In juni legde Brussel vier niveaus van soevereiniteit op tafel voor Europese overheidsopdrachten. We schreven erover hier. Sindsdien is de voorgestelde Cloud and AI Development Act (CADA) de wetgevingsmachine ingegaan, en die machine begint adviezen terug te sturen.
Het eerste institutionele advies van echt gewicht kwam op 23 september. Het Europees Economisch en Sociaal Comité (EESC), het adviesorgaan dat werkgevers, vakbonden en het maatschappelijk middenveld samenbrengt, nam in de plenaire vergadering een advies over de CADA aan, met 212 stemmen voor, geen tegen en 3 onthoudingen. Het is niet bindend. Maar het zegt, met cijfers, wat velen in de sector al stilletjes zeiden: zoals het er nu ligt, is het voorstel van de Commissie niet genoeg om te veranderen wie cloudaanbestedingen in Europa wint.
Twee getallen vatten het advies samen. Vijftien en veertig. En vijfentwintig procent: ambitie of verplichting.
Vijftien punten van de honderdtwintig
Het voorstel van de Commissie dwingt niemand om Europees te kopen. Wat het wel doet, is overheidsinstanties toestaan om bij het beoordelen van inschrijvingen punten toe te kennen voor wat het “toegevoegde waarde voor de Unie” noemt: de leverancier is Europees, opereert vanuit Europa en valt niet onder wetten van derde landen die hem verplichten gegevens af te staan. Overweging 67 van het voorstel beperkt die weging tot 15 van de 120 punten. Iets meer dan 12 % van de score.
Wie ooit heeft ingeschreven op een openbare aanbesteding weet wat dat waard is. Een leverancier met tien jaar voorsprong in schaal, catalogus en referenties haalt 15 punten moeiteloos in op de overige 105. Het criterium bestaat, het staat in het bestek, en het beslist niets.
Het EESC zegt precies dat. Amendement 3 van het advies stelt voor het plafond te verhogen naar 40 van de 120 punten, een derde van de score, omdat 15 punten “de uitkomst van aanbestedingen niet wezenlijk kunnen beïnvloeden op de schaal die nodig is om de marktafhankelijkheid om te keren”. Bij 40 punten is soevereiniteit niet langer een factor die alleen bij gelijke stand de doorslag geeft, maar een criterium dat een niet-Europese leverancier in de rest niet meer kan goedmaken.
Het verschil tussen die twee getallen is het verschil tussen een wet die een signaal afgeeft en een wet die herverdeelt.
Vijfentwintig procent: ambitie of verplichting
Het tweede getal is het mkb-quotum. Het voorstel van de Commissie zegt dat de lidstaten ernaar moeten streven ten minste 25 % van de relevante cloud- en AI-opdrachten te gunnen aan innovatieve mkb-bedrijven. “Streven” is het woord dat de zin leegmaakt. Er is geen sanctie, geen meetlat, geen deadline.
In aanbeveling 1.9 vraagt het EESC om van de doelstelling een “gedeelde vereiste” te maken, met concrete stimulansen voor de uitvoering: opdrachten opsplitsen in percelen die een middelgroot bedrijf kan bedienen, en vereenvoudigde kwalificatievoorwaarden. Het is het deel van het advies dat het meest telt voor wie cloud, hosting of e-mail levert vanuit Portugal, of welke andere lidstaat ook, zonder een telecomgroep te zijn.
De reden is rekenkundig. Een openbare aanbesteding voor een e-mailplatform met 40.000 mailboxen kan worden gewonnen door een grote operator en geleverd door een kleine leverancier, zoals gebeurde bij de Ordem dos Advogados, de Portugese Orde van Advocaten. Maar een aanbesteding die als één perceel is opgezet, met een minimumomzet van tientallen miljoenen, laat het mkb-bedrijf niet eens voorbij het eerste criterium. Het quotum van 25 % werkt alleen als het dwingt om aanbestedingen anders op te zetten. Dat is wat het EESC vraagt.
Het advies voegt drie verzoeken toe die geen getal dragen, maar wel gewicht. Dat cloudinfrastructuur een beschermde prioriteit wordt in het volgende meerjarig financieel kader, waarbij de Europese Investeringsbank privékapitaal mobiliseert. Dat versnellingszones voor datacenters, waar vergunningen sneller worden verleend, verplichte sociale en milieueffectbeoordelingen en echte publieke raadpleging krijgen. En dat het toezicht op de verordening meet of overheidsinstellingen de capaciteit hebben verworven om hun systemen zelfstandig te draaien, en niet alleen of ze van leverancier zijn veranderd.
Waar het proces staat
Het advies van het EESC beslist op zichzelf niets. De beslissingen liggen bij het Europees Parlement en de Raad, en beide zijn in september aan het werk gegaan.
In het Parlement werd het dossier (procedure 2026/0138(COD)) op 17 september gezamenlijk toegewezen aan de commissies Industrie (ITRE) en Interne Markt (IMCO), met adviezen van de commissies Juridische Zaken en Burgerlijke Vrijheden. De rapporteurs zijn Diego Solier, van de ECR-fractie, voor ITRE, en Reinier van Lanschot, van de Groenen, voor IMCO. Van Lanschot heeft publiekelijk gezegd dat hij de onderhandelingen met de Raad eind 2027 wil afronden.
In de Raad kwam de Groep telecommunicatie en informatiemaatschappij op 3, 8, 10, 15 en 22 september bijeen over de CADA. Vijf vergaderingen in een maand is het tempo van een prioritair dossier.
Wat dit in de praktijk betekent: er komt geen definitieve tekst vóór 2027, toepassing komt niet vóór 2028, en de getallen in overweging 67 en het quotum van 25 % zullen regel voor regel worden uitonderhandeld. Het advies van het EESC is het eerste institutionele standpunt dat vraagt om ze te verhogen. Het zal niet het laatste zijn: Duitsland en Frankrijk, die in hun overheidsadministraties al van software wisselen, hebben belang bij strengere criteria, en de landen waar hyperscalers het meest in datacenters investeren hebben belang bij het tegenovergestelde.
Wat dit betekent voor Portugese overheidsinstanties
Door een toevallige samenloop van timing bevindt Portugal zich in een merkwaardige positie. Op 1 oktober trad de grootste herziening van het Wetboek Overheidsopdrachten sinds 2017, wetsbesluit 177/2026, in werking. De drempel voor onderhandse gunning van leveringen en diensten steeg naar € 75.000, die voor voorafgaande raadpleging naar € 130.000, er kwam een nieuwe “bijzondere voorafgaande raadpleging” voor digitaletransformatieprojecten, en het nieuwe artikel 54-A maakt het mogelijk opdrachten voor te behouden aan gecertificeerde mkb-bedrijven en start-ups.
Met andere woorden: het Portugese recht heeft al het instrument waar het EESC om vraagt om het quotum van 25 % te laten werken: opdrachten voorbehouden aan het mkb. Wat ontbreekt, is enig criterium van Europese voorkeur of soevereiniteit. Wetsbesluit 177/2026 gebruikt het woord geen enkele keer. De weging van “toegevoegde waarde voor de Unie”, of die nu 15 of 40 punten bedraagt, bereikt de Portugese bestekken pas zodra de CADA is aangenomen en wordt toegepast.
Tot die tijd is er het Nationaal Plan voor de Soevereine Cloud, goedgekeurd in mei, dat de processen van de overheidsadministratie indeelt in vier niveaus (neutraal, standaard, kritiek en strategisch) en elke instantie verplicht haar eigen processen uiterlijk op 30 juni 2027 in te delen. De logica is dezelfde als die van de CADA: hoe gevoeliger het proces, hoe strenger de soevereiniteitseis. Het verschil is dat het Portugese plan die niveaus nog niet heeft vertaald naar beoordelingscriteria voor inschrijvingen, en dat is precies waar de 15 of 40 punten uiteindelijk zullen landen.
Voor een gemeente, een school of een overheidsinstituut dat in de komende achttien maanden een aanbesteding voor e-mail, hosting of samenwerking uitschrijft, is de praktische vraag eenvoudig. Loopt het contract langer dan het wetgevingsproces van de CADA? Zo ja, dan zou het bestek de leverancier nu al moeten vragen waar de gegevens staan, onder welke jurisdictie hij valt, wie zijn kapitaal bezit en of de dienst blijft draaien als een buitenlandse regering besluit dat dit niet mag. Dit zijn de vragen die Europa binnenkort gaat scoren. Ze nu stellen kost niets.
Kritische stemmen
Het advies heeft beperkingen die het vermelden waard zijn. Het EESC is adviserend; het Parlement en de Raad kunnen het volledig negeren, en doen dat vaak. De Amerikaanse industrie heeft de CADA via de CCIA al “discriminerend” genoemd en gewaarschuwd voor marktfragmentatie; de weging verhogen van 15 naar 40 punten zal die druk opvoeren, en het is niet zeker dat de lidstaten met de meeste hyperscaler-investeringen dat zullen accepteren. Er is ook een Europese kritiek: punten creëren geen capaciteit. Een soevereiniteitscriterium dat een derde van de score waard is, helpt alleen als er Europese leveranciers zijn met de schaal om te winnen, en in veel segmenten zijn die er nog niet. Het EESC erkent dit zelf wanneer het om beschermde financiering in de volgende meerjarenbegroting vraagt.
Wat overblijft
In juni zei de Commissie dat digitale soevereiniteit zou gaan meetellen bij overheidsopdrachten. In september zei het EESC hoeveel ze moet meetellen om een verschil te maken. Ergens tussen 15 en 40 punten wordt in de loop van 2027 beslist of Europa anders cloud gaat inkopen, of alleen anders bestekken gaat schrijven.
De 15 punten zijn een intentie. De 40 zouden beleid zijn.
Bronnen
- Advies van het EESC over de Cloud and AI Development Act, Raadsdocument ST 13682/2026, 28 september 2026
- Proceduredossier 2026/0138(COD), Europees Parlement
- Agence Europe: Reinier van Lanschot benoemd tot rapporteur in IMCO
- Raad van de EU: Groep telecommunicatie en informatiemaatschappij, 8 september 2026
- Voorstel van de Commissie COM(2026) 502, Cloud and AI Development Act, 3 juni 2026
- WSGR: samenvatting van het CADA-voorstel
- CCIA: standpunt over de CADA, juni 2026
- RNC Advogados: overheidsopdrachten, wat verandert er op 1 oktober (wetsbesluit 177/2026, in het Portugees)
- APDC: de soevereine cloud van de staat start in 2027, niveaus en termijnen van het PNNS (in het Portugees)
- Sooma: Brussel stelt vier niveaus van digitale soevereiniteit voor bij overheidsopdrachten