EU-cloud voor overheidsdata: wat het beleid wel en niet eist

TechinFlow biedt zelf cloud- en data-infrastructuur aan, met hosting in de EU als uitgangspunt, en is dus partij. Deze pagina citeert de stukken zelf, zodat u kunt nagaan wat er staat. Het is geen juridisch advies en geen leveranciersvergelijking. Namen van cloudleveranciers staan er niet in, omdat de bronnen over de eisen gaan en niet over producten.

De stukken zijn op 11 oktober 2026 gelezen. Het cloudbeleid is jonger dan drie maanden en de uitwerking (een bijgewerkt implementatiekader) volgt nog. Controleer bij een aanbesteding dus of er sindsdien iets is gewijzigd.

Het is het beleid voor clouddiensten bij de rijksoverheid, in de Ministerraad vastgesteld op 3 juli 2026. Aanleiding volgens de Kamerbrief: twee onderzoeken (van de Auditdienst Rijk en de Algemene Rekenkamer), gewijzigde geopolitieke verhoudingen en ontwikkelingen in de cloudmarkt. Het is een herziening met aanscherpingen, geen nieuw kader.

De formulering voor de locatie van gegevens luidt in de brief:

Bij gebruik van publieke cloud is opslag en verwerking beperkt tot de landen van de EER en worden data versleuteld (behalve wanneer het openbare data betreft).

Bron: Kamerstuk 26 643, nr. 1541, Herziening rijksbreed cloudbeleid 2026, 3 juli 2026, onderdeel Sectie 4, officielebekendmakingen.nl, gelezen op 11 oktober 2026. Voor open data, de kern van de meeste kaartportalen, geldt in deze sectie dus geen versleutelingseis.

Nee, niet rechtstreeks. De brief zegt dat andere overheidsorganisaties het beleid wordt "geadviseerd" te volgen, en kondigt aan dat de staatssecretaris met de medeoverheden aan de slag wil voor een overkoepelend overheidsbreed cloudbeleid:

De problematiek en uitdagingen op het niveau van gemeenten, provincies en waterschappen is immers niet anders.

Bron: Kamerstuk 26 643, nr. 1541, onderdeel Vooruitblik. Een gemeente is dus niet gebonden aan de vierjaarstermijn, maar doet er verstandig aan het beleid als maatstaf te nemen bij een nieuwe aanbesteding. Een leverancier die u nu kiest, zit anders over een paar jaar tegenover een ander beleid. In de kamerbrief over de cloudmarkt (Kamerstuk 26 643, nr. 1542) schrijft het kabinet wat de reden is:

Voor de levering hiervan zijn organisaties in Nederland in grote mate afhankelijk van een klein aantal niet-Europese cloudaanbieders

Bron: Kamerstuk 26 643, nr. 1542, 3 juli 2026, gelezen op 11 oktober 2026. Het kabinet noemt als "centrale ambitie" de ontwikkeling van een federatief Europees cloud-ecosysteem. In dezelfde brief verwelkomt het de Open Cloud Alliantie, een groep Nederlandse marktpartijen, zonder daar een inkoopverplichting aan te koppelen. Meer over afhankelijkheid en overstappen leest u bij vendor lock-in en exitstrategie.

BIO2 is het normenkader voor informatiebeveiliging voor alle overheidslagen, gebaseerd op NEN-EN-ISO/IEC 27001:2023 en 27002:2022. Digitale Overheid schrijft op haar BIO-pagina dat het kader als zorgplicht in een ministeriële regeling onder de Cyberbeveiligingswet (Cbw) is opgenomen, en dat de BIO2 daarmee "feitelijk voor alle overheidsorganisaties" geldt. Sinds de ingang van de Cbw op 15 augustus 2026 is toepassing wettelijk verplicht voor overheidsorganisaties die onder die wet vallen; voor de rest blijft BIO2 verplichtende zelfregulering. De regeling verwijst naar BIO2 versie 1.3 in de Staatscourant.

De BIO-pagina van Digitale Overheid noemt geen vereiste voor de geografische locatie van data; de normen vragen om risicogestuurde beveiligingsmaatregelen en verantwoording daarover. Een EU-datacentrum voldoet dus niet vanzelf aan BIO2. Het locatievereiste dat wij vonden, staat in het cloudbeleid en niet in BIO2. De ISO-normen zelf zijn niet gelezen, dus volledig uitgesloten is een locatie-eis in de maatregelen niet. De BIO-eisen voor aanbestedingen staan bij aanbesteding GIS-viewer, en wat dit betekent voor de inrichting van een omgeving beschrijft de dienstpagina over cloud.

De CLOUD Act is een Amerikaanse wet uit 2018 die aanbieders van communicatie- en opslagdiensten onder Amerikaanse jurisdictie verplicht gegevens te verstrekken op bevel, ook als die buiten de Verenigde Staten staan. De kernzin in 18 U.S.C. 2713 luidt:

regardless of whether such communication, record, or other information is located within or outside of the United States.

Bron: 18 U.S.C. 2713, ingevoegd door Pub. L. 115-141 (23 maart 2018), United States Code editie 2024 op govinfo.gov, gelezen op 11 oktober 2026. De wet gaat over aanbieders "within such provider's possession, custody, or control". Dat de data in een Nederlands of Duits datacentrum staan, is dus op zichzelf geen verweer als de aanbieder onder Amerikaanse jurisdictie valt.

De Europese toezichthouders (EDPB en EDPS) beoordeelden dit in juli 2019 voor strafrechtelijke bevelen. Hun conclusie:

unless a US CLOUD Act warrant is recognised or made enforceable on the basis of an international agreement, the lawfulness of such transfers of personal data cannot be ascertained

Bron: EDPB en EDPS, brief aan de LIBE-commissie van 10 juli 2019, gelezen op 11 oktober 2026. Het gaat om een eerste juridische beoordeling, uitdrukkelijk beperkt tot bevelen van Amerikaanse opsporingsinstanties. In de bijlage wijzen zij op artikel 48 AVG: een buitenlands bevel maakt een doorgifte als zodanig niet rechtmatig. Ze noemen ook dat het onduidelijk is of een aanbieder zich kan verzetten met een beroep op "common law comity".

Wat het niet zegt: dat Amerikaanse bevelen routine zijn, of dat elke Amerikaanse aanbieder gegevens zou verstrekken. De stukken gaan over rechtmatigheid en rechtszekerheid, niet over de frequentie van bevelen. Dat past bij de keuze van het cloudbeleid voor een risicoafweging bij leveranciers die "deels" onder een andere jurisdictie vallen, en niet voor een algeheel verbod.

Soevereiniteit is niet één eigenschap maar een reeks keuzes: waar de data staan, wie de sleutels heeft, onder welk recht de leverancier valt en of u kunt vertrekken. De tabel zet die vragen naast het bewijs dat u kunt vragen. De kolom "Bewijs" is een voorstel voor uw eigen inkoopdocument, geen eis uit een van de stukken.

Bij geodata komt er een onderscheid bij: de bron en de verwerking. Een kaartviewer die alleen open data toont, kent een lager risico dan een omgeving met meldingen met persoonsgegevens of kritieke netwerken. Dit onderscheid komt overeen met het cloudbeleid, dat voor openbare data de versleutelingseis laat vervallen. Welke gegevens persoonsgegevens zijn, staat bij geodata en de AVG. Hoe u een gemeentelijk datapunt inricht, leest u bij dataplatforms.

Een gemeente met alleen open geodata op een publieksportaal heeft weinig te vrezen van het cloudbeleid; de eisen zitten in beschikbaarheid en exit. Een gemeente die meldingen, bomenregisters met aannemersgegevens of zorggerelateerde kaarten host, moet de afweging serieuzer maken: persoonsgegevens vragen om versleuteling, een verwerkersovereenkomst en een duidelijke locatie. Voor basisregistraties geldt de regel dat de brondata buiten de publieke cloud blijven, wat voor een gemeente die BAG-gegevens beheert een reden is om de bron te scheiden van de kopie die online staat.

De tweede variabele is de bestaande situatie. Wie al in een publieke cloud draait, heeft een exitplan nodig voordat het beleid hem inhaalt, ook als er geen verplichting is. Dat plan hoeft niet te leiden tot vertrek; het geeft inzicht in de doorlooptijd. De derde is de toekomst: de brief kondigt een overkoepelend overheidsbreed cloudbeleid aan en noemt het Europese voorstel voor een Cloud and AI Development Act (CADA) als factor voor toekomstig beleid. Houd bij een contract van meerdere jaren rekening met aanpassing, bijvoorbeeld via een clausule voor wijzigende regelgeving.

Voor de relatie met de sector leest u meer op gemeenten, en voor het publiceren van data zonder eigen hosting op open data publiceren als gemeente.