EU cloud marktconcentratie beschrijft de situatie waarin een beperkt aantal aanbieders een overheersend deel van de Europese infrastructuur voor cloudopslag, -computing en -software beheert. In de huidige praktijk betekent dit dat drie Amerikaanse bedrijven, Amazon Web Services, Microsoft Azure en Google Cloud, gezamenlijk meer dan 65 procent van de Europese public cloudmarkt in handen hebben (European Commission, State of the Digital Decade 2024). Voor compliance officers en IT-beslissers in gereguleerde sectoren is dit geen abstracte machtsverdeling: het bepaalt direct wie juridisch gezien toegang heeft tot uw data.
Wat de State of the Digital Decade zegt over hyperscaler dominantie
De Europese Commissie meet jaarlijks de voortgang op digitale doelstellingen via de State of the Digital Decade-rapportage. Het meest recente rapport signaleert een structurele spanning: cloudadoptie groeit snel, maar die groei slaat neerwaarts op de marktpositie van Europese aanbieders.
Het Digital Decade Policy Programme 2030 stelde vast dat minimaal 75 procent van de Europese ondernemingen in 2030 cloudtechnologie moet gebruiken. Die adoptiedoelstelling wordt gehaald, maar de soevereiniteitsdimensie, namelijk welke providers worden gekozen, blijft structureel achter. Slechts circa 4 procent van de EU-cloudmarkt wordt bediend door aanbieders zonder banden met een Amerikaans moederbedrijf, aldus onderzoek van het European Centre for International Political Economy (ECIPE, 2023).
De mededeling CADA COM(2026) 502, onderdeel van de bredere EU Data Union Strategy, erkent dit expliciet en introduceert beleidsmaatregelen gericht op het versterken van Europees cloudaanbod en het verminderen van strategische afhankelijkheden. De strategie is echter een kaderstellend document: directe migratieoplichtingen voor individuele organisaties vloeien er niet rechtstreeks uit voort.
Juridische en operationele risico’s van hyperscaler afhankelijkheid
De kern van het juridische risico is de extra-territoriale werking van Amerikaans recht. De CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) verplicht Amerikaanse cloudproviders om op last van Amerikaanse autoriteiten gegevens te overhandigen, ongeacht waar die gegevens fysiek zijn opgeslagen. Een datacentrum in Amsterdam of Frankfurt verandert daar niets aan zolang de juridische entiteit Amerikaans is.
Max Schrems, privacyactivist en oprichter van noyb (None of Your Business), verwoordde het als volgt: “The CLOUD Act creates a direct conflict with GDPR obligations because it compels US providers to hand over data stored anywhere in the world, regardless of where that data physically resides.” Dit conflict is niet theoretisch: het Europees Hof van Justitie vernietigde zowel Safe Harbor (2015) als Privacy Shield (2020) op vergelijkbare gronden.
Naast de CLOUD Act speelt de USA PATRIOT Act een rol bij inlichtingengerelateerde toegang. Artikel 215 van die wet en de opvolgende FISA-bepalingen bieden Amerikaanse inlichtingendiensten ruime bevoegdheden voor toegang tot data bij Amerikaanse bedrijven, ook zonder dat de betrokken organisatie hiervan op de hoogte wordt gesteld.
Op operationeel vlak creëert concentratie bij één of twee hyperscalers aanzienlijke vendor lock-in. Propriëtaire API-structuren, dataformaten en licentiemodellen maken migratie kostbaar. Voor organisaties die onder NIS-2 (Richtlijn EU 2022/2555) vallen, is dit relevant: de richtlijn verplicht expliciet tot risicobeheer in de toeleveringsketen, inclusief het beoordelen van afhankelijkheidsrisico’s bij leveranciers van essentiële ICT-diensten.
Concentratierisico’s kwantificeren als compliance officer
Een compliance officer die concentratierisico’s wil beoordelen, heeft baat bij een gestructureerd raamwerk. De volgende criteria vormen een praktisch vertrekpunt voor een leveranciersrisicoanalyse.
| Risicodimensie | Meetcriterium | Drempelwaarde voor actie |
|---|---|---|
| Juridische jurisdictie | Rechtspersoon van de provider | Buiten EU/EER of onder CLOUD Act |
| Marktconcentratie | Aandeel kritische werklasten bij één provider | Meer dan 60 procent bij één leverancier |
| Exitkosten | Geschatte migratiekosten en -doorlooptijd | Meer dan 6 maanden en meer dan 15 procent van IT-budget |
| Contractuele bescherming | Aanwezigheid van soevereiniteitsclausules en auditrechten | Ontbreken van expliciete GDPR-artikel 28-waarborgen |
| Incidentrespons | Contractueel gegarandeerde meldingstermijn bij datalekken | Meer dan 24 uur of niet contractueel vastgelegd |
Bij diversificatiebeslissingen is het nuttig om een onderscheid te maken tussen werklasten die kritisch zijn voor operationele continuïteit en werklasten die gevoelig zijn voor juridische toegangsrisico’s. Niet elke werklast vereist dezelfde mate van soevereiniteit. Een interne testomgeving heeft een ander risicoprofiel dan een systeem dat bijzondere categorieën persoonsgegevens verwerkt in de zin van artikel 9 AVG.
Europese cloudproviders als reëel alternatief
De bewering dat Europese alternatieven “niet volwassen genoeg” zijn, is niet langer houdbaar voor standaard cloudwerklasten. Drie namen verdienen bijzondere aandacht in de context van soevereine infrastructuur.
OVHcloud is de grootste Europese cloudprovider gemeten naar datacentercapaciteit, volledig Frans eigendom, en biedt objectopslag, managed Kubernetes, bare-metal servers en een breed dienstenpalet dat vergelijkbaar is met de basisinfrastructuur van AWS. OVHcloud beschikt over ISO 27001-certificering en SecNumCloud-kwalificatie voor geclassificeerde werklasten in Frankrijk.
Scaleway, eveneens Frans en onderdeel van Iliad Group, richt zich op ontwikkelaarsvriendelijke infrastructuur met transparante prijsstelling. Scaleway biedt objectopslag compatibel met de S3-API, managed databases en GPU-instanties voor AI-werklasten. De provider publiceert openbaar zijn certificeringsstatussen en datacenterlocaties, wat vergelijking en due diligence vereenvoudigt.
STACKIT, het cloudmerk van de Schwarz Gruppe (moederbedrijf van Lidl en Kaufland), is opgebouwd rondom strikte Duits-Europese datasoevereiniteit. STACKIT bedient primair zakelijke klanten en biedt infrastructure-as-a-service vanuit gecertificeerde datacenters in Duitsland en Oostenrijk. De positionering is expliciet gericht op organisaties die juridische zekerheid over datalocatie eisen.
Bij het beoordelen van volwassenheid is het zinvol om naast technische capaciteit ook te kijken naar de financiële stabiliteit van de provider, de roadmap voor nieuwe diensten, en de aanwezigheid van een Europees partnernetwerk voor implementatie en ondersteuning. Geen van deze drie providers biedt op dit moment de breedte van het dienstenpakket van AWS of Azure, maar voor een meerderheid van standaardwerklasten in overheden, juridische kantoren en de zorgsector is dat geen belemmering.
EU-soevereiniteitsdoelstelling versus marktpraktijk
Voormalig Eurocommissaris Thierry Breton formuleerde de inzet scherp: “Europe must not become a digital colony. We need to build our own cloud capacity or risk permanent dependency on infrastructure we do not control.” Die uitspraak weerspiegelt een beleidsambitie die al jaren wordt geformuleerd, maar waarvan de uitvoering achterblijft bij de retoriek.
De EU Data Union Strategy en de bijbehorende documenten, waaronder CADA COM(2026) 502, introduceren nieuwe instrumenten: stimulering van Europese cloudaanbieders via publieke aanbestedingsvereisten, standaardisatie van interoperabiliteitsprotocollen en steun voor de Europese cloudinfrastructuur GAIA-X. GAIA-X is echter sterk bekritiseerd omdat grote Amerikaanse hyperscalers actief deelnemen aan het bestuur, wat de geloofwaardigheid van het soevereiniteitsframe ondermijnt.
Voor inkoopbeleid in overheidsorganisaties en gereguleerde sectoren betekent dit dat het verstandig is om de beleidsrichting mee te laten wegen in langetermijncontracten. Aanbestedingen die nu worden gesloten voor periodes van vijf tot zeven jaar, lopen het risico te conflicteren met toekomstige sectorale vereisten als de EU-wetgeving aanscherpt in de richting van verplichte Europese cloudprocurement voor bepaalde categorieën overheidsdata.
De kloof tussen ambitie en werkelijkheid is reëel, maar niet statisch. De combinatie van NIS-2-handhaving die op stoom komt, de voortdurende juridische onzekerheid rondom internationale datatransfers onder de AVG, en de geopolitieke druk na 2022 versnelt de afweging voor organisaties die dit vraagstuk tot nu toe hebben uitgesteld. Compliance officers die concentratierisico bij hyperscalers nu in kaart brengen, zijn beter gepositioneerd wanneer toezichthouders dit expliciet gaan toetsen.
FAQ: EU cloud marktconcentratie en hyperscaler afhankelijkheid
Valt het gebruik van AWS of Azure automatisch onder de CLOUD Act?
Ja. AWS en Microsoft zijn Amerikaanse rechtspersonen en vallen daarmee onder de Clarifying Lawful Overseas Use of Data Act (CLOUD Act, 2018). Die wet verplicht hen op bevel van Amerikaanse autoriteiten gegevens te overhandigen, ook als die fysiek in een EU-datacenter staan. Een Europees datacenter biedt dus geen volledige bescherming zolang de provider Amerikaans is.
Wat is het verschil tussen een Europese cloud en een soevereine cloud?
Een Europese cloud is simpelweg een cloud waarvan de datacenters in Europa staan. Een soevereine cloud gaat verder: de juridische entiteit, het eigendom en de operationele controle liggen bij een organisatie die niet onder buitenlandse jurisdictie valt. OVHcloud en STACKIT zijn voorbeelden van providers die aan beide criteria voldoen.
Wat verplicht NIS-2 concreet ten aanzien van cloudleveranciers?
Richtlijn (EU) 2022/2555 (NIS-2) verplicht organisaties in essentiële en belangrijke sectoren om risico’s in de toeleveringsketen, inclusief cloudleveranciers, expliciet te beoordelen en te beheersen. Aantoonbare vendor lock-in bij één hyperscaler kan daarmee als ontoereikend risicobeheer worden aangemerkt door nationale toezichthouders zoals het NCSC of het Agentschap voor Cybersecurity.
Hoe beoordeel je de volwassenheid van een Europese cloudprovider als alternatief voor AWS of Azure?
Gebruik criteria zoals ISO 27001- en SOC 2-certificering, beschikbaarheid van managed Kubernetes en objectopslag, geografische redundantie binnen de EU, SLA-garanties boven 99,9 procent, en de aanwezigheid van een eigen onafhankelijk beveiligingsteam. Scaleway en OVHcloud publiceren hun certificeringsstatussen openbaar en zijn daardoor goed vergelijkbaar.
Betekent de EU Data Union Strategy dat organisaties nu al moeten migreren?
Nee. De EU Data Union Strategy en de bijbehorende mededeling CADA COM(2026) 502 scheppen een beleidsrichting en stimuleren de vraag naar Europese alternatieven, maar leggen geen directe migratieverplichting op aan individuele organisaties. Wel vergroot de strategie de kans op toekomstige inkoopvereisten in overheidssectoren en gereguleerde markten, wat migratieplanning nu al relevant maakt.
