Het kabinet kiest voor digitale soevereiniteit, de ontwikkelingen in de Verenigde Staten laten zien waarom dat verstandig is.
Vlak voor het zomerreces publiceerde het kabinet een reeks beleidsstukken die gezamenlijk een duidelijke koerswijziging laten zien. Waar cloudbeleid jarenlang vooral draaide om functionaliteit, kosten en innovatie, staat in de stukken nu (geopolitieke) afhankelijkheid, jurisdictie, en de keuze voor Nederlandse en Europese oplossingen centraal.
Op 3 juli publiceerde het kabinet de Herziening Rijksbreed Cloudbeleid, de Kamerbrief Nationaal beleid voor de Nederlandse cloudmarkt en strengere regels voor het gebruik van clouddiensten door de Rijksoverheid.
De rode draad in deze beleidsstukken is helder: Nederland wil de afhankelijkheid van een beperkt aantal buitenlandse (cloud)leveranciers verkleinen en meer regie krijgen over kritieke digitale infrastructuur.
De belangrijkste aankondigingen zijn:
- Digitale soevereiniteit wordt expliciet onderdeel van het cloudbeleid;
- Organisaties moeten vooraf een cloudstrategie opstellen, daarin wordt vastgelegd waarom zij kiezen voor een bepaalde dienst, welke risico’s daarbij horen en hoe zij die beperken, ook dient een exitplan te worden opgesteld;
- Geopolitieke risico's en afhankelijkheid van één leverancier moet worden meegewogen bij cloudkeuzes;
- Voor kritieke Rijksorganisaties (bepaalde ministeries en ZBO’s) wordt het gebruik van diensten van aanbieders die onder wetgeving buiten de EU of EER vallen voor kerntaken afgeraden.
- E-mail en documentbeheer worden aangemerkt als nationaal belang. Het kabinet raadt publieke clouddiensten hiervoor af. Op 9 juli werd de Tweede Kamer ook geïnformeerd dat de migratie van de Belastingdienst naar M365 is gepauzeerd na een zeer kritisch advies van AcICT.
- Rijksorganisaties krijgen vier jaar om bestaande diensten aan het nieuwe beleid aan te passen;
- Nederland wil de ontwikkeling van een sterke Nederlandse en Europese cloudsector stimuleren;
- lock-in moet worden verminderd door meer interoperabiliteit en keuzevrijheid.
Dat dit verstandig is, werd op 29 juni, nog eens bevestigd. Die dag deed het Amerikaanse Supreme Court uitspraak in de zaak Trump v. Slaughter. In de uitspraak werd geoordeeld dat de Federal Trade Commission (FTC) uiteindelijk onder het gezag van de president valt. Het Hof oordeelde dat commissarissen van de Federal Trade Commission zonder opgaaf van reden door de president kunnen worden ontslagen. Daarmee wordt de FTC minder onafhankelijk dan waarop jarenlang werd vertrouwd. Dit is zeer relevant voor Europa. Immers, het verdrag op basis waarvan Europa en Amerika data uitwisselen - het EU–US Data Privacy Framework - komt hierdoor weer onder druk te staan. Want het hebben van een onafhankelijke Amerikaanse toezichthouder was een van de belangrijkste pijlers van dit verdrag. Nu die onafhankelijkheid onder druk staat, komt daarmee ook het verdrag weer onder druk te staan.
Hoewel deze uitspraak het EU–US Data Privacy Framework (DPF) niet direct ongeldig maakt, roept het wel vragen op over de juridische stabiliteit van het trans-Atlantische gegevensverkeer. De privacytoezichthouders verenigd in de European Data Protection Board hebben daarom de Europese Commissie gevraagd om expliciet te onderzoeken of de recente Amerikaanse ontwikkelingen de juridische basis van het EU–VS Data Privacy Framework ondermijnen.
Deze ontwikkeling laat nogmaals zien dat de beweging naar digitale soevereiniteit een absolute noodzaak is geworden. Als we regie willen houden over publieke data, vitale processen en de Europese AI-economie, zullen we moeten investeren in Nederlandse en Europese datacenters, cloudvoorzieningen en compute-capaciteit. Het is goed dat het Kabinet de eerste stappen in deze richting nu zet.