De Europese Unie overweegt een uitbrei­ding van de regels voor cyber­be­vei­li­gings­cer­ti­fi­caten, speci­fiek gericht op de European Certi­fi­ca­tion Scheme for Cloud Services (EUCS), onder­deel van de EU Cyber­se­cu­rity Certi­fi­ca­tion. Dit initi­a­tief wordt geleid door het EU-agent­schap voor cyber­se­cu­rity, ENISA, en beoogt stren­gere regels voor cloud­dien­sten die aan overheids­in­stan­ties worden aangeboden.

Volgens de voorge­stelde uitbrei­ding zouden ook Europese lucht­vaart­maat­schap­pijen en finan­ciële instel­lingen verplicht worden om uitslui­tend cloud­dien­sten te gebruiken van gecer­ti­fi­ceerde aanbie­ders. Deze infor­matie is gebaseerd op de meest recente versie van de EUCS, zoals gemeld door Reuters.

Het certi­fi­ce­ringstra­ject vereist dat cloud­dien­sten voldoen aan speci­fieke Europese regel­ge­ving, gericht op het garan­deren van de veilig­heid van deze diensten. Belang­rijke criteria voor certi­fi­ce­ring zijn onder andere samen­wer­king met Europese bedrijven en het lokaal draaien en beheren van de cloud­dienst, waarbij EU-wetten voorrang hebben op niet-EU-wetten. 

Deze regel­ge­ving is nog niet defini­tief en zal worden herzien door de lidstaten en de Europese Commissie. De CCIA, een Ameri­kaanse non-profit­or­ga­ni­satie die de belangen van techbe­drijven verte­gen­woor­digt, heeft al zorgen geuit dat de wetge­ving discri­mi­ne­rend zou kunnen zijn voor niet-Europese cloudaanbieders.

Ondanks deze zorgen hebben Ameri­kaanse cloud­aan­bie­ders al stappen onder­nomen om aan deze nieuwe vereisten te voldoen, zoals het opzetten van Europese sovereign clouds. Deze clouds zouden onafhan­ke­lijk zijn, worden beheerd door Europese werkne­mers, en zouden zich richten op het beschermen van data tegen toegang door derde partijen, zonder de beper­kingen van een tradi­ti­o­nele on-premise infrastructuur.