Wat is er werkelijk veranderd?
Jarenlang was de cloudvraag praktisch van aard: welke leverancier, tegen welke prijs. Het European Technological Sovereignty Package van 2026, en de Cloud and AI Development Act daarbinnen, verandert die vraag. Het introduceert een soevereiniteitskader met vier niveaus dat beoordeelt hoe onafhankelijk uw infrastructuur is van een enkele buitenlandse leverancier. Waar uw systemen draaien, en wie er uiteindelijk zeggenschap over heeft, is nu een gereguleerde aangelegenheid, niet langer alleen een architectuurkeuze.
Het staat niet op zichzelf. Het komt boven op DORA, NIS2, de Data Act en de AI Act, elk met eigen verplichtingen rond continuïteit, beveiliging en verantwoording. Voor een bedrijf dat in Europa actief is, ontstaat zo een complianceomgeving waarin concentratie bij een enkele hyperscaler niet langer alleen gemakkelijk is. Het is een gedocumenteerde blootstelling.
Waarom zien de meeste bedrijven hun eigen blootstelling niet?
Omdat de afhankelijkheid verborgen zit. Weinig organisaties leunen op een enkele cloud op een manier die zij op een enkele pagina kunnen overzien. De werkelijke afhankelijkheid loopt via managed services, compliancetooling, de AI-systemen die zij hebben ingevoerd, analyticsplatforms, identiteitsinfrastructuur en ontwikkelpijplijnen, waarvan er veel stilzwijgend teruggrijpen op dezelfde een of twee leveranciers.
Dus wanneer een bestuur vraagt of het bedrijf zou kunnen doordraaien mocht de hoofdleverancier uitvallen of als niet-compliant worden beoordeeld, luidt het eerlijke antwoord meestal dat niemand het in kaart heeft gebracht. Dat is de leemte die de nieuwe regels op het punt staan bloot te leggen, en de leemte die DORA gereguleerde ondernemingen nu al verplicht te dichten.
Wat zou een serieus bedrijf nu moeten doen?
Breng de afhankelijkheidsketen in kaart voordat een toezichthouder of een storing dat voor u doet. Bepaal welke kritieke functies teruggaan op een enkele leverancier, waar u geen geteste failover heeft, en waar een soevereiniteitsniveau u buitenspel zou zetten. Dit is geen oproep om de hyperscalers vaarwel te zeggen. Het is een oproep om precies te weten wat u zonder hen zou doen, en om dat te kunnen aantonen.
Veerkracht draaide altijd al om de afhankelijkheid die u niet kunt vervangen. De nieuwe regels maken die afhankelijkheid eenvoudigweg tot iets dat u nu moet zien, documenteren en verdedigen. De bedrijven die haar vroeg in kaart brengen, behandelen de deadlines als routine. De bedrijven die wachten, ontdekken de vorm van hun afhankelijkheid op het slechtst denkbare moment.
Lees hierna: Disney en Paramount klagen ByteDance aan om AI-video | Verzekeraars schrijven uitsluitingen voor generatieve AI in uw polis
