Europese Commissie - Een kader voor cloudsoevereiniteit bij strategische aanbesteding

In haar Cloud Sovereignty Framework introduceert de Europese Commissie een gestructureerde methodologie om digitale soevereiniteit te meten en te operationaliseren bij de aanbesteding van clouddiensten. Het document bouwt voort op bestaande Europese initiatieven, waaronder CIGREF’s Trusted Cloud Referential, de Gaia-X-beleidsregels en het Europees kader voor cyberbeveiligingscertificering, en vertaalt een inherent politiek concept naar acht concrete, te scoren doelstellingen. In april 2026 werd het kader voor het eerst in de praktijk toegepast: de Commissie gunde een soeverein cloudcontract ter waarde van maximaal 180 miljoen euro over zes jaar aan vier Europese aanbieders. Daarmee is het de eerste keer dat EU-instellingen cloudaanbestedingen expliciet hebben getoetst aan soevereiniteitscriteria.

Voor het volledig artikel, zie de ENG-samenvatting.

Wat: beleidsdocument – technisch governancekader en aanbestedingsmethodologie

Voor wie: beleidsmakers, publieke aankopers, cloudaanbieders en onderzoekers rond digitale soevereiniteit

URL: 

Kader 

Aankondiging van de aanbesteding (April 2026)

Belangrijkste inzichten voor Vlaanderen - België

Proximus is de enige Belgische actor die een contract kreeg toegewezen binnen de aanbesteding voor de Sovereign Cloud. Het leidt een grensoverschrijdend consortium met Franse en Luxemburgse partners. Het consortium behaalde SEAL-2, de minimale drempel om in aanmerking te komen.

De toekenning toont aan dat Belgische spelers op het vlak van digitale infrastructuur betekenisvol kunnen deelnemen aan Europese aanbestedingen die gedreven worden door soevereiniteitsdoelstellingen. Tegelijk legt de toekenning een structurele spanning bloot. De SEAL-2-score van het consortium, tegenover de SEAL-3-score van toewijzingen aan Franse en Duitse aanbieders, weerspiegelt de mate waarin Belgische cloudcapaciteit afhankelijk blijft van onderliggende technologie van buiten de EU. De architectuur van het Proximus-consortium (opgebouwd rond Google Cloud-infrastructuur die wordt beheerd door EU-entiteiten) is commercieel werkbaar, maar geeft ook aan dat België nog geen eigen soevereine cloudstack heeft ontwikkeld of ervoor heeft gekozen die structureel te verankeren.

Tot slot biedt het kader voor Belgische organisaties in gereguleerde sectoren zoals financiële dienstverlening, gezondheidszorg en openbaar bestuur, een nuttig referentiepunt door zijn uitwerking van juridische en jurisdictionele soevereiniteit (SOV-2). Vragen over blootstelling aan de Amerikaanse CLOUD Act, de afdwingbaarheid van AVG-rechten en de locatie van gegevensverwerking zijn niet nieuw. Maar het SEAL-kader geeft deze kwesties een gestructureerde woordenschat die kan worden gebruikt in aanbestedings- en compliancecontexten.

De AI Act en DORA hebben de verwachtingen rond datagovernance in deze sectoren al aangescherpt. Het Sovereign Cloud Framework voegt daar een bijkomende laag van verantwoordingsplicht aan toe, die aanbestedingsverantwoordelijken en juridische teams in België zullen moeten meenemen in hun due-diligenceprocessen.

Frederic Heymans