Deze pagina beschrijft het scoremodel, de classificatie en de afgeleide indicatoren die in de Cloud Sovereignty Assessment Tool worden gebruikt. Het model is bedoeld als gestructureerd hulpmiddel bij het beoordelen van cloud-leveranciers op digitale soevereiniteit.
Het scoremodel is gebaseerd op het Toetsingsinstrument Soevereiniteit van DICTU (Dienst ICT Uitvoering, onderdeel van het Ministerie van Binnenlandse Zaken), gepubliceerd in januari 2026. Het instrument beoordeelt cloud-diensten op vijf dimensies, uitgewerkt in veertien criteria.
Elk criterium wordt beoordeeld op een schaal van 1 (geen soevereiniteit) tot 5 (volledige soevereiniteit). De niveaus volgen een oplopende lijn van risico naar controle:
| Score | Niveau | Betekenis |
|---|---|---|
| 1 | Kritiek | Geen aantoonbare soevereiniteit op dit punt. Directe actie vereist. |
| 2 | Laag | Beperkte maatregelen, maar onvoldoende voor gevoelige data. |
| 3 | Basis | Voldoet aan minimale vereisten. Acceptabel mits aanvullende maatregelen. |
| 4 | Gevorderd | Sterke positie met aantoonbare garanties. |
| 5 | Soeverein | Volledige controle en onafhankelijkheid. Hoogste niveau. |
De scores worden in drie stappen geaggregeerd tot een overall classificatie:
| Niveau | Score | Betekenis |
|---|---|---|
| SEAL-0 | < 1,9 | Geen soevereiniteit. Onacceptabel voor overheids- of hoog-risicodata. |
| SEAL-1 | 1,9 – 2,6 | Beperkte soevereiniteit. Alleen acceptabel voor laag-risicodata met compenserende maatregelen. |
| SEAL-2 | 2,7 – 3,4 | Basissoevereiniteit. Voldoet aan minimale EU-vereisten. Acceptabel voor bedrijfsdata. |
| SEAL-3 | 3,5 – 4,2 | Hoge soevereiniteit. Sterke Europese verankering. Geschikt voor gevoelige data. |
| SEAL-4 | ≥ 4,3 | Volledige soevereiniteit. Maximale EU-controle. Geschikt voor kritieke publieke infrastructuur. |
Bij een multi-service landscape (meerdere diensten in één assessment) geldt het SEAL-niveau van de zwakste dienst als het landscape-SEAL. De keten is zo sterk als de zwakste schakel.
De juridische dimensie (J1–J4) heeft een bijzondere positie in het model. Technische en organisatorische maatregelen kunnen een zwakke juridische positie niet compenseren: als de aanbieder juridisch verplicht is data te overhandigen aan een niet-EU autoriteit, helpen encryptie en EU-datacenters slechts beperkt.
Daarom geldt een harde ondergrens:
Een assessment met een FAIL-verdict op de drpiegel vereist aanvullend juridisch onderzoek voordat de dienst kan worden ingezet voor gevoelige data.
De Washing Index detecteert sovereignty washing: de situatie waarin een leverancier hoog scoort op technische en operationele dimensies, maar laag op de juridische dimensie. De hoge totaalscore maskeert dan een fundamenteel juridisch risico.
| Washing Index | Risico | Interpretatie |
|---|---|---|
| ≤ 0,5 | Laag | Scores zijn consistent over alle dimensies. |
| 0,5 – 1,0 | Gemiddeld | Juridische dimensie loopt achter. Nader onderzoek aanbevolen. |
| > 1,0 | Hoog | Significante discrepantie. Juridische positie vereist aandacht. |
Veel organisaties maken gebruik van Managed Service Providers (MSP's) of resellers die zelf draaien op onderliggende cloudplatformen. Een Nederlandse MSP die Microsoft Azure gebruikt, erft de juridische blootstelling van Azure.
De tool modelleert dit via keten-analyse met het weakest-link principe:
Vergelijkbaar met de Washing Index, maar specifiek voor ketenrisico:
Een hoge Chain Washing Index betekent dat de eigen juridische score van de MSP aanzienlijk hoger is dan de effectieve score na doorwerking van de onderliggende platformen. De MSP-laag maskeert dan het ketenrisico.
De scores per criterium worden afgeleid uit publiek beschikbare informatie over de leverancier, waaronder:
Elke score heeft een betrouwbaarheidsniveau:
| Niveau | Bron |
|---|---|
| Hoog | Gebaseerd op officiele documentatie, certificeringen of auditrapportages. |
| Gemiddeld | Afgeleid uit bedrijfsstructuur en publieke bronnen. |
| Laag | Geschat op basis van beperkte informatie. Validatie aanbevolen. |
Naast de basis DICTU-scoring ondersteunt de tool drie Europese compliance frameworks als selecteerbare “lenzen”. Elk framework mapt zijn eigen maatregelen op de bestaande DICTU 14-criteria en berekent framework-specifieke scores.
| Framework | Regelgeving | Maatregelen | Pass-drempel | Sector |
|---|---|---|---|---|
| NIS2 | EU 2022/2555 Article 21(2) | 10 maatregelen (a–j) | 2,5 | Alle sectoren |
| BIO2 | ISO 27002:2022 / Baseline Informatiebeveiliging Overheid | 8 maatregelen met Basishygiëne-badges | 3,0 | Overheid |
| DORA | EU 2022/2554 Article 28/30 | 8 maatregelen incl. concentratierisico | 2,5 | Financiële sector |
BIO2 is uitsluitend beschikbaar voor projecten met sector “overheid”; DORA alleen voor sector “finance”. Bij selectie van een niet-toepasbaar framework toont de tool een waarschuwing en keert terug naar het vorige framework.
De FrameworkEngine berekent per maatregel een gewogen gemiddelde van de gekoppelde DICTU-criteria. De pass-drempel bepaalt of een maatregel als “pass” of “fail” wordt beoordeeld. De pass-drempelwaarden worden uitsluitend server-side bewaard — ze worden nooit naar de client verstuurd.
De optie “Alle frameworks” toont per vendor de scores voor NIS2, BIO2 en DORA naast elkaar, inclusief een framework-toepasselijkheidsmatrix per sector.
Bij actief DORA-framework is een ICT Register exportknop beschikbaar die een CSV genereert met vendor-gegevens in het DNB/AFM registratieformaat.
Vendors met eigendom door een niet-EU Private Equity firma krijgen een aanvullende scoringsregel op het J2-criterium (Eigendom & zeggenschapsstructuur). Als een vendor pe_owned: true heeft en de PE-eigenaar gevestigd is in de VS of het VK, wordt J2 gecapped op maximaal 2,5.
Dit reflecteert het risico dat buitenlandse PE-eigenaren indirecte invloed kunnen uitoefenen op data-governance en bedrijfsbeslissingen, zelfs wanneer de vendor zelf in de EU is gevestigd. In de UI wordt dit zichtbaar als een “⚠ PE” badge.
Zwitserland, Noorwegen, IJsland en Liechtenstein worden behandeld als “EU-adjacent” voor de J1- en J2-scoring. Deze landen hebben GDPR-equivalente wetgeving, geen CLOUD Act, en Schengen-lidmaatschap. Ze scoren J1=3 en volgen de EU-eigendomslogica voor J2 (in plaats van de niet-EU score J2=1).
De tool biedt twee scoringsmodi via de “DATA” selector:
De verificatiestatus per vendor wordt bepaald door geautomatiseerde AI-verificatie tegen live opgehaalde bronpagina’s (trust centers, compliance-documentatie). Velden waarvoor de bronnen geen informatie bevatten worden als “onverifieerbaar” gemarkeerd.
Elke vendor in de kennisdatabase kan gekoppeld worden aan verifieerbare bronnen (trust centers, certificeringspagina’s, privacy-documentatie). Het bronbeheersysteem volgt een strict 3-gate verificatiemodel:
AI kan bronnen voorstellen maar deze worden pas actief na menselijke promotie. AI kan nooit zelfstandig een scorewijziging doorvoeren zonder een letterlijk citaat uit een onderhouden bron.
De tool ondersteunt het aanmaken van maximaal vier scenario's per assessment. Hiermee kan een consultant verschillende leverancierskeuzes naast elkaar leggen, bijvoorbeeld:
Elk scenario heeft een eigen SEAL-niveau, drpiegel-verdict en washing index, waardoor de impact van leverancierskeuzes direct zichtbaar wordt.
Het scoring model wordt continu gevalideerd middels geautomatiseerde testseries die alle veertien criteria, keteneffecten, grenswaarden en classificatiegrenzen verifiëren tegen een onafhankelijke referentie-implementatie van het DICTU-model. De validatie omvat:
Bij elke wijziging aan het scoring model of de vendordatabase worden deze tests opnieuw uitgevoerd. Testresultaten worden gearchiveerd ten behoeve van traceerbaarheid.
Het scoremodel is gebaseerd op:
De vendordatabase bevat 150+ leveranciers met informatie uit openbare bronnen, geverifieerd via geautomatiseerde bron-ophaling en AI-analyse. De assessment-tool en bijbehorende analyses worden aangeboden ter ondersteuning van professionele adviestrajecten, niet als vervanging daarvan.