De Dienst ICT Uitvoering (DICTU) van het ministerie van Economische Zaken heeft op 11 maart 2026 een praktisch hulpmiddel gepubliceerd waarmee overheidsorganisaties de soevereiniteit van clouddiensten kunnen beoordelen. Het Toetsingsinstrument Soevereiniteit Clouddiensten biedt een gestructureerde methode om cloudleveranciers te vergelijken op basis van objectieve en transparante criteria, voordat er een aanbestedings- of selectiebeslissing wordt genomen.
Waarom cloudsoevereiniteit voor overheidsorganisaties steeds urgenter wordt
De aanleiding voor dit instrument ligt in een breed erkend probleem: meer dan 70 procent van de mondiale cloudmarkt is in handen van Amerikaanse partijen zoals Microsoft, Google en Amazon. Die concentratie brengt reële risico’s met zich mee op het gebied van juridische afhankelijkheid, operationele kwetsbaarheid en beperkte onderhandelingsruimte. Overheidsdata die in cloudoplossingen van buitenlandse aanbieders wordt opgeslagen, valt mogelijk onder buitenlandse jurisdictie, ongeacht de locatie van de servers. Dat maakt het voor overheden steeds moeilijker om te garanderen dat gevoelige informatie daadwerkelijk beschermd blijft.
De groeiende afhankelijkheid van hyperscalers is geen nieuw probleem, maar krijgt door veranderende geopolitieke verhoudingen een nieuwe urgentie. Het streven naar digitale autonomie is inmiddels een vast onderdeel van Europees en Nederlands overheidsbeleid. Het nieuwe toetsingsinstrument geeft hier een concrete en bruikbare invulling aan. In dat bredere kader past ook de vraag naar soevereine AI-infrastructuur: in ons eerdere artikel over GPT-NL en het Nederlandse soevereine taalmodel voor overheid en bedrijfsleven gaan we dieper in op wat digitale onafhankelijkheid in de praktijk betekent voor publieke organisaties.
Wat het toetsingsinstrument beoordeelt en voor wie het bedoeld is
Het instrument richt zich op vier centrale dimensies: datasoevereiniteit, wet- en regelgeving, autonomie en betrouwbaarheid. Per dimensie wordt stap voor stap beoordeeld in hoeverre een cloudleverancier voldoet aan de gestelde eisen. Daarbij gaat het niet alleen om technische maatregelen, maar ook om de juridische en politieke context: aan welk rechtsstelsel is een aanbieder uiteindelijk onderworpen, en in hoeverre kan een overheidsorganisatie aantonen dat haar data daadwerkelijk beschermd is?
Het toetsingsinstrument is primair bedoeld voor architecten, inkopers en andere professionals die betrokken zijn bij de selectie of evaluatie van clouddiensten binnen de publieke sector. Door de criteria systematisch door te lopen, ontstaat een helder beeld van hoe een cloudoplossing scoort op controle, onafhankelijkheid en betrouwbaarheid. DICTU benadrukt dat het instrument niet alleen bruikbaar is bij nieuwe aanbestedingen, maar ook bij de heroverweging van bestaande contracten.
Hoe het instrument past binnen de bredere Europese discussie over digitale onafhankelijkheid
Het toetsingsinstrument komt op een moment waarop de Europese discussie over technologische soevereiniteit steeds concreter wordt. De geopolitieke spanningen tussen de Verenigde Staten en Europa hebben de afhankelijkheid van Amerikaanse clouddiensten hoger op de agenda gezet. Overheden zoeken naar manieren om minder kwetsbaar te zijn voor politieke druk of wetgeving die extraterritoriale werking heeft, zoals de Amerikaanse CLOUD Act. Voor een bredere duiding van deze spanning is ons artikel over de nieuwe Amerikaanse cyberstrategie bezien vanuit een Europees perspectief een nuttige aanvulling.
Het Nederlandse initiatief sluit aan bij vergelijkbare Europese inspanningen, zoals de EUCS (European Cybersecurity Certification Scheme for Cloud Services) en het werk van ENISA op het gebied van cloudbeveiliging. Wat het DICTU-instrument onderscheidt, is de directe toepasbaarheid voor Nederlandse overheidsorganisaties: het is praktisch, vrij beschikbaar en specifiek toegesneden op aanbestedings- en selectieprocedures.
Toetsingsinstrument beschikbaar als openbaar document
Met de publicatie van dit instrument zet de Nederlandse overheid een concrete stap in de richting van een meer gecontroleerde en transparante omgang met clouddiensten, waarbij de afweging tussen innovatie en onafhankelijkheid beter onderbouwd kan worden gemaakt.
