Het FD berichtte afgelopen zondag over uitgelekte plannen van de Europese Commissie om de aanbestedingsrichtlijn uit 2014 te vernieuwen door een verordening.
Komt er een Europese verordening voor het aankoopbeleid?
Een verordening laat lidstaten geen ruimte voor een eigen invulling. Voor de Nederlandse cloudsector betekent dit dat Den Haag, als deze plannen doorgaan, niet langer zelf kan bepalen hoe streng of soepel soevereiniteitscriteria worden toegepast bij aanbestedingen.
De plannen bevatten bovendien een expliciete uitsluitingsgrond voor niet-Europese aanbieders. Wanneer veiligheid, strategische autonomie of de bescherming van kritieke infrastructuur en cyberbeveiliging in het geding zijn, kunnen aanbieders worden uitgesloten. Dat biedt kansen voor Nederlandse en andere Europese cloudbedrijven.
Brussel kiest hiermee mogelijk voor een zwaar instrument. Precies het soort instrument waar de Nederlandse cloudsector al langer om vraagt.
Veiligheid en strategische autonomie krijgen meer gewicht
Overheden zouden bij inkoop/aanbestedingen sterker moeten sturen op veiligheid, duurzaamheid en strategische autonomie en minder uitsluitend op prijs. Niet-Europese aanbieders kunnen worden geweerd wanneer veiligheid en autonomie in het geding zijn. Ieder lidstaat krijgt daarbij een eigen toezichthoudende autoriteit.
Dit zou ook gevolgen hebben voor de discussie die momenteel in Den Haag wordt gevoerd. Het Rijkscloudbeleid en de aankomende Kamerbrief gaan er impliciet vanuit dat Nederland zelf bepaalt hoe streng soevereiniteitscriteria worden toegepast bij overheidsinkoop. Mocht deze verordening werkelijkheid worden, dan verschuift die discussie van Den Haag naar Brussel.
Organisaties wachten het beleid niet af
Organisaties lopen vandaag al tegen de grenzen van hun afhankelijkheid aan en nemen daarom steeds vaker zelf maatregelen. Zij compenseren daarmee voor het ontbreken van instrumenten die deze verordening juridisch zou verankeren. Dat stelt hoogleraar publieke inkoop Fredo Schotanus van de Universiteit Utrecht.
Voor de Nederlandse cloudsector is dit een esserntieel aspect. Ondanks de waarschuwingen over de CLOUD Act, FISA 702 en extraterritoriale jurisdictie bestaat het risico dat de dagelijkse inkooppraktijk ongewijzigd blijft. Tegelijkertijd zien we dat steeds meer overheidsorganisaties hun eigen afwegingen maken, zonder te wachten op Brussel of Den Haag. In die zin volgt deze verordening een ontwikkeling die in de praktijk al zichtbaar is.
Focus op de nieuwe autoriteit
Deze plannen betekenen overigens niet automatisch een overwinning voor Europese cloudaanbieders. De voorgestelde uitsluitingsgrond is neutraal geformuleerd en gekoppeld aan kritieke infrastructuur, cyberbeveiliging, niet aan de herkomst van een leverancier. Wie kan aantonen aan de gestelde eisen te voldoen, blijft in aanmerking komen.
Juist daarom is de voorgestelde National Coordinating Authority een interessant onderdeel van de plannen. Deze autoriteit zal in belangrijke mate bepalen hoe begrippen als ‘veiligheid’ en ‘strategische autonomie’ worden geïnterpreteerd en toegepast. Daarmee krijgt zij ook een sleutelrol bij de vraag wanneer uitsluiting van leveranciers gerechtvaardigd is.
De Belastingdienst en universiteiten wachten niet op Brussel om hun afwegingen te maken. Onze sector zou dat ook niet moeten doen.
