikkeld als instrument voor publieke aanbestedende diensten, maar bieden ook private organisaties een concreet, gelaagd beoordelingskader voor de selectie van cloud- en AI-leveranciers. In een landschap waarin jurisdictionele risico’s van de Amerikaanse CLOUD Act en de UK Investigatory Powers Act steeds vaker doorwerken in Europese compliancetrajecten, is een gestandaardiseerd vocabulaire voor inkopers waardevol, ook buiten de overheid.
De CADA-soevereiniteitsniveaus als inkoopkompas voor private organisaties
De CADA-soevereiniteitsniveaus 1 tot en met 4 bieden een gelaagde classificatie waarmee organisaties de juridische en technische controle over hun data kunnen beoordelen, van minimale bescherming op niveau 1 tot volledige operationele onafhankelijkheid op niveau 4.
Niveau 1 stelt geen eisen aan de vestigingsplaats van de aanbieder en biedt daarmee geen bescherming tegen extraterritoriale wetgeving. Niveau 2 vereist dataopslag binnen de EU, maar laat eigendomsstructuren buiten de EU ongemoeid. Op niveau 3 moeten zowel de dataverwerking als de juridische structuur aantoonbaar buiten bereik van niet-EU-autoriteiten vallen. Niveau 4 voegt daar een verplichte open-source code-base aan toe, zodat onafhankelijke audits mogelijk zijn en er geen verborgen achterdeur in de software kan bestaan.
Private organisaties in sectoren als de juridische dienstverlening, de gezondheidszorg en de financiële sector kunnen deze niveaus vrijwillig opnemen in hun leveranciersbeoordelingsbeleid. Dat is geen louter academische oefening: een organisatie die persoonsgegevens verwerkt onder de AVG en haar cloudleverancier niet boven niveau 2 weet te kwalificeren, loopt reëel risico op een gegevensoverdracht naar een derde land die niet aan artikel 44 AVG voldoet.
CADA EU-toegevoegde waardecriteria: vrijwillige toepassing in inkoopbeleid
Naast de soevereiniteitsniveaus definieert het CADA-kader zogeheten EU-toegevoegde waardecriteria die aanbestedende diensten kunnen inzetten als gunningscriteria. Private organisaties zijn niet gebonden aan de Aanbestedingswet 2012, maar kunnen dezelfde criteria opnemen in hun eigen inkoopreglementen.
De criteria beoordelen onder meer: de mate van datalokaliteit (fysieke locatie van servers en back-ups), de juridische woonplaats van de verwerkingsverantwoordelijke entiteit, de beschikbaarheid van de broncode voor audit, en de onafhankelijkheid van ondersteunings- en beheersdiensten van niet-EU-jurisdicties. Een juridisch kantoor dat cliëntdossiers digitaal verwerkt, kan deze criteria als wegingsfactoren opnemen in een Request for Proposal, waardoor soevereine aanbieders objectief beter scoren dan aanbieders met een CLOUD Act-blootstelling.
Het praktische voordeel van dit vrijwillige gebruik is dat het inkoopbeleid intern verdedigbaar wordt tegenover toezichthouders. Als de Autoriteit Persoonsgegevens vraagt op basis waarvan een leverancier is geselecteerd, is een gedocumenteerde CADA-scoring een sterkere verantwoording dan een ad hoc beslissing.
Het Tech Sovereignty Package en de EU Open Source Strategy 2026
Het Tech Sovereignty Package van juni 2026 bundelt meerdere Europese beleidsinitiatieven die de positie van open-source software in het Europese digitale ecosysteem structureel versterken. De EU Open Source Strategy 2026 is het centrale onderdeel en bouwt voort op de strategie uit de periode 2020-2023.
Voormalig EU-commissaris Thierry Breton formuleerde de kerngedachte als volgt: “Open source is not just a development model, it is a governance model. When public institutions choose open source, they choose accountability and control over their own digital infrastructure.” (Europese Commissie, Open Source Strategy 2020-2023, https://commission.europa.eu)
De strategie van 2026 gaat verder door actief bij te dragen aan specifieke projecten die de EU Open Internet Stack invullen. Drie platforms worden daarbij expliciet gepositioneerd als onderdeel van de soevereine softwarelaag:
- Nextcloud: open-source platform voor bestandsopslag en samenwerking, beheerd door Nextcloud GmbH in Stuttgart, volledig zelfhostbaar en zonder data-uitwisseling met de ontwikkelaar.
- openDesk: de door het Duitse Bundesministerium des Innern gesponsorde kantoorwerkplek, gebaseerd op open standaarden en samengesteld uit componenten als Collabora Online en Rocket.Chat.
- Matrix: het gedecentraliseerde, end-to-end versleutelde communicatieprotocol dat door Element wordt ondersteund en door meerdere EU-lidstaten voor overheidscommunicatie wordt ingezet.
Voor private inkopers betekent dit dat deze oplossingen niet langer als niche worden beschouwd: ze worden actief door de Europese Commissie ondersteund, geauditeerd en in publieke catalogi opgenomen.
CADA artikel 34 als federatief inkoopmodel: lessen voor private consortia
CADA artikel 34 beschrijft een cloudverbond voor de publieke sector: een federatief model waarbij aanbestedende diensten gezamenlijk capaciteit en inkoopkracht bundelen om soevereine clouddiensten af te nemen. Het model is vergelijkbaar met de Nederlandse CPB-raamovereenkomsten, maar richt zich specifiek op gecertificeerde, soevereine aanbieders.
De kern van het artikel-34-model is dat deelnemende organisaties gezamenlijk specificaties opstellen, gezamenlijk aanbesteden en vervolgens individueel kunnen afnemen tegen de raamcondities. Dit verlaagt de drempel voor kleinere organisaties die afzonderlijk niet de schaal hebben om een volwaardige soevereine cloudoplossing te bedingen.
Private organisaties, zoals brancheorganisaties of sectorfederaties, kunnen dit model direct imiteren. Een koepel van notariskantoren, een samenwerkingsverband van ziekenhuizen of een groep accountantskantoren kan gezamenlijk een inkoopcoalitie vormen, gezamenlijke eisen formuleren op basis van de CADA-soevereiniteitsniveaus, en collectief contracteren met een erkende aanbieder. De juridische instrumenten hiervoor bestaan al: de Wet op de vennootschappen biedt ruimte voor inkoopcoöperaties, en het mededingingsrecht staat gezamenlijke inkoop toe mits er geen prijsafspraken over de eindmarkt worden gemaakt.
De EU Open Digital Ecosystem Strategy: zichtbaarheid voor soevereine alternatieven
De EU Open Digital Ecosystem Strategy, de directe opvolger van de Open Source Strategy, richt zich op een probleem dat inkopers dagelijks ervaren: soevereine softwarealternatieven zijn moeilijk vindbaar en slecht gedocumenteerd ten opzichte van de marketingapparaten van grote Amerikaanse leveranciers.
Voormalig EU-commissaris Margrethe Vestager verwoordde de bredere context: “Data sovereignty is not about protectionism. It is about ensuring that European organisations can trust the systems they depend on, and that those systems remain under democratic oversight.” (Europese Commissie, European Digital Decade toespraak, 2022, https://commission.europa.eu)
De strategie voorziet in een publieke EU-catalogus van gecertificeerde soevereine softwareoplossingen, gekoppeld aan het EUCS-certificeringsschema van ENISA. Voor inkopers betekent dit een verifieerbaar startpunt: in plaats van zelf te moeten beoordelen of een aanbieder aan de EUCS High-eisen voldoet, kunnen zij de catalogus raadplegen en de certificeringsstatus rechtstreeks controleren.
| Inkoopkader | Doelgroep | Verbindend karakter | Soevereiniteitsfocus |
|---|---|---|---|
| CADA soevereiniteitsniveaus 1-4 | Publiek (vrijwillig privaat) | Aanbevolen, niet verplicht voor privaat | Hoog: juridische én technische criteria |
| EU-soevereine cloudcatalogus (CADA-register) | Publiek en privaat | Informatief, niet bindend | Hoog: alleen EUCS-gecertificeerde aanbieders |
| Nederlandse CPB-raamovereenkomsten | Rijksoverheid en deelnemers | Bindend voor deelnemers | Variabel: afhankelijk van perceel |
| CADA artikel 34-cloudverbond | Publieke sector EU | Optioneel deelnemersmodel | Hoog: gecertificeerde soevereine aanbieders |
De EU-soevereine cloudcatalogus versus nationale inkoopkaders
De EU-soevereine cloudcatalogus, het publieke CADA-register van erkende aanbieders, en de Nederlandse rijksinkoopregels opereren op verschillende niveaus maar vullen elkaar aan. De catalogus functioneert als een Europees keurmerk: aanbieders die daarin zijn opgenomen, hebben aangetoond te voldoen aan de EUCS-certificeringseisen op het relevante assuranceniveau.
De Nederlandse Rijksoverheid werkt via het Rijksinkoopstelsel en de CPB-raamovereenkomsten. Deze raamovereenkomsten bevatten doorgaans geen soevereiniteitseis in CADA-termen: ze schrijven wel voor dat data binnen de EER moet worden opgeslagen, maar stellen geen eisen aan de juridische structuur van de aanbieder of de toegankelijkheid voor niet-EU-autoriteiten. Een aanbieder met Amerikaanse moedermaatschappij die servers in Amsterdam beheert, kan aan de CPB-eis voldoen maar toch blootstaan aan een CLOUD Act-vordering.
Het statistisch beeld is veelzeggend: circa 75 procent van alle Europese overheidsdata wordt opgeslagen bij Amerikaanse hyperscalers, zo stelde het European Parliament Think Tank in 2020 (https://www.europarl.europa.eu/thinktank). En de drie grootste Amerikaanse cloudaanbieders controleren meer dan 65 procent van de Europese cloudmarkt, aldus de EUCS Impact Assessment van ENISA uit 2023 (https://www.enisa.europa.eu). Het NIST schat verder dat cryptografisch relevante kwantumcomputers bestaande RSA- en ECC-versleuteling binnen 10 tot 15 jaar kunnen breken, wat post-quantum cryptografie tot een urgente inkoopeis maakt (NIST PQC Standardization Project, 2024, https://www.nist.gov/pqcrypto).
Private organisaties die hun inkoopbeleid willen harmoniseren met de CADA-soevereiniteitsniveaus, doen er verstandig aan de EU-soevereine cloudcatalogus als eerste filter te gebruiken, daarna te toetsen aan eventuele sector-specifieke NIS-2-vereisten, en ten slotte te beoordelen of bestaande CPB-raamovereenkomsten aanbieders bevatten die die toets doorstaan. Waar dat niet het geval is, biedt het artikel-34-coalitiemodel een route om buiten de bestaande raamovereenkomsten, maar wel gestructureerd, in te kopen.
Migratie van Microsoft 365 naar een soevereine werkplek
De migratie van Microsoft 365 naar een soevereine werkplek op basis van de EU Open Internet Stack vraagt om een gefaseerde aanpak. De eerste fase betreft risicoclassificatie: welke data en werkprocessen zijn het meest blootgesteld aan jurisdictionele risico’s? Juridische dossiers, medische gegevens en strategische bedrijfsinformatie scoren doorgaans het hoogst.
De tweede fase is leverancierskwalificatie op basis van de CADA-soevereiniteitsniveaus: een zelfgehoste Nextcloud-instantie op eigen servers of bij een EUCS High-gecertificeerde Europese hoster scoort op niveau 3 of 4, afhankelijk van de bestuursstructuur van de hoster. openDesk voorziet in kantoorproductiviteit zonder data-uitwisseling met een externe cloudleverancier. Matrix vervangt Teams en Slack met een gedecentraliseerd, end-to-end versleuteld alternatief.
De derde fase is contractuele borging: in de verwerkersovereenkomst worden de CADA-criteria expliciet vastgelegd, inclusief een auditrecht en een meldplicht bij verzoeken van niet-EU-autoriteiten. Daarmee sluit de inkoop aan bij zowel de AVG-vereisten als de NIS-2-zorgplicht voor toeleveringsketens.
FAQ
Zijn de CADA-soevereiniteitsniveaus juridisch verplicht voor private organisaties?
Nee. De CADA-soevereiniteitsniveaus zijn primair ontworpen voor publieke aanbestedende diensten. Private organisaties kunnen ze echter vrijwillig als referentiekader opnemen in hun inkoopbeleid en leveranciersbeoordelingen, zonder wettelijke verplichting. Het voordeel is dat het inkoopproces aantoonbaar is en intern en extern verantwoord kan worden tegenover toezichthouders zoals de Autoriteit Persoonsgegevens.
Wat onderscheidt CADA-niveau 3 van niveau 4 in de praktijk?
Niveau 3 vereist dat data en verwerking plaatsvinden binnen de EU, met aantoonbare juridische bescherming tegen toegang door niet-EU-autoriteiten. Niveau 4 voegt daar volledige operationele onafhankelijkheid aan toe: geen eigendoms- of bestuursstructuur buiten de EU en een open-source code-base die onafhankelijke audits mogelijk maakt. Voor organisaties met staatsgeheimen of bijzondere persoonsgegevens is niveau 4 de enige reële keuze.
Hoe verhoudt de EU Open Internet Stack zich tot Microsoft 365?
De EU Open Internet Stack is een referentiearchitectuur van open, interoperabele protocollen en open-source componenten, waaronder Matrix voor communicatie, Nextcloud voor bestandsbeheer en openDesk voor kantoorproductiviteit. Microsoft 365 is een gesloten, propriëtair ecosysteem met verwerking buiten de directe juridische controle van de gebruikersorganisatie. Een Microsoft-entiteit in de VS valt onder de CLOUD Act, waardoor Amerikaanse autoriteiten zonder Europese rechterlijke toestemming om data kunnen verzoeken.
Wat betekent het CADA artikel 34-cloudverbond concreet voor private inkopers?
CADA artikel 34 beschrijft een federatief inkoopmodel waarbij aanbestedende diensten gezamenlijk capaciteit bundelen om soevereine cloudservices in te kopen. Private organisaties kunnen dit model imiteren door sectorale inkoopcoalities te vormen, vergelijkbaar met de Nederlandse CPB-raamovereenkomsten, maar dan gericht op gecertificeerde soevereine aanbieders. Dit verlaagt de drempel voor kleinere organisaties zonder eigen aanbestedingscapaciteit.
Biedt de EU Open Digital Ecosystem Strategy ook ondersteuning voor kleine organisaties?
Ja. De EU Open Digital Ecosystem Strategy richt zich expliciet op het vergroten van de zichtbaarheid en toegankelijkheid van soevereine softwarealternatieven via publieke catalogi. Kleine organisaties zonder eigen aanbestedingscapaciteit kunnen via de EU-soevereine cloudcatalogus gecertificeerde aanbieders vinden die aan EU-soevereiniteitseisen voldoen, zonder zelf een uitgebreide marktanalyse te hoeven uitvoeren.
