Een soevereine cloud kiezen: de criteria die tellen

"Soeverein" is inmiddels een verkoopargument. Elke aanbieder met een datacenter in Frankfurt of Amsterdam zet het op de website, en de meeste bedoelen er niets meer mee dan dat de servers in Europa staan.

Een soevereine cloud kiezen is het beoordelen van een aanbieder op acht meetbare dimensies, van juridische jurisdictie tot toeleveringsketen, in plaats van op de vraag waar het datacenter staat. Sinds oktober 2025 bestaat daar een officieel raamwerk voor, en sinds april 2026 is het in de praktijk toegepast. Je kunt die criteria letterlijk overnemen in je eigen inkooptraject.

Deze gids vertaalt dat raamwerk naar de vragen die je een aanbieder stelt, en naar wat je vastlegt voordat je tekent.

Wat betekent soeverein precies?

De Europese Commissie heeft het begrip omgezet in een schaal. Het Cloud Sovereignty Framework kent Sovereignty Effectiveness Assurance Levels, afgekort SEAL, die lopen van SEAL-0 tot SEAL-4. Een aanbieder wordt per dimensie gescoord, niet als geheel, en dat is precies wat het raamwerk bruikbaar maakt: je ziet waar iemand sterk staat en waar niet.

De acht dimensies waarop gescoord wordt beslaan strategische, juridische, operationele en milieuoverwegingen, plus transparantie van de toeleveringsketen, technologische openheid, beveiliging en naleving van EU-wetgeving. Dat laatste rijtje is waar de meeste "soevereine" aanbiedingen stranden: de servers staan in de EU, maar de beheersoftware, de supportorganisatie of de moedermaatschappij niet.

Let op wat SEAL-4 in de praktijk betekent. Een volledige EU-keten inclusief chips is vandaag voor bijna niemand haalbaar. Dat is geen reden om het niveau te negeren. Wel om door te vragen bij iedereen die het claimt.

Waarom je de criteria van de Commissie kunt lenen

Dit raamwerk is geen theorie. In april 2026 gunde de Europese Commissie een soevereine-cloudopdracht van maximaal 180 miljoen euro over zes jaar aan vier Europese partijen, en paste daarbij voor het eerst expliciete soevereiniteitscriteria toe. SEAL-2 was de ondergrens om mee te mogen doen. De meeste gegunde partijen scoorden SEAL-3.

Twee dingen zijn daaraan bruikbaar voor een gewoon bedrijf. Ten eerste bestaat er nu een gepubliceerde meetlat waar aanbieders zich al tegen hebben laten scoren, dus je hoeft niet zelf criteria te verzinnen. Ten tweede koos de Commissie bewust vier leveranciers in plaats van één, om afhankelijkheid van één partij te vermijden. Die overweging geldt voor jouw organisatie net zo goed als voor een EU-instelling.

De Nederlandse overheid loopt een parallel traject. Het Rijk bouwt aan een eigen soevereine clouddienst en heeft daarvoor een proof of concept draaien, met resultaten die eind 2026 naar de Tweede Kamer gaan. In de onderbouwing daarvan staat het cijfer dat de urgentie verklaart: ongeveer 70 procent van de Europese cloudmarkt is in handen van enkele grote niet-Europese aanbieders. De bredere Nederlandse context staat in onze gids over digitale soevereiniteit en AI in Nederland.

Welke vragen stel je een aanbieder?

Hieronder de vragen die het onderscheid maken tussen een aanbieder die soevereiniteit verkoopt en een die het levert. Stel ze schriftelijk en vraag om schriftelijk antwoord.

Onder welke jurisdictie valt de moedermaatschappij? Niet het datacenter. De rechtspersoon. Een Europese dochter van een Amerikaans moederbedrijf valt via die moeder onder Amerikaanse bevoegdheden, ongeacht waar de schijven liggen of in welk handelsregister de dochter is ingeschreven. Vraag om de volledige eigendomsstructuur.

Wie kan er technisch bij de data, en vanuit welk land? Support die vanuit een ander werelddeel meekijkt, is toegang. Vraag naar de locaties van de supportorganisatie, naar de procedure waarmee een medewerker toegang krijgt tot een klantomgeving, en naar de logging die daarvan wordt bijgehouden en hoe lang die bewaard blijft.

Wat gebeurt er bij een vordering van een buitenlandse autoriteit? Vraag of de aanbieder verplicht is je te informeren, of hij dat aanvecht, en of er een gepubliceerd transparantierapport is met aantallen.

Welke onderdelen van de dienst draaien op software van derden? Hypervisor, beheerlaag, identiteitsbeheer en monitoring komen vaak van niet-Europese leveranciers. Dat hoeft geen bezwaar te zijn. Het hoort wel op tafel te liggen.

Hoe kom ik eruit? Vraag naar exportformaten, naar de doorlooptijd van een volledige export bij jouw datavolume, en naar een testexport tijdens de proefperiode. Een aanbieder die dat weigert te demonstreren, heeft de vraag beantwoord.

Wat is de SEAL-score per dimensie, en door wie vastgesteld? Een aanbieder die zich op de EU-aanbesteding heeft ingeschreven, heeft die cijfers. Een aanbieder die het raamwerk niet kent, verkoopt datalocatie.

Wat leg je vast in het contract?

Sinds de Europese Data Act is je onderhandelingspositie bij vertrek wettelijk versterkt, en dat verandert wat je in een contract moet regelen. Vanaf 12 januari 2027 zijn overstapkosten en datatransportkosten voor het overstappen naar een andere aanbieder verboden. Tot die datum mogen aanbieders nog een gereduceerd tarief rekenen dat niet hoger is dan hun werkelijke kosten. Aanbieders van infrastructuurdiensten moeten daarnaast redelijke maatregelen nemen zodat je bij een overstap functionele gelijkwaardigheid bereikt.

Dat is de bodem. Daarboven leg je zelf vast: de opzegtermijn en de exportperiode, het formaat waarin data en configuratie worden opgeleverd, of versleutelingssleutels bij jou blijven, en wie de export uitvoert als jij dat niet zelf kunt. Regel ook wat er gebeurt als de aanbieder wordt overgenomen door een partij buiten de EU, want dat is het scenario waarin soevereiniteit stilletjes verdampt zonder dat er iets aan de dienst verandert.

De praktische kant van een overstap zelf staat in de EU Data Act en overstappen van cloud. Voor de bredere contractafspraken rond AI-diensten is AI-software inkopen het vertrekpunt.

Wanneer is een soevereine cloud de verkeerde keuze?

Twee situaties, en ze worden zelden benoemd.

De eerste: je hebt een specifieke dienst nodig die alleen bij een hyperscaler bestaat. Een gespecialiseerde databank, een modelfamilie, een ecosysteem waar je applicatie op leunt. Een Europese aanbieder die dat niet heeft, dwingt je tot herbouwen, en die rekening valt zelden lager uit dan het risico dat je ermee afdekt. Splits dan. Het gevoelige deel soeverein, de rest waar het nu draait.

De tweede: je bent te klein voor de vaste kosten. Europese aanbieders zijn gemiddeld duurder per eenheid rekenkracht en hun contracten kennen vaker minimumafnames. Onder een bepaalde omvang koop je dan vooral een hoger tarief zonder dat er een risico tegenover staat dat je daadwerkelijk loopt. Waar die grens ligt, hangt af van je verbruik en van wat toezicht en klantcontracten je voorschrijven.

En er is een derde weg, die in deze afweging vaak ontbreekt: helemaal geen cloud. Voor gevoelige verwerking in eigen beheer draaien is technisch bereikbaar geworden, en de doorlopende kosten daarvan staan doorgerekend in wat het beheren van een eigen AI-omgeving kost. De volledige afweging tussen lokaal en cloud staat in onze gids over lokale AI voor bedrijven.

Waar je op uitkomt

Soevereiniteit is geen keurmerk dat je afvinkt maar een score per dimensie, en die score hoort in je selectiedocument te staan naast prijs en prestaties. De acht dimensies van de Commissie geven je die structuur zonder dat je zelf criteria hoeft op te stellen.

Vraag naar de eigendomsstructuur, naar wie er technisch bij kan en vanuit waar, en naar een gedemonstreerde export. Leg de exitroute vast voordat je tekent, niet op het moment dat je hem nodig hebt. De aanbieder die deze vragen zonder aarzeling beantwoordt, is meestal ook de aanbieder die je over drie jaar nog steeds wilt hebben.