De Nederlandse overheid is gevaarlijk afhankelijk van buitenlandse clouddiensten, constateert de Rekenkamer

De rijksoverheid is gevaarlijk afhankelijk geworden van buitenlandse cloudaanbieders. Een fors percentage van de data van ministeries staat inmiddels op servers van vooral Amerikaanse bedrijven. Daarmee heeft het Rijk Nederland onnodig kwetsbaar gemaakt, constateert de Rekenkamer in een uiterst kritisch rapport.

IT-functies die essentieel zijn voor het functioneren van de overheid draaien steeds vaker op gehuurde cloudruimte. Het gaat bijvoorbeeld om software voor belastinginning, het behandelen van visumaanvragen of het beheer van een database met medische beroepsbeoefenaren. In dat soort gevallen wordt dus via internet gebruikgemaakt van computers die elders staan. De Rekenkamer vond 126 voorbeelden van zulke cruciale functies. In meer dan de helft daarvan staan de data op servers van Microsoft, Google of Amazon. En in twee derde van die gevallen is niet vooraf bekeken of dit risico’s met zich meebrengt.

„Het is ondoordacht gebruik. Evident zijn er dan dus grote risico’s die we niet kennen”, concludeert Ewout Irrgang van de Rekenkamer. De Rekenkamer noemt als voorbeelden onvoldoende bescherming van persoonsgegevens, spionerende buitenlandse overheden en de kans dat beslissingen bij een buitenlands commercieel bedrijf gevolgen hebben voor de dienstverlening aan Nederlandse burgers. Bijvoorbeeld als het bedrijf besluit te stoppen met een applicatie, of als het failliet gaat.

In totaal stelde de Rekenkamer bij ministeries 1.588 verschillende gebruiken van clouddiensten vast, maar niet allemaal even belangrijk.

Het is ondoordacht gebruik. Evident zijn er dan dus grote risico’s die we niet kennen

Het is de optelsom van een geleidelijk proces. Tot 2016 was het ministeries verboden om Nederlandse data bij een externe partij te stallen. Vanaf dat jaar maakte ministerie na ministerie eigen beleid en verschoof het. De ict-beheerders van de ministeries hadden het gevoel dat ze niet anders konden, schetst de Rekenkamer. Allerlei applicaties waarmee ze willen werken doen het tegenwoordig alleen nog maar op een commerciële cloud.

In 2022 kwam er daarom nieuw cloudbeleid voor de hele rijksoverheid, waarbij het gebruik van commerciële cloudruimte onder voorwaarden werd toegestaan. Maar dat was dus eigenlijk al mosterd na de maaltijd.

De zorgen over die sluipende ontwikkeling groeien bij politici, blijkt onder meer in de Tweede Kamer. Want uit de optelsom van alle individuele uitbestedingen blijkt hoe groot de Nederlandse afhankelijkheid van buitenlandse clouddiensten inmiddels is geworden. En dat verhoudt zich slecht met het Nederlandse streven naar digitale soevereiniteit. Kán de overheid nog wel kiezen voor andere opties en bestaan er serieuze Europese alternatieven?

Donkere wolken

De urgentie van die vraag bleek in 2024 ook al uit een rapport van de rijksauditdienst, die bestedingen controleert, en een studie van Clingendael. Daar had dezelfde titel op gekund als die van het net verschenen Rekenkamerrapport: ‘Het Rijk in de cloud. Donkere wolken pakken zich samen’.

Door geopolitieke veranderingen „zijn we ons bewuster geworden van onze kwetsbaarheden”, zegt Irrgang. Hij noemt het risico op cyberaanvallen, door bijvoorbeeld China of Rusland. Maar ook dat Amerika tegenwoordig een minder vanzelfsprekende bondgenoot is. Die bovendien wetgeving heeft waardoor Amerikaanse inlichtingendiensten toegang tot data op servers van Amerikaanse bedrijven kunnen eisen. Daarbij maakt het geen verschil of het datacentrum in Middenmeer staat of in bijvoorbeeld Ohio.

De Clingendael-onderzoekers trekken de vergelijking met hardware uit China. Aanvankelijk vond niemand het een probleem dat de telecom in Nederland draaide op technologie van Huawei. Rond 2020 veranderde dat, onder meer uit angst voor spionage. Sindsdien wordt bewust steeds minder van Huawei gekocht. Zo kan het ook gaan met de afhankelijkheid van niet-Europese clouddiensten, schetsten de Clingendael onderzoekers.

Maar dan moeten er wel alternatieven zijn voor het aanbod van de kleine groep Amerikaanse bedrijven die de markt domineert. Al was het maar omdat die bedrijven hun tarieven kunnen verhogen of kunnen besluiten met bepaalde softwarefuncties te stoppen. En dat is een probleem.

Kip-ei-verhaal

Illustratief is wat in Brussel gebeurt. De Europese Commissie (EC) is op de vingers getikt door de Europese databeschermingsautoriteit EDPS over haar gebruik van Microsoft365. De gegevensbescherming is daarbij niet op orde. De EC zegt best anders te willen, maar er vooralsnog niet in te zijn geslaagd een serieus alternatief te vinden.

Het is een kip-ei-verhaal dat Europese softwarebedrijven frustreert. Overheden zijn de grootste IT-afnemers. Dat zij steeds kiezen voor de Amerikaanse marktleiders maakt het voor kleinere bedrijven lastig uit te groeien tot een echte concurrent.

Een van de aanbevelingen van de Rekenkamer is dat de ministeries bij aanbestedingen beter samen optrekken. En de regering zou lijsten moeten maken met wat absoluut niét naar een commerciële cloud mag, zoals het beheer van kritieke infrastructuur en basisregistraties van persoonsgegevens. Nu mag dat onder voorwaarden wel en gebeurt het ook. Irrgang: „Wij vragen ons af of je dat wel moet willen, maar die beslissing hoort bij de politiek.”

Kiezen om diensten niet in clouds onder te brengen kan ook nadelen hebben. Dan heb je bijvoorbeeld niet automatisch de laatste beveiligingsupdate of softwaresnufje. „Het is steeds een afweging tussen gebruikersgemak en veiligheid. Bij de overheid is veiligheid extra belangrijk, omdat met vertrouwelijke gegevens van burgers wordt gewerkt”, zegt Irrgang. „Daar moeten ze wellicht in de toekomst accepteren dat het gebruikersgemak wat minder is.”

Delen





Mail de redactie