Wie uitrekent wat een verhuizing kost, bepaalt ook welke posten op de lijst komen. Laat je die som maken door je huidige verhuurder, dan weet je vooraf al welke kant het verhaal op gaat. Zo moet je het rapport lezen waarmee CCIA Europe, de lobbyclub van onder meer Amazon, Google en Meta, deze maand Brussel waarschuwde dat Europese cloudsoevereiniteit 115 miljard euro gaat kosten.
Een studie van denktank ECIPE, betaald door de Amerikaanse techlobby, stelt dat de Europese Cloud and AI Development Act in tien jaar 115 miljard euro kan kosten. Het rapport telt alleen de kosten van vertrekken, laat de baten en de prijs van blijven buiten beschouwing en leunt zwaar op een aanname over regels die er nog niet zijn. Hier lees je waar de rekensom wringt, waar de lobby toch een punt heeft en wat de discussie betekent voor Nederlandse organisaties.
Een rapport over de kosten van vertrekken, betaald door de partij die je verlaat
Het onderzoek komt van het European Centre for International Political Economy (ECIPE) in Brussel en is geschreven door Matthias Bauer. De rekening ging naar CCIA Europe. ECIPE noemt het een onafhankelijk rapport en vermeldt de financiering keurig onderaan de samenvatting. Het verscheen op 13 oktober, dezelfde dag dat de Europese ministers voor digitale zaken in Ierland bij elkaar kwamen. Toeval is dat niet.
De claim is dat de Cloud and AI Development Act (CADA) Europa in het komende decennium ruim zes keer meer kost dan de schatting die CCIA aan de Europese Commissie toeschrijft. Volgens Mitchell Rutledge van CCIA Europe mist Brussel het grootste deel van de werkelijke impact en draaien belastingbetalers en bedrijven ervoor op. De lobby wil dat lidstaten de soevereiniteitseisen beperken tot echt gevoelige workloads. Eisen over wie een bedrijf bezit en welke nationaliteit het personeel heeft, moeten verdwijnen. In plaats daarvan pleit CCIA voor risicogebaseerde technische waarborgen.
Lees dat verzoek nog eens goed. Technische waarborgen zoals versleuteling, datalokalisatie en lokaal beheer kan elke Amerikaanse hyperscaler leveren, en dat doen ze ook al. AWS bouwt aan een European Sovereign Cloud en Google verkoopt een hele reeks soevereine producten. Eigendom en zeggenschap vanuit Europa zijn de enige eisen die deze bedrijven niet kunnen halen. Precies die eisen wil de lobby geschrapt zien.
Wat de Cloud and AI Development Act van overheden en bedrijven vraagt
De Commissie presenteerde het voorstel in juni 2026. Naast plannen om de Europese datacentercapaciteit flink uit te breiden, introduceert CADA één kader om de soevereiniteit van cloud- en AI-diensten te beoordelen. Overheidsorganisaties kiezen per dienst een van vier zekerheidsniveaus op basis van een risicoanalyse. Het laagste niveau vraagt alleen dat data in de EU blijft. Hogere niveaus stellen eisen aan de software supply chain, aan Europees eigendom en zeggenschap en uiteindelijk aan volledige controle over de ontwikkeling van de software zelf.
Het gevoelige deel heet artikel 31. Daarmee kan de Commissie dezelfde risicoanalyse via gedelegeerde handelingen opleggen aan private organisaties in NIS2-sectoren met een kritische waarde, zoals energie, banken, transport en zorg. Dat is een bevoegdheid. Beleid is het nog niet.
Waarom de 115 miljard van CCIA vooral een prijskaartje voor lock-in is
Wie het rapport openslaat, ziet dat hogere cloudprijzen maar een bescheiden deel van het bedrag vormen. Ruim twee derde bestaat uit migratie en het herschrijven van software. ECIPE legt zelf uit waarom: hoe dieper een applicatie verweven is met de databases, identitydiensten en platformdiensten van één provider, hoe sneller een verhuizing verandert in een herbouw.
Je zou kunnen zeggen dat dat wel het meest veelzeggende detail van het hele onderzoek is. De lobby van de grootste cloudleveranciers heeft laten uitrekenen hoe moeilijk het is om bij die leveranciers weg te gaan, en presenteert dat als argument om te blijven. Het wordt ook wel een gespecificeerde factuur voor lock-in genoemd, betaald door de verhuurder zelf. Die kosten bestaan vandaag al, met of zonder CADA. De wet maakt ze alleen zichtbaar.
Welke kosten het ECIPE-rapport buiten de rekensom laat
ECIPE schrijft het zelf: dit is geen volledige kosten-batenanalyse. Wat soevereiniteit oplevert aan veiligheid, weerbaarheid en strategische onafhankelijkheid staat er niet in. De effectbeoordeling van de Commissie komt juist tot de conclusie dat de baten van het gekozen pakket over de beoordelingsperiode groter zijn dan de kosten. Een rapport dat alleen de kostenkant telt, komt per definitie op een negatief saldo uit.
Ook de prijs van blijven ontbreekt. Het model rekent met de cloudprijzen van vandaag als basislijn, alsof die tien jaar niet veranderen. Europese klanten van VMware weten wel beter. Na de overname door Broadcom kregen veel van hen te maken met prijsstijgingen van een veelvoud van hun oude licentiekosten, zonder realistische uitweg op korte termijn. Een leverancier die weet dat vertrekken duur is, kan zich dat permitteren. Dat risico heeft in de studie geen regel gekregen.
En dan de schade die je niet in een spreadsheet zet. Het Themarapport Cyberdreigingen uit de Rijksbrede Risicoanalyse Nationale Veiligheid 2026 van de NCTV zet een supply chain-aanval door een statelijke actor op een niet-Europese cloudprovider bovenaan de risico’s voor het functioneren van het internet in Nederland. De analisten houden rekening met uitval van overheidsdiensten, DigiD, patiëntendossiers en lesomgevingen binnen enkele uren, met een impact van zeer ernstig tot catastrofaal. In het ECIPE-model komt dat scenario niet voor.
Waar de lobby toch een punt heeft
Niet alles in het rapport is lobbypraat. Cloudcapaciteit die aan de zwaarste soevereiniteitseisen voldoet, zit vooral in Frankrijk en Duitsland. Lidstaten zonder eigen aanbod op dat niveau ruilen dan een deel van hun Amerikaanse afhankelijkheid in voor afhankelijkheid van een paar grote EU-landen. In een tweede ECIPE-studie, over duizenden cloudaanbestedingen in negen lidstaten, blijkt bovendien dat overheden al jaren vrijwel uitsluitend bij leveranciers uit eigen land inkopen, die vaak zelf weer op een hyperscaler draaien. ECIPE-directeur Fredrik Erixon waarschuwt dat CADA die nationale versnippering kan vastzetten.
Ik vind dat Brussel op één punt naar de critici moet luisteren. Een artikel 31 zonder duidelijke grens geeft organisaties in vitale sectoren jarenlang onzekerheid over de vraag of hun cloudarchitectuur straks nog mag. Zet in de wettekst zelf welke workloads eronder vallen, dan kan iedereen plannen en verliest het rekenwerk van de lobby veel van zijn kracht.
Vanuit Europese hoek klinkt overigens de tegenovergestelde kritiek. Brancheclub CISPE vindt dat soevereiniteit moet draaien om werkelijke controle over de technologie en bescherming tegen extraterritoriale wetgeving zoals de Amerikaanse CLOUD Act. Een EU-vestiging alleen is volgens CISPE geen soevereiniteit. Daar raakt de discussie de kern van het CCIA-voorstel. Microsoft France erkende in 2025 tijdens een verhoor onder ede in de Franse Senaat dat het niet kon garanderen dat gegevens van Franse burgers nooit zonder Franse toestemming bij Amerikaanse autoriteiten terechtkomen. Geen enkele technische waarborg verandert iets aan de jurisdictie waaronder een moederbedrijf valt.
Wat betekent de discussie over cloudsoevereiniteit voor Nederlandse organisaties
Voorlopig verandert er voor de meeste bedrijven niets. CADA is een voorstel waar Europees Parlement en Raad nog over moeten onderhandelen. Wie in energie, zorg, financiële dienstverlening of transport zit en onder de Cyberbeveiligingswet valt, kijkt wel verstandig mee, omdat de risicoanalyse uit artikel 31 aansluit op wat NIS2 al vraagt over leveranciersrisico’s.
Hoe een exit er in de praktijk uitziet, laat de Belastingdienst zien. In ons artikel over de Belastingdienst die Microsoft 365 loslaat en wat de Auditdienst Rijk vond in de exitstrategie lees je hoe een back-up in het eigen datacenter alsnog een black box bleek. Dat zijn echte kosten, en ze ontstonden door afhankelijkheid, zonder dat Brussel er iets mee te maken had.
Tegelijk wordt vertrekken vanaf 2027 een stuk goedkoper. De Data Act verbiedt overstapkosten dan grotendeels, en de ACM werkt dat uit in een conceptleidraad die vastzitten bij je cloudleverancier moet tegengaan. De egress-rekening verdwijnt. Het herschrijven van applicaties die nooit gebouwd zijn om te verhuizen, blijft gewoon geld kosten.
Reken zelf uit wat vertrekken kost
De meeste organisaties hebben wel een exitparagraaf in het cloudbeleid, maar weinig organisaties hebben er ooit een bedrag naast gezet. Mijn advies is om dat rekenwerk niet aan Brussel of aan een lobbyclub over te laten. Gebruik dezelfde categorieën als ECIPE, dus API’s, databases, identity en securitytooling, en maak voor je belangrijkste applicaties een eerlijke inschatting. Kijk daarbij ook naar de lagen eronder, zoals het cloudbeheer van je firewalls en de dreigingsinformatie die elke dag van een Amerikaanse leverancier binnenkomt.
Als je leverancier bij de volgende verlenging de prijs verdubbelt, weet jij dan wat het kost om weg te gaan?
