De rijksoverheid gaat strengere eisen stellen aan het gebruik van clouddiensten. Overheidsorganisaties die systemen en gegevens in de cloud onderbrengen, moeten voortaan beschikken over een uitgebreid exitplan. Daarin moet niet alleen staan hoe een overstap naar een andere leverancier verloopt, maar ook hoe de organisatie blijft functioneren wanneer een clouddienst onverwacht uitvalt of niet langer beschikbaar is.
De aanscherping is opvallend, omdat Nederlandse overheidsorganisaties de afgelopen jaren juist steeds afhankelijker zijn geworden van grote buitenlandse technologiebedrijven. Vooral Amerikaanse aanbieders spelen een dominante rol. Het kabinet lijkt nu nadrukkelijker te erkennen dat die afhankelijkheid niet alleen een technisch, maar ook een geopolitiek en bestuurlijk risico vormt.
Wat als de cloud morgen wegvalt?
Tot nu toe richtte een exitplan zich vooral op het einde van een contract. Organisaties moesten vastleggen hoe gegevens konden worden teruggehaald, overgedragen of vernietigd.
Het nieuwe beleid gaat verder. Overheidsorganisaties moeten vooraf inzichtelijk maken hoeveel tijd, geld, personeel en technische capaciteit nodig zijn om een cloudomgeving daadwerkelijk te verlaten. Ook moet duidelijk zijn welke alternatieven beschikbaar zijn.
Belangrijker nog: organisaties moeten beschrijven wat er gebeurt wanneer een cloudplatform plotseling uitvalt. Kunnen essentiële processen doorgaan? Zijn belangrijke gegevens elders beschikbaar? En hoe lang kan een organisatie functioneren zonder toegang tot de betreffende leverancier?
Dat klinkt vanzelfsprekend, maar veel organisaties hebben hun digitale processen inmiddels zo sterk verweven met één cloudplatform dat overstappen in de praktijk bijzonder ingewikkeld en kostbaar kan zijn.
Afhankelijkheid van Amerikaanse leveranciers
Grote delen van de wereldwijde cloudmarkt zijn in handen van Amerikaanse technologiebedrijven zoals Microsoft, Amazon Web Services en Google Cloud. Hun diensten bieden schaal, innovatie en vaak een hoog technisch beveiligingsniveau, maar de dominante positie roept steeds meer vragen op.
Europese overheden en bedrijven kunnen daardoor afhankelijk worden van ondernemingen die onder Amerikaanse wetgeving vallen. Dat risico verdwijnt niet automatisch wanneer gegevens fysiek in een Europees datacenter staan.
Juist tegen de achtergrond van geopolitieke spanningen wordt digitale autonomie daarom steeds belangrijker. Wat gebeurt er bij een internationaal conflict, een juridisch geschil, plotselinge sancties of ingrijpende wijzigingen in buitenlandse wetgeving?
Strengere eisen voor publieke cloud
Het kabinet stelt aanvullende voorwaarden aan publieke cloudomgevingen. Gegevens mogen alleen worden opgeslagen en verwerkt binnen landen van de Europese Economische Ruimte. Voor niet-openbare gegevens wordt versleuteling verplicht.
Voor kritieke en essentiële organisaties wordt bovendien afgeraden om primaire processen afhankelijk te maken van leveranciers die onder een rechtsgebied buiten Nederland of de EER vallen. Daarmee wil het kabinet de invloed van buitenlandse wetgeving op Nederlandse overheidsinformatie beperken.
Ook het gebruik van publieke cloudomgevingen voor e-mail en documentbeheer wordt afgeraden. Juist deze systemen bevatten enorme hoeveelheden informatie. Losse berichten of documenten lijken misschien onschuldig, maar gezamenlijk kunnen e-mails, agenda’s, contacten en interne stukken een zeer gedetailleerd beeld geven van het functioneren van een overheidsorganisatie.
Vier jaar voor aanpassing
Organisaties die nog niet aan de nieuwe eisen voldoen, krijgen in beginsel vier jaar de tijd om systemen en werkwijzen aan te passen. Lopende contracten met een langere looptijd mogen in bepaalde gevallen worden uitgediend.
Belangrijk cloudgebruik moet voortaan worden gemeld bij CIO Rijk, inclusief risicoanalyses en exitplannen. De uiteindelijke verantwoordelijkheid voor de risicoafweging blijft bij de betrokken bestuurder of bewindspersoon.
Daarnaast wil het kabinet samen met gemeenten, provincies en waterschappen werken aan een breder overheidsbeleid voor cloudgebruik.
Wat betekent dit voor HCC-leden?
De discussie is ook relevant voor consumenten, verenigingen en kleine ondernemingen. Steeds meer mensen bewaren hun foto’s, documenten, e-mail en agenda’s vrijwel volledig bij één online aanbieder.
Wie alle belangrijke gegevens uitsluitend in één cloudomgeving bewaart, heeft feitelijk een kwetsbare afhankelijkheid gecreëerd. Een storing, accountblokkade, prijswijziging of beëindiging van een dienst kan dan grote gevolgen hebben.
HCC-leden doen er daarom verstandig aan te controleren of belangrijke gegevens ook onafhankelijk beschikbaar zijn. Weet je hoe je bestanden kunt exporteren? Bestaat er een lokale of tweede back-up? Kun je e-mail en contacten meenemen? En is er een alternatief wanneer een dienst plotseling wegvalt?
Een persoonlijk exitplan hoeft geen uitgebreid document te zijn. Het belangrijkste is dat er daadwerkelijk een uitweg bestaat.
Standpunt van HCC: digitale autonomie verdient veel meer prioriteit
HCC vindt de aanscherping van het cloudbeleid noodzakelijk en ziet hierin ook een bredere waarschuwing. Nederland en Europa zijn de afgelopen jaren te afhankelijk geworden van een klein aantal Amerikaanse technologiebedrijven.
Dat betekent niet dat diensten van Amerikaanse cloudleveranciers per definitie onveilig of onbetrouwbaar zijn. Integendeel, zij behoren technisch vaak tot de meest geavanceerde aanbieders ter wereld. Maar technische kwaliteit is niet hetzelfde als digitale autonomie.
Wanneer e-mail, documenten, communicatie, gegevensopslag en essentiële processen grotendeels afhankelijk zijn van enkele buitenlandse ondernemingen, ontstaat een strategisch risico. Dat geldt voor de overheid, maar ook voor bedrijven, verenigingen en burgers.
HCC vindt daarom dat Nederland veel sterker moet investeren in Europese en open alternatieven. Open standaarden, interoperabiliteit en oplossingen zoals Nextcloud kunnen een belangrijkere rol spelen. Niet omdat iedere Amerikaanse dienst onmiddellijk moet verdwijnen, maar omdat echte keuzevrijheid alleen bestaat wanneer overstappen technisch en praktisch mogelijk is.
De kernvraag zou volgens HCC bij iedere belangrijke digitale voorziening moeten zijn: wat gebeurt er wanneer deze dienst morgen niet meer beschikbaar is? Wie daarop geen overtuigend antwoord heeft, beschikt misschien over moderne technologie, maar nog niet over voldoende digitale weerbaarheid.
