Concentratierisico bij IT-uitbesteding ontstaat wanneer een overheidsorganisatie haar kritieke digitale infrastructuur en processen grotendeels bij één of enkele dominante leveranciers onderbrengt, waardoor uitval, juridische ingrepen of commerciële beslissingen van die leverancier direct de continuïteit van de publieke taak bedreigen. Voor de overheid gaat dit risico verder dan operationele ongemakken: het raakt aan statelijke soevereiniteit, juridische aansprakelijkheid en de grondwettelijke plicht tot betrouwbare dienstverlening.
Waarom concentratierisico bij de overheid anders is dan bij bedrijven
Overheidsorganisaties kunnen niet failliet gaan en niet kiezen voor tijdelijke onderbreking van diensten. Wanneer een gemeente, ministerie of uitvoeringsinstantie haar e-mail, documentbeheer en interne communicatie heeft geconcentreerd bij één cloudprovider, is er bij uitval geen marktmechanisme dat de schade beperkt. De plicht tot continuïteit is absoluut.
Daar komt bij dat de juridische status van gegevens in Amerikaanse cloud-infrastructuur fundamenteel verschilt van data op Europese of eigen servers. De Amerikaanse CLOUD Act (2018) verplicht Amerikaanse cloudproviders hun overheid toegang te verlenen tot gegevens die zij beheren, ongeacht waar die gegevens fysiek zijn opgeslagen. Dat geldt dus ook voor data van Nederlandse overheidsdiensten in datacenters die formeel in Amsterdam of Frankfurt staan. De Patriot Act kent vergelijkbare bepalingen. Noch Microsoft, noch Google, noch Amazon kan zich aan deze extraterritoriale jurisdictie onttrekken zolang zij onder Amerikaans recht vallen.
De marktconcentratie in de cloudmarkt maakt dit probleem concreet. Meer dan 65 procent van de wereldwijde markt voor publieke clouddiensten wordt beheerst door drie partijen: Amazon Web Services, Microsoft Azure en Google Cloud (Synergy Research Group, Q4 2024). Wie van al deze drie tegelijk afhankelijk is, heeft feitelijk geen echte keuzevrijheid.
De Rekenkamer slaat alarm: ‘Het Rijk in de cloud’ (2025)
De Algemene Rekenkamer publiceerde in 2025 het rapport Het Rijk in de cloud: Donkere wolken pakken samen, waarin de cloudafhankelijkheid van de rijksoverheid uitgebreid wordt geanalyseerd. De conclusies zijn scherp.
Meer dan 90 procent van de rijksoverheid maakt gebruik van Microsoft-producten voor kantoorautomatisering en e-mail (Algemene Rekenkamer, 2025). De Rekenkamer stelt expliciet: “De rijksoverheid is in hoge mate afhankelijk geworden van een beperkt aantal grote commerciële ICT-leveranciers. Dat maakt de overheid kwetsbaar.” De Rekenkamer constateert bovendien dat ministeries onvoldoende zicht hebben op hun eigen cloudportfolio, dat exitstrategieën ontbreken of onvoldoende zijn uitgewerkt, en dat het bestaande Sourcingsafwegingskader Rijk niet consistent wordt toegepast bij aanbestedingen.
De Rekenkamer dringt aan op een sterkere regierol van de Rijks-CIO en de Rijks-CISO, die vanuit het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties toezicht houden op de digitale weerbaarheid van het Rijk als geheel. Zonder centrale regie blijft elk ministerie zijn eigen eiland bouwen, waardoor systeembrede kwetsbaarheden onzichtbaar blijven.
Rijksbrede kaders: gereedschap dat onvoldoende wordt gebruikt
De rijksoverheid beschikt over een set instrumenten die specifiek bedoeld zijn om afhankelijkheidsrisico’s te beheersen. Het probleem is niet het ontbreken van kaders, maar het gebrek aan structurele toepassing ervan.
Sourcingsafwegingskader Rijk
Het Sourcingsafwegingskader Rijk biedt een gestructureerde methodiek om per bedrijfsproces af te wegen welke mate van uitbesteding verantwoord is. Het kader onderscheidt processen op basis van vertrouwelijkheid, continuïteitsbelang en de mogelijkheid tot controle. Kritieke processen met hoog vertrouwelijkheidsniveau mogen volgens het kader niet worden uitbesteed aan partijen waarover onvoldoende juridische controle bestaat. In de praktijk blijkt dit criterium bij de aanschaf van Microsoft 365 en vergelijkbare suites echter zelden leidend.
Baseline Informatiebeveiliging Overheid 2 (BIO2)
De BIO2, beheerd door het Centrum Informatiebeveiliging en Privacybescherming (CIP), verplicht overheidsorganisaties tot formeel leveranciersbeheer. Dat omvat vastgelegde verantwoordelijkheden, auditrechten, periodieke risicobeoordelingen en gedocumenteerde exitstrategieën. BIO2 is gebaseerd op ISO 27001:2022 en sluit aan op de NIS2-richtlijn. De norm is niet vrijblijvend: bij een beveiligingsincident of audit wordt getoetst of de organisatie aantoonbaar heeft voldaan aan de leveranciersbeheerseisen.
ARBIT-2022
De Algemene Rijksvoorwaarden bij IT-overeenkomsten (ARBIT-2022) bevatten standaardbepalingen over dataportabiliteit, opzegtermijnen, auditrecht en eigendom van data. Deze bepalingen zijn contractueel bindend voor leveranciers die met het Rijk zakendoen, maar de effectiviteit hangt af van de onderhandelingsruimte bij grote suitecontracten. Bij Microsoft Enterprise Agreement-contracten is de manoeuvreerruimte beperkt, wat opnieuw het belang onderstreept van diversificatie vóór het tekenen van langetermijncontracten.
Scenario’s bij acute uitval van een dominante leverancier
De CrowdStrike-storing van juli 2024, waarbij naar schatting 8,5 miljoen Windows-systemen wereldwijd werden verstoord (Microsoft Blog, 2024), toonde aan hoe een technische fout bij een derde partij directe gevolgen kan hebben voor overheidsorganisaties die geen uitwijkinfrastructuur hebben. Dit was geen cyberaanval, maar een foutieve softwareupdate. De kwetsbaarheid is dezelfde: eén centrale afhankelijkheid, wereldwijde impact.
Continuïteitsplanning voor overheidsorganisaties moet rekening houden met ten minste drie scenario’s:
| Scenario | Oorzaak | Vereiste voorbereiding |
|---|---|---|
| Technische uitval | Storing, foutieve update, DDoS | Uitwijksystemen, offline werkprocessen, redundante communicatie |
| Juridische blokkade | CLOUD Act-verzoek, sancties, rechtszaak | Soevereine kopie van kritieke data, juridisch advies over overeenkomsten |
| Commerciële discontinuïteit | Faillissement, prijsverhoging, stopzetting dienst | Exitstrategie, dataportabiliteitsafspraken, alternatieve leveranciers gecontracteerd |
De Wet weerbaarheid kritieke entiteiten en de cloudstrategie
De Wet weerbaarheid kritieke entiteiten (Wwke), die de Europese CER-richtlijn (Critical Entities Resilience) in Nederlands recht implementeert, legt verplichtingen op aan entiteiten in sectoren als energie, drinkwater, transport, digitale infrastructuur en overheid zelf. De wet verplicht tot risicoanalyses, continuïteitsplannen en het melden van significante verstoringen bij de bevoegde autoriteit.
De Wwke raakt rechtstreeks aan cloudstrategie: een organisatie die geen realistisch uitwijkscenario heeft voor uitval van haar primaire cloudleverancier, kan bij een audit moeilijk aantonen dat zij voldoet aan de resiliency-eisen. De wet vraagt niet om autarkie, maar om aantoonbare weerbaarheid. Een multi-cloud strategie waarbij ten minste één component in eigen beheer of bij een Europese soevereine partij wordt gehouden, biedt die aantoonbaarheid wel. Volledige afhankelijkheid van één Amerikaans platform doet dat niet.
Naar een evenwichtige sourcingsstrategie
De Rijks-CIO stelt in het advieskader voor cloud en sourcingsstrategie dat wie alles bij één leverancier onderbrengt, niet alleen zijn onderhandelingspositie verliest, maar ook zijn vermogen om zelfstandig te functioneren als die leverancier uitvalt of zijn voorwaarden wijzigt. Dit principe vertaalt zich in een aantal concrete ontwerpkeuzes voor sourcingsstrategieën.
Een evenwichtige strategie maakt onderscheid tussen dataklassen. Niet-gevoelige werkprocessen, publieke websites en samenwerkingstools voor niet-vertrouwelijke informatie kunnen prima in een publieke cloud worden gehouden. Gevoelige correspondentie, persoonsgegevens, juridische dossiers en beleidsvorming vereisen een omgeving waarover de organisatie volledige juridische en technische controle heeft. Dat kan een eigen datacenter zijn, een gedeeld overheidscloud-platform zoals de DICTU-infrastructuur, of een Europese hostingpartner die uitsluitend onder EU-jurisdictie opereert.
Migratie van Microsoft 365 naar een soevereine werkruimte, bijvoorbeeld op basis van Nextcloud met Open Document-standaarden, is voor steeds meer overheidsorganisaties in Europa geen theoretisch scenario maar een actief beleidstraject. Nextcloud wordt al ingezet door overheden in Duitsland, Frankrijk en Zweden als onderdeel van hun digitale soevereiniteitsagenda. De technische migratie is uitvoerbaar; de organisatorische omschakeling en gebruikersacceptatie vragen doorgaans meer aandacht dan de techniek zelf.
Contractuele diversificatie is een tweede pijler. Organisaties die nu volledig op Microsoft zijn aangewezen, kunnen bij een volgende aanbestedingscyclus bewust kiezen voor een architectuur waarbij e-mail, documentbeheer en communicatie door verschillende leveranciers worden geleverd, elk met eigen ARBIT-2022-conforme contracten. Dit verhoogt de complexiteit iets, maar elimineert het single point of failure.
Tot slot vraagt een evenwichtige strategie om periodieke toetsing. BIO2 verplicht overheidsorganisaties tot jaarlijkse leveranciersbeoordeling. Die beoordeling moet niet alleen gaan over de technische prestaties van de leverancier, maar ook over de ontwikkeling van diens juridische positie, eigendomsstructuur en politieke context. Een leverancier die vandaag veilig lijkt, kan door wijziging van Amerikaans recht of een overname morgen een ander risicoprofiel hebben.
FAQ
Wat is een concentratierisico bij IT-uitbesteding aan Big Tech?
Een concentratierisico ontstaat wanneer een organisatie voor kritieke processen sterk afhankelijk is van één of enkele leveranciers. Bij uitval, prijsverhoging, juridische ingreep of geopolitiek conflict kan de organisatie haar taken niet meer vervullen. Voor de overheid is dit extra precair omdat publieke continuïteit en soevereiniteit op het spel staan.
Wat zijn de belangrijkste bevindingen van de Rekenkamer in ‘Het Rijk in de cloud’ (2025)?
De Algemene Rekenkamer stelde vast dat de rijksoverheid in zeer hoge mate afhankelijk is van Microsoft, dat het Sourcingsafwegingskader onvoldoende wordt nageleefd, en dat ministeries onvoldoende zicht hebben op hun eigen cloudportfolio en de bijbehorende risico’s. De Rekenkamer dringt aan op regie vanuit de Rijks-CIO en structurele toepassing van bestaande kaders.
Wat verplicht de Wet weerbaarheid kritieke entiteiten (Wwke/CER) overheidsorganisaties te doen?
De Wwke, die de Europese CER-richtlijn implementeert, verplicht kritieke entiteiten in sectoren als energie, transport, water en digitale infrastructuur tot het uitvoeren van risicoanalyses, het opstellen van continuïteitsplannen en het melden van significante verstoringen. Extreme afhankelijkheid van één cloudleverancier zonder uitwijkscenario is in strijd met de geest van deze verplichting.
Hoe helpen BIO2 en ARBIT-2022 bij het beheersen van leveranciersrisico’s?
BIO2 schrijft voor dat overheidsorganisaties leveranciersrelaties formeel beheren, inclusief exitstrategieën en periodieke risicobeoordelingen. ARBIT-2022 biedt contractuele bepalingen voor auditrecht, dataportabiliteit en opzegtermijnen die afhankelijkheid beperken. Beide instrumenten zijn pas effectief als ze consequent worden toegepast bij elke aanbesteding.
Wat is een realistisch alternatief voor volledige uitbesteding aan Microsoft 365?
Overheden kunnen kiezen voor een gelaagde strategie: gevoelige communicatie en documenten in een soevereine omgeving, zoals Nextcloud op eigen servers of bij een Europese hostingpartij, gecombineerd met een beperkt gebruik van publieke cloudtoepassingen voor niet-kritieke werkzaamheden. Zo blijft de operationele flexibiliteit behouden zonder de volledige afhankelijkheid van één Amerikaanse leverancier.
