De CADA risicobeoordeling assuranceniveau cloudinkoop is het formele proces waarmee een publieke of NIS-2-plichtige organisatie vóór het sluiten van een cloudcontract vaststelt welk beschermingsniveau noodzakelijk is voor de betrokken gegevens en processen. Dit kader is neergelegd in de voorgestelde Cloud Act for Data Accountability (CADA), gepubliceerd als COM(2026) 502, en sluit aan op bestaande verplichtingen onder de AVG en NIS-2.
Wat verplicht CADA artikel 29 publieke organisaties te doen?
CADA artikel 29 legt publieke entiteiten een expliciete beoordelingsplicht op: zij moeten voorafgaand aan cloudinkoop documenteren welk EU-assuranceniveau van toepassing is. Dit is geen eenmalige administratieve handeling, maar een substantiële analyse van de aard van de te verwerken gegevens, de kritikaliteit van de ondersteunde processen en de jurisdictionele risico’s van de beoogde cloudaanbieder.
De beoordeling dwingt inkopers te kijken naar drie dimensies tegelijkertijd: de gevoeligheid van de data (bijvoorbeeld persoonsgegevens, vertrouwelijke beleidsstukken of strafrechtelijke informatie), de operationele afhankelijkheid van de dienst (mag de dienst uitvallen en zo ja, hoe lang?), en het rechtsgebied van de aanbieder. Dit laatste punt is voor Europese organisaties bijzonder relevant, omdat Amerikaanse cloudaanbieders onder de US CLOUD Act verplicht kunnen worden om data te verstrekken aan Amerikaanse autoriteiten, ongeacht de fysieke opslaglocatie.
CADA artikel 30: het wettelijk minimum als vertrekpunt
Artikel 30 stelt assuranceniveau 1 vast als het absolute minimum voor elke cloudinkoop door publieke organisaties. Dit niveau is bedoeld voor generieke, niet-gevoelige administratieve processen waarbij verstoring of openbaarmaking geen maatschappelijke schade veroorzaakt.
In de praktijk geldt niveau 1 uitsluitend voor processen zoals interne agendabeheer of niet-vertrouwelijke intranetcommunicatie. Zodra een proces gegevens raakt die betrekking hebben op burgers, beleidsbeslissingen of operationele continuïteit van publieke taken, schiet niveau 1 tekort en activeren hogere niveaus zich op basis van de uitkomst van de artikel 29-analyse.
Public order relevance: wanneer geldt niveau 2, 3 of 4?
De sleutelterm in de CADA-niveaubepaling is “public order relevance”. Een activiteit heeft public order relevance wanneer verstoring ervan gevolgen kan hebben voor openbare orde, nationale veiligheid, kritieke infrastructuur of de rechtmatige uitoefening van overheidsgezag. De risicobeoordeling bepaalt welke categorie van toepassing is.
Een praktische methode bestaat uit de volgende stappen. Eerst inventariseert de organisatie alle cloudtoepassingen en koppelt elke toepassing aan een procesbeschrijving. Vervolgens beoordeelt zij per proces: welke categorieën gegevens worden verwerkt, wie de begunstigden zijn (burgers, derden, ketenpartners), wat de consequenties zijn van een datalek of beschikbaarheidsverlies, en of er wettelijke geheimhoudingsverplichtingen gelden. Op basis van deze analyse wordt een score toegekend die het vereiste niveau bepaalt.
| Assuranceniveau | Typische context | Voorbeeldproces |
|---|---|---|
| Niveau 1 | Niet-gevoelige administratie | Interne vergaderplanning |
| Niveau 2 | Beperkt gevoelige persoonsgegevens | HR-administratie gemeentepersoneel |
| Niveau 3 | Public order relevance, bijzondere gegevens | Handhavingsdossiers, sociale recherche |
| Niveau 4 | Nationale veiligheid, kritieke infrastructuur | Vitale systemen, defensiegerelateerde processen |
CADA artikel 31: de private sectoroptie voor NIS-2-plichtige entiteiten
CADA artikel 31 adresseert private organisaties die onder NIS-2 vallen als essentiële of belangrijke entiteit. Zij zijn niet automatisch onderworpen aan de artikel 29-plicht, maar mogen het beoordelingskader vrijwillig toepassen. Dit is geen vrijblijvende suggestie: organisaties die bewust kiezen voor een lager assuranceniveau dan hun risicoprofiel rechtvaardigt, lopen het risico dat een toezichthouder dit bij een NIS-2-audit aanmerkt als een tekortkoming in de risicobeheersing.
Voor sectoren als de financiële sector, gezondheidszorg en digitale infrastructuur, die al gewend zijn aan gelaagde risicobeoordelingen, biedt de CADA-methodologie een bruikbaar aanvullend instrument dat de bestaande kaders aanvult zonder die te vervangen. De CADA-beoordeling richt zich specifiek op de cloudaanbieder als leverancier, terwijl NIS-2 artikel 21 breder kijkt naar het gehele risicobeheerskader van de organisatie.
Samenhang met DPIA en NIS-2: twee aparte verplichtingen
Een veelgemaakte fout is de aanname dat een DPIA onder AVG artikel 35 de CADA-beoordeling afdekt, of omgekeerd. Dat klopt niet. Beide beoordelingen hebben een ander juridisch object.
De DPIA onder AVG artikel 35 richt zich op de risico’s voor de rechten en vrijheden van betrokkenen als gevolg van een specifieke gegevensverwerking. Zij beantwoordt de vraag: wat kan er misgaan voor de mensen van wie wij gegevens verwerken? De CADA-risicobeoordeling beantwoordt een andere vraag: is de cloudaanbieder zelf in staat om het vereiste beschermingsniveau te bieden, gegeven zijn juridische positie, technische infrastructuur en certificeringsstatus?
NIS-2 artikel 21 voegt een derde laag toe: de organisatie moet aantonen dat zij beheersmaatregelen heeft getroffen voor de beveiliging van netwerk- en informatiesystemen, inclusief supply chain security. Cloudleveranciers vallen expliciet binnen die reikwijdte. Een organisatie die alle drie de beoordelingen serieus neemt, zal merken dat ze documentatie gedeeltelijk kunnen combineren, maar dat de juridische doelen en normadressaten van elk kader afzonderlijk geborgd moeten zijn.
Thierry Breton, voormalig Europees Commissaris voor de Interne Markt, stelde hierover: “Overheidsinstanties moeten bij cloudinkoop expliciet beoordelen welke gegevens en processen onder hun verantwoordelijkheid vallen en welk assuranceniveau daarvoor nodig is. Dat is geen administratieve formaliteit, maar een wezenlijke sovereigniteitskeuze.” (Toespraak European Cloud Alliance, 2023)
De rol van nationale toezichthouders en de erkenningsprocedure
CADA voorziet in een erkenningsprocedure waarbij nationale bevoegde autoriteiten de certificering van cloudaanbieders per assuranceniveau valideren. Lidstaten wijzen een nationale autoriteit aan die verantwoordelijk is voor het toezicht op de naleving van de assurancevereisten. In de Nederlandse context ligt het voor de hand dat de Rijksinspectie Digitale Infrastructuur (RDI) of de Autoriteit Persoonsgegevens (AP) een rol krijgt, in lijn met hun bestaande toezichttaken.
De erkenningsprocedure is geen eenmalige goedkeuring. Cloudaanbieders moeten periodiek kunnen aantonen dat zij nog voldoen aan de technische en juridische vereisten van het erkende niveau. Voor publieke inkopers betekent dit dat zij bij contractverlenging opnieuw moeten toetsen of de aanbieder nog de vereiste status heeft. Het Europees Agentschap voor Cyberbeveiliging (ENISA) ontwikkelt hiervoor de onderliggende certificeringsschema’s binnen het EU-cyberbeveiligingscertificeringskader (EUCS).
Max Schrems, oprichter van noyb, benadrukte de urgentie van deze toezichtstructuur: “De CLOUD Act geeft Amerikaanse autoriteiten de bevoegdheid om data op te vragen bij Amerikaanse cloudaanbieders, ongeacht waar die data fysiek is opgeslagen. Europese organisaties die dit risico onderschatten, handelen in strijd met hun eigen gegevensbeheersingsplichten.” (noyb.eu)
Documentatie van de risicobeoordeling in het aanbestedingsdossier
Een correcte CADA-risicobeoordeling levert meer op dan een intern rapport. Zij vormt de juridische grondslag voor de technische en juridische eisen in een aanbestedingsprocedure. Inkoopafdelingen moeten de uitkomst van de beoordeling op minimaal vier punten vastleggen in het aanbestedingsdossier.
Ten eerste: de procesinventarisatie, waarbij voor elke cloudtoepassing is vastgelegd welk assuranceniveau vereist is en op welke gronden. Ten tweede: de jurisdictieanalyse, waarbij is beoordeeld of de beoogde aanbieder onder de werking valt van de US CLOUD Act, de Chinese Cybersecurity Law of andere extraterritoriale wetgeving. Ten derde: de aansluiting op de DPIA-plicht, waarbij is aangegeven of artikel 35 AVG van toepassing is en zo ja, hoe de DPIA is of wordt uitgevoerd. Ten vierde: de verificatie van de aanbieder, waarbij is aangetoond dat de aanbieder beschikt over de vereiste certificering of erkenning voor het gewenste assuranceniveau.
Het European Data Protection Board stelde in 2023 vast dat het gebruik van US-hyperscalers door Europese publieke instellingen tussen 2020 en 2023 met circa 40% was toegenomen (EDPB, Aanbeveling 01/2023). Dit maakt een goed gedocumenteerde risicobeoordeling niet alleen een juridische verplichting, maar ook een instrument om inkoop te rechtvaardigen tegenover toezichthouders en politieke opdrachtgevers.
Een aanbestedingsdossier dat de CADA-risicobeoordeling correct integreert, bevat ook een verwijzing naar de minimumeisen uit CADA artikel 30, zodat aantoonbaar is dat in elk geval aan de basisdrempel is voldaan. Bij hogere niveaus worden de aanvullende eisen aan de aanbieder vertaald naar specifieke selectie- en gunningscriteria in het bestek.
Praktische implicaties voor compliance officers en IT-beslissers
Voor compliance officers is de CADA-risicobeoordeling een instrument dat hun positie versterkt in gesprekken met inkoop en directie. Zij kunnen de beoordeling gebruiken om te onderbouwen waarom bepaalde aanbieders worden uitgesloten of waarom aanvullende contractuele waarborgen nodig zijn, zoals een verwerkersovereenkomst met bepalingen over toegang door derde-landen-autoriteiten.
IT-beslissers profiteren van de duidelijkheid die de gelaagde niveaustructuur biedt: in plaats van een open-einde risicogesprek geeft CADA concrete technische criteria per niveau, zoals vereisten aan encryptie, sleutelbeheer, auditlogs en incidentrespons. Dit maakt het gesprek met cloudaanbieders objectiever en de contractuele eisen beter controleerbaar.
FAQ
Geldt de CADA-risicobeoordeling ook voor gemeenten en provincies?
Ja. CADA artikel 29 richt zich op alle publieke entiteiten, inclusief decentrale overheden zoals gemeenten en provincies. Zij zijn verplicht om vóór cloudinkoop te bepalen welk assuranceniveau van toepassing is op de betrokken gegevens en processen.
Wat is het verschil tussen CADA-assuranceniveau 1 en niveau 3?
Niveau 1 (artikel 30) is het wettelijk minimum en geldt voor niet-gevoelige administratieve processen. Niveau 3 is bedoeld voor activiteiten met “public order relevance”, zoals processen die openbare orde, veiligheid of kritieke infrastructuur raken. Hogere niveaus vereisen aanvullende technische en juridische waarborgen van de cloudaanbieder.
Kan een private organisatie de CADA-risicobeoordeling verplicht worden gesteld via NIS-2?
Niet direct via CADA zelf. Artikel 31 biedt private NIS-2-plichtige entiteiten de mogelijkheid om vrijwillig hetzelfde beoordelingskader toe te passen. NIS-2 artikel 21 vereist echter zelfstandig een risicoanalyse voor cloudgebruik, waardoor de praktische overlap groot is.
Hoe verhoudt de CADA-risicobeoordeling zich tot een DPIA onder de AVG?
De CADA-risicobeoordeling richt zich op de operationele en jurisdictionele risico’s van de clouddienst zelf. Een DPIA onder AVG artikel 35 richt zich op de verwerkingsrisico’s voor betrokkenen. Beide beoordelingen zijn complementair en kunnen gedeeltelijk tegelijkertijd worden uitgevoerd, maar zijn juridisch gezien separate verplichtingen met eigen documentatievereisten.
Welke toezichthouder controleert de naleving van CADA in Nederland?
Dat is op het moment van schrijven nog niet definitief vastgesteld, omdat CADA (COM(2026) 502) nog in het wetgevingsproces zit. Lidstaten zijn op grond van de ontwerpverordening verplicht nationale bevoegde autoriteiten aan te wijzen. In Nederland ligt het voor de hand dat de Rijksinspectie Digitale Infrastructuur (RDI) of de AP een rol krijgt, in lijn met hun bestaande toezichttaken op digitale diensten en gegevensbescherming.
