Soevereine cloudinkoop betekent dat een organisatie bewust kiest voor cloudopslag en -verwerking waarbij de juridische, technische en operationele controle over data aantoonbaar binnen de Europese Unie of een gelijkwaardige jurisdictie blijft. Voor het mkb en kleine gemeenten is dit geen abstracte beleidsambities: het is een concrete inkoopbeslissing met juridische gevolgen onder de AVG, NIS-2 en de opkomende Cloud and AI Development Act (CADA).
Waarom soevereiniteit voor kleine organisaties nú urgent is
Kleine organisaties lopen vaak achter op grote instellingen als het gaat om datasoevereiniteit, maar ze dragen dezelfde juridische risico’s. De Amerikaanse CLOUD Act (2018) verplicht elke in de VS gevestigde aanbieder, inclusief Microsoft, Google en Amazon, om op rechtelijk bevel data uit te leveren aan Amerikaanse autoriteiten, ongeacht waar die data fysiek is opgeslagen. Dat geldt dus ook voor data in een Amsterdam datacenter als de aanbieder onder Amerikaans recht valt.
Volgens het ENISA NIS Investments rapport 2023 is circa 65 procent van de Europese organisaties afhankelijk van niet-EU-cloudproviders voor kritieke bedrijfsprocessen. Tegelijkertijd geeft meer dan de helft van NIS-2-plichtige organisaties aan onvoldoende budget te hebben voor volledige naleving van de nieuwe veiligheidsvereisten. Dat maakt een efficiënte, proportionele aanpak van soevereine inkoop essentieel, juist voor kleinere spelers.
CADA artikelen 32 en 33: wat betekent dit voor kleine organisaties
De Cloud and AI Development Act (CADA) introduceert in artikelen 32 en 33 concrete verplichtingen rond aanbiedersverantwoordelijkheid en auditrechten. Voor grote essentiële entiteiten (OES) betekent dit volledige due diligence: zij moeten aantonen dat hun aanbieder voldoet aan alle soevereiniteitsvereisten en moeten periodieke audits kunnen afdwingen.
Voor kleine en middelgrote NIS-2-plichtige organisaties, aangeduid als Belangrijke Entiteiten (IE), geldt een proportionele risicogebaseerde aanpak. Zij hoeven niet elk CADA-artikel afzonderlijk te documenteren, maar moeten wel hun keuze voor een aanbieder onderbouwen en vastleggen waarom het gekozen SEAL-niveau volstaat voor de risicocategorie van de verwerkte data. Dit verschil in compliancelast is geen ontheffing maar een gedifferentieerde toepassing van hetzelfde principe.
SEAL-niveaus: welk niveau past bij welke data
De Sovereignty Effectiveness Assurance Levels (SEAL) bieden een gelaagd stelsel waarmee organisaties het vereiste soevereiniteitsniveau koppelen aan de gevoeligheid van hun data. Onderstaande tabel geeft de minimale niveaus per risicocategorie.
| Risicocategorie | Voorbeelden | Minimaal SEAL-niveau | Kerneisen |
|---|---|---|---|
| Gewone persoonsgegevens | Personeelsadministratie, klantgegevens | SEAL-2 | Europees dataverblijf, geen doorgifte buiten EER |
| Bijzondere persoonsgegevens | Gezondheidsdata, BSN-verwerking | SEAL-3 | SEAL-2 plus versleuteling in rust en transport, eigen sleutelbeheer (BYOK) |
| Bedrijfsgeheimen en intellectueel eigendom | Technische tekeningen, offertes, R&D-data | SEAL-3 | SEAL-2 plus contractuele geheimhoudingsplicht aanbieder, auditrecht |
| Kritieke bedrijfscontinuïteit | Procesbesturing, noodprocedures, back-upinfrastructuur | SEAL-4 | SEAL-3 plus geografische redundantie binnen EU, aantoonbare incidentrespons |
Voor de meeste mkb-bedrijven en kleine gemeenten is SEAL-3 de praktische bovengrens. SEAL-4 is relevant voor organisaties die onder de kritieke infrastructuur vallen of die processen draaien waarvan uitval directe maatschappelijke gevolgen heeft.
Cloud III DPS als kant-en-klare benchmark
Het Cloud III Dynamic Purchasing System (DPS) van de Europese Commissie (DIGIT) is een aanbestedingsraamwerk waarbij aanbieders vooraf worden getoetst op een basisset van technische, juridische en soevereiniteitsvereisten. Elke aanbieder op de Cloud III DPS-lijst heeft die toetsing doorlopen.
Voor kleinere gemeenten en mkb-bedrijven zonder dedicated inkoopteam biedt dit een directe tijdsbesparing: in plaats van zelf een volledig tenderdossier op te stellen, kunnen zij de Cloud III DPS-uitkomst als voorgekwalificeerde referentielijst gebruiken. Dit betekent niet dat elke aanbieder op de lijst automatisch het juiste SEAL-niveau biedt voor uw specifieke data, maar het elimineert de eerste kwalificatiestap. U kiest vervolgens binnen de lijst een aanbieder die voldoet aan uw SEAL-eis en sluit een verwerkersovereenkomst conform artikel 28 AVG.
Soevereiniteitsbeoordeling zonder extern adviesbureau
Drie gratis instrumenten dekken samen de basisbehoeften voor een soevereiniteitsbeoordeling:
Ten eerste biedt het Digital Trust Centre (DTC), een initiatief van het Ministerie van Economische Zaken, een zelfscan voor digitale weerbaarheid die ook ingaat op cloudkeuzes en leveranciersrisico’s. De DTC zelfscan is specifiek ingericht voor mkb en kleinere overheidsorganisaties. Bereikbaar via digitaltrustcentre.nl.
Ten tweede publiceert ENISA de Cloud Security Guide for SMEs, die een gestructureerde vragenlijst bevat voor het beoordelen van cloudaanbieders op jurisdictierisico’s, incidentbeheer en sleutelbeheer. Bereikbaar via enisa.europa.eu.
Ten derde bevat het European Union Cybersecurity Certification Scheme for Cloud Services (EUCS) een openbare controlevragenlijst waarmee u kunt toetsen of een aanbieder in aanmerking komt voor EUCS-certificering op het niveau Basic, Substantial of High. Dit niveau correspondeert deels met de SEAL-indeling.
Door deze drie instrumenten achtereenvolgens toe te passen, voert een interne medewerker met basiskennis van IT-inkoop een bruikbare soevereiniteitsbeoordeling uit in twee tot vier werkdagen.
Vendor lock-in voorkomen in soevereine cloudcontracten
Juist kleine organisaties die overstappen naar een Europese aanbieder, zoals het Nederlandse platform mijn.host of een Nextcloud-gebaseerde hostingpartner, lopen het risico een nieuwe afhankelijkheid te creëren. Vendor lock-in bij soevereine aanbieders is minder zichtbaar dan bij hyperscalers, maar even reëel.
Vier contractuele clausules beperken dit risico structureel. Allereerst: vereis dataporteerbaarheid in een open formaat. Voor bestandsopslag zijn WebDAV en S3-compatibele API-toegang de standaard; voor agenda en contacten zijn CalDAV en CardDAV de gangbare open protocollen. Ten tweede: leg een maximale exportdoorlooptijd vast van dertig dagen bij contractbeëindiging. Ten derde: bedwing sleutelbeheer via een Bring Your Own Key-clausule (BYOK), zodat de aanbieder de encryptie technisch niet zelfstandig kan opheffen. Ten vierde: zorg voor een opzegtermijn van maximaal drie maanden zonder boetebeding bij overstap naar een andere aanbieder.
Platforms gebouwd op open-source software, zoals Nextcloud, verlagen de lock-in inherent: de software is onafhankelijk van de aanbieder beschikbaar, zodat een overstap naar een andere hostingpartij of naar eigen hosting technisch haalbaar blijft zonder dataverlies of formatmigratie.
Juhan Lepassaar, uitvoerend directeur van ENISA, stelt hierover: “Soevereiniteit over data is geen luxe meer voor grote organisaties; het is een basisvereiste voor iedere entiteit die persoonsgegevens of bedrijfsgevoelige informatie verwerkt onder Europees recht.” (ENISA NIS Investments rapport 2023)
Budgetproportionaliteit en de NIS-2-compliancelast
Mkb-bedrijven besteden gemiddeld slechts 0,2 procent van hun jaaromzet aan informatiebeveiliging, terwijl voor NIS-2-compliance een minimum van 0,5 procent wordt aanbevolen (Digital Trust Centre, 2023). Het gat tussen feitelijke besteding en vereist niveau is voor kleine organisaties het grootste obstakel.
De proportionele CADA-aanpak en het gebruik van de Cloud III DPS-benchmark verlagen de directe inkoopkosten aanzienlijk. Een organisatie met tien tot vijftig medewerkers die een voorgekwalificeerde aanbieder selecteert op basis van SEAL-2 of SEAL-3, zonder zelfstandig tenderdossier, bespaart naar schatting twintig tot veertig uur aan inkoopvoorbereiding. Die ruimte kan worden ingezet voor de verplichte risicobeoordeling en incidentresponsplanning die NIS-2 eveneens vereist.
Het Digital Trust Centre formuleert het als volgt: “Kleine en middelgrote ondernemingen onderschatten systematisch de juridische risico’s van extraterritoriale wetgeving zoals de CLOUD Act. Een bewuste aanbiederselectie is de eerste verdedigingslinie.”
Samenvatting: een werkbare route voor kleine organisaties
De combinatie van de Cloud III DPS-benchmark als voorkwalificatielijst, SEAL-niveaus als risicogebaseerde selectiecriterische, de CADA artikelen 32 en 33 als proportioneel compliancekader, en de gratis instrumenten van het DTC en ENISA, maakt soevereine cloudinkoop haalbaar zonder groot inkoopteam of externe juridische begeleiding. De sleutel is het koppelen van de juiste SEAL-eis aan de juiste datacategorie en het contractueel verankeren van open standaarden om toekomstige keuzevrijheid te behouden.
Veelgestelde vragen
Moet een kleine gemeente of mkb-bedrijf de volledige CADA-soevereiniteitscriteria zelfstandig implementeren?
Nee. Kleine organisaties kunnen de Cloud III DPS-uitkomst van de Europese Commissie als voorgekwalificeerde benchmark gebruiken. Aanbieders op de Cloud III DPS zijn al getoetst op een basisset van soevereiniteitscriteria, zodat de organisatie niet zelf het volledige tenderdossier hoeft op te stellen.
Wat is het minimale SEAL-niveau voor opslag van gewone persoonsgegevens?
Voor routinematige verwerking van persoonsgegevens, zoals personeelsadministratie of klantgegevens zonder bijzondere categorieën, geldt SEAL-2 als ondergrens. Dit niveau vereist aantoonbaar Europees dataverblijf en contractuele uitsluiting van doorgifte buiten de EER.
Hoe verschilt de CADA-compliancelast voor een kleine NIS-2-plichtige organisatie van die voor een grote essentiële entiteit?
Grote essentiële entiteiten moeten volledige due diligence uitvoeren op alle CADA-artikelen, inclusief artikel 32 en 33. Belangrijke entiteiten in het mkb mogen een proportionele risicogebaseerde aanpak hanteren: zij documenteren hun keuze voor een soevereine aanbieder en onderbouwen waarom het gekozen SEAL-niveau volstaat voor hun risicocategorie.
Welke gratis tools bestaan er voor een soevereiniteitsbeoordeling zonder adviesbureau?
Het Digital Trust Centre biedt een zelfscan voor digitale weerbaarheid. ENISA publiceert de Cloud Security Guide for SMEs. De EUCS bevat een openbare controlevragenlijst. Samen vormen deze drie instrumenten een bruikbare basischecklist voor organisaties zonder dedicated inkoopteam.
Hoe voorkom je vendor lock-in bij een contract met een Europese soevereine cloudaanbieder?
Vereis contractueel dataporteerbaarheid in een open formaat (zoals WebDAV of S3-compatibele API), een exportprocedure met maximaal dertig dagen doorlooptijd, en een clausule die eigen encryptiesleutelbeheer toestaat (BYOK). Platforms gebaseerd op open-source software, zoals Nextcloud, verlagen de lock-in verder omdat de software onafhankelijk van de aanbieder draait.
