Brussel publiceert zijn eerste soevereiniteitsrapport
De Europese Commissie kende op 17 april 2026 de eerste contracten toe binnen haar nieuwe Cloud Sovereignty Framework, een aanbestedingskader van 180 miljoen euro over zes jaar onder het Cloud III Dynamic Purchasing System van de Commissie, dat volgens de berichtgeving van Help Net Security al in oktober 2025 van start ging. Met deze toekenning voerde de Commissie een gegradeerde beoordelingsschaal in genaamd SEAL, voor Sovereignty Effectiveness Assurance Level, lopend van SEAL-0 tot SEAL-4, waarbij SEAL-0 een volledig gebrek aan soevereiniteit markeert en SEAL-4 een volledig Europese toeleveringsketen eist, van chip tot software.
Aanbieders moesten minstens SEAL-2 halen, door de Commissie omschreven als een niveau van Datasoevereiniteit, om überhaupt in aanmerking te komen voor een contract. Die drempel is van belang omdat ze een vage, zelf verklaarde claim van soevereiniteit vervangt door een concrete horde die elke inschrijver moest nemen voordat Brussel zijn bod zelfs maar in overweging nam, beoordeeld op acht gewogen doelstellingen rond strategie, juridische bescherming, operationele controle, milieuverantwoordelijkheid, transparantie van de toeleveringsketen, technologische openheid, veiligheid en naleving van EU-recht.
Vier winnaars, twee verschillende soevereiniteitsniveaus
Vier consortia namen de horde en hebben nu contracten binnen het framework, elk verankerd in een ander EU-land en elk op een ander SEAL-niveau uitgekomen. Post Telecom, gevestigd in Luxemburg, won samen met het Franse OVHcloud en CleverCloud; het Duitse STACKIT, eigendom van de Schwarz-groep die ook Lidl en Kaufland bezit, won alleen; het Franse Scaleway, eigendom van Iliad, won eveneens alleen; en een door het Belgische Proximus geleid consortium met S3NS, Clarence en het Franse AI-bedrijf Mistral AI won het vierde contract.
| Consortium | Thuisland | Behaald SEAL-niveau |
|---|---|---|
| Post Telecom met OVHcloud en CleverCloud | Luxemburg / Frankrijk | SEAL-3 |
| STACKIT (Schwarz-groep) | Duitsland | SEAL-3 |
| Scaleway (Iliad) | Frankrijk | SEAL-3 |
| Proximus met S3NS, Clarence en Mistral AI | België / Frankrijk | SEAL-2 |
Post Telecom, STACKIT en Scaleway haalden alle drie SEAL-3, het niveau dat de Commissie omschrijft als immuun voor verstoringen van een toeleveringsketen buiten de EU. Het door Proximus geleide consortium haalde SEAL-2, precies de minimumdrempel, wat weerspiegelt dat zijn technische omgeving steunt op Google Cloud-technologie, ook al is elk uitvoerend bedrijf in de keten in de EU gevestigd. Voor België is dat een tastbaar resultaat: het eigen telecombedrijf staat mee op de eerste lijst, ook al is de SEAL-score er nog niet het hoogste haalbare niveau.
Een lijst om vandaag uit te kiezen, geen belofte voor later
Het grootste deel van het EU-soevereiniteitsbeleid is tot nu toe blijven steken op het niveau van een streefdatum of een strategiedocument. Dit framework is anders: het noemt vier concrete aanbieders, geeft aan welk soevereiniteitsniveau elk ervan haalde, en laat elk EU-bedrijf dat nu zijn blootstelling aan de Amerikaanse CLOUD Act of aan een toekomstige geopolitieke verstoring van clouddiensten beoordeelt, al vandaag kiezen uit een beoordeelde, citeerbare lijst.
Die directheid is hier het echte nieuws, niet het aanbestedingsmechanisme. Een bedrijf dat vreest dat een buitenlandse overheid toegang tot zijn clouddata kan afdwingen, hoeft niet langer te wachten op een toekomstig regelgevend kader dat vertelt wie kwalificeert; het kan wijzen naar STACKIT, Scaleway, het door OVHcloud geleide Post Telecom-consortium of de aan Mistral AI gelinkte Proximus-groep, en elk daarvan rechtstreeks vragen welk SEAL-niveau het daadwerkelijk kan aantonen.
Het verschil tussen SEAL-2 en SEAL-3 is het echte inkoopsignaal
Drie van de vier winnaars haalden SEAL-3, terwijl een van de vier slechts SEAL-2 haalde, en die grens trok de Commissie zelf, in plaats van ze over te laten aan marketingtaal. Een aanbieder die zichzelf soeverein noemt, doet daarmee een claim op een heel specifiek niveau binnen een schaal van vijf treden, en het verschil tussen SEAL-2 en SEAL-3 markeert het onderscheid tussen datasoevereiniteit en echte immuniteit voor verstoringen van een toeleveringsketen buiten de EU.
Elk inkoopteam dat een cloudcontract overweegt, zou dat verschil aan zijn eigen aanbieder moeten voorleggen, soeverein genoemd of niet: welk SEAL-niveau zou hij werkelijk halen, en op welke van de acht gewogen doelstellingen zou hij tekortschieten. De Commissie heeft nu laten zien dat die vraag een concreet, beoordeelbaar antwoord heeft, geen marketingantwoord.
Lees hierna: Berlijn leert soevereiniteit, Brussel koos anders | Airbus' soevereiniteitsdeal laat Skywise bij AWS
