Mijn schoondochter vraagt aan haar twee kinderen van 3 en 5: „Weten jullie dat papa een weekje weggaat met vakantie?” Ja zegt de oudste: „Samen met opa.”
De jongste wist het nog niet en wil weten waar mijn zoon en ik naar toe gaan. „Naar Curaçao” zegt mijn schoondochter.
„Hè”, zegt de oudste verbaasd: „Ik dacht dat ze naar de zon gingen.”
Lezers zijn de auteurs van deze rubriek. Een Ikje is een persoonlijke ervaring of anekdote in maximaal 120 woorden. Insturen via [email protected]
De rijksoverheid is gevaarlijk afhankelijk geworden van buitenlandse cloudaanbieders. Een fors percentage van de data van ministeries staat inmiddels op servers van vooral Amerikaanse bedrijven. Daarmee heeft het Rijk Nederland onnodig kwetsbaar gemaakt, constateert de Rekenkamer in een uiterst kritisch rapport.
IT-functies die essentieel zijn voor het functioneren van de overheid draaien steeds vaker op gehuurde cloudruimte. Het gaat bijvoorbeeld om software voor belastinginning, het behandelen van visumaanvragen of het beheer van een database met medische beroepsbeoefenaren. In dat soort gevallen wordt dus via internet gebruikgemaakt van computers die elders staan. De Rekenkamer vond 126 voorbeelden van zulke cruciale functies. In meer dan de helft daarvan staan de data op servers van Microsoft, Google of Amazon. En in twee derde van die gevallen is niet vooraf bekeken of dit risico’s met zich meebrengt.
„Het is ondoordacht gebruik. Evident zijn er dan dus grote risico’s die we niet kennen”, concludeert Ewout Irrgang van de Rekenkamer. De Rekenkamer noemt als voorbeelden onvoldoende bescherming van persoonsgegevens, spionerende buitenlandse overheden en de kans dat beslissingen bij een buitenlands commercieel bedrijf gevolgen hebben voor de dienstverlening aan Nederlandse burgers. Bijvoorbeeld als het bedrijf besluit te stoppen met een applicatie, of als het failliet gaat.
In totaal stelde de Rekenkamer bij ministeries 1.588 verschillende gebruiken van clouddiensten vast, maar niet allemaal even belangrijk.
Het is ondoordacht gebruik. Evident zijn er dan dus grote risico’s die we niet kennen
Het is de optelsom van een geleidelijk proces. Tot 2016 was het ministeries verboden om Nederlandse data bij een externe partij te stallen. Vanaf dat jaar maakte ministerie na ministerie eigen beleid en verschoof het. De ict-beheerders van de ministeries hadden het gevoel dat ze niet anders konden, schetst de Rekenkamer. Allerlei applicaties waarmee ze willen werken doen het tegenwoordig alleen nog maar op een commerciële cloud.
In 2022 kwam er daarom nieuw cloudbeleid voor de hele rijksoverheid, waarbij het gebruik van commerciële cloudruimte onder voorwaarden werd toegestaan. Maar dat was dus eigenlijk al mosterd na de maaltijd.
De zorgen over die sluipende ontwikkeling groeien bij politici, blijkt onder meer in de Tweede Kamer. Want uit de optelsom van alle individuele uitbestedingen blijkt hoe groot de Nederlandse afhankelijkheid van buitenlandse clouddiensten inmiddels is geworden. En dat verhoudt zich slecht met het Nederlandse streven naar digitale soevereiniteit. Kán de overheid nog wel kiezen voor andere opties en bestaan er serieuze Europese alternatieven?
De urgentie van die vraag bleek in 2024 ook al uit een rapport van de rijksauditdienst, die bestedingen controleert, en een studie van Clingendael. Daar had dezelfde titel op gekund als die van het net verschenen Rekenkamerrapport: ‘Het Rijk in de cloud. Donkere wolken pakken zich samen’.
Door geopolitieke veranderingen „zijn we ons bewuster geworden van onze kwetsbaarheden”, zegt Irrgang. Hij noemt het risico op cyberaanvallen, door bijvoorbeeld China of Rusland. Maar ook dat Amerika tegenwoordig een minder vanzelfsprekende bondgenoot is. Die bovendien wetgeving heeft waardoor Amerikaanse inlichtingendiensten toegang tot data op servers van Amerikaanse bedrijven kunnen eisen. Daarbij maakt het geen verschil of het datacentrum in Middenmeer staat of in bijvoorbeeld Ohio.
De Clingendael-onderzoekers trekken de vergelijking met hardware uit China. Aanvankelijk vond niemand het een probleem dat de telecom in Nederland draaide op technologie van Huawei. Rond 2020 veranderde dat, onder meer uit angst voor spionage. Sindsdien wordt bewust steeds minder van Huawei gekocht. Zo kan het ook gaan met de afhankelijkheid van niet-Europese clouddiensten, schetsten de Clingendael onderzoekers.
Maar dan moeten er wel alternatieven zijn voor het aanbod van de kleine groep Amerikaanse bedrijven die de markt domineert. Al was het maar omdat die bedrijven hun tarieven kunnen verhogen of kunnen besluiten met bepaalde softwarefuncties te stoppen. En dat is een probleem.
Illustratief is wat in Brussel gebeurt. De Europese Commissie (EC) is op de vingers getikt door de Europese databeschermingsautoriteit EDPS over haar gebruik van Microsoft365. De gegevensbescherming is daarbij niet op orde. De EC zegt best anders te willen, maar er vooralsnog niet in te zijn geslaagd een serieus alternatief te vinden.
Het is een kip-ei-verhaal dat Europese softwarebedrijven frustreert. Overheden zijn de grootste IT-afnemers. Dat zij steeds kiezen voor de Amerikaanse marktleiders maakt het voor kleinere bedrijven lastig uit te groeien tot een echte concurrent.
Een van de aanbevelingen van de Rekenkamer is dat de ministeries bij aanbestedingen beter samen optrekken. En de regering zou lijsten moeten maken met wat absoluut niét naar een commerciële cloud mag, zoals het beheer van kritieke infrastructuur en basisregistraties van persoonsgegevens. Nu mag dat onder voorwaarden wel en gebeurt het ook. Irrgang: „Wij vragen ons af of je dat wel moet willen, maar die beslissing hoort bij de politiek.”
Kiezen om diensten niet in clouds onder te brengen kan ook nadelen hebben. Dan heb je bijvoorbeeld niet automatisch de laatste beveiligingsupdate of softwaresnufje. „Het is steeds een afweging tussen gebruikersgemak en veiligheid. Bij de overheid is veiligheid extra belangrijk, omdat met vertrouwelijke gegevens van burgers wordt gewerkt”, zegt Irrgang. „Daar moeten ze wellicht in de toekomst accepteren dat het gebruikersgemak wat minder is.”
De meeste wetenschappers willen graag dat hun artikelen en rapporten worden geciteerd in andere wetenschappelijke publicaties. Het verhoogt hun citatiescore (H-index) en draagt daardoor bij aan hun prestige en hun kansen op het verwerven van onderzoeksgeld.
Twee Spaanse wetenschappers willen echter dat hun naam wordt verwijderd uit een recent verschenen overzichtsartikel in het tijdschrift Plant & Soil. Ze hebben dat laten weten aan Ken Giller, emeritus-hoogleraar plantaardige productiesystemen van Wageningen UR en eerste auteur van het artikel.
Met zijn mede-auteurs stelde hij vast dat er – ondanks een halve eeuw aan onderzoek – geen bewijs is dat niet-vlinderbloemigen zoals maïs, tarwe en aardappelen stikstof uit de lucht vast kunnen leggen in een vorm die het gewas kan opnemen. NRC berichtte vorige maand nog uitgebreid over die controverse, waarin de wetenschappers tegenover de agro-industrie kwamen te staan.
Een van de bedrijven die volhouden dat het mogelijk is stikstofbinding naar andere gewassen te brengen, is de Amerikaanse agromultinational Corteva Agriscience. Zij brengen sinds twee jaar BlueN op de markt, een bacteriepreparaat waarmee substantiële hoeveelheden stikstof zouden worden vastgelegd. Dat is echter hoogst onwaarschijnlijk, omdat de betreffende bacterie niet over de erfelijke eigenschappen (nif-genen) beschikt die daarvoor nodig zijn. Desondanks liet Corteva eerder aan NRC weten dat het meerdere studies heeft uitgevoerd die hun claim bevestigen.
Een van die studies is een rapport dat geschreven zou zijn door Miguel Quemada, hoogleraar agronomie aan de Universidad Politècnica de Madrid en zijn toenmalige promovendus Maria Alonso-Ayuso. Het gaat om een verslag uit december 2020 van een veldproef en een reeks aanvullende experimenten, die in dat jaar zijn uitgevoerd in samenwerking met het Spaanse biotech-bedrijf Syborg. Dat bedrijf is begin 2023 overgenomen door Corteva, mede omdat het Amerikaanse bedrijf graag BlueN aan zijn productportfolio wilde toevoegen. Iets te graag misschien.
Via de mail laat Miguel Quemada weten dat hij en zijn promovendus dat rapport niet hebben geschreven. „Afgezien van het feit dat al ons verslagen indertijd in het Spaans zijn geschreven, worden ook onze conclusies niet correct weergegeven in het Engelstalige rapport. We hebben dr. Giller daarom gevraagd om de verwijzing naar het rapport te verwijderen.”
Het samenwerkingsproject met Syborg duurde tot eind 2021. In het kader daarvan zijn meerdere experimenten gedaan en ook meer onderzoeksverslagen geschreven. Quemada kan er verder niet zoveel over zeggen, omdat hij de resultaten van het onderzoek niet mag publiceren zonder toestemming van de opdrachtgever. Wel zegt hij dat ook zij toen al tot de conclusie kwamen dat de bacterie in BlueN de noodzakelijke genen voor biologische stikstofbinding mist.
Gevraagd om een reactie laat de woordvoerder van Corteva weten dat hij daar „asap” op terug zal komen, maar op het moment van schrijven had hij dat nog niet gedaan.
Een „uitzonderlijke situatie”, schreef burgemeester Carola Schouten van Rotterdam dinsdag in een brief aan de gemeenteraad over vijf explosies voor hetzelfde huis in Rotterdam-Noord. Het is de woning van een gemeentelijke topambtenaar van de directie Veiligheid, schreef Schouten, die het pand voor de tweede keer in één maand sloot.
De betreffende topambtenaar is de radicaliseringsambtenaar over wie NRC vorige week berichtte. Drie Marokkaanse Nederlanders die door de gemeente Rotterdam werden betaald om radicalisering te bestrijden, hebben jarenlang die subsidies weggesluisd en geïnvesteerd in een kaasfabriek in Marokko. De radicaliseringsambtenaar verstrekte privé een lening aan een van deze mannen voor die fabriek. Vorige maand rondde het OM de zaak af door de drie mannen een strafbeschikking te geven. Of deze kwestie gerelateerd is aan de ontploffingen, is onbekend.
De afdeling Veiligheid, waar de topambtenaar sinds 2015 werkt, probeert onder meer ondermijnende criminaliteit te bestrijden en extremisme te voorkomen. De ambtenaar fungeert in zijn rol als de oren en ogen van de burgemeester in de moslimgemeenschap, komt in alle moskeeën en ontvangt regelmatig tips over radicalisering.
„Vanzelfsprekend kunt u ervan uitgaan dat uiterst zorgvuldig wordt afgewogen wat de risico’s zijn van de mogelijke nabijheid van het criminele circuit bij een gemeentelijke medewerker”, schrijft Schouten dinsdag in de brief naar de gemeenteraad.
Sinds augustus vorig jaar vonden er vijf explosies plaats voor de woning van de Rotterdamse topambtenaar. Twee explosies gingen af in de eerste twee weken van dit jaar – de laatste op 7 januari. Niemand raakte gewond, maar het gebouw liep wel veel schade op. De burgemeester laat weten „passende maatregelen” te hebben genomen. Zo zijn er camera’s opgehangen en rijden agenten regelmatig langs.
In 2024 vonden in Nederland meer dan 1.100 explosies plaats, voornamelijk in Rotterdamse en Amsterdamse woonwijken.
De drie vervolgde deradicaliseringsmedewerkers van de gemeente Rotterdam hadden zowel een stichting waarmee ze trainingen verzorgden voor Marokkaans-Nederlandse ouders over het behoeden van hun kinderen voor extremisme, als een kaasfabriek in Marokko. In 2018 maakte het OM bekend dat het een grootschalige subsidiefraude op het spoor was. Daarin werd ook de topambtenaar gehoord. Die zei dat de lening een vriendendienst was en dat hij er „op geen enkele wijze bij betrokken” was.
Ook Aboutaleb nam het voor de ambtenaar op, die er volgens de oud-burgemeester „helemaal niets mee te maken” had. De grootste coalitiepartij, Leefbaar Rotterdam, eist nog altijd opheldering over het „ondoorzichtige subsidienetwerk” van de gemeente en de rol van de radicaliseringsambtenaar. Critici vinden dat de ambtenaar op zijn minst een melding had moeten maken.
Lees ook
Hoe in Marokko een kaasfabriek werd opgezet met Nederlandse subsidies voor deradicalisering: ‘Het lijkt één grote misleiding’
Met medewerking van Andreas Kouwenhoven.
