Digitale soevereiniteit krijgt een officieel EU-kader
Digitale soevereiniteit stond lang op de agenda, maar miste een gemeenschappelijke maatstaf. Daar is nu verandering in gekomen. De Europese Commissie hanteert het Cloud Sovereignty Framework (CSF): een beoordelingskader waarmee cloudleveranciers worden beoordeeld op hoe soeverein hun dienst werkelijk is. Het kader is gebruikt bij de Europese aanbesteding voor soevereine cloud, een contract van €180 miljoen dat op 17 april 2026 is gegund aan vier Europese consortia, en is op 1 juni 2026 door de Commissie nader toegelicht.
Voor iedereen die zich bezighoudt met cloud, security en compliance is dat goed nieuws: er is eindelijk één taal om over soevereiniteit te praten. Maar er zit een addertje onder het gras, en de praktijk bewees dat binnen enkele weken. Daarover later meer.
Wat is het Cloud Sovereignty Framework?
Het CSF beoordeelt een cloudleverancier langs twee lijnen:
- Een SEAL-niveau (Sovereignty Effectiveness Assurance Level) op een schaal van 0 tot 4.
- Een overall sovereignty score, opgebouwd uit 48 criteria verdeeld over 8 categorieën: strategisch, juridisch en jurisdictioneel, data en AI, operationeel, supply chain, technologisch, security en compliance, en duurzaamheid.
Samen geven die een beeld van hoeveel Europese controle er werkelijk is, en hoeveel niet-EU-afhankelijkheid er nog in een dienst zit.
De SEAL-niveaus uitgelegd
- SEAL-0, geen soevereiniteit: de dienst staat volledig onder niet-EU-zeggenschap en niet-EU-recht.
- SEAL-1, jurisdictionele soevereiniteit: EU-recht is formeel van toepassing, maar in de praktijk beperkt afdwingbaar; de operationele controle ligt bij niet-EU-partijen.
- SEAL-2, data-soevereiniteit: EU-recht is van toepassing én afdwingbaar; niet-EU-afhankelijkheden bestaan, maar overrulen de Europese gegevensbescherming niet.
- SEAL-3, digitale weerbaarheid (Digital Resilience): de dienst, technologie en operatie kunnen niet worden geblokkeerd of verstoord door een niet-EU-partij; de leverancier is bestand tegen verstoring van de toeleveringsketen.
- SEAL-4, volledige digitale soevereiniteit: technologie én operatie staan volledig onder EU-controle, zonder niet-EU-afhankelijkheden, van chip tot software.
De SEAL-2-drempel is in de praktijk vaak het kantelpunt: vanaf daar is data-soevereiniteit niet alleen op papier geregeld, maar ook afdwingbaar. Strikt genomen krijgt een leverancier overigens niet één SEAL-niveau, maar een niveau per soevereiniteitsdoelstelling, beoordeeld binnen een concrete aanbesteding; persberichten vatten dat samen tot één cijfer. De toeleveringsketen weegt daarbij het zwaarst mee.
Het addertje: een claim is geen meting
Hier komt de nuance. Het CSF is in de kern een assessment: een gestructureerde vragenlijst die de leverancier (deels) zelf invult. Het kader beschrijft wat een leverancier claimt te zijn.
En een claim is iets anders dan de werkelijkheid.
Een leverancier kan keurig SEAL-3 claimen, terwijl in de praktijk een deel van jouw dataverkeer alsnog naar diensten onder Amerikaanse jurisdictie loopt: via een dependency, een onderdeel van de keten of een dochteronderneming. Het papieren niveau zegt niets over wat er feitelijk over jouw netwerk gaat.
De praktijk bewees het meteen: de S3NS-discussie
Hoe snel die spanning zichtbaar wordt, liet de eerste gunning zelf zien. Van de vier winnende consortia haalden er drie SEAL-3: Post Telecom (met OVHcloud en CleverCloud), STACKIT en Scaleway, allemaal gebouwd op eigen Europese technologie. Het vierde consortium, Proximus met S3NS, bleef op SEAL-2 steken. S3NS is een joint venture van Thales en Google Cloud: Europees geëxploiteerd, maar technisch gebaseerd op Google-technologie.
Precies daarover barstte de discussie los. CISPE, de branchevereniging van 38 Europese cloudaanbieders, noemde de toelating van een op Amerikaanse technologie gebouwde dienst binnen een “soevereine” aanbesteding een eigen doelpunt en sprak van sovereignty washing. Wie er ook gelijk heeft: binnen enkele weken na de eerste toepassing van het officiële EU-kader ging het debat al niet meer over de labels, maar over de vraag wat er áchter die labels werkelijk gebeurt.
Dat is geen zwakte van het CSF. Het is het bewijs dat een kader alleen niet genoeg is.
Locatie is niet hetzelfde als jurisdictie
Een veelgemaakte denkfout: “onze data staat in een Europees datacenter, dus we zitten goed.” Helaas. De Amerikaanse CLOUD Act geeft autoriteiten van de VS de bevoegdheid om data op te vragen bij Amerikaanse bedrijven, ongeacht waar die data fysiek staat. Een Amerikaans bedrijf met een datacenter in Frankfurt valt nog steeds onder de CLOUD Act.
Soevereiniteit gaat dus niet over de locatie van de server, maar over de eigendom en zeggenschap achter de dienst.
Wat dit betekent voor Nederlandse organisaties
Voor overheden en bedrijven die onder NIS2 vallen, is dit meer dan een theoretische exercitie. NIS2 vraagt aantoonbaar inzicht in de digitale toeleveringsketen en de bijbehorende risico’s. Een SEAL-niveau van je leverancier is een mooi startpunt, maar het is een claim van die leverancier, geen bewijs van jouw eigen situatie.
Wat in een NIS2-dossier vaak ontbreekt, is het feitelijke beeld: welk deel van mijn verkeer gaat werkelijk waarheen, en onder welke jurisdictie valt dat?
En dit wordt breder dan NIS2 alleen. Op 3 juni 2026 publiceerde de Commissie het voorstel voor de Cloud and AI Development Act (CADA). Dat voorstel legt een eigen EU-breed soevereiniteitskader vast met vier zekerheidsniveaus. Cloudaanbieders die aan de publieke sector leveren, moeten minimaal het eerste niveau halen; voor gevoelige taken bepalen lidstaten na een risicobeoordeling of een hoger niveau nodig is. Het is nog een voorstel: Raad en Europees Parlement moeten er nog over onderhandelen. Haalt het de eindstreep, dan is de vraag “wat gaat er werkelijk over ons netwerk?” voor Nederlandse overheidsorganisaties geen nice-to-have meer, maar onderdeel van het dossier.
Hoe SoevereinProbe het CSF aanvult
Hier sluit SoevereinProbe naadloos aan. Waar het CSF de norm geeft, leveren wij het bewijs eronder.
SoevereinProbe is een passieve netwerkmeting. Een probe luistert een kopie van het verkeer mee: naast het netwerk, niet in het pad. Er draait niets op je apparaten, er wordt niets geblokkeerd, en bij uitval loopt je productie gewoon door. We meten alleen metadata (de headers), nooit de inhoud van je communicatie.
Vervolgens bepalen we per bestemming onder welke jurisdictie die valt, op basis van eigendom, niet van locatie of een vragenlijst. Het resultaat: een onderbouwd, herhaalbaar beeld van welk percentage van je verkeer onder Europese jurisdictie valt, en welk deel (mogelijk) onder de CLOUD Act.
Zo wordt een papieren SEAL-claim toetsbaar tegen de gemeten realiteit. Het kader en de meting versterken elkaar: het CSF zegt wat zou moeten, SoevereinProbe laat zien wat er is.
Conclusie
Het Cloud Sovereignty Framework is een belangrijke stap: digitale soevereiniteit heeft eindelijk een officiële maatstaf. Gebruik het, maar leun er niet blind op. Een leveranciersclaim is een startpunt, geen eindstation.
Wil je weten of de soevereiniteit die op papier is beloofd, ook in jouw netwerk standhoudt? Dan moet je het meten.
Meten is weten. Praten is gokken.
Download de gratis CLOUD Act & NIS2-checklist → Tien vragen in vijf minuten.
Bronnen
- Europese Commissie, “Commission advances cloud sovereignty through strategic procurement” (17 april 2026) en “Sovereign Cloud Framework explained” (1 juni 2026).
- Europese Commissie, voorstel voor de Cloud and AI Development Act, COM(2026) 502 (3 juni 2026); wetgevingsprocedure 2026/0138(COD).
- Reactie van CISPE op de gunning van de Cloud III-aanbesteding (april 2026).
Gepubliceerd: 23 oktober 2026. Laatst geactualiseerd: 23 oktober 2026.