Het Rijkscloudbeleid is het overkoepelende kader waarmee de Nederlandse Rijksoverheid regels stelt aan het gebruik van publieke clouddiensten door ministeries en aan hen gelieerde organisaties. Op 3 juli 2026 publiceerde het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties een aangescherpte versie van dit beleid, waarbij geopolitieke risico’s voor het eerst als verplicht onderdeel van de cloudstrategie worden aangemerkt. Die aanscherping valt samen met twee andere ingrijpende wijzigingen in het wettelijke landschap: de inwerkingtreding van de Cyberbeveiligingswet op 15 augustus 2026 en de naderende verplichtingen uit de Cloud and AI Development Act (CADA).
Wat verandert er op 3 juli 2026 concreet voor rijksorganisaties
De update van 3 juli 2026 introduceert twee verplichtingen die voorheen ontbraken of vrijblijvend waren. Elke rijksorganisatie die publieke clouddiensten gebruikt, moet een eigen cloudstrategie opstellen en die strategie periodiek actualiseren. Daarnaast is de geopolitieke risicoanalyse niet langer een aanbeveling maar een vereiste: organisaties moeten de jurisdictie van hun cloudleverancier expliciet beoordelen en documenteren voordat een dienst in productie gaat of een bestaand contract wordt verlengd.
De Staatssecretaris Digitale Economie en Soevereiniteit heeft bij de presentatie van de aanpassing benadrukt dat de koers richting data-soevereiniteit onlosmakelijk verbonden is met de bredere geopolitieke realiteit. Het gaat niet uitsluitend om technische beveiliging, maar om de vraag welke buitenlandse wetgeving toegang kan opeisen tot Nederlandse overheidsdata.
“Digitale soevereiniteit is geen technische luxe maar een politieke noodzaak. Organisaties die nu geen regie nemen over hun cloudkeuzes, riskeren straks afhankelijkheden die juridisch noch operationeel acceptabel zijn.” Dat stelde Alexandra van Huffelen als Staatssecretaris Digitale Economie en Soevereiniteit bij de aankondiging van de versterkte cloudstrategie.
De verplichte cloudstrategie: inhoud en geopolitieke risicofactoren
Een cloudstrategie in de zin van het bijgewerkte Rijkscloudbeleid is geen generiek IT-beleidsplan. Het document moet minimaal vier elementen bevatten die direct verband houden met soevereiniteit en risicobeheer.
Ten eerste een jurisdictieanalyse: de strategie specificeert in welk land de cloudleverancier is gevestigd en welke wetgeving van extraterritoriale werking van toepassing kan zijn. De Amerikaanse CLOUD Act (Clarifying Lawful Overseas Use of Data Act) en de bredere nawerking van de USA PATRIOT Act zijn het meest genoemde voorbeeld, maar ook Chinese cyberveiligheidswetgeving en Russische datalokalisatievereisten worden in het AIVD-kader als relevante risicovectoren aangemerkt.
Ten tweede concentratierisico: organisaties moeten aantonen dat kritieke bedrijfsprocessen niet afhankelijk zijn van één enkele leverancier zonder realistisch exit-scenario. Ten derde geopolitieke stabiliteit: het beleid vereist een beoordeling van de politieke relatie tussen Nederland (en de EU) en het land van de leverancier. Ten vierde contractuele afdwingbaarheid: kan de leverancier worden verplicht te voldoen aan Nederlandse en Europese rechtsvereisten, ook als diens thuisland andere instructies geeft?
Het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties biedt via zijn informatieknooppunt een modelstructuur voor de cloudstrategie, maar de inhoudelijke invulling en de risicoweging zijn de verantwoordelijkheid van de organisatie zelf.
| Risicofactor | Voorbeeld | Vereiste maatregel volgens Rijkscloudbeleid 2026 |
|---|---|---|
| Extraterritoriale jurisdictie | US CLOUD Act, PATRIOT Act | Juridische beoordeling per leverancier, vastleggen in cloudstrategie |
| Concentratierisico | Volledige afhankelijkheid van één hyperscaler | Gedocumenteerd exit-scenario verplicht |
| Geopolitieke instabiliteit | Sanctieregimes, handelsconflicten | Periodieke hertoetsing minimaal jaarlijks |
| Contractuele afdwingbaarheid | GDPR-verwerkers buiten EER | Standaardcontractbepalingen of adequaatheidsbesluit vereist |
Wat valt buiten de scope van het Rijkscloudbeleid
Het nieuwe beleid kent een duidelijk omschreven reikwijdte en daarbinnen zijn twee categorieën expliciet uitgesloten. Gerubriceerde informatie op het niveau Departementaal Vertrouwelijk en hoger valt onder het Voorschrift Informatiebeveiliging Rijksdienst Bijzondere Informatie (VIRBI 2013) en de daarin opgenomen Baseline Informatiebeveiliging Overheid (BIO) voor staatsgeheimen. Voor die informatie geldt een strenger en afzonderlijk regime: publieke clouddiensten zijn in beginsel niet toegestaan, ongeacht de leveranciersnationaliteit.
De tweede uitzondering betreft volledig on-premise systemen zonder enige cloudcomponent, inclusief systemen die via een afgeschermd intern netwerk zonder koppeling naar de openbare infrastructuur draaien. Die systemen vallen buiten het beleid omdat de definitie van “publieke clouddienst” in de tekst strikt is afgebakend tot diensten die via het openbare internet toegankelijk zijn of worden geleverd door een externe partij.
Wat niet is uitgesloten, maar wat organisaties soms ten onrechte buiten beschouwing laten: hybride omgevingen waarin een on-premise kerninfrastructuur via API-koppelingen verbonden is met publieke clouddiensten. Het beleid is expliciet van toepassing op die gekoppelde diensten, ook als de koppeling slechts betrekking heeft op een deelproces zoals back-up of identiteitsbeheer.
De transitietermijn van vier jaar en de samenloop met andere wetgeving
Rijksorganisaties hebben vier jaar, gerekend vanaf 3 juli 2026, om volledig aan het bijgewerkte beleid te voldoen. Dat lijkt ruim, maar de samenloop met andere wetgeving verkleint de feitelijke handelingsruimte aanzienlijk.
De Cyberbeveiligingswet, de Nederlandse implementatie van de Europese NIS2-richtlijn, treedt in werking op 15 augustus 2026, dus zes weken na de publicatie van het Rijkscloudbeleid. Rijksorganisaties die onder de werkingssfeer van de Cyberbeveiligingswet vallen, zijn vanaf dat moment verplicht tot het melden van significante incidenten, het hanteren van een risicobeheersingskader en het treffen van passende technische en organisatorische beveiligingsmaatregelen. Een cloudstrategie zonder geopolitieke risicoanalyse voldoet in de meeste gevallen niet aan die NIS2-vereisten.
De Cloud and AI Development Act (CADA), die op Europees niveau in voorbereiding is, voegt daar nog een laag aan toe. De CADA stelt eisen aan de transparantie van AI-diensten en de verwerking van overheidsdata in cloudomgevingen. Het Rijkscloudbeleid vraagt van organisaties nu al rekening te houden met komende CADA-verplichtingen bij het sluiten van nieuwe contracten. Dat betekent in de praktijk dat contracten afgesloten in 2026 en 2027 al clausules moeten bevatten die CADA-naleving mogelijk maken, ook als de wet op het moment van contractsluiting nog niet in werking is getreden.
Statistisch gezien is de urgentie tastbaar. Volgens de Europese Commissie verwerkt meer dan 75 procent van de publieke sector in de EU data via hyperscalers die onder Amerikaanse jurisdictie vallen (Digital Decade Report, 2023). Het NCSC rapporteerde in zijn Cybersecuritybeeld Nederland 2024 dat ransomware-aanvallen op overheidsorganisaties in Nederland met 40 procent zijn gestegen ten opzichte van 2022. De Algemene Rekenkamer stelde in 2023 vast dat bij meerdere Nederlandse ministeries onvoldoende inzicht bestond in de locatie en jurisdictie van verwerkte overheidsdata.
De AIVD benadrukt in haar cloudleveranciersrisicobeoordelingskader: “Het AIVD-risicobeoordelingskader voor cloudleveranciers is niet vrijblijvend. Organisaties die gevoelige of staatsgeheime informatie verwerken, zijn gehouden aan een structurele dreigingsanalyse voordat een cloudcontract wordt gesloten.”
Gevolgen voor decentrale overheden, ZBO’s en niet-Rijksoverheidsorganisaties
Het Rijkscloudbeleid is formeel van toepassing op de ministeries en de daaronder ressorterende rijksdiensten. Gemeenten, provincies, waterschappen en zelfstandige bestuursorganen (ZBO’s) vallen buiten de directe reikwijdte. Dat betekent echter niet dat het beleid voor hen irrelevant is.
ZBO’s die publieke taken uitvoeren en daarvoor rijksmiddelen ontvangen of rijkssystemen gebruiken, kunnen via dienstverleningsovereenkomsten met ministeries alsnog gehouden zijn aan de eisen uit het Rijkscloudbeleid. Wanneer een ZBO gebruik maakt van de gemeenschappelijke rijks-IT-voorzieningen die onder het beleid vallen, geldt de cloudstrategie indirect ook voor de data die het ZBO in die omgevingen verwerkt.
Voor gemeenten en provincies is de lijn minder direct, maar de Vereniging van Nederlandse Gemeenten (VNG) en het Interprovinciaal Overleg (IPO) zijn door het ministerie aangespoord vergelijkbare kaders te ontwikkelen. De Baseline Informatiebeveiliging Overheid (BIO), die voor alle overheidslagen geldt, en de Cyberbeveiligingswet bieden daarvoor al een gedeeltelijke grondslag. Organisaties in de rechterlijke macht, het openbaar ministerie en andere onderdelen van de rechtsstaat die niet tot de Rijksoverheid behoren maar wel gevoelige persoonsgegevens of vertrouwelijke informatie verwerken, bevinden zich in een grijze zone: zij zijn niet direct gebonden aan het Rijkscloudbeleid, maar de AVG, de Wet politiegegevens en sectorspecifieke wetgeving stellen vergelijkbare eisen aan de jurisdictie en beveiliging van cloudopslag.
Veelgestelde vragen
Geldt het Rijkscloudbeleid van 3 juli 2026 ook voor gemeenten en provincies?
Nee, het beleid is primair van toepassing op de Rijksoverheid. Gemeenten, provincies en waterschappen vallen buiten de directe reikwijdte, maar worden via de VNG en het Interprovinciaal Overleg nadrukkelijk aangespoord hetzelfde risicobeoordelingskader te hanteren.
Wat is de Cloud and AI Development Act (CADA) en hoe verhoudt die zich tot het Rijkscloudbeleid?
De CADA is een Europees wetgevingsinitiatief dat aanvullende eisen stelt aan AI-diensten en clouddiensten die door publieke instellingen worden afgenomen. Het Rijkscloudbeleid loopt hierop vooruit door rijksorganisaties al te verplichten rekening te houden met de komende CADA-verplichtingen bij nieuwe en bestaande cloudcontracten.
Hoe lang hebben rijksorganisaties om aan het nieuwe beleid te voldoen?
Het beleid voorziet in een transitietermijn van vier jaar vanaf de publicatiedatum van 3 juli 2026. Organisaties moeten binnen die periode hun cloudstrategie hebben opgesteld, bestaande contracten hebben getoetst en waar nodig migraties hebben ingepland. Voor nieuwe contracten geldt de verplichting onmiddellijk.
Wat zijn de voornaamste geopolitieke risicofactoren die in een cloudstrategie moeten worden opgenomen?
De cloudstrategie moet minimaal ingaan op de jurisdictie van de leverancier (inclusief extraterritoriale wetgeving zoals de US CLOUD Act), de concentratie van kritieke diensten bij één leverancier, politieke stabiliteit in het land van de leverancier en de mogelijkheid tot exit of overstap naar een alternatieve aanbieder.
Welke gegevenstypen of diensten zijn uitgesloten van het Rijkscloudbeleid?
Strikt gerubriceerde informatie (staatsgeheimen, niveau Departementaal Vertrouwelijk en hoger) valt buiten het beleid omdat daarvoor aparte beveiligingsvoorschriften gelden via het VIRBI. Ook zuiver intern beheerde on-premise systemen zonder cloudcomponent of internetkoppeling vallen buiten de scope. Hybride omgevingen met een cloudkoppeling vallen wel onder het beleid.
