De EU economische veiligheidsstrategie definieert cloudafhankelijkheid van niet-EU aanbieders als een vorm van strategisch risico: een situatie waarbij de kritieke functies van Europese organisaties en overheden afhankelijk zijn van infrastructuur die onderworpen is aan buitenlandse wetgeving, buitenlands toezicht of buitenlandse exportbeslissingen. Dit is niet langer een theoretisch scenario. Het is een afdwingbare juridische realiteit die compliance officers, IT-beslissers en bestuurders van gereguleerde organisaties nu moet activeren.
Wat de EU Economic Security Strategy zegt over cloudafhankelijkheid
De EU Economic Security Strategy, gepubliceerd door de Europese Commissie in juni 2023, structureert strategische risico’s in vier categorieën: verstoringen van toeleveringsketens, kritieke infrastructuur en technologie, wapenwedloop en exportcontrole, en economische dwang. Cloudafhankelijkheid van Amerikaanse hyperscalers raakt direct aan minstens drie van deze vier categorieën.
De kern van het probleem is jurisdictioneel. Circa 65 procent van de wereldwijde cloudmarkt is in handen van drie Amerikaanse aanbieders, namelijk AWS, Microsoft Azure en Google Cloud (Synergy Research Group, 2024). Amerikaanse wetgeving, met name de CLOUD Act uit 2018 en de Patriot Act, verplicht deze aanbieders om op verzoek van Amerikaanse autoriteiten data te verstrekken, ook als die data fysiek is opgeslagen op Europees grondgebied. Europese privacybescherming, inclusief de AVG, biedt in die situatie geen sluitend tegenwicht.
Mario Draghi schreef in zijn gezaghebbende rapport ‘The Future of European Competitiveness’ (2024): “Europa heeft een gevaarlijke afhankelijkheid opgebouwd van buitenlandse technologie op terreinen die cruciaal zijn voor haar economische soevereiniteit. Dit moet worden omgekeerd.” Dit rapport vormt mede de intellectuele basis voor de wetgevende initiatieven die sindsdien zijn gevolgd.
Sectoren met verhoogd risico: wat de CADA COM(2026) 502 vaststelt
De CADA (Cloud and AI Dependency Assessment), vastgelegd in document COM(2026) 502 van de Europese Commissie, is een impactbeoordeling die specifiek ingaat op de afhankelijkheidsrisico’s van cloud- en AI-diensten afkomstig van derde landen. De CADA benoemt een aantal sectoren als bijzonder kwetsbaar.
| Sector | Aard van het risico | Relevante regulering |
|---|---|---|
| Overheid en defensie-industrie | Directe toegang buitenlandse inlichtingendiensten tot overheidscommunicatie | NIS-2, EU Economic Security Strategy |
| Gezondheidszorg | Patiëntdata onder buitenlandse jurisdictie, continuïteitsrisico bij exportrestricties | AVG, NIS-2, DORA (voor zorgtechnologie) |
| Financiële dienstverlening | Operationele afhankelijkheid van Amerikaanse AI-risicomodellen en cloudplatformen | DORA (Verordening (EU) 2022/2554), NIS-2 |
| Energie en transport | SCADA- en OT-systemen gekoppeld aan publieke cloud met buitenlandse toegang | NIS-2, CER-richtlijn |
| Juridische sector en advocatuur | Vertrouwelijke communicatie en processtukken toegankelijk via CLOUD Act | AVG, beroepsgeheim |
De CADA verplicht lidstaten en relevante entiteiten niet tot een onmiddellijke migratie, maar wel tot een gedocumenteerde beoordeling van afhankelijkheden en een aantoonbaar mitigatieplan. Voor organisaties die onder NIS-2 vallen, betekent dit dat de CADA-methodologie onderdeel wordt van de risicobeheersverplichtingen zoals vastgelegd in Artikel 21 van Richtlijn (EU) 2022/2555.
Competitiveness Compass en de CADA: twee kanten van dezelfde strategie
De Competitiveness Compass, gepubliceerd door de Europese Commissie in februari 2025 als opvolger van de Draghi-aanbevelingen, stelt digitale soevereiniteit expliciet centraal als voorwaarde voor Europese economische weerbaarheid. Waar de CADA een risicobeoordeling is, is de Competitiveness Compass een beleidsagenda die de institutionele randvoorwaarden schept om die risico’s te mitigeren.
In de praktijk betekent dit voor organisaties het volgende. De Competitiveness Compass stimuleert investeringen in Europese cloudinfrastructuur, zoals GAIA-X-gecertificeerde diensten, en moedigt lidstaten aan om aanbestedingsbeleid te sturen richting technologisch soevereine alternatieven. De CADA vereist dat organisaties hun huidige afhankelijkheden kwantificeren. Samen creëren beide instrumenten een normatief kader dat compliance officers nu al kunnen gebruiken om interne besluitvorming te onderbouwen.
Concreet betekent dit: inventariseer welke bedrijfsprocessen draaien op niet-EU cloudplatformen, classificeer die afhankelijkheden naar criticiteit, en documenteer welke alternatieve opties beschikbaar zijn. Soevereine alternatieven omvatten onder meer on-premise Nextcloud-installaties, Zwitserse clouddiensten onder het Zwitserse toepassingsrecht (dat geen equivalent van de CLOUD Act kent), of gecertificeerde EU-cloudaanbieders met een aangetoond juridisch ontkoppeld bestuur van niet-EU moederbedrijven.
Het Amerikaanse Executive Order on AI Technology Stack Export: een onderschat risico
In januari 2025 tekende de Amerikaanse president een Executive Order gericht op de export van AI-technologiecomponenten. Dit EO on AI Technology Stack Export geeft de Amerikaanse overheid de bevoegdheid om de toegang tot AI-modellen, trainingsinfrastructuur en bijbehorende clouddiensten te beperken voor bepaalde landen of entiteiten, maar schept ook een breder precedent voor technologisch gebruik als instrument van buitenlands beleid.
Het ENISA Economic Security Risk Assessment AI (2024) bevestigt dit beeld en raadt Europese organisaties aan om bij de inkoop van AI-diensten expliciet te beoordelen welk deel van de AI-stack onder buitenlandse exportcontroleregimes valt. Private, lokaal gehoste AI-oplossingen die geen data terugsturen naar een externe aanbieder en die niet trainen op klantdata, elimineren dit exportrisico volledig. Ze voldoen bovendien aan het AVG-beginsel van dataminimalisatie en zijn eenvoudiger te verantwoorden in een DPIA.
Ter illustratie van de schaal van het risico: 45,2 procent van de Europese bedrijven gebruikt ten minste één publieke clouddienst (Eurostat, 2023). Een groot deel daarvan is afhankelijk van de drie Amerikaanse hyperscalers die direct onder het EO vallen.
Integratie in DPIA en NIS-2: de taak voor compliance officers
ENISA stelt in haar NIS-2-implementatierichtsnoeren: “Kritieke entiteiten moeten begrijpen dat cloudafhankelijkheid van derde landen een directe toeleveringsketenrisico vormt dat onder NIS-2 expliciet beheersbaar moet worden gemaakt.” Dit is een directe opdracht aan compliance officers.
De integratie verloopt in drie stappen. Ten eerste voegt u een jurisdictionele risicocategorie toe aan uw bestaande DPIA-sjabloon. U beoordeelt niet alleen welke persoonsgegevens worden verwerkt en door wie, maar ook onder welke rechtsmacht de verwerker valt en of die rechtsmacht buitenlandse overheidstoegangsbevoegdheden kent. Ten tweede koppelt u de uitkomsten van de CADA-methodologie aan uw NIS-2-risicoregister, zodat leveranciersafhankelijkheden worden beoordeeld als toeleveringsketenrisico’s conform Artikel 21, lid 2, onderdeel d van Richtlijn (EU) 2022/2555. Ten derde documenteert u de mitigatiemaatregelen: uitwijkopties, contractuele garanties, technische maatregelen zoals end-to-end encryptie met sleutels onder eigen beheer, en tijdlijnen voor eventuele migratie.
Ransomware vormt een aanvullend argument. ENISA schat de economische schade van ransomware-aanvallen in de EU op meer dan 10 miljard euro per jaar (ENISA Threat Landscape Report, 2023). Publieke cloudomgevingen zijn aantrekkelijke doelwitten juist omdat ze breed gedeelde infrastructuur bieden. Een gelaagde strategie waarbij gevoelige data on-premise of in een juridisch ontkoppelde soevereine cloud wordt opgeslagen, gecombineerd met quantum-veilige encryptie, verkleint het aanvalsoppervlak aanzienlijk.
Van Microsoft 365 naar een soevereine werkplek: praktische overwegingen
Migratie van Microsoft 365 naar een soeverein alternatief zoals een zelfgehoste Nextcloud-installatie is technisch haalbaar, maar vereist een gefaseerde aanpak. De GDPR-discussie rond Microsoft 365 is al uitgebreid gedocumenteerd: de Zweedse Integritetsskyddsmyndigheten (IMY) en de Deense Datatilsynet hebben beide geoordeeld dat specifieke Microsoft 365-configuraties in strijd zijn met de AVG, met name vanwege telemetriedata die naar de VS worden verzonden.
Een soevereine werkplek voldoet aan NIS-2 en AVG wanneer drie voorwaarden zijn vervuld: de gegevens staan onder exclusief beheer van de eigen organisatie of een juridisch ontkoppelde Europese verwerker, de encryptie gebruikt sleutels die uitsluitend door de eigen organisatie worden beheerd, en de AI-componenten trainen niet op klantdata en zijn niet afhankelijk van externe modelleveranciers met een exportcontrolegevoelige rechtsmacht.
Postquantumcryptografie is daarbij geen toekomstige luxe maar een huidige noodzaak. Het NIST heeft in 2024 zijn eerste definitieve postquantumencryptiestandaarden gepubliceerd (FIPS 203, 204 en 205). Organisaties die nu migreren, doen er verstandig aan encryptie te kiezen die compatibel is met of migreerbaar is naar deze standaarden, zodat data die nu wordt verzameld ook op termijn beschermd blijft tegen “harvest now, decrypt later”-aanvallen door kwantumcomputers.
FAQ
Wat is de EU Economic Security Strategy en waarom is cloudafhankelijkheid daarin opgenomen?
De EU Economic Security Strategy, gepubliceerd door de Europese Commissie in 2023, identificeert technologische afhankelijkheden van derde landen als een van de vier hoofdcategorieën van strategisch risico. Cloudinfrastructuur van niet-EU aanbieders valt hieronder omdat buitenlandse wetgeving, zoals de Amerikaanse CLOUD Act, toegang tot Europese data kan afdwingen zonder toestemming van de betrokkene of de Europese rechter.
Welke sectoren moeten het meest urgent actie ondernemen op basis van de CADA COM(2026) 502?
De CADA-impact assessment benoemt energie, transport, gezondheidszorg, overheid, financiële dienstverlening en defensie-gerelateerde industrie als sectoren met een verhoogd afhankelijkheidsrisico. Organisaties in deze sectoren worden geacht een gedocumenteerde afhankelijkheidsbeoordeling uit te voeren en mitigatieplannen op te stellen.
Wat betekent het Amerikaanse Executive Order on AI Technology Stack Export concreet voor Europese organisaties?
Dit Executive Order geeft de Amerikaanse overheid bevoegdheden om de export van AI-technologiecomponenten, waaronder modellen, trainingsinfrastructuur en clouddiensten, te beperken of te reguleren. Europese organisaties die volledig afhankelijk zijn van Amerikaanse AI-cloudpakketten lopen het risico van plotselinge toegangsbeperkingen, wat hun operationele continuïteit en regelgevende compliance kan ondermijnen.
Hoe verwerk ik een economische veiligheidsrisicobeoordeling in een bestaande DPIA?
Een economische veiligheidsrisicobeoordeling kan als aanvullende risicocategorie worden toegevoegd aan een bestaande DPIA onder de AVG. U beoordeelt dan niet alleen de privacyrisico’s van een verwerking, maar ook de jurisdictionele risico’s van de gekozen cloudleverancier, de mogelijkheid van buitenlandse overheidstoegang, en de gevolgen voor de operationele continuïteit bij een plotselinge leveranciersuitval of exportrestrictie.
Is migratie van Microsoft 365 naar een soeverein alternatief verplicht onder NIS-2 of GDPR?
Er is geen expliciete wettelijke verplichting om Microsoft 365 te verlaten. Wel verplicht NIS-2 (Richtlijn (EU) 2022/2555) kritieke entiteiten tot het beheersen van toeleveringsketenrisico’s, inclusief cloudleveranciers. Als een DPIA of risicobeoordeling uitwijst dat de jurisdictionele blootstelling onaanvaardbaar is, kan het niet-migreren zelf een compliance-risico vormen dat verantwoord moet worden aan toezichthouders.
