Wat Cloudflare precies heeft behaald, en wanneer
Cloudflare for Government behaalde op 8 augustus 2026 de FedRAMP High-certificering, volgens de eigen aankondiging van het bedrijf, naast een apart aangehouden GovRAMP Moderate-autorisatie die voldoet aan de eisen van deelstatelijke en lokale overheden. FedRAMP High is het hoogste van de drie niveaus binnen het Amerikaanse Federal Risk and Authorization Management Program, specifiek gereserveerd voor informatie waarvan het verlies, de aantasting of ongeautoriseerde toegang ernstige of catastrofale gevolgen zou hebben voor de werking, de bezittingen of de missie van een overheidsdienst - de lat die geldt voor gegevens over nationale veiligheid, kritieke infrastructuur en financiële systemen, en niet voor routinematige administratieve informatie.
De autorisatie stelt Cloudflare for Government in staat om binnen geautoriseerde Amerikaanse grenzen te opereren in 15 stedelijke gebieden, en het bedrijf stelt dat meer dan 100 federale overheidsdiensten al gebruikmaken van zijn diensten, met specifieke vermelding van de ministeries van Handel, Energie, Volksgezondheid, Binnenlandse Veiligheid, Binnenlandse Zaken, Justitie en Buitenlandse Zaken. Cloudflare heeft ook bevestigd dat het vervolgens de Impact Level 4-autorisatie van het ministerie van Defensie wil nastreven, een nog nauwere lat gericht op defensiespecifieke workloads.
Een certificering die ook dienstdoet als infrastructuur voor andere leveranciers
Eén detail in Cloudflares eigen bekendmaking weegt zwaarder dan de kop: ten minste vijf andere softwareleveranciers - Workday, New Relic, Armis Federal, Darktrace Federal en GitLab - verkopen al aan de Amerikaanse overheid door hun eigen producten te bouwen bovenop Cloudflares FedRAMP-geautoriseerde platform, in plaats van zelfstandig het volledige autorisatietraject te doorlopen.
Die constructie verandert de meerjarige compliance-investering van één bedrijf feitelijk in een kortere weg voor een hele laag leveranciers daarboven, wat een aanzienlijk andere marktdynamiek is dan wanneer één bedrijf een lat alleen voor zichzelf haalt: het betekent dat Cloudflares FedRAMP High-status nu een stuk go-to-market-infrastructuur is waarvan de overheidsverkoopcycli van andere leveranciers afhankelijk zijn, en niet enkel een keurmerk op Cloudflares eigen verkoopmateriaal.
David Mihalchik over de strategie, en waarom de timing niet toevallig is
David Mihalchik, Cloudflares VP of US Public Sector, omschreef de drieledige aanpak - FedRAMP High, GovRAMP Moderate en de uitgesproken intentie om DoD IL4 na te streven - als een manier voor Cloudflare om 'een platform te bieden aan federale, deelstatelijke, lokale en defensieteams', terwijl overheidsdiensten onder druk staan om technologie te moderniseren, sneller te werken en kosten te verlagen zonder gevoelige gegevens uit het oog te verliezen.
Die framing valt tegen een concrete achtergrond: de directeur van FedRAMP zelf heeft publiekelijk verklaard dat leveranciers die traag zijn met het verhelpen van bekende kwetsbaarheden helemaal niet aan de overheid zouden moeten verkopen, een standpunt dat overheidsleiders expliciet hebben gekoppeld aan een recent en veelbesproken datalek bij een andere leverancier. Tegen die achtergrond gelezen is Cloudflares autorisatie niet zomaar een compliance-mijlpaal; het is een publiek signaal, op een moment waarop overheidsinkopers de beveiligingshouding van leveranciers nauwkeuriger dan gebruikelijk onder de loep nemen, dat Cloudflare precies de lat heeft gehaald waar die inkopers nu op letten.
De kloof die dit blootlegt voor publieke inkopers in de EU en het VK
FedRAMP werkt omdat het één accreditatie is die elke Amerikaanse federale overheidsdienst verplicht moet accepteren zodra die is toegekend - precies het kenmerk dat de EU en het VK missen. Een leverancier - of het nu een Amerikaanse hyperscaler, een Europese specialist in soevereine cloud of een kleiner softwarebedrijf is - die overheidswaardige clouddiensten in de hele EU wil verkopen, moet nog steeds afzonderlijke nationale accreditatie- en aanbestedingsprocessen doorlopen in elke lidstaat, zonder één certificering die automatisch aan alle 27 voldoet.
Voor een publieke inkoper in de EU of het VK is de praktische les niet dat Cloudflares Amerikaanse autorisatie direct bruikbaar is in Europa - dat is ze niet - maar dat de onderliggende marktdynamiek die Cloudflare zojuist heeft aangetoond, waarbij één hard bevochten accreditatie herbruikbare hefboomwerking wordt voor een heel ecosysteem van leveranciers die daarop voortbouwen, precies de capaciteitskloof is die GAIA-X en de diverse Europese initiatieven voor soevereine cloud nog steeds proberen te dichten, en die ze tot nu toe niet hebben opgelost met iets dat zo overdraagbaar is als FedRAMP High.
Lees hierna: Cloudflare schrijft nu je AI-trainingsregels automatisch | Een neocloud is Brussels eigen AI-plan te snel af
