Het Deutschland-Stack is de overkoepelende term voor de federale digitale soevereiniteitsinfrastructuur van Duitsland, opgebouwd uit open-source componenten die onder Europees juridisch toezicht vallen. De kern ervan wordt sinds 2024 gevormd door de Sovereign Cloud Stack (SCS), een cloudinfrastructuurstandaard van de Open Source Business Alliance (OSBA), die de IT-Planungsrat Duitsland in de richting van een bindende vereiste voor alle overheidsniveaus stuurt. Wat dit besluit precies inhoudt, hoe het zich verhoudt tot werkplekstandaarden als openDesk, en wat Nederland hiervan kan leren, werken we hieronder uit.
De bindende verklaring van de IT-Planungsrat: wat staat er precies op spel?
De IT-Planungsrat heeft besloten dat de Sovereign Cloud Stack de verplichte technische fundering wordt voor het Deutschland-Stack, met een gefaseerde inwerkingtreding die in 2026 moet resulteren in een bindende standaard voor federale en deelstatelijke overheidsclouds.
De IT-Planungsrat is het intergovernementele orgaan dat Bund en Länder coördineert op het gebied van e-government en IT-infrastructuur. Zijn besluiten hebben formele bindingskracht voor federale IT-projecten en dienen als referentiekader voor deelstaten. De SCS-verplichting betekent concreet dat cloudinfrastructuur die voor overheidsdata wordt ingezet, aan drie technische kernvereisten moet voldoen:
- De infrastructuur moet gebouwd zijn op gedocumenteerde open-source componenten, aantoonbaar onafhankelijk van propriëtaire hyperscaler-API’s.
- Er moet sprake zijn van volledige interoperabiliteit via OpenStack en Kubernetes als standaard-orkestratielaag, conform de SCS-specificaties van de OSBA.
- Auditbaarheid en transparantie van de gehele stack, inclusief de mogelijkheid tot onafhankelijke beveiligingsaudits door Europese partijen.
Peter Ganten, voorzitter van de Open Source Business Alliance, verwoordde de urgentie hiervan als volgt: “Die Sovereign Cloud Stack ist kein nice-to-have, sondern die technische Voraussetzung dafür, dass öffentliche Verwaltungen ihre digitale Souveränität wirklich durchsetzen können.”
openDesk, la Suite Numérique en de lacunes in de soevereine werkplek
De SCS regelt de infrastructuurlaag, maar de werkplek zelf wordt bij de federale overheid ingevuld door openDesk: een geïntegreerd pakket van open-source toepassingen voor e-mail, documenten, videoconferentie en bestandsbeheer.
Het Bundesministerium des Innern streeft naar een uitrol van openDesk bij meer dan 300.000 federale ambtenaren (BMI, 2024). openDesk bundelt tools als Nextcloud (bestandsbeheer en samenwerking), Collabora Online (documentbewerking), Open-Xchange (e-mail en agenda) en Jitsi (videoconferentie) in één geïntegreerde omgeving. De Franse tegenhanger, la Suite Numérique, hanteert een vergelijkbare filosofie, maar is sterker gecentraliseerd en minder federaal georganiseerd, wat past bij de Franse bestuurstraditie.
| Dimensie | openDesk (Duitsland) | la Suite Numérique (Frankrijk) |
|---|---|---|
| Infrastructuurbasis | Sovereign Cloud Stack (SCS / OSBA) | Interministeriële cloudinfrastructuur (SecNumCloud) |
| Bestandsbeheer | Nextcloud GmbH | Pastèque (eigen fork) |
| Governance | Federaal, via IT-Planungsrat en deelstaten | Gecentraliseerd, via DINUM |
| Licentiemodel | Volledig open-source (AGPL, Apache) | Grotendeels open-source, deels propriëtair |
| Ontbrekende componenten | Kwantumveilige communicatie, lokale AI | Volledige open-source identiteitsbeheer |
Voor beide landen geldt dat de integratie van kwantumveilige versleuteling en volledig lokaal draaiende AI-functies nog niet is gerealiseerd. Dit is een wezenlijke lacune: zodra quantumcomputers cryptografische sleutels kunnen kraken, is retroactieve dataveiligheid niet meer gegarandeerd voor data die nu al wordt opgeslagen.
Governance en aanbestedingsmodellen in Duitsland, Mecklenburg-Vorpommern en Schleswig-Holstein
De uitrol van de SCS verloopt niet uniform. Drie repliceerbare elementen vallen op in de aanpak van de vroege adopters.
Schleswig-Holstein is het meest vergaand: de deelstaat heeft een expliciet beleid aangenomen om Microsoft-producten te vervangen door open-source alternatieven, waaronder LibreOffice en Nextcloud, en koppelt dit aan aanbestedingsregels die propriëtaire software uitsluiten tenzij er geen functioneel equivalent bestaat. Dit creëert een “open-source tenzij”-beginsel dat de markt stuurt.
Mecklenburg-Vorpommern werkt nauw samen met Dataport, de publiekrechtelijke IT-dienstverlener voor meerdere Noord-Duitse deelstaten. Dataport biedt SCS-conforme hostingdiensten aan als gemeenschappelijke faciliteit, waardoor kleinere gemeenten niet zelf de technische expertise hoeven op te bouwen. Dit shared-service-model verlaagt de drempel aanzienlijk en maakt aanbesteding collectief mogelijk, met gezamenlijke raamcontracten.
Op federaal niveau stuurt de IT-Planungsrat via “Beschlüsse” die technische minimumvereisten vastleggen voor gesubsidieerde IT-projecten. Leveranciers die aan federale aanbestedingen meedoen, moeten aantonen dat hun platform SCS-compatibel is of een roadmap hebben voor conformiteit. Dit is een subtielere maar effectieve vorm van marktregulering.
Nederland en BIO2: de bouwstenen voor een vergelijkbaar kader
Nederland heeft geen equivalent van de IT-Planungsrat, maar beschikt wel over instrumenten om een vergelijkbare richting in te slaan.
De Baseline Informatiebeveiliging Overheid versie 2 (BIO2) verplicht overheidsorganisaties risicoanalyses uit te voeren op alle cloudoplossingen, inclusief een expliciete beoordeling van jurisdictionele risico’s. De afhankelijkheid van Amerikaanse wetgeving, zoals de CLOUD Act die Amerikaanse autoriteiten toegang geeft tot data bij Amerikaanse bedrijven ongeacht de opslaglocatie, moet in het beveiligingsbeleid worden gedocumenteerd. Uit het rapport “Grip op clouddiensten” van de Auditdienst Rijk (2023) bleek dat een groot deel van de rijksdiensten geen volledig zicht heeft op waar overheidsdata in de cloud is opgeslagen, wat direct indruist tegen de BIO2-vereisten.
De Rijksstrategie voor afbouw van strategische IT-afhankelijkheden, die in 2023 door de Staatssecretaris van Binnenlandse Zaken is gepresenteerd, biedt een beleidsmatig kader. Maar de operationalisering ontbreekt nog: er is geen bindende technische standaard, geen equivalent van de SCS-verplichting, en geen publiekrechtelijk hostingorgaan dat vergelijkbaar is met Dataport.
Repliceerbare elementen uit het Deutschland-Stack voor Nederland zijn: het instellen van een “open-source tenzij”-aanbestedingsbeleid op Rijksniveau, het oprichten of aanwijzen van een shared-service-organisatie voor soevereine cloud-hosting, en het formuleren van een SCS-equivalent als technische minimumstandaard voor nieuwe cloudcontracten. De BIO2-risicoanalyseverplichting biedt daarvoor al een juridisch aanknopingspunt.
Nextcloud als bouwsteen: integratie-eisen voor bestaande installaties
Nextcloud GmbH speelt een centrale rol binnen het Deutschland-Stack: de software verzorgt het bestandsbeheer en de samenwerkingsfuncties binnen openDesk, en wordt door deelstaten als Schleswig-Holstein en via Dataport breed ingezet.
Het SCS-ecosysteem stelt specifieke integratie-eisen aan Nextcloud-installaties die onderdeel willen worden van de Deutschland-Stack-architectuur. Drie technische vereisten zijn daarbij bepalend:
- Identity federation: de Nextcloud-instantie moet gekoppeld zijn aan een Keycloak- of vergelijkbare OpenID Connect-provider die het federale of deelstatelijke identity-ecosysteem weerspiegelt. Eigen gebruikersbeheer in een geïsoleerde Nextcloud-instantie volstaat niet.
- API-conformiteit met openDesk: documenten die in Collabora Online worden bewerkt, moeten naadloos in Nextcloud worden opgeslagen via de WOPI-interface. Dit vereist specifieke versie-afstemming en configuratie.
- Infrastructuurlaag: de onderliggende servers moeten draaien op een SCS-conforme Kubernetes-omgeving. Nextcloud-installaties op propriëtaire hyperscaler-managed Kubernetes (zoals Azure AKS of AWS EKS) voldoen hier in principe niet aan, tenzij de volledige stack wordt gevirtualiseerd op SCS-compatible hardware.
Organisaties die Nextcloud al beheren in een eenvoudigere on-premise configuratie, hoeven niet bij nul te beginnen. De Nextcloud-software zelf is compatibel; de aanpassingen zitten in de omliggende infrastructuur en identiteitslaag. De IT-Planungsrat benadrukte zelf de noodzaak van federale flexibiliteit: “Wir brauchen eine föderale Infrastruktur, die Länder und Kommunen nicht zwingt, sich an einen einzigen zentralen Anbieter zu binden.”
Meer dan 25 bedrijven en overheidsinstellingen zijn inmiddels aangesloten bij het SCS-ecosysteem van de OSBA (OSBA, 2024), wat aangeeft dat de markt voor SCS-conforme dienstverlening groeit maar nog relatief geconcentreerd is.
FAQ: Deutschland-Stack en Sovereign Cloud Stack
Wat is de Sovereign Cloud Stack en waarom maakt de IT-Planungsrat hem bindend?
De Sovereign Cloud Stack (SCS) is een open-source cloudinfrastructuurstandaard van de Open Source Business Alliance (OSBA), gebouwd op OpenStack en Kubernetes. De IT-Planungsrat, het intergovernementele IT-coördinatieorgaan van Duitsland, heeft besloten dat SCS de verplichte technische basis wordt voor het Deutschland-Stack. Dit voorkomt vendor lock-in bij commerciële hyperscalers en garandeert dat overheidsdata onder Europees recht valt.
Welke componenten missen er nog voor een volledig soevereine werkplek?
openDesk dekt de meeste kantoorbehoeften, maar kwantumveilige communicatieprotocollen en volledig lokaal draaiende AI-functies die nooit data naar externe servers sturen, ontbreken nog. Ook geïntegreerd identiteitsbeheer op federaal niveau is nog in ontwikkeling. Dit zijn de resterende afhankelijkheden die de komende jaren moeten worden ingevuld om een werkelijk volledige soevereine stack te realiseren.
Hoe verschilt de aanpak van Schleswig-Holstein van de federale strategie?
Schleswig-Holstein heeft als eerste deelstaat een bindend beleid vastgesteld om Microsoft-producten actief te vervangen door open-source alternatieven, met een “open-source tenzij”-aanbestedingsprincipe. De federale strategie laat meer ruimte voor hybride aanpakken en richt zich op minimumstandaarden voor nieuwe contracten, zonder bestaande propriëtaire systemen direct te verbieden.
Wat betekent BIO2 voor Nederlandse overheidsorganisaties die naar een soevereine cloud willen migreren?
BIO2 verplicht overheidsorganisaties risicoanalyses uit te voeren op clouddiensten, inclusief een expliciete beoordeling van jurisdictionele risico’s zoals de CLOUD Act. In de praktijk betekent dit dat de keuze voor een Amerikaanse cloudleverancier formeel moet worden gemotiveerd en dat mitigerende maatregelen moeten worden gedocumenteerd, wat de drempel verhoogt voor het blijven gebruiken van niet-Europese cloudoplossingen.
Welke integratie-eisen stelt het Deutschland-Stack aan bestaande Nextcloud-installaties?
Bestaande Nextcloud-installaties moeten voor Deutschland-Stack-conformiteit worden gekoppeld aan een SCS-conforme infrastructuurlaag, verbonden met een federale of deelstatelijke OpenID Connect-identity-provider zoals Keycloak, en geconfigureerd voor WOPI-compatibele samenwerking met Collabora Online. De Nextcloud-software zelf vraagt geen vervanging; de aanpassingen zitten in de omliggende architectuur.
