Nederlandse Overheid vindt risico’s migratie naar Microsoft 365 aanvaardbaar

De Nederlandse overheid heeft een strategische keuze gemaakt om het grootste deel van haar werkplekken te migreren naar Microsoft 365. Dit betekent dat ambtenaren binnenkort massaal gebruik gaan maken van cloudgebaseerde toepassingen zoals Word, Excel, PowerPoint en Outlook. Hoewel de migratie naar deze platformen ongetwijfeld de productiviteit en samenwerking zal verbeteren, roept deze stap ook belangrijke vragen op over gegevenssoevereiniteit en beveiliging, vooral omdat alle documentatie en bestandsbeheer wordt verplaatst naar servers beheerd door Microsoft.

Een recent gepubliceerd rapport over het rijksbrede cloudbeleid legt enkele kritische aandachtspunten bloot. Eén van de opvallendste constateringen is dat de Amerikaanse Cloud Act als een “geaccepteerd risico” wordt beschouwd. Deze wet biedt Amerikaanse autoriteiten de mogelijkheid om toegang te eisen tot gegevens die worden beheerd door Amerikaanse technologiebedrijven, zelfs wanneer die gegevens zich buiten de Verenigde Staten bevinden. Dit houdt dus in dat er een reële kans bestaat dat Amerikaanse inlichtingendiensten toegang krijgen tot gevoelige informatie van de Nederlandse overheid. De vraag dringt zich op of dit risico werkelijk acceptabel is, zeker gezien de vertrouwelijke en soms staatsgevoelige aard van veel overheidsdata.

De keuze voor Microsoft 365 komt voort uit een beperkte beschikbaarheid van alternatieven. Hoewel Google Workspace technisch gezien een optie zou kunnen zijn, brengt ook deze keuze dezelfde zorgen met zich mee rond de Cloud Act. De enige andere haalbare optie zou het zelf beheren van software en data zijn, bijvoorbeeld door de licenties van Microsoft-producten te kopen en deze op eigen servers of die van een Nederlandse IT-leverancier te hosten. Dit zou echter aanzienlijke kosten met zich meebrengen en mogelijk nadelen hebben op het gebied van schaalbaarheid en flexibiliteit. Toch dringt de vraag zich op of dat geen prijs is die de overheid bereid zou moeten zijn te betalen om de nationale veiligheid beter te waarborgen.

Een ander punt van zorg binnen het public cloudbeleid is het gebrek aan overzicht van het daadwerkelijke gebruik van clouddiensten binnen de overheid. Momenteel opereren verschillende overheidsinstanties autonoom op het gebied van hun IT-beleid en cloudinvesteringen, wat betekent dat er geen centrale rapportage of inzicht is in hoeveel gebruik de overheid precies maakt van cloudaanbieders. Dit beleid wil daar verandering in brengen door voortaan rapportages te eisen aan de CIO Rijk, met als doel om het gebruik van cloudoplossingen centraal te monitoren en te beheren.

Door: Drifter