{"id":3916,"date":"2026-10-19T01:29:14","date_gmt":"2026-10-19T00:29:14","guid":{"rendered":"http:\/\/sooma.com\/pt-pt\/bruxelas-passa-a-exigir-cloud-europeia-o-que-muda-para-quem-compra-e-quem-fornece\/"},"modified":"2026-10-19T01:29:14","modified_gmt":"2026-10-19T00:29:14","slug":"brussel-eist-voortaan-europese-cloud-wat-verandert-voor-kopers-en-aanbieders","status":"publish","type":"post","link":"https:\/\/sooma.com\/nl\/bruxelas-passa-a-exigir-cloud-europeia-o-que-muda-para-quem-compra-e-quem-fornece\/","title":{"rendered":"Brussel begint Europese cloud te eisen: wat verandert er voor kopers en aanbieders"},"content":{"rendered":"

Terwijl de Cloud and AI Development Act zijn weg aflegt door het Parlement en de Raad, heeft de Europese Commissie niet gewacht: in haar eigen aanbesteding voor soevereine cloud paste ze een raster van soevereiniteitsniveaus toe, sloot ze iedereen uit die onder het minimum bleef en gunde ze alles aan Europese aanbieders. De uitkomst laat zien hoe ver het \u201csoevereine\u201d aanbod van de hyperscalers reikt, en wat een Europese overheidsinstantie vandaag kan eisen.<\/strong><\/em><\/p>\n

Wat al is gebeurd<\/h2>\n

In april 2026 verdeelde de Commissie een zesjarige raamovereenkomst van 180 miljoen euro, open voor alle EU-instellingen en -agentschappen, over vier consortia: Post Telecom met OVHcloud en Clever Cloud, STACKIT (Schwarz Group), Scaleway (Iliad Group) en Proximus met S3NS, Clarence en Mistral. Ze beoordeelde ze met haar Cloud Sovereignty Framework, dat soevereiniteit vertaalt in acht meetbare doelstellingen en een SEAL-niveau van 0 tot 4 toekent: zeggenschap over de onderneming, datalocatie, toeleveringsketen, technologische openheid, beveiliging en naleving van het EU-recht. Alleen inschrijvers die SEAL-2 (datasoevereiniteit) haalden, kwamen in aanmerking. OVHcloud, STACKIT en Scaleway haalden SEAL-3 (digitale veerkracht). Het consortium rond S3NS, de joint venture van Thales en Google, bleef op SEAL-2, het minimum. De Commissie zal dezelfde criteria toepassen op haar eigen digitale diensten en een bijgewerkte versie van het kader publiceren.<\/p>\n

Wat eraan komt<\/h2>\n

De Cloud and AI Development Act (CADA) zal dit soort raster verplicht maken voor de publieke sector in elke lidstaat, met vier zekerheidsniveaus en een vereiste van niveau 2 of hoger in kritieke sectoren, uitbreidbaar naar bedrijven die onder NIS2 vallen. We hebben de vier niveaus toegelicht in Brussel stelt vier niveaus van digitale soevereiniteit voor bij overheidsopdrachten<\/a>.<\/p>\n

De Public Procurement Act, aangenomen op 9 september, vervangt de richtlijnen voor overheidsopdrachten door \u00e9\u00e9n verordening met een Europese voorkeur in alle sectoren: minstens 30 % van de beoordeling op niet-prijscriteria, waarbij Europese herkomst kan meetellen, en de bevoegdheid voor de Commissie om aanbestedingen te sluiten voor landen zonder wederkerigheid. E-procurementplatforms zullen in de EER gevestigd moeten zijn, hun data daar moeten bewaren en vrij moeten zijn van externe zeggenschap.<\/p>\n

Geen van beide is al van kracht. De CADA krijgt pas in 2027 een definitieve tekst en geldt niet v\u00f3\u00f3r 2028; de Public Procurement Act geldt niet v\u00f3\u00f3r 2029. Maar een cloudcontract van vier jaar dat vandaag wordt getekend, loopt af onder deze regels.<\/p>\n

Waar dit Microsoft, Google en Amazon laat staan<\/h2>\n

De drie hyperscalers kunnen niveau 1 halen: zij hebben Europese dochterondernemingen en dataregio's in de EU. Maar dat is niet wat u standaard krijgt. Dataresidentie in de EU is een optie die apart moet worden geconfigureerd en gecontracteerd, tegen meerprijs en met uitzonderingen, zoals telemetrie, support en sommige AI-diensten, die Europa blijven verlaten. Zelfs om niveau 1 veilig te stellen moet de klant weten wat hij moet vragen en ervoor betalen. Het probleem begint bij niveau 2. Zolang het moederbedrijf onder de CLOUD Act en FISA 702 valt, kan een aanbieder die vanuit de Verenigde Staten wordt aangestuurd niet garanderen dat geen buitenlandse partij toegang krijgt tot de data of de dienst opschort. De zaak uit 2025 waarin het e-mailaccount van een aanklager van het Internationaal Strafhof werd opgeschort na Amerikaanse sancties, wordt in de voorbereidende stukken aangehaald als precies het scenario dat niveau 2 moet voorkomen.<\/p>\n

Hun antwoord is het trustee-model: Amerikaanse technologie die wordt beheerd door een Europese entiteit die de sleutels in handen heeft en het personeel in dienst heeft. S3NS (Thales met Google), Bleu (Orange en Capgemini met Microsoft) en de European Sovereign Cloud van AWS volgen allemaal die weg. De aanbesteding van de Commissie liet de grens ervan zien: het consortium dat op S3NS steunde, bleef op SEAL-2, het minimum, terwijl de van oorsprong Europese aanbieders SEAL-3 haalden. CADA-niveau 3 laat aanbieders die vanuit derde landen worden aangestuurd alleen toe als de Commissie de jurisdictie formeel erkent en de waarborgen zijn aangetoond; niveau 4 kent geen uitzonderingen.<\/p>\n

Waar dit Sooma laat staan<\/h2>\n

Sooma is een Europees bedrijf, met kapitaal, directie en team in de EU, dat sinds 2018 zijn eigen infrastructuur beheert: servers uitsluitend in Europa, buiten het bereik van de wetgeving van derde landen. De structurele criteria van CADA-niveaus 2 en 3, vestiging en data in de EU, een Europese keten van onderaannemers, geen zeggenschap vanuit derde landen en een Europees team, zijn eenvoudigweg de manier waarop Sooma altijd heeft gewerkt. Sooma Business, met e-mail, drive en chat gebouwd op opensourcesoftware, voldoet aan het criterium van technologische openheid dat het SEAL-kader waardeert en dat vendor lock-in voorkomt.<\/p>\n

De onderstaande tabel zet de criteria van de CADA en het SEAL-kader af tegen wat elk type aanbieder vandaag kan aantonen.<\/p>\n\n\n\n\n\n\n\n\n\n\n\n
Wat de inkoper zal eisen<\/th>\nMicrosoft, Google, Amazon<\/th>\nSooma<\/th>\n<\/tr>\n<\/thead>\n
Vestiging en zeggenschap in de EU<\/td>\nEuropese dochteronderneming, maar uiteindelijke zeggenschap in de VS; alleen opgelost via een trustee-model (S3NS, Bleu, AWS European Sovereign Cloud)<\/td>\nEuropees bedrijf, kapitaal en directie in de EU<\/td>\n<\/tr>\n
Data, back-ups en logs in de EU<\/td>\nEuropese regio's beschikbaar; telemetrie en support niet altijd beperkt tot de EU<\/td>\nServers uitsluitend in Europa<\/td>\n<\/tr>\n
Europese onderaannemers<\/td>\nWereldwijde keten van hardware, software en support<\/td>\nDatacenters, connectiviteit en leveranciers in de EU<\/td>\n<\/tr>\n
Immuniteit voor bevelen en sancties uit derde landen<\/td>\nKan niet worden gegarandeerd zolang het moederbedrijf onder de CLOUD Act en FISA 702 valt; het trustee-model bleef op SEAL-2 in de aanbesteding van de Commissie<\/td>\nUitsluitend onderworpen aan het recht van de EU en haar lidstaten<\/td>\n<\/tr>\n
Medewerkers met geprivilegieerde toegang die EU-burger zijn (niveau 3)<\/td>\nAlleen in de trustee-aanbiedingen, binnen een beperkte perimeter<\/td>\nTeam volledig in de EU<\/td>\n<\/tr>\n
Klantdata niet gebruikt om AI uit derde landen te trainen<\/td>\nAfhankelijk van contractuele bepalingen; de AI-modellen worden vanuit de VS beheerd<\/td>\nGeen modeltraining op klantdata<\/td>\n<\/tr>\n
Technologische openheid en een exitplan van 12 maanden<\/td>\nEigen formaten en API's; complexe migratie<\/td>\nSooma Business is open source; open formaten en portabiliteit<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

De grens van de hyperscalers is niet technisch maar juridisch: hoeveel zij ook investeren in Europese regio's en partners, de uiteindelijke zeggenschap en de blootstelling aan Amerikaans recht veranderen niet. Dat is precies het criterium dat CADA-niveau 3 en SEAL-3 centraal stellen.<\/p>\n

Voor overheidsinstanties en bedrijven in kritieke sectoren in heel Europa is de boodschap eenvoudig: de aanbieders die in 2028 in aanmerking komen, bestaan vandaag al, en de criteria om ze te onderscheiden zijn al gepubliceerd.<\/strong><\/em><\/p>\n

Bronnen<\/h2>\n