Nederlandse inbreng EU-cloudbeleid: ‘Definieer soevereine cloud’
De Nederlandse overheid levert input voor twee aangekondigde voorstellen van de Europese Commissie over het cloudbeleid van de EU. Nederland wil dat de Commissie initiatieven stimuleert die overheidsdiensten helpen om te migreren naar soevereine cloudoplossingen in de hele EU.
Cloudbeleid
Het gaat om het voorstel voor een EU-cloudbeleid (EU-wide cloud policy for public administrations and procurement) en de toekomstige verordening voor Cloud en AI-ontwikkeling (Cloud and AI development Act), die binnen zeven jaar moet gaan zorgen voor drie keer zoveel datacentercapaciteit in de EU. Deze worden naar verwacht rond het einde van 2025 of begin 2026 verwacht.
Nederlandse inbreng
Tijdens en na het zomerreces zal de Europese Commissie invulling geven aan beide voorstellen. De Nederlandse inbreng bestaat uit een zogeheten non paper, ‘Strengthening cloud sovereignty of public administrations’. Het is een soort position paper, die ervoor moet zorgen dat de voorstellen aansluiten bij de Nederlandse behoeften.
‘Om grip te houden op onze data, moeten we als overheid investeren in digitale autonomie en een soevereine overheidscloud,’ zegt demissionair staatssecretaris Eddie van Marum (digitalisering, BBB). ‘Dat kunnen we niet alleen – samenwerking met Europa is daarbij essentieel.’
‘Met het EU non-paper roepen we de Europese Commissie op om initiatieven te steunen die overheden digitaal onafhankelijker maken. Dit sluit aan op de ambities uit de Nederlandse Digitaliseringsstrategie, die ik vorige week presenteerde.’
Geharmoniseerde aanpak nodig
De NDS kent zes prioriteiten, waaronder een Nederlandse soevereine overheidscloud. Het non paper bevat een oproep om lidstaten te ondersteunen door het ontwikkelen en gebruiken van soevereine cloudtechnologieën in de juiste richting te sturen. Volgens Nederland is er een meer geharmoniseerde aanpak nodig.
Zo roept het de EU op om het gebruik van open interoperabiliteitsstandaarden tussen verschillende clouddiensten kunnen ondersteunen. Dat helpt overheden om makkelijker te switchen tussen leveranciers.
Strategisch
De Europese Commissie is van plan om een aantal use cases te benoemen waar extra aandacht en Europese financiering naartoe zal gaan. Nederlandstelt voor om het gebruik van cloud door overheden tot een strategic (of een highly critical) use case te maken, vanwege de impact van digitale afhankelijkheid van cloudleveranciers en de gevoelige data die overheden gebruiken. Door het cloudgebruik door overheden als strategic use case aan te merken, maak je het voor bedrijven interessant(er) om zich op deze markt te storten. En dat is weer goed voor het concurrentievermogen van de EU-cloudsector.
Veiligheid
Vanwege de urgentie van het probleem stelt Nederland voor om eerst maatregelen te ontwikkelen voor het waarborgen van de nationale veiligheid in de lidstaten en daarna maatregelen te formuleren die de cloudsoevereiniteit in verschillende andere use cases zouden waarborgen. Er moet een Europees risico-gebaseerd afwegingskader komen voor het gebruik van private of publieke cloud.
‘Enorme grijze zone’
De rijksoverheid wil daarnaast dat er een eenduidige definitie voor cloudsoevereiniteit wordt opgesteld. Dit moet de ‘enorme grijze zone’ tussen wel- en niet-soevereine cloud ophelderen. Iedere cloudaanbieder heeft tegenwoordig wel een ‘soevereine cloud’ in de aanbieding, die bij nadere beschouwing vaak niet meer blijkt dan wat security-specialist Fleur van Leusden ‘vegan kipfilet’ noemt, naar analogie van een (echte) kipfilet waarop het label ‘vegan’ is geplakt.
Nederland doet zelf alvast een voorzet voor een definitie. Die is afkomstig uit de herziening van het Nederlandse Rijksbreed cloudbeleid, die naar verwachting verschijnt in het derde kwartaal van 2025. De definitie luidt: ‘Soevereine cloud moet worden beschouwd als een verzameling clouddiensten binnen een rechtsgebied die voldoet aan de eisen voor datalokalisatie en operationele autonomie. De soevereine cloud moet ervoor zorgen dat de data, activiteiten, infrastructuurcomponenten en technologie niet kunnen worden beïnvloed door andere rechtsgebieden en beschermd moeten worden tegen directe invloed of toegang door overheden uit derde landen.’
Lees ook:
