Het Europese streven naar digitale soevereiniteit dreigt de concurrentie op de cloudmarkt te beperken. Ook vermindert het de afhankelijkheid van niet-Europese technologie nauwelijks.
Dit blijkt uit een rapport van de Brusselse denktank European Centre for International Political Economy (ECIPE). Die deed onderzoek naar 8.725 Europese overheidsaanbestedingen voor clouddiensten tussen 2018 en 2025.
De onderzoekers spreken van een paradox als het gaat om soevereiniteit. Door opdrachten aan binnenlandse leveranciers te gunnen proberen Europese overheden hun afhankelijkheid van buitenlandse technologie te verminderen. Deze leverancieres maken echter regelmatig gebruik van infrastructuur van Amerikaanse hyperscalers zoals Microsoft, Amazon en Google.
De analyse van aanbestedingen in negen EU-lidstaten toont aan dat ongeveer 97 procent van de contracten naar nationaal geregistreerde aanbieders ging. Bij aanbestedingen waarin expliciet naar digitale soevereiniteit wordt verwezen, liep dit percentage zelfs op tot 100 procent. Opvallend is daarbij dat het aandeel aanbestedingen met slechts één inschrijver opliep van 28 naar 46 procent.
Verschillende vormen van soevereiniteit
Volgens ECIPE biedt de Europese herkomst van een leverancier geen garantie dat de data daadwerkelijk veilig zijn. De onderzoekers onderscheiden functionele soevereiniteit van industriële soevereiniteit. Waar bij de eerste beveiliging, continuïteit en controle over gegevens centraal staan, kijkt de tweede naar de herkomst en eigendomsstructuur van leveranciers.
“Echte soevereiniteit betekent dat een publieke opdrachtgever kan aantonen dat zijn gegevens veilig zijn en dat hij indien nodig van leverancier kan wisselen. De nationaliteit van een aanbieder zegt daar niets over,” stelt ECIPE-directeur Fredrik Erixon tegenover The Register.
Het onderzoek plaatst om die reden nadrukkelijk vraagtekens bij de voorgestelde Europese Cloud and AI Development Act (CADA). Die voorziet in vier beveiligings- en zekerheidsniveaus. Vooral bij de hoogste niveaus worden eisen gesteld aan Europese vestiging, infrastructuur, personeel en zeggenschap. Dat zou Europese cloudbedrijven die samenwerken met Amerikaanse hyperscalers uitsluiten van overheidsopdrachten.
De Europese brancheorganisatie Cloud Infrastructure Service Providers in Europe (CISPE) pleitte eerder juist voor strengere eisen aan digitale soevereiniteit, meldt The Register. Volgens CISPE moet juist worden gekeken naar de daadwerkelijke controle over de onderliggende technologie.
Daarbij speelt de Amerikaanse CLOUD Act een belangrijke rol. Deze wet kan Amerikaanse technologiebedrijven verplichten gegevens aan de autoriteiten te verstrekken. Dat geldt ook voor data die buiten de Verenigde Staten zijn opgeslagen.
ECIPE pleit daarentegen voor een risicogebaseerde aanpak, waarbij de strengste eisen alleen gelden voor kritieke toepassingen. Ook moeten Europese certificeringen in alle lidstaten geldig zijn. Dit, om verdere versnippering van de cloudmarkt te voorkomen.