Nieuw Rijkscloudbeleid: strengere regels voor clouddiensten

Digitale soevereiniteit als speerpunt van het nieuwe cloudbeleid

Het kabinet trekt de teugels aan rond het gebruik van clouddiensten binnen de Rijksoverheid. Met het aangescherpte Rijkscloudbeleid moeten rijksorganisaties vanaf nu bewust stilstaan bij geopolitieke risico’s en bij de afhankelijkheid van één cloudleverancier. Voor kritieke onderdelen van de overheid, denk aan ministeries en zelfstandige bestuursorganen (ZBO’s), geldt een duidelijk advies: gebruik voor je kerntaken geen diensten van aanbieders die onder wetgeving buiten de EU of de Europese Economische Ruimte (EER) vallen.

Clouddiensten zijn inmiddels onmisbaar binnen de publieke sector. Organisaties zetten ze in om bestanden op te slaan, applicaties te draaien of grote datastromen te verwerken op servers van externe leveranciers, in plaats van op eigen infrastructuur. Dat levert flexibiliteit en schaalvoordeel op, maar brengt ook kwetsbaarheden met zich mee. Hoe groot die kwetsbaarheden zijn, hangt af van het type dienst, de organisatie en het doel waarvoor de cloud wordt ingezet. Om de continuïteit en veiligheid van overheidsdienstverlening te waarborgen, moeten rijksorganisaties zich houden aan de voorwaarden uit het Rijkscloudbeleid.

Staatssecretaris Aerdts (Digitale Economie en Soevereiniteit) verwoordt de kern van de aanscherping als volgt: “Digitale soevereiniteit betekent keuzes kunnen maken. Kiezen voor een andere leverancier wanneer dat nodig is. Kiezen wie toegang heeft tot onze gegevens en wie niet. En kiezen voor dienstverlening die ook in lastige situaties betrouwbaar en beschikbaar blijft. Met het nieuwe Rijkscloudbeleid verminderen we onze afhankelijkheden en vergroten we onze keuzevrijheid.”

Verplichte cloudstrategie en exitplan voor rijksorganisaties

Rijksorganisaties die publieke clouddiensten gebruiken, moeten voortaan vooraf een cloudstrategie opstellen. In dat document motiveren zij hun keuze voor een publieke clouddienst, benoemen ze de risico’s die daarbij spelen en beschrijven ze hoe ze die risico’s beheersen. Twee risico’s staan daarbij centraal: afhankelijkheid van één leverancier, en de kans dat een leverancier geheel of gedeeltelijk onder wetgeving buiten de EU of EER opereert.

Voor organisaties die in de toekomst vallen onder de wet voor kritieke entiteiten, waaronder meerdere ministeries en ZBO’s, tellen deze risico’s zwaarder mee. Voor hen gelden binnen het Rijkscloudbeleid extra afspraken, en het advies is helder: vermijd voor kerntaken diensten van aanbieders die onder wetgeving buiten de EU of EER vallen.

Naast een cloudstrategie is bij belangrijke clouddiensten ook een exitplan verplicht. Daarin leggen organisaties vast welke stappen zij zetten als een clouddienst uitvalt, plotseling of niet, om de dienstverlening toch overeind te houden. Denk aan overstappen naar een andere leverancier of het zelfstandig voortzetten van de dienstverlening.

E-mail en basisregistraties verdwijnen uit de publieke cloud

E-mail- en documentdiensten krijgen in het nieuwe Rijkscloudbeleid het label nationaal belang. Dat betekent dat rijksorganisaties wordt afgeraden deze diensten via een publieke cloud te laten lopen. Dezelfde lijn geldt voor brondata uit basisregistraties, zoals de Basisregistratie Personen en de Basisregistratie Kadaster: die mogen niet in een publieke cloud worden beheerd.

De achterliggende gedachte is simpel: juist deze gegevens moeten onder alle omstandigheden veilig en beschikbaar blijven, voor burgers, bedrijven en overheden zelf. Door e-mail, documentbeheer en basisregistraties buiten de publieke cloud te houden, beperkt het kabinet de risico’s op ongewenste toegang of uitval bij cruciale overheidsinformatie.

Op weg naar een overheidsbreed cloudbeleid

Rijksorganisaties krijgen vier jaar de tijd om hun bestaande clouddiensten in lijn te brengen met het nieuwe beleid. Bij complexe situaties, of wanneer hoge kosten, risico’s of desinvesteringen dreigen, kan die termijn worden verlengd. Het aangescherpte Rijkscloudbeleid geldt voor alle organisaties binnen de Rijksoverheid. Alleen het ministerie van Defensie en de hoge colleges van staat, waaronder de Eerste en Tweede Kamer, vallen buiten dit beleid.

Staatssecretaris Aerdts gaat de komende periode met de medeoverheden in gesprek om te werken aan een overheidsbreed cloudbeleid, dat verder gaat dan alleen de Rijksoverheid. Voor beleidsmedewerkers, IT-specialisten en juristen die zich bezighouden met digitale infrastructuur binnen gemeenten, provincies of waterschappen, is dit een dossier om te blijven volgen. Wil je op de hoogte blijven van dit soort beleidsontwikkelingen, dan kun je meer kennis en inspiratie over de publieke sector raadplegen, of meer lezen over Ambtenaar.Online. Voor professionals die aan de slag willen met vraagstukken rond digitale soevereiniteit en cloudbeleid, biedt het vacatureoverzicht van de rijksoverheid een goed startpunt.

Bron: Rijksoverheid.nl, Strengere regels voor het gebruik van clouddiensten door de rijksoverheid.

Veelgestelde vragen

Wat is het Rijkscloudbeleid en waarom is het aangescherpt?

Het Rijkscloudbeleid regelt hoe rijksorganisaties clouddiensten mogen gebruiken. Het is aangescherpt om digitale soevereiniteit te vergroten: rijksorganisaties moeten bewust stilstaan bij geopolitieke risico’s en afhankelijkheid van één leverancier, vooral voor kritieke taken.

Welke clouddiensten mogen niet meer in de publieke cloud?

E-mail, documentdiensten en brondata uit basisregistraties (zoals de Basisregistratie Personen en Kadaster) krijgen het label ‘nationaal belang’ en mogen niet via publieke cloud worden beheerd. Dit waarborgt dat cruciale overheidsinformatie altijd veilig en beschikbaar blijft.

Wat moet een rijksorganisatie doen voordat zij een publieke clouddienst inzet?

Rijksorganisaties moeten een cloudstrategie opstellen waarin zij hun keuze motiveren, risico’s benoemen en beschrijven hoe zij die beheersen. Bij belangrijke diensten is ook een exitplan verplicht, dat aangeeft hoe de dienstverlening overeind blijft als de cloud uitvalt.

Welke aanbieders zijn toegestaan onder het nieuwe Rijkscloudbeleid?

Voor kritieke organisaties (ministeries en ZBO’s) geldt het advies: gebruik voor kerntaken geen diensten van aanbieders die onder wetgeving buiten de EU of Europese Economische Ruimte (EER) vallen. Dit beperkt geopolitieke risico’s.

Hoeveel tijd hebben rijksorganisaties om hun clouddiensten aan te passen?

Rijksorganisaties krijgen vier jaar om bestaande clouddiensten in lijn te brengen met het nieuwe beleid. Bij complexe situaties, hoge kosten of risico’s kan die termijn worden verlengd.