Op 3 juli 2026 heeft het kabinet, bij monde van staatssecretaris Aerdts (Digitale Economie en Soevereiniteit), een aanscherping van het Rijkscloudbeleid aangekondigd. Een maand eerder, op 3 juni 2026, publiceerde de Europese Commissie haar voorstel voor de Cloud and AI Development Act (CADA). Dit maakt onderdeel uit van een breder beleidspakket, dat inmiddels bekendstaat als het Tech Sovereignty Package.
Zowel het CADA-ontwerp als het aangescherpte Rijkscloudbeleid gaan in op de zorgen over de afhankelijkheid van niet-EU-cloudaanbieders en de bijbehorende geopolitieke en juridische risico’s. Toch zijn er duidelijke verschillen. Zodra het CADA-voorstel wordt aangenomen, zal het Rijkscloudbeleid hier mogelijk op worden aangepast. Voor nu loopt Nederland met de aanscherping van het Rijkscloudbeleid vooruit op de Europese regelgeving en is het beleid op onderdelen strenger. Helaas geldt dit vooralsnog slechts binnen een beperkte scope.
Nederland loopt vooruit op de EU
CADA is nog niet aangenomen; het voorstel moet de triloog nog doorlopen en zal op zijn vroegst over één à twee jaar in werking treden. Het Rijkscloudbeleid geldt echter al per direct, zij het met een overgangstermijn van vier jaar. Dit is vergelijkbaar met het patroon dat al zichtbaar was bij de blokkade van de Kyndryl-overname van Solvinity: Nederland grijpt eigenstandig in, vooruitlopend op of los van sluitende Europese regelgeving.
Verschil in detaillering
CADA werkt met een generiek, gelaagd systeem van vier assurance-niveaus die per sector en op basis van een risicobeoordeling worden toegekend. Het Rijkscloudbeleid geldt uitsluitend voor Rijksorganisaties. Daarbij worden twee domeinen zeer specifiek benoemd: e-mail en documentbeheer enerzijds en basisregistraties anderzijds. Voor deze domeinen geldt een duidelijke ontrading van het gebruik van de publieke cloud.
Wat als CADA is vastgesteld?
Zodra CADA in definitieve vorm wordt vastgesteld, ontstaat de vraag of het Rijkscloudbeleid moet worden aangepast aan de CADA-niveaus, of dat Nederland het huidige, op onderdelen strengere beleid handhaaft dat de Europese minimumeisen overtreft. Dit zou vergelijkbaar zijn met de wijze waarop de Franse SecNumCloud-regeling naast CADA blijft bestaan. Gezien de toonzetting van het Rijkscloudbeleid, met nadruk op nationaal belang, eigen exitplannen en categorische uitsluitingen, ligt een eigen, strenger nationaal spoor voor de hand.
Vergelijking / verschillen in overzicht
