Een eigen meetlat
Toch houdt één ding mij bezig. De handreiking introduceert een eigen systeem voor soevereiniteit: eigen dimensies, eigen niveaus van S1 tot en met S4, eigen definities van wat een Europese cloud is. Zo'n systeem moet ergens vandaan komen, dus dat is begrijpelijk. Maar het wiel is al uitgevonden.
Het EU Cloud Sovereignty Framework van de Europese Commissie onderscheidt acht thema's, van strategische tot ecologische soevereiniteit, met per thema een niveau van nul tot vier. Zo'n niveau heet een SEAL, een Sovereignty Effectiveness Assurance Level. Het framework is open en algemeen toepasbaar, en het is ontworpen voor inkoop: de aanbestedende dienst stelt een minimumniveau vast en vergelijkt vervolgens de inschrijvingen die dat halen.
Waarom een eigen gemeentelijke meetlat naast een Europees kader dat er al ligt? Zeker voor een handreiking die IaaS, PaaS én SaaS samen moet bedienen, is aansluiten bij een bestaand framework de logische route. Daarom is ons hoofdpleidooi: breng de eisen onder bij de acht thema's van het Europese framework. Veel maatregelen zijn al compatibel. Het is herschikken, niet herzien.
Wat 'Europees' betekent
De grootste winst zit in een vraag die de handreiking nu openlaat: wat is een Europese leverancier? De handreiking stuurt aan op Europese oplossingen, maar definieert 'Europees' niet. Is een leverancier met een Europese meerderheid van aandeelhouders Europees? Bij vijftig procent plus één aandeel?
Het Cloud Sovereignty Framework biedt hier een antwoord. Het beoordeelt een dienst op acht thema's. Ons voorstel: Europees is een dienst die minimaal SEAL-2 haalt. Op dat niveau is het recht van de Unie van toepassing én afdwingbaar. Wezenlijke niet-Europese afhankelijkheden mogen dan nog bestaan, maar ze zijn benoemd en gescoord in plaats van onzichtbaar. Voor de hogere soevereiniteitsniveaus geldt SEAL-3, met een groeipad richting SEAL-4.
Daarbij is het framework geen papieren werkelijkheid. De Commissie gunde in april 2026 een soevereine-cloudopdracht van maximaal 180 miljoen euro over zes jaar aan vier aanbieders, met SEAL-2 als drempel. Drie van hen kwamen uit op SEAL-3, één op SEAL-2.
En ook in Nederland maken we meters. Het IMG CIO-beraad vroeg in mei alle leveranciers uit op basis van het Cloud Sovereignty Framework. En Centric heeft die uitvraag voor haar volledige SaaS-portfolio voor de decentrale overheid beantwoord (de volledige onderbouwing met scores volgen binnenkort!). Breng de uitkomsten samen met deze handreiking, en er ontstaat wat er nu ontbreekt: één meetlat voor gemeenten én leveranciers, gelijk aan wat het IMG CIO-beraad en de Europese Commissie al hanteren. De eigen niveaus van de handreiking hoeven dan geen eigen definities meer te bevatten. Ze stellen alleen vast welk minimumniveau per domein geldt.
Waar het scherper kan
Nog een paar punten uit onze reactie, voor een kort overzicht.
De handreiking legt het eigendom van data contractueel bij de gemeente. Een begrijpelijke reflex, maar eigendom op data bestaat niet. Niet in het Nederlandse recht, niet in het Europese. Van wie is jouw data? Dat is de verkeerde vraag, schreef ik eerder. Wat een gemeente nodig heeft is zeggenschap: toegang, een kopie op eerste verzoek, een leesbaar formaat, en vernietiging met bewijs. De GIBIT 2025 regelt dat overigens al. Schrijf het op zoals het werkt.
De handreiking telt verder negenenvijftig maatregelen. Een flink deel staat al in de GIBIT 2025 of is inmiddels gewoon wettelijk recht. Hoofdstuk VI van de Data Act verplicht aanbieders van clouddiensten sinds 12 september vorig jaar om overstapdrempels weg te nemen en minimaal dertig dagen migratieondersteuning te bieden. Een eigen formulering die net iets anders luidt dan de wet levert discussie op zonder extra bescherming. Verwijs in plaats van herformuleren. Ons voorstel: breng het aantal maatregelen terug naar vijfendertig maatregelen, terwijl alle risico’s gedekt blijven. Dat voorstel komt van een partij die die maatregelen zelf moet naleven. Toets het dus op de dekking, niet op het aantal.
Dan de vraag die in vrijwel elk beleidsstuk ontbreekt: wat kost het? Dubbele omgevingen, parallelle stacks en gescheiden dataopslag raken niet alleen de investering, maar ook de efficiency van de uitvoering. In veel gesprekken over digitale soevereiniteit ontbreekt het inzicht in de kosten. Zo ook in deze handreiking. Want als je de GIBIT-norm voor beschikbaarheid (98%) onvoldoende vind, moet je wel rekening houden met kosten die een hogere beschikbaarheid met zich meebrengt. Wij vragen VNG om een kostenraming per risicoklasse, zodat een gemeente weet welk budget bij welke eis hoort. Een eis zonder budget is een wens.
Tot slot een detail dat de actualiteit illustreert. De risicoclassificatie bouwt nog op de beveiligingsniveaus uit de BIO1, maar sinds de Cyberbeveiligingswet op 15 augustus in werking trad, is de BIO2 het referentiekader. Wie nu vaststelt op een vervallen systematiek, publiceert bij voorbaat verouderd beleid.
Nu de meetlat nog
Wat nu? VNG verwerkt de binnengekomen reacties. Daar horen ook vragen bij waar ik in dit blog niet bij stil kan staan, zoals de status van het document, de verhouding tot de GIBIT en het overgangsrecht voor lopende contracten.
De kern is simpel. 342 gemeenten die dezelfde eisen aan clouddiensten stellen, kunnen de ICT van de overheid daadwerkelijk sturen. Mits ze dezelfde taal spreken. Die taal bestaat al. In Brussel ligt de meetlat en in Nederland liggen de implementaties. Eén meetlat, en elke leverancier weet waar hij aan toe is. Inclusief Centric. Deze maand publiceren we de onderbouwing van onze soevereiniteitsscores per dienst, langs de meetlat van het framework. Dan kan iedereen toetsen of we waarmaken wat we claimen. Ik ben benieuwd welke meetlat VNG kiest.
Lees onze volledige reactie op de marktconsultatie.
