22 112 Nieuwe Commissievoorstellen en initiatieven van de lidstaten van de Europese Unie

Nr. 4395 BRIEF VAN DE MINISTER VAN BUITENLANDSE ZAKEN

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 26 juni 2026

Overeenkomstig de bestaande afspraken ontvangt u hierbij twee fiches die werden opgesteld door de werkgroep Beoordeling Nieuwe Commissie voorstellen (BNC).

Fiche: EU-Actieplan Meststoffen (Kamerstuk 22 112, nr. 4394)

Fiche: Cloud & AI Development Act

De Minister van Buitenlandse Zaken, T.B.W. Berendsen

Fiche: Cloud & AI Development Act

1. Algemene gegevens

• a) Titel voorstel

  Proposal for a regulation of the European Parliament and of the Council establishing a framework of measures for strengthening Europe’s cloud and AI ecosystem (Cloud and AI Development Act)

• b) Datum ontvangst Commissiedocument

  3 juni 2026

• c) Nr. Commissiedocument

  COM(2026) 502

• d) EUR-Lex

  https://eur-lex.Europa.eu/legal-content/EN/TXT/?uri=celex%3A52026PC0502

• e) Nr. impact assessment Commissie en Opinie Raad voor Regelgevingstoetsing

  SWD(2026) 502, SWD(2026) 503, SEC(2026) 502

• f) Behandelingstraject Raad

  Raad voor Vervoer, Telecommunicatie en Energie (Telecomraad)

• g) Eerstverantwoordelijk ministerie

  Ministerie van Economische Zaken en Klimaat

• h) Rechtsbasis

  Artikel 114 en artikel 173, punt 3 Verdrag betreffende de Werking van de Europese Unie (VWEU)

• i) Besluitvormingsprocedure Raad

  Gekwalificeerde meerderheid

• j) Rol Europees Parlement

  Medebeslissing

2. Essentie voorstel

a) Inhoud voorstel

Op 3 juni 2026 presenteerde de Europese Commissie (hierna: de Commissie) het Europese Techsoevereiniteitspakket (hierna: het pakket), bestaande uit vier voorstellen. Aanleiding voor het pakket zijn de toenemende geopolitieke spanningen, de mondiale concurrentiestrijd op (digitale) sleuteltechnologieën en de risicovolle strategische afhankelijkheden van derde landen op het gebied van onder meer cloud, kunstmatige intelligentie (AI) en halfgeleiders. Om dit aan te pakken beoogt de Commissie om de positie van de EU in de gehele digitale waardeketen te versterken.

In dit fiche wordt nader ingegaan op de Cloud & AI Development Act (hierna: CADA). De overige voorstellen worden geapprecieerd in separate BNC-fiches. Met de CADA beoogt de Commissie de beperkte en geografisch geconcentreerde beschikbaarheid van rekenkracht in de Europese Unie (hierna: EU) te verbeteren en de risicovolle strategische afhankelijkheden van niet-EU-aanbieders van AI en cloudtechnologie te verminderen. De Commissie stelt dat een «open ecosysteem-aanpak» nodig is om de EU concurrerender en weerbaarder te maken op het vlak van AI en cloud, door het vergroten van de rekenkracht en AI die in de EU wordt ontwikkeld en ingezet, het zorgen voor aantrekkelijke voorwaarden voor de inzet van duurzame en innovatieve rekenkracht in de hele EU, het adresseren van zorgen over datasoevereiniteit en operationele continuïteit van cloud en AI en het in stand houden van kritieke maatschappelijke of economisch belangrijke functies of activiteiten door het aanbod van clouddiensten weerbaarder te maken, in het bijzonder in de publieke sector. Om deze doelen te bereiken zet de Commissie, net als in andere initiatieven van het pakket, in op een drieledige strategie: 1) het versterken van het aanbod van Europese capaciteiten; 2) het aanjagen van de vraag en 3) het verbeteren van de randvoorwaarden in de EU. De maatregelen zijn in het voorstel ingedeeld in drie specifieke onderdelen: 1) activiteiten gericht op onderzoek, ontwikkeling en inzet van cloud en AI; 2) ontwikkeling van datacentercapaciteit en 3) het mitigeren van risico’s die voortkomen uit de strategische afhankelijkheid van derde landen voor clouddiensten.

De Commissie introduceert «cloud- & AI-leiderschapsinitiatieven» met als doel het bevorderen van onderzoek, innovatie en de capaciteit van het Europese cloud- en AI-ecosysteem. De Commissie ziet daarin een belangrijke rol voor duurzaamheid en verstevigde milieunormen, bijvoorbeeld door inzet van waterbesparende technologieën of innovatieve koelsystemen voor datacenters. Zo wil de Commissie op een toekomstbestendige manier voldoen aan de groeiende vraag naar AI- en cloudoplossingen. Voor het stimuleren van integratie en opschaling van AI-toepassingen in de publieke en private sector stelt de Commissie voor dat elke lidstaat «Centra voor AI» opricht, voortbouwend op de Europese digitale innovatiehubs (EDIHs). De uitvoering wordt opgedragen aan de Commissie, lidstaten en Europese uitvoeringsstructuren, waaronder de Joint Undertakings. De uitvoering zal plaatsvinden aan de hand van strategische projecten en Grand Challenges, een set geprioriteerde strategische technologische en industriële uitdagingen. De Commissie wil zichzelf daarbij de bevoegdheid geven om deze prioriteiten in de toekomst aan te passen wanneer technologische ontwikkelingen daartoe aanleiding geven. De financiering zal deels plaatsvinden via bestaande Europese programma's, zoals Horizon Europe en Digital Europe. Voor nationale verankering van de Europese doelen verplicht het voorstel iedere lidstaat om binnen één jaar na inwerkingtreding een nationale cloud- en AI-strategie vast te stellen en deze periodiek te evalueren en actualiseren. De Commissie monitort de vaststelling en herziening van de nationale strategieën van de lidstaten, terwijl de Europese raad voor AI (AI Board) lidstaten zal adviseren en assisteren tijdens dit proces. Het voorstel voorziet tot slot in een systeem om projecten van bijzonder strategisch belang aan te merken als frontier AI priority projects, die in aanmerking kunnen komen voor specifieke vormen van ondersteuning, zoals rekencapaciteit van de EU en lidstaten.

De Commissie wil ook «datacenter versnellingszones» aanwijzen om het datacentercapaciteitstekort en de geografische concentratie van beschikbare capaciteit in de EU te verhelpen.

In de zones wordt met het stroomlijnen van vergunningsprocedures de ontwikkeling, uitbreiding en modernisering van datacenters gefaciliteerd. Elke lidstaat moet in afstemming met relevante medeoverheden ten minste één versnellingszone aanwijzen. Bij het aanwijzen worden lidstaten geacht rekening te houden met de geschiktheid van de locatie vanuit het oogpunt van duurzaamheid, netwerkinfrastructuur, netcapaciteit en plannen voor ruimtelijke ordening. Ook wil de Commissie dat lidstaten een of meer «centrale informatiepunten» inrichten, die bedrijven kunnen ondersteunen bij alle fases van de ontwikkeling van datacenterprojecten in versnellingszones, en dat lidstaten per versnellingszone een «geaggregeerde basisvergunning» ontwikkelen die alle benodigde vergunningen en administratieve autorisatie afdekt die benodigd zijn voor datacenterprojecten. Tot slot stelt de Commissie dat vergunningsprocedures in versnellingszones niet langer dan twaalf maanden mogen duren. Een andere maatregel die de Commissie voorstelt is om calls for expression of interest voor strategische datacenterprojecten te openen. Een project kan als strategisch worden aangemerkt als het voldoet aan twee van vijf genoemde voorwaarden, waaronder direct bijdragen aan publieke belangen of aan de veiligheid en stabiliteit van het energienet, uitzonderlijk duurzaam of innovatief zijn, gebruik maken van Europese hardware of adresseren van een gebied met een groot capaciteitstekort. In de overwegingen stelt de Commissie dat strategische projecten door lidstaten steunmaatregelen toegekend kunnen krijgen en toegang krijgen tot Europese (financiële) ondersteuning en middelen. Tot slot stelt de Commissie voor om zelf de beschikbare rekenkracht, de vraag naar datacentercapaciteit en de omvang van het capaciteitstekort in de EU te monitoren.

Momenteel bestaat er geen eenduidig EU-regelgevend kader voor het aanwijzen van vertrouwde aanbieders van clouddiensten. De Commissie introduceert daarom een soevereiniteitsraamwerk voor clouddiensten, een geharmoniseerd kader voor het aanwijzen van erkende soevereine clouddiensten van private aanbieders aan de hand van een gelaagd certificeringsmodel met vier betrouwbaarheidsniveaus (Union Assurance Level). Aanbieders van clouddiensten kunnen door middel van een zelfverklaring in aanmerking komen voor erkenning op het laagste betrouwbaarheidsniveau (niveau 1), voor erkenning op hogere betrouwbaarheidsniveaus moeten aanbieders van clouddiensten een onafhankelijke audit laten uitvoeren door een derde partij. Voor een effectieve en consistente toepassing van het soevereiniteitskader moeten lidstaten één of meer nationale bevoegde autoriteiten aanwijzen die verantwoordelijk zijn voor erkenning van de auditprocedure en -kaders en voor het toezicht op erkende aanbieders van clouddiensten. Het voorstel biedt ook instrumenten voor onderlinge ondersteuning en grens-overstijgende samenwerking tussen aangewezen nationale bevoegde autoriteiten. Erkende clouddiensten worden verzameld in een door de Commissie opgezet en beheerd centraal archief. Aan derde landen stelt de Commissie cumulatieve criteria waaraan zij moeten voldoen om aanbieders van clouddiensten uit dat land of aanbieders van clouddiensten die onder controle van dat land vallen een externe audit te mogen laten verrichten naar compliance met de criteria van betrouwbaarheidsniveau 3, onder meer over continuïteit van en controle over de diensten van een aanbieder van clouddiensten en op gelijke toegang voor EU-aanbieders van clouddiensten tot de markt en aanbestedingen in het derde land.

Het voorstel verplicht lidstaten een risicobeoordeling uit te voeren van de clouddiensten die worden gebruikt bij publieke processen die bijdragen aan het in stand houden van kritieke maatschappelijke of economisch belangrijke functies of activiteiten in (zeer) kritieke sectoren.¹ Daarna moet per proces het passende betrouwbaarheidsniveau bepaald worden, op ten minste niveau 2. Bij risicobeoordelingen worden de gevoeligheid en het kritische belang van niet-persoonsgegevens meegenomen. Daarnaast worden het risico en de impact van onwenselijke toegang door een derde land en van een onderbreking van de beschikbaarheid van een dienst meegewogen. De Commissie zal specificeren welke methode, modellen en gegevens gebruikt moeten worden in een dergelijke risicobeoordeling. Daarin wordt ook aangegeven hoe lidstaten het model voor het hoogste niveau van zekerheid zullen gebruiken voor de risicobeoordeling van de meest kritische sectoren, inclusief defensie. De uitkomsten worden aan de Commissie voorgelegd ter beoordeling. Als de Commissie oordeelt dat het betrouwbaarheidsniveau niet passend is, behoudt zij het recht voor middels een uitvoeringsbesluit aan te geven welk niveau wel passend is. Als op basis van een risicobeoordeling geconstateerd wordt dat migratie naar een andere cloudoplossing noodzakelijk is, zal deze binnen twaalf maanden worden voltooid. Op basis van de risicobeoordeling verplicht het voorstel overheden en organisaties actief in kritieke sectoren² om hun aanbestedingen te gunnen aan bedrijven met diensten op een corresponderend betrouwbaarheidsniveau. Er geldt een uitzondering indien de gevraagde diensten enkel geleverd kunnen worden door bedrijven die geen toegekend betrouwbaarheidsniveau hebben, eerdere aanbestedingsprocedures geen geschikte kandidaten hebben geleverd of deze verplichting zou leiden tot disproportionele kosten.

Daarnaast stelt de Commissie voor in aanbestedingen van innovatieve clouddiensten en AI-systemen een niet-financieel beoordelingscriterium te introduceren om de toegevoegde waarde van een aanbestedende partij aan de ontwikkeling van een Europees cloud- en AI-ecosysteem mee te wegen. De Commissie wil ook dat lidstaten jaarlijks aanbesteding van innovatieve clouddiensten en AI-systemen monitoren, onder meer om barrières voor mkb-deelname te identificeren en toegang van het mkb tot aanbestedingen te versimpelen. Ook wordt lidstaten ten doel gesteld na te jagen dat 25% van de aanbestedingen voor clouddiensten en AI-systemen wordt gegund aan innovatief mkb. De Commissie stelt ook voor zelf te kunnen optreden als centrale inkoopinstantie in aanbestedingen. Nationale aanbestedende diensten kunnen zich bij zo’n aanbesteding aansluiten. De Commissie kan ook enkel bijkomende hulp aanbieden aan aanbestedende diensten die deelnemen. Met het voorstel richt de Commissie ook een Europese cloudfederatie (EuroCloud Federatie) op voor het delen van datacenter- en clouddiensten tussen publieke entiteiten van de EU en lidstaten via een dienstencatalogus en een uitwisselingsplatform. De Commissie stelt als voorwaarde dat eigenaarschap en inrichting van de te delen diensten in publiek beheer zijn; naleving van deze voorwaarden dient bij de Commissie aangetoond te worden door de dienstverlener. Voor het leveren van de diensten mag ten hoogste de kostprijs in rekening worden gebracht aan de afnemer. Tot slot stelt de Commissie ook maatregelen voor om de EU en lidstaten aan te zetten tot het (her)gebruik van open standaarden en componenten die onder een open source-licentie zijn vrijgegeven.

Zo zal een EU Open Source Solutions Catalogue opgericht worden, die zal functioneren als een gecentraliseerde catalogus waar EU-overheden en publieke organisaties hun open source software beschikbaar stellen zodat deze hergebruikt kunnen worden. Ook stelt de Commissie voor om een netwerk van Open Source Programmabureaus op te richten en te coördineren om de samenwerking rondom de open source activiteiten te vergemakkelijken.

b) Impact assessment Commissie

Het impact assessment van de Commissie ziet op zes beleidsopties, verdeeld in twee categorieën. De eerste categorie adresseert de beperkte beschikbaarheid en geografische concentratie van rekenkracht in de EU met drie beleidsopties: i) het ondersteunen van bestaande samenwerkingskaders tussen lidstaten, EU-instellingen en industrieën voor het uitbreiden van datacenters (PO1-A); ii) het bieden van regels en financiële steun voor de versnelling van de uitrol van datacenters, geïmplementeerd op nationale niveau (PO1-B); en iii) het bieden van regels en financiële steun voor de versnelling van de uitrol van datacenters, geïmplementeerd op EU-niveau (PO1-C). De tweede categorie kent drie beleidsopties gericht op het afbouwen van afhankelijkheid van cloud- en AI- diensten geleverd door niet-Europese aanbieders: i) het vergroten van de transparantie en zichtbaarheid van soevereine cloud- en AI-computingdiensten (PO2-A); ii) het creëren van een vrijwillig kader ter bevordering van dergelijke diensten en de mogelijkheid om door middel van federatie middelen binnen de publieke sector te bundelen (PO2-B); en iii) het vaststellen van een EU-gecoördineerd aanbestedings- en verplicht ondersteuningskader voor strategische autonomie en soevereine diensten, bedoeld voor de publieke sector en partijen actief in zeer kritische sectoren, zoals bepaald in bijlage 1 van de NIS2 (PO2-C). De Commissie geeft de voorkeur aan een combinatie van PO1-B, PO2-C en twee individuele beleidsmaatregelen (PM8 en PM9) uit PO1-A voor de financiering van innovatieve technologieën gericht op duurzaamheid binnen het hele cloudecosysteem. Volgens de Commissie biedt deze combinatie de beste balans tussen kosten en baten, waarbij oog is voor sociale en milieu impact en de beginselen van subsidiariteit en proportionaliteit. Ten aanzien van de milieu impact benadrukt de Commissie dat datacenterontwikkeling zal leiden tot een toename in energie- en grondstofverbruik. Tegelijkertijd kan het ook de ontwikkeling van energie-efficiënte technologie mogelijk maken. Dit zal bijdragen aan het beheersen van de ecologische voetafdruk van de Europese datacenterindustrie. Wat betreft de sociale impact is de verwachting dat de CADA positief bijdraagt aan innovatie en werkgelegenheid in de techsector, in het bijzonder hoogwaardige banen. Daarnaast verwacht zij dat de nadruk op soevereine cloud- en AI-diensten zal bijdragen aan de weerbaarheid en veiligheid van de activiteiten van de publieke sector, de bescherming van gevoelige gegevens en de betrouwbaarheid van diensten.

Uitvoering van het voorstel zal gemoeid gaan met implementatie- en transitiekosten, met name in verband met het aanpassen van systemen en procedures, het informeren van stakeholders over de nieuwe vereisten en handhaving. Tegelijkertijd zijn dit veelal eenmalige kosten of transitiekosten, terwijl de verwachte baten terugkerend zijn. Uit het impact assessment volgt dat de voorgestelde combinatie van beleidsopties naar verwachting tot hogere baten dan lasten leidt binnen de beoordelingsperiode.

Zo zullen datacenterexploitanten volgens het impact assessment profiteren van gestroomlijnde procedures, versnelde vergunningsverlening en administratieve vereenvoudiging, terwijl aanbieders van cloud- en AI-computingdiensten kosten besparen door de mogelijkheid om een enkele audit voor soevereine diensten te laten verrichten die in de hele Unie wordt erkend. Daarnaast is de verwachting dat ook nationale overheidsinstanties kosten kunnen besparen, met name door toegenomen gebruik van open source, gezamenlijk aanbestedingsmechanismen en federatie van capaciteit. Al met al is de uitkomst van het impact assessment dat het voorstel een positieve kosten-batenbalans heeft en haar doelstellingen op een proportionele en kosteneffectieve manier bereikt. Uit het impact assessment blijkt ook dat de voorkeursopties een overwegend positief effect hebben op het mkb en het concurrentievermogen, doordat het verminderen van afhankelijkheden van niet-Europese aanbiedersmogelijkheden creëert voor lokale aanbieders en mkb en pressiemiddel biedt op globaal niveau.

3. Nederlandse positie ten aanzien van het voorstel

a) Essentie Nederlands beleid op dit terrein

Het kabinet zet zich in voor het versterken van het Nederlandse en Europese concurrentievermogen en de weerbaarheid op het gebied van kritieke (digitale) technologieën. Daarbij wordt een integrale benadering van de gehele digitale technologie waardeketen gehanteerd, van halfgeleiders en digitale infrastructuur tot cloud, software en AI. Deze inzet sluit aan bij het coalitieakkoord, de opdrachtbrief aan de Taskforce Toekomstige Welvaart en Vestigingsklimaat (TTWV), de kabinetsappreciatie van het Draghi- en het Wennink-rapport, de Industriebrief, de Nationale Technologiestrategie, de kabinetsaanpak economische veiligheid, de kabinetsstrategie op Open Strategische Autonomie en de Agenda Digitale Open Strategische Autonomie.³ Bij elk van deze beleidsinitiatieven staat technologie centraal en wordt rekening gehouden met zowel technologie-specifieke inzet als horizontaal en randvoorwaardelijk beleid. Het nationale beleidskader voor datacenters wordt gevormd door de instructieregel hyperscale datacenters, die op 1 januari 2024 in werking is getreden onder de Omgevingswet (Besluit kwaliteit leefomgeving).⁴ Deze instructieregel verbiedt gemeenten om in hun omgevingsplan nieuwe hyperscale datacenters toe te staan. De instructieregel geldt voor heel Nederland, met uitzondering van een deel van de gemeente Hollands Kroon (Noord-Holland) en een deel van de gemeente Het Hogeland (Groningen, Eemshaven e.o.). Het besluit stelt op rijksniveau een landelijk kader, waarbij de discretionaire bevoegdheid bij decentrale overheden berust om dit kader aan te scherpen op basis van de lokale ruimtelijke en energetische context. Voor de overheidsdatacentra (ODC’s) is op dit moment geen beleid, terwijl er wel sprake is van schaarste. De Autoriteit Consument en Markt heeft recent bepaald dat de ODC’s geen prioriteit krijgen bij capaciteitsuitbreiding van elektriciteit. Ten aanzien van het gebruik en de aanbesteding van clouddiensten door overheden zijn er enkele lopende beleidsinitiatieven in Nederland.

Het huidig rijksbreed cloudbeleid (2022) is landenneutraal opgesteld – tenzij het land binnen de C2000-criteria⁵ valt, waardoor het risico op ongewenste toegang tot (persoons)gegevens blijft bestaan onder de invloed van niet-Europese wetgeving met extraterritoriale werking. Momenteel wordt het Rijksbreed cloudbeleid herzien, en na vaststelling gedeeld met de Tweede Kamer. Daarnaast wordt onder de prioriteit «Cloud» binnen de Nederlandse Digitaliseringsstrategie (NDS) reeds gebruik gemaakt van soevereiniteitscriteria, zoals gedefinieerd in het Cloud Sovereignty Framework van de Commissie. Ook wordt als onderdeel van de NDS verkend hoe een Nederlandse soevereine overheidscloud kan worden gerealiseerd. Voor de zomer deelt het kabinet ook nog een brief met de Tweede Kamer waarin wordt ingegaan op het beleid dat het kabinet voert voor een goed werkende markt voor clouddiensten in Nederland en het versterken van de concurrentiepositie van lokale aanbieders van clouddiensten. Vanuit de prioriteit «AI» binnen de NDS wordt er ook gewerkt aan een inkoopaanpak specifiek voor AI, die raakt aan cloud waar het bijvoorbeeld het inkopen van Software-as-a-Service-producten betreft. Er wordt daarbij gekeken hoe afname en gebruik van Europese en open AI-modellen gestimuleerd kan worden. Het kabinet is voornemens om op het gebied van generatieve AI enkel soevereine alternatieven toe te staan voor overheidsgebruik. Dit beleid wordt op dit moment vormgegeven.

b) Beoordeling + inzet ten aanzien van dit voorstel

Op hoofdlijnen kan het kabinet zich vinden in het voorstel voor de CADA. Deze sluit in grote lijnen aan bij de Nederlandse non-paper over het Tech Soevereiniteitspakket.⁶ Het kabinet beschouwt het voorstel voor de CADA nadrukkelijk als onderdeel van het bredere pakket. Het kabinet zal zich blijven inzetten voor een geïntegreerde benadering over de volle breedte van het pakket, in het kader van de «Europese Technologiestack». Het kabinet benadrukt hierbij dat aanbod en vraag binnen deze stack inherent hand in hand moeten gaan. Technologische soevereiniteit is immers gestoeld op de wisselwerking tussen alle lagen: van materialen, energie en chips tot en met de cloudinfrastructuur en de AI-toepassingen die daarop draaien. Een rol voor open source als cross-cutting enabler is hierbij van belang. De stimulering van de cloud- en AI-markt via de CADA moet daarom direct aansluiten op het aanbod van Europese halfgeleiders, zodat de verschillende beleidsinitiatieven elkaar optimaal versterken ten behoeve van onze technologische soevereiniteit.

Het kabinet kan zich grotendeels vinden in de intentie van de voorstellen en doelstellingen van de cloud- en AI-leiderschapsinitiatieven. Het kabinet staat positief tegenover de introductie van het instrument van de Grand Challenges in het pakket als geheel. Het doelgericht bundelen van Europese krachten rondom maatschappelijke en technologische uitdagingen kan een aanjager zijn voor innovatie en technologische soevereiniteit. Wel acht het kabinet verdere verduidelijking nodig wat betreft de Grand Challenges, in het bijzonder ten aanzien van eigenaarschap, coördinatie en de rolverdeling tussen de Commissie, lidstaten en industrie. Het kabinet benadrukt dat actieve en structurele betrokkenheid van de industrie essentieel is voor het succes van de Grand Challenges.

In de huidige bewoording is het onduidelijk of de leiderschapsinitiatieven toegespitst zijn op individuele lidstaten of grens overstijgende samenwerkingen tot doel hebben, zoals bij de Centra voor AI wordt vermeld. Ten slotte is verduidelijking gewenst met betrekking tot de rolverdeling tussen lidstaten, de Commissie en Joint Undertakings aangaande de implementatie van de initiatieven. Het kabinet zal in een later stadium nader informeren naar de link tussen de CADA, Important Projects of Common European Interest en andere Europese instrumenten voor innovatie. Het kabinet zet ook vraagtekens bij de doelen voor adoptie en ontwikkeling van AI. AI-ontwikkeling vereist immers een integrale benadering van de gehele waardeketen. De inzet in de rest van het voorstel richt zich echter primair op datacentercapaciteit en soevereine clouddiensten. Gerichte inzet is ook noodzakelijk op onderdelen als talent, algoritmen en kwalitatieve data, complementair aan de Apply-AI-strategie, het AI Continent Action Plan en de AI (giga)factories. Het kabinet mist deze brede visie op de AI-waardeketen en zal daarom pleiten voor aanvullende EU-actie zodat samen met de Chips Act 2.0 en de CADA de hele technologiestack van AI wordt gedekt: van chips en halfgeleiders tot cloudinfrastructuur en de uiteindelijke AI-toepassingen. Het kabinet erkent ook de noodzaak om de Europese aanpak voor AI zo goed mogelijk te stroomlijnen, maar maakt zich zorgen over de impact van een wettelijke verplichting tot het opstellen van nationale strategieën met vooraf vastgestelde maatregelen, die mogelijk vergaande financiële implicaties hebben. Wel onderschrijft het kabinet de inhoudelijke nadruk op bescherming van onze grondrechten, inzet van duurzaamheid en milieunormen, die qua focus nauw aansluit op de kabinetsinzet ten aanzien van duurzame digitalisering. Ook onderschrijft het kabinet het belang van een duurzame integratie van datacenters in het energiesysteem en het bevorderen van energie-efficiëntie, mede gezien de uitdagingen op het gebied van netcongestie en de sterk groeiende elektriciteitsvraag. Tot slot wordt de AI Board genoemd als gremium dat lidstaten kan adviseren en ondersteunen bij de coördinatie van nationale strategieën. Aangezien de AI Board bestaat uit afgevaardigden van de lidstaten zelf, is het onduidelijk hoe de AI Board lidstaten kan adviseren en ondersteunen bij de coördinatie van nationale strategieën. Het kabinet vraagt zichzelf tot slot af of een verordening het juiste instrument is om de genoemde AI-doelstellingen te verankeren en vindt het onduidelijk wat de financiële implicaties van de initiatieven zijn.

Het kabinet verwelkomt de intentie van de Commissie om de uitrol van datacentercapaciteit in de EU te versnellen en de geografische spreiding te verbeteren. Het kabinet erkent dat vergunningsprocedures voor de vestiging van datacenters lang en complex kunnen zijn in Europa. Tegelijkertijd heeft het kabinet twijfels bij de proportionaliteit van de voorgestelde maatregelen en systematiek. Het kabinet constateert dat de voorgestelde aanwijzingsplicht van de versnellingszones wordt gekoppeld aan de voorwaarde dat «datacentercapaciteit op het grondgebied van een lidstaat wordt uitgerold». Die formulering maakt onvoldoende helder wanneer aan die voorwaarde precies is voldaan en of dit ook het al bestaan van datacenters op het grondgebied van een lidstaat omvat. Bovendien ontbreekt een adequaat mechanisme om geografische spreiding te waarborgen. Het voorstel bevat bijvoorbeeld geen verplichtingen voor lidstaten met minder datacentercapaciteit om meer of grotere zones aan te wijzen. Dit riskeert dat lidstaten waar datacentercapaciteit in de EU op dit moment geografisch geconcentreerd is worden belast met verplichtingen die niet bijdragen aan het beoogde doel van de Commissie.

In dat verband is het kabinet benieuwd of ook een mogelijkheid wordt verkend waarin lidstaten in samenwerking de ontwikkeling van voldoende datacentercapaciteit borgen. Daarnaast wil het kabinet verduidelijking over de criteria voor het aanwijzen van een versnellingszone en de rol van medeoverheden daarin. Daarbij is het kabinet kritisch op de praktische haalbaarheid van gestelde termijnen, zoals de verplichting om binnen zes maanden na inwerkingtreding een versnellingszone aan te wijzen en een maximale vergunningsduur van twaalf maanden voor projecten in een zone. Het kabinet zal in de onderhandelingen pleiten voor maatregelen die beter in verhouding staan tot de door de Commissie genoemde knelpunten en de praktijk van vergunningstrajecten. Ten aanzien van het centrale informatiepunt steunt het kabinet de onderliggende gedachte om vergunningsfragmentatie te verminderen. Het kabinet heeft echter opnieuw vragen bij de voorgestelde maatregel. De benodigde vergunningstrajecten voor dergelijke projecten in Nederland zijn voldoende helder vastgelegd. Het is voor het kabinet op dit moment niet duidelijk of de voorgestelde ondersteuning bij het vinden van de juiste loketten en procedures de behoeften van datacenterbedrijven in Nederland ondervangt en of de rolbeschrijving van het informatiepunt niet te breed is, met onder andere ook ondersteuning bij publieke communicatie gericht op publieke acceptatie van het project. Het voorstel laat daarnaast onduidelijkheid bestaan over de vraag of lidstaten kunnen volstaan met het aanwijzen van bestaande loketten, zoals in de Gigabit Infrastructure Act, of verplicht zijn een volledig nieuw gecentraliseerd punt in te richten. Het kabinet zal zich inzetten voor een formulering die lidstaten expliciet de ruimte biedt bestaande nationale systemen te handhaven. Tot slot vraagt het kabinet zich af hoe het zich verhoudt tot de al bestaande Digitale toegangspoort en het centraal loket op grond van de Dienstenrichtlijn.

Het kabinet erkent dat de introductie van een systematiek van strategische datacenterprojecten potentieel zou kunnen bijdragen aan versterking van de Europese technologische soevereiniteit, mits de vergunnings- en milieutoetsing hiervan horizontaal aansluit bij het kader van de Milieuomnibus en nadere duiding van de Commissie volgt over de aanmerking van dergelijke projecten.⁷ Zo heeft het kabinet vragen bij de onderlinge verhouding tussen de onderdelen in het tweeledige stelsel van versnellingszones en strategische projecten. Het voorstel kent twee afzonderlijke routes die elk tot de status van strategisch project kunnen leiden: datacenterprojecten die worden gebouwd in de aangewezen versnellingszones door de lidstaat op grond van artikelen 10 tot en met 13, en de aanwijzing van een individueel project als strategisch door de Commissie op grond van artikel 14. De verhouding tussen deze twee routes is onvoldoende duidelijk. Zo bepaalt artikel 13 dat projecten in versnellingszones per definitie worden beschouwd als strategische projecten in de zin van artikel 14 van de verordening inzake versnelde milieu-effectbeoordelingen, maar maakt de tekst niet duidelijk of daarmee tevens de status van artikel 14 in de CADA wordt verkregen. Dit betekent mogelijk dat binnen één zone zowel projecten mét als zonder de strategische project status uit artikel 14 in de CADA kunnen bestaan, zonder dat helder is welke gevolgen daaraan verbonden zijn. Die onduidelijkheid wordt versterkt doordat de rechtsgevolgen van de status als strategisch project uit artikel 14 in de CADA zelf onvoldoende in de wettekst zijn verankerd.

De mogelijke implicaties van het toekennen van de status, te weten toegang tot EU-fondsen, het competitiviteitszegel en de mogelijkheid van nationale steunmaatregelen, worden uitsluitend in de overwegingen benoemd en missen daarmee bindende werking. Daar komt bij dat de criteria voor aanwijzing als strategisch project ruim zijn geformuleerd en slechts aan twee van de vijf voorwaarden hoeft te worden voldaan, waardoor het toepassingsbereik breed en slecht voorspelbaar is. Het kabinet acht dit onwenselijk vanuit het oogpunt van rechtszekerheid en zal aandringen op verduidelijking van de samenloop tussen beide routes en op expliciete verankering van de rechtsgevolgen in de bepalingen. Daarnaast acht het kabinet het wenselijk te verkennen of specifieke voorwaarden onder artikel 14 (1) als verplichte voorwaarden zouden moeten gelden, bijvoorbeeld ten aanzien van duurzaamheid en stabiliteit van het energienet of bijdrage aan onze digitale open strategische autonomie door het dienen van het publiek belang of de toepassing van in Europa ontwikkelde sleuteltechnologieën.

Het kabinet onderschrijft het nut van het vaststellen van een Europees soevereiniteitsraamwerk voor clouddiensten; hiermee wordt het mogelijk om het aanbod van soevereine clouddiensten op een eenduidige wijze met elkaar te vergelijken. Het kabinet is verheugd dat haar inzet om een dergelijk raamwerk gelaagd in te richten is overgenomen in het voorstel van de Commissie en gaat de gedetailleerde criteria op elk van de vier betrouwbaarheidsniveaus van het voorstel nader verkennen. Daarbij zal het kabinet expliciet oog hebben voor een nauwkeurige afstemming met de bepalingen in de herziene Cyber Security Act, en specifiek in de technische criteria van het European Cybersecurity Certification Scheme for Cloud Services, zodat beide kaders vanuit hun eigen functie goed op elkaar aansluiten en geen overlappende of conflicterende elementen bevatten. Het kabinet steunt de voorgestelde aanpak van de Commissie waarbij aanbieders erkenning op betrouwbaarheidsniveau 1 kunnen verkrijgen op basis van zelfbeoordeling tegen door de EU vastgestelde criteria, terwijl aanbieders voor betrouwbaarheidsniveaus 2, 3 en 4 een onafhankelijke toets door een derde partij op eigen kosten moeten aanvragen. Hiermee kan een erkenning op betrouwbaarheidsniveau 1 tegen lagere kosten gerealiseerd worden, terwijl voor de hogere niveaus een externe toets wenselijk is om voldoende zekerheid te bieden aan afnemers. Het kabinet zal aandacht besteden aan de proportionaliteit van de regeldruk en de kosten die samenhangen met de benodigde erkenning en audits, met het oog op de toegankelijkheid voor Europees mkb van aanbestedingen van soevereine clouddiensten. Tot slot onderschrijft het kabinet het belang van het bijhouden van een centraal register van erkende diensten door de Commissie. Het kabinet onderschrijft dat het aanwijzen van een of meer nationale bevoegde autoriteiten kan bijdragen aan een effectieve en consistente toepassing en handhaving van het soevereiniteitskader. Wel merkt het kabinet op dat de voorgeschreven bevoegdheden ter beoordeling van betrouwbaarheidsniveaus beperkt lijken tot het beoordelen van zelfbeoordeling en auditrapporten, en het wel of niet toekennen van een betrouwbaarheidsniveau op basis van deze zelfbeoordeling en auditrapporten. Het lijkt wenselijk dat er onder meer aandacht wordt besteed aan de capaciteit om doorlopende compliance met betrouwbaarheidsniveaus te controleren en eventueel betrouwbaarheidsniveaus te kunnen intrekken. Meer opheldering is gewenst over de reikwijdte van de bevoegdheden van bevoegde autoriteiten en de kaders voor samenwerking in verband met ófwel het toekennen van betrouwbaarheidsniveaus ófwel het controleren van betrouwbaarheidsniveaus.

Dit heeft mogelijk ook implicaties voor de benodigde capaciteit van toezichthouders en kan leiden tot nadere inzichten over de gepastheid van het voorstel om de bevoegdheden op nationaal niveau te beleggen. Het kabinet zal nadere toelichting verzoeken op het voorgestelde mandaat van de nationale bevoegde autoriteiten, de voorgestelde onderlinge ondersteuning en grens overstijgende samenwerking tussen nationale bevoegde autoriteiten, de voorgestelde rol van de Commissie ten opzichte van nationale bevoegde autoriteiten. Met betrekking tot derde landen erkent het kabinet het belang van het vaststellen van cumulatieve criteria voor het verrichten van een externe audit naar compliance met de criteria van betrouwbaarheidsniveau 3. Het kabinet ondersteunt specifiek de criteria over markttoegang en wederkerigheid bij overheidsaanbestedingen, die een gelijk speelveld voor de Nederlandse en EU -sector borgen. Wel vraagt het kabinet in de onderhandelingen aandacht voor de uitvoerbaarheid en snelheid van de criteria en de bijbehorende uitvoeringshandelingen, om rechtsonzekerheid of continuïteitsrisico's voor de Nederlandse cloudinfrastructuur in kritieke sectoren te voorkomen. Het kabinet beraadt zich nog op de verdere inhoud van de gestelde cumulatieve criteria en de implicaties van toetsing hieraan.

Het kabinet ziet waarde in de maatregelen om te komen tot goed onderbouwde, eenduidige risicobeoordelingen en de verplichtingen om deze minimaal elke twee jaar uit te voeren voor publieke sector activiteiten binnen (hoog) risicosectoren en voor activiteiten met betrekking op openbare orde, veiligheid, grensbewaking, justitie, defensie en ruimtevaart. Gezien ook het belang van internationale samenwerking is het goed om minimale betrouwbaarheidsniveaus af te spreken voor die activiteiten waar de risico’s significant zijn. Het kabinet steunt een risico-gebaseerde aanpak. Op eerste lezing stelt het kabinet vast dat het minimaal verplicht stellen van betrouwbaarheidsniveau 2 voor deze activiteiten mogelijk kan leiden tot keuzebeperking terwijl de noodzakelijkheid daarvan op voorhand niet in elk geval evident is. Het kabinet merkt op dat nader verkend moet worden of dit voor overheidsorganisaties in deze domeinen kan leiden tot hogere uitvoeringslasten of continuïteitsrisico’s, met specifieke aandacht voor defensie. Daarnaast zal het kabinet om een nadere duiding aan de Commissie vragen over het verplichten van betrouwbaarheidsniveau 4 voor de meest kritische sectoren, inclusief defensie. Op basis van de beschrijving in het voorstel is voor het kabinet niet op voorhand evident dat het verplichten van dit betrouwbaarheidsniveau in elk voorkomend geval wenselijk is. Daarom zal het kabinet nadere duiding van de Commissie vragen over de achtergrond en het toepassingsbereik hiervan. Het kabinet onderschrijft het bieden van de mogelijkheid aan entiteiten buiten de publieke sector om op eigen initiatief vergelijkbare risicobeoordelingen te kunnen uitvoeren. Het kabinet steunt ook het idee dat de Commissie richtsnoeren kan uitbrengen met voorstellen voor methodologie van deze impact assessments en mogelijke bijbehorende mitigerende maatregelen. Het kabinet is echter kritisch over de bevoegdheid die de Commissie zichzelf via gedelegeerde handelingen verschaft voor het opleggen van verplichtingen aan deze organisaties buiten de publieke sectoren.

Vanuit een integrale technologiestack-benadering steunt het kabinet wel het voornemen om via een aanbestedingscriterium voor «toegevoegde waarde aan de EU» het Europese cloud- en AI-ecosysteem te stimuleren. De koppeling naar software en hardware met toegevoegde waarde voor de Unie biedt kansen om de Europese positie in de digitale waardeketen te versterken zonder partners uit te sluiten. Het kabinet zou graag zien dat ook halfgeleiders en het bijbehorende ecosysteem expliciet onder de reikwijdte vallen. Nadere duiding en aanscherping van het voorgestelde criterium blijft noodzakelijk om te beoordelen of dit daadwerkelijk de beoogde impuls aan het ecosysteem geeft en of het bijvoorbeeld ook het gebruik van open standaarden verplicht stelt. Het kabinet onderschrijft ook het belang van monitoring van innovatieve cloud- en AI-aanbestedingen, maar benadrukt dat de monitoringsverplichting coherent en niet overlappend moet zijn aan de monitoringsverplichting in de aanbestedingsrichtlijnen. De toegevoegde waarde van de voorgestelde maatregelen ten aanzien van het gezamenlijke aanbestedingsmechanisme zijn echter niet op voorhand volkomen evident. Het voorstel reguleert samenwerking tussen aanbestedende diensten en de Commissie gedetailleerd en laat daarbij weinig ruimte voor een individuele benadering. De huidige aanbestedingsrichtlijnen bevatten al regelgeving over gezamenlijk aanbesteden en ook de Commissie is bij haar aanbestedingen gehouden aan de regelgeving uit de aanbestedingsrichtlijnen. Het kabinet zal tijdens de onderhandelingen vragen stellen aan de Commissie over de toegevoegde waarde van dit voorstel.

Het kabinet ondersteunt het voornemen om een EuroCloud-Federatie op te richten met als doel datacenter- en clouddiensten binnen de Unie met elkaar te verbinden; Nederland was ook al actief deelnemer aan dit initiatief in de pilotfase. Met de EuroCloud-Federatie kan op een vertrouwde wijze onder andere rekenkracht gedeeld worden tussen lidstaten, wat kan bijdragen aan het afbouwen van bestaande afhankelijkheden van leveranciers op dit gebied. Het kan ook helpen om de beperkte capaciteit van de overheidsdatacentra op te vangen. Het kabinet merkt op dat inbreng van clouddiensten is voorbehouden aan diensten die ontwikkeld zijn door publieke entiteiten of volledig in hun beheer zijn en de diensten tegen kostprijs geleverd moeten worden aan andere overheden. Voor diensten van lokale aanbieders van clouddiensten is deelname niet mogelijk. Het kabinet wil nader verkennen in welke mate deze opzet aansluit bij de ambitie om de concurrentiepositie van de Europese aanbieders van clouddiensten te versterken en of deze constructie geen potentieel marktverstorende werking heeft. Ten aanzien van open source en open standaarden steunt het kabinet de ambitie in het voorstel. Daarbij is het kabinet zich bewust van de verplichtingen rond het open source publiceren van broncode waarvan de overheid het intellectuele eigendom bezit,⁸ maar spreekt het kabinet tevens de zorg uit dat de navolging ervan EU-breed nog onvoldoende van de grond komt. Desondanks is de verwachting dat het voorstel van de Commissie zal helpen om meer, gestructureerd en grens overstijgend samen te werken op dit onderwerp. Het kabinet is voornemens beleid te voeren ter bevordering van het oprichten van Open Source Programme Offices, waarbij ook het oprichten van een nationale OSPO en haar positionering in het Rijks CIO-stelsel wordt verkend. Ook steunt het kabinet het voorstel voor een catalogus om samenwerking en hergebruik van open source oplossingen te bevorderen. Er zullen te zijner tijd maatregelen genomen worden om bestaande nationale catalogi te koppelen aan een nieuw op te richten EU-brede catalogus.

c) Eerste inschatting van krachtenveld

Met het Techsoevereiniteitspakket wil de Commissie in het algemeen een grotere regierol pakken en proactief beleid voeren over de gehele digitale waardeketen. Deze aanpak wordt verwelkomd op hoofdlijnen door zowel grote als kleine lidstaten. Het Europees Parlement (EP) pleit in dit kader voor verregaandere maatregelen. Het is nog niet bekend in welke EP-commissie het voorstel wordt behandeld en wie de rapporteur voor het voorstel is.

De meerderheid van de lidstaten onderschrijft naar verwachting de doelstellingen van het CADA-voorstel. Het belang van adoptie en ontwikkeling van AI-, cloud- en datacentercapaciteit en open source zal door een grote meerderheid van de lidstaten worden onderschreven, evenals het belang van meer geografische spreiding van deze capaciteiten binnen de EU. Naar verwachting zullen veel lidstaten positief zijn over het voorstel voor soevereiniteitscriteria, en zullen meerdere landen ook het voorstel voor een gelaagde, risico-gebaseerde benadering van soevereiniteit positief beoordelen. Ten aanzien van samenwerking met niet-Europese aanbieders zullen er lidstaten zijn die het belang van ruimte voor dergelijke samenwerking benadrukken, maar even goed lidstaten zijn die mogelijk aandacht vragen voor de positie van Europese aanbieders van clouddiensten in aanbestedingstrajecten.

4. Beoordeling bevoegdheid, subsidiariteit en proportionaliteit

a) Bevoegdheid

Als onderdeel van de toets of de EU mag optreden conform de EU-verdragen toetst het kabinet of de EU handelt binnen de grenzen van de bevoegdheden die haar door de lidstaten in de EU-verdragen zijn toegedeeld om de daarin bepaalde doelstellingen te verwezenlijken.

Het oordeel van het kabinet is deels positief, deels negatief. Het voorstel is gebaseerd op de artikelen 114 en 173 lid 3 VWEU. Artikel 114 VWEU geeft de EU de bevoegdheid tot het treffen van harmonisatiemaatregelen ter verwezenlijking van de interne markt. Op dit terrein is er sprake van een gedeelde bevoegdheid tussen de EU en de lidstaten op grond van artikel 2, tweede lid, juncto artikel 4, tweede lid, onder a, VWEU. Artikel 173 VWEU geeft de EU de bevoegdheid tot het coördineren, ondersteunen en aanvullen van de maatregelen die lidstaten nemen die nodig zijn voor het concurrentievermogen van de industrie van de EU. Op dit terrein is sprake van een ondersteunende bevoegdheid voor de EU op grond van artikelen 2, vijfde lid, juncto artikel 6, onder b, VWEU. Artikel 173, derde lid, VWEU sluit uitdrukkelijk harmonisatie van nationale wet- en regelgeving op basis van het eerste lid uit.

Het kabinet kan zich gedeeltelijk vinden in deze grondslagen. Het kabinet acht het juist dat de Commissie haar voorstel mede baseert op artikelen 114 en 173 VWEU. De voorgestelde verordening strekt volgens het kabinet, zoals ook aangegeven in paragraaf 2a, tot de bevordering van de werking van de interne markt, aangezien zij beoogt de huidige fragmentatie in de uitrol van datacentercapaciteit en uiteenlopende nationale kaders voor (het gebruik van) clouddiensten en soevereiniteitseisen te harmoniseren, waardoor belemmeringen voor de interne markt worden weggenomen en gelijke concurrentievoorwaarden voor aanbieders van clouddiensten worden gecreëerd.

Door de beschikbaarheid van energiezuinige rekencapaciteit te vergroten en de ontwikkeling en inzet van geavanceerde cloud- en AI-technologieën te bevorderen, draagt het voorstel direct bij aan het versterken van het Europese industriële concurrentievermogen en de technologische leiderspositie van de EU, overeenkomstig de doelstellingen van Artikel 173, derde lid, VWEU.

Echter, het kabinet vindt dat voor titel III, eerste hoofdstuk van het voorstel over de aanwijzing van versnellingszones voor datacentra, de artikelen 114 en 173 VWEU geen juiste rechtsgrondslag zijn wegens de impact op de fysieke leefomgeving en ruimtelijke ordening, omdat dit raakt aan nationale bevoegdheden. Het aanwijzen van ten minste één versnellingszone op het grondgebied van de lidstaat, waarbij rekening gehouden wordt met de overwegingen in dit voorstel waarbij lidstaten verplicht zijn om een integrale basisvergunning voor het uitrollen van een datacentrum in het gebied te realiseren, raakt rechtstreeks de nationale regelgeving over ruimtelijke ordening van lidstaten. Voor die regels acht het kabinet artikel 192, lid 2, onderdeel b, eerste lid, VWEU, de enige juiste rechtsgrondslag. Daarmee is er sprake van een bijzondere wetgevingsprocedure krachtens dit verdragsartikel die onverenigbaar is met de gewone wetgevingsprocedure ingevolge artikel 114, eerste lid, VWEU en artikel 173, derde lid, VWEU. Daarom acht het kabinet het vanuit juridisch oogpunt zeer wenselijk dat titel III, eerste hoofdstuk van het voorstel wordt afgesplitst met de juiste rechtsbasis Artikel 192, lid 2, onderdeel b, is een met de lidstaten gedeelde bevoegdheid (artikel 4, tweede lid, onderdeel e, VWEU).

b) Subsidiariteit

Als onderdeel van de toets of de EU mag optreden conform de EU-verdragen toetst het kabinet de subsidiariteit van het optreden van de Commissie. Dit houdt in dat het kabinet op de gebieden die niet onder de exclusieve bevoegdheid van de Unie vallen of wanneer sprake is van een voorstel dat gezien zijn aard enkel door de EU kan worden uitgeoefend, toetst of het te overwegen optreden niet voldoende door de lidstaten op centraal, regionaal of lokaal niveau kan worden verwezenlijkt, maar vanwege de omvang of de gevolgen van het overwogen optreden beter door de Unie kan worden bereikt (het subsidiariteitsbeginsel). Het oordeel van het kabinet is positief. De verordening heeft tot doel de beperkte en geografisch geconcentreerde beschikbaarheid van duurzame rekenkracht in de EU te verbeteren en de risicovolle strategische afhankelijkheden van niet-EU-aanbieders van AI en cloudtechnologie te verminderen. Gezien de grensoverschrijdende aard van deze problematiek kan dit onvoldoende door de lidstaten op centraal, regionaal of lokaal niveau worden verwezenlijkt. Daarom is een EU-aanpak wenselijk. Door harmonisatie van soevereiniteitscriteria en aanbestedingsregels wordt het gelijke speelveld op het terrein van clouddiensten verbeterd en worden belemmeringen op de interne markt voor Europese aanbieders weggenomen, zodat zij kunnen groeien buiten hun nationale markten. Om die redenen is optreden op het niveau van de EU gerechtvaardigd. Wel zal het kabinet verdere onderbouwing van de verschillende maatregelen vragen aan de Commissie.

c) Proportionaliteit

Als onderdeel van de toets of de EU mag optreden conform de EU-verdragen toetst het kabinet of de inhoud en vorm van het optreden van de Unie niet verder gaan dan wat nodig is om de doelstellingen van de EU-verdragen te verwezenlijken (het proportionaliteitsbeginsel). Het oordeel van het kabinet is positief met kanttekeningen. De verordening heeft tot doel beperkte en geografisch geconcentreerde beschikbaarheid van duurzame rekenkracht in de EU te verbeteren en de risicovolle strategische afhankelijkheden van niet-EU-aanbieders van AI en cloudtechnologie te verminderen.

Het voorgestelde optreden is geschikt om deze doelstelling te bereiken. Uniforme en rechtstreeks toepasselijke regels zijn noodzakelijk om een gelijk speelveld voor aanbieders van clouddiensten in de gehele interne markt te waarborgen. Twee onderdelen illustreren de geschiktheid van het optreden. Ten eerste introduceert het voorstel geharmoniseerde soevereiniteitscriteria voor clouddiensten die aan overheden worden geleverd, waarbij de hoogste betrouwbaarheidsniveaus aanpassingen vragen aan de dienstverlening van aanbieders uit derde landen. Ten tweede introduceert het voorstel een beoordelingscriterium in aanbestedingstrajecten waarmee de bijdrage van de offerte van een aanbieder aan de ontwikkeling van de Europese Unie wordt meegewogen. Beide onderdelen kunnen bijdragen aan een meer gediversifieerde afname van clouddiensten voor kritieke toepassingen en gegevens door overheden, waardoor de hoge mate van afhankelijkheid van een beperkt aantal niet-Europese aanbieders en de sterke concentratie daarvan kunnen worden beperkt, hetgeen direct bijdraagt aan de doelstelling van het versterken van de strategische autonomie.

Het voorgestelde optreden gaat over het algemeen niet verder dan noodzakelijk. Wel plaatst het kabinet kanttekeningen bij de proportionaliteit van een aantal specifieke onderdelen van het voorstel. Zo constateert het kabinet dat de verplichtingen rondom de aanwijzing van datacenter-versnellingszones en de bijbehorende termijnen, waaronder de verplichting om binnen zes maanden een zone aan te wijzen en een maximale vergunningsduur van twaalf maanden, verder kunnen gaan dan noodzakelijk voor het beoogde doel, in het bijzonder voor lidstaten die reeds over adequate capaciteit en functionerende vergunningsstelsels beschikken. Daarnaast gaan de rechtsgevolgen van de vereisten rondom het centrale informatiepunt verder dan noodzakelijk, nu onvoldoende ruimte wordt gelaten voor lidstaten om bestaande nationale structuren te benutten.

Ook ten aanzien van de beslissingsbevoegdheid van de Commissie over de inzet en uitkomsten van risicobeoordelingen van betrouwbaarheidsniveaus voor soevereine cloud door overheden en partijen in kritische sectoren vraagt het kabinet aandacht voor de proportionaliteit. Het kabinet plaatst daarbij in het de kanttekening dat de mogelijkheid voor de Commissie om een door een lidstaat bepaald betrouwbaarheidsniveau opzij te zetten mogelijk verder zou kunnen gaan dan noodzakelijk, nu de beoogde harmonisatie reeds met uniforme criteria en methodiek kan worden geborgd. Het kabinet zal zich in de onderhandelingen inzetten voor een meer gerichte en evenredige uitwerking van deze verplichtingen.

5. Financiële consequenties, gevolgen voor regeldruk, concurrentiekracht en geopolitieke aspecten

a) Consequenties EU-begroting

De Commissie geeft in het voorstel aan dat de uitvoering circa € 34,5 miljoen kost voor de periode 2028–2034 vanuit de EU-begroting, bestaande uit circa € 9,3 miljoen aan operationele uitgaven en circa € 25,2 miljoen aan administratieve uitgaven (voornamelijk personeelskosten). Deze financiering vindt plaats door herschikking binnen bestaande programma's onder het MFK 2028–2034, waarbij de Commissie een significant deel verwacht te financieren vanuit het European Competitiveness Fund (ECF). De Commissie schrijft in het voorstel 25 FTE nodig te hebben voor de uitvoering van haar taken (verdeeld over DG CNECT en DG DIGIT), à circa € 3,6 miljoen per jaar aan personeelskosten. Hiervan worden 15 FTE herplaatst binnen de Commissie. Daarnaast vraagt de Commissie 10 nieuwe FTE boven op de huidige personeelsniveaus voor nieuwe taken die niet kunnen worden opgevangen door herplaatsing.

Daarnaast voorziet de Commissie in financiering via heffingen (fees) voor taken in verband met gezamenlijke aanbesteding en het EuroCloud Federation-mechanisme, geraamd op circa € 54,3 miljoen voor de periode 2028–2034. Deze kosten worden volledig gefinancierd uit de heffingen op de betrokken dienstverleners en belasten de EU-begroting niet.

Nederland is van mening dat de benodigde EU-middelen gevonden dienen te worden binnen de in de Raad afgesproken financiële kaders van de EU-begroting 2021–2027 en dat deze moeten passen bij een prudente ontwikkeling van de jaarbegroting. Het kabinet wil niet vooruitlopen op de integrale afweging van middelen na 2027. Daarnaast moet de ontwikkeling van de administratieve uitgaven in lijn zijn met de ER-conclusies van juli 2020 over het MFK-akkoord. Het kabinet is kritisch over de stijging van het aantal werknemers.⁹

b) Financiële consequenties (incl. personele) voor Rijksoverheid en/ of medeoverheden

Zoals het voorstel nu voorligt zullen er incidentele en structurele financiële consequenties zijn voor de Rijksoverheid, medeoverheden en uitvoeringsorganisaties. Deze kosten zijn het gevolg van het soevereiniteitsraamwerk voor clouddiensten, het bijbehorende toezicht en de verplichte risicobeoordelingen. Hoe deze kosten zich vertalen naar de Nederlandse situatie is op basis van het impact assessment niet rechtstreeks af te leiden, waardoor de kosten voor Nederland nog niet kunnen worden gekwantificeerd. (Eventuele) budgettaire gevolgen worden ingepast op de begroting(en) van het/de departement(en) wiens beleidsverantwoordelijkheid wordt geraakt door de verordening zoals uiteindelijk gepubliceerd in het Europees publicatieblad, conform de begrotingsregels.

Voor onderzoek en innovatie moeten lidstaten een nationale cloud- en AI-strategie opstellen en periodiek actualiseren. De Commissie raamt dit op een eenmalige last van EUR 1 tot 2 miljoen en terugkerende kosten van EUR 0,6 tot 1,2 miljoen voor alle lidstaten samen.

Voor de datacenteruitrol moeten lidstaten versnellingszones aanwijzen, een of meer centrale informatiepunten aanwijzen en vergunningprocedures stroomlijnen, wat medeoverheden zal raken. De Commissie raamt dit op een eenmalige administratieve last van € 1,2 tot 6,1 miljoen en terugkerende kosten van € 46,4 tot 86,3 miljoen voor alle lidstaten samen. Wel wijst de Commissie erop dat deze taken bij bestaande structuren kunnen worden belegd, waardoor de kosten beperkt kunnen blijven. Voor de aanpassingen in aanbestedingen, afname van soevereine cloud diensten, en open source gebruik verwacht de Commissie een eenmalige last € 140 tot 420 miljoen in aanpassingskosten en € 10 tot 27 miljoen in administratieve kosten voor alle lidstaten samen. De structurele kosten worden geschat op € 1,3 tot 2,7 miljard aanpassingskosten en € 142 tot 293 miljoen administratieve kosten voor alle lidstaten samen.

Het voorstel verplicht iedere lidstaat tot het aanwijzen van een of meer nationale bevoegde autoriteiten voor het toezicht op erkende aanbieders van clouddiensten en op de auditprocedure. Het gaat om een nieuwe, structurele toezichtstaak die naar verwachting bij een bestaande onafhankelijke toezichthouder wordt belegd. De Commissie raamt deze taak op 0,2 fte per lidstaat, uitsluitend voor het verifiëren van auditrapporten. Het kabinet voorziet dat hiervoor een claim voor structurele toezichtcapaciteit nodig zal zijn, waarvan de omvang in afstemming met de beoogde toezichthouder in kaart wordt gebracht. Voor risicobeoordelingen verwacht de Commissie 10 fte per lidstaat van 2029 en vierjaarlijkse herziening van de risicobeoordeling wordt 5 fte per lidstaat verwacht.

Voor datacenteruitrol verwacht de Commissie dat de administratieve vereenvoudiging van vergunningverlening leidt tot een terugkerende lastenverlichting van € 166 tot 277 miljoen voor alle lidstaten samen, deze baten landen voornamelijk bij medeoverheden. Middels het standaardiseren van aanbestedingscriteria verwacht de Commissie een terugkerende besparing van € 4 tot 13 miljoen en circa € 2,5 miljoen doordat de naleving van soevereiniteitseisen vooraf is geverifieerd en aanbestedende diensten minder tijd kwijt zijn aan het beoordelen van geschiktheid. De Commissie verwacht een totale besparing voor overheden op € 21 tot 61 miljard over een periode van 10 jaar.

c) Financiële consequenties en gevolgen voor regeldruk voor bedrijfsleven en burger

In het bij het voorstel gevoegde impact assessment is een inschatting gemaakt van de verwachte kosten en baten voor bedrijven en overheden in de EU. Hoe dit zich precies vertaalt naar de Nederlandse situatie is op basis van het impact assessment niet direct af te leiden.

Het voorstel heeft regeldrukgevolgen voor het bedrijfsleven. Op basis van de berekeningen in het impact assessment komen de totale regeldrukkosten voor bedrijven naar schatting uit op € 210 tot 470 miljoen aan eenmalige kosten en € 560 miljoen tot 2,9 miljard aan structurele kosten, berekend over een periode van tien jaar. De Commissie concludeert dat het voorstel per saldo tot een positieve regeldrukbalans leidt, doordat de besparingen door harmonisatie, administratieve vereenvoudiging en een EU-brede audit zwaarder wegen dan de nieuwe nalevings- en implementatielasten. Het kabinet plaatst bij deze conclusie een kanttekening. De positieve netto-uitkomst berust vrijwel volledig op de veronderstelling dat één EU-brede audit meerdere nationale audits vervangt, hetgeen een geraamde besparing van € 2,0 miljard tot € 5,0 miljard oplevert. Indien deze besparing niet of slechts gedeeltelijk wordt gerealiseerd, resteert een netto lastenstijging voor het bedrijfsleven. Het kabinet zal de Commissie verzoeken deze veronderstelling nader te onderbouwen.

De regeldrukgevolgen slaan met name neer bij drie groepen bedrijven. Datacenteroperatoren ondervinden eenmalige administratieve lasten voor onder andere aanvraagprocedures voor toegang tot fast-track gebieden, subsidierondes en financieringsaanvragen voor onderzoek, ontwikkeling en strategische projecten, alsmede eenmalige aanpassingskosten van € 6 tot 26 miljoen en beperkte structurele lasten voor periodieke monitoring. Een doorvertaling naar de regeldrukgevolgen voor Nederlandse datacenteroperatoren is complex, maar lijkt op het eerste oog beperkt. De ambitie van de Commissie ten aanzien van de ontwikkeling van meer datacenters is een verdrievoudiging van de capaciteit in de aankomende vijf tot zeven jaar, met specifieke aandacht voor het terugdringen van de geografische concentratie van datacenters binnen de EU. Nederland is een locatie waar -afgezet tegen het Europees gemiddelde – veel van de momenteel beschikbare datacentercapaciteit gehuisvest is. In combinatie met complexe vergunningsprocedures en de voortdurende netcongestie en stikstofproblematiek (waarvan de gevolgen naar verwachting niet op korte termijn of binnen de gestelde periode van vijf tot zeven jaar volledig zijn opgelost) maakt het niet voor de hand liggend dat een proportioneel deel van de geambieerde verdrievoudiging in Nederland gerealiseerd zal worden. De verwachte regeldrukgevolgen worden daarom ingeschat als beperkt. De Commissie heeft geen terugkerende kosten opgenomen voor de financieringsaanvragen voor onderzoek en ontwikkeling, het kabinet verwacht wel structurele kosten en zal nadere onderbouwing vragen aan de Commissie.

Voor aanbieders van cloud- en AI -geconfronteerd met de zwaarste verplichtingen uit het soevereiniteitskader- wordt een lastenverzwaring voorzien van eenmalige aanpassingskosten van € 173 tot 352 miljoen en structurele administratieve lasten voor tussentijdse audits en aanpassing van offertes aan de nieuwe aanbestedingscriteria. Het kabinet verwacht ook structurele aanpassingskosten voor bedrijven om deze soevereiniteitseisen na te leven en zal hier nadere informatie over vragen. Private entiteiten in kritieke sectoren dragen mogelijk de grootste afzonderlijke regeldrukpost in het voorstel: de verplichting om soevereiniteitsrisico's te integreren in bestaande risicobeoordelingen leidt tot mogelijke structurele administratieve lasten van € 480 miljoen tot € 2,62 miljard op EU-niveau. Het kabinet zal aandringen op een nadere analyse van de lastenverdeling over de betrokken sectoren. Voor het midden- en kleinbedrijf verwacht de Commissie per saldo een afname van de regeldruk, doordat harmonisatie van de interne markt de zoek- en nalevingskosten verlaagt, en het eenvoudiger is om op te schalen. De consequenties van de cloud- en AI-leiderschapsinitiatieven op de regeldruk zijn niet duidelijk te herleiden uit de impact assessment, het kabinet zal hier verdere onderbouwing voor vragen.

Tegenover de regeldruk- en uitvoeringskosten staan substantiële financiële baten, die de Commissie deels heeft gekwantificeerd en deels kwalitatief heeft beschreven. De directe, gekwantificeerde baten slaan neer bij zowel het bedrijfsleven als de overheid. Voor datacenteroperatoren leveren de versnelling van vergunningstrajecten en de administratieve vereenvoudiging naar schatting een netto contante waarde op van € 8 tot 27 miljard over een periode van tien jaar, voornamelijk door een kortere time-to-market. Voor aanbieders van cloud- en AI-diensten ontstaat een geraamde besparing van € 2 tot 5 miljard doordat zij met één EU-brede soevereiniteitsaudit kunnen deelnemen aan overheidsaanbestedingen in alle lidstaten, in plaats van afzonderlijke nationale audits te moeten doorlopen. Daarnaast benoemt de Commissie bredere baten dan op regeldrukterrein (zie onderdeel 5d). Het kabinet onderschrijft dat deze bredere baten van belang zijn, maar wijst erop dat zij geen regeldrukbesparingen vormen en dat de positieve totale kosten-batenbalans van het voorstel deels op deze niet-gekwantificeerde, economische en strategische voordelen berust.

Voor burgers worden geen directe regeldrukgevolgen of andersoortige financiële consequenties verwacht. Indirect kunnen burgers profiteren van een grotere beschikbaarheid en veiligheid van digitale overheidsdiensten en van toegenomen concurrentie op de cloudmarkt.

Reactie kabinet op advies ATR

Het Adviescollege toetsing regeldruk kwam tot de volgende adviespunten ten aanzien van het BNC-fiche:

• 1. ATR adviseert de regeldrukeffecten voor het Nederlandse bedrijfsleven in kaart te brengen, mede gezien de omvang van de branche in Nederland en de uitdagingen die in de Nederlandse situatie gelden.

• 2. ATR adviseert om bij de Commissie na te gaan in welke mate de EU-brede audits van soevereine clouddiensten daadwerkelijk alle nationale audits zullen vervangen en geen audits introduceren die momenteel niet op nationaal niveau worden uitgevoerd.

• 3. ATR adviseert om aan de Commissie inzicht te vragen in de samenhang van de nieuwe verplichtingen in CADA met bestaande Europese kaders zoals NIS2, DORA, de Cybersecurity Act en de Europese aanbestedingsregelgeving.

Het impact assessment van de Commissie kwantificeert de regeldrukeffecten slechts beperkt en uitsluitend op EU-niveau, zonder onderscheid naar lidstaat. Daardoor is op dit moment niet inzichtelijk hoeveel Nederlandse datacenterexploitanten, aanbieders van cloud- en AI-diensten, onderaannemers en private entiteiten in kritieke sectoren daadwerkelijk worden geraakt en welke kosten en baten per doelgroep in Nederland te verwachten zijn. Daarbij maakt het impact assessment niet steeds onderscheid tussen lasten die rechtstreeks uit het voorstel voortvloeien, lasten die afhankelijk zijn van toekomstige gedelegeerde en uitvoeringshandelingen en lasten die vrijwillig worden gemaakt, terwijl ook de mate van overlap met bestaande nationale verplichtingen nog onduidelijk is. Een betrouwbare kwantificering vergt dan ook nader onderzoek, waaronder mogelijk consultatie van de betrokken Nederlandse bedrijven, zodat het kabinet de regeldrukgevolgen kan meewegen in het verdere Europese besluitvormingsproces.

Zoals eerder opgemerkt in dit fiche, berust de, door de Commissie geraamde positieve regeldrukbalans, op de veronderstelling dat één EU-brede audit meerdere nationale audits vervangt. Het kabinet zal de Commissie verzoeken deze veronderstelde besparing nader te onderbouwen en daarbij na te gaan in hoeverre de EU-brede audit bestaande nationale audits vervangt of auditverplichtingen introduceert die op nationaal niveau niet bestaan.

Het kabinet zal de Commissie om verduidelijking vragen over de samenhang van de nieuwe verplichtingen uit de CADA met bestaande Europese kaders, waaronder NIS2, DORA, de Cybersecurity Act en de Europese aanbestedingsregelgeving. Onvoldoende samenhang met deze kaders kan immers substantiële gevolgen hebben voor de werking en de regeldrukeffecten van de CADA in de praktijk.

d) Gevolgen voor concurrentiekracht en geopolitieke aspecten

Met het Techsoevereiniteitspakket kiest de Commissie voor een proactieve aanpak om risicovolle strategische afhankelijkheid in de digitale waardeketen te verminderen. Het pakket heeft al geleid tot tegenreacties van buitenlandse overheden en bedrijven die waarschuwen voor een té protectionistische houding. Hoewel deze geïntegreerde ketenbenadering het Europese concurrentievermogen en weerbaarheid op lange termijn kan verbeteren, moet ook rekening worden gehouden met mogelijke vergeldingsmaatregelen van variërende ordergrootte tegen de EU in het algemeen.

De CADA beoogt de beschikbaarheid van rekencapaciteit in de EU te vergroten en de afhankelijkheid van niet-Europese aanbieders te verminderen, hetgeen volgens de Commissie bijdraagt aan economische groei, werkgelegenheid en hoogwaardige banen in de technologiesector. Een grotere binnenlandse rekencapaciteit stelt Europese industrieën, met name diegene die lage latentie en hoogwaardige rekencapaciteit vereisen, beter in staat te profiteren van cloud- en AI-technologieën. Verder verwacht de Commissie dat het voorstel de marktpositie en concurrentiekracht van Europese aanbieders versterkt, de strategische autonomie van de EU op het gebied van digitale infrastructuur vergroot en de collectieve onderhandelingspositie van de lidstaten verbetert. Het kabinet onderschrijft de analyse van de Commissie dat het voorstel bijdraagt aan het versterken van de soevereiniteit en concurrentiekracht van het Europese cloud- en AI-ecosysteem. Dit is cruciaal voor het afbouwen van afhankelijkheden in het digitale domein en, in het verlengde daarvan, het versterken van de digitale open strategische autonomie van de EU. Onder meer de recente rapporten van Wennink, Letta en Draghi onderstrepen de cruciale rol van AI, cloud en datacenters voor de Europese concurrentiekracht. Met de voorstellen van de Commissie wordt ingezet op de adoptie en ontwikkeling van precies deze technologieën, waarbij de verwachting is dat voorstellen bijdragen aan de concurrentiepositie en het verdienvermogen van partijen en lidstaten in de EU. In haar impact assessment specificeert de Commissie dat de kosten veelal eenmalig van aard zijn of direct verbonden zijn aan de implementatie- en transitiefase, terwijl de verwachte baten terugkerend zijn. Daarmee is de verwachting dat de voorgestelde combinatie van beleidsopties naar verwachting kosteneffectief is en tot hogere baten dan kosten leidt binnen de beoordelingsperiode. Daarmee leidt het voorstel tot netto positieve opbrengsten voor de EU.

Het voorstel van de Commissie heeft geopolitieke aspecten. De CADA is onderdeel van het pakket dat expliciet tot doel heeft om afhankelijkheden van derde landen in het digitale domein te mitigeren. De CADA richt zich op het versterken van de soevereiniteit en concurrentiekracht van het Europese cloud- en AI-ecosysteem. Daartoe stelt het voorstel onder meer soevereiniteitscriteria voor clouddiensten die geleverd worden aan overheden, waaronder criteria die voor de hoogste betrouwbaarheidsniveaus aanpassing vragen aan de dienstverlening van aanbieders van clouddiensten uit derde landen. Ook stelt het voorstel een beoordelingscriterium voor in aanbestedingstrajecten waarmee de bijdrage die een offerte van een aanbieder levert aan de ontwikkeling van de Europese Unie wordt meegewogen. Beide onderdelen kunnen bijdragen aan een meer gediversifieerde afname van clouddienstverlening voor kritieke toepassingen en gegevens door overheden, waardoor de hoge mate van afhankelijkheid en sterke concentratie van die afhankelijkheid mogelijk kunnen worden beperkt. Vanwege de focus van het voorstel op specifiek clouddienstverlening voor kritieke toepassingen en gegevens blijft een open markt voor het overgrote deel van de markt gewaarborgd, waardoor implicaties voor aanbieders uit derde landen beperkt zijn. Dit neemt niet weg dat het voorstel mogelijk tot reacties van derde landen kan leiden.

6. Implicaties juridisch

a) Consequenties voor nationale en decentrale regelgeving en/of sanctionering beleid (inclusief toepassing van de lex silencio positivo)

Het voorstel betreft een EU-verordening en is daarmee rechtstreeks toepasselijk in alle lidstaten. Anders dan bij EU-richtlijnen is omzetting in nationale regelgeving in beginsel niet toegestaan. De uitvoering van de verordening vereist echter wel nationale uitvoeringsregelgeving op een aantal onderdelen.

Het kabinet voorziet dat de uitvoering van het CADA-voorstel consequenties zal hebben voor Nederlandse regelgeving. Nederland kent momenteel geen sectorspecifieke wetgeving voor cloud en AI die rechtstreeks voortvloeit uit EU-richtlijnen op dit terrein. De CADA introduceert echter nieuwe verplichtingen die nationale uitvoeringsregelgeving vereisen, waaronder de aanwijzing van een nationale bevoegde autoriteit voor erkenning, toezicht en handhaving (artikelen 17 en 25), het verlenen van bevoegdheden voor toezicht en handhaving, waaronder sanctionering (artikelen 24 en 26), de vaststelling van een nationale cloud- en AI-strategie (artikel 7) en de aanwijzing van versnellingszones met de daar bijhorende wijziging van administratieve procedures (artikelen 10 en 13). Bestaande nationale regelgeving op aanpalende terreinen, zoals ruimtelijke ordening, omgevingsvergunningen en aanbestedingsrecht, zal mogelijk moeten worden bezien op strijdigheid met of aanpassing aan de verordening.

b) Gedelegeerde en/of uitvoeringshandelingen, incl. NL-beoordeling daarvan

Er worden vijf gedelegeerde handelingen in het voorstel aan de Commissie toegekend (art. 6, lid 4; art. 16, lid 2; art. 20, lid 9; art. 21, lid 1; art. 31, lid 3). Het betreft allereerst de bevoegdheid om Annex I te wijzigen, die de operationele doelstellingen van de Cloud and AI Leadership Initiatives bevat (art. 6, lid 4). De Commissie kan deze bijlage aanpassen om relevante markt- en technologische ontwikkelingen te weerspiegelen, mits de wijzigingen in lijn blijven met de overkoepelende doelstellingen van artikel 4. Voorts wordt de Commissie gemachtigd de in Annex II vastgestelde criteria voor de vier Unie-zekerheidsniveaus (Union assurance levels) en de in Annex III opgenomen bewijsvereisten te wijzigen (art. 16, lid 2), teneinde beide bijlagen actueel te houden in het licht van nieuwe juridische of technische ontwikkelingen. Daarnaast krijgt de Commissie de bevoegdheid om aanvullende regels op te stellen over het uitvoeren van audits, de processtappen, de kennis en kunde van de auditorganisaties, de gebruikte methodologieën en sjablonen voor de verslaglegging (art. 20, lid 9). Het gaat daarbij om procedurele stappen, eisen aan auditorganisaties, auditmethodieken en sjablonen voor auditrapportages. Tevens wordt de Commissie gemachtigd Annex III te wijzigen door nadere bewijsvereisten vast te stellen die noodzakelijk zijn voor de beoordeling van de in Bijlage II neergelegde auditcriteria (art. 21, lid 1). Tot slot mag de Commissie via een uitvoeringshandeling de noodzaak specificeren (motiveren) waarom private bedrijven in kritieke sectoren impact assessments en risico-mitigatiemaatregelen moeten implementeren (Artikel 31 lid 3).

Ten aanzien van de gedelegeerde handeling uit artikel 6(4) is delegatie mogelijk, omdat het een niet-essentieel onderdeel van de basishandeling betreft. Toekenning van deze bevoegdheid acht het kabinet wenselijk vanwege de behoefte aan flexibiliteit voor de Commissie om in te spelen op technologische ontwikkelingen en een snel veranderende markt. De keuze voor delegatie in plaats van uitvoering ligt hier voor de hand, omdat het gaat om het aanvullen en wijzigen van een niet-essentieel onderdeel van de verordening, te weten de operationele doelstellingen in Annex I. Het kabinet acht deze bevoegdheid voldoende afgebakend, gelet op de expliciete voorwaarde dat wijzigingen in overeenstemming moeten blijven met de overkoepelende doelstellingen van artikel 4.

Ten aanzien van de gedelegeerde handeling uit 31(3) is delegatie mogelijk, omdat het een niet-essentieel deel van de basishandeling betreft. Toekenning van deze bevoegdheid acht het kabinet niet wenselijk vanwege het belang van de motivering van de verplichtingen zoals geregeld in lid 3. Er zou namelijk een gedragen motivering ten grondslag moeten liggen aan het opleggen van dergelijke verplichtingen, mede aangezien deze directe inbreuk maakt op de veiligheidsbevoegdheid die belegd is bij individuele lidstaten en niet (eenzijdig) bij de Commissie. Het kabinet kan instemmen met delegatie mits de essentiële maatstaven voor deze motivering in de verordening zelf worden verankerd en de bevoegdheid beperkt blijft tot de technische uitwerking daarvan.

Ten aanzien van de gedelegeerde handelingen uit artikel 16(2), 20(9) en 21(1) is delegatie mogelijk, omdat het alle drie niet-essentiële onderdelen van de basishandeling betreft. Ten aanzien van artikel 16(2) acht het kabinet toepassing wenselijk vanwege de behoefte aan flexibiliteit en snelheid voor het aanpassen van de criteria in de bijlages, gezien de snelheid van de markt- en technologische ontwikkelingen. Ook voor 20(9) acht het kabinet de bevoegdheid wenselijk, omdat de technische en procedurele eisen aan auditorganisaties en auditmethodieken nauw samenhangen met die markt- en technologische ontwikkelingen en daarmee evenzeer behoefte hebben aan een flexibel en snel aanpasbaar kader. Hetzelfde geldt voor 21(1), de bewijsvereisten op basis waarvan auditorganisaties de naleving van de zekerheidsniveaus beoordelen dienen mee te kunnen bewegen met technische en juridische ontwikkelingen, zodat de audits actueel en effectief blijven. Het kabinet kan zich bij alle drie de bevoegdheden vinden in de keuze voor delegatie, omdat het hier respectievelijk gaat om specifieke details die de toe te kennen betrouwbaarheidsniveaus bepalen, de inrichting en uitvoering van de audits, en de daaraan ten grondslag liggende bewijsvereisten. Het kabinet acht alle drie de bevoegdheden voldoende afgebakend.

Daarnaast bevat het voorstel bevoegdheden voor de Commissie om uitvoeringshandelingen vast te stellen. Het voorstel bevat 10 uitvoeringshandelingen.

Het betreft allereerst de bevoegdheid voor de Commissie om uitvoeringsbesluiten vast te stellen waarin de procedure voor de oprichting van AI-centra en verdere regelingen betreffende het profiel van de deelnemende organisaties, de selectiecriteria en details over de uitvoering van de taken en functies worden uiteengezet (art. 5, lid 4). Voorts krijgt de Commissie de bevoegdheid om de procedure vast te stellen voor het verkrijgen van een Unie-betrouwbaarheidsniveau (art. 17, lid 12). Daarnaast kan de Commissie via uitvoeringshandelingen cumulatieve criteria vaststellen waaraan derde landen moeten voldoen om aanbieders van clouddiensten uit dat land, of aanbieders van clouddiensten die onder controle van dat land vallen, een externe audit te mogen laten verrichten naar compliance met de criteria van betrouwbaarheidsniveau 3 overeenkomstig Annex II, mits het derde land voldoet aan de cumulatieve voorwaarden van artikel 18(1)(a) t/m (f) (art. 18, lid 1). Ook kan de Commissie de methode van risicobeoordeling vaststellen, waaronder de aanpak, de te hanteren modellen en de elementen die moeten worden meegewogen in de risicobeoordelingen als bedoeld in artikel 29, lid 1 (art. 29, lid 3). Tevens krijgt de Commissie de bevoegdheid om, indien zij oordeelt dat het Unie-betrouwbaarheidsniveau dat een lidstaat heeft bepaald op grond van een risicobeoordeling niet passend is of onvoldoende de openbare-ordebelangen adresseert, bij uitvoeringsbesluit voor die overheidstaak het betrouwbaarheidsniveau vast te stellen (art. 29, lid 5). Verder kan de Commissie via uitvoeringshandelingen de procedure specificeren voor deelname aan de EuroCloud Federatie (art. 34, lid 4), technische, operationele en organisatorische maatregelen vastleggen voor deelname aan de EuroCloud Federatie (art. 35, lid 6), en gedetailleerde regels vaststellen voor het bepalen van de geraamde kosten, de hoogte van de individuele vergoedingen en de wijze en voorwaarden waaronder vergoedingen moeten worden betaald door deelnemers aan de EuroCloud Federatie (art. 36, lid 4). Tot slot kan de Commissie uitvoeringshandelingen vaststellen met regels over de uitvoering van aanbestedingsactiviteiten (art. 40, lid 2) alsmede regels voor het vaststellen van de kosten die zijn gemaakt bij dergelijke aanbestedingsactiviteiten door de Commissie (art. 40, lid 5).

Toekenning van de bevoegdheid uit artikel 5(4) acht het kabinet niet mogelijk, omdat het essentiële onderdelen van de basishandeling betreft. De realisatie van de AI-centra ligt bij de lidstaten zelf en de Commissie kent zich daarmee eenzijdig bevoegdheden toe die in de kern raken aan de inrichting en organisatie van nationale structuren. Het kabinet is van mening dat deze elementen in de basishandeling zelf geregeld dienen te worden en niet via een uitvoeringshandeling kunnen worden vastgesteld.

Het toekennen van de bevoegdheden in de artikelen 17(12), 18(1) en 29(3) is mogelijk, omdat het telkens niet-essentiële onderdelen van de basishandeling betreft. Toekenning van deze bevoegdheden acht het kabinet wenselijk. Voor artikel 17(12) geldt dat de procedurele details voor het verkrijgen van een Unie-betrouwbaarheidsniveau een technisch karakter hebben en aan verandering onderhevig kunnen zijn, waardoor het niet wenselijk is deze volledig in de basishandeling vast te leggen.

Voor artikel 18(1) geldt dat derde landen kunnen worden aangewezen of van de lijst kunnen worden verwijderd wanneer zij niet langer aan de voorwaarden voldoen (art. 18, lid 2), zonder dat daarvoor een volledige wetgevingsprocedure hoeft te worden doorlopen, wat de effectiviteit en actualiteit van het aanwijzen van aanbieders van clouddiensten borgt. Voor artikel 29(3) geldt dat de methodologische details voor risicobeoordelingen een technisch karakter hebben en nauw samenhangen met snel veranderende markt- en technologische ontwikkelingen, waardoor het evenmin wenselijk is deze volledig in de basishandeling vast te leggen. Bij alle drie biedt een uitvoeringshandeling de Commissie de benodigde flexibiliteit om de betrokken details uniform vast te stellen en waar nodig actueel te houden, zonder daarvoor een volledige wetgevingsprocedure te hoeven doorlopen. De keuze voor uitvoering in plaats van delegatie ligt hier voor de hand, omdat het gaat om uitvoering van de verordening volgens eenvormige voorwaarden in de lidstaten en niet om het aanvullen of wijzigen van niet-essentiële onderdelen daarvan. De uitvoeringshandelingen worden vastgesteld volgens de onderzoeksprocedure als bedoeld in artikel 5 van verordening 182/2011. Toepassing van deze procedure is hier wenselijk vanwege het belang van voldoende inspraak van de lidstaten, in het bijzonder bij de vaststelling van derde landen in het kader van artikel 18(1) en bij de vaststelling van de risicobeoordelingsmethodologie in het kader van artikel 29(3), gezien de ingrijpende gevolgen daarvan voor de wijze waarop lidstaten hun risicobeoordelingen moeten inrichten. Het kabinet is daarom voorstander van het toepassen van de onderzoeksprocedure als bedoeld in artikel 5 van verordening 182/2011.

Het toekennen van de bevoegdheid in artikel 29(5) is niet mogelijk, omdat het essentiële onderdelen van de basishandeling betreft. Het instrument in artikel 29 (5) verdient een kanttekening. Het artikel bepaalt dat de lidstaten en Commissie risicobeoordelingen uitvoeren en aan de hand daarvan welke betrouwbaarheidsniveaus nodig zijn voor haar sectoren. In het vijfde lid heeft de Commissie een mogelijkheid om lidstaten te verplichten om aan bepaalde minimumeisen van risico assessment voor bepaalde overheidssectoren te voldoen. Dit raakt de essentie van het voorstel omdat het een bevoegdheid is die veel invloed kan hebben op een hele overheidssector als daar een hoger betrouwbaarheidsniveau voor wordt opgelegd dan vanuit de lidstaat is vastgesteld. Daarom is het kabinet van mening dat deze bevoegdheid niet opgenomen moet worden in de voorgestelde verordening en deze bevoegdheid bij de lidstaten zelf moet laten.

Het toekennen van de bevoegdheden in de artikelen 34(4), 35(6) en 36(4) is mogelijk, omdat het telkens niet-essentiële onderdelen van de basishandeling betreft. Toekenning van deze bevoegdheden acht het kabinet wenselijk. Voor artikel 34(4) geldt dat de deelnameprocedure voor de EuroCloud Federatie procedurele en technische details betreft die te gedetailleerd en veranderlijk zijn om volledig in de basishandeling vast te leggen, maar waarbij wel eenvormige toepassing in alle lidstaten noodzakelijk is voor een goed functionerende federatie. Voor artikel 35(6) geldt dat de technische, operationele en organisatorische maatregelen voor deelname nauw samenhangen met de stand van de techniek en daarmee aan verandering onderhevig zijn, waardoor een uitvoeringshandeling de benodigde flexibiliteit biedt om deze maatregelen actueel te houden zonder een volledige wetgevingsprocedure te hoeven doorlopen. Voor artikel 36(4) geldt dat de financiële details omtrent kostenverdeling en vergoedingen praktische uitvoeringsaspecten betreffen die zich niet lenen voor vastlegging in de basishandeling, maar waarbij eenvormige toepassing wel essentieel is om gelijke voorwaarden voor alle deelnemers te waarborgen. De keuze voor uitvoering in plaats van delegatie ligt bij alle drie voor de hand, omdat het gaat om de eenvormige uitvoering van de verordening in de lidstaten en niet om het aanvullen of wijzigen van niet-essentiële onderdelen daarvan. De uitvoeringshandelingen worden vastgesteld volgens de onderzoeksprocedure als bedoeld in artikel 5 van verordening 182/2011. Toepassing van deze procedure is hier wenselijk vanwege het belang van inspraak van de lidstaten bij de vaststelling van deze operationele en financiële kaders. Het kabinet is daarom voorstander van het toepassen van de onderzoeksprocedure als bedoeld in artikel 5 van verordening 182/2011.

Het toekennen van de bevoegdheden in artikel 40(2) en artikel 40(5) is mogelijk, omdat het niet-essentiële onderdelen van de basishandeling betreft. Toekenning van deze bevoegdheden acht het kabinet wenselijk. Voor artikel 40(2) geldt dat de procedurele regels voor de uitvoering van aanbestedingsactiviteiten door de Commissie een technisch en uitvoerend karakter hebben dat te gedetailleerd is om volledig in de basishandeling vast te leggen, maar waarbij eenvormige toepassing noodzakelijk is om een gelijk speelveld voor de deelnemende lidstaten te waarborgen. Voor artikel 40(5) geldt dat de regels voor het vaststellen van de gemaakte kosten bij aanbestedingsactiviteiten financieel-technische details betreffen die aan verandering onderhevig kunnen zijn, waardoor een uitvoeringshandeling de benodigde flexibiliteit biedt om deze regels actueel te houden zonder daarvoor een volledige wetgevingsprocedure te hoeven doorlopen. De keuze voor uitvoering in plaats van delegatie ligt bij beide voor de hand, omdat het gaat om de eenvormige uitvoering van de verordening in de lidstaten en niet om het aanvullen of wijzigen van niet-essentiële onderdelen daarvan. De uitvoeringshandelingen worden vastgesteld volgens de onderzoeksprocedure als bedoeld in artikel 5 van verordening 182/2011. Toepassing van deze procedure is hier volgens het kabinet wenselijk, omdat de vastgestelde regels financiële gevolgen hebben voor de deelnemende lidstaten en zij daarom voldoende inspraak dienen te hebben bij de vaststelling daarvan. Het kabinet is daarom voorstander van het toepassen van de onderzoeksprocedure als bedoeld in artikel 5 van verordening 182/2011.

c) Voorgestelde implementatietermijn (bij richtlijnen), dan wel voorgestelde datum inwerkingtreding (bij verordeningen en besluiten) met commentaar t.a.v. haalbaarheid

Het voorstel van de Commissie gaat uit van inwerkingtreding van de CADA op de twintigste dag na de publicatie in het Publicatieblad van de Europese Unie. Vervolgens is bepaald dat de verordening een jaar naar de inwerkingtreding van kracht wordt. Het kabinet acht deze periode gelet op de gevolgen voor de Nederlandse regelgeving onvoldoende voor een zorgvuldig wetgevingsproces in het algemeen en een adequate betrokkenheid van het parlement in het bijzonder. Het kabinet zal zich daarom inzetten voor een langere inwerkingtredingstermijn.

d) Wenselijkheid evaluatie-/horizonbepaling

Artikel 47 van het voorstel bevat een evaluatiebepaling. Het kabinet onderschrijft het belang van een evaluatiebepaling. Op grond van deze evaluatiebepaling moet de Commissie de werking van de CADA evalueren na vier jaar na de inwerkingtreding en vervolgens elke vijf jaar daarna.

De Commissie moet hierover rapporteren aan het Europees Parlement, de Raad van de Europese Unie en het Europees Economisch en Sociaal Comité. In voorkomend geval, zal dit rapport vergezeld gaan met een voorstel tot wijziging van deze verordening. Daarnaast zal de Commissie bij de evaluatie van de CADA rekening houden met de positie en bevindingen van het Europees Parlement, de Raad van de Europese Unie, en de andere relevante instanties en bronnen, en daarbij specifiek aandacht besteden aan MKB en de positie van nieuwe mededingers. Het kabinet onderschrijft nut en noodzaak van deze evaluatiebepaling. Een horizonbepaling, waarbij de verordening na een bepaalde datum vervalt, is niet opgenomen. Het kabinet onderschrijft dat een horizonbepaling niet passend is bij de doelstelling van dit voorstel, bijvoorbeeld om markttransparantie blijvend en voortdurend te verbeteren door het vaststellen van soevereiniteitscriteria.

e) Constitutionele toets

De Commissie stelt dat het voorstel in lijn is met het Handvest van de grondrechten van de Europese Unie, in het bijzonder het recht op bescherming van persoonsgegevens (artikel 8 Handvest). De verordening introduceert soevereiniteitsnormen voor aanbieders van clouddiensten (artikel 16 e.v.) die mede beogen te waarborgen dat gegevens van Europese gebruikers en overheden niet toegankelijk zijn voor derde landen. De Commissie stelt zich op het standpunt dat het voorstel hiermee bijdraagt aan de bescherming van de in het Handvest neergelegde grondrechten, en in overeenstemming is met de vereisten van artikel 52 Handvest.

Het voorstel raakt niet aan de Nederlandse Grondwet in die zin dat het geen implementatie in formele wetgeving vereist die grondwettelijk verankerde rechten zou beperken.

7. Implicaties voor uitvoering en/of handhaving

Om uitvoering te geven aan de CADA mogen lidstaten zelf de nationale bevoegde autoriteit(en) aanwijzen voor het handhaven van de auditprocedure en -kaders en voor het toezicht op erkende aanbieders van clouddiensten. Een (of meerdere) onafhankelijke autoriteit(en) zal (zullen) als bevoegde autoriteit voor het toezicht op de CADA worden aangewezen. De voorgestelde bevoegdheden en de ruimte die daar nog wordt gelaten aan lidstaten lijken afdoende om de uitvoerbaarheid van de verordening te waarborgen. Wel is verdere stroomlijning en verduidelijking van de bevoegdheden noodzakelijk: vanuit het perspectief van uitvoeringsorganisaties acht het kabinet het van belang dat de verplichtingen rond risicobeoordelingen, betrouwbaarheidsniveaus en eventuele migratie naar andere cloudoplossingen uitvoerbaar blijven voor organisaties die publieke digitale dienstverlening verzorgen. Daarbij is bijzondere aandacht nodig voor continuïteit van dienstverlening, bestaande contractuele verplichtingen, ketenafhankelijkheden, interoperabiliteit en voldoende realistische overgangstermijnen. Het kabinet zal de Commissie vragen de gevolgen voor uitvoeringsorganisaties en grensoverschrijdende gegevensuitwisseling nader te verduidelijken. Ook zal de omvang en aard van de werkbelasting – met name de korte doorlooptijden en mogelijke onvoorspelbaarheid in de variërende frequentie van verzoeken om erkenning en verzoeken om herziening – alsmede de speciale handhavingsprocedures in geval van inbreuken, uitgebreide personele middelen en gespecialiseerde kennis binnen de bevoegde autoriteit vereisen. Coördinatie en samenwerking op EU-niveau lijkt wenselijk voor een universele implementatie en uitvoering. Gedurende de onderhandelingen zal het kabinet hier blijvend aandacht aan besteden en zo nodig voorstellen worden gedaan ter verbetering.

8. Implicaties voor ontwikkelingslanden

Geen implicaties voor ontwikkelingslanden anders dan de genoemde consequenties voor derde landen in het algemeen, zoals aangegeven onder onderdeel 5d.

---

1 Zoals vastgesteld in Annex 1 en 2 van de Richtlijn – 2022/2555 – NL – EUR-Lex.

2 Zoals vastgesteld in Annex 1 en 2 van de Richtlijn – 2022/2555 – NL – EUR-Lex.

3 Kamerstukken II 2025/26, 29 826, nr. 277, Industriebeleid met focus

Kamerstukken II 2023/24, 33 009, nr. 140, Nationale Technologiestrategie

Kamerstukken II 2025/26, 30 821, nr. 332, Update voortgang Kabinetsinzet Economische Veiligheid

Kamerstukken II 2022/23, 35 982, nr. 9, Open Strategische Autonomie

Kamerstukken II 2023/24, 36 259, nr. 21, Agenda Digitale Open Strategische Autonomie

4 Voorbeschermingsregels hyperscale datacentra

5 Communicatiesysteem voor hulpdiensten C2000 | Rijksoverheid.nl

6 Kamerstukken II 2025/26, 22 112, nr. 1195, Non-paper by the Netherlands on the EU Tech Sovereignty Package

7 Kamerstukken II 2025/26, 22 112, nr. 4278, Fiche Milieuomnibus

8 Voortvloeiend uit de PSI-directive (2019/1024/EU).

9 Europese Raadsconclusies juli 2020