Overheidsdiensten massaal afhankelijk van Amerikaanse cloud: 'Hoofd op hakblok gelegd'

Ministeries, gemeenten, De Nederlandse Bank, en de Eerste en Tweede Kamer, ze maken allemaal volop gebruik van de zogenoemde 'publieke' cloud. Dat is een gedeelde, online infrastructuur die in de praktijk vooral geleverd wordt door drie grote commerciële bedrijven uit Amerika: Microsoft, Amazon en Google. Met name de kantoorsoftware van Microsoft is populair.

Ambtenaren mailen in Outlook, videovergaderen in Teams, en presenteren met Powerpoint. Veel bestanden worden opgeslagen en bewaard in de cloud. Dat geldt voor 100 procent van de gemeenten en steeds meer voor de rest van de overheid.



Deze clouddiensten zorgen weliswaar voor meer efficiëntie en minder beheer, en geven de mogelijkheid van online samenwerken en overal toegang hebben tot bestanden en applicaties. Maar het grootschalige gebruik van buitenlandse cloudaanbieders brengt ook grote risico's met zich mee. "Het gebruik van deze clouddiensten is individueel nog wel te begrijpen", zegt IT-expert en ondernemer Bert Hubert.

"Maar alles bij elkaar opgeteld, is het afgrijselijk. Als deze Amerikaanse partijen hun diensten vandaag zouden afsluiten, werkt hier geen ziekenhuis meer. Dan kan de Nederlandse overheid niet eens meer met zichzelf e-mailen.

Laat staan dat je online nog iets geheim kunt houden voor de Amerikanen." Zo'n beetje alle communicatie en bestandsverwerking van de overheid loopt via Amerikaanse servers. Dat deze servers (deels) in Nederlandse datacentra staan, garandeert volgens Hubert de beschikbaarheid en vertrouwelijkheid niet.

"Trump heeft de bevoegdheid om Amerikaanse bedrijven te dwingen om geen zaken meer te doen met bepaalde partijen. Bijvoorbeeld door te dreigen met financiële consequenties voor die bedrijven", zegt Hubert, die tussen 2003 en 2006 voor de inlichtingendienst AIVD werkte. "Dat feit op zich is al genoeg voor Nederland om rekening mee te houden in het Amerikabeleid.

We hebben ons hoofd op het hakblok van Amerika gelegd." Als recent voorbeeld noemt hij het Internationaal Strafhof (ICC) in Den Haag. Trump heeft begin februari per decreet sancties ingesteld tegen het ICC, dat gebruik maakt van Microsofts cloudplatform Azure en cloudsoftware van diens Amerikaanse partner RelativityOne.

Als Microsoft zich morgen terugtrekt uit de samenwerking met het ICC, vrezen juristen dat grote hoeveelheden digitaal bewijs en onderzoeksdata van het Strafhof in één klap verloren gaan. Volgens IT-experts wordt het steeds reëler dat de Amerikaanse regering techbedrijven inzet als geopolitiek wapen, zo zie je in deze video. Ook IT-functies die cruciaal zijn voor het functioneren van de Nederlandse overheid draaien op zulke ingehuurde clouddiensten.

De Algemene Rekenkamer is zeer kritisch op deze gang van zaken. "De rijksoverheid is ondoordacht gaan werken in de cloud en denkt onvoldoende na over de risico’s", concludeerde de Rekenkamer begin dit jaar in een vernietigend rapport . Het kabinet erkende na het rapport dat het cloudgebruik zorgelijk is, en dat verbetering nodig is.

Gegevens van burgers en bedrijven zijn 'onvoldoende beschermd en kunnen daardoor 'worden misbruikt door kwaadwillenden en statelijke actoren', schreef de Rekenkamer. "De mogelijke schade van verstoorde overheidsdienstverlening kan ons land en onze maatschappij ontwrichten." Ook zorgwekkend: het Rijk heeft beperkt zicht op wie precies welke clouddiensten gebruikt.

Het Centraal Planbureau (CPB) waarschuwde vorig najaar ook voor het gebrek aan alternatieve opties op cloudgebied. "Het is levensgevaarlijk", zegt Reijer Passchier, hoogleraar digitalisering aan de Open Universiteit. "Als Microsoft uitvalt, dan weten we niet wat er nog goed functioneert.

Dat geldt ook voor vitale infrastructuur, voor het transport van medicijnen en de Rotterdamse haven. En kan de trein dan wel rijden?" Passchier, die ook staatsrecht doceert aan de Universiteit Leiden, is een bekend criticus van de dominantie van de grote Amerikaanse techconcerns. "Hun software werkt heel soepeltjes en werd aanvankelijk heel goedkoop geleverd.

Maar er is vanuit de overheid nooit nagedacht over de strategische risico's. Dit nog los van een mogelijk conflict met de Amerikaanse regering, want deze clouddiensten kunnen ook gewoon uitvallen of gehackt worden. We hebben er geen invloed op.

" De noodzaak om ook digitaal meer op eigen benen te staan, lijkt intussen te zijn doorgedrongen tot Den Haag. Afgelopen maand werd de kwestie besproken door de commissie Digitale Zaken van de Tweede Kamer. "Er is onvoldoende regie geweest op het clouddossier", zegt staatssecretaris Zsolt Szabó (Digitalisering en Koninkrijksrelaties, PVV) tegen RTL Z.

"Een gezamenlijke aanpak voor belangrijke onderwerpen, zoals cloud, autonomie en weerbaarheid is noodzakelijk." Szabó zegt dat hij het beeld dat de Rekenkamer schetst 'herkent'. Zijn ambtenaren werken daarom aan een nieuw 'Rijksbreed cloudbeleid', dat naar verwachting in mei wordt gepresenteerd.

Dat moet de eerst stap vormen naar wat het ministerie de 'digitale soevereiniteit' van Nederland noemt. Oftewel zelf de controle hebben over digitale infrastructuur en gegevens. Iets wat stevige investeringen en ook de benodigde expertise zal vereisen.

IT-expert Hubert verwacht dat een volledige transitie naar een Nederlandse of Europese cloud zeker zo'n tien jaar duurt. "Wel kunnen we binnen een jaar al toe naar het op kleinere schaal e-mailen, videovergaderen en versturen van documenten op eigen servers. Zie het als een soort reddingsboot, mocht het toch misgaan met de Amerikanen.

".