Strengere regels voor het gebruik van clouddiensten door de Rijksoverheid

> Dit bericht is automatisch samengevat op basis van de officiële publicatie. De redactie werkt nog aan een uitgebreide duiding.

Het kabinet scherpt het Rijkscloudbeleid aan om de digitale soevereiniteit van de Rijksoverheid te vergroten. Rijksorganisaties moeten bij het gebruik van publieke clouddiensten voortaan rekening houden met geopolitieke risico's en afhankelijkheid van één leverancier. Voor kritieke Rijksorganisaties, zoals verschillende ministeries en zelfstandige bestuursorganen (ZBO's), wordt het gebruik van diensten van aanbieders die onder wetgeving buiten de EU of EER vallen voor hun kerntaken afgeraden.

Voor e- mail en documentbeheer raadt het kabinet publieke clouddiensten helemaal af. Met clouddiensten kunnen organisaties online bestanden opslaan, applicaties draaien of grote hoeveelheden gegevens verwerken op servers van cloudleveranciers in plaats van op eigen computers of datacenters. Dat biedt veel voordelen, maar brengt ook risico's met zich mee.

Die risico's verschillen per clouddienst, organisatie en dienstverlening waarvoor de clouddienst wordt gebruikt. Om ervoor te zorgen dat overheidsdiensten veilig zijn en beschikbaar blijven, moeten Rijksorganisaties voldoen aan de voorwaarden van het Rijkscloudbeleid. Organisaties binnen de Rijksoverheid die gebruikmaken van een publieke clouddienst, moeten vooraf een cloudstrategie opstellen.

Daarin leggen zij vast waarom zij voor een publieke clouddienst kiezen, welke risico's daarbij horen en hoe zij die beperken. Het gaat onder meer om een afhankelijkheid van één leverancier en het risico dat een leverancier geheel of gedeeltelijk onder wetgeving buiten de EU of de Europese Economische Ruimte (EER) valt. Voor organisaties die in de toekomst onder de wet voor kritieke entiteiten vallen, zoals meerdere ministeries en zelfstandige bestuursorganen (ZBO's), wegen deze risico's extra zwaar.

Daarom gelden voor hen aanvullende afspraken binnen het Rijkscloudbeleid en wordt het gebruik van diensten van aanbieders die onder wetgeving buiten de EU of EER vallen voor hun kerntaken afgeraden. Bij het gebruik van belangrijke clouddiensten moeten organisaties ook een exitplan opstellen. Daarin staat welke maatregelen zij treffen om de dienstverlening voort te zetten als een

clouddienst (plotseling) uitvalt.

Bron: Rijksoverheid Financien.