Cybersecurity-expert Bert Hubert plaatst op LinkedIn echter vraagtekens bij de keuze voor SAP. Volgens hem valt het Duitse bedrijf vanwege zijn omvangrijke belangen in de Verenigde Staten onder Amerikaanse afluister- en sanctiewetgeving.
Defensie gunt soevereine cloud aan SAP, maar Amerikaanse invloed blijft punt van zorg
Het ministerie van Defensie heeft een overeenkomst gesloten met de Duitse softwareleverancier SAP voor de ontwikkeling en exploitatie van een soevereine cloudomgeving. Daarmee wil Defensie de digitale weerbaarheid vergroten en meer zeggenschap krijgen over de eigen gegevens.
De overeenkomst heeft een looptijd van vijf jaar, met de mogelijkheid om deze met maximaal vijf jaar te verlengen. Defensie heeft het contract rechtstreeks aan SAP gegund, op basis van een uitzondering op de aanbestedingsregels voor defensie- en veiligheidsopdrachten. De nieuwe omgeving moet op 1 januari 2028 in gebruik worden genomen.
Defensie gebruikt SAP al geruime tijd voor bedrijfskritische processen, waaronder materieelbeheer, logistiek, financiën en operaties. De systemen draaien momenteel nog in een eigen IT-omgeving, maar worden straks als clouddienst aangeboden. De nieuwe infrastructuur wordt volledig in Nederland ingericht en fysiek afgeschermd van de reguliere publieke cloud van SAP. Alleen geautoriseerd en gescreend personeel krijgt toegang. SAP Nederland B.V. wordt de contractpartij en op de overeenkomst is Nederlands recht van toepassing.
Amerikaanse wetgeving
Staatssecretaris Derk Boswijk presenteert de overeenkomst als een belangrijke stap richting digitale autonomie. ‘Met een eigen cloud houdt Defensie zeggenschap over de eigen gegevensverwerking en de inrichting van de omgeving’, schrijft hij op LinkedIn.Door verschillende cloudtechnologieën naast elkaar te gebruiken, zou Defensie bovendien minder afhankelijk worden van één leverancier of infrastructuur.
Hubert betwijfelt of de keuze voor SAP daadwerkelijk de gewenste onafhankelijkheid oplevert. Volgens hem heeft het bedrijf dusdanig grote activiteiten, belangen en aandeelhouders in de Verenigde Staten dat het onder Amerikaanse afluister- en sanctiewetgeving valt. ‘SAP is zelfs het schoolvoorbeeld van hoe een statutair Europees bedrijf toch geheel onder US wetgeving valt’, stelt hij.
Eerder onderzoek
Hij verwijst naar een juridisch onderzoek dat advocatenkantoor Greenberg Traurig in 2022 uitvoerde in opdracht van het Nationaal Cyber Security Centrum (NCSC). Daaruit blijkt dat ook Europese cloudleveranciers onder bepaalde omstandigheden te maken kunnen krijgen met Amerikaanse wetgeving. Daarbij spelen onder meer de zakelijke activiteiten van de leverancier in de Verenigde Staten en de inrichting van de leveranciersketen een rol.
Het NCSC concludeert op basis van de onderzoeken dat buitenlandse juridische invloed niet volledig valt uit te sluiten. Tegelijkertijd benadrukt het centrum dat het risico dat de Amerikaanse overheid via de CLOUD Act toegang krijgt tot Europese gegevens in de praktijk klein werd geacht. Het onderzoek stelt niet specifiek vast dat SAP onder alle Amerikaanse surveillance- en sanctiewetten valt.
Afhankelijkheid blijft bestaan
Defensie erkent in de Kamerbrief dat de overstap naar een soevereine cloud de afhankelijkheid van SAP niet wegneemt. Het ministerie blijft voor de ontwikkeling en levering van de software in belangrijke mate aangewezen op het Duitse bedrijf. Om die afhankelijkheid te beheersen zijn afspraken gemaakt over de continuïteit van de dienstverlening, wijzigingen in de zeggenschap over SAP en de mogelijkheid om het contract gecontroleerd te beëindigen. Ook is een exitstrategie voorzien.
De nieuwe cloudomgeving kan in de toekomst mogelijk ook door andere overheidsorganisaties worden gebruikt. Daarvoor moeten zij vanwege de beveiliging wel zijn aangesloten op het Netherlands Armed Forces Integrated Network (NAFIN). Volgens Defensie vinden hierover al gesprekken plaats met verschillende departementen.
Plaats een reactie
U moet ingelogd zijn om een reactie te kunnen plaatsen.