Een deadline vervangt een routekaart
Op 10 februari 2026 kondigden drie Franse ministers, minister van Volksgezondheid Stephanie Rist, viceminister voor Kunstmatige Intelligentie en Digitale Zaken Anne Le Henanff, en viceminister voor Overheidsdienst en Staatshervorming David Amiel, aan dat de Health Data Hub zijn geplande migratie in twee fasen zou laten varen om rechtstreeks over te stappen naar een SecNumCloud-gekwalificeerde soevereine cloud. Het doel is een volledige kopie van de centrale SNDS-database, Frankrijks nationale systeem voor zorgdeclaratiegegevens, weg van Microsoft Azure voor eind 2026. Een technische toets had bevestigd dat de directe overstap haalbaar was, waardoor de regering de aanvankelijk geplande tussenstap kon overslaan.
De redenering is jurisdictioneel, niet technisch. Een Amerikaanse cloudleverancier kan in principe onder niet-Europese wetgeving gedwongen worden data af te geven, ongeacht waar de servers fysiek staan, en de SNDS behoort tot de gevoeligste publieke datasets die er zijn: het heeft meer dan 233 onderzoeksprojecten mogelijk gemaakt en bijgedragen aan 29 projectoproepen. Leveranciers voor de nieuwe hosting worden geselecteerd via de marktplaats Public Cloud, gezamenlijk beheerd door DINUM, het digitale agentschap van de staat, en de centrale rijksinkoopdienst, met een gunning die oorspronkelijk eind maart 2026 werd verwacht.
Een decreet maakt van aanbeveling een verplichting
Een uitvoeringsdecreet van de SREN-wet, gepubliceerd in april 2026, breidde de SecNumCloud-verplichting formeel uit naar drie extra operators in de digitale zorg. Hun namen staan nog niet op een volledige lijst in het Staatsblad, en het nalevingstijdschema per operator blijft onduidelijk, maar de richting staat vast: een certificering die vroeger als concurrentievoordeel diende, is nu, volgens een Franse vakmedia die de sector volgt, dichter bij een toegangsvoorwaarde voor de publieke zorgmarkt dan bij een keurmerk.
Die verschuiving raakt vooral kleinere aanbieders in de digitale zorg die hun infrastructuur bouwden op niet-SecNumCloud-gecertificeerde cloudleveranciers. Een bedrijf buiten de gekwalificeerde lijst heeft geen nieuwe wet nodig die het met naam noemt om het effect te voelen; het volstaat dat een publieke inkoper, of een decreet, de kwalificatie als basisvereiste gaat behandelen. Migratiekosten zijn reeel, en sectorcommentaar heeft erop gewezen dat ze ruim op tijd gepland moeten worden, ook al ontbreekt vooralsnog een publiek eurobedrag.
Vijf bedrijven vragen Parijs geen enkele winnaar aan te wijzen
Op 30 juni 2026 schreven vijf bedrijven uit de kern van de Franse digitale zorg, Alan, Doctolib, Implicity, Lifen en Resilience, aan het kabinet van Anne Le Henanff en aan de Direction generale des entreprises. Hun boodschap was geen afwijzing van soevereiniteit als doel. Het was een waarschuwing dat een enkel geaccepteerd label, toegepast als exclusieve nalevingsroute, risico concentreert in plaats van wegneemt: een storing bij een leverancier, een knelpunt in de certificering of een trage kwalificatiewachtrij zou alle bedrijven die van die ene lijst afhankelijk zijn tegelijk raken.
Hun centrale verzoek was om de logica van een enkel label te vervangen door een aanpak gebaseerd op audits en risicoscores, zodat een bedrijf gelijkwaardige beveiliging kan aantonen zonder aan een enkel certificeringstraject gebonden te zijn. Het is hetzelfde argument dat toezichthouders normaal gebruiken tegen leveranciersafhankelijkheid wanneer de leverancier Amerikaans is; deze vijf bedrijven passen het toe op het risico van afhankelijkheid van een binnenlands label met een korte, langzaam groeiende lijst van gekwalificeerde namen. Voor een Nederlandse lezer is dit patroon herkenbaar uit de discussie rond het rijksbrede cloudbeleid en de rol van soevereine clouds bij DigiD-achtige overheidsdiensten.
Soevereiniteit geconcentreerd op elf leveranciers
In april 2026 hadden slechts 11 cloudaanbiedingen de SecNumCloud-kwalificatie, waaronder OVHcloud, Orange Business, Outscale, S3NS, Worldline, Cegedim, Cloud Temple, Oodrive en Whaller, met 18 aanvragen die naar verluidt nog in behandeling waren. SecNumCloud is ontstaan om Franse zorgdata buiten het bereik van niet-Europese wettelijke eisen te houden, wat de schoolboekdefinitie van digitale soevereiniteit is. Maar zo'n korte gekwalificeerde lijst creeert een eigen single point of failure: prijszettingsmacht, capaciteitslimieten, en een wachtrij van aanvragers die nog niet kunnen meedingen naar publieke contracten die het label steeds vaker als basis veronderstellen.
Het onderscheid dat ambtenaren maken tussen aanbevolen en verplicht is op papier reeel, maar hangt af van welk document je leest. Een decreet dat stilletjes drie extra verplichte operators toevoegt, en een overheidsplatform voor zorg dat zijn eigen vlaggenschipdatabase migreert naar diezelfde kwalificatie, tellen praktisch op tot hetzelfde resultaat als een mandaat, alleen opgebouwd via gewone inkoopmechanismen in plaats van een wet met krantenkoppen. Of het auditgebaseerde alternatief waar de vijf bedrijven om vroegen wordt overgenomen voordat de volgende namen in het Staatsblad verschijnen, is het detail om de rest van 2026 in de gaten te houden.
Lees hierna: EuroHPC opent vier quantummachines voor gratis pilots | Europa's soevereine AI draait nu op Amerikaans geld
