Toen de Europese Commissie half april de eerste vier winnaars van haar grote aanbesteding voor soevereine cloud bekendmaakte, viel er meteen één naam op tussen de vertrouwde Europese kandidaten. S3NS, een joint venture van het Franse defensiebedrijf Thales en Google Cloud, maakte deel uit van het winnende consortium rond het Belgische Proximus. Voor een aanbesteding die digitale soevereiniteit als kernvoorwaarde stelde, was dat een pikante uitkomst, en precies het soort testcase waarmee je een nieuwe meetmethodiek eerlijk op de proef kunt stellen.
Het EU Cloud Sovereignty Framework maakt sinds oktober 2025 voor het eerst concreet meetbaar wat digitale soevereiniteit in de cloud inhoudt, via de SEAL-schaal als ondergrens en de Sovereignty Score als rangschikking op acht gewogen doelstellingen. De eerste praktijktoepassing, een aanbesteding van 180 miljoen euro, leverde in april een directe testcase op: drie consortia haalden het hoogst haalbare niveau, het vierde met Google-technologie kwam net op de ondergrens uit. Dit artikel legt uit hoe de methodiek werkt, wat die eerste uitkomst onthult, en wat de opvolger, de Cloud and AI Development Act, daaraan gaat veranderen.
Wat het EU Cloud Sovereignty Framework anders maakt dan een verkooppraatje
Jarenlang was soevereine cloud vooral iets wat een leverancier zichzelf toedichtte. Vrijwel elke partij in de markt gebruikte de term, van hyperscalers met een Europese datacenterregio tot kleine Franse hostingbedrijven, en niemand kon precies uitleggen waarin het verschil zat. Met het Cloud Sovereignty Framework zet de Europese Commissie daar een grens onder. Het document, opgesteld door het directoraat generaal Digital Services en voor het eerst gepubliceerd in oktober 2025, vertaalt soevereiniteit naar acht objectiveerbare doelstellingen en een schaal waarop een leverancier moet scoren.
Het framework staat niet op zichzelf. Het bouwt voort op het Trusted Cloud Referential van het Franse CIGREF, op de beleidsregels en architectuur van Gaia-X, en op het certificeringswerk rond ENISA, NIS2 en DORA. Daarnaast zijn lessen verwerkt uit nationale strategieën zoals het Franse Cloud de Confiance en het Duitse Souveräner Cloud. Wat er ligt, is dus geen nieuw idee, maar wel de eerste poging om al die losse initiatieven samen te vatten in één beoordelingsinstrument dat een inkoper daadwerkelijk in een aanbesteding kan gebruiken.
Het praktische effect is dat de bewijslast omdraait. Een politiek verbod op een specifieke leverancier is kwetsbaar, want een enkele lidstaat kan dat blokkeren en de discussie sleept jaren. Een beoordelingsmethodiek in een aanbestedingsdocument werkt anders. Niet de opdrachtgever hoeft aan te tonen dat een dienst onvoldoende soeverein is, de leverancier moet juist laten zien hoe soeverein die daadwerkelijk is, met documenten en antwoorden op een vragenlijst die aan de acht doelstellingen zijn gekoppeld.
SEAL en Sovereignty Score zijn twee instrumenten met een verschillende taak
De methodiek bestaat uit twee onderdelen die elkaar aanvullen, en het is de moeite waard om ze uit elkaar te houden, want ze doen niet hetzelfde.
SEAL is de harde ondergrens die uitsluiting bepaalt
Het Sovereignty Effectiveness Assurance Level, afgekort SEAL, functioneert als minimumeis. Voor elke doelstelling legt de aanbestedende dienst vooraf een vereist SEAL-niveau vast. Haalt een leverancier dat niveau niet op alle punten, dan valt die af, ongeacht hoe goed de rest van het aanbod eruitziet. De schaal loopt van SEAL-0 tot SEAL-4. SEAL-0 betekent dat dienst, technologie en beheer volledig onder controle van niet-EU-partijen vallen. SEAL-1 staat voor jurisdictionele soevereiniteit, waarbij Europees recht formeel geldt maar in de praktijk beperkt afdwingbaar is. SEAL-2 draait om datasoevereiniteit, Europees recht is afdwingbaar, maar er blijven materiële afhankelijkheden buiten de EU bestaan. SEAL-3 staat voor digitale weerbaarheid, met een betekenisvolle maar niet volledige Europese zeggenschap. SEAL-4 tot slot is volledige digitale soevereiniteit, waarbij technologie en beheer volledig onder Europese controle staan en er geen kritieke afhankelijkheid buiten de EU meer bestaat.
Dat hoogste niveau is bewust streng, en het document is er eerlijk over dat het schaars is. Een SEAL-4-dienst vereist niet alleen Europese software en operatie, maar ook een Europese toeleveringsketen tot in de hardware, en die capaciteit heeft het continent nu simpelweg nog niet op grote schaal. Het framework doet dus niet alsof volledige soevereiniteit overal binnen handbereik ligt. Het legt het doel vast en laat inkopers zelf bepalen welk niveau past bij de workload die ze aanbesteden, wat een stuk realistischer is dan de keuze tussen wel of niet soeverein.
De Sovereignty Score rangschikt via acht gewogen doelstellingen
Waar SEAL de toegang regelt, sorteert de Sovereignty Score de leveranciers die over de drempel zijn onderling, als onderdeel van het gunningscriterium. De acht doelstellingen wegen niet even zwaar. Strategische soevereiniteit, die kijkt naar eigendom en bestuur binnen de EU, telt voor vijftien procent. Juridische en jurisdictionele soevereiniteit, over blootstelling aan niet-Europees recht, weegt tien procent. Data- en AI-soevereiniteit, gericht op controle over data en modellen, telt eveneens tien procent mee. Operationele soevereiniteit, het vermogen om de dienst te draaien zonder niet-EU-leveranciers, weegt vijftien procent. Soevereiniteit van de toeleveringsketen weegt twintig procent, technologische soevereiniteit vijftien procent, security- en compliancesoevereiniteit tien procent, en milieuduurzaamheid vijf procent.
Waarom de toeleveringsketen het zwaarst weegt in de score
Die weging is zelf al een uitspraak. Met twintig procent is de toeleveringsketen de zwaarste van de acht doelstellingen, zwaarder dan de juridische dimensie op tien procent. De Commissie zegt daarmee in cijfers dat de hardwarelaag het moeilijkst te doorgronden risico vormt. Een organisatie kan haar data keurig in de EU laten staan en toch diep afhankelijk blijven, omdat de lastigste afhankelijkheid juist onder het besturingssysteem zit, in de processoren, de firmware en de fysieke onderdelen.
Voor wie soevereiniteit serieus wil inkopen, is dat een ongemakkelijke conclusie. De vraag verschuift van waar staat het datacenter naar wie heeft de firmware geschreven en wie beheert de vertrouwensankers in de hardware, vragen die gevestigde leveranciers doorgaans niet overtuigend kunnen beantwoorden. Het is precies de afhankelijkheid waar Europa het verst van een eigen oplossing verwijderd is, en het framework verbergt dat niet. Het zet die afhankelijkheid juist op de hoogste wegingsfactor.
De eerste praktijktest onthult hoe scherp de methodiek werkelijk snijdt
Het framework bleef geen theorie. De Commissie paste het meteen toe op een eigen aanbesteding, gelanceerd in oktober 2025 onder het Cloud III Dynamic Purchasing System, voor soevereine clouddiensten aan de Europese instellingen zelf. Het ging om een opdracht tot 180 miljoen euro over zes jaar, verdeeld over maximaal vier aanbieders, bewust parallel gegund om spreiding te waarborgen en afhankelijkheid van één partij te voorkomen.
Op 17 april 2026 maakte de Commissie de uitkomst bekend. Drie consortia haalden SEAL-3, digitale weerbaarheid: Post Telecom uit Luxemburg met zijn Franse partners CleverCloud en OVHcloud, het Duitse StackIT van de Schwarz Group, en het Franse Scaleway van de Iliad Group. Het vierde won ook een contract, maar op een lager niveau. Proximus uit België, met als partners S3NS, Clarence en Mistral, kwam uit op SEAL-2, datasoevereiniteit, precies de ondergrens die voor deze aanbesteding vereist was.
Dat SEAL-2 verklaart meteen waarom S3NS zoveel stof deed opwaaien. S3NS is een joint venture waarin Thales de meerderheid heeft en Google Cloud als technologiepartner optreedt, met een belang dat volgens Proximus onder de vierentwintig procent blijft. Het bedrijf beschikt over de SecNumCloud 3.2-kwalificatie van de Franse veiligheidsdienst ANSSI, het strengste nationale keurmerk dat er in Europa bestaat, en stelt dat de infrastructuur operationeel en technisch volledig gescheiden is van het reguliere Google-netwerk. Toch bleef het resultaat in deze Europese aanbesteding op SEAL-2 steken, terwijl de drie andere winnaars zonder Amerikaanse technologiepartner een niveau hoger scoorden. Dat verschil is precies waarom SEAL als instrument werkt zoals het bedoeld is, het beloont geen keurmerk of belofte, het beloont afwezigheid van resterende afhankelijkheid.
CISPE en de discussie over sovereignty washing bij S3NS
Niet iedereen is overtuigd dat SEAL-2 voor S3NS een geruststellende uitkomst is. CISPE, de brancheorganisatie van achtendertig Europese cloudaanbieders, noemde de opname van S3NS in het winnende consortium een gemiste kans die het risico op wat de markt sovereignty washing noemt juist op het hoogste niveau dreigt te bestendigen. De Commissie verdedigde de keuze met de redenering dat niet-Europese technologie, mits ingebed in een strikt beheerkader, alsnog aan het vereiste minimumniveau kan voldoen. Precies dat standpunt, dat operationele controle een technologische afhankelijkheid kan compenseren, is waar CISPE zich tegen verzet.
Zelf denk ik dat beide partijen hier gedeeltelijk gelijk hebben, en dat is nu net het interessante van deze casus. De methodiek deed wat een methodiek hoort te doen, ze maakte onderscheid. S3NS kreeg niet hetzelfde niveau als de drie volledig Europese consortia, en dat verschil staat zwart op wit in een gegunde aanbesteding. Maar CISPE’s punt raakt iets anders, namelijk dat de ondergrens voor deze aanbesteding op SEAL-2 lag en dat een dienst met Google-technologie daar dus gewoon doorheen kwam. Het framework detecteerde de afhankelijkheid, alleen bleek die detectie niet genoeg om uitsluiting af te dwingen. Of dat een gebrek van het instrument is of een bewuste keuze van de inkopende dienst, hangt volledig af van hoe streng toekomstige aanbestedingen hun ondergrens durven te zetten.
Wie zich afvraagt onder welke voorwaarden een Europese soevereine cloud met Amerikaanse hyperscalers eigenlijk verantwoord kan werken, en welke eisen rond sleutelbeheer, operationele scheiding en technische isolatie daarbij niet onderhandelbaar zijn, vindt verdieping in onze analyse over het onderscheid tussen hard bewijs en mooie slogans bij sovereign cloud, waarin we dieper ingaan op precies dit soort constructies.
De Cloud and AI Development Act moet vrijblijvendheid vervangen door wetgeving
Het Cloud Sovereignty Framework is een procedureel instrument, geen wet. Een aanbestedende dienst kan het gebruiken, maar hoeft dat niet. Op 3 juni 2026 publiceerde de Commissie daarom een voorstel dat verdergaat, de Cloud and AI Development Act, kortweg CADA, als middelpunt van het bredere Tech Sovereignty Package waar ook de herziene Chips Act en de Europese opensourcestrategie deel van uitmaken.
CADA introduceert een eigen indeling van vier assurance levels, en het is belangrijk om die niet te verwarren met de vijf SEAL-niveaus uit het Cloud Sovereignty Framework. Niveau 1 vereist dat data wordt verwerkt en opgeslagen op infrastructuur binnen de Unie. Niveau 2 voegt aantoonbare onafhankelijkheid van derde landen en transparantie over de softwareketen toe. Niveau 3 vraagt Europees eigendom en Europese controle, met aanvullende eisen zoals nationaliteit van personeel, waarbij de Commissie overigens wel ruimte houdt om niet-Europese aanbieders alsnog te erkennen. Niveau 4 vereist volledige transparantie en controle over de softwareketen, zonder enige inmenging van een derde land.
Mijn inschatting is dat het te vroeg is om CADA als voldongen feit te behandelen. Het voorstel doorloopt nu de gewone wetgevingsprocedure, met het Europees Parlement en de Raad die allebei nog een positie moeten bepalen, en dat traject duurt doorgaans eerder jaren dan maanden. Wie leest dat de wet al in werking zou zijn getreden, leest een onbetrouwbare bron. Wat wel al vaststaat, is de richting: van een instrument dat een inkoper kan kiezen te gebruiken, naar een wettelijk kader waar publieke opdrachtgevers straks aan gebonden zijn. Die verschuiving is precies waarom het nu al zinvol is om de acht doelstellingen en de SEAL-taal te leren kennen, ook zonder dat er morgen een wettelijke verplichting ligt.
Hoe het framework zich verhoudt tot SecNumCloud en EUCS
Het Cloud Sovereignty Framework is niet de eerste Europese poging om soevereiniteit te definiëren, en de verschillen met de andere twee grote initiatieven verklaren waarom de Commissie voor dit model heeft gekozen. Het Franse SecNumCloud, de kwalificatie van veiligheidsdienst ANSSI, is binair. Een gekwalificeerde aanbieder moet overwegend Europees eigendom zijn, in de EU gevestigd, met niet-EU-aandeelhouders onder een vaste grens, en de dienst moet vanuit de EU worden beheerd. SecNumCloud scoort soevereiniteit niet, het werkt als een poort waar je doorheen bent of niet, zoals ook het SEAL-2-resultaat van S3NS laat zien: die kwalificatie zegt iets anders dan wat een Europese aanbestedingsscore meet.
Het Europese EUCS, het certificeringsschema dat via ENISA loopt, koos de andere kant op. Eerdere versies bevatten soevereiniteitseisen die op de Franse leken, met onder meer een verplicht Europees hoofdkantoor voor het hoogste niveau. Die eisen zijn uit de conceptversie geschrapt na aanhoudend verzet van lidstaten en niet-Europese aanbieders, en het traject ligt daardoor nog altijd grotendeels stil. EUCS beantwoordt zo de vraag of een dienst veilig is, niet of die soeverein is, en recente voorstellen voor een herziene Cybersecurity Act bevestigen die richting, opnieuw uitsluitend technische criteria, zonder soevereiniteitstoets.
Het Cloud Sovereignty Framework zit tussen die twee in. Het is geen binaire uitsluiting zoals SecNumCloud, en het laat de soevereiniteitsvraag niet los zoals EUCS. Het beoordeelt op een schaal en laat de inkoper de drempel kiezen, wat bestuurlijk handiger is dan beide alternatieven, omdat het geen unanimiteit over een verbod nodig heeft en evenmin doet alsof soevereiniteit er niet toe doet.
Wat Nederlandse organisaties praktisch met deze methodiek kunnen doen
Ook buiten de Europese aanbestedingsregels is het framework nu al bruikbaar als naslagwerk voor cloudstrategie en leveranciersselectie. De acht doelstellingen vormen een beter uitgewerkte set vragen dan het gebruikelijke waar staat de data. De SEAL-schaal geeft bovendien een woordenschat om te bepalen hoeveel soevereiniteit een specifieke workload werkelijk nodig heeft, wat zelden het maximum is en zelden nul. Een patiëntendossier en een publieke informatiewebsite vragen niet om hetzelfde niveau, en de methodiek is gebouwd om dat verschil uit te drukken in plaats van het weg te poetsen.
Dat vraagt wel om een andere manier van inkopen, waarbij niet alleen functionaliteit en kosten meetellen, maar ook juridische positie, operationele zelfstandigheid en ketenafhankelijkheid. In de praktijk betekent dat geopolitieke risico’s expliciet meewegen in de besluitvorming, aantoonbaar bewijs en onafhankelijke audits opvragen in plaats van marketingclaims te accepteren, en architecturen ontwerpen waarin overstappen naar een andere leverancier daadwerkelijk mogelijk blijft. Die ontwikkeling speelt ook zichtbaar in Nederland, waar de cloudkeuze het afgelopen jaar merkbaar lastiger is geworden. In ons artikel over de redenen waarom Nederlandse organisaties Amerikaanse clouddiensten blijven inzetten terwijl digitale soevereiniteit steeds zwaarder weegt gaan we dieper in op dat spanningsveld tussen functionaliteit en controle.
Mijn advies aan Nederlandse IT-beslissers is simpel: begin nu al met de acht doelstellingen als checklist bij elke nieuwe cloud- of infrastructuurkeuze, ook zonder wettelijke verplichting. Wachten tot CADA is aangenomen, is wachten op een trein die volgens de huidige planning nog jaren onderweg is, terwijl de vragen die het framework stelt, nu al de juiste vragen zijn.
De specialisten van SolidBE denken graag mee over wat een realistisch soevereiniteitsniveau is voor uw kritieke workloads, en hoe u leveranciersclaims toetst op aantoonbaar bewijs in plaats van op een keurmerk alleen. Neem gerust contact op voor een vrijblijvend gesprek over uw cloud- en netwerkarchitectuur.
De vraag die na deze eerste praktijktest overblijft, is niet meer of Europa soevereiniteit meetbaar kan maken. Dat blijkt te kunnen. De vraag is of aanbestedende diensten de komende jaren durven vragen om SEAL-3 of SEAL-4 op de workloads waar dat er echt toe doet, of dat SEAL-2 in de praktijk het nieuwe genoeg wordt.
