Overheidsinstellingen moeten een exitplan maken voor hun cloud

Overheden in Nederland moeten beter nadenken over met wie ze in zee gaan wanneer ze een nieuwe clouddienst in gebruik nemen, is te lezen in nieuwe regels van de Rijksoverheid.  Het is belangrijk dat er wordt nagedacht over wat te doen als er een clouddienst uitvalt. 

Dit nieuwe beleid heeft te maken met hoe de Nederlandse overheid minder afhankelijk wil zijn van Amerikaanse clouddiensten. Daarom moeten overheidsinstellingen in hun besluit om voor een bepaalde clouddienst kiezen meenemen wat de geopolitieke risico’s zijn. Ook moet er een exitplan liggen, zo is te lezen in de herziene versie van het Rijksbreed cloudbeleid voor 2026. Het komt van Willemijn Aerdts, staatssecretaris van Digitale Economie en Soevereiniteit. 

Exit-strategie voor clouddiensten

Ze schrijft: “De huidige exit-strategieën hebben vaak vooral betrekking op de eis dat een cloudleverancier bij een exit de data overhandigt en, na vertrek, deze zal vernietigen. In het herziene beleid wordt nu ook het opstellen van een meer gedetailleerd exitplan verplicht. Dit plan moet zowel betrekking hebben op een reguliere en geplande exit alsook op een situatie waarbij de clouddienst op korte termijn niet meer beschikbaar is of al uitgevallen is.”

Vooral moet de overheid van kwetsbaar naar weerbaar gaan als het om zijn cloudstrategie gaat, stelt de staatssecretaris. Er wordt aangegeven dat overheden niet van één leverancier afhankelijk moeten zijn. Ook wordt er aangeraden om liever een Europees of Nederlands alternatief te gebruiken dan een leverancier van een andere jurisdictie. Dan moet dat er echter wel zijn: de Belastingdienst heeft recent nog laten weten dat geen alternatief uit Europa kan vinden voor Microsoft 365. 

Vitale infrastructuur

Uiteindelijk is het echter de bedoeling dat de vitale infrastructuur wordt ondersteund door Europese bedrijven. Het is geen must, maar het wordt geadviseerd. De regels gelden voor alle overheidsinstellingen van de Rijksoverheid. Alleen niet voor Defensie, de Algemene Rekenkamer, de Eerste en Tweede kamer en andere Hoge Colleges van Staat. Instellingen hebben 4 jaar om voor deze overgang te zorgen, maar krijgen er niet meer geld voor.