Op 17 april 2026 gunde de Europese Commissie een raamcontract van maximaal 180 miljoen euro voor soevereine clouddiensten aan vier Europese aanbieders. Drie van hen haalden SEAL-3, het op één na hoogste niveau van het nieuwe Europese meetinstrument voor soevereiniteit. De vierde, een consortium onder leiding van Proximus, bleef steken op SEAL-2, precies de ondergrens om mee te mogen doen. De verklaring is leerzaam. Dat consortium leunt via S3NS, een joint venture van Thales en Google Cloud, op Amerikaanse technologie, en die afhankelijkheid laat zich niet wegcontracteren. Europa kan zijn eigen instellingen dus soeverein bedienen, zolang het niet te dicht bij de Amerikaanse stack komt.
Europa wil digitaal zelfstandiger worden, maar elke nieuwe digitale dienst vergroot voorlopig de afhankelijkheid van Amerikaanse hyperscalers. Cloudrechtonderzoeker David Michels benoemde die spanning tijdens The European Sovereign Cloud Day in Brussel. Dit artikel behandelt de marktcijfers achter de afhankelijkheid, de botsing tussen de Amerikaanse CLOUD Act en Europese verplichtingen uit de AVG en de Cyberbeveiligingswet, waarom data lokaal opslaan niet volstaat, en wat de eerste aanbesteding met een soevereiniteitsscore en het voorstel voor de Cloud and AI Development Act betekenen voor Nederlandse organisaties.
Waarom zeventig procent marktaandeel geen toeval is
De cijfers laten weinig ruimte voor optimisme. Volgens Synergy Research Group hebben Amazon, Microsoft en Google samen ongeveer zeventig procent van de Europese markt voor cloudinfrastructuur in handen. Alle Europese aanbieders bij elkaar blijven op ongeveer vijftien procent steken, waarbij SAP en Deutsche Telekom met elk twee procent de grootste zijn. De Europese Commissie hanteert in haar eigen toelichting bij de Cloud and AI Development Act dezelfde lijn: het aandeel van Europese aanbieders daalde van ongeveer negenentwintig procent in 2017 naar ongeveer vijftien procent in 2022.
Het opvallende is dat dit aandeel sindsdien niet verder is gedaald, maar ook niet meer stijgt. Europese aanbieders groeien in absolute omzet stevig mee met een markt die in 2025 met ongeveer vierentwintig procent toenam, maar ze winnen geen terrein. Synergy-analist John Dinsdale verklaart dat nuchter: cloud is een spel van schaal, waarin je jarenlang enorme investeringen moet volhouden voordat het rendeert, en geen enkel Europees bedrijf komt in de buurt van dat investeringsniveau. Wie hoopt dat soevereiniteitsbeleid die verhoudingen op korte termijn omkeert, hoopt op iets waar de cijfers geen aanleiding toe geven.
De paradox van elke nieuwe digitale dienst
Tijdens de vierde editie van The European Sovereign Cloud Day, op 24 juni 2026 in Brussel, opende David Michels van het Cloud Legal Project van Queen Mary University of London met een keynote over de weg van momenten naar markt. Zijn analyse begint bij de gebeurtenissen die de Europese zorg hebben gevoed: de Snowden-onthullingen, de Amerikaanse CLOUD Act en de sancties waarmee Amerikaanse maatregelen de dienstverlening aan het Internationaal Strafhof raakten. Die momenten hebben een beweging op gang gebracht, en die beweging vertaalt zich nu in een markt met sterk uiteenlopende leveringsmodellen.
Daar zit meteen het ongemak. Organisaties digitaliseren omdat ze efficiënter en innovatiever willen werken, en de snelste route daarheen loopt vrijwel altijd via kant-en-klare diensten van dezelfde drie partijen: identity- en toegangsbeheer, beheerde databases, taalmodellen, kantoorsoftware. Elke nieuwe toepassing verankert de bestaande afhankelijkheid iets dieper, precies op het moment dat de roep om onafhankelijkheid het luidst klinkt.
Juridisch is dat overstapprobleem sinds 12 september 2025 wel kleiner geworden. Vanaf die datum geeft de EU Data Act klanten een afdwingbaar recht om binnen twee maanden opzegtermijn over te stappen naar een andere aanbieder of naar eigen infrastructuur, met een overgangsperiode van dertig dagen die alleen bij technische onhaalbaarheid mag uitlopen. Vanaf 12 januari 2027 mogen aanbieders helemaal geen overstapkosten meer rekenen. Dat neemt een contractuele barrière weg, maar niet de technische. Datavolumes, eigen dataformaten en de diepe verwevenheid van beheerde diensten in de eigen applicaties blijven de echte rem, en daar helpt geen verordening tegen. Onze eerdere analyse van waarom Nederlandse organisaties Amerikaanse clouddiensten blijven inzetten terwijl digitale soevereiniteit zwaarder weegt laat zien hoe dat spanningsveld in de Nederlandse praktijk uitpakt.
Hoe de CLOUD Act zich verhoudt tot de AVG en de Cyberbeveiligingswet
Wat de paradox van een abstract ongemak tot een concreet compliancevraagstuk maakt, is een juridisch conflict dat zelden hardop wordt uitgesproken in verkoopgesprekken. De Amerikaanse CLOUD Act verplicht Amerikaanse bedrijven, inclusief hun Europese dochterondernemingen, om op vordering van Amerikaanse autoriteiten gegevens af te staan, ongeacht waar die gegevens fysiek staan. Dat botst met de kern van de AVG, die van organisaties verlangt dat zij weten wie toegang heeft tot persoonsgegevens, onder welke rechtsgrond, en dat zij die toegang kunnen aantonen.
De Cyberbeveiligingswet, die op 15 augustus 2026 in werking is getreden als Nederlandse uitwerking van NIS2, voegt daar een tweede laag aan toe. Bestuurders van essentiële en belangrijke entiteiten dragen een zorgplicht die uitdrukkelijk risico’s in de toeleveringsketen omvat, en zij moeten de beveiligingsmaatregelen zelf goedkeuren. Een organisatie die kritieke processen laat draaien bij een leverancier met onderliggende blootstelling aan buitenlandse jurisdictie, moet dat risico kunnen benoemen, wegen en waar nodig beperken. Soevereine architectuur is daarmee geen smaakkwestie meer, maar onderdeel van een wettelijke verantwoordingsplicht.
Tegelijk is het risico beheersbaar en geen automatische reden om af te haken. Zodra een organisatie de encryptiesleutels zelf beheert en de aanbieder geen leesbare toegang tot de data heeft, valt er voor een buitenlandse autoriteit weinig zinvols te vorderen, ook als de dienst technisch bij een Amerikaanse partij draait. Het gaat minder om waar de server staat en meer om wie de controle heeft.
Waarom een datacenter in Amsterdam nog geen soevereiniteit oplevert
Het hardnekkigste misverstand in dit dossier is dat datalocatie het probleem oplost. Een datacenter in Frankfurt of Amsterdam verandert niets aan het feit dat de moederonderneming onder Amerikaans recht valt. Werkelijke zeggenschap vraagt controle over de hele keten: fysieke hardware en firmware, het besturingssysteem en de virtualisatielaag, de cryptografie waarmee data wordt beschermd, en de identiteiten die daar toegang toe hebben.
Die gelaagdheid verklaart waarom het EU Cloud Sovereignty Framework van de Europese Commissie soevereiniteit niet als een ja-of-nee behandelt, maar als een score over acht doelstellingen. Ketensoevereiniteit weegt daarin met twintig procent het zwaarst, omdat de herkomst van chips, firmware en fysieke componenten de moeilijkst te ontwarren afhankelijkheid vormt. Juridische en jurisdictionele soevereiniteit weegt daarentegen slechts tien procent. Wij bespraken eerder uitgebreid hoe dit raamwerk digitale soevereiniteit voor het eerst meetbaar maakt, inclusief de scheiding tussen minimumdrempel en gewogen rangschikking.
Die weging is direct bekritiseerd. CISPE, de branchevereniging van Europese aanbieders van cloudinfrastructuur, stelt dat een aanbieder met een zwakke juridische positie dat verlies eenvoudig compenseert op de zwaarder wegende technische onderdelen en zo alsnog hoog scoort. Secretaris-generaal Francisco Mingorance vat het scherper samen: volgens hem is één samengesteld cijfer voor soevereiniteit onzin, omdat je het bent of niet bent. Dat bezwaar is niet onredelijk. Als bescherming tegen extraterritoriale wetgeving het oorspronkelijke motief is, is tien procent van de score een opvallend bescheiden gewicht voor precies dat aspect.
Wat de eerste aanbesteding met een soevereiniteitsscore heeft laten zien
De echte test kwam met de Cloud III-aanbesteding, die in oktober 2025 werd uitgeschreven en in april 2026 werd gegund. Vier partijen kregen een raamovereenkomst van zes jaar voor de Europese Commissie, het Parlement, de Raad, de EDEO en zeventig agentschappen. Post Telecom met CleverCloud en OVHcloud, het Duitse STACKIT en het Franse Scaleway haalden alle drie SEAL-3. Het consortium van Proximus met S3NS, Clarence en Mistral kwam uit op SEAL-2.
Dat verschil is de meest bruikbare les uit het hele traject. Europese eigendomsstructuur is een noodzakelijke voorwaarde, maar geen voldoende voorwaarde. Zolang de onderliggende technologiestack van een niet-Europese hyperscaler komt, plafonneert de score, hoe zorgvuldig de juridische constructie er ook omheen is gebouwd. Wie als inkoper of CISO een soevereiniteitsclaim beoordeelt, heeft daarmee een concreet toetsmodel in handen dat verder gaat dan de folder. Welke vragen daarbij horen, werkten wij eerder uit in onze analyse over het onderscheid tussen hard bewijs en mooie slogans bij sovereign cloud.
Nuchterheid blijft wel op zijn plaats. Honderdtachtig miljoen euro over zes jaar is in een Europese cloudmarkt van meer dan vijfenzeventig miljard euro per jaar een symbolisch bedrag. De betekenis zit in de methode, niet in het volume.
Wat de Cloud and AI Development Act gaat betekenen
Op 3 juni 2026 presenteerde de Europese Commissie het voorstel voor de Cloud and AI Development Act, het zwaartepunt van haar Tech Sovereignty Package. Het voorstel koppelt aanbodmaatregelen, waaronder het voornemen de Europese datacentercapaciteit binnen vijf tot zeven jaar te verdrievoudigen, aan vraagsturing via publieke inkoop. Het meest omstreden onderdeel is een Europees soevereiniteitsraamwerk met vier assurantieniveaus, dat de toegang tot overheidsopdrachten koppelt aan oplopende eisen op het gebied van beveiliging, weerbaarheid en zeggenschap. Het model leunt zichtbaar op het Franse SecNumCloud, waarbij ANSSI een aanbieder alleen kwalificeert als die overwegend Europees eigendom is en volledig vanuit de EU wordt beheerd.
Belangrijk voor de planning van Nederlandse organisaties is dat CADA een voorstel is en geen geldend recht. Parlement en Raad moeten er nog over onderhandelen, en bij digitale wetgeving van deze omvang duurt dat traject doorgaans één tot drie jaar. Het definitieve soevereiniteitsraamwerk kan er over twee jaar wezenlijk anders uitzien. Wachten op die uitkomst is desondanks geen verstandige strategie, want de criteria uit het huidige framework worden nu al gebruikt in aanbestedingen en leveranciersbeoordelingen.
Hoe Nederlandse organisaties hun cloudkeuze nu het beste onderbouwen
De praktische boodschap is dat de vraag niet luidt of u soeverein wilt zijn, maar per workload hoeveel zeggenschap u nodig heeft en waarmee u dat aantoont. Een publieke informatiewebsite vraagt een ander regime dan een patiëntendossier of een procesbesturing in een vitale sector. In vrijwel alle gevallen is een hybride opzet realistischer dan een keuze voor één uiterste, waarbij minder gevoelige workloads bij een hyperscaler blijven draaien onder strikt Europees sleutelbeheer, terwijl bijzondere categorieën gegevens in een strenger afgeschermde Europese omgeving landen.
Wie die afweging wil onderbouwen, stelt in elk leveranciersgesprek dezelfde reeks vragen. Wie bezit en beheert de encryptiesleutels, en kan de aanbieder data ontsleutelen zonder uw medewerking. Waar draait de besturingslaag, niet alleen de opslag. Welke medewerkers kunnen beheeracties uitvoeren, uit welk land, en onder welk arbeidsrecht. Onder welke rechter valt een incident. En vooral: welk bewijs krijgt u, in de vorm van audits, rapportages en contractuele toegangsbeperkingen. Wie op die vragen geen concreet antwoord krijgt, heeft een marketinglabel gekocht en geen zeggenschap.
De paradox verdwijnt niet vanzelf, en marktaandelen verschuiven traag. Maar de instrumenten om afhankelijkheid gecontroleerd te verkleinen zijn in twee jaar tijd wezenlijk concreter geworden, van een meetbare score en een echte aanbesteding tot afdwingbare overstaprechten. Organisaties die hun cloudstrategie herijken op aantoonbare eisen in plaats van op leveranciersclaims, staan over enkele jaren beduidend sterker, ook als er dan nog steeds Amerikaanse technologie in de keten zit.
Vragen over uw cloudarchitectuur
De specialisten van SolidBE denken graag met u mee over de vraag welke workloads onder welke voorwaarden verantwoord bij welke aanbieder thuishoren, en hoe u die keuzes aantoonbaar maakt richting toezichthouders en uw eigen bestuur.
