Naast het publieke EuroHPC-spoor: Sovereign AI-Grid bouwt privaat, soeverein en multi-site door

Op 21 september 2026 maakte SURF bekend dat de Nederlandse publieke AI-supercomputer duurzaam wordt gehuisvest bij Eurofiber in Groningen. Dat is het publieke spoor van de Europese AI-gigafabrieken: het EuroHPC-programma, met een eigen tijdlijn, een eigen aanbesteding en eigen besluitvorming. Sovereign AI-Grid bouwt daar niet tegenover, maar ernaast: privaat, soeverein en over meerdere Europese locaties, met een governance-model dat niet afhankelijk is van 1 subsidieronde.

Twee sporen naar dezelfde opgave

Het EuroHPC-programma kreeg begin dit jaar een nieuw mandaat voor AI-gigafabrieken via Verordening (EU) 2026/150 van 16 januari 2026, een wijziging van Verordening 2021/1173 met onder meer een nieuw artikel 12b. Een AI-fabriek is in die definitie een grootschalige, energie-efficiënte faciliteit rond een EuroHPC-supercomputer, ingericht voor de volledige levenscyclus van AI-modellen. Op 30 juli 2026 lanceerde EuroHPC JU de bijbehorende AI-Gigafactories-call. Het Nederlandse publieke antwoord kreeg op 21 september 2026 een gezicht: SURF gunde de huisvesting van de nationale AI-supercomputer aan Eurofiber in Groningen.

Dat publieke spoor is waardevol, en het is niet het enige spoor. Sovereign AI-Grid ontwikkelt, naast en onafhankelijk van die aanbestedingsronde, een private, soevereine bouwlijn: meerdere Europese locaties, eigen kapitaal en een steward ownership-structuur (rentmeestervennootschap) die eigendom en zeggenschap structureel beschermt tegen overname of kortetermijnbelangen. Waar publieke programma's afhankelijk zijn van besluitvorming en budgetcycli, kan een privaat, soeverein netwerk blijven doorbouwen.

European preference geeft het argument gewicht

Op 9 september 2026 stelde de Europese Commissie voor dat overheden bij aanbestedingen Europese leveranciers mogen bevoordelen: kwaliteit zwaarder laten meewegen, en leveranciers uit niet-wederkerige landen kunnen worden uitgesloten. Het voorstel is nog niet aangenomen, maar de richting is duidelijk. Soevereiniteit verschuift van morele voorkeur naar inkoopcriterium.

Waarom dat ertoe doet, bleek deze maand opnieuw. Amerikaanse sancties dwongen de Italiaanse provider Autistici/Inventati te stoppen; het Nederlandse hostingbedrijf ProcoliX werd in dezelfde berichtgeving als vergelijkbaar risico genoemd. Zelfs rechters van het Internationaal Strafhof in Den Haag vonden na een sanctieplaatsing geen Europese bank die hun rekening nog wilde aanhouden. Infrastructuur die buiten het bereik van zulke sancties valt, is geen theoretisch scenario meer.

“Twee sporen, 1 overtuiging: Europese AI-infrastructuur moet aantoonbaar soeverein zijn, ongeacht welk programma net in het nieuws is.”

De tweede klok: de CRA-meldplicht wordt dienstverlening

Naast de compute-kant bouwt Sovereign AI-Grid actief aan concrete dienstverlening rond de Cyber Resilience Act (Verordening (EU) 2024/2847). Sinds 11 september 2026 geldt de meldplicht van artikel 14: fabrikanten van producten met digitale elementen moeten actief misbruikte kwetsbaarheden en ernstige incidenten melden. In Nederland loopt die melding via het NCSC, via MijnNCSC; de Rijksinspectie Digitale Infrastructuur (RDI) houdt markttoezicht. De hoofdverplichtingen, essentiële eisen en CE-markering, gelden vanaf 11 december 2027.

De meldketen kent een vaste cadans, met een eindrapport dat twee sporen kent:

• een vroegtijdige waarschuwing binnen 24 uur en een volledige melding binnen 72 uur;
• bij een kwetsbaarheid: een eindrapport uiterlijk 14 dagen nadat een corrigerende maatregel beschikbaar is (art. 14(2)(c) CRA);
• bij een incident: een eindrapport uiterlijk 1 maand na de melding van 72 uur (art. 14(4)(c) CRA).

Alles loopt via het door ENISA beheerde Single Reporting Platform.

De Nederlandse Uitvoeringswet verordening cyberweerbaarheid (wetsvoorstel 36.875) is op 10 september 2026 aangenomen door de Tweede Kamer en ligt nu bij de Eerste Kamer; ze is dus nog niet in werking. Dat is een andere wet dan de Cyberbeveiligingswet, de Nederlandse implementatie van NIS2, die al sinds 15 augustus 2026 geldt.

De actualiteit maakt de urgentie tastbaar: op dit moment worden grote perimeter-producten van Fortinet en Check Point actief misbruikt en staan ze op de KEV-lijst. Beide vallen als firewall doorgaans onder Important Class II, maar de meldplicht van artikel 14 geldt ongeacht klasse. Sovereign AI-Grid maakt die meldketen operationeel voor fabrikanten via de CRA Compliance-dienst.

Twee sporen, 1 richting

Het publieke EuroHPC-spoor en de private, soevereine bouwlijn van Sovereign AI-Grid volgen dezelfde opgave langs verschillende routes. Het publieke spoor loopt via aanbesteding en subsidie; het private spoor bouwt zelf verder, op meerdere Europese locaties, met steward ownership als structurele waarborg tegen overname. De CRA-dienstverlening is daarvan het meest tastbare, meest directe bewijs: soevereiniteit die niet alleen over infrastructuur gaat, maar ook over aantoonbaarheid, op tijd.