‘Het kabinet geeft de voorkeur aan een zo soeverein mogelijk ingerichte cloudomgeving die waar mogelijk wordt gehuisvest in de overheidsdatacenters (ODC’s) van het Rijk,’ schrijft staatssecretaris Van der Burg (Slagvaardige overheid) in een brief aan de Kamer over de laatste stand van zaken in de verkenning naar een soevereine overheidscloud. ‘Dat betekent dat de overheid zowel praktisch als juridisch beschikt over hardware, fysieke toegang en locatie.’
Kabinet kiest voor eigen soevereine overheidscloud: eerste applicaties kunnen eind dit jaar worden gehost
De Nederlandse overheid zet in op een soevereine overheidscloud onder centrale regie, blijkt uit een update van staatssecretaris Van der Burg. Uiterlijk eind dit jaar kunnen de eerste applicaties op de soevereine cloud worden gehost.
Eerste applicaties
De keuze is dus gevallen op het zoveel mogelijk in eigen handen hebben van cruciale data- en IT-systemen. Deze centrale regie sluit samenwerking met de markt overigens niet uit, zegt Van der Burg. ‘Inbreng van expertise vanuit de markt is noodzakelijk en de vorm die dat krijgt, zal in de komende maanden worden uitgewerkt.’ Hij zoekt nadrukkelijk de samenwerking. Naast partijen uit de markt worden ook onderwijs- en kennisinstellingen uitgenodigd om mee te bouwen aan het systeem.
‘Inbreng van expertise vanuit de markt is noodzakelijk’
Staatssecretaris Eric van der Burg
Er wordt nu een proof of concept gebouwd van de soevereine cloud. Bij positieve resultaten vindt vervolgens doorontwikkeling plaats naar een kleinschalige productieomgeving. En als dat allemaal goed verloopt, kunnen uiterlijk eind dit jaar al de eerste applicaties op de soevereine cloud worden gehost. Voor opschaling naar grootschalige productieomgevingen zal een sourcingtraject worden gestart. Daarbij worden naast overheidsorganisaties ook marktpartijen betrokken.
Niet langer houdbaar
Het kabinet erkent dat de huidige situatie op het gebied van cloudtechnologie niet langer houdbaar is. Het gaat hier vooral om de afhankelijkheid van veelal Amerikaanse clouddiensten. Het is al lange tijd een nadrukkelijke wens van de Kamercommissie Digitale Zaken. Er werden diverse moties ingediend ten faveure van een soevereine overheidscloud. In juni vorig jaar stelde de Tweede Kamer nog dat 30 procent van de overheidscloud op termijn Europees moet worden.
Van der Burg maakt nog wel een voorbehoud: het kostenplaatje
De plannen voor de soevereine overheidscloud ziet het kabinet als een sleutelproject binnen de Nederlandse Digitaliseringsstrategie. Het moet leiden tot meer autonomie, betere veiligheid en een sterkere positie van Nederland en Europa in de digitale wereld. ‘Om als overheid slagvaardig te kunnen blijven optreden in een veranderende geopolitieke context, is het essentieel om te beschikken over een soevereine overheidscloud,’ aldus Van der Burg in zijn recente brief.
Ingrijpende transitie
Hij maakt nog wel een voorbehoud: het kostenplaatje. ‘Een overheidsbrede soevereine clouddienst gaat alleen werken als voldoende overheidstaken er gebruik van maken en hun bestaande infrastructuurbudgetten inbrengen in de bekostiging van deze clouddienst.’
Het gaat om een ingrijpende transitie, aldus Van der Burg. ‘Zonder het vooraf financieren van de eenmalige opstartkosten van deze clouddienst wordt deze transitie veel complexer en gaat het langer duren.’ Hoe deze financiering precies van de grond komt, wordt in een volgende fase verder uitgewerkt.
Plaats een reactie
U moet ingelogd zijn om een reactie te kunnen plaatsen.
Mijn eerste reactie is: de richting is logisch, maar de uitvoering wordt allesbepalend. Er zitten een paar sterke punten in het plan, maar ook een aantal risico's die vaak worden onderschat.
Wat ik sterk vind:
Minder strategische afhankelijkheid. De Nederlandse overheid draait vandaag voor een aanzienlijk deel op Amerikaanse hyperscalers zoals Microsoft, Amazon en Google. Dat brengt risico's met zich mee:
geopolitieke spanningen;
buitenlandse wetgeving die invloed kan hebben op data;
beperkte onderhandelingspositie;
vendor lock-in.
Meer controle over kritieke infrastructuur is daarom een verdedigbare strategische keuze.
Soevereiniteit gaat verder dan data-opslag. Ik vind het positief dat Van der Burg niet alleen spreekt over "data in Nederland", maar ook over:
eigendom van hardware;
fysieke toegang;
beheer;
*centrale regie.
Dat is een veel completere definitie van digitale soevereiniteit.
Geen volledige afwijzing van de markt. Het idee om marktpartijen en kennisinstellingen te betrekken is verstandig. De overheid heeft simpelweg niet alle cloud expertise zelf in huis. Een volledig zelfgebouwde cloud zonder private expertise zou waarschijnlijk duurder en minder innovatief worden.
Waar ik kritisch op ben: "Eerste applicaties eind dit jaar" klinkt ambitieus.
Een proof of concept bouwen is relatief eenvoudig. Een productieplatform waarop ministeries veilig kunnen draaien is iets heel anders:
identity management;
logging;
monitoring;
disaster recovery;
compliance;
DevSecOps;
patching;
certificering;
ondersteuning.
Dat kost normaal gesproken jaren.
Soevereine cloud betekent niet automatisch betere cloud. Microsoft Azure en AWS investeren jaarlijks tientallen miljarden in:
beveiliging;
AI-gedreven detectie;
*automatisering;
hardware;
*wereldwijde redundantie.
Dat niveau is voor een nationale cloud vrijwel onmogelijk te evenaren.
En waar zouden de financiële meiddelen vandaan moeten komen?
De vraag moet daarom niet zijn:
"Kunnen we Azure vervangen?", maar:
"Welke systemen móéten absoluut onder eigen controle staan?"
Dat is een veel realistischer uitgangspunt.
Kosten worden waarschijnlijk onderschat. De staatssecretaris noemt het zelf al.
Een eigen cloud betekent onder meer investeren in:
datacenters;
hardware;
netwerk;
personeel;
lifecycle management;
softwareontwikkeling;
24/7 beheer.
Veel van die kosten zijn verborgen zolang je gebruikmaakt van hyperscalers.
Ik zou kiezen voor een hybride model. Persoonlijk denk ik dat dit de meest realistische strategie is.
Eigen soevereine cloud voor: defensie, politie, justitie, basisregistraties, DigiD, BRP,
vitale infrastructuur, geclassificeerde informatie.
Commerciële cloud voor: samenwerking, kantoorautomatisering, ontwikkelomgevingen, websites, minder kritische applicaties.
Zo gebruik je de sterke punten van beide werelden.
Interessant detail, er staat: "zoveel mogelijk in de overheidsdatacenters"
Dat suggereert dat de overheid niet alles zelf wil bouwen, maar eerder een platform wil creëren waarop verschillende leveranciers kunnen leveren, zolang:
de hardware onder Nederlandse controle staat;
de exploitatie aan Nederlandse of Europese voorwaarden voldoet;
de data binnen de soevereiniteitseisen blijft.
Dat lijkt meer op een "government cloud" dan op een volledig nieuwe hyperscaler.
Ik vind de koers verstandig vanuit strategisch oogpunt. De afgelopen jaren is duidelijk geworden dat digitale afhankelijkheid ook een geopolitiek vraagstuk is geworden. Tegelijkertijd verwacht ik niet dat Nederland een volwaardig alternatief voor Azure, AWS of Google Cloud kan neerzetten.
Het succes zal afhangen van een pragmatische aanpak: bouw een hoogwaardige soevereine cloud voor de meest kritieke overheidssystemen, werk waar zinvol samen met Europese en Nederlandse marktpartijen, en voorkom dat "soeverein" synoniem wordt met "alles zelf doen". Dat biedt meer autonomie zonder de voordelen van bestaande cloud technologie volledig op te geven.
En....... het idee over financiering is onverantwoord. De budgetten blijven nodig o.a. om de systemen robuust te houden tegen de vele dreigingen,. Omdat een zittende president onvoorspelbaar is hoeven wij de voordeur en achterdeur nog niet op en kier te zetten voor de cybercriminelen en die andere president.