De Cloud III Dynamic Purchasing System (Cloud III DPS)-aanbesteding van de Europese Commissie is het eerste grootschalige Europese inkoopkader dat cloudsoevereiniteit meetbaar maakt via gestandaardiseerde criteria en een scoringssysteem. De resultaten, gepubliceerd in april 2026, geven organisaties buiten Brussel een zeldzame blik op wat “sovereign cloud” in de praktijk betekent wanneer commerciële aanbiedingen worden afgezet tegen objectieve, juridisch en technisch onderbouwde normen.
De vier winnaars en hun SEAL-niveaus
Vier consortia wonnen een plek op het Cloud III DPS-raamwerk, elk met een verschillende Sovereignty Effectiveness Assurance Level (SEAL)-classificatie die aangeeft hoever hun aanbieding reikt op de soevereiniteitsladder van 0 tot 4.
| Consortium / Leverancier | SEAL-niveau | Kernkenmerk |
|---|---|---|
| Proximus NXT / S3NS (Thales-Google Cloud JV) | SEAL-2 | EU-gegevenslocatie, beperkte externe toegang, hybride technologiestapel |
| OVHcloud (consortium) | SEAL-3 | Volledige EU-infrastructuur, geen niet-EU toegang contractueel en technisch |
| T-Systems / Deutsche Telekom (consortium) | SEAL-3 | Europese sleutelbeheerarchitectuur, EU-personeel operationeel |
| Atos (consortium) | SEAL-2 | EU-hosting, gedeeltelijke Europese toeleveringsketen |
Geen enkele aanbieder bereikte SEAL-4. Dat niveau vereist niet alleen dat infrastructuur en personeel Europees zijn, maar ook dat de volledige toeleveringsketen, van halfgeleiders tot softwarebibliotheken en onderhoudscontractanten, aantoonbaar Europees van oorsprong is. De Commissie erkende in de toelichting bij de gunning dat SEAL-4 voor breed inzetbare clouddiensten voorlopig een aspirationeel niveau blijft.
Wat de haalbaarheid van SEAL-4 zegt over de Europese cloudmarkt
Het ontbreken van een SEAL-4-aanbieder is een structureel signaal, geen tijdelijk tekort. De Europese cloudindustrie beschikt op dit moment niet over een volledig gesloten Europese toeleveringsketen voor hyperscale-diensten.
De afhankelijkheid van Amerikaanse processortechnologie (Intel, AMD, Nvidia), Amerikaanse besturingssysteemlicenties en Amerikaanse open-source-ecosystemen maakt SEAL-4 technisch onhaalbaar zonder decennia van industriepolitiek gericht op Europese halfgeleider- en softwaresoevereiniteit. Dit hoeft organisaties niet te verlammen: voor de meeste overheids- en gereguleerde-sectorworkloads biedt SEAL-3 voldoende juridische en operationele bescherming, mits gecombineerd met eigen sleutelbeheer en contractueel afdwingbare toegangsbeperkingen.
Het Proximus/S3NS-consortium: gecertificeerde hybride constructie of sovereignty washing?
De selectie van het Proximus NXT / S3NS-consortium illustreert het centrale debat rond hybride soevereiniteitsconstructies. S3NS is een joint venture tussen Thales en Google Cloud, waarbij Thales de juridische controle houdt over de sleutelbeheerlaag via een apart beheerde trusted cloud-architectuur, terwijl de onderliggende rekenkracht en opslaginfrastructuur Google-technologie gebruikt.
De Commissie kende dit consortium expliciet SEAL-2 toe en niet SEAL-3. Dat onderscheid is cruciaal: SEAL-2 garandeert EU-gegevenslocatie en beperkte externe toegang, maar erkent tegelijkertijd dat de technologiestapel niet volledig Europees is. Dit is niet “sovereignty washing” in de pejoratieve zin, maar het is ook geen equivalente vervanging voor een volledig Europese oplossing. De SEAL-classificatie fungeert hier als eerlijk label: de aanbieder is transparant over wat hij wel en niet biedt.
“Sovereignty is not a binary state. It is a spectrum of assurance that must be matched to the sensitivity of the data and the regulatory obligations of the institution,” stelde voormalig Europees Commissaris Margrethe Vestager in een toespraak tijdens de European Cloud Conference.
Voor organisaties in de rechtssector of bij inlichtingengerelateerde overheidsorganen, waar de CLOUD Act-problematiek (50 U.S.C. § 1881) of de brede reikwijdte van de USA PATRIOT Act (18 U.S.C. § 2511) directe compliance-risico’s schept, volstaat SEAL-2 doorgaans niet. Voor minder gevoelige maar toch gereguleerde werkstromen kan het een pragmatische tussenstap zijn.
De 48 sovereigntycriteria: toepassing buiten formele EU-aanbestedingen
Het EU Cloud Sovereignty Framework bevat 48 criteria verdeeld over acht domeinen, waaronder juridische jurisdictie, gegevenslocatie, toegangsbeheer, sleutelbeheer, auditrechten, toeleveringsketentransparantie, operationele soevereiniteit en exit-mogelijkheden (bron: Europese Commissie, EU Cloud Sovereignty Framework, 2025). Dit kader is openbaar en kan door elke organisatie worden toegepast.
Een compliance officer of IT-beslisser bij een Nederlandse gemeente, een ziekenhuis of een advocatenkantoor kan de 48 criteria als volgt operationaliseren buiten een formele aanbesteding:
- Selecteer de relevante domeinen op basis van de gegevensclassificatie van de organisatie. Een gemeente met persoonsgegevens in de zin van de AVG (Verordening EU 2016/679) prioriteert juridische jurisdictie en sleutelbeheer boven toeleveringsketentransparantie.
- Vertaal criteria naar contractuele eisen in een Programma van Eisen of RFP. Elk criterium heeft een binaire of trapsgewijze scoringswaarde; deze zijn direct bruikbaar als minimumeis of wenseis.
- Koppel de score aan een intern risicobeleid. Organisaties die NIS-2 (Richtlijn EU 2022/2555) moeten naleven, kunnen de SEAL-score gebruiken als aantoonbaar onderdeel van hun leveranciersrisicobeheersing.
- Vraag leveranciers om zelfbeoordeling op de 48 criteria en laat die beoordeling onafhankelijk valideren, bijvoorbeeld via EUCS-certificering of een derde-partijaudit.
Cloud Sovereignty Framework, CADA en EUCS: drie overlappende kaders
Europese organisaties worden geconfronteerd met drie overlappende maar niet identieke soevereiniteitsraamwerken, wat tot verwarring leidt over welk kader leidend is.
| Kader | Initiator | Focus | Relatie tot SEAL |
|---|---|---|---|
| EU Cloud Sovereignty Framework (48 criteria) | Europese Commissie | Inkoop en operationele soevereiniteit | Basis voor SEAL-scoring |
| CADA (Cloud Acquisition Decision Aid) | DIGIT (EC intern) | Intern beslissingsinstrument cloudinkoop | Aanvullend; geeft soevereiniteitsniveaus 1 tot 4 |
| EUCS (European Cybersecurity Certification Scheme for Cloud) | ENISA | Technische beveiligingscertificering (Basic, Substantial, High) | Vereist bij SEAL-3 en SEAL-4 |
SEAL-3 en SEAL-4 vereisen minimaal het EUCS High-niveau, maar de criteria zijn niet één-op-één uitwisselbaar. EUCS beoordeelt technische en organisatorische beveiligingsmaatregelen; SEAL voegt juridische jurisdictie en toeleveringsketentransparantie toe. “The EUCS high level should become the baseline for sensitive government workloads across member states, not a ceiling,” aldus ENISA-directeur Juhan Lepassaar (ENISA, persverklaring).
De CADA-methodologie, ontwikkeld door de Europese Commissie voor intern gebruik door DG DIGIT, hanteert soevereiniteitsniveaus 1 tot 4 die qua structuur lijken op SEAL maar primair zijn ontworpen voor interne inkoopbeslissingen van EU-instellingen. Externe organisaties kunnen CADA gebruiken als referentie, maar SEAL is het formeel gepubliceerde en aanbestedingstechnisch gehanteerde kader.
ENISA rapporteerde dat meer dan 46% van significante incidenten bij clouddiensten in 2023 verband hield met configuratiefouten en onvoldoende toegangsbeheer bij publieke cloudplatforms (ENISA Threat Landscape 2023). Dit onderstreept dat certificering op papier, zonder operationele implementatie van de onderliggende criteria, onvoldoende bescherming biedt.
Praktische implicaties voor compliance officers en IT-beslissers
De Cloud III-uitkomsten zijn niet alleen relevant voor organisaties die direct met de Europese Commissie contracteren. Ze vormen een precedent voor hoe soevereiniteit operationeel wordt gedefinieerd en beoordeeld in Europa.
Voor een organisatie die overweegt te migreren van een publieke hyperscaler naar een soevereine alternatieve omgeving, bieden de Cloud III-resultaten een concreet referentiekader. Een SEAL-2-equivalent is realistisch bereikbaar met bestaande Europese aanbieders en hybride architecturen. SEAL-3 is haalbaar maar vereist bereidheid om te kiezen voor aanbieders met een volledig Europese operationele structuur, wat in de praktijk betekent: geen contractuele relaties met entiteiten die vallen onder de CLOUD Act of de PATRIOT Act.
Voor NIS-2-plichtige organisaties geldt bovendien dat de zorgplicht voor toeleveringsketenbeveiliging, vastgelegd in artikel 21 van Richtlijn EU 2022/2555, directe overlap heeft met de SEAL-criteria voor toeleveringsketentransparantie. Een SEAL-score kan daarmee dienen als aantoonbaar onderdeel van de risicobeheersrapportage richting toezichthouders zoals de Rijksinspectie Digitale Infrastructuur (RDI) in Nederland.
Veelgestelde vragen
Wat is het verschil tussen SEAL-3 en SEAL-4 in de Cloud III-aanbesteding?
SEAL-3 vereist dat alle cloudinfrastructuur zich fysiek in de EU bevindt en dat toegang door niet-EU-personeel contractueel en technisch is uitgesloten. SEAL-4 voegt daaraan toe dat ook de volledige toeleveringsketen, inclusief chips, softwarebibliotheken en onderhoudspartijen, Europees van oorsprong moet zijn. Geen enkele aanbieder haalde SEAL-4 bij de Cloud III-tender.
Is het Proximus/S3NS-consortium (Thales-Google Cloud JV) echt soeverein?
S3NS is een joint venture waarbij Thales als Europese partij de juridische en operationele controle houdt over de sleutelbeheerlaag, terwijl de onderliggende infrastructuur op Google Cloud-technologie draait. De Commissie kende het consortium SEAL-2 toe: voldoende voor EU-gegevenslocatie en beperkte toegang, maar niet voor een volledig Europese technologiestapel. Het is een gecertificeerde hybride constructie, geen volledig soevereine oplossing.
Kan een Nederlandse gemeente de 48 sovereigntycriteria gebruiken buiten een formele EU-aanbesteding?
Ja. De 48 criteria en het bijbehorende SEAL-scoringssysteem zijn openbaar gepubliceerd en kunnen als methodologisch kader dienen bij elk cloudinkoopproces. Een organisatie kan de criteria vertalen naar een programma van eisen of een Request for Proposal, ongeacht of er sprake is van een formele Europese aanbestedingsprocedure.
Hoe verhoudt SEAL zich tot de EUCS-certificeringsniveaus?
EUCS kent drie assuranceniveaus: Basic, Substantial en High. SEAL is een aanbestedingsspecifiek scoringssysteem dat breder is dan EUCS: het beoordeelt ook juridische jurisdictie, toeleveringsketentransparantie en operationele soevereiniteit. SEAL-3 en SEAL-4 vereisen minimaal EUCS High, maar de criteria zijn niet één-op-één uitwisselbaar.
Wat zijn de praktische implicaties van de Cloud III-uitkomsten voor NIS-2-plichtige organisaties?
NIS-2 (Richtlijn EU 2022/2555) verplicht organisaties in kritieke sectoren tot risicobeheersmaatregelen die uitdrukkelijk de toeleveringsketen omvatten. De Cloud III-uitkomsten tonen dat SEAL-2 of SEAL-3 realistisch haalbaar is voor de meeste sectoren en dat een SEAL-score als aanvullend argument kan dienen om aantoonbaar aan de NIS-2-zorgplicht te voldoen bij de keuze van cloudleveranciers.
