Reactie NSDC op de consultatie over het voorstel voor een Cloud and AI Development Act

Inleiding

NSDC, de Nederlandse Soevereine Datacenter Coöperatie, een coöperatie van datacenters onder Nederlands of Europees eigendom, onderschrijft de ambitie en inzet van de Europese Commissie en moedigt de Commissie aan om samen met de lidstaten te werken aan snelle adoptie en implementatie.

De urgentie daarvoor is groot: digitale infrastructuur, rekenkracht en data zijn de pijlers voor het toekomstige Europese verdienvermogen. De huidige infrastructuur is grotendeels niet meer in Europese handen, en de partijen die nu op de Europese markt actief zijn, zullen, zonder gecoördineerde aanpak en ambitie, naar verwachting alleen maar dominanter worden op de terreinen van infrastructuur, datacenters, rekenkracht en AI.

De in de CADA voorgestelde ambitie van de Europese Commissie ten aanzien van een soevereine stack en investeringen in een soevereine digitale infrastructuur zijn daarom niet meer dan terecht. Echter dienen de voorgenomen verdrievoudiging van de Europese datacentrumcapaciteit en de daarbij voorgestelde beleidskaders nog wel scherper nader te worden uitgewerkt.

De kernvraag is: welke datacenters wil Europa erbij? Nog meer Amerikaanse hyperscalers, of co-locatie-datacenters met één huurder die daarmee de facto een hyperscaler zijn? Nog meer afhankelijkheid terwijl de geopolitieke onrust in de wereld verder toeneemt?

Wat NSDC betreft werken we toe naar meer balans. In eigendom, in kennis, in technologie en capaciteit. Dat vraagt om keuzes. Om het stellen van prioriteiten zodat binnen de ambities van de CADA wordt gezocht naar mogelijkheden om schaarse middelen als grond, water, stroom en talent te kunnen alloceren voor Europese partijen.

Dit vraagt niet alleen om nieuwe kaders, maar ook om een feitelijk beeld van de daadwerkelijke behoefte aan opslag en rekencapaciteit, nu en in de toekomst. NSDC moedigt de Commissie en de lidstaten aan dit continu te onderzoeken en te monitoren, en naar maximale transparantie te streven over het gebruik van de eerder genoemde schaarse middelen.

De huidige Nederlandse situatie

De ernst van de situatie wordt duidelijk door te kijken naar Nederland. Daar zijn de gevolgen van de investeringen door niet-Europese partijen in de digitale infrastructuur pijnlijk zichtbaar.

Nederland wordt gedomineerd door niet-Europese, in de praktijk Amerikaanse, partijen. Van de naar schatting 1,6 tot 2 GW geïnstalleerde datacentrumcapaciteit in Nederland (exacte cijfers ontbreken, mede doordat niet alle Amerikaanse partijen hun data publiceren) is slechts 300 tot 400 MW in handen van Nederlandse en Europese partijen. De geschatte behoefte van de Nederlandse samenleving bedraagt circa 300 MW. Concluderend draait ruim 1,7 GW aan capaciteit in Nederland voor het buitenland.

Steeds meer overheden en private partijen erkennen dat migratie van data en vitale processen naar soevereine partijen wenselijk is. Echter, stelt deze voorgenomen migratie Nederland voor een uitdaging: data die naar Nederlandse of Europese datacenters migreert, maakt de huidige Amerikaanse capaciteit niet kleiner. Die wordt verhuurd aan andere, niet-Europese klanten.

Voor soevereine opslag van onze data moet dus ruimte worden gecreëerd. Conservatieve schattingen gaan uit van 300 tot 400 MW aan NL/EU-datacenters. Onder het huidige datacentermoratorium in Nederland en met de huidige netcongestie en vergunningsbeperkingen is dat onmogelijk. Het moet dus anders, anders loopt de digitale transitie in Nederland helemaal vast.

Onze mening

NSDC steunt daarom het voorstel voor een Cloud and AI Development Act en dringt aan op snelle adoptie en implementatie. De wet bevat de juiste doelstelling: een Europese cloud- en AI-ecosysteem dat de afhankelijkheid van niet-Europese aanbieders daadwerkelijk vermindert.

Echter, zonder expliciete aandacht voor eigendoms- en zeggenschapsstructuren, netcapaciteit voor carrier-neutrale Europese datacenters en transparante monitoring dreigt de verdrievoudiging van de datacentrumcapaciteit slechts de huidige dominantie van niet-Europese partijen te versterken. Wat NSDC betreft is dat onbestaanbaar.

Daarom doet de NSDC hierna twaalf voorstellen om het wetsvoorstel te versterken:

Artikelsgewijze amendementen op het wetsvoorstel

Om de doelstellingen van de CADA te bereiken stelt NSDC voor het wetsvoorstel als volgt aan te vullen en te wijzigen.

1. Definitie van een onder Uniebeheer vallende datacentrumexploitant (artikel 2, nieuw punt 9)

De definitie zorgt ervoor dat alleen datacentrumexploitanten die naar het recht van een lidstaat zijn opgericht, hun maatschappelijke zetel en centrale leiding in de Unie hebben, geen beslissende zeggenschap vanuit een derde land ondergaan en binnen de Unie daadwerkelijk zeggenschap hebben over beheer, beveiliging en continuïteit, als onder Uniebeheer vallend gelden.

Nieuw punt 9):

(9) "onder Uniebeheer vallende datacentrumexploitant": een datacentrumexploitant die:

a) is opgericht naar het recht van een lidstaat en wiens maatschappelijke zetel en centrale leiding binnen de Unie zijn gelegen;

b) niet rechtstreeks of onrechtstreeks onder uitsluitende of gezamenlijke zeggenschap staat van een derde land, van een in een derde land gevestigde juridische entiteit, of van een natuurlijke persoon die geen onderdaan van een lidstaat is; en

c) binnen de Unie daadwerkelijk beslissende zeggenschap uitoefent over het beheer, de beveiliging en de continuïteit van de betrokken datacentrumdiensten.

Bij de beoordeling van de zeggenschap wordt rekening gehouden met de gehele keten van eigendom en zeggenschap, met inbegrip van stemrechten, rechten tot benoeming of afzetting van leden van bestuursorganen, contractuele regelingen en rechten die beslissende invloed op strategische besluiten kunnen confereren.

Het houden van een niet-zeggenschapsgevende financiële deelneming door een belegger uit een derde land verhindert op zichzelf niet dat een exploitant aan deze definitie voldoet.

2. Brownfieldterreinen in versnellingszones (artikel 10, lid 1, onder g)

Versnellingszones moeten zich in de eerste plaats richten op hergebruik van bestaande, braakliggende industriële locaties, met een goede afweging van de natuurwaarde van de locatie.

Toevoegen aan g)

mits dergelijke brownfieldterreinen geen hoge natuurbeschermingsstatus genieten en rekening wordt gehouden met locatiespecifieke biodiversiteitsbeoordelingen en de ecologische waarde van de locatie. Voor de toepassing van dit punt betekent "brownfieldterrein" elk terrein dat: (i) eerder is ontwikkeld voor industriële, commerciële, infrastructuur-, militaire of andere soortgelijke of institutionele doeleinden; (ii) momenteel onderbenut, verlaten of buiten gebruik is; en (iii) al dan niet is aangetast door verontreiniging als gevolg van het eerdere gebruik. De lidstaten beoordelen de relevante saneringseisen en termijnen voor verontreinigde brownfieldterreinen, evalueren of deze passend kunnen worden versneld zodat de bouw van datacentra kan aanvangen zodra de versnellingszone is aangewezen, en wijzen, indien nodig, specifieke vergunnings- en validatieautoriteiten en één enkel aanspreekpunt voor saneringswerkzaamheden aan;

3. Reservering van netcapaciteit voor onder Uniebeheer vallende, carrier-neutrale datacenters (artikel 11)

Netcongestie is het grootste knelpunt voor soevereine datacentrumcapaciteit. Nieuwe netcapaciteit in versnellingszones moet voor de helft worden gereserveerd voor carrier-neutrale, multitenant datacenters die onder Uniebeheer vallen. Capaciteit die exclusief aan één klant of aan ondernemingen onder gezamenlijke zeggenschap is toegewezen, kwalificeert niet; daarmee wordt vermeden dat de versnellingszones indirect alleen maar hyperscalercapaciteit opleveren.

Toevoegen

3. De lidstaten zorgen ervoor dat 50% van de binnen elke versnellingszone nieuw beschikbaar komende netverbindingcapaciteit voor datacentrumprojecten wordt gereserveerd voor carrier-neutrale, multitenant datacentra die onder Uniebeheer vallen, onverminderd bestaande bindende aansluitrechten.

Kwalificerende capaciteit wordt aangeboden aan meerdere onafhankelijke klanten op billijke, redelijke en nietdiscriminerende voorwaarden, waarbij klanten hun connectiviteitsaanbieders kunnen kiezen. Capaciteit die uitsluitend aan één klant of aan ondernemingen die onder gezamenlijke zeggenschap staan, is toegewezen, kwalificeert niet.

Toewijzingen vinden plaats op basis van transparante criteria van projectgereedheid en zijn onderworpen aan evenredige mijlpalen voor de oplevering, die rekening houden met gefaseerde ontwikkeling en speculatie voorkomen.

Gereserveerde capaciteit die niet binnen 24 maanden na het openen van de desbetreffende toewijzingsprocedure is toegewezen, komt vrij voor andere in aanmerking komende aanvragers. Reeds toegewezen capaciteit blijft onderworpen aan de naleving van de mijlpalen voor de oplevering en het voortgezette kwalificerende gebruik.

4. Aanvullend criterium voor strategische projecten (artikel 14)

Naast de bestaande criteria moet een project ook kunnen kwalificeren als strategisch project wanneer het wordt geëxploiteerd door een onder Uniebeheer vallende datacentrumexploitant en capaciteit biedt op billijke, redelijke en nietdiscriminerende voorwaarden aan cloudcomputingdiensten die overeenkomstig artikel 17 zijn erkend op Uniebetrouwbaarheidsniveau 2, 3 of 4. De bewijslast met betrekking tot de eigendoms- en zeggenschapsstructuur moet evenredig zijn, hergebruik van onafhankelijke auditinformatie mogelijk maken en commercieel gevoelige informatie beschermen.

14, lid 1: "ten minste twee" wijzigen in "ten minste drie".

Toevoegen

14, lid 1, onder f): het project eigendom is van en wordt geëxploiteerd door een onder Uniebeheer vallende datacentrumexploitant en capaciteit biedt op billijke, redelijke en nietdiscriminerende voorwaarden aan cloudcomputingdiensten die overeenkomstig artikel 17 met Uniebetrouwbaarheidsniveau 2, 3 of 4 zijn erkend.

14, lid 2

2a. Een aanvrager die een beroep doet op lid 1, onder f), overhandigt voldoende bewijsstukken betreffende zijn eigendoms- en zeggenschapsstructuur, de locatie en de bevoegdheden van zijn feitelijke leiding, en de continuïteitsregelingen die relevant zijn voor het project.

Indien de exploitatie nog niet is aangevat, overhandigt de aanvrager bindende verbintenissen en een geloofwaardig implementatieplan waaruit blijkt hoe aan de voorwaarden zal worden voldaan voordat de desbetreffende capaciteit in dienst wordt gesteld. Het aanwijzingsbesluit identificeert de relevante verbintenissen en verificatiemijlpalen.

De bewijsvereisten zijn evenredig en laten hergebruik van relevante onafhankelijke controlegegevens toe. Commercieel gevoelige informatie wordt beschermd.

5. Monitoring van het capaciteitstekort (artikel 15)

De monitoring moet inzichtelijk maken hoeveel capaciteit in handen is van onder Uniebeheer vallende exploitanten en hoe de eigendomsconcentratie van datacentrumcapaciteit en gereserveerde netcapaciteit zich ontwikkelt. Zonder die transparantie kan de Commissie de beoogde vermindering van de afhankelijkheid niet toetsen, en kan ook de lidstaat de eigen databehoefte niet afzetten tegen het opgestelde vermogen.

De volgende punten toevoegen aan lid 1:

d) de beschikbaarheid en de geografische spreiding van datacentrumcapaciteit die wordt geëxploiteerd door onder Uniebeheer vallende datacentrumexploitanten;

e) de concentratie van eigendom en zeggenschap met betrekking tot operationele datacentrumcapaciteit en, waar relevant, gereserveerde netverbindingcapaciteit, rekening houdend met ondernemingen die onder gezamenlijke zeggenschap staan.

6. Onderbrenging van gecontroleerde diensten in onder Uniebeheer vallende datacenters (bijlage II, punten 3.1 en 4.1)

De diensten die op Uniebetrouwbaarheidsniveau 2 of hoger worden erkend, met inbegrip van back-up- en noodherstelomgevingen, moeten uitsluitend zijn ondergebracht in onder Uniebeheer vallende datacenters in de Unie, die niet rechtstreeks of onrechtstreeks door een derde land of een aldaar gevestigde entiteit worden beheerst. Ook de partijen die operationele zeggenschap hebben over essentiële faciliteitendiensten vallen hieronder, ongeacht of zij toegang tot klantgegevens hebben. Zo wordt voorkomen dat "soevereine" diensten feitelijk draaien op infrastructuur die via eigendoms-, lease- of uitbestedingsconstructies vanuit een derde land beheersbaar blijft, en wordt de continuïteit gewaarborgd tegen maatregelen van derde landen die onder Unierecht of lidstatelijk recht niet rechtmatig zijn.

Nieuw punt l)

l) De gecontroleerde dienst, met inbegrip van back-up- en noodherstelomgevingen, is uitsluitend gehost in onder Uniebeheer vallende datacentra die in de Unie zijn gelegen en die worden geëxploiteerd door een in de Unie gevestigde entiteit die niet rechtstreeks of onrechtstreeks door een derde land of een in een derde land gevestigde juridische entiteit wordt beheerst. Dezelfde vereisten zijn van toepassing indien de gecontroleerde aanbieder het datacentrum zelf exploiteert.

Deze vereisten zijn ook van toepassing op entiteiten die operationele zeggenschap uitoefenen over essentiële faciliteitendiensten, ongeacht of deze rechtstreeks of onrechtstreeks zijn gecontracteerd en ongeacht of zij toegang tot klantgegevens hebben.

De gecontroleerde aanbieder toont aan dat regelingen inzake eigendom, leasing en uitbesteding deze operationele zeggenschap in stand houden en de continuïteit van de dienst waarborgen tegen maatregelen van derde landen die onder Unierecht of lidstatelijk recht niet rechtmatig zijn.

De uitsluiting van hardware en de beperkingen onder punten 3.2 en 4.2 beperken de toepassing van dit punt niet. De afwijking onder punt 3.1, onder g), is niet van toepassing op deze vereisten inzake de beheersing van datacenters.

7 Definitie van multitenant exploitatie (artikel 2, nieuw punt 10)

De kwalificatie "carrier-neutraal, multitenant" is alleen werkbaar wanneer multitenant ook is gedefinieerd. Zonder definitie kan een co-locatie-datacenter met één grote huurder, dat daarmee de facto een hyperscaler is, zich multitenant blijven noemen en zo toch aanspraak maken op gereserveerde netcapaciteit.

Nieuw punt 10):

(10) "multitenant datacentrum": een datacentrum waarin capaciteit op billijke, redelijke en nietdiscriminerende voorwaarden wordt aangeboden aan ten minste drie onafhankelijke klanten die geen ondernemingen zijn die onder gezamenlijke zeggenschap staan met de exploitant of met elkaar, en waarin geen enkele afzonderlijke klant, alleen of samen met ondernemingen die onder gezamenlijke zeggenschap staan, meer dan 50% van de totale beschikbare capaciteit van de faciliteit in beslag neemt.

8 Bindend subdoel voor onder Uniebeheer vallende capaciteit (artikel 15)

Zonder kwantitatief subdoel blijft de verdrievoudiging een doel zonder meetlat en kan de Commissie bij evaluatie niet vaststellen of de afhankelijkheid daadwerkelijk afneemt. De monitoring uit amendement 4.5 krijgt daarmee een normatieve functie.

Lid 2 toevoegen:

2. Uiterlijk 31 december 2030 wordt ten minste 50% van de datacentrumcapaciteit die sinds de inwerkingtreding van deze verordening nieuw beschikbaar is gekomen in de Unie, geëxploiteerd door onder Uniebeheer vallende datacentrumexploitanten. De Commissie brengt jaarlijks verslag uit over de voortgang ten aanzien van dit doel en stelt, indien het doel naar verwachting niet wordt gehaald, passende maatregelen voor, met inbegrip van aanpassingen van de aanwijzing van versnellingszones en strategische projecten.

9 Portabiliteit en exitbescherming (artikel 17 en bijlage II)

Lock-in is, naast eigendom, het grootste praktische beletsel voor migratie naar Europese partijen. Erkenning op Uniebetrouwbaarheidsniveau 2 of hoger moet daarom afhankelijk worden gesteld van aantoonbare portabiliteit en redelijke exitvoorwaarden. Dit komt alle Europese aanbieders ten goede, maar helpt vooral kleinere partijen die concurreren met lage instapkosten en hoge uitstapkosten.

Toevoegen aan artikel 17:

Erkenning van een cloudcomputingdienst die Uniebetrouwbaarheidsniveau 2 of hoger biedt, is afhankelijk van de aanbieder die aantoont dat: a) klantgegevens en workloads in open, gedocumenteerde en, waar beschikbaar, gestandaardiseerde formaten kunnen worden geëxporteerd, zonder functieverlies; b) de aanbieder geen vertrekkosten of vergoedingen hanteert die de gedocumenteerde, rechtstreeks toerekenbare kosten van de exportprocedure overschrijden; en c) de aanbieder geen contractuele bepalingen hanteert die migratie van workloads van klanten naar een andere aanbieder belemmeren, vertragen of anderszins ontmoedigen, met inbegrip van aanbieders die op een lager Uniebetrouwbaarheidsniveau zijn erkend.

10 Overheidsopdrachten (artikel 30)

De aankoopkracht van de overheid is het sterkste instrument van de wet. Aanbestedende diensten moeten voor workloads op of boven Uniebetrouwbaarheidsniveau 2 voorrang geven aan diensten die zijn ondergebracht in onder Uniebeheer vallende datacenters. Gezien de bestaande aanbestedingsregels en de daarin geldende veiligheidsuitzonderingen verdient het aanbeveling dit te formuleren als een beoordelings- en gunningsvoorkeur, niet als een absoluut sluitingsverbod.

De volgende leden toevoegen aan artikel 30:

5. Wanneer een aanbestedende dienst cloudcomputingdiensten of AI-systemen inkoopt voor workloads waarvoor Uniebetrouwbaarheidsniveau 2 of hoger vereist is, geeft zij in de technische specificaties en bij de gunning van de opdracht voorrang aan diensten die zijn gehost in onder Uniebeheer vallende datacentra die worden geëxploiteerd door multitenant datacentrumexploitanten in de zin van punten 9) en 10) van artikel 2.

6. Aanbestedende diensten doen jaarlijks verslag aan de nationale bevoegde autoriteit over het aandeel van dergelijke workloads dat is gehost in onder Uniebeheer vallende datacentra.

11 Artikel 31 als stimulans in plaats van uitsluitend last

De kritiek op artikel 31 (effectbeoordelingen) betreft vooral de lasten voor entiteiten uit de particuliere sector in zeer kritieke sectoren. Het amendement slaat de balans om: wie de betrokken diensten aanbiedt in onder Uniebeheer vallende datacenters op Uniebetrouwbaarheidsniveau 2 of hoger, krijgt vereenvoudigde rapportage en een voordeel bij toezicht. Artikel 31 wordt daarmee een vraagmotor richting Europese capaciteit.

Toevoegen aan artikel 31:

Aanbieders die de betrokken diensten uitsluitend hosten in onder Uniebeheer vallende datacentra conform punt l) van bijlage II, genieten van een vereenvoudigde rapportage inzake conformiteit en worden onderworpen aan een verlaagde auditfrequentie, onverminderd de toezichtbevoegdheden van de bevoegde autoriteiten.

12 Financiering en staatssteun (artikel 14)

De investeringsopgave is naar verwachting grotendeels privaat te financieren, mits partijen voldoende zekerheid hebben over vraag en opbrengsten. NSDC zou het op prijs stellen wanneer de Commissie beziet of de staatssteunkaders toereikend zijn om lidstaten in staat te stellen carrier-neutrale Europese datacenters zonder rechtsonzekerheid te steunen, en of strategische projecten van onder Uniebeheer vallende exploitanten toegang kunnen krijgen tot financiering uit Unieprogramma's als InvestAI.

Daarnaast speelt de overheid een rol die geen investering vereist: die van klant. Wanneer de Commissie en de lidstaten hun eigen data en vitale processen langdurig, bijvoorbeeld via meerjarige contracten, onderbrengen bij Europese datacenters, biedt dit exploitanten omzetzekerheid over een langere horizon. Juist die voorspelbare langjarige vraag maakt dat privaat kapitaal vrijkomt voor de bouw en uitbreiding van soevereine capaciteit, zonder dat de overheid als investeerder hoeft op te treden.

Lid 5 toevoegen:

5. De Commissie wordt verzocht uiterlijk [datum — één jaar na de inwerkingtreding] te beoordelen of het Uniekader voor staatssteun de lidstaten in staat stelt tijdige en doeltreffende steun te verlenen voor de vestiging en uitbreiding van multitenant datacentra die door onder Uniebeheer vallende datacentrumexploitanten worden geëxploiteerd, en, waar passend, richtsnoeren of maatregelen vast te stellen die dergelijke rechtsonzekerheid bieden. Projecten die overeenkomstig lid 1, onder f), als strategische projecten zijn aangewezen, zouden in aanmerking kunnen komen voor financiering uit Uniefinancieringsprogramma's die cloud- en AI-capaciteit ondersteunen, met inbegrip van InvestAI.

6. De Commissie en de lidstaten worden aangemoedigd om, waar passend, hun eigen gegevens en vitale processen te hosten in onder Uniebeheer vallende datacentra in de zin van punt 9) van artikel 2, met name via meerjarige langlopende contracten. Dergelijke langjarige openbare vraag biedt exploitanten voorspelbare ontvangsten over een langere horizon, waardoor privaat kapitaal wordt gemobiliseerd voor de bouw en uitbreiding van soevereine capaciteit zonder dat openbare autoriteiten als investeerder hoeven op te treden.

—