Het EU Cloud Rulebook is een door de Europese Commissie gepubliceerd referentiedocument dat overheids- en private organisaties concrete criteria geeft voor de soevereine inkoop van clouddiensten. Het bundelt bestaande juridische verplichtingen uit onder meer de GDPR, NIS-2 en de Data Act, en voegt daar technische minimumdrempels aan toe die organisaties beschermen tegen extraterritoriale juridische risico’s, zoals de toegang die de Amerikaanse CLOUD Act en Patriot Act kunnen geven tot data bij Amerikaanse cloudproviders.
Voor compliance officers en IT-beslissers in de publieke sector, de juridische sector en gereguleerde branches is het Rulebook inmiddels het primaire ankerpunt bij cloudinkoop. Maar de precieze juridische status, de samenhang met andere EU-instrumenten en de praktische vertaling naar aanbestedingsdocumenten blijven voor veel organisaties onduidelijk. Dit artikel brengt structuur aan.
Bindend versus aanbevelend: de juridische status van het Rulebook
Het EU Cloud Rulebook heeft geen directe wettelijke bindingskracht als verordening of richtlijn. Toch is de grens tussen aanbeveling en verplichting dunner dan zij lijkt.
Het Rulebook bundelt en operationaliseert eisen die voortvloeien uit wél bindende instrumenten. Wie als overheidsorganisatie een cloudcontract sluit dat de GDPR-vereisten voor verwerkingslocaties negeert, handelt niet alleen in strijd met de GDPR, maar ook met de minimumeisen die het Rulebook uit die GDPR destilleert. ENISA formuleert het scherp: “Public procurement of cloud services must be anchored in verifiable technical guarantees, not contractual assurances alone” (ENISA, Cloud Security for the Public Sector).
Binnen het Rulebook geldt een onderscheid tussen drie categorieën criteria. De eerste categorie zijn harde minimumvereisten die zijn afgeleid van bindend recht en niet onderhandelbaar zijn. De tweede zijn aanbevolen criteria, die organisaties moeten implementeren tenzij zij kunnen aantonen dat alternatieve maatregelen een equivalent beveiligingsniveau bieden. De derde zijn optionele specificaties voor organisaties met verhoogde soevereiniteitsbehoeften, zoals inlichtingendiensten of rechtbanken.
Samenhang met CADA, het Cloud Sovereignty Framework en de Commissie v1.2
Het Rulebook functioneert niet op zichzelf, maar als uitvoeringslaag boven op het Cloud Sovereignty Framework dat de Europese Commissie publiceerde in versie 1.2, en naast het Common Acquisition Data Architecture (CADA).
Het Cloud Sovereignty Framework (Commissie v1.2) definieert vier niveaus van cloudsoevereiniteit. Niveau 1 biedt geen structurele garanties over dataverwerking buiten de EU. Niveau 2 garandeert opslag in de EU, maar niet de afwezigheid van extraterritoriale juridische toegang. Niveau 3 voegt daadwerkelijke operationele ontkoppeling van niet-EU-moedermaatschappijen toe. Niveau 4 omvat volledig on-premise of door de overheid gecontroleerde infrastructuur zonder afhankelijkheid van commerciële cloudaanbieders.
CADA artikel 7 legt de basis voor niveau 2 als absoluut minimum voor overheidsdata die als gevoelig is geclassificeerd: verwerking mag uitsluitend plaatsvinden binnen de EU of EER, subverwerkers moeten contractueel worden vastgelegd, en dataoverdracht buiten de EU vereist een expliciete rechtsgrond. Het EU Cloud Rulebook vertaalt dit in concrete aanbestedingscriteria, zoals de eis dat de aanbieder schriftelijk bevestigt dat geen enkel onderdeel van de verwerkingsketen is blootgesteld aan niet-EU-jurisdictie via eigendomsstructuren of contractuele verplichtingen aan derden buiten de EU.
| Soevereiniteitsniveau (Commissie v1.2) | Kerngarantie | Minimumeis in Rulebook | Typisch scenario |
|---|---|---|---|
| Niveau 1 | Geen structurele garantie | Niet acceptabel voor overheidsdata | Standaard hyperscaler zonder aanpassingen |
| Niveau 2 | EU-opslag, CLOUD Act-risico aanwezig | Minimum voor niet-gevoelige overheidsdata | Hyperscaler met EU-regio en SCCs |
| Niveau 3 | Operationele ontkoppeling van niet-EU-moeder | Vereist voor gevoelige en bijzondere persoonsdata | Europese aanbieder of trusted cloud-partnerschap |
| Niveau 4 | Volledige controle, geen externe afhankelijkheid | Aanbevolen voor gerubriceerde data | On-premise of staatsdatacenter |
Minimumcriteria in aanbestedingsdocumenten voor publieke organisaties
Publieke organisaties die het Rulebook serieus nemen, vertalen de minimumeisen naar concrete gunningscriteria en contractuele bedingen. De volgende elementen mogen niet ontbreken in een aanbestedingsdocument voor clouddiensten waarbij overheidsdata is betrokken.
Ten eerste moet het programma van eisen vragen naar een juridische analyse van de eigendomsstructuur van de aanbieder, met expliciete verklaring dat geen moedermaatschappij, dochter of subverwerker is gevestigd in een land met extraterritoriale databevragingswetgeving die conflicteert met de GDPR. Ten tweede dient het contract een verwerkingsregister te bevatten met namen van subverwerkers en hun vestigingsplaats. Ten derde moeten incidentresponsprocedures aantonen dat de aanbieder in staat is een NIS-2-meldplicht binnen 24 uur na te komen, inclusief forensische data-isolatie.
Bovendien geldt op grond van de NIS-2 Richtlijn (Richtlijn (EU) 2022/2555) dat essentiële en belangrijke entiteiten contractueel moeten kunnen aantonen dat hun leveranciers passende cyberbeveiligingsmaatregelen treffen. Het Rulebook geeft hier invulling aan door aanbestedende diensten te verplichten een minimale beveiligingsbaseline te eisen die ENISA’s Cloud Security for the Public Sector-richtlijnen volgt.
“Sovereignty is not about disconnecting from the global digital economy, but about ensuring that European organisations retain meaningful control over their data and the conditions under which it is processed.” (Margrethe Vestager, Europese Commissie, 2022)
Meer dan 75% van de Europese overheidsclouduitgaven gaat naar niet-Europese aanbieders, aldus een meting van het Europees Parlement in 2023. Dit maakt de urgentie van heldere aanbestedingscriteria concreet: zonder expliciete minimumeisen in het bestek selecteert de markt vanzelf naar de goedkoopste of meest bekende aanbieder, niet naar de soevereinste.
Het Rulebook als benchmarkdocument voor private organisaties
Het EU Cloud Rulebook is uitdrukkelijk niet beperkt tot publieke aanbestedingen. Organisaties buiten het toepassingsgebied van de Aanbestedingswet 2012, zoals advocatenkantoren, ziekenhuizen, financiële instellingen en nutsbedrijven, kunnen het gebruiken als objectief referentiekader bij leveranciersselectie en contractonderhandeling.
De praktische waarde zit in de concretisering. In plaats van een aanbieder te vragen of hij “GDPR-compliant” is, kunnen private organisaties de Rulebook-criteria als scoringsmatrix hanteren: scoort de aanbieder op soevereiniteitsniveau 3 of hoger? Biedt hij aantoonbare technische afscherming van operationele toegang door niet-EU-partijen? Zijn de exitprocedures conform de Data Act? Dit maakt de vergelijking tussen aanbieders objectiveerbaar en juridisch verdedigbaar tegenover een toezichthouder.
ENISA rapporteerde in zijn Threat Landscape 2024 dat 26% van de ernstige incidenten in de EU-publieke sector een cloudomgeving betrof. Voor private organisaties in gereguleerde sectoren liggen de risico’s vergelijkbaar. Het Rulebook biedt hen een middel om due diligence aantoonbaar te maken, ook zonder wettelijke inkoopplicht.
Interoperabiliteit, container-portabiliteit en API-standaarden
Een van de meest onderschatte gevolgen van het Rulebook betreft de eisen aan technische uitwisselbaarheid. Leveranciersvergrendeling, ook wel vendor lock-in genoemd, ondermijnt soevereiniteit net zo effectief als een onjuiste juridische structuur. Wie zijn data niet zonder onevenredige kosten of technische belemmeringen kan verplaatsen, heeft feitelijk geen controle.
Het Rulebook verplicht aanbesteders om interoperabiliteitseisen op te nemen die aansluiten op de Interoperable Europe Act (Verordening (EU) 2024/903). Deze wet verplicht overheidsdiensten om bij de inkoop van digitale oplossingen interoperabiliteit als gunningscriterium te hanteren en open standaarden te prefereren. Voor cloudcontracten betekent dit concreet: vereiste ondersteuning van open containerformaten zoals OCI-compatibele images, standaard API-specificaties op basis van OpenAPI of gelijkwaardige open standaarden, en documentatie van datamodellen in een machineleesbaar formaat.
De Data Act, meer specifiek artikelen 23 tot en met 29 van Verordening (EU) 2023/2854, versterkt dit kader. Cloudaanbieders zijn verplicht om technische en contractuele overstapbelemmeringen te elimineren. Overstapvergoedingen worden na een overgangsperiode verboden. Aanbieders moeten gestandaardiseerde exportformaten ondersteunen die volledige dataportabiliteit garanderen, inclusief metadata en configuratiebestanden. Organisaties dienen deze rechten niet passief te ontvangen, maar actief in SLA’s te codificeren met concrete termijnen voor datateruggave en verwijdering na contractbeëindiging.
Gartner schatte in 2023 dat de Europese markt voor “digital sovereignty”-cloudoplossingen in 2027 een omvang van 300 miljard euro zou bereiken. Die groei trekt ook aanbieders aan die soevereiniteit als marketingbegrip gebruiken zonder de technische onderbouwing. Het Rulebook, gecombineerd met de Interoperable Europe Act en de Data Act, biedt organisaties de juridische en technische taal om onderscheid te maken tussen echte en cosmetische soevereiniteit.
Van theorie naar contractpraktijk
De combinatie van het EU Cloud Rulebook, CADA artikel 7, het Cloud Sovereignty Framework v1.2, de NIS-2 Richtlijn, de Data Act en de Interoperable Europe Act vormt een samenhangend normenstelsel. Wie dit stelsel begrijpt, kan cloudinkoopbeslissingen nemen die juridisch houdbaar zijn, technisch verifieerbaar zijn en bestuurlijk verdedigbaar zijn tegenover toezichthouders, interne auditors en politieke opdrachtgevers.
De kern van de aanpak is dit: stel soevereiniteitsniveau vast op basis van de classificatie van uw data, vertaal dat niveau naar aantoonbare technische en juridische criteria conform het Rulebook, vereis deze criteria afdwingbaar in het contract, en verifieer naleving periodiek via audits die de aanbieder contractueel verplicht te faciliteren. Zo wordt soevereine inkoop geen eenmalig moment bij contractsluiting, maar een doorlopend beheerproces.
Veelgestelde vragen
Is het EU Cloud Rulebook juridisch bindend voor Nederlandse overheidsorganisaties?
Het Rulebook zelf is geen verordening of richtlijn en heeft dus geen directe wettelijke werking. De minimumeisen erin vloeien echter voort uit of sluiten aan op bindende instrumenten zoals de GDPR, NIS-2 en de Data Act. Overheidsorganisaties die Europese aanbestedingsregels volgen, worden geacht rekening te houden met het Rulebook als erkende technische specificatie.
Wat betekent CADA artikel 7 concreet voor een cloudcontract?
CADA artikel 7 verplicht dat dataverwerking plaatsvindt binnen de EU/EER, tenzij een uitzondering geldt. Voor cloudcontracten betekent dit dat het contract expliciet moet vastleggen in welke datacenters data wordt opgeslagen en verwerkt, wie subverwerkers zijn, en dat buiten-EU-overdracht contractueel en technisch wordt geblokkeerd.
Hoe verschilt het Cloud Sovereignty Framework (Commissie v1.2) van het EU Cloud Rulebook?
Het Cloud Sovereignty Framework beschrijft vier soevereiniteitsniveaus, van “geen garanties” tot “volledig soeverein”, en fungeert als classificatiemethode. Het EU Cloud Rulebook vertaalt die niveaus naar concrete inkoopvereisten en technische criteria die organisaties in aanbestedingsdocumenten kunnen opnemen.
Mogen private bedrijven het Rulebook gebruiken als zij niet aanbestedingsplichtig zijn?
Ja. Het Rulebook is openbaar en uitdrukkelijk geschreven als benchmark voor elke organisatie die clouddiensten inkoopt. Private organisaties in gereguleerde sectoren, zoals financiële instellingen of ziekenhuizen, kunnen het gebruiken als contractuele checklist en als objectief referentiekader bij leveranciersvergelijkingen.
Wat eist de Data Act (artikelen 23-29) op het gebied van overstaprechten bij cloudcontracten?
Data Act artikelen 23-29 verplichten cloudaanbieders om technische en contractuele belemmeringen voor het overstappen te elimineren, gestandaardiseerde exportformaten aan te bieden, en overstapvergoedingen na een overgangsperiode op nul te zetten. Organisaties moeten deze rechten expliciet opnemen in SLA’s, inclusief concrete termijnen voor datateruggave en verwijdering na contractbeëindiging.
