Brief regering : Fiche: Cloud & AI Development Act

Nr. 4395
BRIEF VAN DE MINISTER VAN BUITENLANDSE ZAKEN

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 26 juni 2026

Overeenkomstig de bestaande afspraken ontvangt u hierbij twee fiches die werden opgesteld
door de werkgroep Beoordeling Nieuwe Commissie voorstellen (BNC).

Fiche: EU-Actieplan Meststoffen (Kamerstuk 22 112, nr. 4394)

Fiche: Cloud & AI Development Act

De Minister van Buitenlandse Zaken,
T.B.W. Berendsen

Fiche: Cloud & AI Development Act

1. Algemene gegevens

a) Titel voorstel

Proposal for a regulation of the European Parliament and of the Council establishing
a framework of measures for strengthening Europe’s cloud and AI ecosystem (Cloud and
AI Development Act)

b) Datum ontvangst Commissiedocument

3 juni 2026

c) Nr. Commissiedocument

COM(2026) 502

d) EUR-Lex

https://eur-lex.Europa.eu/legal-content/EN/TXT/?uri=celex%3A52026PC0502

e) Nr. impact assessment Commissie en Opinie Raad voor Regelgevingstoetsing

SWD(2026) 502, SWD(2026) 503, SEC(2026) 502

f) Behandelingstraject Raad

Raad voor Vervoer, Telecommunicatie en Energie (Telecomraad)

g) Eerstverantwoordelijk ministerie

Ministerie van Economische Zaken en Klimaat

h) Rechtsbasis

Artikel 114 en artikel 173, punt 3 Verdrag betreffende de Werking van de Europese
Unie (VWEU)

i) Besluitvormingsprocedure Raad

Gekwalificeerde meerderheid

j) Rol Europees Parlement

Medebeslissing

2. Essentie voorstel

a) Inhoud voorstel

Op 3 juni 2026 presenteerde de Europese Commissie (hierna: de Commissie) het Europese
Techsoevereiniteitspakket (hierna: het pakket), bestaande uit vier voorstellen. Aanleiding
voor het pakket zijn de toenemende geopolitieke spanningen, de mondiale concurrentiestrijd
op (digitale) sleuteltechnologieën en de risicovolle strategische afhankelijkheden
van derde landen op het gebied van onder meer cloud, kunstmatige intelligentie (AI) en halfgeleiders. Om dit aan te pakken beoogt de
Commissie om de positie van de EU in de gehele digitale waardeketen te versterken.

In dit fiche wordt nader ingegaan op de Cloud & AI Development Act (hierna: CADA). De overige voorstellen worden geapprecieerd in separate BNC-fiches.
Met de CADA beoogt de Commissie de beperkte en geografisch geconcentreerde beschikbaarheid
van rekenkracht in de Europese Unie (hierna: EU) te verbeteren en de risicovolle strategische
afhankelijkheden van niet-EU-aanbieders van AI en cloudtechnologie te verminderen.
De Commissie stelt dat een «open ecosysteem-aanpak» nodig is om de EU concurrerender
en weerbaarder te maken op het vlak van AI en cloud, door het vergroten van de rekenkracht en AI die in de EU wordt ontwikkeld en ingezet,
het zorgen voor aantrekkelijke voorwaarden voor de inzet van duurzame en innovatieve
rekenkracht in de hele EU, het adresseren van zorgen over datasoevereiniteit en operationele
continuïteit van cloud en AI en het in stand houden van kritieke maatschappelijke of economisch belangrijke
functies of activiteiten door het aanbod van clouddiensten weerbaarder te maken, in
het bijzonder in de publieke sector. Om deze doelen te bereiken zet de Commissie,
net als in andere initiatieven van het pakket, in op een drieledige strategie: 1)
het versterken van het aanbod van Europese capaciteiten; 2) het aanjagen van de vraag
en 3) het verbeteren van de randvoorwaarden in de EU. De maatregelen zijn in het voorstel
ingedeeld in drie specifieke onderdelen: 1) activiteiten gericht op onderzoek, ontwikkeling
en inzet van cloud en AI; 2) ontwikkeling van datacentercapaciteit en 3) het mitigeren van risico’s
die voortkomen uit de strategische afhankelijkheid van derde landen voor clouddiensten.

De Commissie introduceert «cloud- & AI-leiderschapsinitiatieven» met als doel het bevorderen van onderzoek, innovatie
en de capaciteit van het Europese cloud- en AI-ecosysteem. De Commissie ziet daarin
een belangrijke rol voor duurzaamheid en verstevigde milieunormen, bijvoorbeeld door
inzet van waterbesparende technologieën of innovatieve koelsystemen voor datacenters.
Zo wil de Commissie op een toekomstbestendige manier voldoen aan de groeiende vraag
naar AI- en cloudoplossingen. Voor het stimuleren van integratie en opschaling van
AI-toepassingen in de publieke en private sector stelt de Commissie voor dat elke
lidstaat «Centra voor AI» opricht, voortbouwend op de Europese digitale innovatiehubs
(EDIHs). De uitvoering wordt opgedragen aan de Commissie, lidstaten en Europese uitvoeringsstructuren,
waaronder de Joint Undertakings. De uitvoering zal plaatsvinden aan de hand van strategische projecten en Grand Challenges, een set geprioriteerde strategische technologische en industriële uitdagingen. De
Commissie wil zichzelf daarbij de bevoegdheid geven om deze prioriteiten in de toekomst
aan te passen wanneer technologische ontwikkelingen daartoe aanleiding geven. De financiering
zal deels plaatsvinden via bestaande Europese programma's, zoals Horizon Europe en Digital Europe. Voor nationale verankering van de Europese doelen verplicht het voorstel iedere
lidstaat om binnen één jaar na inwerkingtreding een nationale cloud- en AI-strategie vast te stellen en deze periodiek te evalueren en actualiseren.
De Commissie monitort de vaststelling en herziening van de nationale strategieën van
de lidstaten, terwijl de Europese raad voor AI (AI Board) lidstaten zal adviseren en assisteren tijdens dit proces. Het voorstel voorziet
tot slot in een systeem om projecten van bijzonder strategisch belang aan te merken
als frontier AI priority projects, die in aanmerking kunnen komen voor specifieke vormen van ondersteuning, zoals rekencapaciteit
van de EU en lidstaten.

De Commissie wil ook «datacenter versnellingszones» aanwijzen om het datacentercapaciteitstekort en de geografische
concentratie van beschikbare capaciteit in de EU te verhelpen.

In de zones wordt met het stroomlijnen van vergunningsprocedures de ontwikkeling,
uitbreiding en modernisering van datacenters gefaciliteerd. Elke lidstaat moet in
afstemming met relevante medeoverheden ten minste één versnellingszone aanwijzen.
Bij het aanwijzen worden lidstaten geacht rekening te houden met de geschiktheid van
de locatie vanuit het oogpunt van duurzaamheid, netwerkinfrastructuur, netcapaciteit
en plannen voor ruimtelijke ordening. Ook wil de Commissie dat lidstaten een of meer
«centrale informatiepunten» inrichten, die bedrijven kunnen ondersteunen bij alle
fases van de ontwikkeling van datacenterprojecten in versnellingszones, en dat lidstaten
per versnellingszone een «geaggregeerde basisvergunning» ontwikkelen die alle benodigde
vergunningen en administratieve autorisatie afdekt die benodigd zijn voor datacenterprojecten.
Tot slot stelt de Commissie dat vergunningsprocedures in versnellingszones niet langer
dan twaalf maanden mogen duren. Een andere maatregel die de Commissie voorstelt is
om
calls for expression of interest voor strategische datacenterprojecten te openen. Een project kan als strategisch
worden aangemerkt als het voldoet aan twee van vijf genoemde voorwaarden, waaronder
direct bijdragen aan publieke belangen of aan de veiligheid en stabiliteit van het
energienet, uitzonderlijk duurzaam of innovatief zijn, gebruik maken van Europese
hardware of adresseren van een gebied met een groot capaciteitstekort. In de overwegingen
stelt de Commissie dat strategische projecten door lidstaten steunmaatregelen toegekend
kunnen krijgen en toegang krijgen tot Europese (financiële) ondersteuning en middelen.
Tot slot stelt de Commissie voor om zelf de beschikbare rekenkracht, de vraag naar
datacentercapaciteit en de omvang van het capaciteitstekort in de EU te monitoren.

Momenteel bestaat er geen eenduidig EU-regelgevend kader voor het aanwijzen van vertrouwde
aanbieders van clouddiensten. De Commissie introduceert daarom een soevereiniteitsraamwerk
voor clouddiensten, een geharmoniseerd kader voor het aanwijzen van erkende soevereine
clouddiensten van private aanbieders aan de hand van een gelaagd certificeringsmodel
met vier betrouwbaarheidsniveaus (Union Assurance Level). Aanbieders van clouddiensten kunnen door middel van een zelfverklaring in aanmerking
komen voor erkenning op het laagste betrouwbaarheidsniveau (niveau 1), voor erkenning
op hogere betrouwbaarheidsniveaus moeten aanbieders van clouddiensten een onafhankelijke
audit laten uitvoeren door een derde partij. Voor een effectieve en consistente toepassing
van het soevereiniteitskader moeten lidstaten één of meer nationale bevoegde autoriteiten
aanwijzen die verantwoordelijk zijn voor erkenning van de auditprocedure en -kaders
en voor het toezicht op erkende aanbieders van clouddiensten. Het voorstel biedt ook
instrumenten voor onderlinge ondersteuning en grens-overstijgende samenwerking tussen
aangewezen nationale bevoegde autoriteiten. Erkende clouddiensten worden verzameld
in een door de Commissie opgezet en beheerd centraal archief. Aan derde landen stelt
de Commissie cumulatieve criteria waaraan zij moeten voldoen om aanbieders van clouddiensten
uit dat land of aanbieders van clouddiensten die onder controle van dat land vallen
een externe audit te mogen laten verrichten naar compliance met de criteria van betrouwbaarheidsniveau
3, onder meer over continuïteit van en controle over de diensten van een aanbieder
van clouddiensten en op gelijke toegang voor EU-aanbieders van clouddiensten tot de
markt en aanbestedingen in het derde land.

Het voorstel verplicht lidstaten een risicobeoordeling uit te voeren van de clouddiensten
die worden gebruikt bij publieke processen die bijdragen aan het in stand houden van
kritieke maatschappelijke of economisch belangrijke functies of activiteiten in (zeer)
kritieke sectoren.1 Daarna moet per proces het passende betrouwbaarheidsniveau bepaald worden, op ten
minste niveau 2. Bij risicobeoordelingen worden de gevoeligheid en het kritische belang
van niet-persoonsgegevens meegenomen. Daarnaast worden het risico en de impact van
onwenselijke toegang door een derde land en van een onderbreking van de beschikbaarheid
van een dienst meegewogen. De Commissie zal specificeren welke methode, modellen en
gegevens gebruikt moeten worden in een dergelijke risicobeoordeling. Daarin wordt
ook aangegeven hoe lidstaten het model voor het hoogste niveau van zekerheid zullen
gebruiken voor de risicobeoordeling van de meest kritische sectoren, inclusief defensie.
De uitkomsten worden aan de Commissie voorgelegd ter beoordeling. Als de Commissie
oordeelt dat het betrouwbaarheidsniveau niet passend is, behoudt zij het recht voor
middels een uitvoeringsbesluit aan te geven welk niveau wel passend is. Als op basis
van een risicobeoordeling geconstateerd wordt dat migratie naar een andere cloudoplossing
noodzakelijk is, zal deze binnen twaalf maanden worden voltooid. Op basis van de risicobeoordeling
verplicht het voorstel overheden en organisaties actief in kritieke sectoren2 om hun aanbestedingen te gunnen aan bedrijven met diensten op een corresponderend
betrouwbaarheidsniveau. Er geldt een uitzondering indien de gevraagde diensten enkel
geleverd kunnen worden door bedrijven die geen toegekend betrouwbaarheidsniveau hebben,
eerdere aanbestedingsprocedures geen geschikte kandidaten hebben geleverd of deze
verplichting zou leiden tot disproportionele kosten.

Daarnaast stelt de Commissie voor in aanbestedingen van innovatieve clouddiensten
en AI-systemen een niet-financieel beoordelingscriterium te introduceren om de toegevoegde
waarde van een aanbestedende partij aan de ontwikkeling van een Europees cloud- en
AI-ecosysteem mee te wegen. De Commissie wil ook dat lidstaten jaarlijks aanbesteding
van innovatieve clouddiensten en AI-systemen monitoren, onder meer om barrières voor
mkb-deelname te identificeren en toegang van het mkb tot aanbestedingen te versimpelen.
Ook wordt lidstaten ten doel gesteld na te jagen dat 25% van de aanbestedingen voor
clouddiensten en AI-systemen wordt gegund aan innovatief mkb. De Commissie stelt ook
voor zelf te kunnen optreden als centrale inkoopinstantie in aanbestedingen. Nationale
aanbestedende diensten kunnen zich bij zo’n aanbesteding aansluiten. De Commissie
kan ook enkel bijkomende hulp aanbieden aan aanbestedende diensten die deelnemen.
Met het voorstel richt de Commissie ook een Europese cloudfederatie (EuroCloud Federatie) op voor het delen van datacenter- en clouddiensten tussen publieke entiteiten van
de EU en lidstaten via een dienstencatalogus en een uitwisselingsplatform. De Commissie
stelt als voorwaarde dat eigenaarschap en inrichting van de te delen diensten in publiek
beheer zijn; naleving van deze voorwaarden dient bij de Commissie aangetoond te worden
door de dienstverlener. Voor het leveren van de diensten mag ten hoogste de kostprijs
in rekening worden gebracht aan de afnemer. Tot slot stelt de Commissie ook maatregelen
voor om de EU en lidstaten aan te zetten tot het (her)gebruik van open standaarden
en componenten die onder een open source-licentie zijn vrijgegeven.

Zo zal een EU Open Source Solutions Catalogue opgericht worden, die zal functioneren als een gecentraliseerde catalogus waar EU-overheden
en publieke organisaties hun open source software beschikbaar stellen zodat deze hergebruikt
kunnen worden. Ook stelt de Commissie voor om een netwerk van Open Source Programmabureaus
op te richten en te coördineren om de samenwerking rondom de open source activiteiten
te vergemakkelijken.

b) Impact assessment Commissie

Het impact assessment van de Commissie ziet op zes beleidsopties, verdeeld in twee
categorieën. De eerste categorie adresseert de beperkte beschikbaarheid en geografische
concentratie van rekenkracht in de EU met drie beleidsopties: i) het ondersteunen
van bestaande samenwerkingskaders tussen lidstaten, EU-instellingen en industrieën
voor het uitbreiden van datacenters (PO1-A); ii) het bieden van regels en financiële
steun voor de versnelling van de uitrol van datacenters, geïmplementeerd op nationale
niveau (PO1-B); en iii) het bieden van regels en financiële steun voor de versnelling
van de uitrol van datacenters, geïmplementeerd op EU-niveau (PO1-C). De tweede categorie
kent drie beleidsopties gericht op het afbouwen van afhankelijkheid van cloud- en
AI- diensten geleverd door niet-Europese aanbieders: i) het vergroten van de transparantie
en zichtbaarheid van soevereine cloud- en AI-computingdiensten (PO2-A); ii) het creëren
van een vrijwillig kader ter bevordering van dergelijke diensten en de mogelijkheid
om door middel van federatie middelen binnen de publieke sector te bundelen (PO2-B);
en iii) het vaststellen van een EU-gecoördineerd aanbestedings- en verplicht ondersteuningskader
voor strategische autonomie en soevereine diensten, bedoeld voor de publieke sector
en partijen actief in zeer kritische sectoren, zoals bepaald in bijlage 1 van de NIS2
(PO2-C). De Commissie geeft de voorkeur aan een combinatie van PO1-B, PO2-C en twee
individuele beleidsmaatregelen (PM8 en PM9) uit PO1-A voor de financiering van innovatieve
technologieën gericht op duurzaamheid binnen het hele cloudecosysteem. Volgens de
Commissie biedt deze combinatie de beste balans tussen kosten en baten, waarbij oog
is voor sociale en milieu impact en de beginselen van subsidiariteit en proportionaliteit.
Ten aanzien van de milieu impact benadrukt de Commissie dat datacenterontwikkeling
zal leiden tot een toename in energie- en grondstofverbruik. Tegelijkertijd kan het
ook de ontwikkeling van energie-efficiënte technologie mogelijk maken. Dit zal bijdragen
aan het beheersen van de ecologische voetafdruk van de Europese datacenterindustrie.
Wat betreft de sociale impact is de verwachting dat de CADA positief bijdraagt aan
innovatie en werkgelegenheid in de techsector, in het bijzonder hoogwaardige banen.
Daarnaast verwacht zij dat de nadruk op soevereine cloud- en AI-diensten zal bijdragen
aan de weerbaarheid en veiligheid van de activiteiten van de publieke sector, de bescherming
van gevoelige gegevens en de betrouwbaarheid van diensten.

Uitvoering van het voorstel zal gemoeid gaan met implementatie- en transitiekosten,
met name in verband met het aanpassen van systemen en procedures, het informeren van
stakeholders over de nieuwe vereisten en handhaving. Tegelijkertijd zijn dit veelal
eenmalige kosten of transitiekosten, terwijl de verwachte baten terugkerend zijn.
Uit het impact assessment volgt dat de voorgestelde combinatie van beleidsopties naar
verwachting tot hogere baten dan lasten leidt binnen de beoordelingsperiode.

Zo zullen datacenterexploitanten volgens het impact assessment profiteren van gestroomlijnde
procedures, versnelde vergunningsverlening en administratieve vereenvoudiging, terwijl
aanbieders van cloud- en AI-computingdiensten kosten besparen door de mogelijkheid
om een enkele audit voor soevereine diensten te laten verrichten die in de hele Unie
wordt erkend. Daarnaast is de verwachting dat ook nationale overheidsinstanties kosten
kunnen besparen, met name door toegenomen gebruik van open source, gezamenlijk aanbestedingsmechanismen
en federatie van capaciteit. Al met al is de uitkomst van het impact assessment dat
het voorstel een positieve kosten-batenbalans heeft en haar doelstellingen op een
proportionele en kosteneffectieve manier bereikt. Uit het impact assessment blijkt
ook dat de voorkeursopties een overwegend positief effect hebben op het mkb en het
concurrentievermogen, doordat het verminderen van afhankelijkheden van niet-Europese
aanbiedersmogelijkheden creëert voor lokale aanbieders en mkb en pressiemiddel biedt
op globaal niveau.

3. Nederlandse positie ten aanzien van het voorstel

a) Essentie Nederlands beleid op dit terrein

Het kabinet zet zich in voor het versterken van het Nederlandse en Europese concurrentievermogen
en de weerbaarheid op het gebied van kritieke (digitale) technologieën. Daarbij wordt
een integrale benadering van de gehele digitale technologie waardeketen gehanteerd,
van halfgeleiders en digitale infrastructuur tot cloud, software en AI. Deze inzet
sluit aan bij het coalitieakkoord, de opdrachtbrief aan de Taskforce Toekomstige Welvaart
en Vestigingsklimaat (TTWV), de kabinetsappreciatie van het Draghi- en het Wennink-rapport,
de Industriebrief, de Nationale Technologiestrategie, de kabinetsaanpak economische
veiligheid, de kabinetsstrategie op Open Strategische Autonomie en de Agenda Digitale
Open Strategische Autonomie.3 Bij elk van deze beleidsinitiatieven staat technologie centraal en wordt rekening
gehouden met zowel technologie-specifieke inzet als horizontaal en randvoorwaardelijk
beleid. Het nationale beleidskader voor datacenters wordt gevormd door de instructieregel
hyperscale datacenters, die op 1 januari 2024 in werking is getreden onder de Omgevingswet
(Besluit kwaliteit leefomgeving).4 Deze instructieregel verbiedt gemeenten om in hun omgevingsplan nieuwe hyperscale
datacenters toe te staan. De instructieregel geldt voor heel Nederland, met uitzondering
van een deel van de gemeente Hollands Kroon (Noord-Holland) en een deel van de gemeente
Het Hogeland (Groningen, Eemshaven e.o.). Het besluit stelt op rijksniveau een landelijk
kader, waarbij de discretionaire bevoegdheid bij decentrale overheden berust om dit
kader aan te scherpen op basis van de lokale ruimtelijke en energetische context.
Voor de overheidsdatacentra (ODC’s) is op dit moment geen beleid, terwijl er wel sprake
is van schaarste. De Autoriteit Consument en Markt heeft recent bepaald dat de ODC’s
geen prioriteit krijgen bij capaciteitsuitbreiding van elektriciteit. Ten aanzien
van het gebruik en de aanbesteding van clouddiensten door overheden zijn er enkele
lopende beleidsinitiatieven in Nederland.

Het huidig rijksbreed cloudbeleid (2022) is landenneutraal opgesteld – tenzij het
land binnen de C2000-criteria5 valt, waardoor het risico op ongewenste toegang tot (persoons)gegevens blijft bestaan
onder de invloed van niet-Europese wetgeving met extraterritoriale werking. Momenteel
wordt het Rijksbreed cloudbeleid herzien, en na vaststelling gedeeld met de Tweede
Kamer. Daarnaast wordt onder de prioriteit «Cloud» binnen de Nederlandse Digitaliseringsstrategie
(NDS) reeds gebruik gemaakt van soevereiniteitscriteria, zoals gedefinieerd in het
Cloud Sovereignty Framework van de Commissie. Ook wordt als onderdeel van de NDS verkend hoe een Nederlandse
soevereine overheidscloud kan worden gerealiseerd. Voor de zomer deelt het kabinet
ook nog een brief met de Tweede Kamer waarin wordt ingegaan op het beleid dat het
kabinet voert voor een goed werkende markt voor clouddiensten in Nederland en het
versterken van de concurrentiepositie van lokale aanbieders van clouddiensten. Vanuit
de prioriteit «AI» binnen de NDS wordt er ook gewerkt aan een inkoopaanpak specifiek
voor AI, die raakt aan cloud waar het bijvoorbeeld het inkopen van Software-as-a-Service-producten
betreft. Er wordt daarbij gekeken hoe afname en gebruik van Europese en open AI-modellen
gestimuleerd kan worden. Het kabinet is voornemens om op het gebied van generatieve
AI enkel soevereine alternatieven toe te staan voor overheidsgebruik. Dit beleid wordt
op dit moment vormgegeven.

b) Beoordeling + inzet ten aanzien van dit voorstel

Op hoofdlijnen kan het kabinet zich vinden in het voorstel voor de CADA. Deze sluit
in grote lijnen aan bij de Nederlandse non-paper over het Tech Soevereiniteitspakket.6 Het kabinet beschouwt het voorstel voor de CADA nadrukkelijk als onderdeel van het
bredere pakket. Het kabinet zal zich blijven inzetten voor een geïntegreerde benadering
over de volle breedte van het pakket, in het kader van de «Europese Technologiestack».
Het kabinet benadrukt hierbij dat aanbod en vraag binnen deze stack inherent hand in hand moeten gaan. Technologische soevereiniteit is immers gestoeld
op de wisselwerking tussen alle lagen: van materialen, energie en chips tot en met
de cloudinfrastructuur en de AI-toepassingen die daarop draaien. Een rol voor open
source als cross-cutting enabler is hierbij van belang. De stimulering van de cloud- en AI-markt via de CADA moet
daarom direct aansluiten op het aanbod van Europese halfgeleiders, zodat de verschillende
beleidsinitiatieven elkaar optimaal versterken ten behoeve van onze technologische
soevereiniteit.

Het kabinet kan zich grotendeels vinden in de intentie van de voorstellen en doelstellingen
van de cloud- en AI-leiderschapsinitiatieven. Het kabinet staat positief tegenover
de introductie van het instrument van de Grand Challenges in het pakket als geheel. Het doelgericht bundelen van Europese krachten rondom maatschappelijke
en technologische uitdagingen kan een aanjager zijn voor innovatie en technologische
soevereiniteit. Wel acht het kabinet verdere verduidelijking nodig wat betreft de
Grand Challenges, in het bijzonder ten aanzien van eigenaarschap, coördinatie en de rolverdeling tussen
de Commissie, lidstaten en industrie. Het kabinet benadrukt dat actieve en structurele
betrokkenheid van de industrie essentieel is voor het succes van de Grand Challenges.

In de huidige bewoording is het onduidelijk of de leiderschapsinitiatieven toegespitst
zijn op individuele lidstaten of grens overstijgende samenwerkingen tot doel hebben,
zoals bij de Centra voor AI wordt vermeld. Ten slotte is verduidelijking gewenst met
betrekking tot de rolverdeling tussen lidstaten, de Commissie en Joint Undertakings aangaande de implementatie van de initiatieven. Het kabinet zal in een later stadium
nader informeren naar de link tussen de CADA, Important Projects of Common European Interest en andere Europese instrumenten voor innovatie. Het kabinet zet ook vraagtekens bij
de doelen voor adoptie en ontwikkeling van AI. AI-ontwikkeling vereist immers een
integrale benadering van de gehele waardeketen. De inzet in de rest van het voorstel
richt zich echter primair op datacentercapaciteit en soevereine clouddiensten. Gerichte
inzet is ook noodzakelijk op onderdelen als talent, algoritmen en kwalitatieve data,
complementair aan de Apply-AI-strategie, het AI Continent Action Plan en de AI (giga)factories. Het kabinet mist deze brede visie op de AI-waardeketen en zal daarom pleiten voor
aanvullende EU-actie zodat samen met de Chips Act 2.0 en de CADA de hele technologiestack van AI wordt gedekt: van chips en halfgeleiders
tot cloudinfrastructuur en de uiteindelijke AI-toepassingen. Het kabinet erkent ook
de noodzaak om de Europese aanpak voor AI zo goed mogelijk te stroomlijnen, maar maakt
zich zorgen over de impact van een wettelijke verplichting tot het opstellen van nationale
strategieën met vooraf vastgestelde maatregelen, die mogelijk vergaande financiële
implicaties hebben. Wel onderschrijft het kabinet de inhoudelijke nadruk op bescherming
van onze grondrechten, inzet van duurzaamheid en milieunormen, die qua focus nauw
aansluit op de kabinetsinzet ten aanzien van duurzame digitalisering. Ook onderschrijft
het kabinet het belang van een duurzame integratie van datacenters in het energiesysteem
en het bevorderen van energie-efficiëntie, mede gezien de uitdagingen op het gebied
van netcongestie en de sterk groeiende elektriciteitsvraag. Tot slot wordt de AI Board genoemd als gremium dat lidstaten kan adviseren en ondersteunen bij de coördinatie
van nationale strategieën. Aangezien de AI Board bestaat uit afgevaardigden van de lidstaten zelf, is het onduidelijk hoe de AI Board lidstaten kan adviseren en ondersteunen bij de coördinatie van nationale strategieën.
Het kabinet vraagt zichzelf tot slot af of een verordening het juiste instrument is
om de genoemde AI-doelstellingen te verankeren en vindt het onduidelijk wat de financiële
implicaties van de initiatieven zijn.

Het kabinet verwelkomt de intentie van de Commissie om de uitrol van datacentercapaciteit
in de EU te versnellen en de geografische spreiding te verbeteren. Het kabinet erkent
dat vergunningsprocedures voor de vestiging van datacenters lang en complex kunnen
zijn in Europa. Tegelijkertijd heeft het kabinet twijfels bij de proportionaliteit
van de voorgestelde maatregelen en systematiek. Het kabinet constateert dat de voorgestelde
aanwijzingsplicht van de versnellingszones wordt gekoppeld aan de voorwaarde dat «datacentercapaciteit
op het grondgebied van een lidstaat wordt uitgerold». Die formulering maakt onvoldoende
helder wanneer aan die voorwaarde precies is voldaan en of dit ook het al bestaan
van datacenters op het grondgebied van een lidstaat omvat. Bovendien ontbreekt een
adequaat mechanisme om geografische spreiding te waarborgen. Het voorstel bevat bijvoorbeeld
geen verplichtingen voor lidstaten met minder datacentercapaciteit om meer of grotere
zones aan te wijzen. Dit riskeert dat lidstaten waar datacentercapaciteit in de EU
op dit moment geografisch geconcentreerd is worden belast met verplichtingen die niet
bijdragen aan het beoogde doel van de Commissie.

In dat verband is het kabinet benieuwd of ook een mogelijkheid wordt verkend waarin
lidstaten in samenwerking de ontwikkeling van voldoende datacentercapaciteit borgen.
Daarnaast wil het kabinet verduidelijking over de criteria voor het aanwijzen van
een versnellingszone en de rol van medeoverheden daarin. Daarbij is het kabinet kritisch
op de praktische haalbaarheid van gestelde termijnen, zoals de verplichting om binnen
zes maanden na inwerkingtreding een versnellingszone aan te wijzen en een maximale
vergunningsduur van twaalf maanden voor projecten in een zone. Het kabinet zal in
de onderhandelingen pleiten voor maatregelen die beter in verhouding staan tot de
door de Commissie genoemde knelpunten en de praktijk van vergunningstrajecten. Ten
aanzien van het centrale informatiepunt steunt het kabinet de onderliggende gedachte
om vergunningsfragmentatie te verminderen. Het kabinet heeft echter opnieuw vragen
bij de voorgestelde maatregel. De benodigde vergunningstrajecten voor dergelijke projecten
in Nederland zijn voldoende helder vastgelegd. Het is voor het kabinet op dit moment
niet duidelijk of de voorgestelde ondersteuning bij het vinden van de juiste loketten
en procedures de behoeften van datacenterbedrijven in Nederland ondervangt en of de
rolbeschrijving van het informatiepunt niet te breed is, met onder andere ook ondersteuning
bij publieke communicatie gericht op publieke acceptatie van het project. Het voorstel
laat daarnaast onduidelijkheid bestaan over de vraag of lidstaten kunnen volstaan
met het aanwijzen van bestaande loketten, zoals in de Gigabit Infrastructure Act, of verplicht zijn een volledig nieuw gecentraliseerd punt in te richten. Het kabinet
zal zich inzetten voor een formulering die lidstaten expliciet de ruimte biedt bestaande
nationale systemen te handhaven. Tot slot vraagt het kabinet zich af hoe het zich
verhoudt tot de al bestaande Digitale toegangspoort en het centraal loket op grond
van de Dienstenrichtlijn.

Het kabinet erkent dat de introductie van een systematiek van strategische datacenterprojecten
potentieel zou kunnen bijdragen aan versterking van de Europese technologische soevereiniteit,
mits de vergunnings- en milieutoetsing hiervan horizontaal aansluit bij het kader
van de Milieuomnibus en nadere duiding van de Commissie volgt over de aanmerking van
dergelijke projecten.7 Zo heeft het kabinet vragen bij de onderlinge verhouding tussen de onderdelen in
het tweeledige stelsel van versnellingszones en strategische projecten. Het voorstel
kent twee afzonderlijke routes die elk tot de status van strategisch project kunnen
leiden: datacenterprojecten die worden gebouwd in de aangewezen versnellingszones
door de lidstaat op grond van artikelen 10 tot en met 13, en de aanwijzing van een
individueel project als strategisch door de Commissie op grond van artikel 14. De
verhouding tussen deze twee routes is onvoldoende duidelijk. Zo bepaalt artikel 13
dat projecten in versnellingszones per definitie worden beschouwd als strategische
projecten in de zin van artikel 14 van de verordening inzake versnelde milieu-effectbeoordelingen,
maar maakt de tekst niet duidelijk of daarmee tevens de status van artikel 14 in de
CADA wordt verkregen. Dit betekent mogelijk dat binnen één zone zowel projecten mét
als zonder de strategische project status uit artikel 14 in de CADA kunnen bestaan,
zonder dat helder is welke gevolgen daaraan verbonden zijn. Die onduidelijkheid wordt
versterkt doordat de rechtsgevolgen van de status als strategisch project uit artikel
14 in de CADA zelf onvoldoende in de wettekst zijn verankerd.

De mogelijke implicaties van het toekennen van de status, te weten toegang tot EU-fondsen,
het competitiviteitszegel en de mogelijkheid van nationale steunmaatregelen, worden
uitsluitend in de overwegingen benoemd en missen daarmee bindende werking. Daar komt
bij dat de criteria voor aanwijzing als strategisch project ruim zijn geformuleerd
en slechts aan twee van de vijf voorwaarden hoeft te worden voldaan, waardoor het
toepassingsbereik breed en slecht voorspelbaar is. Het kabinet acht dit onwenselijk
vanuit het oogpunt van rechtszekerheid en zal aandringen op verduidelijking van de
samenloop tussen beide routes en op expliciete verankering van de rechtsgevolgen in
de bepalingen. Daarnaast acht het kabinet het wenselijk te verkennen of specifieke
voorwaarden onder artikel 14 (1) als verplichte voorwaarden zouden moeten gelden,
bijvoorbeeld ten aanzien van duurzaamheid en stabiliteit van het energienet of bijdrage
aan onze digitale open strategische autonomie door het dienen van het publiek belang
of de toepassing van in Europa ontwikkelde sleuteltechnologieën.

Het kabinet onderschrijft het nut van het vaststellen van een Europees soevereiniteitsraamwerk
voor clouddiensten; hiermee wordt het mogelijk om het aanbod van soevereine clouddiensten
op een eenduidige wijze met elkaar te vergelijken. Het kabinet is verheugd dat haar
inzet om een dergelijk raamwerk gelaagd in te richten is overgenomen in het voorstel
van de Commissie en gaat de gedetailleerde criteria op elk van de vier betrouwbaarheidsniveaus
van het voorstel nader verkennen. Daarbij zal het kabinet expliciet oog hebben voor
een nauwkeurige afstemming met de bepalingen in de herziene Cyber Security Act, en specifiek in de technische criteria van het European Cybersecurity Certification Scheme for Cloud Services, zodat beide kaders vanuit hun eigen functie goed op elkaar aansluiten en geen overlappende
of conflicterende elementen bevatten. Het kabinet steunt de voorgestelde aanpak van
de Commissie waarbij aanbieders erkenning op betrouwbaarheidsniveau 1 kunnen verkrijgen
op basis van zelfbeoordeling tegen door de EU vastgestelde criteria, terwijl aanbieders
voor betrouwbaarheidsniveaus 2, 3 en 4 een onafhankelijke toets door een derde partij
op eigen kosten moeten aanvragen. Hiermee kan een erkenning op betrouwbaarheidsniveau
1 tegen lagere kosten gerealiseerd worden, terwijl voor de hogere niveaus een externe
toets wenselijk is om voldoende zekerheid te bieden aan afnemers. Het kabinet zal
aandacht besteden aan de proportionaliteit van de regeldruk en de kosten die samenhangen
met de benodigde erkenning en audits, met het oog op de toegankelijkheid voor Europees
mkb van aanbestedingen van soevereine clouddiensten. Tot slot onderschrijft het kabinet
het belang van het bijhouden van een centraal register van erkende diensten door de
Commissie. Het kabinet onderschrijft dat het aanwijzen van een of meer nationale bevoegde
autoriteiten kan bijdragen aan een effectieve en consistente toepassing en handhaving
van het soevereiniteitskader. Wel merkt het kabinet op dat de voorgeschreven bevoegdheden
ter beoordeling van betrouwbaarheidsniveaus beperkt lijken tot het beoordelen van
zelfbeoordeling en auditrapporten, en het wel of niet toekennen van een betrouwbaarheidsniveau
op basis van deze zelfbeoordeling en auditrapporten. Het lijkt wenselijk dat er onder
meer aandacht wordt besteed aan de capaciteit om doorlopende compliance met betrouwbaarheidsniveaus
te controleren en eventueel betrouwbaarheidsniveaus te kunnen intrekken. Meer opheldering
is gewenst over de reikwijdte van de bevoegdheden van bevoegde autoriteiten en de
kaders voor samenwerking in verband met ófwel het toekennen van betrouwbaarheidsniveaus
ófwel het controleren van betrouwbaarheidsniveaus.

Dit heeft mogelijk ook implicaties voor de benodigde capaciteit van toezichthouders
en kan leiden tot nadere inzichten over de gepastheid van het voorstel om de bevoegdheden
op nationaal niveau te beleggen. Het kabinet zal nadere toelichting verzoeken op het
voorgestelde mandaat van de nationale bevoegde autoriteiten, de voorgestelde onderlinge
ondersteuning en grens overstijgende samenwerking tussen nationale bevoegde autoriteiten,
de voorgestelde rol van de Commissie ten opzichte van nationale bevoegde autoriteiten.
Met betrekking tot derde landen erkent het kabinet het belang van het vaststellen
van cumulatieve criteria voor het verrichten van een externe audit naar compliance
met de criteria van betrouwbaarheidsniveau 3. Het kabinet ondersteunt specifiek de
criteria over markttoegang en wederkerigheid bij overheidsaanbestedingen, die een
gelijk speelveld voor de Nederlandse en EU -sector borgen. Wel vraagt het kabinet
in de onderhandelingen aandacht voor de uitvoerbaarheid en snelheid van de criteria
en de bijbehorende uitvoeringshandelingen, om rechtsonzekerheid of continuïteitsrisico's
voor de Nederlandse cloudinfrastructuur in kritieke sectoren te voorkomen. Het kabinet
beraadt zich nog op de verdere inhoud van de gestelde cumulatieve criteria en de implicaties
van toetsing hieraan.

Het kabinet ziet waarde in de maatregelen om te komen tot goed onderbouwde, eenduidige
risicobeoordelingen en de verplichtingen om deze minimaal elke twee jaar uit te voeren
voor publieke sector activiteiten binnen (hoog) risicosectoren en voor activiteiten
met betrekking op openbare orde, veiligheid, grensbewaking, justitie, defensie en
ruimtevaart. Gezien ook het belang van internationale samenwerking is het goed om
minimale betrouwbaarheidsniveaus af te spreken voor die activiteiten waar de risico’s
significant zijn. Het kabinet steunt een risico-gebaseerde aanpak. Op eerste lezing
stelt het kabinet vast dat het minimaal verplicht stellen van betrouwbaarheidsniveau
2 voor deze activiteiten mogelijk kan leiden tot keuzebeperking terwijl de noodzakelijkheid
daarvan op voorhand niet in elk geval evident is. Het kabinet merkt op dat nader verkend
moet worden of dit voor overheidsorganisaties in deze domeinen kan leiden tot hogere
uitvoeringslasten of continuïteitsrisico’s, met specifieke aandacht voor defensie.
Daarnaast zal het kabinet om een nadere duiding aan de Commissie vragen over het verplichten
van betrouwbaarheidsniveau 4 voor de meest kritische sectoren, inclusief defensie.
Op basis van de beschrijving in het voorstel is voor het kabinet niet op voorhand
evident dat het verplichten van dit betrouwbaarheidsniveau in elk voorkomend geval
wenselijk is. Daarom zal het kabinet nadere duiding van de Commissie vragen over de
achtergrond en het toepassingsbereik hiervan. Het kabinet onderschrijft het bieden
van de mogelijkheid aan entiteiten buiten de publieke sector om op eigen initiatief
vergelijkbare risicobeoordelingen te kunnen uitvoeren. Het kabinet steunt ook het
idee dat de Commissie richtsnoeren kan uitbrengen met voorstellen voor methodologie
van deze impact assessments en mogelijke bijbehorende mitigerende maatregelen. Het
kabinet is echter kritisch over de bevoegdheid die de Commissie zichzelf via gedelegeerde
handelingen verschaft voor het opleggen van verplichtingen aan deze organisaties buiten
de publieke sectoren.

Vanuit een integrale technologiestack-benadering steunt het kabinet wel het voornemen
om via een aanbestedingscriterium voor «toegevoegde waarde aan de EU» het Europese
cloud- en AI-ecosysteem te stimuleren. De koppeling naar software en hardware met toegevoegde
waarde voor de Unie biedt kansen om de Europese positie in de digitale waardeketen
te versterken zonder partners uit te sluiten. Het kabinet zou graag zien dat ook halfgeleiders
en het bijbehorende ecosysteem expliciet onder de reikwijdte vallen. Nadere duiding
en aanscherping van het voorgestelde criterium blijft noodzakelijk om te beoordelen
of dit daadwerkelijk de beoogde impuls aan het ecosysteem geeft en of het bijvoorbeeld
ook het gebruik van open standaarden verplicht stelt. Het kabinet onderschrijft ook
het belang van monitoring van innovatieve cloud- en AI-aanbestedingen, maar benadrukt dat de monitoringsverplichting coherent en
niet overlappend moet zijn aan de monitoringsverplichting in de aanbestedingsrichtlijnen.
De toegevoegde waarde van de voorgestelde maatregelen ten aanzien van het gezamenlijke
aanbestedingsmechanisme zijn echter niet op voorhand volkomen evident. Het voorstel
reguleert samenwerking tussen aanbestedende diensten en de Commissie gedetailleerd
en laat daarbij weinig ruimte voor een individuele benadering. De huidige aanbestedingsrichtlijnen
bevatten al regelgeving over gezamenlijk aanbesteden en ook de Commissie is bij haar
aanbestedingen gehouden aan de regelgeving uit de aanbestedingsrichtlijnen. Het kabinet
zal tijdens de onderhandelingen vragen stellen aan de Commissie over de toegevoegde
waarde van dit voorstel.

Het kabinet ondersteunt het voornemen om een EuroCloud-Federatie op te richten met als doel datacenter- en clouddiensten binnen de Unie
met elkaar te verbinden; Nederland was ook al actief deelnemer aan dit initiatief
in de pilotfase. Met de EuroCloud-Federatie kan op een vertrouwde wijze onder andere
rekenkracht gedeeld worden tussen lidstaten, wat kan bijdragen aan het afbouwen van
bestaande afhankelijkheden van leveranciers op dit gebied. Het kan ook helpen om de
beperkte capaciteit van de overheidsdatacentra op te vangen. Het kabinet merkt op
dat inbreng van clouddiensten is voorbehouden aan diensten die ontwikkeld zijn door
publieke entiteiten of volledig in hun beheer zijn en de diensten tegen kostprijs
geleverd moeten worden aan andere overheden. Voor diensten van lokale aanbieders van
clouddiensten is deelname niet mogelijk. Het kabinet wil nader verkennen in welke
mate deze opzet aansluit bij de ambitie om de concurrentiepositie van de Europese
aanbieders van clouddiensten te versterken en of deze constructie geen potentieel
marktverstorende werking heeft. Ten aanzien van open source en open standaarden steunt
het kabinet de ambitie in het voorstel. Daarbij is het kabinet zich bewust van de
verplichtingen rond het open source publiceren van broncode waarvan de overheid het
intellectuele eigendom bezit,8 maar spreekt het kabinet tevens de zorg uit dat de navolging ervan EU-breed nog onvoldoende
van de grond komt. Desondanks is de verwachting dat het voorstel van de Commissie
zal helpen om meer, gestructureerd en grens overstijgend samen te werken op dit onderwerp.
Het kabinet is voornemens beleid te voeren ter bevordering van het oprichten van Open Source Programme Offices, waarbij ook het oprichten van een nationale OSPO en haar positionering in het Rijks
CIO-stelsel wordt verkend. Ook steunt het kabinet het voorstel voor een catalogus
om samenwerking en hergebruik van open source oplossingen te bevorderen. Er zullen
te zijner tijd maatregelen genomen worden om bestaande nationale catalogi te koppelen
aan een nieuw op te richten EU-brede catalogus.

c) Eerste inschatting van krachtenveld

Met het Techsoevereiniteitspakket wil de Commissie in het algemeen een grotere regierol
pakken en proactief beleid voeren over de gehele digitale waardeketen. Deze aanpak
wordt verwelkomd op hoofdlijnen door zowel grote als kleine lidstaten. Het Europees
Parlement (EP) pleit in dit kader voor verregaandere maatregelen. Het is nog niet
bekend in welke EP-commissie het voorstel wordt behandeld en wie de rapporteur voor
het voorstel is.

De meerderheid van de lidstaten onderschrijft naar verwachting de doelstellingen van
het CADA-voorstel. Het belang van adoptie en ontwikkeling van AI-, cloud- en datacentercapaciteit
en open source zal door een grote meerderheid van de lidstaten worden onderschreven,
evenals het belang van meer geografische spreiding van deze capaciteiten binnen de
EU. Naar verwachting zullen veel lidstaten positief zijn over het voorstel voor soevereiniteitscriteria,
en zullen meerdere landen ook het voorstel voor een gelaagde, risico-gebaseerde benadering
van soevereiniteit positief beoordelen. Ten aanzien van samenwerking met niet-Europese
aanbieders zullen er lidstaten zijn die het belang van ruimte voor dergelijke samenwerking
benadrukken, maar even goed lidstaten zijn die mogelijk aandacht vragen voor de positie
van Europese aanbieders van clouddiensten in aanbestedingstrajecten.

4. Beoordeling bevoegdheid, subsidiariteit en proportionaliteit

a) Bevoegdheid

Als onderdeel van de toets of de EU mag optreden conform de EU-verdragen toetst het
kabinet of de EU handelt binnen de grenzen van de bevoegdheden die haar door de lidstaten
in de EU-verdragen zijn toegedeeld om de daarin bepaalde doelstellingen te verwezenlijken.

Het oordeel van het kabinet is deels positief, deels negatief. Het voorstel is gebaseerd
op de artikelen 114 en 173 lid 3 VWEU. Artikel 114 VWEU geeft de EU de bevoegdheid
tot het treffen van harmonisatiemaatregelen ter verwezenlijking van de interne markt.
Op dit terrein is er sprake van een gedeelde bevoegdheid tussen de EU en de lidstaten
op grond van artikel 2, tweede lid, juncto artikel 4, tweede lid, onder a, VWEU. Artikel
173 VWEU geeft de EU de bevoegdheid tot het coördineren, ondersteunen en aanvullen
van de maatregelen die lidstaten nemen die nodig zijn voor het concurrentievermogen
van de industrie van de EU. Op dit terrein is sprake van een ondersteunende bevoegdheid
voor de EU op grond van artikelen 2, vijfde lid, juncto artikel 6, onder b, VWEU.
Artikel 173, derde lid, VWEU sluit uitdrukkelijk harmonisatie van nationale wet- en
regelgeving op basis van het eerste lid uit.

Het kabinet kan zich gedeeltelijk vinden in deze grondslagen. Het kabinet acht het
juist dat de Commissie haar voorstel mede baseert op artikelen 114 en 173 VWEU. De
voorgestelde verordening strekt volgens het kabinet, zoals ook aangegeven in paragraaf
2a, tot de bevordering van de werking van de interne markt, aangezien zij beoogt de
huidige fragmentatie in de uitrol van datacentercapaciteit en uiteenlopende nationale
kaders voor (het gebruik van) clouddiensten en soevereiniteitseisen te harmoniseren,
waardoor belemmeringen voor de interne markt worden weggenomen en gelijke concurrentievoorwaarden
voor aanbieders van clouddiensten worden gecreëerd.

Door de beschikbaarheid van energiezuinige rekencapaciteit te vergroten en de ontwikkeling
en inzet van geavanceerde cloud- en AI-technologieën te bevorderen, draagt het voorstel
direct bij aan het versterken van het Europese industriële concurrentievermogen en
de technologische leiderspositie van de EU, overeenkomstig de doelstellingen van Artikel
173, derde lid, VWEU.

Echter, het kabinet vindt dat voor titel III, eerste hoofdstuk van het voorstel over
de aanwijzing van versnellingszones voor datacentra, de artikelen 114 en 173 VWEU
geen juiste rechtsgrondslag zijn wegens de impact op de fysieke leefomgeving en ruimtelijke
ordening, omdat dit raakt aan nationale bevoegdheden. Het aanwijzen van ten minste
één versnellingszone op het grondgebied van de lidstaat, waarbij rekening gehouden
wordt met de overwegingen in dit voorstel waarbij lidstaten verplicht zijn om een
integrale basisvergunning voor het uitrollen van een datacentrum in het gebied te
realiseren, raakt rechtstreeks de nationale regelgeving over ruimtelijke ordening
van lidstaten. Voor die regels acht het kabinet artikel 192, lid 2, onderdeel b, eerste
lid, VWEU, de enige juiste rechtsgrondslag. Daarmee is er sprake van een bijzondere
wetgevingsprocedure krachtens dit verdragsartikel die onverenigbaar is met de gewone
wetgevingsprocedure ingevolge artikel 114, eerste lid, VWEU en artikel 173, derde
lid, VWEU. Daarom acht het kabinet het vanuit juridisch oogpunt zeer wenselijk dat
titel III, eerste hoofdstuk van het voorstel wordt afgesplitst met de juiste rechtsbasis
Artikel 192, lid 2, onderdeel b, is een met de lidstaten gedeelde bevoegdheid (artikel
4, tweede lid, onderdeel e, VWEU).

b) Subsidiariteit

Als onderdeel van de toets of de EU mag optreden conform de EU-verdragen toetst het
kabinet de subsidiariteit van het optreden van de Commissie. Dit houdt in dat het
kabinet op de gebieden die niet onder de exclusieve bevoegdheid van de Unie vallen
of wanneer sprake is van een voorstel dat gezien zijn aard enkel door de EU kan worden
uitgeoefend, toetst of het te overwegen optreden niet voldoende door de lidstaten
op centraal, regionaal of lokaal niveau kan worden verwezenlijkt, maar vanwege de
omvang of de gevolgen van het overwogen optreden beter door de Unie kan worden bereikt
(het subsidiariteitsbeginsel). Het oordeel van het kabinet is positief. De verordening
heeft tot doel de beperkte en geografisch geconcentreerde beschikbaarheid van duurzame
rekenkracht in de EU te verbeteren en de risicovolle strategische afhankelijkheden
van niet-EU-aanbieders van AI en cloudtechnologie te verminderen. Gezien de grensoverschrijdende
aard van deze problematiek kan dit onvoldoende door de lidstaten op centraal, regionaal
of lokaal niveau worden verwezenlijkt. Daarom is een EU-aanpak wenselijk. Door harmonisatie
van soevereiniteitscriteria en aanbestedingsregels wordt het gelijke speelveld op
het terrein van clouddiensten verbeterd en worden belemmeringen op de interne markt
voor Europese aanbieders weggenomen, zodat zij kunnen groeien buiten hun nationale
markten. Om die redenen is optreden op het niveau van de EU gerechtvaardigd. Wel zal
het kabinet verdere onderbouwing van de verschillende maatregelen vragen aan de Commissie.

c) Proportionaliteit

Als onderdeel van de toets of de EU mag optreden conform de EU-verdragen toetst het
kabinet of de inhoud en vorm van het optreden van de Unie niet verder gaan dan wat
nodig is om de doelstellingen van de EU-verdragen te verwezenlijken (het proportionaliteitsbeginsel).
Het oordeel van het kabinet is positief met kanttekeningen. De verordening heeft tot
doel beperkte en geografisch geconcentreerde beschikbaarheid van duurzame rekenkracht
in de EU te verbeteren en de risicovolle strategische afhankelijkheden van niet-EU-aanbieders
van AI en cloudtechnologie te verminderen.

Het voorgestelde optreden is geschikt om deze doelstelling te bereiken. Uniforme en
rechtstreeks toepasselijke regels zijn noodzakelijk om een gelijk speelveld voor aanbieders
van clouddiensten in de gehele interne markt te waarborgen. Twee onderdelen illustreren
de geschiktheid van het optreden. Ten eerste introduceert het voorstel geharmoniseerde
soevereiniteitscriteria voor clouddiensten die aan overheden worden geleverd, waarbij
de hoogste betrouwbaarheidsniveaus aanpassingen vragen aan de dienstverlening van
aanbieders uit derde landen. Ten tweede introduceert het voorstel een beoordelingscriterium
in aanbestedingstrajecten waarmee de bijdrage van de offerte van een aanbieder aan
de ontwikkeling van de Europese Unie wordt meegewogen. Beide onderdelen kunnen bijdragen
aan een meer gediversifieerde afname van clouddiensten voor kritieke toepassingen
en gegevens door overheden, waardoor de hoge mate van afhankelijkheid van een beperkt
aantal niet-Europese aanbieders en de sterke concentratie daarvan kunnen worden beperkt,
hetgeen direct bijdraagt aan de doelstelling van het versterken van de strategische
autonomie.

Het voorgestelde optreden gaat over het algemeen niet verder dan noodzakelijk. Wel
plaatst het kabinet kanttekeningen bij de proportionaliteit van een aantal specifieke
onderdelen van het voorstel. Zo constateert het kabinet dat de verplichtingen rondom
de aanwijzing van datacenter-versnellingszones en de bijbehorende termijnen, waaronder
de verplichting om binnen zes maanden een zone aan te wijzen en een maximale vergunningsduur
van twaalf maanden, verder kunnen gaan dan noodzakelijk voor het beoogde doel, in
het bijzonder voor lidstaten die reeds over adequate capaciteit en functionerende
vergunningsstelsels beschikken. Daarnaast gaan de rechtsgevolgen van de vereisten
rondom het centrale informatiepunt verder dan noodzakelijk, nu onvoldoende ruimte
wordt gelaten voor lidstaten om bestaande nationale structuren te benutten.

Ook ten aanzien van de beslissingsbevoegdheid van de Commissie over de inzet en uitkomsten
van risicobeoordelingen van betrouwbaarheidsniveaus voor soevereine cloud door overheden en partijen in kritische sectoren vraagt het kabinet aandacht voor
de proportionaliteit. Het kabinet plaatst daarbij in het de kanttekening dat de mogelijkheid
voor de Commissie om een door een lidstaat bepaald betrouwbaarheidsniveau opzij te
zetten mogelijk verder zou kunnen gaan dan noodzakelijk, nu de beoogde harmonisatie
reeds met uniforme criteria en methodiek kan worden geborgd. Het kabinet zal zich
in de onderhandelingen inzetten voor een meer gerichte en evenredige uitwerking van
deze verplichtingen.

5. Financiële consequenties, gevolgen voor regeldruk, concurrentiekracht en geopolitieke
aspecten

a) Consequenties EU-begroting

De Commissie geeft in het voorstel aan dat de uitvoering circa € 34,5 miljoen kost
voor de periode 2028–2034 vanuit de EU-begroting, bestaande uit circa € 9,3 miljoen
aan operationele uitgaven en circa € 25,2 miljoen aan administratieve uitgaven (voornamelijk
personeelskosten). Deze financiering vindt plaats door herschikking binnen bestaande
programma's onder het MFK 2028–2034, waarbij de Commissie een significant deel verwacht
te financieren vanuit het European Competitiveness Fund (ECF). De Commissie schrijft in het voorstel 25 FTE nodig te hebben voor de uitvoering
van haar taken (verdeeld over DG CNECT en DG DIGIT), à circa € 3,6 miljoen per jaar
aan personeelskosten. Hiervan worden 15 FTE herplaatst binnen de Commissie. Daarnaast
vraagt de Commissie 10 nieuwe FTE boven op de huidige personeelsniveaus voor nieuwe
taken die niet kunnen worden opgevangen door herplaatsing.

Daarnaast voorziet de Commissie in financiering via heffingen (fees) voor taken in verband met gezamenlijke aanbesteding en het EuroCloud Federation-mechanisme, geraamd op circa € 54,3 miljoen voor de periode 2028–2034. Deze kosten
worden volledig gefinancierd uit de heffingen op de betrokken dienstverleners en belasten
de EU-begroting niet.

Nederland is van mening dat de benodigde EU-middelen gevonden dienen te worden binnen
de in de Raad afgesproken financiële kaders van de EU-begroting 2021–2027 en dat deze
moeten passen bij een prudente ontwikkeling van de jaarbegroting. Het kabinet wil
niet vooruitlopen op de integrale afweging van middelen na 2027. Daarnaast moet de
ontwikkeling van de administratieve uitgaven in lijn zijn met de ER-conclusies van
juli 2020 over het MFK-akkoord. Het kabinet is kritisch over de stijging van het aantal
werknemers.9

b) Financiële consequenties (incl. personele) voor Rijksoverheid en/ of medeoverheden

Zoals het voorstel nu voorligt zullen er incidentele en structurele financiële consequenties
zijn voor de Rijksoverheid, medeoverheden en uitvoeringsorganisaties. Deze kosten
zijn het gevolg van het soevereiniteitsraamwerk voor clouddiensten, het bijbehorende
toezicht en de verplichte risicobeoordelingen. Hoe deze kosten zich vertalen naar
de Nederlandse situatie is op basis van het impact assessment niet rechtstreeks af
te leiden, waardoor de kosten voor Nederland nog niet kunnen worden gekwantificeerd.
(Eventuele) budgettaire gevolgen worden ingepast op de begroting(en) van het/de departement(en)
wiens beleidsverantwoordelijkheid wordt geraakt door de verordening zoals uiteindelijk
gepubliceerd in het Europees publicatieblad, conform de begrotingsregels.

Voor onderzoek en innovatie moeten lidstaten een nationale cloud- en AI-strategie opstellen en periodiek actualiseren. De Commissie raamt dit op een
eenmalige last van EUR 1 tot 2 miljoen en terugkerende kosten van EUR 0,6 tot 1,2
miljoen voor alle lidstaten samen.

Voor de datacenteruitrol moeten lidstaten versnellingszones aanwijzen, een of meer
centrale informatiepunten aanwijzen en vergunningprocedures stroomlijnen, wat medeoverheden
zal raken. De Commissie raamt dit op een eenmalige administratieve last van € 1,2
tot 6,1 miljoen en terugkerende kosten van € 46,4 tot 86,3 miljoen voor alle lidstaten
samen. Wel wijst de Commissie erop dat deze taken bij bestaande structuren kunnen
worden belegd, waardoor de kosten beperkt kunnen blijven. Voor de aanpassingen in
aanbestedingen, afname van soevereine cloud diensten, en open source gebruik verwacht
de Commissie een eenmalige last € 140 tot 420 miljoen in aanpassingskosten en € 10
tot 27 miljoen in administratieve kosten voor alle lidstaten samen. De structurele
kosten worden geschat op € 1,3 tot 2,7 miljard aanpassingskosten en € 142 tot 293
miljoen administratieve kosten voor alle lidstaten samen.

Het voorstel verplicht iedere lidstaat tot het aanwijzen van een of meer nationale
bevoegde autoriteiten voor het toezicht op erkende aanbieders van clouddiensten en
op de auditprocedure. Het gaat om een nieuwe, structurele toezichtstaak die naar verwachting
bij een bestaande onafhankelijke toezichthouder wordt belegd. De Commissie raamt deze
taak op 0,2 fte per lidstaat, uitsluitend voor het verifiëren van auditrapporten.
Het kabinet voorziet dat hiervoor een claim voor structurele toezichtcapaciteit nodig
zal zijn, waarvan de omvang in afstemming met de beoogde toezichthouder in kaart wordt
gebracht. Voor risicobeoordelingen verwacht de Commissie 10 fte per lidstaat van 2029
en vierjaarlijkse herziening van de risicobeoordeling wordt 5 fte per lidstaat verwacht.

Voor datacenteruitrol verwacht de Commissie dat de administratieve vereenvoudiging
van vergunningverlening leidt tot een terugkerende lastenverlichting van € 166 tot
277 miljoen voor alle lidstaten samen, deze baten landen voornamelijk bij medeoverheden.
Middels het standaardiseren van aanbestedingscriteria verwacht de Commissie een terugkerende
besparing van € 4 tot 13 miljoen en circa € 2,5 miljoen doordat de naleving van soevereiniteitseisen
vooraf is geverifieerd en aanbestedende diensten minder tijd kwijt zijn aan het beoordelen
van geschiktheid. De Commissie verwacht een totale besparing voor overheden op € 21
tot 61 miljard over een periode van 10 jaar.

c) Financiële consequenties en gevolgen voor regeldruk voor bedrijfsleven en burger

In het bij het voorstel gevoegde impact assessment is een inschatting gemaakt van
de verwachte kosten en baten voor bedrijven en overheden in de EU. Hoe dit zich precies
vertaalt naar de Nederlandse situatie is op basis van het impact assessment niet direct
af te leiden.

Het voorstel heeft regeldrukgevolgen voor het bedrijfsleven. Op basis van de berekeningen
in het impact assessment komen de totale regeldrukkosten voor bedrijven naar schatting
uit op € 210 tot 470 miljoen aan eenmalige kosten en € 560 miljoen tot 2,9 miljard
aan structurele kosten, berekend over een periode van tien jaar. De Commissie concludeert
dat het voorstel per saldo tot een positieve regeldrukbalans leidt, doordat de besparingen
door harmonisatie, administratieve vereenvoudiging en een EU-brede audit zwaarder
wegen dan de nieuwe nalevings- en implementatielasten. Het kabinet plaatst bij deze
conclusie een kanttekening. De positieve netto-uitkomst berust vrijwel volledig op
de veronderstelling dat één EU-brede audit meerdere nationale audits vervangt, hetgeen
een geraamde besparing van € 2,0 miljard tot € 5,0 miljard oplevert. Indien deze besparing
niet of slechts gedeeltelijk wordt gerealiseerd, resteert een netto lastenstijging
voor het bedrijfsleven. Het kabinet zal de Commissie verzoeken deze veronderstelling
nader te onderbouwen.

De regeldrukgevolgen slaan met name neer bij drie groepen bedrijven. Datacenteroperatoren ondervinden eenmalige administratieve lasten voor onder andere aanvraagprocedures
voor toegang tot fast-track gebieden, subsidierondes en financieringsaanvragen voor onderzoek, ontwikkeling en
strategische projecten, alsmede eenmalige aanpassingskosten van € 6 tot 26 miljoen
en beperkte structurele lasten voor periodieke monitoring. Een doorvertaling naar
de regeldrukgevolgen voor Nederlandse datacenteroperatoren is complex, maar lijkt
op het eerste oog beperkt. De ambitie van de Commissie ten aanzien van de ontwikkeling
van meer datacenters is een verdrievoudiging van de capaciteit in de aankomende vijf
tot zeven jaar, met specifieke aandacht voor het terugdringen van de geografische
concentratie van datacenters binnen de EU. Nederland is een locatie waar -afgezet
tegen het Europees gemiddelde – veel van de momenteel beschikbare datacentercapaciteit
gehuisvest is. In combinatie met complexe vergunningsprocedures en de voortdurende
netcongestie en stikstofproblematiek (waarvan de gevolgen naar verwachting niet op
korte termijn of binnen de gestelde periode van vijf tot zeven jaar volledig zijn
opgelost) maakt het niet voor de hand liggend dat een proportioneel deel van de geambieerde
verdrievoudiging in Nederland gerealiseerd zal worden. De verwachte regeldrukgevolgen
worden daarom ingeschat als beperkt. De Commissie heeft geen terugkerende kosten opgenomen
voor de financieringsaanvragen voor onderzoek en ontwikkeling, het kabinet verwacht
wel structurele kosten en zal nadere onderbouwing vragen aan de Commissie.

Voor aanbieders van cloud- en AI -geconfronteerd met de zwaarste verplichtingen uit
het soevereiniteitskader- wordt een lastenverzwaring voorzien van eenmalige aanpassingskosten
van € 173 tot 352 miljoen en structurele administratieve lasten voor tussentijdse
audits en aanpassing van offertes aan de nieuwe aanbestedingscriteria. Het kabinet
verwacht ook structurele aanpassingskosten voor bedrijven om deze soevereiniteitseisen
na te leven en zal hier nadere informatie over vragen. Private entiteiten in kritieke
sectoren dragen mogelijk de grootste afzonderlijke regeldrukpost in het voorstel:
de verplichting om soevereiniteitsrisico's te integreren in bestaande risicobeoordelingen
leidt tot mogelijke structurele administratieve lasten van € 480 miljoen tot € 2,62
miljard op EU-niveau. Het kabinet zal aandringen op een nadere analyse van de lastenverdeling
over de betrokken sectoren. Voor het midden- en kleinbedrijf verwacht de Commissie
per saldo een afname van de regeldruk, doordat harmonisatie van de interne markt de
zoek- en nalevingskosten verlaagt, en het eenvoudiger is om op te schalen. De consequenties
van de cloud- en AI-leiderschapsinitiatieven op de regeldruk zijn niet duidelijk te
herleiden uit de impact assessment, het kabinet zal hier verdere onderbouwing voor
vragen.

Tegenover de regeldruk- en uitvoeringskosten staan substantiële financiële baten,
die de Commissie deels heeft gekwantificeerd en deels kwalitatief heeft beschreven.
De directe, gekwantificeerde baten slaan neer bij zowel het bedrijfsleven als de overheid.
Voor datacenteroperatoren leveren de versnelling van vergunningstrajecten en de administratieve
vereenvoudiging naar schatting een netto contante waarde op van € 8 tot 27 miljard
over een periode van tien jaar, voornamelijk door een kortere time-to-market. Voor aanbieders van cloud- en AI-diensten ontstaat een geraamde besparing van € 2 tot 5 miljard doordat zij
met één EU-brede soevereiniteitsaudit kunnen deelnemen aan overheidsaanbestedingen
in alle lidstaten, in plaats van afzonderlijke nationale audits te moeten doorlopen.
Daarnaast benoemt de Commissie bredere baten dan op regeldrukterrein (zie onderdeel
5d). Het kabinet onderschrijft dat deze bredere baten van belang zijn, maar wijst
erop dat zij geen regeldrukbesparingen vormen en dat de positieve totale kosten-batenbalans
van het voorstel deels op deze niet-gekwantificeerde, economische en strategische
voordelen berust.

Voor burgers worden geen directe regeldrukgevolgen of andersoortige financiële consequenties
verwacht. Indirect kunnen burgers profiteren van een grotere beschikbaarheid en veiligheid
van digitale overheidsdiensten en van toegenomen concurrentie op de cloudmarkt.

Reactie kabinet op advies ATR

Het Adviescollege toetsing regeldruk kwam tot de volgende adviespunten ten aanzien
van het BNC-fiche:

1. ATR adviseert de regeldrukeffecten voor het Nederlandse bedrijfsleven in kaart te
brengen, mede gezien de omvang van de branche in Nederland en de uitdagingen die in
de Nederlandse situatie gelden.

2. ATR adviseert om bij de Commissie na te gaan in welke mate de EU-brede audits van
soevereine clouddiensten daadwerkelijk alle nationale audits zullen vervangen en geen
audits introduceren die momenteel niet op nationaal niveau worden uitgevoerd.

3. ATR adviseert om aan de Commissie inzicht te vragen in de samenhang van de nieuwe
verplichtingen in CADA met bestaande Europese kaders zoals NIS2, DORA, de Cybersecurity
Act en de Europese aanbestedingsregelgeving.

Het impact assessment van de Commissie kwantificeert de regeldrukeffecten slechts
beperkt en uitsluitend op EU-niveau, zonder onderscheid naar lidstaat. Daardoor is
op dit moment niet inzichtelijk hoeveel Nederlandse datacenterexploitanten, aanbieders
van cloud- en AI-diensten, onderaannemers en private entiteiten in kritieke sectoren
daadwerkelijk worden geraakt en welke kosten en baten per doelgroep in Nederland te
verwachten zijn. Daarbij maakt het impact assessment niet steeds onderscheid tussen
lasten die rechtstreeks uit het voorstel voortvloeien, lasten die afhankelijk zijn
van toekomstige gedelegeerde en uitvoeringshandelingen en lasten die vrijwillig worden
gemaakt, terwijl ook de mate van overlap met bestaande nationale verplichtingen nog
onduidelijk is. Een betrouwbare kwantificering vergt dan ook nader onderzoek, waaronder
mogelijk consultatie van de betrokken Nederlandse bedrijven, zodat het kabinet de
regeldrukgevolgen kan meewegen in het verdere Europese besluitvormingsproces.

Zoals eerder opgemerkt in dit fiche, berust de, door de Commissie geraamde positieve
regeldrukbalans, op de veronderstelling dat één EU-brede audit meerdere nationale
audits vervangt. Het kabinet zal de Commissie verzoeken deze veronderstelde besparing
nader te onderbouwen en daarbij na te gaan in hoeverre de EU-brede audit bestaande
nationale audits vervangt of auditverplichtingen introduceert die op nationaal niveau
niet bestaan.

Het kabinet zal de Commissie om verduidelijking vragen over de samenhang van de nieuwe
verplichtingen uit de CADA met bestaande Europese kaders, waaronder NIS2, DORA, de
Cybersecurity Act en de Europese aanbestedingsregelgeving. Onvoldoende samenhang met
deze kaders kan immers substantiële gevolgen hebben voor de werking en de regeldrukeffecten
van de CADA in de praktijk.

d) Gevolgen voor concurrentiekracht en geopolitieke aspecten

Met het Techsoevereiniteitspakket kiest de Commissie voor een proactieve aanpak om
risicovolle strategische afhankelijkheid in de digitale waardeketen te verminderen.
Het pakket heeft al geleid tot tegenreacties van buitenlandse overheden en bedrijven
die waarschuwen voor een té protectionistische houding. Hoewel deze geïntegreerde
ketenbenadering het Europese concurrentievermogen en weerbaarheid op lange termijn
kan verbeteren, moet ook rekening worden gehouden met mogelijke vergeldingsmaatregelen
van variërende ordergrootte tegen de EU in het algemeen.

De CADA beoogt de beschikbaarheid van rekencapaciteit in de EU te vergroten en de
afhankelijkheid van niet-Europese aanbieders te verminderen, hetgeen volgens de Commissie
bijdraagt aan economische groei, werkgelegenheid en hoogwaardige banen in de technologiesector.
Een grotere binnenlandse rekencapaciteit stelt Europese industrieën, met name diegene
die lage latentie en hoogwaardige rekencapaciteit vereisen, beter in staat te profiteren
van cloud- en AI-technologieën. Verder verwacht de Commissie dat het voorstel de marktpositie
en concurrentiekracht van Europese aanbieders versterkt, de strategische autonomie
van de EU op het gebied van digitale infrastructuur vergroot en de collectieve onderhandelingspositie
van de lidstaten verbetert. Het kabinet onderschrijft de analyse van de Commissie
dat het voorstel bijdraagt aan het versterken van de soevereiniteit en concurrentiekracht
van het Europese cloud- en AI-ecosysteem. Dit is cruciaal voor het afbouwen van afhankelijkheden
in het digitale domein en, in het verlengde daarvan, het versterken van de digitale
open strategische autonomie van de EU. Onder meer de recente rapporten van Wennink,
Letta en Draghi onderstrepen de cruciale rol van AI, cloud en datacenters voor de
Europese concurrentiekracht. Met de voorstellen van de Commissie wordt ingezet op
de adoptie en ontwikkeling van precies deze technologieën, waarbij de verwachting
is dat voorstellen bijdragen aan de concurrentiepositie en het verdienvermogen van
partijen en lidstaten in de EU. In haar impact assessment specificeert de Commissie
dat de kosten veelal eenmalig van aard zijn of direct verbonden zijn aan de implementatie-
en transitiefase, terwijl de verwachte baten terugkerend zijn. Daarmee is de verwachting
dat de voorgestelde combinatie van beleidsopties naar verwachting kosteneffectief
is en tot hogere baten dan kosten leidt binnen de beoordelingsperiode. Daarmee leidt
het voorstel tot netto positieve opbrengsten voor de EU.

Het voorstel van de Commissie heeft geopolitieke aspecten. De CADA is onderdeel van
het pakket dat expliciet tot doel heeft om afhankelijkheden van derde landen in het
digitale domein te mitigeren. De CADA richt zich op het versterken van de soevereiniteit
en concurrentiekracht van het Europese cloud- en AI-ecosysteem. Daartoe stelt het voorstel onder meer soevereiniteitscriteria
voor clouddiensten die geleverd worden aan overheden, waaronder criteria die voor
de hoogste betrouwbaarheidsniveaus aanpassing vragen aan de dienstverlening van aanbieders
van clouddiensten uit derde landen. Ook stelt het voorstel een beoordelingscriterium
voor in aanbestedingstrajecten waarmee de bijdrage die een offerte van een aanbieder
levert aan de ontwikkeling van de Europese Unie wordt meegewogen. Beide onderdelen
kunnen bijdragen aan een meer gediversifieerde afname van clouddienstverlening voor
kritieke toepassingen en gegevens door overheden, waardoor de hoge mate van afhankelijkheid
en sterke concentratie van die afhankelijkheid mogelijk kunnen worden beperkt. Vanwege
de focus van het voorstel op specifiek clouddienstverlening voor kritieke toepassingen
en gegevens blijft een open markt voor het overgrote deel van de markt gewaarborgd,
waardoor implicaties voor aanbieders uit derde landen beperkt zijn. Dit neemt niet
weg dat het voorstel mogelijk tot reacties van derde landen kan leiden.

6. Implicaties juridisch

a) Consequenties voor nationale en decentrale regelgeving en/of sanctionering beleid
(inclusief toepassing van de lex silencio positivo)

Het voorstel betreft een EU-verordening en is daarmee rechtstreeks toepasselijk in
alle lidstaten. Anders dan bij EU-richtlijnen is omzetting in nationale regelgeving
in beginsel niet toegestaan. De uitvoering van de verordening vereist echter wel nationale
uitvoeringsregelgeving op een aantal onderdelen.

Het kabinet voorziet dat de uitvoering van het CADA-voorstel consequenties zal hebben
voor Nederlandse regelgeving. Nederland kent momenteel geen sectorspecifieke wetgeving
voor cloud en AI die rechtstreeks voortvloeit uit EU-richtlijnen op dit terrein. De
CADA introduceert echter nieuwe verplichtingen die nationale uitvoeringsregelgeving
vereisen, waaronder de aanwijzing van een nationale bevoegde autoriteit voor erkenning,
toezicht en handhaving (artikelen 17 en 25), het verlenen van bevoegdheden voor toezicht
en handhaving, waaronder sanctionering (artikelen 24 en 26), de vaststelling van een
nationale cloud- en AI-strategie (artikel 7) en de aanwijzing van versnellingszones
met de daar bijhorende wijziging van administratieve procedures (artikelen 10 en 13).
Bestaande nationale regelgeving op aanpalende terreinen, zoals ruimtelijke ordening,
omgevingsvergunningen en aanbestedingsrecht, zal mogelijk moeten worden bezien op
strijdigheid met of aanpassing aan de verordening.

b) Gedelegeerde en/of uitvoeringshandelingen, incl. NL-beoordeling daarvan

Er worden vijf gedelegeerde handelingen in het voorstel aan de Commissie toegekend
(art. 6, lid 4; art. 16, lid 2; art. 20, lid 9; art. 21, lid 1; art. 31, lid 3). Het
betreft allereerst de bevoegdheid om Annex I te wijzigen, die de operationele doelstellingen
van de Cloud and AI Leadership Initiatives bevat (art. 6, lid 4). De Commissie kan deze bijlage aanpassen om relevante markt-
en technologische ontwikkelingen te weerspiegelen, mits de wijzigingen in lijn blijven
met de overkoepelende doelstellingen van artikel 4. Voorts wordt de Commissie gemachtigd
de in Annex II vastgestelde criteria voor de vier Unie-zekerheidsniveaus (Union assurance levels) en de in Annex III opgenomen bewijsvereisten te wijzigen (art. 16, lid 2),
teneinde beide bijlagen actueel te houden in het licht van nieuwe juridische of technische
ontwikkelingen. Daarnaast krijgt de Commissie de bevoegdheid om aanvullende regels
op te stellen over het uitvoeren van audits, de processtappen, de kennis en kunde
van de auditorganisaties, de gebruikte methodologieën en sjablonen voor de verslaglegging
(art. 20, lid 9). Het gaat daarbij om procedurele stappen, eisen aan auditorganisaties,
auditmethodieken en sjablonen voor auditrapportages. Tevens wordt de Commissie gemachtigd
Annex III te wijzigen door nadere bewijsvereisten vast te stellen die noodzakelijk
zijn voor de beoordeling van de in Bijlage II neergelegde auditcriteria (art. 21,
lid 1). Tot slot mag de Commissie via een uitvoeringshandeling de noodzaak specificeren
(motiveren) waarom private bedrijven in kritieke sectoren impact assessments en risico-mitigatiemaatregelen
moeten implementeren (Artikel 31 lid 3).

Ten aanzien van de gedelegeerde handeling uit artikel 6(4) is delegatie mogelijk,
omdat het een niet-essentieel onderdeel van de basishandeling betreft. Toekenning
van deze bevoegdheid acht het kabinet wenselijk vanwege de behoefte aan flexibiliteit
voor de Commissie om in te spelen op technologische ontwikkelingen en een snel veranderende
markt. De keuze voor delegatie in plaats van uitvoering ligt hier voor de hand, omdat
het gaat om het aanvullen en wijzigen van een niet-essentieel onderdeel van de verordening,
te weten de operationele doelstellingen in Annex I. Het kabinet acht deze bevoegdheid
voldoende afgebakend, gelet op de expliciete voorwaarde dat wijzigingen in overeenstemming
moeten blijven met de overkoepelende doelstellingen van artikel 4.

Ten aanzien van de gedelegeerde handeling uit 31(3) is delegatie mogelijk, omdat het
een niet-essentieel deel van de basishandeling betreft. Toekenning van deze bevoegdheid
acht het kabinet niet wenselijk vanwege het belang van de motivering van de verplichtingen
zoals geregeld in lid 3. Er zou namelijk een gedragen motivering ten grondslag moeten
liggen aan het opleggen van dergelijke verplichtingen, mede aangezien deze directe
inbreuk maakt op de veiligheidsbevoegdheid die belegd is bij individuele lidstaten
en niet (eenzijdig) bij de Commissie. Het kabinet kan instemmen met delegatie mits
de essentiële maatstaven voor deze motivering in de verordening zelf worden verankerd
en de bevoegdheid beperkt blijft tot de technische uitwerking daarvan.

Ten aanzien van de gedelegeerde handelingen uit artikel 16(2), 20(9) en 21(1) is delegatie
mogelijk, omdat het alle drie niet-essentiële onderdelen van de basishandeling betreft.
Ten aanzien van artikel 16(2) acht het kabinet toepassing wenselijk vanwege de behoefte
aan flexibiliteit en snelheid voor het aanpassen van de criteria in de bijlages, gezien
de snelheid van de markt- en technologische ontwikkelingen. Ook voor 20(9) acht het
kabinet de bevoegdheid wenselijk, omdat de technische en procedurele eisen aan auditorganisaties
en auditmethodieken nauw samenhangen met die markt- en technologische ontwikkelingen
en daarmee evenzeer behoefte hebben aan een flexibel en snel aanpasbaar kader. Hetzelfde
geldt voor 21(1), de bewijsvereisten op basis waarvan auditorganisaties de naleving
van de zekerheidsniveaus beoordelen dienen mee te kunnen bewegen met technische en
juridische ontwikkelingen, zodat de audits actueel en effectief blijven. Het kabinet
kan zich bij alle drie de bevoegdheden vinden in de keuze voor delegatie, omdat het
hier respectievelijk gaat om specifieke details die de toe te kennen betrouwbaarheidsniveaus
bepalen, de inrichting en uitvoering van de audits, en de daaraan ten grondslag liggende
bewijsvereisten. Het kabinet acht alle drie de bevoegdheden voldoende afgebakend.

Daarnaast bevat het voorstel bevoegdheden voor de Commissie om uitvoeringshandelingen
vast te stellen. Het voorstel bevat 10 uitvoeringshandelingen.

Het betreft allereerst de bevoegdheid voor de Commissie om uitvoeringsbesluiten vast
te stellen waarin de procedure voor de oprichting van AI-centra en verdere regelingen
betreffende het profiel van de deelnemende organisaties, de selectiecriteria en details
over de uitvoering van de taken en functies worden uiteengezet (art. 5, lid 4). Voorts
krijgt de Commissie de bevoegdheid om de procedure vast te stellen voor het verkrijgen
van een Unie-betrouwbaarheidsniveau (art. 17, lid 12). Daarnaast kan de Commissie
via uitvoeringshandelingen cumulatieve criteria vaststellen waaraan derde landen moeten
voldoen om aanbieders van clouddiensten uit dat land, of aanbieders van clouddiensten
die onder controle van dat land vallen, een externe audit te mogen laten verrichten
naar compliance met de criteria van betrouwbaarheidsniveau 3 overeenkomstig Annex
II, mits het derde land voldoet aan de cumulatieve voorwaarden van artikel 18(1)(a)
t/m (f) (art. 18, lid 1). Ook kan de Commissie de methode van risicobeoordeling vaststellen,
waaronder de aanpak, de te hanteren modellen en de elementen die moeten worden meegewogen
in de risicobeoordelingen als bedoeld in artikel 29, lid 1 (art. 29, lid 3). Tevens
krijgt de Commissie de bevoegdheid om, indien zij oordeelt dat het Unie-betrouwbaarheidsniveau
dat een lidstaat heeft bepaald op grond van een risicobeoordeling niet passend is
of onvoldoende de openbare-ordebelangen adresseert, bij uitvoeringsbesluit voor die
overheidstaak het betrouwbaarheidsniveau vast te stellen (art. 29, lid 5). Verder
kan de Commissie via uitvoeringshandelingen de procedure specificeren voor deelname
aan de EuroCloud Federatie (art. 34, lid 4), technische, operationele en organisatorische maatregelen
vastleggen voor deelname aan de EuroCloud Federatie (art. 35, lid 6), en gedetailleerde
regels vaststellen voor het bepalen van de geraamde kosten, de hoogte van de individuele
vergoedingen en de wijze en voorwaarden waaronder vergoedingen moeten worden betaald
door deelnemers aan de EuroCloud Federatie (art. 36, lid 4). Tot slot kan de Commissie uitvoeringshandelingen vaststellen
met regels over de uitvoering van aanbestedingsactiviteiten (art. 40, lid 2) alsmede
regels voor het vaststellen van de kosten die zijn gemaakt bij dergelijke aanbestedingsactiviteiten
door de Commissie (art. 40, lid 5).

Toekenning van de bevoegdheid uit artikel 5(4) acht het kabinet niet mogelijk, omdat
het essentiële onderdelen van de basishandeling betreft. De realisatie van de AI-centra
ligt bij de lidstaten zelf en de Commissie kent zich daarmee eenzijdig bevoegdheden
toe die in de kern raken aan de inrichting en organisatie van nationale structuren.
Het kabinet is van mening dat deze elementen in de basishandeling zelf geregeld dienen
te worden en niet via een uitvoeringshandeling kunnen worden vastgesteld.

Het toekennen van de bevoegdheden in de artikelen 17(12), 18(1) en 29(3) is mogelijk,
omdat het telkens niet-essentiële onderdelen van de basishandeling betreft. Toekenning
van deze bevoegdheden acht het kabinet wenselijk. Voor artikel 17(12) geldt dat de
procedurele details voor het verkrijgen van een Unie-betrouwbaarheidsniveau een technisch
karakter hebben en aan verandering onderhevig kunnen zijn, waardoor het niet wenselijk
is deze volledig in de basishandeling vast te leggen.

Voor artikel 18(1) geldt dat derde landen kunnen worden aangewezen of van de lijst
kunnen worden verwijderd wanneer zij niet langer aan de voorwaarden voldoen (art.
18, lid 2), zonder dat daarvoor een volledige wetgevingsprocedure hoeft te worden
doorlopen, wat de effectiviteit en actualiteit van het aanwijzen van aanbieders van
clouddiensten borgt. Voor artikel 29(3) geldt dat de methodologische details voor
risicobeoordelingen een technisch karakter hebben en nauw samenhangen met snel veranderende
markt- en technologische ontwikkelingen, waardoor het evenmin wenselijk is deze volledig
in de basishandeling vast te leggen. Bij alle drie biedt een uitvoeringshandeling
de Commissie de benodigde flexibiliteit om de betrokken details uniform vast te stellen
en waar nodig actueel te houden, zonder daarvoor een volledige wetgevingsprocedure
te hoeven doorlopen. De keuze voor uitvoering in plaats van delegatie ligt hier voor
de hand, omdat het gaat om uitvoering van de verordening volgens eenvormige voorwaarden
in de lidstaten en niet om het aanvullen of wijzigen van niet-essentiële onderdelen
daarvan. De uitvoeringshandelingen worden vastgesteld volgens de onderzoeksprocedure
als bedoeld in artikel 5 van verordening 182/2011. Toepassing van deze procedure is
hier wenselijk vanwege het belang van voldoende inspraak van de lidstaten, in het
bijzonder bij de vaststelling van derde landen in het kader van artikel 18(1) en bij
de vaststelling van de risicobeoordelingsmethodologie in het kader van artikel 29(3),
gezien de ingrijpende gevolgen daarvan voor de wijze waarop lidstaten hun risicobeoordelingen
moeten inrichten. Het kabinet is daarom voorstander van het toepassen van de onderzoeksprocedure
als bedoeld in artikel 5 van verordening 182/2011.

Het toekennen van de bevoegdheid in artikel 29(5) is niet mogelijk, omdat het essentiële
onderdelen van de basishandeling betreft. Het instrument in artikel 29 (5) verdient
een kanttekening. Het artikel bepaalt dat de lidstaten en Commissie risicobeoordelingen
uitvoeren en aan de hand daarvan welke betrouwbaarheidsniveaus nodig zijn voor haar
sectoren. In het vijfde lid heeft de Commissie een mogelijkheid om lidstaten te verplichten
om aan bepaalde minimumeisen van risico assessment voor bepaalde overheidssectoren
te voldoen. Dit raakt de essentie van het voorstel omdat het een bevoegdheid is die
veel invloed kan hebben op een hele overheidssector als daar een hoger betrouwbaarheidsniveau
voor wordt opgelegd dan vanuit de lidstaat is vastgesteld. Daarom is het kabinet van
mening dat deze bevoegdheid niet opgenomen moet worden in de voorgestelde verordening
en deze bevoegdheid bij de lidstaten zelf moet laten.

Het toekennen van de bevoegdheden in de artikelen 34(4), 35(6) en 36(4) is mogelijk,
omdat het telkens niet-essentiële onderdelen van de basishandeling betreft. Toekenning
van deze bevoegdheden acht het kabinet wenselijk. Voor artikel 34(4) geldt dat de
deelnameprocedure voor de EuroCloud Federatie procedurele en technische details betreft
die te gedetailleerd en veranderlijk zijn om volledig in de basishandeling vast te
leggen, maar waarbij wel eenvormige toepassing in alle lidstaten noodzakelijk is voor
een goed functionerende federatie. Voor artikel 35(6) geldt dat de technische, operationele
en organisatorische maatregelen voor deelname nauw samenhangen met de stand van de
techniek en daarmee aan verandering onderhevig zijn, waardoor een uitvoeringshandeling
de benodigde flexibiliteit biedt om deze maatregelen actueel te houden zonder een
volledige wetgevingsprocedure te hoeven doorlopen. Voor artikel 36(4) geldt dat de
financiële details omtrent kostenverdeling en vergoedingen praktische uitvoeringsaspecten
betreffen die zich niet lenen voor vastlegging in de basishandeling, maar waarbij
eenvormige toepassing wel essentieel is om gelijke voorwaarden voor alle deelnemers
te waarborgen. De keuze voor uitvoering in plaats van delegatie ligt bij alle drie
voor de hand, omdat het gaat om de eenvormige uitvoering van de verordening in de
lidstaten en niet om het aanvullen of wijzigen van niet-essentiële onderdelen daarvan.
De uitvoeringshandelingen worden vastgesteld volgens de onderzoeksprocedure als bedoeld
in artikel 5 van verordening 182/2011. Toepassing van deze procedure is hier wenselijk
vanwege het belang van inspraak van de lidstaten bij de vaststelling van deze operationele
en financiële kaders. Het kabinet is daarom voorstander van het toepassen van de onderzoeksprocedure
als bedoeld in artikel 5 van verordening 182/2011.

Het toekennen van de bevoegdheden in artikel 40(2) en artikel 40(5) is mogelijk, omdat
het niet-essentiële onderdelen van de basishandeling betreft. Toekenning van deze
bevoegdheden acht het kabinet wenselijk. Voor artikel 40(2) geldt dat de procedurele
regels voor de uitvoering van aanbestedingsactiviteiten door de Commissie een technisch
en uitvoerend karakter hebben dat te gedetailleerd is om volledig in de basishandeling
vast te leggen, maar waarbij eenvormige toepassing noodzakelijk is om een gelijk speelveld
voor de deelnemende lidstaten te waarborgen. Voor artikel 40(5) geldt dat de regels
voor het vaststellen van de gemaakte kosten bij aanbestedingsactiviteiten financieel-technische
details betreffen die aan verandering onderhevig kunnen zijn, waardoor een uitvoeringshandeling
de benodigde flexibiliteit biedt om deze regels actueel te houden zonder daarvoor
een volledige wetgevingsprocedure te hoeven doorlopen. De keuze voor uitvoering in
plaats van delegatie ligt bij beide voor de hand, omdat het gaat om de eenvormige
uitvoering van de verordening in de lidstaten en niet om het aanvullen of wijzigen
van niet-essentiële onderdelen daarvan. De uitvoeringshandelingen worden vastgesteld
volgens de onderzoeksprocedure als bedoeld in artikel 5 van verordening 182/2011.
Toepassing van deze procedure is hier volgens het kabinet wenselijk, omdat de vastgestelde
regels financiële gevolgen hebben voor de deelnemende lidstaten en zij daarom voldoende
inspraak dienen te hebben bij de vaststelling daarvan. Het kabinet is daarom voorstander
van het toepassen van de onderzoeksprocedure als bedoeld in artikel 5 van verordening
182/2011.

c) Voorgestelde implementatietermijn (bij richtlijnen), dan wel voorgestelde datum
inwerkingtreding (bij verordeningen en besluiten) met commentaar t.a.v. haalbaarheid

Het voorstel van de Commissie gaat uit van inwerkingtreding van de CADA op de twintigste
dag na de publicatie in het Publicatieblad van de Europese Unie. Vervolgens is bepaald
dat de verordening een jaar naar de inwerkingtreding van kracht wordt. Het kabinet
acht deze periode gelet op de gevolgen voor de Nederlandse regelgeving onvoldoende
voor een zorgvuldig wetgevingsproces in het algemeen en een adequate betrokkenheid
van het parlement in het bijzonder. Het kabinet zal zich daarom inzetten voor een
langere inwerkingtredingstermijn.

d) Wenselijkheid evaluatie-/horizonbepaling

Artikel 47 van het voorstel bevat een evaluatiebepaling. Het kabinet onderschrijft
het belang van een evaluatiebepaling. Op grond van deze evaluatiebepaling moet de
Commissie de werking van de CADA evalueren na vier jaar na de inwerkingtreding en
vervolgens elke vijf jaar daarna.

De Commissie moet hierover rapporteren aan het Europees Parlement, de Raad van de
Europese Unie en het Europees Economisch en Sociaal Comité. In voorkomend geval, zal
dit rapport vergezeld gaan met een voorstel tot wijziging van deze verordening. Daarnaast
zal de Commissie bij de evaluatie van de CADA rekening houden met de positie en bevindingen
van het Europees Parlement, de Raad van de Europese Unie, en de andere relevante instanties
en bronnen, en daarbij specifiek aandacht besteden aan MKB en de positie van nieuwe
mededingers. Het kabinet onderschrijft nut en noodzaak van deze evaluatiebepaling.
Een horizonbepaling, waarbij de verordening na een bepaalde datum vervalt, is niet
opgenomen. Het kabinet onderschrijft dat een horizonbepaling niet passend is bij de
doelstelling van dit voorstel, bijvoorbeeld om markttransparantie blijvend en voortdurend
te verbeteren door het vaststellen van soevereiniteitscriteria.

e) Constitutionele toets

De Commissie stelt dat het voorstel in lijn is met het Handvest van de grondrechten
van de Europese Unie, in het bijzonder het recht op bescherming van persoonsgegevens
(artikel 8 Handvest). De verordening introduceert soevereiniteitsnormen voor aanbieders
van clouddiensten (artikel 16 e.v.) die mede beogen te waarborgen dat gegevens van
Europese gebruikers en overheden niet toegankelijk zijn voor derde landen. De Commissie
stelt zich op het standpunt dat het voorstel hiermee bijdraagt aan de bescherming
van de in het Handvest neergelegde grondrechten, en in overeenstemming is met de vereisten
van artikel 52 Handvest.

Het voorstel raakt niet aan de Nederlandse Grondwet in die zin dat het geen implementatie
in formele wetgeving vereist die grondwettelijk verankerde rechten zou beperken.

7. Implicaties voor uitvoering en/of handhaving

Om uitvoering te geven aan de CADA mogen lidstaten zelf de nationale bevoegde autoriteit(en)
aanwijzen voor het handhaven van de auditprocedure en -kaders en voor het toezicht
op erkende aanbieders van clouddiensten. Een (of meerdere) onafhankelijke autoriteit(en)
zal (zullen) als bevoegde autoriteit voor het toezicht op de CADA worden aangewezen.
De voorgestelde bevoegdheden en de ruimte die daar nog wordt gelaten aan lidstaten
lijken afdoende om de uitvoerbaarheid van de verordening te waarborgen. Wel is verdere
stroomlijning en verduidelijking van de bevoegdheden noodzakelijk: vanuit het perspectief
van uitvoeringsorganisaties acht het kabinet het van belang dat de verplichtingen
rond risicobeoordelingen, betrouwbaarheidsniveaus en eventuele migratie naar andere
cloudoplossingen uitvoerbaar blijven voor organisaties die publieke digitale dienstverlening
verzorgen. Daarbij is bijzondere aandacht nodig voor continuïteit van dienstverlening,
bestaande contractuele verplichtingen, ketenafhankelijkheden, interoperabiliteit en
voldoende realistische overgangstermijnen. Het kabinet zal de Commissie vragen de
gevolgen voor uitvoeringsorganisaties en grensoverschrijdende gegevensuitwisseling
nader te verduidelijken. Ook zal de omvang en aard van de werkbelasting – met name
de korte doorlooptijden en mogelijke onvoorspelbaarheid in de variërende frequentie
van verzoeken om erkenning en verzoeken om herziening – alsmede de speciale handhavingsprocedures
in geval van inbreuken, uitgebreide personele middelen en gespecialiseerde kennis
binnen de bevoegde autoriteit vereisen. Coördinatie en samenwerking op EU-niveau lijkt
wenselijk voor een universele implementatie en uitvoering. Gedurende de onderhandelingen
zal het kabinet hier blijvend aandacht aan besteden en zo nodig voorstellen worden
gedaan ter verbetering.

8. Implicaties voor ontwikkelingslanden

Geen implicaties voor ontwikkelingslanden anders dan de genoemde consequenties voor
derde landen in het algemeen, zoals aangegeven onder onderdeel 5d.