Het EU Cloud Sovereignty Framework, gepubliceerd door de Europese Commissie in 2025, is een beleidsinstrument dat acht soevereiniteitsdoelstellingen en 48 concrete criteria bundelt in vier SEAL-niveaus. Het framework is primair ontwikkeld voor overheidsinstellingen, maar de opbouw is zo gestructureerd dat compliance officers en IT-beslissers in de private sector er direct mee kunnen werken bij leveranciersselectie en risicobeoordeling.
Acht doelstellingen en vier niveaus: de architectuur van het framework
Het EU Cloud Sovereignty Framework organiseert soevereiniteit rond acht doelstellingen: juridische controle, operationele autonomie, transparantie, portabiliteit, technologische onafhankelijkheid, veiligheid, veerkracht en naleving van EU-recht. Elk van deze doelstellingen wordt uitgewerkt in criteria, samen 48 in totaal, die bepalen welk SEAL-niveau een leverancier kan claimen.
De niveaus lopen van SEAL-1 (basale naleving van EU-wetgeving, zonder aanvullende soevereiniteitswaarborgen) tot SEAL-4 (volledige technologische en juridische onafhankelijkheid van buiten-EU entiteiten). Voor de praktijk zijn SEAL-2, SEAL-3 en SEAL-4 de relevante categorieën voor organisaties die bewust kiezen voor soevereine cloud.
| SEAL-niveau | Kernvereiste | Toegestane eigendomsstructuur | Typische leveranciers |
|---|---|---|---|
| SEAL-2 | Data opgeslagen en verwerkt binnen de EU; contractuele garanties | Moedermaatschappij mag buiten EU zijn | Proximus/S3NS (Google Cloud JV), lokale dochters van hyperscalers |
| SEAL-3 | Leverancier én uiteindelijk begunstigde eigenaar volledig onder EU-jurisdictie | Alleen EU-gevestigde eigenaren | OVHcloud, Scaleway, STACKIT, CleverCloud |
| SEAL-4 | Volledige technologische soevereiniteit: geen afhankelijkheid van niet-EU componenten of licenties | Alleen EU-gevestigde eigenaren en toeleveranciers | Beperkt aantal gecertificeerde aanbieders |
Statistiek: Het EU Cloud Sovereignty Framework hanteert 48 afzonderlijke soevereiniteitscriteria, verdeeld over acht doelstellingen (Europese Commissie, 2025).
De Cloud III-aanbesteding: wat SEAL-2 versus SEAL-3 betekent in de praktijk
De Cloud III Dynamic Purchasing System-aanbesteding, gelanceerd door de Belgische Federale Overheidsdienst Beleid en Ondersteuning (BOSA) met een geraamde waarde van €180 miljoen en uitkomsten verwacht in april 2026, is één van de eerste grote overheidsprocedures die expliciet de SEAL-niveaus als selectiecriterium hanteert.
De uitkomst van Cloud III maakt het onderscheid tussen SEAL-2 en SEAL-3 tastbaar. Proximus/S3NS, de joint venture tussen Proximus en S3NS (een samenwerking tussen Thales en Google Cloud), slaagde erin een SEAL-2-classificatie te verkrijgen. Dit betekent dat Google Cloud-technologie de onderliggende infrastructuur vormt, maar de data fysiek in België of de EU wordt verwerkt en contractuele bescherming biedt tegen directe toegang door Google zelf.
Aanbieders als OVHcloud, Scaleway, STACKIT (dochter van Schwarz Gruppe) en CleverCloud positioneren zich op SEAL-3 of hoger. Hun eigendomsstructuur is volledig Europees, wat betekent dat geen derde-landenwetgeving zoals de US Patriot Act of de US CLOUD Act via de eigendomsketen kan worden ingeroepen om toegang te eisen tot klantdata.
Sovereignty washing herkennen bij hybride hyperscaler-constructies
De Proximus/S3NS-casus illustreert een bredere marktdynamiek: grote hyperscalers creëren Europese dochterondernemingen of joint ventures om een soevereiniteitslabel te claimen, terwijl de technologische kern en de intellectuele eigendomsrechten bij de niet-EU moedermaatschappij blijven. Dit verschijnsel wordt aangeduid als sovereignty washing.
De Europese Commissie heeft dit risico onderkend in het voorstel voor de Cloud and AI Data Act, CADA COM(2026) 502. Artikel 34 van dat voorstel bepaalt dat voor overheidsdiensten die gevoelige overheidsinformatie verwerken, zowel de verwerkingslocaties als de beheersrechten uitsluitend binnen de EU mogen liggen. De Europese Commissie stelt daarmee dat contractuele constructies waarbij een niet-EU entiteit technische toegang kan afdwingen, onvoldoende zijn voor de hoogste risicocategorieën.
Voor private organisaties biedt artikel 34 weliswaar geen directe bindingskracht, maar het geeft wel een normatief ankerpunt bij leveranciersbeoordeling. Compliance officers kunnen het als interpretatiehulp inzetten bij het bepalen of een SEAL-2-aanbieder volstaat, of dat de eigen risicoclassificatie SEAL-3 of SEAL-4 vereist.
“Soevereiniteit is geen technisch keurmerk maar een juridische en politieke kwalificatie: zolang een leverancier onderworpen blijft aan de jurisdictie van een derde land, biedt geen enkel technisch scherm volledige bescherming.”
European Union Agency for Cybersecurity (ENISA), Cloud Security Guidelines (www.enisa.europa.eu)
De 48 criteria vertalen naar een leveranciersevaluatieprotocol
De 48 soevereiniteitscriteria zijn voor de meeste private organisaties te omvangrijk om integraal te toetsen bij elke leveranciersselectie. Een werkbaar protocol begint met een gelaagde aanpak: gebruik de SEAL-niveaus als harde drempeleis en beoordeel vervolgens een subset van criteria die direct samenhangen met de eigen sector en risicocategorie.
Prioriteitsgroepen voor de private sector
Op basis van de structuur van het framework zijn er drie prioriteitsgroepen te onderscheiden voor niet-publieke organisaties:
- Juridische controle (criteria 1 tot 8): Onder welke jurisdictie valt de leverancier? Kan een niet-EU autoriteit data opeisen? Is de verwerkersovereenkomst gebaseerd op uitsluitend EU-recht?
- Operationele autonomie (criteria 9 tot 20): Kan de organisatie de dienst overstappen zonder technische lock-in? Zijn exportfuncties beschikbaar in open formaten?
- Sleutelbeheer en versleuteling (criteria 21 tot 30): Wie beheert de encryptiesleutels? Heeft de leverancier of haar moedermaatschappij technische mogelijkheid tot inzage?
De resterende criteria (31 tot 48) betreffen transparantie, certificeringen en subverwerkers. Die zijn relevant bij verdieping, maar minder geschikt als eerste eliminatiefilter.
“Artikel 34 van de voorgestelde CADA-verordening (COM(2026) 502) legt voor overheidsdiensten expliciet vast dat cloudverwerkingslocaties en beheersrechten uitsluitend binnen de EU mogen liggen bij de verwerking van gevoelige overheidsinformatie.”
Europese Commissie, toelichting bij voorstel COM(2026) 502 (ec.europa.eu)
Minimale SEAL-vereisten per gereguleerde sector
De keuze voor een SEAL-niveau is niet alleen een technische, maar ook een juridische en reputatiekeuze. Drie sectoren kennen bijzondere verplichtingen die directe invloed hebben op de verdedigbare ondergrens.
Juridische sector
Advocaten en notarissen verwerken geprivilegieerde communicatie en persoonsgegevens die onder het beroepsgeheim vallen. SEAL-3 is hier de logische ondergrens: de geheimhoudingsplicht vereist dat geen derde partij, ook niet via extraterritoriale wetgeving, toegang kan afdwingen tot cliëntdossiers. SEAL-2-aanbieders met een niet-EU moedermaatschappij voldoen hier structureel niet aan.
Financiële sector (DORA)
De Digital Operational Resilience Act (Verordening (EU) 2022/2554) verplicht financiële entiteiten tot gedetailleerd contractbeheer met ICT-derde partijen, inclusief cloudleveranciers. Artikel 28 van DORA vereist onder andere dat contracten voorzien in auditrrechten, incidentmeldingen en exitplannen. SEAL-3 ondersteunt de DORA-naleving beter dan SEAL-2, omdat de juridische en operationele controle volledig bij EU-entiteiten ligt. SEAL-4 is aangeraden voor systeemrelevante instellingen.
Statistiek: NIS-2 (Richtlijn (EU) 2022/2555) verplicht organisaties in kritieke sectoren tot een eerste incidentmelding binnen 24 uur en een gedetailleerde melding binnen 72 uur. Cloudleveranciers die buiten EU-jurisdictie vallen bemoeilijken deze rapportageketen structureel (EUR-Lex, 2022).
Zorgsector
Bijzondere categorieën persoonsgegevens in de zin van artikel 9 AVG, waaronder gezondheidsgegevens, vereisen een aantoonbaar hoog beschermingsniveau. De Autoriteit Persoonsgegevens en haar Europese zustertoezichthouders hanteren het standpunt dat doorgifte van gezondheidsgegevens aan een niet-EU entiteit zonder adequaatheidsbesluiting of bindende bedrijfsregels in strijd is met de AVG. SEAL-3 sluit dit risico structureel uit; SEAL-2 laat een residueel risico open dat bij een toezichtcontrole moeilijk te verdedigen is.
Europese aanbieders op SEAL-3 en hoger
De markt voor SEAL-3-conforme cloudaanbieders is kleiner dan die voor SEAL-2, maar groeit. OVHcloud (Frans, beursgenoteerd) en Scaleway (dochter van Iliad Group, eveneens Frans) bieden infrastructuur- en platformdiensten volledig vanuit EU-eigendom. STACKIT, het cloudmerk van de Schwarz Gruppe (moedermaatschappij van Lidl en Kaufland), is volledig in Duits eigendom en opereert vanuit eigen datacenters in Duitsland en Oostenrijk. CleverCloud is een Platform-as-a-Service-aanbieder met Franse eigendomsstructuur die ook een SecNumCloud-kwalificatie nastreeft, het Franse nationale soevereiniteitscertificaat dat qua eisen dicht bij SEAL-3 of SEAL-4 aanleunt.
Geen van deze aanbieders heeft de breedte van diensten van een grote hyperscaler, maar voor kernwerkprocessen, documentbeheer, communicatie en gegevensverwerkingsplatforms bieden zij voldoende functionaliteit en geven zij organisaties de juridische zekerheid die SEAL-2-constructies niet kunnen bieden.
Veelgestelde vragen
Is het EU Cloud Sovereignty Framework juridisch bindend voor private organisaties?
Nee, het framework is in eerste instantie een beleidsinstrument van de Europese Commissie dat als evaluatiemethode dient. Voor private organisaties heeft het geen directe wettelijke bindingskracht, maar het biedt een gestructureerde manier om leveranciers te beoordelen en is daarmee indirect relevant voor AVG- en NIS-2-verantwoording.
Wat is het praktische verschil tussen SEAL-2 en SEAL-3?
SEAL-2 vereist dat data fysiek binnen de EU wordt opgeslagen en dat er contractuele waarborgen zijn, maar staat toe dat de moederonderneming van de leverancier buiten de EU is gevestigd. SEAL-3 gaat verder: de leverancier zelf moet volledig onder EU-jurisdictie vallen, inclusief de uiteindelijk begunstigde eigenaar, zodat derde-landenwetgeving zoals de US CLOUD Act niet via de eigendomsketen kan worden ingeroepen.
Wat is sovereignty washing en hoe herken ik het?
Sovereignty washing is het fenomeen waarbij een leverancier via een joint venture of lokale dochteronderneming een Europees label claimt, terwijl de onderliggende technologie, het sleutelbeheer of de toegangsrechten nog steeds bij een buiten-EU moedermaatschappij liggen. Signalen zijn: encryptiesleutels die door een niet-EU entiteit kunnen worden opgevraagd, licentieovereenkomsten die via een Amerikaanse of andere niet-EU partij lopen, of een ontbrekende onafhankelijke juridische opinie over immuniteit voor de US CLOUD Act.
Welk SEAL-niveau is minimaal nodig voor zorgorganisaties onder de AVG?
Voor zorgorganisaties die bijzondere categorieën persoonsgegevens verwerken (artikel 9 AVG) is SEAL-3 de meest verdedigbare ondergrens. SEAL-2 biedt onvoldoende zekerheid dat derde-landenautoriteiten geen toegang kunnen afdwingen tot gezondheidsgegevens. SEAL-4 verdient de voorkeur bij verwerkingen met een hoog risico.
Kunnen kleinere private organisaties de 48 criteria zelfstandig beoordelen?
Dat is in de praktijk complex. Een pragmatische aanpak is het gebruik van de SEAL-niveaus als eerste filter: vraag leveranciers om zelfverklaring per SEAL-niveau en verlang onafhankelijke certificering (zoals SecNumCloud in Frankrijk of C5 in Duitsland) als bewijs. Vervolgens kunnen de 48 criteria worden ingekort tot een prioriteitenlijst van de tien tot vijftien criteria die het meest relevant zijn voor de eigen sector en risicocategorie.
