De Europese Commissie heeft op 1 juni 2026 een toelichting gepubliceerd op haar Cloud Sovereignty Framework, het meetinstrument waarmee zij aanbieders van soevereine cloud beoordeelt bij aanbestedingen. Daarmee verschuift digitale soevereiniteit van een vaag bijvoeglijk naamwoord naar een concreet getal dat een inkoper kan eisen, controleren en afwijzen.
Het raamwerk beoordeelt een clouddienst op twee manieren. De eerste is het Sovereignty Effectiveness Assurance Level (SEAL), een drempelwaarde die een aanbestedende dienst minimaal kan voorschrijven. Een dienst die daaronder blijft, valt af. De Commissie koppelt de hoogste niveaus aan datasoevereiniteit (SEAL-2), technologische autonomie (SEAL-3) en volledige soevereiniteit (SEAL-4), waarbij dat laatste niveau een volledige Europese toeleveringsketen veronderstelt, van chip tot software.
De tweede maatstaf is een totaalscore op basis van 48 specifieke criteria, verdeeld over acht categorieën: strategisch, juridisch en jurisdictioneel, data en AI, operationeel, toeleveringsketen, technologisch, beveiliging en compliance, en milieuduurzaamheid. De ene methode filtert, de andere rangschikt de diensten die de drempel halen.
Toeleveringsketen weegt het zwaarst
Veelzeggend is de weging in de raamwerkdocumentatie. De categorie toeleveringsketen, die de herkomst van hardware, firmware en fysieke componenten dekt, weegt met twintig procent het zwaarst, ruim boven de juridische en jurisdictionele dimensie. De boodschap in cijfers is dat de afhankelijkheid die het moeilijkst te ontwarren is, onder het besturingssysteem ligt. Wie soevereiniteit serieus uitvraagt, komt dus bij vragen over firmwareherkomst en hardware roots of trust terecht, niet alleen bij de locatie van een datacenter.
Het instrument is geen theorie. De Commissie gunde in april 2026 een contract van maximaal 180 miljoen euro voor soevereine cloud aan vier aanbieders, bestemd voor de instellingen van de Unie zelf en aanbesteed via het Cloud III Dynamic Purchasing System.
Een meetlat in plaats van een verbod
Anders dan de Franse SecNumCloud-kwalificatie, die binair toegang verleent of weigert, en anders dan het EUCS-certificeringsschema, dat zijn soevereiniteitseisen in 2024 liet vallen, kiest de Commissie voor een schaal. De inkoper bepaalt zelf welk niveau bij een werklast past. Dat maakt soevereiniteit toetsbaar en aantoonbaar.
Sovereignty washing ligt op de loer
CISPE, de branchevereniging van Europese cloudinfrastructuuraanbieders met circa 38 leden, vindt dat soevereiniteit geen kwestie van gradatie zou mogen zijn: een clouddienst is in die redenering soeverein of hij is dat niet, en een tussenscore van bijvoorbeeld 75 procent bestaat niet. Volgens CISPE vertroebelt de scoremethode het begrip door onhaalbare doelen en vage criteria tot één gemiddelde te versmelten, met als risico sovereignty washing: Europese aanbieders zouden lager kunnen uitkomen dan Amerikaanse hyperscalers, waardoor de bestaande afhankelijkheid wordt bestendigd onder de noemer soevereiniteit. Als voorbeeld noemt de vereniging de erkenning van S3NS, een joint venture van Thales en Google Cloud, als een eigen doelpunt, omdat moederbedrijf Google als Amerikaanse onderneming onder de CLOUD Act blijft vallen.
De Europese Commissie houdt vast aan haar lijn en stelt dat de aanbesteding juist duidelijkheid biedt, een gelijk speelveld creëert en de markt naar een hoger niveau tilt. Daarbij past wel de kanttekening dat CISPE de belangen van Europese aanbieders behartigt, voor wie een strikte definitie commercieel gunstig uitpakt. Voor organisaties die clouddiensten inkopen, betekent dit debat vooral dat de eigen risicoafweging zwaarder weegt dan een keurmerk of een score op zichzelf.Â
Lees meer op https://commission.europa.eu/news-and-media/news/sovereign-cloud-framework-explained-2026-06-01_en
