De totale eigendomskosten (TCO) van soevereine cloud omvatten alle directe en indirecte kosten die een organisatie maakt om gegevens en werkprocessen onder eigen of Europese jurisdictie te beheren, inclusief initiële migratie, doorlopend beheer, certificering en juridische zekerheid. Voor compliance officers en IT-beslissers in gereguleerde sectoren is dit rekenwerk geen optie maar een verplichting, mede door de opkomst van het CADA-framework (Cloud Act Data Access) en de NIS-2-richtlijn (EU) 2022/2555.
Wat soevereine cloud werkelijk kost: prijspremies per soevereiniteitsniveau
De meerkosten ten opzichte van hyperscalers zijn gedocumenteerd en variëren structureel met het vereiste soevereiniteitsniveau.
Volgens het rapport Sovereign Cloud: The Next Frontier van Boston Consulting Group (BCG, 2023) betalen organisaties gemiddeld 20 tot 40 procent meer voor een soevereine cloudoplossing dan voor een vergelijkbare dienst van AWS, Microsoft Azure of Google Cloud. Die bandbreedte is niet toevallig: ze weerspiegelt een gelaagde markt.
| Soevereiniteitsniveau | Voorbeeld aanbieder | Typische premieopslag | Jurisdictie-isolatie |
|---|---|---|---|
| SEAL-1 / CADA niveau 1 | Azure EU Data Boundary | 0-5% | Beperkt, US CLOUD Act van toepassing |
| SEAL-2 / CADA niveau 2 | Scaleway (Iliad Group) | 10-20% | EU-datalocatie, beperkte toegangsbescherming |
| SEAL-3 / CADA niveau 3 | OVHcloud Sovereign Cloud, STACKIT (Schwarz Group) | 25-40% | Europese eigendomsstructuur, geen non-EU toegang |
| SEAL-4 / CADA niveau 4 | On-premise of gecertificeerd nationaal datacenter | 40-80%+ (TCO-inclusief) | Maximale jurisdictie-isolatie, eigen sleutelbeheer |
STACKIT, de cloudtak van de Schwarz Group (eigenaar van Lidl en Kaufland), en OVHcloud SEAL-3 positioneren zich expliciet op het niveau waarop geen enkel personeelslid of aandeelhouder buiten de EU toegang heeft tot klantendata. Scaleway, onderdeel van de Franse Iliad Group, biedt een iets lager soevereiniteitsniveau maar tegen scherpere prijzen, wat het interessant maakt als instappunt voor middelgrote organisaties.
TCO-berekening voor CADA-niveau 3 of 4
Een volledige TCO-berekening voor CADA-niveau 3 of 4 gaat verder dan licentiekosten en omvat zes kostenblokken die in elke businesscase apart gemodelleerd moeten worden.
Het eerste blok is de directe platformkost: de jaarlijkse licentie- of abonnementskosten van de soevereine cloudprovider. Het tweede blok zijn de migratiekosten, waaronder dataportering, API-herschrijving en integratietests. Het derde blok, dat systematisch wordt onderschat, bestaat uit parallelrunning-kosten: de periode waarin de oude Microsoft 365- of AWS-omgeving naast de nieuwe omgeving draait, soms drie tot twaalf maanden. Het vierde blok omvat auditkosten voor NIS-2- en AVG/GDPR-conformiteit, inclusief eventuele penetratietesten en externe certificeringstrajecten. Het vijfde blok betreft applicatieaanpassing, met name wanneer bedrijfssoftware afhankelijk is van vendor-specifieke API’s zoals Microsoft Graph API of Google Workspace SDK. Het zesde blok, ten slotte, is de interne capaciteitsopbouw: training, herstructurering van IT-teams en eventuele aanwerving van gespecialiseerd personeel.
De Europese Rekenkamer heeft in haar rapporten over IT-projecten bij EU-instellingen (2022) vastgesteld dat organisaties de migratiekosten gemiddeld met 30 tot 50 procent onderschatten. De voornaamste oorzaak is dat de technische migratie relatief goed gepland wordt, maar de organisatorische en juridische begeleidingskosten structureel buiten de scope vallen.
Wat de CADA-impactbeoordeling leert over de kostenstructuur
De CADA COM(2026)502 impact assessment bijlage kostenanalyse biedt een zeldzame inkijk in de werkelijke omvang van cloudmigratiekosten.
De Europese Commissie schat in dit document de eenmalige migratiekosten voor cloudaanbieders zelf op EUR 233 tot 484 miljoen. Dit getal heeft betrekking op de aanbiederskant, maar het is illustratief voor afnemers: als het aanbieden van soevereine cloudinfrastructuur al in deze orde van grootte kost, dan zijn organisatiebrede migraties voor grote overheidsinstanties of financiële instellingen eveneens substantieel. Voor een middelgrote overheidsorganisatie met 1.000 tot 5.000 gebruikers zijn totale migratiekosten van EUR 500.000 tot 2 miljoen realistisch wanneer alle zes kostenblokken worden meegeteld.
Andrea Jelinek, voormalig voorzitter van de European Data Protection Board (EDPB), formuleerde de kern van dit vraagstuk als volgt: “Soevereiniteit is geen premium-feature, het is een basisvereiste voor elke organisatie die persoonsgegevens verwerkt onder het GDPR-regime. De vraag is niet óf je de meerkosten betaalt, maar wanneer: voor de transitie of na een datalek.”
On-premise Nextcloud Hub versus Europese soevereine SaaS
De keuze tussen volledig on-premise en een Europese SaaS-oplossing heeft een fundamenteel ander TCO-profiel, met verschillende risico- en kostenverdelingen over de tijd.
Nextcloud Hub on-premise elimineert terugkerende licentiekosten per gebruiker op SaaS-schaal. De software is open source, met een betaald enterprise-ondersteuningscontract van Nextcloud GmbH. De eenmalige investering omvat serverhardware, beveiligingsinfrastructuur, redundantie en intern beheer. Voor organisaties met meer dan 500 gebruikers en aanwezige IT-expertise is de vijfjaars-TCO van een on-premise Nextcloud Hub doorgaans lager dan een vergelijkbare SEAL-3 SaaS-oplossing, mits de hardware-afschrijving en personeelskosten realistisch worden berekend.
Een Europese SaaS op SEAL-3 niveau, zoals OVHcloud Sovereign Cloud of STACKIT, heeft hogere terugkerende kosten maar een lagere kapitaalinvestering aan het begin. De operationele verantwoordelijkheid voor beschikbaarheid, back-ups en beveiligingsupdates ligt bij de provider. Voor organisaties zonder interne IT-afdeling of met hoge beschikbaarheidseisen is dit model financieel en operationeel aantrekkelijker.
Verborgen kostenposten die systematisch worden onderschat
Vier categorieën verdienen bijzondere aandacht in elke businesscase voor soevereine cloud.
API-incompatibiliteit is de meest onderschatte technische kostenpost. Applicaties die zijn gebouwd op Microsoft Graph API, SharePoint REST API of Google Workspace SDK vereisen herbouw van integraties bij migratie naar Nextcloud of een SEAL-3-platform. De kosten variëren sterk per applicatielandschap maar zijn zelden minder dan EUR 50.000 voor een middelgrote organisatie.
Auditkosten nemen toe bij hogere soevereiniteitsniveaus. Een NIS-2-audit, gecombineerd met een GDPR-Data Protection Impact Assessment (DPIA) voor de nieuwe omgeving, kost al snel EUR 30.000 tot 80.000 bij externe auditpartijen. Organisaties in de financiële sector of gezondheidszorg moeten bovendien rekening houden met sectorspecifieke certificeringen.
Parallelrunning is de duurste overgangsfase in tijd. Zolang contracten met Microsoft 365 of Google Workspace lopen naast de nieuwe omgeving, betaalt de organisatie dubbel. Een typische overgangsfase van zes maanden betekent 50 procent extra platformkosten over die periode.
Gebruikerstraining en change management worden vrijwel altijd gebudgetteerd als bijzaak. In de praktijk bepalen deze posten de snelheid en het succes van de adoptie, en daarmee de feitelijke terugverdientijd van de investering.
Max Schrems, privacyrechtadvocaat en oprichter van NOYB, verwoordde de strategische logica achter de meerkosten als volgt: “De werkelijke TCO van een hyperscaler-omgeving omvat niet alleen licentiekosten, maar ook het juridische risico van extraterritoriale toegang. Zodra dat risico wordt gekwantificeerd, kantelt de rekensom.”
EU-subsidies en nationale fondsen als compensatiemechanisme
Europese en nationale financiering kan de meerkosten van soevereine cloudmigratie substantieel verlagen, maar vereist proactieve aanvraagstrategie.
Het Digital Europe Programme (DEP) financiert projecten die bijdragen aan digitale soevereiniteit en cloudinfrastructuur in Europa. Organisaties in overheid en onderwijs komen in aanmerking voor cofinanciering van pilotprojecten en schaaltrajecten. Het Horizon Europe-programma biedt subsidies voor onderzoeks- en innovatieprojecten rond datasecurity en soevereine technologie.
Op nationaal niveau heeft Nederland via het Nationaal Groeifonds middelen beschikbaar gesteld voor digitale infrastructuur. Duitsland kent het Souveräne Technologien-programma en financiering via de Bundesdruckerei voor overheidsgerelateerde digitale projecten. Fiscale instrumenten zoals de Nederlandse WBSO (Research & Development aftrek) kunnen van toepassing zijn wanneer soevereine cloudimplementatie gepaard gaat met softwareontwikkeling.
Voor middelgrote organisaties, met 100 tot 1.000 gebruikers, is het verstandig de CADA-migratie te koppelen aan een bredere digitaliseringsaanvraag, zodat de subsidie-eligibiliteit breder wordt dan uitsluitend de cloudcomponent. Sommige lidstaten hanteren ook aanbestedingsvoordelen voor leveranciers met een SEAL-3 of hoger certificering, wat indirect de marktprijzen voor afnemers drukt.
FAQ: TCO soevereine cloud en CADA-meerkosten
Wat is de gemiddelde prijspremie van een soevereine cloud ten opzichte van AWS, Azure of Google Cloud?
Volgens het BCG-rapport uit 2023 betalen organisaties gemiddeld 20 tot 40 procent meer voor een soevereine cloudoplossing. Het exacte percentage hangt af van het vereiste soevereiniteitsniveau: SEAL-2 of CADA-niveau 3 is goedkoper dan een volledig gecertificeerde SEAL-3- of CADA-niveau 4-omgeving met strikte jurisdictie-isolatie.
Welke kostenposten worden het meest onderschat bij een soevereine cloudmigratie?
Organisaties onderschatten structureel de kosten van parallelrunning, applicatieaanpassing voor API-incompatibiliteit, aanvullende auditkosten voor NIS-2- en GDPR-compliance, en interne training van medewerkers. Deze posten samen kunnen 30 tot 50 procent boven de initiële raming uitkomen, zo bevestigt de Europese Rekenkamer in haar analyse van IT-projecten (2022).
Hoe verschilt de TCO van Nextcloud Hub on-premise van een Europese SaaS-oplossing op SEAL-3 niveau?
On-premise Nextcloud Hub vereist eenmalige investeringen in hardware, beheer en beveiliging, maar heeft geen terugkerende licentiekosten per gebruiker op SaaS-schaal. Voor organisaties met meer dan 500 gebruikers is on-premise doorgaans goedkoper op een vijfjaars-TCO, mits interne expertise aanwezig is. Een SEAL-3 SaaS-aanbieder zoals OVHcloud of STACKIT heeft hogere terugkerende kosten maar lagere initiële kapitaalinvesteringen.
Welke EU-subsidies bestaan er voor soevereine cloudmigratie?
Het Digital Europe Programme en Horizon Europe bieden cofinanciering voor digitale soevereiniteitsprojecten. Op nationaal niveau zijn er in Nederland het Nationaal Groeifonds en de WBSO-aftrek, en in Duitsland het Souveräne Technologien-programma. De exacte regelingen variëren per lidstaat en projectomvang, en vereisen koppeling aan bredere digitaliseringsdoelstellingen voor maximale eligibiliteit.
Wat betekent de CADA-impactbeoordeling voor de kostenplanning van afnemers?
De CADA COM(2026)502 impact assessment schat de migratiekosten voor aanbieders op EUR 233 tot 484 miljoen. Voor afnemers impliceert dit dat complexe, organisatiebrede migraties naar CADA-niveau 3 of 4 eveneens substantieel zijn, en dat een gefaseerde aanpak met duidelijke SEAL-mijlpalen financieel verstandiger is dan een big-bang-migratie waarbij alle kostencategorieën tegelijk vrijvallen.
