De Rijksoverheid scherpt haar cloudbeleid aan. Aanleiding is niet alleen de snelle groei van het gebruik van publieke clouddiensten, maar ook de toenemende zorg over digitale afhankelijkheid. De geopolitieke ontwikkelingen van de afgelopen jaren — waaronder het aantreden van de tweede regering-Trump — hebben duidelijk gemaakt hoe kwetsbaar publieke organisaties kunnen zijn wanneer essentiële systemen, gegevens en dienstverlening sterk afhankelijk zijn van Amerikaanse technologiebedrijven. De vorige versie van het cloudbeleid uit 2022 is hier te vinden.
In een brief aan de Tweede Kamer schrijft staatssecretaris Willemijn Aerdts van Digitale Economie en Soevereiniteit dat rijksorganisaties deze afhankelijkheid moeten verkleinen. Voor kritieke clouddiensten moet bovendien altijd een werkbare achtervang beschikbaar zijn, zodat de continuïteit van de publieke dienstverlening niet volledig afhankelijk is van één leverancier, één technisch ecosysteem of één buitenlandse jurisdictie.
Overheidsorganisaties krijgen vier jaar de tijd om de noodzakelijke aanpassingen door te voeren. Daarvoor is geen aanvullend budget beschikbaar. Dat maakt de opgave extra ingewikkeld: organisaties moeten niet alleen hun cloudgebruik opnieuw beoordelen, maar ook prioriteiten stellen, bestaande contracten heroverwegen en maatregelen inpassen binnen de beschikbare capaciteit en middelen.
De kern van de nieuwe koers is daarmee duidelijk: het gebruik van cloud blijft mogelijk, maar organisaties moeten veel beter kunnen aantonen:
- welke processen en gegevens in de cloud zijn ondergebracht;
- welke leveranciers en onderaannemers daarbij betrokken zijn;
- welke juridische, technische en geopolitieke afhankelijkheden bestaan;
- hoe de continuïteit is geregeld;
- welke alternatieven beschikbaar zijn wanneer een dienst wegvalt.
De centrale vraag is dus niet langer alleen:
Mogen we deze clouddienst gebruiken?
Maar vooral:
Hebben we aantoonbaar grip op onze data, leveranciers, afhankelijkheden en continuïteit?
Digitale soevereiniteit wordt een beheersvraagstuk
Digitale soevereiniteit klinkt soms als een abstract politiek begrip. In de praktijk gaat het om heel concrete vragen. Kan een organisatie zelfstandig beschikken over haar gegevens? Kan zij overstappen naar een andere leverancier? Zijn applicaties, data en koppelingen overdraagbaar? Weet zij welke buitenlandse wetgeving van toepassing kan zijn? En kan zij haar publieke taak blijven uitvoeren wanneer een leverancier uitvalt of de dienstverlening beperkt?
Daarmee raakt cloudbeleid veel meer dan alleen ICT. Het raakt ook:
- informatiebeveiliging;
- privacy;
- architectuur;
- inkoop en contractmanagement;
- bedrijfscontinuïteit;
- financieel beheer;
- gegevensmanagement;
- bestuurlijke verantwoordelijkheid.
Voor publieke organisaties betekent dit dat cloudbesluiten niet langer uitsluitend op basis van functionaliteit, prijs en implementatiesnelheid kunnen worden genomen. Ook afhankelijkheid, overdraagbaarheid en uitwijkmogelijkheden moeten vooraf worden meegewogen.
Niet iedere cloudtoepassing is even kritisch
Het aangescherpte beleid maakt nadrukkelijk onderscheid tussen regulier cloudgebruik en materieel cloudgebruik. Daarvan is sprake wanneer een clouddienst wordt gebruikt voor primaire processen, kerntaken of andere voorzieningen waarvan uitval grote gevolgen kan hebben.Een voorbeeld hiervan is een ziekenhuis dat zijn patiëntendossiers online opslaat in plaats van in een eigen archief. Als zo'n systeem stopt, kan de organisatie niet meer werken.
Voor materieel cloudgebruik is een integrale risicoanalyse nodig. Die analyse moet verder gaan dan een technische beveiligingscontrole. Er moet onder andere worden gekeken naar:
- de gevoeligheid van de verwerkte gegevens;
- de impact van uitval;
- toegang door de leverancier;
- gebruik van onderaannemers;
- toepasselijke buitenlandse wetgeving;
- concentratie- en leveranciersrisico’s;
- mogelijkheden om data terug te halen;
- technische en contractuele overdraagbaarheid;
- beschikbaarheid van alternatieven.
Juist de samenhang tussen deze onderdelen bepaalt het werkelijke risico. Een dienst kan technisch goed beveiligd zijn, maar toch een groot continuïteits- of afhankelijkheidsrisico vormen.
Extra aandacht voor e-mail, documenten en bijzondere persoonsgegevens
Een belangrijk onderdeel van de aangescherpte koers is de terughoudendheid rond e-mail- en documentvoorzieningen in de publieke cloud.
De gevoeligheid zit daarbij niet alleen in individuele berichten of documenten. De combinatie van grote hoeveelheden e-mail, bestanden, metadata, contactgegevens en gebruikersgedrag kan een zeer gedetailleerd beeld geven van het functioneren van een overheidsorganisatie. Daarnaast zijn deze voorzieningen vaak zo verweven met de dagelijkse bedrijfsvoering dat uitval onmiddellijk grote gevolgen heeft.
Ook bij de verwerking van bijzondere persoonsgegevens is extra terughoudendheid nodig. Wanneer publieke cloud toch noodzakelijk is, moet de organisatie aanvullende technische, organisatorische en juridische maatregelen nemen. Daarbij kan onder meer worden gedacht aan sterke versleuteling, gegevensminimalisatie, aanvullende toegangsbeveiliging en privacyverhogende technologie.
Dit betekent niet automatisch dat alle bestaande voorzieningen moeten worden beëindigd. Wel vraagt het om een hernieuwde en aantoonbare beoordeling van de gemaakte keuzes.
Van exitstrategie naar uitvoerbaar exitplan
Een van de belangrijkste aanscherpingen is de nadruk op een concreet en uitvoerbaar exitplan.
Veel organisaties hebben in contracten of beleidsstukken wel iets opgenomen over beëindiging of overdracht, maar een algemene exitstrategie is niet hetzelfde als een werkbaar plan. Voor kritieke clouddiensten moet vooraf duidelijk zijn wat er gebeurt wanneer:
- een contract afloopt;
- een leverancier stopt;
- de dienstverlening langdurig uitvalt;
- voorwaarden ingrijpend veranderen;
- gegevens niet meer toegankelijk zijn;
- geopolitieke of juridische omstandigheden wijzigen.
- Een bruikbaar exitplan bevat daarom ten minste informatie over:
- welke gegevens en functionaliteiten moeten worden overgebracht;
- in welke formaten data beschikbaar is;
- welke technische koppelingen moeten worden vervangen;
- welke alternatieve leveranciers of omgevingen beschikbaar zijn;
- hoeveel tijd, geld en expertise een migratie vraagt;
- welke verantwoordelijkheden zijn belegd;
- hoe back-ups en herstel zijn geregeld;
- hoe het plan wordt getest en geactualiseerd.
Een exitplan dat niet periodiek wordt beoordeeld of getest, biedt maar beperkte zekerheid. De nieuwe lijn vraagt daarom om een cyclische aanpak waarbij risicoanalyse, exitplan en besluitvorming regelmatig worden herzien.
Geen extra budget maakt prioritering noodzakelijk
De vierjarige overgangstermijn lijkt ruim, maar de omvang van de opgave is groot. Zeker omdat geen extra middelen beschikbaar worden gesteld.
Organisaties zullen daarom niet alle cloudvoorzieningen tegelijk kunnen onderzoeken, aanpassen of vervangen. Een risicogestuurde aanpak ligt voor de hand. Begin bijvoorbeeld met systemen die:
- primaire of wettelijke taken ondersteunen;
- gevoelige of bijzondere persoonsgegevens verwerken;
- sterk afhankelijk zijn van één leverancier;
- geen realistisch exitplan hebben;
- veel koppelingen met andere systemen kennen;
- moeilijk overdraagbare dataformaten gebruiken;
- binnenkort opnieuw worden aanbesteed.
Door risico, kriticiteit, contractmomenten en technische afhankelijkheid te combineren, ontstaat een uitvoerbare roadmap voor de komende vier jaar.
Centrale registratie is een noodzakelijke randvoorwaarde
Om het beleid uit te voeren, moet een organisatie eerst weten welke cloudvoorzieningen zij daadwerkelijk gebruikt. Dat klinkt vanzelfsprekend, maar in veel organisaties is die informatie verdeeld over meerdere bronnen:
- contractregisters;
- CMDB’s;
- architectuurdocumentatie;
- DPIA’s;
- verwerkersovereenkomsten;
- leveranciersdossiers;
- beveiligingsplannen;
- spreadsheets van afzonderlijke teams;
- administratie van inkoop of functioneel beheer.
- Daardoor ontbreekt vaak één betrouwbaar en actueel beeld.
- Een centraal cloud- en applicatieregister moet daarom minimaal antwoord geven op vragen als:
- Welke clouddiensten gebruiken we?
- Welke processen ondersteunen zij?
- Wie is eigenaar?
- Welke leverancier en onderaannemers zijn betrokken?
- Welke gegevens worden verwerkt?
- Waar worden deze gegevens opgeslagen?
- Welke jurisdicties zijn relevant?
- Is sprake van materieel cloudgebruik?
- Is een risicoanalyse uitgevoerd?
- Is een exitplan beschikbaar en getest?
- Wanneer verloopt het contract?
- Welke normen en maatregelen zijn van toepassing?
Zonder deze basis blijft rapportage arbeidsintensief en is bestuurlijke sturing grotendeels afhankelijk van losse documenten en individuele kennis.
De relatie met BIO2, NIS2 en ITGC
Het aangescherpte cloudbeleid staat niet op zichzelf. Veel van de vereisten sluiten aan bij bestaande en nieuwe normen voor informatiebeveiliging en beheersing.
Binnen BIO2 en NIS2 gaat het onder meer om:
- risicomanagement;
- leveranciersbeheersing;
- continuïteit;
- incidentmanagement;
- governance;
- aantoonbaarheid van maatregelen.
Ook ITGC en GITC stellen eisen aan de beheersing van wijzigingen, toegangsbeheer, continuïteit, leveranciers en technische omgevingen.
Het risico is dat organisaties voor ieder kader een afzonderlijke inventarisatie, controlelijst en rapportage maken. Daardoor ontstaat dubbel werk, terwijl dezelfde cloudvoorziening steeds opnieuw wordt beoordeeld.
Een geïntegreerde aanpak is efficiënter. Daarbij wordt één assetregister gebruikt waarin risico’s, maatregelen, bewijsstukken, uitzonderingen en lifecycle-informatie aan elkaar worden gekoppeld. Dezelfde informatie kan vervolgens voor verschillende normen en verantwoordingslijnen worden hergebruikt.
Wat publieke organisaties nu kunnen doen
De overgangsperiode van vier jaar vraagt om een planmatige aanpak. Een praktische eerste stap kan bestaan uit:
1. Inventariseer het cloudlandschap
Breng publieke cloud, private cloud, SaaS, PaaS en IaaS in beeld. Neem ook decentraal ingekochte diensten en kleinere applicaties mee.
2. Koppel voorzieningen aan processen en gegevens
Leg vast welke processen worden ondersteund, welke gegevens worden verwerkt en wat de impact is wanneer een dienst uitvalt.
3. Classificeer risico en kriticiteit
Bepaal welke voorzieningen materieel, kritisch of hoog-risico zijn. Gebruik deze indeling om de volgorde van beoordeling te bepalen.
4. Beoordeel afhankelijkheden
Breng leveranciers, onderaannemers, technische koppelingen, gegevensformaten, contractuele beperkingen en buitenlandse jurisdicties in kaart.
5. Controleer risicoanalyses en exitplannen
Maak zichtbaar waar verplichte analyses en plannen ontbreken, verouderd zijn of onvoldoende concreet zijn.
6. Stel een vierjarige roadmap op
Combineer risico’s met contracteinddata, aanbestedingsmomenten, beschikbare capaciteit en technische vervangbaarheid.
7. Richt structurele monitoring in
Cloudgebruik verandert voortdurend. Zorg daarom dat wijzigingen, contractverlengingen, risicoanalyses en exitplannen onderdeel zijn van een vaste PDCA-cyclus.
Hoe Kea hierbij kan ondersteunen
Kea helpt publieke organisaties om cloudvoorzieningen, applicaties, websites, gegevensstromen en leveranciers vanuit één centraal register te beheren.
Binnen Kea kan per digitale voorziening onder meer worden vastgelegd:
- eigenaarschap;
- leverancier en onderaannemers;
- hosting- en cloudmodel;
- verwerkte gegevens;
- informatieprocessen en koppelingen;
- kriticiteit en risico;
- toepasselijke normen;
- uitgevoerde controles;
- bewijsstukken;
- contract- en lifecycle-informatie;
- risicoacceptaties en uitzonderingen;
- exitstrategie en exitplan;
- verantwoordelijke besluitvormers.
Slimme workers kunnen technische metadata verzamelen en controles periodiek herhalen. De compliancemodule maakt het mogelijk om eisen uit het cloudbeleid, BIO2, NIS2, ITGC en andere kaders aan dezelfde assets en maatregelen te koppelen.
Met lifecyclemanagement wordt vervolgens zichtbaar welke voorzieningen kunnen blijven, moeten verbeteren, vervangen moeten worden of moeten worden uitgefaseerd.
De compliant AI-assistent die Cilde ontwikkelt, kan deze informatie later helpen ontsluiten. Gebruikers kunnen dan bijvoorbeeld vragen:
- Welke kritieke cloudvoorzieningen hebben nog geen actueel exitplan?
- Welke applicaties zijn afhankelijk van Amerikaanse leveranciers?
- Waar worden bijzondere persoonsgegevens verwerkt?
- Welke contracten verlopen binnen twaalf maanden?
- Welke maatregelen ontbreken voor BIO2 en NIS2?
- Welke risico’s vragen bestuurlijke besluitvorming?
Zo wordt het nieuwe cloudbeleid niet vertaald naar een nieuwe verzameling spreadsheets, maar naar een doorlopend proces van registreren, beoordelen, besluiten en verbeteren.
Van cloudbeleid naar aantoonbare beheersing
Het aangescherpte cloudbeleid is geen verbod op publieke cloud. Het is vooral een oproep tot volwassen opdrachtgeverschap en aantoonbare regie.
Publieke organisaties moeten niet alleen kunnen uitleggen waarom zij voor een bepaalde clouddienst hebben gekozen. Zij moeten ook kunnen aantonen:
- welke risico’s zijn beoordeeld;
- welke afhankelijkheden zijn geaccepteerd;
- welke maatregelen zijn getroffen;
- welke alternatieven beschikbaar zijn;
- hoe continuïteit is geregeld;
- wie verantwoordelijk is;
- wanneer de keuze opnieuw wordt beoordeeld.
De combinatie van een beperkte overgangstermijn en het ontbreken van extra budget maakt inzicht en prioritering essentieel. Wie nu begint met het opbouwen van een betrouwbaar register en een risicogestuurde roadmap, voorkomt dat cloudsoevereiniteit over vier jaar alsnog een kostbare inhaaloperatie wordt.
Kea ondersteunt publieke organisaties om deze regie structureel in te richten: van assetregister en informatieproces tot compliance, lifecyclemanagement en bestuurlijke rapportage. Zo wordt cloudbeleid niet alleen vastgelegd, maar ook aantoonbaar uitgevoerd.
