Ik heb hier eerder een pleidooi over gehouden. Bij inkoop van software zou je open source en EU-alternatieven standaard moeten meewegen, niet pas als iemand ernaar vraagt. Tot nu toe was dat een strategische keuze, een principe dat je zelf in je beleid kon zetten.
Sinds 3 juni 2026 is het meer dan dat. De Europese Commissie heeft “open source first” in een wetsvoorstel gegoten. Zwart op wit, in Artikel 41 van de Cloud and AI Development Act. En dat is niet eens het enige in die wet dat je inkoop raakt.
Even een voorbehoud vooraf: dit is een voorstel, geen geldend recht. De timing is onzeker, de tekst kan nog schuiven. Maar de richting is helder. En helder genoeg om er je beleid nu al tegenaan te houden.
Wat de CADA is
De Cloud and AI Development Act (CADA) hoort bij het Tech Sovereignty Package dat de Commissie op 3 juni 2026 presenteerde, samen met onder meer een Chips Act 2.0 en een EU Open Source Strategy. De wet komt voort uit twee zorgen die de meeste CISO’s en CIO’s herkennen: een tekort aan Europese datacentercapaciteit nu AI gebruik explodeert, en de afhankelijkheid van een handvol niet-Europese cloudleveranciers.
Geen abstract soevereiniteitsverhaal dus. Het probeert een concreet risico te adresseren: te veel kritieke infrastructuur, bij te weinig partijen, in de verkeerde jurisdictie.
De vier soevereiniteitsniveaus
Het meest ingrijpende onderdeel is een cloud soevereiniteitsraamwerk met vier zogenoemde Union assurance levels. Die niveaus bepalen straks wie toegang krijgt tot publieke aanbestedingen, met oplopende eisen aan beveiliging, weerbaarheid en soevereiniteit.
Het laagste niveau geldt voor iedereen die aan de publieke sector wil leveren. Voor leveranciers die bijdragen aan de openbare orde kunnen na een risicoanalyse zwaardere niveaus gelden. Het hoogste vraagt volledige controle over de keten, zonder inmenging van een derde land.
Waar het op neerkomt: soevereiniteit wordt een toegangsvoorwaarde, geen bijzaak. Wie aan de overheid wil leveren, moet aantoonbaar op een niveau zitten. Dat verschuift de vraag van “is deze leverancier goed?” naar “op welk niveau zit hij, en is dat genoeg voor wat wij doen?”.
Artikel 41: open source first, zwart op wit
Dan Artikel 41. De strekking: de Unie en de lidstaten nemen maatregelen om publieke instellingen aan te moedigen open standaarden en componenten onder een open source-licentie te gebruiken bij het bouwen van hun cloud- en AI-omgeving. Rekening houdend met functionaliteit, beveiliging, totale kosten en andere onderbouwde criteria.
Let op de nuance. Het is “aanmoedigen”, geen keiharde plicht, en er zit een afwegingsclausule in. Maar de richting is onmiskenbaar. Wat ik eerder betoogde als gewoon verstandige inkoop, begin niet bij de Magic Quadrant maar bij toetsbare eisen, krijgt hiermee een wettelijke haak waar je in tenders naar kunt verwijzen. Open source schuift van “mag” naar “verwacht”.
De US-jurisdictie op de achtergrond
Waarom nu, en waarom zo? Op de achtergrond speelt de jurisdictievraag die ik eerder beschreef. Een leverancier kan technisch prima zijn en toch onder buitenlands recht vallen. De Amerikaanse CLOUD Act maakt het voor niet-Europese hyperscalers lastig om de strengste niveaus te halen, simpelweg omdat ze onder Amerikaanse rechtsmacht blijven vallen.
Precies het punt dat ik maakte over open source: een EU-hoofdkantoor maakt een leverancier nog niet soeverein. De rechtsmacht bepaalt meer dan het logo. CADA vertaalt dat naar aanbestedingsniveaus. Soevereiniteit is geen marketingclaim meer, maar een toetsbaar niveau.
Waarom dit ook de private sector raakt
“Publieke aanbestedingen, dus niet mijn probleem”, denk je misschien. Te kort door de bocht. De publieke sector is een enorme afnemer. Als die op soevereiniteitsniveaus en open source gaat sturen, beweegt de hele markt mee. Leveranciers richten hun aanbod op de overheid in, en dat aanbod wordt vervolgens ook jouw menu.
En de wet geeft de Commissie de ruimte om via nadere regels soevereiniteits-risicoanalyses te koppelen aan de cloudafhankelijkheden van kritieke, private bedrijven. Dezelfde bedrijven die al onder NIS2 hun keten moeten beoordelen. Zo lopen de soevereiniteitsvraag en de supply chain vraag in elkaar over. Doe je een NIS2-ketenbeoordeling, neem de jurisdictie- en soevereiniteitsdimensie er dan meteen in mee.
Wat betekent dit voor je CMS en andere open-source software?
Terechte tegenwerping: CADA gaat over cloud en AI, niet over applicaties. Een CMS of een ander stuk software is geen gereguleerd object onder deze wet, en er landt geen directe verplichting op. Toch verandert CADA de omgeving waarin die software leeft, en dat werkt op drie manieren door.
Ten eerste de cloud waaróp je software draait. De soevereiniteitsniveaus reguleren de cloudleverancier, niet de applicatie. Maar voor de publieke sector duwt dat het hosten richting soevereine, EU-gebonden infrastructuur. En dat bevoordeelt software die je zelf kunt hosten en verplaatsen, open source, portable, boven een SaaS-oplossing die vastzit aan één niet-Europese hyperscaler. Een open-source CMS als TYPO3, dat je op eigen of EU-cloud draait, past in die wereld. Een dichtgetimmerde SaaS op een Amerikaanse hyperscaler past er slecht in.
Ten tweede Artikel 41 zelf. Het “open source first” geldt voor hoe publieke instellingen hun cloud- en AI-stack bouwen, en een publiek webplatform zit in die stack. De voorkeur voor open standaarden en open-source componenten straalt zo af op de softwarekeuze eromheen. Geen keiharde verplichting, wel een argument dat je in een aanbesteding op tafel kunt leggen.
Ten derde de context. In hetzelfde Tech Sovereignty Package zit een EU Open Source Strategy, met een investering van twee miljard euro. Dat raakt open-source-ecosystemen direct, in legitimiteit en in geld.
Kort samengevat: CADA reguleert je CMS niet, maar het kantelt de omgeving richting open source en EU-hostbare software. Voor wie op open source bouwt is dat een rugwind. Reken jezelf alleen niet rijk: het is een voorstel, en wind mee is nog geen contract.
Wat je nu zou moeten doen
De richting is duidelijk, de timing niet. Adoptie is pas rond eind 2027 voorzien, en de tekst kan nog veranderen. Dus nee, dit is geen moment om je landschap te herbouwen. Wel om te beginnen met in kaart brengen.
Breng je afhankelijkheden in beeld. Welke van je kritieke diensten draaien bij niet-Europese leveranciers, onder welke jurisdictie, en hoe vervangbaar zijn ze? Zet soevereiniteit en de open source-afweging nu al als toetsbare criteria in je inkoopvoorwaarden, naast functionaliteit en kosten. En koppel het aan je bestaande NIS2- en CRA-werk, zodat je het één keer doet in plaats van drie keer. Wie die afhankelijkheden systematisch wil beoordelen, over data, infrastructuur én leveranciers, kan daarvoor mijn Digital Sovereignty Assessment gebruiken.
Het doel is niet vandaag CADA-compliant zijn. Dat kan nog niet eens. Het doel is weten waar je staat, zodat een richting die nu al zichtbaar is je over anderhalf jaar niet overvalt.
Tot slot
Wat ik jarenlang als verstandig advies gaf, wordt beleid. Open source en soevereiniteit schuiven van een keuze die je kon maken naar een verwachting waar je aan zult moeten voldoen. Zeker als je aan de overheid levert, en waarschijnlijk breder.
Organisaties die nu al in kaart brengen waar hun afhankelijkheden zitten, hoeven straks alleen nog bij te sturen. Wie wacht tot de wet definitief is, begint met inventariseren op het moment dat het al moet. Dat is het verschil tussen sturen en achter de feiten aanlopen.
Veelgestelde vragen
Wat is de Cloud and AI Development Act (CADA)?
De CADA is een wetsvoorstel van de Europese Commissie, gepresenteerd op 3 juni 2026 als onderdeel van het Tech Sovereignty Package. Het richt zich op de Europese cloud- en AI-infrastructuur, met als doel het tekort aan datacentercapaciteit aan te pakken en de afhankelijkheid van niet-Europese cloudleveranciers te verminderen. Het is een voorstel, nog geen geldend recht.
Wat houdt Artikel 41 in?
Artikel 41 bepaalt dat de Unie en de lidstaten maatregelen nemen om publieke instellingen aan te moedigen open standaarden en open source-componenten te gebruiken bij het bouwen van hun cloud- en AI-omgeving, rekening houdend met functionaliteit, beveiliging, totale kosten en andere onderbouwde criteria. Het is een “open source first”-principe, geen absolute verplichting, maar het verankert de voorkeur wettelijk.
Wat zijn de vier soevereiniteitsniveaus?
De CADA introduceert vier Union assurance levels die de toegang tot publieke aanbestedingen bepalen, met oplopende eisen aan beveiliging, weerbaarheid en soevereiniteit. Het laagste niveau geldt voor elke leverancier aan de publieke sector; hogere niveaus kunnen na een risicoanalyse worden geëist, en het hoogste vraagt om volledige ketencontrole zonder inmenging van een derde land.
Raakt de CADA ook private ondernemingen?
Direct via publieke aanbestedingen, en indirect breder. De publieke sector is een grote afnemer, dus de markt beweegt mee. Daarnaast kan de Commissie via nadere regels soevereiniteits-risicoanalyses koppelen aan de cloudafhankelijkheden van kritieke, private NIS2-bedrijven. De soevereiniteits- en supplychain-vraag lopen zo in elkaar over.
Wat moet ik nu doen als de wet nog een voorstel is?
Nog niet herbouwen, wel in kaart brengen. Breng je cloud- en leveranciersafhankelijkheden in beeld, inclusief jurisdictie en vervangbaarheid, en neem soevereiniteit en open source-afweging nu al op als toetsbare inkoopcriteria. Koppel dit aan je NIS2- en CRA-werk. Zo ben je voorbereid op een richting die al vaststaat, ook al is de exacte timing dat niet.
