De Nederlandse overheid heeft op 3 juli 2026 bekendgemaakt het Rijksbreed cloudbeleid aan te scherpen. Rijksorganisaties moeten voortaan expliciet rekening houden met geopolitieke risico’s en leveranciersafhankelijkheid bij de keuze voor clouddiensten. Voor kritieke onderdelen, zoals ministeries en zelfstandige bestuursorganen, wordt het gebruik van diensten die onder wetgeving buiten de EU of EER vallen afgeraden. Voor e-mail en documentbeheer gaat de overheid nog verder: publieke clouddiensten worden hier bij voorkeur helemaal vermeden. In plaats daarvan zet het kabinet in op een soevereine cloud die volledig onder eigen, Europese regie draait.
Wat verandert er precies in het Rijkscloudbeleid?
De herziening van staatssecretaris Willemijn Aerdts (Digitalisering, D66) bestaat uit vier concrete maatregelen. Ten eerste: e-mail en documentbeheer verhuizen bij voorkeur naar interne servers in plaats van publieke clouddiensten van partijen als Microsoft of AWS. Ten tweede worden bijzondere persoonsgegevens in de publieke cloud afgeraden; waar dat toch nodig is, worden Privacy Enhancing Technologies verplicht. Ten derde moet elk materieel cloudgebruik vooraf een risicoanalyse doorstaan, met specifieke aandacht voor leveranciersafhankelijkheid en de kans op buitenlandse overheidsinterventie. Ten vierde wordt een exitplan verplicht – niet alleen voor een geplande overstap, maar ook voor het scenario van een onverwachte dienststoring bij de cloudleverancier.
Het beleid geldt voor alle onderdelen van de Rijksoverheid, met uitzondering van de Hoge Colleges van Staat en het ministerie van Defensie (die wel een eigen advies krijgen). Instanties die met bijzonder gevoelige gegevens werken, zoals UWV en de Sociale Verzekeringsbank, moeten publieke cloud structureel vermijden. Nieuw cloudgebruik moet vooraf gemeld worden bij de CISO Rijk, die de risicoanalyse en het exitplan beoordeelt; jaarlijks volgt rapportage aan de CIO Rijk. Voor de overgang krijgen organisaties vier jaar de tijd – extra budget is daarvoor niet vrijgemaakt, wat de druk op IT-afdelingen aanzienlijk maakt.
Volgens het kabinet is bewust gekozen voor het meest vergaande scenario: een centraal aangestuurde, soevereine cloudomgeving die grotendeels wordt ondergebracht in eigen datacenters. Daarmee behoudt de overheid praktische en juridische controle over hardware, fysieke toegang en de locatie van data. De eerste applicaties moeten eind dit jaar al op de nieuwe omgeving draaien. Het gaat niet om een tijdelijke maatregel: het is een structurele koerswijziging, ingegeven door de wens om minder afhankelijk te zijn van één leverancier en van wetgeving buiten de EU.
Waarom nu? De aanleiding achter de koerswijziging
De aanscherping komt niet uit de lucht vallen. Al jaren wijzen toezichthouders en juristen op een fundamenteel probleem: onder Amerikaanse wetgeving, zoals de CLOUD Act, kunnen Amerikaanse autoriteiten in bepaalde gevallen toegang eisen tot data die Amerikaanse cloudbedrijven beheren – ook als die data fysiek in een Europees datacenter staat. Combineer dat met de onzekerheid rond internationale gegevensoverdracht sinds de Schrems-uitspraken van het Europese Hof van Justitie, en het wordt duidelijk waarom “waar staat mijn data” is verschoven naar “wie kan er, onder welke wetgeving, bij mijn data”. Voor de Rijksoverheid, die met staatsgeheimen, opsporingsdossiers en gevoelige burgergegevens werkt, is dat risico simpelweg niet meer acceptabel gebleken.
Nederland vergeleken met andere EU-landen
Nederland is niet het enige land dat aan digitale soevereiniteit werkt, maar kiest wel een opvallend radicale route. Frankrijk zette eerder al in op een “cloud de confiance” via de joint ventures Bleu (Microsoft, Orange en Capgemini) en S3NS (Google en Thales) – Amerikaanse cloudtechnologie, operationeel ondergebracht bij een Frans bedrijf. Dat lost een deel van het juridische probleem op, maar critici wijzen erop dat de onderliggende technologie en broncode alsnog Amerikaans eigendom blijven. Het Nederlandse Rijkscloudbeleid gaat een stap verder: geen licentieconstructie, maar eigen datacenters en eigen regie, van hardware tot beheer. Op EU-niveau wordt ondertussen gewerkt aan het EUCS-certificeringsschema (European Cybersecurity Certification Scheme for Cloud Services), dat uiteenlopende nationale keurmerken zoals het Duitse BSI C5 en het Franse SecNumCloud moet samenbrengen tot één EU-brede standaard. Zolang die harmonisatie niet rond is, blijft elk land noodgedwongen zijn eigen koers varen – en kiest Nederland voor de meest vergaande vorm van controle.
Gemeenten volgen dezelfde koers
Belangrijk voor decentrale overheden: het Rijk wil samen met gemeenten, provincies en waterschappen toewerken naar een overheidsbreed cloudbeleid. Vooralsnog is dat een aanbeveling, geen verplichting – maar de uitdagingen rond leveranciersafhankelijkheid en digitale autonomie spelen op gemeentelijk niveau net zo goed, denk aan burgerzaken, sociale dossiers en identiteitsgegevens. Gemeenten die nu al nadenken over een eigen, soevereine cloudstrategie lopen straks niet achter de feiten aan wanneer landelijke richtlijnen alsnog verplicht worden, zoals bij het Rijk al is gebeurd.
Ook relevant buiten de overheid
Deze verschuiving is niet alleen een overheidsaangelegenheid. Juridische kantoren werken met vertrouwelijke dossiers, accountants met financiële gegevens en zorginstellingen met medische data – stuk voor stuk sectoren waarin controle over waar data staat en wie er toegang toe heeft steeds zwaarder weegt, ook richting klanten en toezichthouders. De keuze van de Rijksoverheid laat zien welke kant de discussie opgaat: niet of je grip hebt op je data, maar hoe je die grip organiseert. Organisaties die daar nu al invulling aan geven, met eigen infrastructuur of Europese alternatieven voor e-mail en documentbeheer, staan er straks beter voor dan wie moet reageren op nieuwe regelgeving of op eisen van opdrachtgevers die zelf onder de rijksrichtlijnen vallen.
Zelf beginnen met een soevereine cloud
Een volledig eigen cloudomgeving hoeft geen project van jaren te zijn, en zeker geen project op de schaal van de Rijksoverheid. Een praktische aanpak in drie stappen:
- Begin met een risico-inventarisatie – net als het Rijk nu verplicht is: welke gegevens staan waar, bij welke leverancier, onder welke wetgeving? Vaak blijkt dat e-mail en documentbeheer de grootste blootstelling geven, en dat zijn ook de onderdelen die het makkelijkst te vervangen zijn.
- Vervang de meest gevoelige toepassingen eerst. Met een eigen node en open source software zoals Nextcloud kunnen organisaties hun e-mail, bestanden en samenwerking zelf hosten, zonder afhankelijk te zijn van Amerikaanse cloudpartijen. Op de pagina privacy-vriendelijke alternatieven staat een overzicht van praktische opties per toepassing.
- Denk ook aan een exitplan, ook als u (nog) geen overstap plant. Precies zoals het Rijk nu voorschrijft: weet wat u doet als een leverancier plotseling stopt, prijzen verhoogt of onder buitenlandse druk komt te staan.
De stap die de Rijksoverheid nu zet, bevestigt vooral dat digitale soevereiniteit geen niche-onderwerp meer is, maar een strategische keuze die voor steeds meer organisaties relevant wordt – van ministerie tot mkb-bedrijf.
Wie liever een kant-en-klare, volledig beheerde soevereine cloudomgeving wil in plaats van dit zelf op te zetten: YourData Network’s private cloud volgt dezelfde aanpak als waar de Rijksoverheid nu voor kiest – data en beheer volledig in eigen, Europese hand, zonder dat u zelf een datacenter hoeft in te richten.
Veelgestelde vragen
Wat is een soevereine cloud precies?
Een soevereine cloud is een cloudomgeving waarbij data, infrastructuur en beheer volledig onder eigen of Europese jurisdictie vallen – zonder dat een niet-Europese overheid, via wetgeving zoals de Amerikaanse CLOUD Act, toegang kan claimen tot de data.
Moet mijn organisatie ook overstappen?
Voor bedrijven is er geen wettelijke verplichting zoals nu voor het Rijk geldt. Maar organisaties die met vertrouwelijke, financiële of medische gegevens werken, of die leveren aan opdrachtgevers die zelf onder de rijksrichtlijnen vallen, doen er goed aan de risico-inventarisatie uit dit artikel alvast te maken.
Is een soevereine cloud duurder dan een gangbare publieke cloud?
Dat hangt af van de aanpak. Zelf een node inrichten met open source software zoals Nextcloud kan relatief goedkoop, maar vraagt wel technische kennis en tijd. Een kant-en-klare, volledig beheerde oplossing kost meer dan een standaard publiek cloudabonnement, maar bespaart de uren die zelfbeheer vraagt – en voorkomt de exit- en afhankelijkheidsrisico’s die de Rijksoverheid nu juist probeert te mitigeren.
Bronnen: Rijksoverheid.nl – Strengere regels voor het gebruik van clouddiensten door de Rijksoverheid, iBestuur – Rijksbreed cloudbeleid aangescherpt
Dit artikel is met behulp van AI opgezet en gegenereerd, en als voorstel voorgelegd aan een menselijke redacteur die het heeft beoordeeld voordat het werd geplaatst.