The European Commission has two answers to "is this cloud sovereign?". A framework it used to buy its own cloud, with five SEAL levels, and a proposed law, the Cloud and AI Development Act, with four Union assurance levels that public buyers would have to respect. What each is, how the levels work, who would have to comply, and three worked examples. De Europese Commissie heeft twee antwoorden op "is deze cloud soeverein?". Een kader waarmee zij haar eigen cloud inkocht, met vijf SEAL-niveaus, en een wetsvoorstel, de Cloud and AI Development Act, met vier zekerheidsniveaus waaraan publieke inkopers zich zouden moeten houden. Wat elk is, hoe de niveaus werken, wie eraan zou moeten voldoen, en drie uitgewerkte voorbeelden.
In October 2025 the European Commission published a Cloud Sovereignty Framework to buy cloud for its own institutions. It is a procurement tool: eight sovereignty objectives, a SEAL level from 0 to 4 on each, the lowest sets the overall level, and a weighted score ranks the offers that clear the minimum. It was used once so far, in the tender awarded in April 2026 (EUR 180 million, four providers), with SEAL-2 as the minimum. On 3 June 2026 the Commission proposed the Cloud and AI Development Act (CADA). Among much else, from data-centre permits to AI capacity, it would turn the idea into law: four Union assurance levels with fixed criteria, recognised by a national authority, listed in an EU repository, and binding on every public buyer in the EU. The framework asks "how sovereign is this service?". The proposal asks "may a public body buy it?". The first is guidance you can use today. The second is now with the European Parliament and the Council, and would apply one year after it enters into force.
Business impact: if you sell to governments, or run a service that governments depend on, the proposal would make your level a condition of market access. If you buy cloud, the framework gives you a free, Commission-made questionnaire today. Neither tells you which level you need. That is your call, per activity.
In oktober 2025 publiceerde de Europese Commissie een Cloud Sovereignty Framework om cloud in te kopen voor haar eigen instellingen. Het is een inkoopinstrument: acht soevereiniteitsdoelen, op elk een SEAL-niveau van 0 tot 4, het laagste bepaalt het totaal, en een gewogen score rangschikt de aanbiedingen die het minimum halen. Het is tot nu toe één keer gebruikt, in de aanbesteding die in april 2026 werd gegund (180 miljoen euro, vier aanbieders), met SEAL-2 als minimum. Op 3 juni 2026 stelde de Commissie de Cloud and AI Development Act (CADA) voor. Naast veel anders, van datacentervergunningen tot AI-capaciteit, zou die het idee tot wet maken: vier zekerheidsniveaus met vaste criteria, erkend door een nationale autoriteit, opgenomen in een EU-register, en bindend voor elke publieke inkoper in de EU. Het kader vraagt "hoe soeverein is deze dienst?". Het voorstel vraagt "mag een publiek orgaan hem kopen?". Het eerste is een leidraad die u vandaag kunt gebruiken. Het tweede ligt nu bij het Europees Parlement en de Raad, en zou een jaar na inwerkingtreding gaan gelden.
Bedrijfsimpact: verkoopt u aan overheden, of draait u een dienst waarvan overheden afhankelijk zijn, dan zou het voorstel uw niveau tot een voorwaarde voor markttoegang maken. Koopt u cloud in, dan geeft het kader u vandaag een gratis vragenlijst van de Commissie zelf. Geen van beide zegt welk niveau u nodig heeft. Dat is uw keuze, per activiteit.
The framework scores AI under its data objective; the proposal bans training non-EU AI on your data from level 2. An AI feature on a sovereign stack is where both are most often lost.Het kader scoort AI onder het datadoel; het voorstel verbiedt vanaf niveau 2 het trainen van niet-EU-AI op uw data. Een AI-functie op een soevereine omgeving is waar beide het vaakst sneuvelen.
Staff paste case files into a public chatbot. Whatever level your cloud has, or would be recognised at, that data is at level zero on both ladders.Medewerkers plakken dossiers in een publieke chatbot. Welk niveau uw cloud ook heeft, of zou krijgen, die data staat op beide ladders op nul.
The framework's questionnaire has 43 questions per supplier. AI-assisted review of contracts and public documentation gives a first SEAL per objective in hours.De vragenlijst van het kader telt 43 vragen per leverancier. Met AI-ondersteunde analyse van contracten en publieke documentatie heeft u in uren een eerste SEAL per doel.
Under the framework, a provider is scored per objective on its answers, its evidence and its public documentation. The overall SEAL is the lowest of the eight, and the Commission's own guidance says SEAL-4 is out of reach today, because chips and hardware come from outside the EU. The proposal replaces scoring with four cumulative sets of criteria. Level 1: established in the EU, infrastructure in the EU, customer data including metadata and telemetry stays in the EU, support may be outsourced outside the EU under controls. The provider checks itself and publishes an EU statement of conformity. Level 2: staff in the EU, support only from the EU, a European cybersecurity certificate of at least "substantial" once that scheme exists, your data never trains non-EU AI, a software bill of materials. A non-EU parent is allowed, if it is legally and technically unable to read your data, halt the service or impose its own sanctions. Level 3: no non-EU control at all, unless the Commission lists that country as safe; EU-citizen staff, cleared where needed. Level 4: certificate "high", no exception for listed countries, and no non-EU hold on the software components either. Levels 2 to 4 need an independent audit at the provider's expense. The national authority where the provider is established decides, the other Member States get 60 days to object, and the service is then recognised EU-wide and listed in a central repository.
Business impact: a "sovereign" claim becomes checkable: which level, recognised by whom, listed where. Until the proposal is law, the framework's eight objectives are the question list, and the proposal's criteria tell you which answers will matter.
Onder het kader wordt een aanbieder per doel gescoord op zijn antwoorden, zijn bewijs en zijn publieke documentatie. Het totale SEAL-niveau is het laagste van de acht, en de leidraad van de Commissie zelf zegt dat SEAL-4 vandaag onhaalbaar is, omdat chips en hardware van buiten de EU komen. Het voorstel vervangt scoren door vier cumulatieve sets criteria. Niveau 1: gevestigd in de EU, infrastructuur in de EU, klantdata inclusief metadata en telemetrie blijft in de EU, support mag onder voorwaarden buiten de EU worden uitbesteed. De aanbieder controleert zichzelf en publiceert een EU-conformiteitsverklaring. Niveau 2: personeel in de EU, support alleen uit de EU, een Europees cyberbeveiligingscertificaat van ten minste "substantieel" zodra dat stelsel bestaat, uw data traint nooit niet-EU-AI, een softwarestuklijst. Een niet-EU-moeder is toegestaan, mits zij juridisch en technisch niet in staat is uw data te lezen, de dienst stil te leggen of haar eigen sancties op te leggen. Niveau 3: helemaal geen niet-EU-zeggenschap, tenzij de Commissie dat land als veilig aanwijst; personeel met EU-burgerschap, gescreend waar nodig. Niveau 4: certificaat "hoog", geen uitzondering voor aangewezen landen, en ook geen niet-EU-greep op de softwarecomponenten. Niveau 2 tot 4 vragen een onafhankelijke audit op kosten van de aanbieder. De nationale autoriteit van het land van vestiging beslist, de andere lidstaten krijgen 60 dagen om bezwaar te maken, en de dienst wordt daarna EU-breed erkend en opgenomen in een centraal register.
Bedrijfsimpact: een "soevereine" claim wordt controleerbaar: welk niveau, erkend door wie, waar opgenomen. Tot het voorstel wet is, zijn de acht doelen van het kader uw vragenlijst, en zeggen de criteria van het voorstel welke antwoorden straks tellen.
From level 2 the proposal forbids using service data, telemetry included, to train non-EU AI. Few SaaS contracts say that today. Ask every vendor the same question.Vanaf niveau 2 verbiedt het voorstel het gebruik van dienstdata, telemetrie incluis, om niet-EU-AI te trainen. Weinig SaaS-contracten zeggen dat vandaag. Stel elke leverancier dezelfde vraag.
AI writes a convincing evidence pack in an afternoon. The proposal's evidence list asks for payroll records, access logs and the ownership chain to the ultimate owners. Ask for those.AI schrijft in een middag een overtuigend bewijsdossier. De bewijslijst van het voorstel vraagt om loonadministratie, toegangslogs en de eigendomsketen tot de uiteindelijke eigenaren. Vraag daarnaar.
The same evidence list, software inventory, data-flow diagram and subcontractor register, is a usable due-diligence template. AI assembles a first draft from your own records.Dezelfde bewijslijst, software-inventaris, datastroomdiagram en onderaannemersregister, is een bruikbaar sjabloon voor due diligence. AI maakt een eerste versie uit uw eigen administratie.
Public bodies. Within a year of the Act entering into force, and every two years after, each Member State and each EU institution would assess which of its activities count as "public order": activities in the NIS2 sectors and in national security, borders, defence, justice and law enforcement, and at which level, 2, 3 or 4. Those activities would only buy services recognised at that level. Everything else would buy level 1 as a minimum. Exceptions exist: no recognised service available, no suitable tender last year, disproportionate cost. If the assessment forces a move, the deadline would be 12 months. Private sector. Not bound. Entities in NIS2's high-criticality sectors, such as energy, transport, banking, health, water and digital infrastructure, may run the same assessment, the Commission may later require it for those sectors, and the proposal openly expects regulated industries to mirror public buyers. Providers. Recognition is voluntary, but without it there would be no public contract, false statements would carry penalties, and material changes would have to be reported. In the Netherlands the NIS2 sectors are set by the Cbw, in force since 15 August 2026.
Business impact: three questions for the board. Do we sell to public bodies? Then recognition would become a sales condition. Are we a NIS2 high-criticality entity? Then the voluntary assessment is the next-likely duty. Do we depend on a provider that would not reach level 2? Then the public sector may leave it, and prices and roadmaps tend to follow the public sector.
Publieke organen. Binnen een jaar na inwerkingtreding, en daarna elke twee jaar, zou elke lidstaat en elke EU-instelling beoordelen welke van haar activiteiten als "openbare orde" gelden: activiteiten in de NIS2-sectoren en in nationale veiligheid, grenzen, defensie, justitie en opsporing, en op welk niveau, 2, 3 of 4. Die activiteiten zouden alleen diensten kopen die op dat niveau zijn erkend. Al het andere zou minimaal niveau 1 kopen. Er zijn uitzonderingen: geen erkende dienst beschikbaar, vorig jaar geen geschikte inschrijving, onevenredige kosten. Dwingt de beoordeling tot een overstap, dan zou de termijn 12 maanden zijn. Private sector. Niet gebonden. Entiteiten in de zeer kritieke NIS2-sectoren, zoals energie, vervoer, bankwezen, zorg, water en digitale infrastructuur, mogen dezelfde beoordeling doen, de Commissie kan die voor die sectoren later verplichten, en het voorstel verwacht openlijk dat gereguleerde sectoren de publieke inkopers volgen. Aanbieders. Erkenning is vrijwillig, maar zonder erkenning zou er geen overheidscontract zijn, valse verklaringen zouden worden beboet, en wezenlijke wijzigingen zouden gemeld moeten worden. In Nederland bepaalt de Cbw, van kracht sinds 15 augustus 2026, welke sectoren dat zijn.
Bedrijfsimpact: drie vragen voor de directie. Verkopen wij aan publieke organen? Dan zou erkenning een verkoopvoorwaarde worden. Zijn wij een zeer kritieke NIS2-entiteit? Dan is de vrijwillige beoordeling de meest waarschijnlijke volgende plicht. Hangen wij af van een aanbieder die niveau 2 niet zou halen? Dan kan de overheid daar weggaan, en prijzen en roadmaps volgen doorgaans de overheid.
A public-order activity at level 3 with an AI assistant from a non-EU provider has a level-1 flow in it. The level is per activity, so the assistant drags the activity down.Een openbare-orde-activiteit op niveau 3 met een AI-assistent van een niet-EU-aanbieder heeft een stroom op niveau 1 in zich. Het niveau geldt per activiteit, dus de assistent trekt de activiteit omlaag.
The proposal only reaches what procurement sees. AI tools adopted by teams outside procurement are the activities nobody assessed.Het voorstel reikt alleen tot wat inkoop ziet. AI-tools die teams buiten inkoop om gebruiken, zijn de activiteiten die niemand heeft beoordeeld.
The proposal's three criteria, data sensitivity, harm of foreign access, harm of disruption, fit an AI-assisted inventory. A first map of activities and levels takes days, not months.De drie criteria van het voorstel, gevoeligheid van data, schade van buitenlandse toegang, schade van uitval, passen in een AI-ondersteunde inventarisatie. Een eerste kaart van activiteiten en niveaus kost dagen, geen maanden.
A municipality runs HR, finance and a citizen portal. None of that is a public-order activity, so under the proposal level 1 would do: an EU-established provider, hosted in the EU, data including telemetry in the EU. The EU subsidiary of a global provider could qualify. On the framework's ladder that is SEAL-1 or SEAL-2, so the question to ask today is about the parent company and who holds the keys. A hospital is in a NIS2 high-criticality sector. If the national assessment marks patient care as public order, level 2 would be the floor: staff in the EU, support only from the EU, an independent audit, and a non-EU parent only if ring-fenced. Today, the hospital can ask for SEAL-2 as the Commission did, knowing that a non-EU parent caps most offers there in practice. A court handles case files and, at times, classified information. Level 3 would apply: no non-EU control, EU-citizen staff cleared where needed. That is SEAL-3 on the framework, which few offers reach; defence would sit at level 4, and SEAL-4 nobody reaches today. If any of the three sits on the wrong service when the assessment lands, the clock would be 12 months.
Business impact: the level is per activity, not per organisation. One body can rightly have level 1 for HR and level 3 for case files. Pricing that difference now beats being surprised by the assessment, and it is the same exercise a private company does when it decides which data a foreign order must never reach.
Een gemeente draait HR, financiën en een burgerportaal. Niets daarvan is een openbare-orde-activiteit, dus onder het voorstel zou niveau 1 volstaan: een in de EU gevestigde aanbieder, gehost in de EU, data inclusief telemetrie in de EU. De EU-dochter van een wereldwijde aanbieder zou daarvoor in aanmerking kunnen komen. Op de ladder van het kader is dat SEAL-1 of SEAL-2, dus de vraag van vandaag gaat over de moedermaatschappij en wie de sleutels heeft. Een ziekenhuis zit in een zeer kritieke NIS2-sector. Merkt de nationale beoordeling patiëntenzorg aan als openbare orde, dan zou niveau 2 de ondergrens zijn: personeel in de EU, support alleen uit de EU, een onafhankelijke audit, en een niet-EU-moeder alleen als die is afgeschermd. Vandaag kan het ziekenhuis SEAL-2 vragen, zoals de Commissie deed, wetend dat een niet-EU-moeder de meeste aanbiedingen daar in de praktijk op vastzet. Een rechtbank verwerkt dossiers en soms gerubriceerde informatie. Niveau 3 zou gelden: geen niet-EU-zeggenschap, personeel met EU-burgerschap, gescreend waar nodig. Dat is SEAL-3 op het kader, dat weinig aanbiedingen halen; defensie zou op niveau 4 zitten, en SEAL-4 haalt vandaag niemand. Zit een van de drie op de verkeerde dienst als de beoordeling landt, dan zou de klok op 12 maanden staan.
Bedrijfsimpact: het niveau geldt per activiteit, niet per organisatie. Eén orgaan kan terecht niveau 1 hebben voor HR en niveau 3 voor dossiers. Dat verschil nu al beprijzen is beter dan verrast worden door de beoordeling, en het is dezelfde oefening die een privaat bedrijf doet als het bepaalt welke data een buitenlands bevel nooit mag bereiken.
The court's case-file system can be at level 3 while its AI summariser runs with a non-EU provider. The summariser then sets the level of the case files.Het dossiersysteem van de rechtbank kan op niveau 3 staan terwijl de AI-samenvatter bij een niet-EU-aanbieder draait. Dan bepaalt de samenvatter het niveau van de dossiers.
A hospital department buys an AI transcription tool on a credit card. It is now the lowest level in a public-order activity, and nobody assessed it.Een ziekenhuisafdeling koopt met een creditcard een AI-transcriptietool. Die is nu het laagste niveau in een openbare-orde-activiteit, en niemand heeft hem beoordeeld.
AI-assisted migration of code, configuration and data formats makes a forced move within a year realistic rather than theoretical. Test it before you need it.AI-ondersteunde migratie van code, configuratie en dataformaten maakt een gedwongen overstap binnen een jaar realistisch in plaats van theoretisch. Test het voordat u het nodig heeft.
We suggest reading the ladders from the middle. Find the activity that looks most like yours, then read left for the question to ask a supplier today and right for the level the proposal would attach to it. The scales are not formally mapped onto each other: SEAL scores how sovereign a service is, the proposal's levels say what a public buyer would be allowed to buy. Most organisations will find themselves on the two middle rows.
Wij raden aan de ladders vanuit het midden te lezen. Zoek de activiteit die het meest op de uwe lijkt, lees dan links welke vraag u een leverancier vandaag stelt en rechts welk niveau het voorstel eraan zou koppelen. De schalen zijn niet formeel op elkaar gelegd: SEAL meet hoe soeverein een dienst is, de niveaus van het voorstel zeggen wat een publieke inkoper zou mogen kopen. De meeste organisaties komen op de twee middelste rijen uit.
| Control | Addresses | In one line |
|---|---|---|
| Activity map with a level | Who (03) · Examples (04) | List your systems by activity, mark those in NIS2 sectors or in security, justice and defence, and attach a level using the proposal's three tests: data sensitivity, harm of foreign access, harm of disruption. |
| Both scores per supplier | What (01) · Levels (02) | Ask for a SEAL per objective today, and whether and at which level the provider intends to seek recognition once the Act applies. |
| Level-2 clauses in the contract | Levels (02) · Who (03) | Data including metadata and telemetry in the EU, support only from the EU, no training of non-EU AI on your data, a subcontractor register, notice of a change of control, exit assistance. Cheaper now than at renewal under pressure. |
| Evidence file | Levels (02) | Use the proposal's evidence list as your due-diligence template: ownership chain to the ultimate owners, data-flow diagram including backups and logs, SBOM, support access paths. |
| Keys you hold | Levels (02) | Customer-held keys score under the framework's data objective and make a foreign order yield ciphertext. Expect SaaS search and AI features to need the plain text. |
| Tested exit | Examples (04) | Twelve months is the proposal's clock. Once a year per critical service: export everything, open it elsewhere, record how long it took. The Data Act's switching rules back you up. |
| Watch the file | What (01) | The proposal is with Parliament and Council; levels, criteria and dates can still change, and once law the criteria would be reviewed every 18 months. One owner, one check per quarter. |
| Maatregel | Pakt aan | In één zin |
|---|---|---|
| Activiteitenkaart met niveau | Wie (03) · Voorbeelden (04) | Zet uw systemen op een rij per activiteit, markeer die in NIS2-sectoren of in veiligheid, justitie en defensie, en hang er een niveau aan met de drie toetsen van het voorstel: gevoeligheid van data, schade van buitenlandse toegang, schade van uitval. |
| Beide scores per leverancier | Wat (01) · Niveaus (02) | Vraag vandaag een SEAL per doel, en of en op welk niveau de aanbieder erkenning wil aanvragen zodra de wet geldt. |
| Niveau-2-bepalingen in het contract | Niveaus (02) · Wie (03) | Data inclusief metadata en telemetrie in de EU, support alleen uit de EU, geen training van niet-EU-AI op uw data, een onderaannemersregister, melding bij wijziging van zeggenschap, exithulp. Goedkoper nu dan bij verlenging onder druk. |
| Bewijsdossier | Niveaus (02) | Gebruik de bewijslijst van het voorstel als uw sjabloon voor due diligence: eigendomsketen tot de uiteindelijke eigenaren, datastroomdiagram inclusief back-ups en logs, SBOM, toegangspaden voor support. |
| Sleutels in eigen hand | Niveaus (02) | Eigen sleutels scoren onder het datadoel van het kader en laten een buitenlands bevel versleutelde tekst opleveren. Reken erop dat SaaS-zoeken en AI-functies leesbare tekst nodig hebben. |
| Geteste exit | Voorbeelden (04) | Twaalf maanden is de klok van het voorstel. Eén keer per jaar per kritieke dienst: exporteer alles, open het elders, noteer hoelang het duurde. De overstapregels van de Dataverordening steunen u daarbij. |
| Volg het dossier | Wat (01) | Het voorstel ligt bij Parlement en Raad; niveaus, criteria en data kunnen nog veranderen, en eenmaal wet zouden de criteria elke 18 maanden worden herzien. Eén eigenaar, één controle per kwartaal. |
The proposal can change in Parliament and Council. The direction has not: the Commission already buys by sovereignty level, and public buyers set the market.Het voorstel kan in Parlement en Raad veranderen. De richting niet: de Commissie koopt al op soevereiniteitsniveau, en publieke inkopers bepalen de markt.
Losing eligibility for public contracts, or a forced migration of a critical activity on a 12-month clock.Verlies van toegang tot overheidsopdrachten, of een gedwongen migratie van een kritieke activiteit met een klok van 12 maanden.
With activities mapped and contracts aligned, what remains is the final text of the law and the market's ability to supply level 3 at all.Met in kaart gebrachte activiteiten en aangepaste contracten blijft over: de definitieve wettekst en of de markt niveau 3 überhaupt kan leveren.
The CIO owns sourcing and the activity map. Legal owns the ownership and control questions. For providers, the bid team owns recognition.De CIO is eigenaar van inkoop en de activiteitenkaart. Legal is eigenaar van de vragen over eigendom en zeggenschap. Bij aanbieders is het bidteam eigenaar van de erkenning.
% of critical suppliers with a scored SEAL or a stated target level · % of activities mapped to a level · % of critical contracts with the level-2 clauses · critical services with an exit tested in the last 12 months.% kritieke leveranciers met een gescoord SEAL-niveau of een uitgesproken doelniveau · % activiteiten met een toegekend niveau · % kritieke contracten met de niveau-2-bepalingen · kritieke diensten met een in de laatste 12 maanden geteste exit.
“Eligibility for public-sector business and the continuity of critical activities depend on the sovereignty level of our cloud providers, so a new EU requirement, a failed recognition or a forced migration can cost contracts or halt services.”“Toegang tot overheidsopdrachten en de continuïteit van kritieke activiteiten hangen af van het soevereiniteitsniveau van onze cloudaanbieders, waardoor een nieuwe EU-eis, een mislukte erkenning of een gedwongen migratie contracten kan kosten of diensten kan stilleggen.”
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| GDPR | Every transfer of personal data outside the EU needs a legal basis (Chapter V), and a foreign order to disclose is only enforceable if it rests on an international agreement (Art. 48). The proposal's levels add "data stays in the EU" on top; GDPR applies either way. | Ask for the transfer mechanism and the sub-processor list with countries. A processing agreement is required (Art. 28). | A disclosure to a foreign authority without an EU legal basis can count as a personal data breach. Notify the Autoriteit Persoonsgegevens within 72 hours (Art. 33); inform the people affected when the risk is high (Art. 34). |
| NIS2 | NIS2 requires supply chain security, including the relationship with each direct supplier (Art. 21(2)(d)). The proposal borrows NIS2's sector lists to define public-order activities and opens the voluntary assessment to high-criticality entities. In the Netherlands this runs through the Cyberbeveiligingswet, in force since 15 August 2026. | Ask which laws can compel the provider and its parent, where support runs, and which level it targets. The framework's eight objectives make a usable questionnaire. | A provider switch-off or disclosure that disrupts your service can count as a significant incident if it meets the thresholds. Early warning within 24 hours of becoming aware, incident notification within 72 hours, final report within one month. |
| DORA | DORA requires a register of all ICT third-party arrangements (Art. 28(3)), contract clauses naming the countries where data is processed and stored (Art. 30(2)(b)), and exit strategies for critical functions (Art. 28(8)). Banking is a NIS2 high-criticality sector, so the proposal's voluntary assessment would be open to financial entities. | Check the countries and subcontractors in the contract against the report, and ask how exit assistance has been tested. | Classify promptly. Initial notification within 4 hours of classifying it as major (at most 24 hours after becoming aware), intermediate report within 72 hours of the initial notification, final report within one month. |
| SOC 2 | Criterion CC9.2 covers managing risks from vendors and business partners. A SOC 2 report describes where controls operate, not who controls the company; the proposal's audit would trace ownership to the ultimate owners. | Check which subservice organisations are carved out, the data centre countries, and whether remote support access is in scope. | A disclosure or outage at the provider will likely appear as an exception in the next report, if it is in scope at all. |
| ISAE 3402 | The focus is financial reporting. Jurisdiction, ownership and sovereignty level are outside its scope unless they affect the financial process. | The report rarely names the parent's law or the support locations. Ask for it in the contract instead. | ISAE 3402 creates no duty to notify user auditors. Expect a deviation in the next report, and ask for interim disclosure in the contract. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| AVG | Elke doorgifte van persoonsgegevens buiten de EU heeft een rechtsgrond nodig (hoofdstuk V), en een buitenlands bevel tot afgifte is alleen afdwingbaar als het steunt op een internationaal verdrag (art. 48). De niveaus van het voorstel leggen daar "data blijft in de EU" bovenop; de AVG geldt hoe dan ook. | Vraag naar het doorgiftemechanisme en de lijst van subverwerkers met landen. Een verwerkersovereenkomst is verplicht (art. 28). | Afgifte aan een buitenlandse autoriteit zonder Europese rechtsgrond kan als datalek gelden. Meld het binnen 72 uur bij de Autoriteit Persoonsgegevens (art. 33); informeer de betrokkenen als het risico hoog is (art. 34). |
| NIS2 | NIS2 vraagt beveiliging van de toeleveringsketen, inclusief de relatie met elke directe leverancier (art. 21 lid 2 onder d). Het voorstel leent de sectorlijsten van NIS2 om openbare-orde-activiteiten af te bakenen en stelt de vrijwillige beoordeling open voor zeer kritieke entiteiten. In Nederland loopt dit via de Cyberbeveiligingswet, van kracht sinds 15 augustus 2026. | Vraag welk recht de aanbieder en zijn moeder kan dwingen, waar support draait, en op welk niveau hij mikt. De acht doelen van het kader vormen een bruikbare vragenlijst. | Een uitschakeling of afgifte bij een aanbieder die uw dienstverlening verstoort, kan als significant incident gelden als het de drempels haalt. Vroegtijdige waarschuwing binnen 24 uur na ontdekking, incidentmelding binnen 72 uur, eindverslag binnen een maand. |
| DORA | DORA vraagt een register van alle ICT-overeenkomsten met derden (art. 28 lid 3), contractbepalingen die de landen noemen waar data wordt verwerkt en opgeslagen (art. 30 lid 2 onder b), en exitstrategieën voor kritieke functies (art. 28 lid 8). Bankwezen is een zeer kritieke NIS2-sector, dus de vrijwillige beoordeling van het voorstel zou openstaan voor financiële instellingen. | Leg de landen en onderaannemers in het contract naast het rapport, en vraag hoe de exithulp is getest. | Classificeer snel. Eerste melding binnen 4 uur na classificatie als ernstig (uiterlijk 24 uur na ontdekking), tussenrapport binnen 72 uur na de eerste melding, eindrapport binnen een maand. |
| SOC 2 | Criterium CC9.2 gaat over het beheersen van risico's van leveranciers en zakenpartners. Een SOC 2-rapport beschrijft waar maatregelen werken, niet wie het bedrijf bestuurt; de audit van het voorstel zou het eigendom tot de uiteindelijke eigenaren herleiden. | Controleer welke onderliggende dienstverleners buiten het rapport zijn gelaten, de landen van de datacenters, en of supporttoegang op afstand binnen scope valt. | Een afgifte of storing bij de aanbieder komt waarschijnlijk als afwijking in het volgende rapport, als die al binnen scope valt. |
| ISAE 3402 | De focus ligt op de financiële verslaggeving. Rechtsmacht, eigendom en soevereiniteitsniveau vallen buiten de scope, tenzij ze het financiële proces raken. | Het rapport noemt zelden het recht van de moeder of de supportlocaties. Vraag daar in het contract naar. | ISAE 3402 schept geen meldplicht aan de auditors van gebruikers. Verwacht een afwijking in het volgende rapport en vraag in het contract om tussentijdse melding. |
Checked against: European Commission Cloud Sovereignty Framework v1.2.1 (Oct 2025), implementation guidance (2026) and "Sovereign Cloud Framework explained" (1 Jun 2026), Cloud and AI Development Act proposal COM(2026) 502 with Annexes II–III (3 Jun 2026), European Parliament procedure file 2026/0138(COD) (referral 17 Sep 2026), GDPR Art. 28, 33–34, 45, 48, NIS2 Art. 21, 23 and Annexes I–II, DORA Art. 19, 28–30, Data Act Art. 23–32, NCSC-NL (Aug 2026), AICPA Trust Services Criteria CC9.2 (2017, points of focus 2022) · October 2026.
Gecontroleerd tegen: Europese Commissie Cloud Sovereignty Framework v1.2.1 (okt 2025), implementatieleidraad (2026) en "Sovereign Cloud Framework explained" (1 jun 2026), voorstel Cloud and AI Development Act COM(2026) 502 met bijlagen II–III (3 jun 2026), Europees Parlement proceduredossier 2026/0138(COD) (verwijzing 17 sep 2026), AVG art. 28, 33–34, 45, 48, NIS2 art. 21, 23 en bijlagen I–II, DORA art. 19, 28–30, Dataverordening art. 23–32, NCSC-NL (aug 2026), AICPA Trust Services Criteria CC9.2 (2017, aandachtspunten 2022) · oktober 2026.