Van wet naar norm: hoe EN 18235 interoperabiliteit in dataspaces juridisch verankert

CEN/CENELEC schrijft in opdracht van de EU de norm EN 18235 voor Trusted Data Transactions. Geharmoniseerd betekent: voldoen aan de standaard = voldoen aan de EU Data Act.

# Van wet naar norm: hoe EN 18235 interoperabiliteit in dataspaces juridisch verankert

## Interoperabiliteit is geen technisch detail

Data delen klinkt eenvoudig. Twee partijen, één verbinding, klaar. Maar wie data wil uitwisselen in een keten van meerdere organisaties, met elk hun eigen systemen, formats en contracten, stuit al snel op de kern van het probleem: interoperabiliteit.

Interoperabiliteit betekent dat systemen en organisaties technisch, semantisch en juridisch op elkaar aansluiten, ook zonder dat ze dezelfde software gebruiken of data centraal opslaan. Zonder interoperabiliteit is federatief datadelen een theoretisch concept. Met een Europese standaard wordt het uitvoerbaar en juridisch afdwingbaar.

Dat is precies wat er nu gebeurt. En het heeft een naam: EN 18235.

## EU Data Act artikel 33: de juridische grondslag

De EU Data Act (Verordening (EU) 2023/2854) is van kracht sinds september 2025. Artikel 33 legt een directe verplichting op aan aanbieders van data en datadiensten: zorg voor interoperabiliteit. Concreet op vier punten:

- a) Een machineleesbare beschrijving van de dataset: inhoud, gebruiksbeperkingen, licenties, kwaliteit. - b) Data-structuren, formats, vocabulaires, classificaties en taxonomieën, publiek en consistent beschreven. - c) Technische toegang via API's: voorwaarden en kwaliteit van dienstverlening, machineleesbaar. - d) Waar van toepassing: interoperabiliteit van tools voor geautomatiseerde uitvoering van data-sharing-overeenkomsten.

Eén detail verdient extra aandacht: de definitie van "dataspace" in de wet is bewust breed. Elk initiatief waarbij organisaties data uitwisselen onder afgesproken voorwaarden valt potentieel onder artikel 33, ook als het initiatief zichzelf geen dataspace noemt.

Ook zonder dat je het weet, kan jouw datadelingsinitiatief al onder de Data Act vallen.

Artikel 33 zegt dus wát er moet, maar nog niet hóe. Daar komt EN 18235 in beeld.

## CEN/CENELEC: de Europese normalisatie-opdracht

Om artikel 33 technisch te concretiseren, legde de Europese Commissie in juli 2025 een formeel standaardisatieverzoek (C(2025)4135) neer bij CEN/CENELEC, de Europese normalisatie-instellingen die op grond van EU-verordening 1025/2012 bevoegd zijn om normen met juridische status te ontwikkelen.

De opdracht: schrijf een set standaarden die dataspaces ondersteunen, gebaseerd op het werk van de Data Spaces Support Centre (DSSC). Vijf deliverables zijn gevraagd: Trusted Data Transaction, Data Catalogue, Semantische assets, Data Governance en een Maturity Model.

De Trusted Data Transaction, gevat in norm EN 18235, is van de vijf het meest gevorderd.

## De verbinding met DSSC

De Data Spaces Support Centre (dssc.eu) is het Europese kenniscentrum voor dataspaces, opgericht namens de EU. De DSSC heeft het architectuurblauwdruk voor dataspaces ontwikkeld: het DSSC Blueprint, dat beschrijft hoe rollen, vertrouwen, toegang en governance in een dataspace zijn georganiseerd.

De DSSC levert de inhoudelijke basis; EN 18235 geeft die basis juridische status. CEN/CENELEC vertaalt het blueprint naar een formele Europese norm. Dat is een bewuste keuze: de Europese Commissie wilde geen standaard schrijven los van de praktijk. Daarom bouwt EN 18235 voort op wat al werkt in het veld.

Organisaties die nu al bouwen conform het DSSC Blueprint lopen daarmee voor op de curve. NoodleBar, de dataspace-infrastructuur van Poort8, is door de DSSC gevalideerd en opgenomen in de DSSC Toolbox als enige iSHARE-compliant oplossing met deze combinatie van identity, access en authorization.

## EN 18235: de norm voor Trusted Data Transactions

Een Trusted Data Transaction (TDT) is een dataruil op basis van vooraf afgesproken en verifieerbare kenmerken, zodat partijen veilig data uitwisselen met een gedeeld begrip van de voorwaarden: technisch, zakelijk, juridisch en regulatoir.

De norm bestaat uit drie delen. Deel 1 beschrijft terminologie, concepten en kernmechanismen; gepubliceerd, niet geharmoniseerd (definities, geen normatieve eisen). Deel 2 legt trustworthiness requirements vast; publieke consultatie afgerond, eindstemming volgt; geharmoniseerd onder artikel 33 Data Act. Deel 3 legt interoperability requirements vast; in ontwikkeling; geharmoniseerd onder artikel 33 Data Act.

Deel 1 is de gemeenschappelijke taal: het legt definities vast die delen 2 en 3 gebruiken. Alleen deel 2 en deel 3 worden geharmoniseerde standaarden, omdat harmonisering voorbehouden is aan normatieve eisen, de clausules die beschrijven wat organisaties verplicht moeten doen.

## Geharmoniseerd: wat dat werkelijk betekent

Dit is het cruciale onderscheid dat veel organisaties nog missen.

Een gewone technische norm is een aanbeveling: nuttig, maar vrijwillig. Een geharmoniseerde standaard is iets fundamenteel anders: wanneer de Europese Commissie een norm als geharmoniseerd aanwijst, geldt compliance met die norm als wettelijk bewijs van compliance met de bijbehorende wetgeving.

Voldoe je straks aan EN 18235 (deel 2 en deel 3), dan voldoe je juridisch aan artikel 33 van de EU Data Act. De norm is dan het bewijs; geen aparte juridische interpretatie meer nodig.

Dit maakt EN 18235 strategisch relevant voor elke organisatie die data wil delen in een gereguleerde Europese context.

## Wat verandert er praktisch?

Artikel 33 verplicht interoperabiliteit op vier punten. EN 18235 geeft daaraan technische invulling:

- Data beschrijven (a): de norm introduceert het concept "data product" als het interoperabiliteitsobject, met eisen aan metadata, licenties, kwaliteit en verzamelmethode. Machineleesbaar en publiek toegankelijk. - Formats en semantiek (b): vocabulaires, taxonomieën en classificatieschema's moeten consistent en publiek beschikbaar zijn, zodat systemen in verschillende dataspaces elkaars data begrijpen. - Technische toegang (c): API-toegang is technology-neutraal, machineleesbaar en performance-based. Geen gesloten interfaces meer. - Geautomatiseerde uitvoering (d): tools voor geautomatiseerde onderhandeling en uitvoering van data-sharing-overeenkomsten moeten interoperabel zijn.

Organisaties die nu al bouwen met open API's, standaard access control en machineleesbare datacatalogussen zijn het beste gepositioneerd. Interoperabiliteit is geen optie meer: het is een randvoorwaarde voor compliant datadelen in Europa.

## Conclusie

EN 18235 maakt interoperabiliteit in dataspaces afdwingbaar Europees recht. Dat is een verschuiving die verdergaat dan technische standaardisatie: wie data wil delen in een Europese context, moet straks kunnen aantonen te voldoen aan een formele norm, of die norm zelf zijn bewijs leveren.

Er is nog een reden waarom deze standaard er toe doet. Een open Europese norm voorkomt vendor lock-in: organisaties die bouwen op EN 18235 zijn niet afhankelijk van één platform, één leverancier of één gesloten ecosysteem. Datasoevereiniteit begint bij open standaarden. Jouw data, jouw regels, maar alleen als de technische basis dat ook ondersteunt.

De organisaties die nu al bouwen op open API's, federatieve architectuur en heldere data governance staan het sterkst. Voor hen is EN 18235 geen bedreiging maar een erkenning van de aanpak die ze al hanteren.

Bij Poort8 is compliance geen checkbox. NoodleBar is van dag één ontworpen op de principes die EN 18235 nu juridisch verankert: datasoevereiniteit, open standaarden en interoperabiliteit. Gevalideerd door de DSSC. Compliance by design.

## FAQ

Wat is EN 18235? EN 18235 is de Europese norm voor Trusted Data Transactions (TDT), ontwikkeld door CEN/CENELEC in opdracht van de Europese Commissie. De norm concretiseert de interoperabiliteitseisen uit artikel 33 van de EU Data Act en bestaat uit drie delen: terminologie (gepubliceerd), trustworthiness requirements en interoperability requirements.

Wat is een geharmoniseerde standaard? Een geharmoniseerde standaard is een Europese norm die door de Europese Commissie is aangewezen als officiële technische invulling van wetgeving. Compliance met de norm geldt juridisch als compliance met de wet, zonder extra bewijslast. Annex ZA in de norm koppelt elk wetsartikel aan een specifieke normclausule.

Wat is de DSSC en wat heeft die ermee te maken? De Data Spaces Support Centre (dssc.eu) is het Europese kenniscentrum voor dataspaces. De DSSC heeft het DSSC Blueprint ontwikkeld: de architectuurreferentie voor Europese dataspaces. CEN/CENELEC bouwt EN 18235 voort op dit blueprint. De DSSC levert de inhoud; de norm geeft die inhoud juridische status.

Wanneer treedt EN 18235 in werking? Deel 1 is gepubliceerd. Deel 2 is bijna gereed voor eindstemming; deel 3 is in ontwikkeling. Na harmonisering door de Europese Commissie worden deel 2 en deel 3 juridisch bindend als invulling van artikel 33 Data Act. Verwachte tijdlijn: 2026-2027.

Geldt artikel 33 ook voor ons, als we ons geen dataspace noemen? Waarschijnlijk wel: de definitie van "dataspace" in de Data Act is bewust breed. Elk initiatief waarbij organisaties data uitwisselen onder afgesproken voorwaarden kan eronder vallen. Het is verstandig dit te toetsen voordat de norm geharmoniseerd is.

Wat is het verschil tussen DSSC Toolbox-validatie en EN 18235-compliance? Dat zijn twee verschillende dingen. DSSC Toolbox-validatie is een architecturale toetsing door de DSSC aan het Blueprint, een erkenning. EN 18235 is een formele CEN/CENELEC-norm met juridische status onder de Data Act. Ze versterken elkaar; Toolbox-validatie bewijst aansluiting op het Europese blueprint-denken, EN 18235-compliance bewijst juridische interoperabiliteit.

Hoe toets je of je voldoet aan EN 18235? EN 18235 bevat per clausule niet alleen de eis, maar ook evaluatiecriteria: concrete toetspunten die beschrijven hoe je aantoont dat je aan die eis voldoet. Compliance werkt in de praktijk via zelfverklaring: je toetst je eigen systeem aan die criteria en legt dat vast. Handhaving van de Data Act ligt bij de nationale toezichthouder (in Nederland: de ACM), die bij een klacht of controle kan vragen dat bewijs te overleggen. Er is vooralsnog geen verplichte derde-partijcertificering voor EN 18235.

Hoe sluit NoodleBar aan op EN 18235? NoodleBar dekt de kernvereisten van artikel 33: datacatalogus (33-a en 33-b), policy engine en access logs (33-c). NoodleBar is als enige iSHARE-compliant oplossing met deze combinatie opgenomen in de DSSC Toolbox, getoetst aan Blueprint v3.0, het hoogste Technology Readiness Level (TRL-9). Geautomatiseerde contractonderhandeling (33-d) is een bewuste gap; Keyper's Approval flow is het menselijke equivalent.