Europa’s digitale soevereiniteit

I. Inleiding: De Europese Soevereiniteit Paradox

Europa bevindt zich in 2025 in een fundamentele paradox. Enerzijds heeft de Europese Unie zich gepositioneerd als een ’s werelds meest invloedrijke regelgevende macht, een ‘regulatory superpower’ die via wetgeving zoals de Algemene Verordening Gegevensbescherming (AVG/GDPR), de Digital Markets Act (DMA) en de AI Act ¹ de mondiale norm bepaalt. Anderzijds functioneert de EU in de praktijk als een ‘digitale kolonie’, diep en structureel afhankelijk van een oligopolie van Amerikaanse techgiganten voor de meest fundamentele infrastructuur van haar economie en samenleving: cloud computing, de AI-stack en de onderliggende hardware.³

Deze afhankelijkheid is geëvolueerd van een louter economisch nadeel naar een acute strategische, geopolitieke en democratische kwetsbaarheid.⁶ De geopolitieke context van de periode 2025-2035, gekenmerkt door een structurele rivaliteit tussen de Verenigde Staten en China ⁸ en een ‘America First’-doctrine die de trans-Atlantische betrekkingen onder druk zet ¹⁰, heeft de urgentie verhoogd. ‘Strategische autonomie’, ooit gezien als een voornamelijk Franse ambitie, is verworden tot een existentiële noodzaak voor de gehele Unie.⁹

Dit rapport stelt dat de huidige, gefragmenteerde en marktgerichte EU-strategieën met name het GAIA-X initiatief en de politiek vastgelopen European Cybersecurity Certification Scheme for Cloud Services (EUCS) structureel hebben gefaald.¹² Het bereiken van daadwerkelijke digitale soevereiniteit vereist een radicale beleidswijziging. De analyse toont aan dat een verschuiving noodzakelijk is van passieve regulering naar een actieve, gecentraliseerde en publiek-geleide industriepolitiek. Dit vereist de oprichting van een soeverein investeringsfonds en de ontwikkeling van een ‘public-led digital stack’ ¹⁴, analoog aan de strategische successen van Airbus of een ‘CERN for AI’.¹⁵

Dit rapport biedt een multidisciplinaire analyse van de huidige afhankelijkheden (juridisch, economisch, technologisch), onderzoekt de interne barrières die vooruitgang blokkeren, en presenteert een concrete, uitvoerbare roadmap voor de periode 2025-2035 om de EU naar daadwerkelijke digitale soevereiniteit te leiden. De methodologie is gebaseerd op een synthese van juridische documenten, economische rapporten, technische analyses en geopolitieke evaluaties.

II. Theoretisch Kader: De Lagen van Digitale Soevereiniteit

Om de complexiteit van de Europese afhankelijkheid te doorgronden, is een helder theoretisch kader vereist. Dit kader moet zowel de definitie van soevereiniteit als de gelaagde structuur van de digitale infrastructuur omvatten.

2.1 Definitie van Digitale Soevereiniteit

Digitale soevereiniteit wordt in dit rapport gedefinieerd als het vermogen van de Europese Unie en haar lidstaten om autonoom en effectief:

1. Hun eigen wet- en regelgeving (zoals de GDPR) te handhaven in de digitale ruimte, en hun burgers te beschermen tegen ongewenste data-overdrachten en surveillance.
2. Hun kritieke digitale infrastructuur, processen en data te beschermen tegen buitenlandse inmenging, spionage of economische dwang.¹⁶
3. De noodzakelijke industriële, technologische en menselijke capaciteit te bezitten en te ontwikkelen om deze autonomie op lange termijn te garanderen en innovatie te bevorderen.¹⁷

2.2 Conceptualisering: Het 7-Lagen Soevereiniteit Model (The ‘EuroStack’)

Afhankelijkheid is geen monolithisch concept. Het manifesteert zich op verschillende, onderling verbonden niveaus van de ‘digital stack’.¹⁸ Een afhankelijkheid op een fundamentele laag maakt soevereiniteit op de lagen daarboven nagenoeg onmogelijk. Dit rapport hanteert het volgende 7-lagenmodel:

1. Laag 1: Fysiek: De passieve infrastructuur van zeekabels, datacenters (vastgoed) en energietoevoer.
2. Laag 2: Hardware: De actieve componenten, waaronder halfgeleiders (chips), servers, en firmware.²⁰
3. Laag 3: Protocol: De fundamentele vertrouwenslaag van het internet, inclusief DNS, BGP en de ‘Root-of-Trust’ (TLS/SSL-certificaten).²¹
4. Laag 4: Infrastructuur (IaaS/PaaS): De ‘hyperscaler’-laag; de basis cloud-diensten (Infrastructure-as-a-Service, Platform-as-a-Service).³
5. Laag 5: Software & Data (SaaS): De applicatielaag (Software-as-a-Service), zoals Microsoft 365 of Google Workspace, en de data die hierin worden verwerkt.²²
6. Laag 6: Cognitief (AI): De ‘foundation models’ en AI-diensten die kennis genereren en beslissingen beïnvloeden.²³
7. Laag 7: Governance: De regelgevende, normatieve en politieke laag (GDPR, DMA, EUCS).²

2.3 De Juridische Kern: Het Onoplosbare Conflict

De Europese soevereiniteit paradox wordt verankerd door een fundamenteel en onoplosbaar juridisch conflict tussen twee rechtsstelsels: het territoriale EU-privacyrecht en het extraterritoriale Amerikaanse nationale veiligheidsrecht.²⁴

Het Amerikaanse Extraterritoriale Arsenaal

De Amerikaanse wetgeving geeft haar inlichtingendiensten en rechtshandhavingsautoriteiten vergaande, dwingende en vaak geheime bevoegdheden om toegang te krijgen tot data die worden beheerd door ‘US persons’ (een brede definitie die elk Amerikaans bedrijf, inclusief hun dochterondernemingen wereldwijd, omvat). Dit geldt ongeacht de fysieke locatie waar de data zijn opgeslagen.7 De belangrijkste instrumenten zijn:

• FISA Section 702: Deze wet, onlangs nog verlengd, staat de Amerikaanse inlichtingendiensten toe om data te verzamelen van buitenlandse doelwitten buiten de VS. Dit gebeurt door het uitgeven van dwingende bevelen aan Amerikaanse elektronische communicatie dienstverleners (zoals cloud providers).²⁵
• The CLOUD Act (Clarifying Lawful Overseas Use of Data Act): Deze wet uit 2018 formaliseert dat Amerikaanse autoriteiten data kunnen opeisen bij Amerikaanse providers, zelfs als die data in het buitenland (bv. in een datacenter in Frankfurt) zijn opgeslagen.²⁴ Het biedt een mechanisme voor ‘executive agreements’ met andere landen, maar verandert niets aan de fundamentele eis bevoegdheid.²⁹
• Executive Order 12333 & National Security Letters (NSLs): E.O. 12333 vormt de basis voor grootschalige buitenlandse inlichtingen vergaring ³⁰, terwijl NSLs dwingende verzoeken om data zijn, vaak met een geheimhoudingsplicht.

De Europese Juridische Realiteit (Schrems II)

Hier staat het EU-recht (met name de GDPR) lijnrecht tegenover. De jurisprudentie van het Hof van Justitie van de EU (HvJ-EU) in de ‘Schrems’-zaken heeft dit conflict blootgelegd:

• Schrems I (2015): Invalideerde het ‘Safe Harbor’-verdrag.³¹
• Schrems II (2020): Invalideerde de opvolger, ‘Privacy Shield’, omdat het Hof oordeelde dat de Amerikaanse surveillancewetten (met name FISA 702 en E.O. 12333) geen “in wezen gelijkwaardige” bescherming bieden aan EU-burgers.³¹ Het Hof oordeelde ook dat de destijds ingestelde ‘Ombudspersoon’ geen effectief rechtsmiddel bood.³³

De huidige opvolger, het ‘EU-US Data Privacy Framework’ (DPF) ³⁴, wordt door velen als juridisch even wankel beschouwd, aangezien de onderliggende Amerikaanse surveillance wetten niet fundamenteel zijn gewijzigd.²⁶ Een ‘Schrems III’-zaak die het DPF aanvecht, wordt algemeen verwacht.³⁶

De Juridische Fictie van ‘Sovereign Enclaves’

Dit juridische conflict leidt tot een cruciale conclusie: ‘data-soevereiniteit’ op Amerikaanse infrastructuur is een juridische fictie. Oplossingen die door Amerikaanse hyperscalers worden aangeboden, zoals ‘sovereign enclaves’, ’trusted clouds’ of het simpelweg hosten van data in Europese datacenters 16, zijn technische oplossingen voor een fundamenteel juridisch probleem. Zolang de provider (de ‘US person’) zeggenschap heeft over de data, blijft het bedrijf onderworpen aan dwingende Amerikaanse bevelen onder FISA of de CLOUD Act.

Dit inzicht is essentieel om de werkelijke impact te begrijpen van de overnames van Europese soevereiniteit spelers zoals Solvinity ³⁸ en Zivver.³⁹ Ondanks garanties over datalocatie, brengt de verandering van eigenaarschap naar een ‘US person’ de data onmiddellijk en onherroepelijk binnen de sfeer van de Amerikaanse extraterritoriale wetgeving.

III. Analyse van Afhankelijkheden: De €264 Miljard Kostende Realiteit

De afhankelijkheid, geworteld in het zojuist beschreven juridische conflict, manifesteert zich in de reële economie met verbluffende cijfers en strategische kwetsbaarheden.

3.1 Economische Afhankelijkheid: De €264 Miljard ‘Digital Bill’

Een baanbrekende economische studie van het Franse onderzoeksbureau Asterès, uitgevoerd in opdracht van Cigref, heeft in 2025 voor het eerst de financiële omvang van de Europese afhankelijkheid gekwantificeerd.⁴

• Kwantificering: Europese bedrijven betalen jaarlijks een ‘digitale rekening’ van €264 miljard aan Amerikaanse leveranciers van cloud- en softwarediensten.⁴ Dit bedrag, dat qua omvang vergelijkbaar is met de Europese energierekening, vertegenwoordigt een directe waardeoverdracht (‘value drain’) van de EU naar de VS.⁴
• Impact op Werkgelegenheid en BBP: De studie berekent dat 80% van de waardecreatie van deze diensten in de VS plaatsvindt.⁴⁰ Deze €264 miljard aan Europese uitgaven ondersteunt direct bijna 1.95 miljoen banen en genereert $323 miljard aan toegevoegde waarde, binnen de Amerikaanse economie.⁴ Dit is een massale ‘job drain’ die de Europese welvaart en arbeidsmarkt ondermijnt.
• Context: Deze cijfers worden ondersteund door bredere marktanalyses. IDC voorspelt dat de totale Europese uitgaven aan publieke clouddiensten alleen al $229 miljard zullen bedragen in 2025.⁴² Uit Eurostat-gegevens bleek dat in 2023 45% van alle bedrijven in de EU clouddiensten inkocht.⁴⁴

3.2 Marktconcentratie: De Hyperscaler Oligopolie

De economische afhankelijkheid wordt versterkt door een extreme marktconcentratie op de cruciale IaaS/PaaS-laag (Laag 4).

• Marktaandelen: De Europese cloudmarkt wordt gedomineerd door drie Amerikaanse spelers: Amazon Web Services (AWS), Microsoft Azure en Google Cloud. Samen controleren zij circa 70-75% van de totale Europese markt.³
• Europese Spelers: De leidende Europese providers (zoals SAP, Deutsche Telekom, OVHcloud en IONOS) ³ hebben een gecombineerd marktaandeel van slechts ongeveer 15%.³
• De Verloren Strijd om Schaal: De data van Synergy Research Group tonen een verontrustend beeld. Hoewel de inkomsten van Europese cloud providers sinds 2017 meer dan verdrievoudigd zijn, is hun marktaandeel in diezelfde periode gehalveerd – gedaald van 29% in 2017 naar 15% in 2022-2024.³ Dit toont aan dat Europese spelers, ondanks hun groei, de strijd om schaalgrootte verliezen tegen de exponentiële investeringen (CapEx) van de Amerikaanse hyperscalers.⁴⁶

3.3 Strategische Afhankelijkheid: Erosie en ‘Weaponization’

De economische en juridische afhankelijkheid is geen passief risico; het is een actieve kwetsbaarheid die de nationale veiligheid en de continuïteit van vitale publieke diensten bedreigt. Recente casussen illustreren een escalatieladder van risico’s.

Casus 1: De Overname van Zivver (Passief Risico Gecreëerd)

In juni 2025 werd de Nederlandse secure-communicatiespecialist Zivver overgenomen door het Amerikaanse Kiteworks.47 Zivver is een cruciale leverancier voor de versleutelde uitwisseling van zeer gevoelige informatie, zoals patiëntgegevens voor ziekenhuizen, overheidsbesluiten en juridische communicatie.39

• Het Risico: Hoewel Kiteworks beloofde dat de data fysiek in de EU gehost blijven ⁴⁷, wijzen juridische experts erop dat dit irrelevant is. Als Amerikaanse eigenaar is Kiteworks onderhevig aan de CLOUD Act. Dit betekent dat Amerikaanse autoriteiten toegang kunnen vorderen tot Europese patiëntgegevens, waardoor de Europese klanten (de ziekenhuizen) onwetend en ongewild in strijd kunnen handelen met hun GDPR-verplichtingen.³⁹

Casus 2: De Overname van Solvinity (Actieve Strategie Ondermijnd)

In november 2025 werd Solvinity, een prominente Nederlandse provider van secure cloud-diensten, overgenomen door het Amerikaanse IT-bedrijf Kyndryl (een voormalige IBM-dochter).38

• De Feiten: Solvinity was een ‘vertrouwde Nederlandse partner’ die vitale diensten levert aan de Nederlandse overheid, waaronder het Ministerie van Justitie en Veiligheid (Justitienet), DigiD en MijnOverheid.⁵⁰
• De Reactie: De Nederlandse overheid en de gemeente Amsterdam werden “onaangenaam verrast”.³⁸ Amsterdam had Solvinity juist gekozen als strategische partner om de “digitale autonomie” te versterken en de afhankelijkheid van Amerikaanse firma’s te vermijden.³⁸
• Het Risico: Door de overname vallen de data van de Nederlandse justitie, de digitale identiteit van burgers (DigiD) en de centrale portal MijnOverheid direct onder de jurisdictie van de US CLOUD Act.³⁸ Deze casus toont aan hoe een bewuste nationale soevereiniteitsstrategie actief en direct wordt ondermijnd door marktkrachten en het gebrek aan Europees kapitaal om strategische assets te beschermen.

Casus 3: De ‘Weaponization’ van Afhankelijkheid (Gekinetiseerd Risico)

De afhankelijkheid is inmiddels geëscaleerd van een potentieel risico naar een daadwerkelijk ingezet geopolitiek wapen.

• Amsterdam Trade Bank (ATB): Naar aanleiding van de Russische sancties in 2022, trok het Amerikaanse bedrijf Microsoft zijn clouddiensten (Microsoft 365) in. Zonder deze cruciale operationele software kon de bank niet langer functioneren, wat direct leidde tot haar faillissement.⁵⁶
• Internationaal Strafhof (ICC): In februari 2025, na het instellen van Amerikaanse sancties tegen medewerkers van het Internationaal Strafhof in Den Haag, werden de e-maildiensten (vermoedelijk Microsoft) van de hoofdaanklager opgeschort.¹³

Deze casussen tonen een duidelijke escalatie. De Zivver-overname creëert een latente juridische kwetsbaarheid. De Solvinity-overname ondermijnt een actieve soevereiniteit strategie. De ATB- en ICC-zaken tonen de kinetische fase: de afhankelijkheid wordt daadwerkelijk geëxploiteerd als een instrument van buitenlands beleid. In de huidige geopolitieke context ¹¹ is dit de nieuwe norm, niet de uitzondering. De EU-markt faalt niet alleen in het creëren van alternatieven, maar ook in het behouden van de weinige soevereine assets die het heeft, wat ‘weaponization’ onvermijdelijk maakt.

3.4 Technologische Afhankelijkheid (The ‘Deep Stack’)

De afhankelijkheid gaat dieper dan alleen de applicatie- en infrastructuur lagen. Het strekt zich uit tot de fundamentele bouwstenen van de digitale wereld.

• Hardware (Laag 2): Ondanks de ambitieuze EU Chips Act ²⁰, blijft Europa zwaar afhankelijk van Amerikaanse ontwerpen (EDA-software, IP-cores) en Aziatische productie.²⁰ De Europese Rekenkamer (ECA) heeft in 2025 gewaarschuwd dat de Chips Act “zeer onwaarschijnlijk” de ambitieuze doelen voor 2030 (20% wereldwijd marktaandeel) zal halen.⁵⁹
• Protocollen (Laag 3): De ‘Root-of-Trust’ Crisis: De meest fundamentele vertrouwenslaag van het internet – de Public Key Infrastructure (PKI) die SSL/TLS-certificaten uitgeeft – is gevaarlijk gecentraliseerd.²¹

• Data: Recent onderzoek ²¹ toont aan dat meer dan 75% van alle SSL/TLS-certificaten die worden gebruikt voor domeinen binnen de EU, worden uitgegeven door Certificate Authorities (CA’s) die gevestigd zijn in de Verenigde Staten. De markt wordt gedomineerd door een handvol spelers zoals Let’s Encrypt, GlobalSign en Sectigo.⁶³
• Risico: Dit geeft een niet-EU-land de facto controle over de vertrouwens protocollen van de gehele Europese economie. Een buitenlandse overheid kan, via dwingende maatregelen, een CA dwingen certificaten in te trekken, te weigeren of te manipuleren. Dit zou de beschikbaarheid en veiligheid van alle Europese digitale diensten – van bankieren tot overheidscommunicatie – direct ondermijnen.
• Cognitief (Laag 6): De AI Stack: De AI-revolutie wordt volledig gedomineerd door Amerikaanse ‘foundation models’ (OpenAI, Google, Anthropic) ²³ en de hardware waarop ze draaien (voornamelijk Nvidia).⁶⁶ Europese spelers zoals Mistral AI (Frankrijk) en Aleph Alpha (Duitsland) ⁶⁷ zijn technologisch veelbelovend, maar lijden aan een acuut gebrek aan kapitaal en toegang tot grootschalige rekenkracht ⁶⁸, waardoor ze gedwongen worden zwaar te leunen op… Amerikaanse investeerders en cloud providers.

Tabel 1: Analyse van de Juridische Kwetsbaarheid (EU vs. VS)

Bronnen: ²⁴

Tabel 2: Marktconcentratie Europese Cloud (IaaS/PaaS) 2024-2025

Bronnen: ³

IV. Governance, Normen en Standaarden: De Strijd om Controle

De analyse van de afhankelijkheden roept een cruciale vraag op: waarom faalt Europa, ondanks zijn economische kracht en regelgevende ambitie, om deze trend te keren? Dit hoofdstuk analyseert hoe de grootste barrières voor Europese soevereiniteit intern zijn: politieke fragmentatie, conceptuele mislukkingen en een gebrek aan eenduidige strategische wil.

4.1 De Mislukking van GAIA-X: Het ‘Trojaanse Paard’

GAIA-X, gelanceerd in 2019 door Duitsland en Frankrijk, was bedoeld als het vlaggenschip van de Europese digitale soevereiniteit: een decentraal, federatief data-ecosysteem gebaseerd op Europese waarden.⁷⁰

• De Mislukking: Zes jaar later, in 2025, wordt het project alom gezien als een mislukking. Het is verzand in bureaucratie een “paper monster” dat talloze documenten maar geen tastbare infrastructuur heeft geproduceerd.¹²
• De Oorzaak (‘Trojan Horse’): De fundamentele conceptuele fout was de “strategische blunder” om de Amerikaanse hyperscalers (AWS, Google, Microsoft) als ‘Day-1’ leden toe te laten tot de GAIA-X Association.¹² Critici zagen dit als een ‘Trojaans paard’. Deze bedrijven, met hun enorme middelen, hebben het project van binnenuit beïnvloed (“hijacking” ¹²) en de definitie van soevereiniteit verwaterd. De focus verschoof van het creëren van een alternatief voor de hyperscalers naar het creëren van een standaardisatie met de hyperscalers.
• Analyse: GAIA-X is het perfecte voorbeeld van de Duitse, op consensus en markt-openheid gerichte benadering.⁷⁵ Het project faalde omdat het probeerde een politiek doel (soevereiniteit) te bereiken met een puur technisch middel (federatiestandaarden), terwijl het de fundamentele machtsverhoudingen (de dominantie van de hyperscalers) negeerde en zelfs legitimeerde.

4.2 De Impasse van EUCS: De Soevereiniteitsoorlog

Het conflict dat GAIA-X van binnenuit verlamde, wordt nu openlijk uitgevochten in de politieke arena rond de European Cybersecurity Certification Scheme for Cloud Services (EUCS). De EUCS was bedoeld om de gefragmenteerde nationale veiligheidsnormen te harmoniseren tot één EU-brede standaard.¹³

• Het Conflict: De adoptie is volledig vastgelopen op de ‘soevereiniteit eisen’ voor het hoogste veiligheidsniveau (“High+”).¹³ Deze eisen, geïnspireerd op het Franse SecNumCloud ⁷⁸, zouden cloud providers verplichten om:

1. Hun hoofdkantoor en wereldwijde hoofdkantoor in de EU te hebben.
2. Meerderheid Eigendom te hebben van EU-entiteiten.
3. Niet onderhevig te zijn aan niet-EU-wetgeving (een directe verwijzing naar de CLOUD Act en FISA 702).¹³

• De Politieke Divergentie: Dit voorstel heeft de EU in twee kampen verdeeld:

• Pro-Soevereiniteit (o.l.v. Frankrijk, gesteund door Duitsland, Italië, Spanje): Zien deze eisen als de essentie van digitale soevereiniteit. Zonder deze eisen is het EUCS-certificaat betekenisloos tegenover buitenlandse surveillance.¹³
• Pro-Markt (o.l.v. Nederland, gesteund door Denemarken, Zweden, Ierland, e.a.): Verzetten zich hevig. Zij zien de eisen als protectionisme dat de marktwerking verstoort ¹³ en hen de toegang ontzegt tot “best-in-class” Amerikaanse technologie.¹³

• Het Gevolg (Stalemate): Door deze politieke impasse is de EUCS-adoptie herhaaldelijk uitgesteld.¹³ Een conceptversie uit maart 2024 schrapte de soevereiniteit eisen volledig, tot woede van de Europese industrie.¹³ Deze impasse is exact wat de Amerikaanse hyperscalers wensen. Het voorkomt een verenigd Europees soevereiniteit front en stelt hen in staat de gefragmenteerde markt te blijven domineren.
• Exploitatie van het Vacuüm: In het vacuüm dat door de EUCS-impasse is ontstaan, sluiten Amerikaanse hyperscalers bilaterale ‘sovereign’ deals met lidstaten. Microsoft’s partnerschap met Bleu (Orange/Capgemini) in Frankrijk ³⁷ en Delos Cloud (SAP) in Duitsland ³⁷, en Google’s S3NS (Thales) in Frankrijk ⁷⁹, zijn hier voorbeelden van. Dit zijn nationale ‘soevereiniteits-enclaves’ die de Europese strategie ondermijnen en de afhankelijkheid van de onderliggende Amerikaanse tech-stack vergroten.

4.3 De Oplossing: Het Nederlandse ‘Non-Paper’

Een mogelijke bureaucratische uitweg uit de EUCS-impasse werd in juli 2025 aangedragen door Nederland – ironisch genoeg een van de leiders van het ‘pro-markt’-kamp.

• De Kern: Het Nederlandse ‘non-paper on strengthening cloud sovereignty’ ⁸⁰ erkent de impasse en stelt een cruciale scheiding voor: het ontkoppelen van technische certificering (onder de Cybersecurity Act) van politieke risicoscreening.⁸⁰
• Analyse: Dit is de meest pragmatische oplossing. Laat ENISA ⁸⁴ zich richten op technische beveiligingseisen (zoals encryptie, access control), waarover brede consensus bestaat. Behandel ‘soevereiniteit’ (eigenaarschap, onderworpenheid aan de CLOUD Act) als een apart, politiek risico. Dit stelt lidstaten in staat om dit risico mee te wegen in hun aanbestedingsbeleid, gebaseerd op een Europees raamwerk ⁸⁰, zonder het technische certificeringsproces te gijzelen.⁸⁰

V. Economisch en Technologisch Vermogen: De ‘Scale-Up Gap’

Naast de politieke fragmentatie, wordt Europa’s falen om een soeverein ecosysteem te bouwen gedreven door diepgewortelde economische en infrastructurele tekortkomingen.

5.1 De ‘Scale-Up Gap’: Het Gebrek aan Kapitaal

Het fundamentele economische probleem van Europa is niet een gebrek aan ideeën, maar een gebrek aan kapitaal om die ideeën op te schalen.

• Het Probleem: Europa excelleert in het creëren van startups (meer dan de VS), maar faalt structureel in het opschalen van deze bedrijven tot mondiale spelers (‘scale-ups’).⁸⁶
• De Data: Innovatieve EU scale-ups halen gemiddeld 50% minder kapitaal op dan hun Amerikaanse tegenhangers.⁸⁸ Dit wordt verergerd door onderontwikkelde kapitaalmarkten; Europese pensioenfondsen investeren bijvoorbeeld minder dan 0.2% in venture capital, vergeleken met significant hogere percentages in de VS.⁸⁹
• Gevolg 1: De ‘Second Valley of Death’: Europese bedrijven overleven de eerste startfase, maar stuiten op een ’tweede vallei des doods’ (‘second valley of death’) ⁸⁸ wanneer ze het groeikapitaal nodig hebben voor de (dure) opschalingsfase.
• Gevolg 2: De ‘Delaware Flip’ en Kapitaalvlucht: De meest succesvolle Europese bedrijven worden gedwongen tot een ‘Delaware Flip’ ⁸⁸ (het verplaatsen van het hoofdkantoor naar de VS om toegang te krijgen tot diepe kapitaalmarkten) of worden, zoals Solvinity en Zivver, simpelweg opgekocht. Dit creëert een vicieuze cirkel: Europees talent en innovatie worden gefinancierd door Amerikaans kapitaal, waardoor de winsten en het intellectueel eigendom terugvloeien naar de VS en de afhankelijkheidscyclus wordt versterkt.

5.2 De ‘Missing Markets’: Het Falen van de Aanbodzijde

De ‘Scale-Up Gap’ is niet alleen een financieel probleem; het is een infrastructureel probleem.⁸⁸ Zelfs met voldoende financiering, missen Europese startups de fundamentele bouwstenen om op te schalen.⁶⁸ Dit zijn de ‘missing markets’:

1. Een Europese Hyperscale Cloud Infrastructuur (IaaS/PaaS): De markt die gedomineerd wordt door AWS, Azure en GCP.
2. Europese Large-Scale Business Outlets (SaaS): De grote B2B- en B2C-platforms (zoals M365, Google Workspace) om diensten in te integreren en te distribueren.

Een Europese AI-startup zoals Mistral ⁶⁷ illustreert dit perfect. Om te kunnen concurreren, heeft het twee dingen nodig: kapitaal en massale rekenkracht.⁶⁸ Zowel het kapitaal ⁸⁸ als de rekenkracht (de IaaS/PaaS-laag) ³ zijn overwegend in Amerikaanse handen. Dit betekent dat Mistral zijn Amerikaanse concurrenten (Microsoft, Google) moet betalen voor de cloud-infrastructuur die nodig is om tegen hen te concurreren. Het ontbreken van een Europese hyperscaler fungeert als een gigantische ‘innovatiebelasting’ en een ‘missing market’ die de ‘Scale-Up Gap’ structureel in stand houdt.

5.3 Het Potentieel van de Vraagzijde: Strategisch Aanbesteden

Terwijl de Europese aanbodzijde (supply) zwak is, is de vraagzijde (demand) – met name de geconsolideerde inkoopkracht van de publieke sector – enorm.⁹⁰ Deze hefboom wordt momenteel niet strategisch ingezet.

• De Oplossing (‘Market-Making’): In plaats van te proberen de aanbodzijde in een vacuüm te creëren (zoals GAIA-X), moet de EU haar vraagzijde consolideren en sturen om een voorspelbare, grootschalige markt te creëren voor soevereine Europese oplossingen.⁹²
• Concrete Voorstellen: Een recent whitepaper over de ‘EuroStack’ ⁹⁴ stelt twee krachtige mechanismen voor:

1. ‘European purchase targets’ (quota): Verplicht publieke instellingen om een stijgend percentage (bv. 30% in 2028) van hun IT-budget te besteden aan gecertificeerde Europese (soevereine) oplossingen.
2. ‘Dual sourcing’: Verplicht het gebruik van twee cloud-leveranciers voor kritieke diensten, waarvan ten minste één een Europese provider moet zijn. Dit voorkomt ‘vendor lock-in’ en bouwt tegelijkertijd de Europese markt op.

De EU Data Act ²² is een eerste stap in het aanpakken van ‘vendor lock-in’.⁹⁶ Het vergemakkelijkt ‘cloud switching’ ²² en verbiedt ‘egress fees’ (kosten voor het weghalen van data) vanaf januari 2027.⁹⁷ Dit is echter, net als de DMA ², een regelgevende oplossing die de symptomen van marktfalen bestrijdt, maar geen infrastructureel alternatief creëert.

VI. Meerlagige Oplossingen: Van Nationale Silo’s tot een ‘EuroStack’

De analyse van de barrières (politieke fragmentatie en de ‘scale-up gap’) toont aan dat de huidige oplossingen tekortschieten. Dit hoofdstuk evalueert de bestaande en voorgestelde oplossingen op drie niveaus.

6.1 Nationale Strategieën: Noodzakelijk maar Gefragmenteerd

Geconfronteerd met de falende EU-brede aanpak, hebben lidstaten hun eigen strategieën ontwikkeld.⁹⁹

• Frankrijk (‘Cloud Souverain’): De Franse strategie is de meest soevereiniteit gerichte, geformaliseerd in de strenge SecNumCloud-certificering.⁷⁸ De implementatie is echter een pragmatisch compromis. De ‘S3NS’ joint venture (Thales en Google) ⁷⁹ en Microsoft’s ‘Bleu’ ³⁷ zijn pogingen om Amerikaanse technologie (Google/Microsoft) in een ‘vertrouwde’ Franse entiteit (Thales/Orange) te plaatsen om de SecNumCloud-stempel te krijgen.⁷⁹ Dit creëert een ‘soevereiniteits-enclave’, maar geen daadwerkelijke soevereiniteit; de onderliggende tech-stack en het intellectueel eigendom blijven Amerikaans.
• Duitsland (‘Bundescloud’): De Duitse aanpak, gericht op een ‘multi-cloud strategie’ ¹⁰¹ en de ‘Deutsche Verwaltungscloud (DVC)’ ¹⁰², illustreert het schaalprobleem. De eigen ‘Bundescloud’ is volstrekt onvoldoende; de federale overheid gebruikt al 32 private cloud providers om de capaciteitstekorten aan te vullen.¹⁰¹ Dit leidt tot verdere fragmentatie.¹⁰³

Conclusie: Nationale strategieën, hoewel politiek noodzakelijk, zijn te klein, te gefragmenteerd en lossen het fundamentele schaal- en kapitaal probleem niet op.⁹⁹

6.2 Technologische Oplossingen: Federatie en Open Source

• Federatieve Cloud: Dit model, de kern van het oorspronkelijke GAIA-X-idee, blijft de meest levensvatbare technische strategie voor Europa.⁷² In plaats van een onmogelijke monolithische ‘EU-Cloud’ te bouwen, stelt een federatief model kleinere, lokale EU-providers (zoals OVH, IONOS, en honderden anderen) in staat om hun krachten te bundelen, diensten uit te wisselen en gezamenlijk de schaal te bieden die nodig is om te concurreren met de hyperscalers.¹⁰⁴
• Open Source (SaaS/PaaS): Op de softwarelaag (Laag 5) zijn Europese open-source alternatieven voor M365/Google Workspace cruciaal. Voorbeelden zijn Nextcloud (Duitsland) ⁵⁶, OnlyOffice (Letland) ¹⁰⁷ en XWiki (Frankrijk).¹⁰⁵ Het probleem ¹⁰⁶ is dat deze oplossingen moeite hebben met schaalbaarheid en ‘enterprise-ready’ features ⁵⁶, precies omdat ze de ‘missing market’ (de Europese PaaS-laag) missen om op te bouwen (zie 5.2).

6.3 Cognitieve Soevereiniteit: De ‘InvestAI’-Blauwdruk

De meest veelbelovende blauwdruk voor een succesvolle Europese strategie komt uit de AI-sector (Laag 6).

• De Strategie: De ‘InvestAI’-strategie, aangekondigd door de Europese Commissie in 2025.¹⁵
• De Schaal: Het mobiliseren van €200 miljard (€150 miljard aan private toezeggingen en €50 miljard aan publieke investeringen, inclusief een nieuw Europees fonds van €20 miljard).¹¹¹
• Het Doel: De oprichting en financiering van meerdere ‘AI Gigafactories’ (variërend van 4 tot 13 in verschillende aankondigingen).¹⁰⁹ Dit zijn grootschalige, gespecialiseerde supercomputers die zijn ontworpen voor het trainen van de grootste AI-modellen.
• Het Model: Het concept wordt omschreven als een “CERN for AI”.¹⁵ Dit is een publiek-geleide (public-led) ¹⁴ infrastructuur die de ‘missing market’ van rekenkracht ⁶⁸ oplost. Het biedt Europese startups (zoals Mistral en Aleph Alpha) ⁶⁷ en de wetenschap toegang tot de schaal die voorheen was voorbehouden aan Amerikaanse techgiganten.

Dit ‘InvestAI’-model een gecentraliseerd, publiek gefinancierd, grootschalig infrastructuurproject is de blauwdruk voor het oplossen van de gehele digitale soevereiniteit crisis. Deze aanpak moet worden uitgebreid van enkel AI (Laag 6) naar de onderliggende cloud-infrastructuur (IaaS/PaaS, Laag 4). Dit vormt de kern van het ‘EuroStack’-concept.¹⁸

6.4 Protocol-soevereiniteit: De Noodzaak van een Europese ‘Root-of-Trust’

De diepste en meest over het hoofd geziene kwetsbaarheid blijft de protocol laag (Laag 3). De 75%+ afhankelijkheid van Amerikaanse CA’s ²¹ is strategisch onhoudbaar.

• De Oplossing: De enige structurele oplossing is de oprichting van een pan-Europese, publiek-gecontroleerde ‘European Root Certificate Authority’ (‘EuroRoot’).²¹ Dit is een project van geopolitieke omvang, vergelijkbaar met de oprichting van de euro (monetaire soevereiniteit) of Galileo (positionering soevereiniteit). Het zou de fundamentele laag van digitaal vertrouwen ⁶² onder Europese democratische en wettelijke controle brengen. Dit vereist een enorme politieke wil en gecoördineerde actie tussen ENISA ⁸⁴, ETSI ⁸⁵ en de lidstaten.¹¹⁷

Tabel 3: Evaluatie van Europese Soevereiniteit Initiatieven (2019-2025)

Bronnen:

¹²

VII. Roadmap 2025-2035: Een Concreet Plan voor Europese Onafhankelijkheid

Gebaseerd op de voorgaande analyse presenteert dit rapport een uitvoerbare, driefasige roadmap.¹⁴ De filosofie is: harmoniseer de vraag (Fase 1), bouw het aanbod (Fase 2), en bereik strategische autonomie (Fase 3). De voortgang wordt gemonitord aan de hand van de KPI’s in Tabel 4.

Tabel 4: Roadmap 2025-2035: KPI Dashboard voor Digitale Soevereiniteit

Doelstellingen gebaseerd op Q6 van de onderzoeksvraag.

Fase 1: Harmonisatie, Bescherming & Vraagcreatie (2025-2027)

Doel: De politieke impasse doorbreken, de Europese vraag consolideren en de verdere strategische erosie stoppen.

1. Governance (EUCS): Adopteer onmiddellijk de Nederlandse ‘non-paper’-aanpak.⁸⁰ Splits de EUCS in een technisch certificaat (onder ENISA) en een politiek risicokader voor soevereiniteit (eigenaarschap, jurisdictie). Dit deblokkeert de impasse en maakt de risico’s (zoals CLOUD Act) expliciet in het aanbestedingsproces.
2. Aanbesteding (Market-Making): Implementeer EU-brede ‘Strategic Procurement’-regels.⁹⁴ Verplicht ‘dual sourcing’ voor alle kritieke (NIS2) overheidsdiensten en EU-instellingen. Stel een ‘Europees Quotum’ in van 20% (doel 2027) voor uitgaven aan gecertificeerde, soevereine EU-providers.
3. Kapitaal (Fonds): Oprichting van een ‘Europees Soevereiniteitsfonds’ van €50 miljard (conform Q5), aanvullend op het ‘InvestAI’-fonds.¹¹¹ Dit fonds is specifiek gericht op het financieren van de IaaS/PaaS-laag (Laag 4).
4. Bescherming (Overnames): Activeer en scherp de FDI-screeningsmechanismen (Foreign Direct Investment) op EU-niveau aan om de overname van strategische soevereine assets (zoals Solvinity ³⁸ en Zivver ³⁹) door niet-EU-entiteiten te blokkeren.

Fase 2: Opschaling, Federatie & Bouw (2027-2030)

Doel: Het bouwen van de core ‘EuroStack’-infrastructuur ¹¹⁴ en het opschalen van Europese alternatieven.

1. Infrastructuur (IaaS): Inzet van het €50 miljard Soevereiniteitsfonds om, via publiek-private samenwerking (met uitsluitend EU-eigendom), 2-3 Europese ‘Hyperscale Consortia’ te bouwen. Dit wordt de federatieve ‘backbone’ ¹⁰⁴ waarop kleinere nationale providers kunnen aansluiten.
2. Infrastructuur (AI): Volledige uitrol van de ‘InvestAI’ ‘Gigafactories’.¹¹¹ Deze fungeren als de eerste ‘anchor tenants’ (hoofdgebruikers) voor de nieuwe Europese IaaS-backbone, waardoor de business case wordt gegarandeerd.
3. Standaarden (Protocol): Oprichting van het ‘European Root-of-Trust’ (‘EuroRoot’) pilootproject onder leiding van ENISA en ETSI [Q4].
4. Software (SaaS): Strategische financiering (via Horizon Europe en het Soevereiniteitsfonds) voor het opschalen van open-source alternatieven (Nextcloud, OnlyOffice, etc.) ¹⁰⁵ om ‘enterprise-ready’ te worden en naadloos te integreren met de nieuwe EuroStack PaaS-laag.

Fase 3: Autonomie & Mondiaal Leiderschap (2030-2035)

Doel: Het bereiken van daadwerkelijke strategische autonomie in kritieke sectoren en het positioneren van de EU als een technologische (niet alleen regelgevende) wereldspeler.

1. Hardware: De EU Chips Act ²⁰ levert een autonome EU-leveringsketen voor geavanceerde chips, waardoor de afhankelijkheid van Laag 2 wordt verminderd (KPI: 40% sourcing uit EU [Q6]).
2. Markt: De Europese ‘EuroStack’-providers hebben een geconsolideerd marktaandeel van >30% in de publieke sector (KPI: 50% workloads op EU-clouds [Q6]).
3. AI: De Europese ‘AI Gigafactories’ ¹¹¹ trainen ‘foundation models’ van wereldklasse die concurreren met Amerikaanse modellen en zijn gebouwd op Europese data en waarden (KPI: 70% AI EU-gehost/getraind [Q6]).
4. Protocollen: De ‘EuroRoot’ CA wordt de verplichte vertrouwensstandaard voor alle Europese overheids- en NIS2-entiteiten (KPI: 30% reductie afhankelijkheid [Q6]).

VIII. Risico’s en Trade-offs: De Kosten van Autonomie

De voorgestelde roadmap is ambitieus en brengt aanzienlijke risico’s en kosten met zich mee. Deze moeten echter worden afgezet tegen de veel grotere risico’s van inactiviteit.

Het Risico van Inactie

Het voortzetten van de huidige koers (‘business-as-usual’) brengt de hoogste risico’s met zich mee:

• Economisch Risico: Een voortdurende en groeiende ‘value drain’ die de €264 miljard per jaar overstijgt ⁴, structureel verlies van innovatie door de ‘scale-up gap’ ⁸⁸, en de consolidatie van een ‘digitale kolonie’-status.
• Geopolitiek Risico: Acute en toenemende kwetsbaarheid voor de ‘weaponization’ van afhankelijkheid.⁵⁶ In een tijdperk van instabiele trans-Atlantische betrekkingen ⁶ en VS-China rivaliteit ⁸ wordt de EU een speelbal wiens vitale infrastructuur (zoals bewezen in de ATB- en ICC-zaken) op afstand kan worden uitgeschakeld.
• Democratisch Risico: Het definitieve verlies van het vermogen om de eigen wetten (GDPR) te handhaven in de digitale ruimte.⁷ Dit ondermijnt de geloofwaardigheid van het Europese rechtsmodel en de democratische controle over de samenleving.

De Trade-offs van de Roadmap

De voorgestelde roadmap vereist het accepteren van moeilijke trade-offs:

1. Kritiek: Protectionisme. De roadmap, met name de ‘European quotas’, zal worden bekritiseerd als protectionisme.¹³ Het antwoord moet duidelijk zijn: dit is geen economisch protectionisme gericht op het verstoren van de markt, maar strategische defensie van vitale infrastructuur, vergelijkbaar met defensie-uitgaven, voedselveiligheid of energieonafhankelijkheid.
2. Kosten en Innovatie. Op de korte tot middellange termijn (2025-2030) zullen de Europese alternatieven waarschijnlijk duurder zijn en/of minder geavanceerde features hebben dan de volwassen Amerikaanse hyperscalers.⁷³ Dit is de onvermijdelijke ‘premie’ die betaald moet worden. Dit moet niet worden gezien als een commerciële aankoop (waarbij de goedkoopste optie wint), maar als een publieke investering om de ‘missing market’ (zie 5.2) te creëren en schaalvoordelen op lange termijn mogelijk te maken.
3. Sociologische Weerstand. De grootste barrière is wellicht de culturele ‘lock-in’. Uit de ‘Wire 2025 European Sovereignty Survey’ blijkt dat slechts 15.8% van de Europese tech- en beleidsleiders optimistisch is dat de EU binnen vijf jaar digitale soevereiniteit zal bereiken.¹²⁰ Het doorbreken van deze inertie en de ingesleten voorkeur voor Amerikaanse certificeringen bij C-level executives en IT-afdelingen vereist een massieve politieke en educatieve inspanning.

IX. Conclusies en Beleidsaanbevelingen

Samenvatting van de Diagnose

Europa’s digitale afhankelijkheid is geen passieve economische staat, maar een actieve, escalerende strategische kwetsbaarheid. Deze kwetsbaarheid omvat alle zeven lagen van de ‘digital stack’, van onoplosbare juridische conflicten (CLOUD Act vs. GDPR) en een verlammende economische ‘value drain’ (€264 miljard per jaar), tot een gevaarlijke controle door derden over de diepste protocollen van het internet (75%+ afhankelijkheid van Amerikaanse TLS ‘Roots-of-Trust’).

De analyse toont aan dat de grootste facilitator van deze afhankelijkheid niet de externe druk is, maar de interne politieke fragmentatie van de EU. De mislukking van GAIA-X (gekaapt door de hyperscalers) en de politieke impasse rond de EUCS (de strijd tussen pro-markt en pro-soevereiniteit) hebben een strategisch vacuüm gecreëerd dat actief wordt opgevuld door Amerikaanse bedrijven, die hiermee de Europese soevereiniteit agenda verder ondermijnen. De recente overnames van Solvinity en Zivver, en de ‘weaponization’ van clouddiensten tegen de Amsterdam Trade Bank, tonen aan dat het risico acuut en reëel is.

Samenvatting van de Prognose

Een ‘business-as-usual’ aanpak, die primair vertrouwt op marktregulering (zoals de DMA en de Data Act) en gefragmenteerde nationale projecten, zal catastrofaal falen. Deze aanpak bestrijdt de symptomen van marktmacht, maar creëert geen alternatieve infrastructuur.

De enige levensvatbare weg voorwaarts is een radicale strategische verschuiving naar een publiek-geleide, schaalgerichte industriepolitiek. De ‘InvestAI’-strategie (€200 miljard mobilisatie voor ‘AI Gigafactories’) ¹¹¹ biedt de blauwdruk. Dit model moet worden gekopieerd en uitgebreid om de fundamentele IaaS/PaaS-laag (de ‘EuroStack’) ¹¹⁴ te bouwen. Dit vereist een geconsolideerde Europese vraag (via strategische aanbesteding) en gecentraliseerd kapitaal (via een Soevereiniteitsfonds).

Top 10 Beleidsaanbevelingen

1. Breek de EUCS-impasse (Direct): Adopteer onmiddellijk de Nederlandse ‘non-paper’-aanpak.⁸⁰ Splits de EUCS in een verplichte technische certificering (via ENISA) en een politiek risicokader voor soevereiniteit (jurisdictie, eigenaarschap) voor gebruik in aanbestedingen.
2. Creëer de Markt (Q1 2026): Implementeer EU-brede ‘Strategic Procurement’-regels.⁹⁴ Verplicht ‘dual sourcing’ en introduceer ‘Europese Quota’ (beginnend op 20% in 2027) voor alle EU-instellingen en NIS2-entiteiten.
3. Stop de Erosie (Direct): Gebruik bestaande FDI-screeningmechanismen op EU- en nationaal niveau agressief om de overname van strategische EU-techbedrijven (zoals Solvinity/Zivver) ³⁸ door niet-EU-entiteiten te blokkeren.
4. Financier de Infrastructuur (IaaS) (2026): Lanceer het ‘Europees Soevereiniteitsfonds’ van €50 miljard [Q5], specifiek voor de financiering van 2-3 ‘EuroStack’ Hyperscale Consortia (met uitsluitend EU-eigendom en -controle).
5. Financier de Infrastructuur (AI) (2026): Garandeer de volledige financiering en versnelde uitrol van de ‘InvestAI’ ‘Gigafactories’ (€200 miljard mobilisatie) ¹¹¹, en koppel deze als ‘anchor tenants’ aan het IaaS-fonds.
6. Bouw de ‘EuroStack’ (2026-2030): Verbind de fondsen (IaaS en AI) tot één ‘public-led digital stack’ ¹⁴ die dient als publieke infrastructuur en gereguleerde marktplaats voor de Europese industrie.
7. Investeer in de SaaS-laag (2026): Lanceer een specifiek ‘Horizon Europe’-fonds van €5 miljard voor het ‘enterprise-ready’ maken en opschalen van open-source SaaS-alternatieven ¹⁰⁵ voor naadloze integratie met de EuroStack.
8. Verzeker het Vertrouwen (Laag 3) (2026): Start het ‘EuroRoot’-project [Q4] om een pan-Europese, publieke ‘Root-of-Trust’ ¹¹⁵ te ontwikkelen, met als doel 30% adoptie in de publieke sector tegen 2030 (KPI [Q6]).
9. Handhaaf de Data Act (Direct): Zorg voor een agressieve en uniforme handhaving van de ‘cloud switching’-bepalingen ²² om technische en contractuele ‘lock-in’ ¹²¹ per direct te bestrijden.
10. Stel een ‘Digital Sovereignty Council’ in (2026): Creëer een permanent orgaan op het niveau van de Europese Raad, bemand door nationale digitaliserings ministers, om de politieke fragmentatie ⁷⁵ te doorbreken en de voortgang van de KPI’s (Tabel 4) te bewaken.

Geciteerd werk

1. What is digital sovereignty and how are countries approaching it? | World Economic Forum, geopend op november 13, 2025, https://www.weforum.org/stories/2025/01/europe-digital-sovereignty/
2. The EU’s Digital Markets Act and Digital Services Act – German Marshall Fund, geopend op november 13, 2025, https://www.gmfus.org/news/eus-digital-markets-act-and-digital-services-act
3. European Cloud Providers’ Local Market Share Now Holds Steady at 15%, geopend op november 13, 2025, https://www.srgresearch.com/articles/european-cloud-providers-local-market-share-now-holds-steady-at-15
4. €264 Billion Annually: Asterès Report Quantifies Europe’s Digital …, geopend op november 13, 2025, https://euro-stack.com/blog/2025/5/asteres-report-europe-digital-dependency
5. EU Data Sovereignty: An Autonomy–Interdependence Governance Gap? – Cogitatio Press, geopend op november 13, 2025, https://www.cogitatiopress.com/politicsandgovernance/article/download/10331/4478
6. Building Digital Sovereignty: What Does Europe Need and How to Achieve It, geopend op november 13, 2025, https://www.techpolicy.press/building-digital-sovereignty-what-does-europe-need-and-how-to-achieve-it/
7. The Risks of Relying on U.S. Cloud Providers – Wire, geopend op november 13, 2025, https://wire.com/en/blog/risks-of-us-cloud-providers-european-digital-sovereignty
8. Full article: Technological underpinnings of European autonomy and US-China competition, geopend op november 13, 2025, https://www.tandfonline.com/doi/full/10.1080/07036337.2025.2536828
9. Quest for Strategic Autonomy? Europe Grapples with the US – China Rivalry, geopend op november 13, 2025, https://www.realinstitutoelcano.org/en/monographs/quest-for-strategic-autonomy-europe-grapples-with-the-us-china-rivalry/
10. Digital Markets Act Roundup: December 2024 – January 2025 | TechPolicy.Press, geopend op november 13, 2025, https://www.techpolicy.press/digital-markets-act-roundup-december-2024january-2025/
11. The geopolitical trends shaping the EU’s policies on China – Atlantic …, geopend op november 13, 2025, https://www.atlanticcouncil.org/in-depth-research-reports/report/the-geopolitical-trends-shaping-the-eus-policies-on-china/
12. Gaia-X – Chronicle of a Failure Foretold | EuroStack Directory Project, geopend op november 13, 2025, https://euro-stack.com/blog/2025/2/gaia-x-failure
13. Technical is political: When a cloud certification scheme divides …, geopend op november 13, 2025, https://www.iss.europa.eu/publications/briefs/technical-political-when-cloud-certification-scheme-divides-europe
14. A progressive roadmap for expanding European digital sovereignty, geopend op november 13, 2025, https://brussels.fes.de/e/policy-brief-a-progressive-roadmap-for-expanding-european-digital-sovereignty.html
15. EU launches InvestAI initiative to mobilise €200 billion of investment in artificial intelligence, geopend op november 13, 2025, https://digital-strategy.ec.europa.eu/en/news/eu-launches-investai-initiative-mobilise-eu200-billion-investment-artificial-intelligence
16. Digital Sovereignty in 2025: Why It Matters for European Enterprises – Wire, geopend op november 13, 2025, https://wire.com/en/blog/digital-sovereignty-2025-europe-enterprises
17. A progressive roadmap for expanding European digital sovereignty, geopend op november 13, 2025, https://feps-europe.eu/publication/a-progressive-roadmap-for-expanding-european-digital-sovereignty/
18. Reclaiming Europe’s Digital Sovereignty – Noema Magazine, geopend op november 13, 2025, https://www.noemamag.com/reclaiming-europes-digital-sovereignty/
19. EuroStack – A European Alternative for Digital Sovereignty – University College London, geopend op november 13, 2025, https://www.ucl.ac.uk/bartlett/sites/bartlett/files/eurostack.pdf
20. European Chips Act, geopend op november 13, 2025, https://www.european-chips-act.com/
21. Assessing SSL/TLS Certificate Centralization: Implications for Digital Sovereignty – arXiv, geopend op november 13, 2025, https://arxiv.org/html/2504.16897v2
22. Cloud Switching Under the EU Data Act: Implications for IaaS, PaaS, and SaaS Providers, geopend op november 13, 2025, https://www.gtlaw.com/en/insights/2025/9/cloud-switching-under-the-eu-data-act
23. Artificial Intelligence Made in the U.S.A. – Can Europe Learn From the Past? – Intereconomics, geopend op november 13, 2025, https://www.intereconomics.eu/contents/year/2025/number/3/article/artificial-intelligence-made-in-the-u-s-a-can-europe-learn-from-the-past.html
24. European Data Protection Authorities Explore U.S. CLOUD Act’s Potential Impact on the GDPR – Cleary Gottlieb, geopend op november 13, 2025, https://www.clearygottlieb.com/-/media/files/alert-memos-2019/us-cloud-acts-potential-impact-on-the-gdpr.pdf
25. Strategic Brief no.70 – 2024 – Extension of the FISA Law European “digital sovereignty” far from American concerns – IRSEM, geopend op november 13, 2025, https://www.irsem.fr/en/strategic-brief-no-70-2024.html
26. EN EN NOTICE TO MEMBERS – European Parliament, geopend op november 13, 2025, https://www.europarl.europa.eu/doceo/document/PETI-CM-767962_EN.pdf
27. Frequently Asked Questions about the U.S. CLOUD Act – Cross-Border Data Forum, geopend op november 13, 2025, https://www.crossborderdataforum.org/cloudactfaqs/
28. Untapping the Full Potential of CLOUD Act Agreements – CSIS, geopend op november 13, 2025, https://www.csis.org/analysis/untapping-full-potential-cloud-act-agreements
29. The CLOUD Act and the European Union: Myths vs. Facts – BSA | The Software Alliance, geopend op november 13, 2025, https://www.bsa.org/files/policy-filings/02282019CLOUDACTEUMythvsFact.pdf
30. TIA related: defining the scope of FISA 702, Cloud Act and E.O. 12333 : r/gdpr – Reddit, geopend op november 13, 2025, https://www.reddit.com/r/gdpr/comments/1n27txn/tia_related_defining_the_scope_of_fisa_702_cloud/
31. Adequacy of the EU–U.S. Data Privacy Framework Survives Challenge – Workforce Bulletin, geopend op november 13, 2025, https://www.workforcebulletin.com/adequacy-of-the-eu-u-s-data-privacy-framework-survives-challenge
32. How the Schrems II Decision Changed Privacy Law – TrustArc, geopend op november 13, 2025, https://trustarc.com/resource/schrems-ii-decision-changed-privacy-law/
33. The ‘Schrems II’ decision: EU-US data transfers in question – IAPP, geopend op november 13, 2025, https://iapp.org/resources/article/the-schrems-ii-decision-eu-us-data-transfers-in-question/
34. EU-US data transfers – European Commission, geopend op november 13, 2025, https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en
35. FACT SHEET: President Biden Signs Executive Order to Implement the European Union-U.S. Data Privacy Framework | The White House, geopend op november 13, 2025, https://bidenwhitehouse.archives.gov/briefing-room/statements-releases/2022/10/07/fact-sheet-president-biden-signs-executive-order-to-implement-the-european-union-u-s-data-privacy-framework/
36. European General Court Upholds EU-U.S. Data Protection Framework | Enforcement Edge, geopend op november 13, 2025, https://www.arnoldporter.com/en/perspectives/blogs/enforcement-edge/2025/09/european-court-of-justice-upholds-eu-us-data-protection-framework
37. Announcing comprehensive sovereign solutions empowering European organizations – The Official Microsoft Blog, geopend op november 13, 2025, https://blogs.microsoft.com/blog/2025/06/16/announcing-comprehensive-sovereign-solutions-empowering-european-organizations/
38. Dutch cloud firm Solvinity taken over by US IT giant Kyndryl, geopend op november 13, 2025, https://www.dutchnews.nl/2025/11/dutch-cloud-firm-solvinity-taken-over-by-us-it-giant-kyndryl/
39. Zivver Acquired: Is the protection of your highly… | Highberg, geopend op november 13, 2025, https://highberg.com/insights/zivver-acquired-is-the-protection-of-your-highly-sensitive-data-at-risk
40. Zo ontzettend veel besteedt Europa aan Amerikaanse cloudreuzen – Computable.nl, geopend op november 13, 2025, https://computable.nl/e-magazine/editie-05-2025/pagina-04-zo-ontzettend-veel-besteedt-europa-aan-amerikaanse-cloudreuzen/
41. American Tech Giants Capture 80% of Europe’s Cloud Spending – INCYBER NEWS, geopend op november 13, 2025, https://incyber.org/en/article/american-tech-giants-capture-80-europes-cloud-spending/
42. European Public Cloud Spending Holds Strong Amid U.S. Tariffs, Driven by Finance, Healthcare, and Software and Information Services – IDC, geopend op november 13, 2025, https://my.idc.com/getdoc.jsp?containerId=prEUR153716725
43. EU Public Cloud Market Defies US Tariffs – E3-Magazin, geopend op november 13, 2025, https://e3mag.com/en/eu-public-cloud-market-defies-us-tariffs/
44. Digitalisation in Europe – 2024 edition – Interactive publications – European Commission, geopend op november 13, 2025, https://ec.europa.eu/eurostat/web/interactive-publications/digitalisation-2024
45. The Top 3 European Cloud Providers – GuideStream, geopend op november 13, 2025, https://www.guidestream.digital/en/blog-posts/the-top-3-european-cloud-providers
46. The EU’s Trillion Dollar Gap in ICT and Cloud Computing Capacities: – European Centre for International Political Economy, geopend op november 13, 2025, https://ecipe.org/wp-content/uploads/2024/05/ECI_OccasionalPaper_03-2024_LY05.pdf
47. Kiteworks Acquires Zivver: Expanding Private Data Network with Zero-Knowledge Encryption, geopend op november 13, 2025, https://www.kiteworks.com/company/press-releases/kiteworks-acquires-zivver-expanding-private-data-network-with-zero-knowledge-encryption/
48. Kiteworks Acquires Zivver to Unify Email Security and EU Data Protection | ChannelE2E, geopend op november 13, 2025, https://www.channele2e.com/news/kiteworks-acquires-zivver-to-unify-email-security-and-eu-data-protection
49. Zivver Joins Kiteworks to Offer a Broad Range of Sovereign Solutions for Secure Private Data Exchange – Business Wire, geopend op november 13, 2025, https://www.businesswire.com/news/home/20250618709450/en/Zivver-Joins-Kiteworks-to-Offer-a-Broad-Range-of-Sovereign-Solutions-for-Secure-Private-Data-Exchange
50. Dutch Cloud Services Firm Solvinity Acquired by US Tech Giant Kyndryl Raises National Security Concerns, geopend op november 13, 2025, https://www.teleischia.com/calciomercato-ischia-da-tmw-orlando-richiesto-da-vari-club-fall-in-uscita/?s-news-8241980-2025-11-12-dutch-cloud-services-firm-solvinity-acquired-by-us-tech-giant-kyndryl-raises-security-concerns
51. Kyndryl Announces Agreement to Purchase Cloud-Services Provider Solvinity, geopend op november 13, 2025, https://www.prnewswire.com/news-releases/kyndryl-announces-agreement-to-purchase-cloud-services-provider-solvinity-302604872.html
52. Kyndryl to acquire Dutch cloud services provider Solvinity – Investing.com, geopend op november 13, 2025, https://www.investing.com/news/company-news/kyndryl-to-acquire-dutch-cloud-services-provider-solvinity-93CH-4333251
53. Dutch governments caught off guard by American tech firm buying Dutch cloud company, geopend op november 13, 2025, https://nltimes.nl/2025/11/12/dutch-governments-caught-guard-american-tech-firm-buying-dutch-cloud-company
54. Kyndryl acquires Solvinity, raising data sovereignty concerns – IO+, geopend op november 13, 2025, https://ioplus.nl/en/posts/kyndryl-acquires-solvinity-raising-data-sovereignty-concerns-
55. Kyndryl takeover of Solvinity leads to Dutch sovereignty scare – Techzine Global, geopend op november 13, 2025, https://www.techzine.eu/news/privacy-compliance/136317/kyndryl-takeover-of-solvinity-leads-to-dutch-sovereignty-scare/
56. Is Nextcloud the best European alternative to Google Workspace …, geopend op november 13, 2025, https://www.reddit.com/r/nederlands/comments/1jcic52/is_nextcloud_het_beste_europese_alternatief_voor/?tl=en
57. Digital sovereignty: European Chips Act enters into force | Shaping Europe’s digital future, geopend op november 13, 2025, https://digital-strategy.ec.europa.eu/en/news/digital-sovereignty-european-chips-act-enters-force
58. Europe’s tech sovereignty watch | Proton for Business, geopend op november 13, 2025, https://proton.me/business/europe-tech-watch
59. Special report 12/2025: The EU’s strategy for microchips | European Court of Auditors, geopend op november 13, 2025, https://www.eca.europa.eu/en/publications?ref=SR-2025-12
60. EU governments set out priorities for Chips Act 2.0 – Science|Business, geopend op november 13, 2025, https://sciencebusiness.net/news/semiconductors/eu-governments-set-out-priorities-chips-act-20
61. Analysis of the HTTPS Certificate Ecosystem – Events, geopend op november 13, 2025, https://conferences.sigcomm.org/imc/2013/papers/imc257-durumericAemb.pdf
62. The Chain of Trust: What it is, Key Concepts and Applications – GlobalSign, geopend op november 13, 2025, https://www.globalsign.com/en/blog/what-chain-trust-key-concepts-and-applications
63. Assessing SSL/TLS Certificate Centralization: Implications for Digital Sovereignty – arXiv, geopend op november 13, 2025, https://arxiv.org/pdf/2504.16897
64. SSL/TLS Certificate Statistics and Trends for 2025 – Network Solutions, geopend op november 13, 2025, https://www.networksolutions.com/blog/ssl-tsl-trends/
65. Intense Competition Across the AI Stack – CCIA – Computer & Communications Industry Association, geopend op november 13, 2025, https://ccianet.org/articles/intense-competition-across-the-ai-stack/
66. Making the case for a third AI technology stack – Brookings Institution, geopend op november 13, 2025, https://www.brookings.edu/articles/making-the-case-for-a-third-ai-technology-stack/
67. I. Reorienting European AI and Innovation Policy – AI Now Institute, geopend op november 13, 2025, https://ainowinstitute.org/publications/i-reorienting-european-ai-and-innovation-policy
68. The EU’s AI Power Play: Between Deregulation and Innovation, geopend op november 13, 2025, https://carnegieendowment.org/research/2025/05/the-eus-ai-power-play-between-deregulation-and-innovation?lang=en
69. European cloud alternatives to U.S. hyperscalers – Open Telekom Cloud, geopend op november 13, 2025, https://www.open-telekom-cloud.com/en/blog/benefits/european-cloud-alternatives-to-hyperscalers
70. Gaia-X Summit 2025 Showcases the Next Phase of Trusted Digital Ecosystems, geopend op november 13, 2025, https://gaia-x.eu/gaia-x-summit-2025-showcases-the-next-phase-of-trusted-digital-ecosystems/
71. Gaia-X Strengthens European Digital Sovereignty at European Parliament Reception, geopend op november 13, 2025, https://gaia-x.eu/gaia-x-strengthens-european-digital-sovereignty-at-european-parliament-reception/
72. Digital Sovereignty of Europe: Choosing the EU Cloud Provider – Gart Solutions, geopend op november 13, 2025, https://gartsolutions.com/digital-sovereignty-of-europe-choosing-the-eu-cloud-provider/
73. Before Europe falls from all clouds – problem area “European cloud infrastructures”, geopend op november 13, 2025, https://silicon-saxony.de/en/before-europe-falls-from-all-clouds-problem-area-european-cloud-infrastructures/
74. Full article: European ambitions captured by American clouds: digital sovereignty through Gaia-X? – Taylor & Francis Online, geopend op november 13, 2025, https://www.tandfonline.com/doi/full/10.1080/1369118X.2025.2516545
75. Berlin and Paris: diverging visions of digital sovereignty at the …, geopend op november 13, 2025, https://www.eunews.it/en/2025/10/24/berlin-and-paris-diverging-visions-of-digital-sovereignty-at-the-european-council/
76. EUCS: controversial sovereignty issues continue to drive debate for cloud services, geopend op november 13, 2025, https://www.hoganlovells.com/en/publications/eucs-controversial-data-sovereignty-issues-continue-to-drive-debate-around-the-eu-certification-scheme-for-cloud-services
77. EU digital sovereignty requirements: a cloud on the horizon? | Gilbert + Tobin Lawyers, geopend op november 13, 2025, https://www.gtlaw.com.au/insights/eu-digital-sovereignty-requirements-a-cloud-on-the-horizon
78. Souverainet recalibrates market strategy amid market shift – Skill Farm, geopend op november 13, 2025, https://skillfarm.co/pe-news/souverainet-recalibrates-market-strategy-amid-market-shift/
79. Thales x Google Cloud targeting a trusted cloud – S3NS, geopend op november 13, 2025, https://www.s3ns.io/en
80. Non-paper on Strengthening Cloud Sovereignty Adopted – Digital …, geopend op november 13, 2025, https://www.nldigitalgovernment.nl/featured-stories/non-paper-on-strengthening-cloud-sovereignty-adopted/
81. Strengthening Cloud Sovereignty of Public Administrations – Digital Government, geopend op november 13, 2025, https://www.nldigitalgovernment.nl/strengthening-cloud-sovereignty-of-public-administrations/
82. Non paper ‘Strengthening cloud sovereignty of public administrations’ – Rijksoverheid, geopend op november 13, 2025, https://www.rijksoverheid.nl/documenten/publicaties/2025/08/25/non-paper-strengthening-cloud-sovereignty-of-public-administrations
83. Non-paper Versterken van cloudsoevereiniteit van overheden – Rijksoverheid, geopend op november 13, 2025, https://www.rijksoverheid.nl/actueel/nieuws/2025/07/15/non-paper-versterken-van-cloudsoevereiniteit-van-overheden
84. Certification and Standards | ENISA – European Union, geopend op november 13, 2025, https://www.enisa.europa.eu/topics/certification-and-standards
85. Cybersecurity Standardisation Conference 2025: Paving the Way for a Safer Digital Europe, geopend op november 13, 2025, https://www.enisa.europa.eu/news/cybersecurity-standardisation-conference-2025-paving-the-way-for-a-safer-digital-europe
86. Startups and Scaleups need stronger Single Market and Capital Markets Union to succeed in Europe | SMEunited, geopend op november 13, 2025, https://www.smeunited.eu/news/startups-and-scaleups-need-stronger-single-market-and-capital-markets-union-to-succeed-in-europe
87. EUROPEAN COMMISSION Brussels, 28.5.2025 SWD(2025) 138 final COMMISSION STAFF WORKING DOCUMENT Accompanying the document COMMUNI – Research and innovation, geopend op november 13, 2025, https://research-and-innovation.ec.europa.eu/document/download/8f899486-6e4e-48df-8633-9582375f41eb_en
88. The Scale-Up Gap: How Regulatory Fragmentation and Broken …, geopend op november 13, 2025, https://www.symtr.com/scale-up-gap-regulatory-fragmentation-broken-capital-markets-stifle-european-innovation
89. How Europe can make it easier for start-ups to scale – AEEN, geopend op november 13, 2025, https://www.aeen.org/how-europe-can-make-it-easier-for-start-ups-to-scale/
90. The strategic use of public procurement for innovation in the digital economy, geopend op november 13, 2025, https://op.europa.eu/en/publication-detail/-/publication/66d04768-8b8c-11eb-b85c-01aa75ed71a1/language-en
91. VII. Public Procurement as a Lever for Change – AI Now Institute, geopend op november 13, 2025, https://ainowinstitute.org/wp-content/uploads/2024/10/VII.-Public-Procurement-as-a-Lever-for-Change.pdf
92. Boosting Efficiency and Quality in EU Public Services: The Need for a European Multi-Cloud-First Strategy | – ECIPE, geopend op november 13, 2025, https://ecipe.org/publications/boosting-efficiency-and-quality-in-eu-public-services-egovernment/
93. Strategic European Procurement Priorities: Defence, Digital, Raw Materials and Sustainability, geopend op november 13, 2025, https://keystoneprocurement.ie/strategic-european-procurement-priorities-defence-digital-raw-materials-and-sustainability/
94. Leveraging Public Spending for Digital Sovereignty – Open Future, geopend op november 13, 2025, https://openfuture.eu/blog/leveraging-public-spending-for-digital-sovereignty/
95. EU Data Act — What Businesses Need to Know – Latham & Watkins LLP, geopend op november 13, 2025, https://www.lw.com/en/insights/eu-data-act-what-businesses-need-to-know
96. EU Data Act operational impacts: Compliance and technical considerations of cloud switching | IAPP, geopend op november 13, 2025, https://iapp.org/news/a/eu-data-act-operational-impacts-compliance-and-technical-considerations-of-cloud-switching
97. Data Act explained | Shaping Europe’s digital future – European Union, geopend op november 13, 2025, https://digital-strategy.ec.europa.eu/en/factpages/data-act-explained
98. The Digital Markets Act: time for a reset – Google Blog, geopend op november 13, 2025, https://blog.google/around-the-globe/google-europe/the-digital-markets-act-time-for-a-reset/
99. Full article: European cloud computing policy: failing in Europe to succeed nationally?, geopend op november 13, 2025, https://www.tandfonline.com/doi/full/10.1080/01402382.2025.2491962
100. SecNumCloud in France: A ~€900M Sovereign Cloud Opportunity by 2029 – Starzdata, geopend op november 13, 2025, https://www.starzdata.com/blog/secnumcloud-in-france-a-889m-sovereign-cloud-opportunity-by-2029
101. Germany-The Multi-Cloud Strategy of the Federal Government …, geopend op november 13, 2025, https://xpert.digital/en/multi-cloud-strategy/
102. Press – Germany launches government cloud – BMI, geopend op november 13, 2025, https://www.bmi.bund.de/SharedDocs/pressemitteilungen/EN/2025/03/dvc.html
103. How cloud transformation in the public sector is succeeding – msg, geopend op november 13, 2025, https://www.msg.group/en/viewpoint/cloud-transformation-in-the-public-sector
104. Dynamo: Unlocking the power of the new European cloud and data ecosystem, geopend op november 13, 2025, https://www.dynamo.cloud/
105. European alternatives to Microsoft 365 Online, geopend op november 13, 2025, https://european-alternatives.eu/alternative-to/microsoft-365-online
106. Is Nextcloud the best European alternative to Google Workspace and Microsoft 365? : r/BuyFromEU – Reddit, geopend op november 13, 2025, https://www.reddit.com/r/BuyFromEU/comments/1jcietc/is_nextcloud_the_best_european_alternative_to/
107. Best EU Microsoft Teams Alternatives for Enterprises – Wire, geopend op november 13, 2025, https://wire.com/en/blog/european-alternatives-to-microsoft-teams
108. InvestAI – Press corner | European Commission, geopend op november 13, 2025, https://ec.europa.eu/commission/presscorner/detail/en/ip_25_467
109. Shaping Europe’s leadership in artificial intelligence with the AI continent action plan, geopend op november 13, 2025, https://commission.europa.eu/topics/eu-competitiveness/ai-continent_en
110. EU launches InvestAI initiative to mobilise €200 billion of investment in artificial intelligence, geopend op november 13, 2025, https://luxembourg.representation.ec.europa.eu/actualites-et-evenements/actualites/eu-launches-investai-initiative-mobilise-eu200-billion-investment-artificial-intelligence-2025-02-11_en
111. EU to invest €50B to ‘supercharge’ innovation in artificial intelligence – Science|Business, geopend op november 13, 2025, https://sciencebusiness.net/news/eu-budget/eu-invest-eu50b-supercharge-innovation-artificial-intelligence
112. EU Invests €200 Billion Towards Becoming a Global Leader in AI | Perkins Coie, geopend op november 13, 2025, https://perkinscoie.com/insights/update/eu-invests-eu200-billion-towards-becoming-global-leader-ai
113. Can EU’s €200B ‘InvestAI’ Initiative Close Europe’s AI Gap with U.S. and China?, geopend op november 13, 2025, https://cacm.acm.org/news/can-eus-e200b-investai-initiative-close-europes-ai-gap-with-u-s-and-china/
114. EuroStack – A European Alternative for Digital Sovereignty – Bertelsmann Stiftung, geopend op november 13, 2025, https://www.bertelsmann-stiftung.de/fileadmin/files/user_upload/EuroStack__2025_final__1_.pdf
115. What is Root of Trust? – Entrust, geopend op november 13, 2025, https://www.entrust.com/resources/learn/what-is-root-of-trust
116. FAQs: What is Root of Trust? – Thales, geopend op november 13, 2025, https://cpl.thalesgroup.com/faq/hardware-security-modules/what-root-trust
117. Building Trust Networks – JRC Publications Repository – European Union, geopend op november 13, 2025, https://publications.jrc.ec.europa.eu/repository/bitstream/JRC50574/reqno_jrc50574_building_trust_networks_-_final%5B1%5D.pdf
118. Digital sovereignty of the EU: Germany must pick up the pace! – assetphysics, geopend op november 13, 2025, https://assetphysics.com/digital-sovereignty-of-the-eu-germany-must-pick-up-the-pace/
119. European Cloud Providers: What Are the Options Today? – InfoQ, geopend op november 13, 2025, https://www.infoq.com/news/2025/03/european-cloud-providers/
120. The State of Digital Sovereignty in Europe 2025 – Survey & Insights, geopend op november 13, 2025, https://wire.com/en/blog/state-digital-sovereignty-europe
121. What is Vendor Lock-In? 5 Strategies & Tools To Avoid It – Superblocks, geopend op november 13, 2025, https://www.superblocks.com/blog/vendor-lock
122. 11 Tips for Avoiding Cloud Vendor Lock-In – Coralogix, geopend op november 13, 2025, https://coralogix.com/blog/11-tips-for-avoiding-cloud-vendor-lock-in/