Soevereine overheidscloud verwijst naar digitale infrastructuur waarbij overheidsdata uitsluitend is opgeslagen en verwerkt op servers die vallen onder de jurisdictie van de Europese Unie of een expliciete verdragsstaat, zodat buitenlandse wetgeving zoals de Amerikaanse CLOUD Act geen afdwingbare toegang biedt. De Nederlandse Digitaliseringsstrategie (NDS) stelt dit als expliciet beleidsdoel, maar de weg van ambitie naar werkende infrastructuur is lang en bezaaid met technische, financiële en organisatorische obstakels.
Wat de NDS zegt over soevereine cloud en wat er van de tijdlijn terecht is gekomen
De NDS formuleert digitale soevereiniteit als een van de vier pijlers van het Nederlandse digitaliseringsbeleid. Concreet betekent dit dat het Rijk wil stoppen met de ongecontroleerde afhankelijkheid van een handvol Amerikaanse hyperscalers.
Het Rijk betaalt jaarlijks circa 800 miljoen euro aan Microsoft voor licenties en diensten, volgens onderzoek in opdracht van het ministerie van BZK (Rijksoverheid, 2023). Dat bedrag illustreert de omvang van de strategische afhankelijkheid, maar ook de politieke en economische complexiteit van een exit. De NDS spreekt van een “gefaseerde verkenning” en niet van een harde migratieplanning met einddata. Per begin 2025 bevindt het traject zich nog in de specificatie- en marktconsultatiefase, gecoördineerd door de Nederlandse Digitale Dienst (NDD).
Staatssecretaris Alexandra van Huffelen stelde in een Kamerdebat over de NDS: “Digitale soevereiniteit is geen luxe maar een basisvereiste voor een betrouwbare overheid. We moeten stoppen met het outsourcen van onze digitale ruggengraat aan partijen die onder buitenlandse jurisdictie vallen.” Die uitspraak geeft de politieke richting aan, maar vertaalt zich nog niet in een concreet productief platform.
Mijn Bureau: architectuur en positie ten opzichte van openDesk en La Suite Numérique
Mijn Bureau is het Nederlandse open-source samenwerkingsplatform dat is ontwikkeld als soeverein alternatief voor Microsoft 365 binnen de rijksoverheid. Het platform combineert bestaande open-source componenten, waaronder Nextcloud voor bestandsdeling en samenwerking, Rocket.Chat of Matrix voor berichtenuitwisseling, en Collabora Online als documentbewerker, tot een geïntegreerde werkplek die op eigen infrastructuur draait.
De technische architectuur van Mijn Bureau is modulair: afzonderlijke diensten communiceren via open API’s en zijn containerized via Kubernetes of vergelijkbare orkestratie. Dit maakt het platform onderhoudbaar en uitbreidbaar zonder vendor lock-in op componentniveau. De broncode is openbaar beschikbaar, wat onafhankelijke beveiligingsaudits mogelijk maakt, een vereiste die ook in BIO2 (Baseline Informatiebeveiliging Overheid versie 2) is verankerd.
De vergelijking met Europese zusterinitiatieven is instructief:
| Platform | Land | Kerncomponenten | Status (2024) | Beheersorganisatie |
|---|---|---|---|---|
| Mijn Bureau | Nederland | Nextcloud, Collabora, Matrix | Pilot / verkenning | NDD / BZK |
| openDesk | Duitsland | Nextcloud, OX App Suite, Jitsi, Cryptpad | Productief (federale overheid) | ZenDiS |
| La Suite Numérique | Frankrijk | Tchap, Audioconf, France Transfert | Productief (ministeries) | DINUM |
Gunnar Richter, projectleider van openDesk bij ZenDiS, omschreef de overdraagbaarheid van de aanpak als volgt: “openDesk laat zien dat open-source samenwerking tussen overheden schaalbaar is. De bouwstenen die Duitsland nu ontwikkelt, zijn direct herbruikbaar voor vergelijkbare initiatieven in Nederland en andere EU-landen.” Nederland heeft formeel contact met ZenDiS om te leren van de Duitse implementatie, maar heeft de codebase niet één-op-één overgenomen vanwege afwijkende nationale vereisten op het gebied van DigiD-authenticatie en BSN-verwerking.
Lessen uit de SSC-ICT DWR2.0-migratie
De meest concrete Nederlandse casus van soevereine werkplekinrichting binnen het Rijk is de DWR2.0-migratie van SSC-ICT, de shared service organisatie die IT-diensten levert aan een groot deel van de ministeries. DWR staat voor Digitale Werkomgeving Rijk.
Bij DWR2.0 is gekozen voor een hybride architectuur: e-mail en documenten blijven in eigen rijksdatacenters draaien, terwijl videoconferencing en bepaalde communicatiediensten via de public cloud worden aangeboden. Deze keuze is bewust gemaakt op basis van een classificatie van informatiegevoeligheid. Niet alle werkplekfuncties vereisen dezelfde mate van soevereiniteit; een videoconferentie over algemene onderwerpen heeft een ander risicoprofiel dan een document met gerubriceerde beleidsinformatie.
De praktische lessen uit DWR2.0 die breder toepasbaar zijn, zijn de volgende. Ten eerste: een scherpe informatiecl assificatie vooraf is bepalend voor de architectuurkeuze, niet andersom. Ten tweede: hybride modellen zijn technisch haalbaar maar vereisen een robuuste identiteitskoppeling tussen on-premise en cloudcomponenten, wat in de praktijk complexer bleek dan voorzien. Ten derde: eindgebruikersacceptatie is een onderschat risico; medewerkers die gewend zijn aan de Microsoft-werkomgeving ervaren de overstap naar een andere interface als productiviteitsverlies, zelfs als de onderliggende functionaliteit gelijkwaardig is.
De rol van de NDD en toegang voor organisaties buiten het Rijk
De Nederlandse Digitale Dienst (NDD), opgericht als coördinerende overheidsorganisatie voor digitale basisinfrastructuur, heeft de regie over de rijksbrede soevereine cloudverkenning. De NDD ontwikkelt referentiearchitecturen, beheert de inkoopmacht via het Strategisch Leveranciersmanagement Microsoft (SLM) en stelt de kaders vast waarbinnen rijksorganisaties cloudkeuzes mogen maken.
De Europese Commissie stelde in 2024 vast dat meer dan 75 procent van de Europese overheidsorganisaties afhankelijk is van slechts drie Amerikaanse cloudleveranciers voor hun kritieke digitale infrastructuur (Europese Commissie, Cloud Strategy for the European Institutions, 2024). Dit concentratierisico onderstreept waarom de NDD niet alleen naar de prijs kijkt, maar ook naar geopolitieke risico’s en de continuïteit van dienstverlening bij geopolitieke spanningen.
Voor organisaties buiten het Rijk, zoals gemeenten, waterschappen, zorgaanbieders en onderwijsinstellingen, is directe aansluiting op de rijksbrede soevereine cloudinfrastructuur vooralsnog niet voorzien. Zij kunnen wel profiteren van de standaarden, referentiearchitecturen en aanbestedingsresultaten die de NDD publiceert. BIO2, de herziene Baseline Informatiebeveiliging Overheid, geldt als verplicht normenkader voor alle overheidslagen en biedt aanknopingspunten voor semipublieke organisaties die een vergelijkbaar beveiligingsniveau nastreven.
Voor het hoger onderwijs en onderzoek vervult SURF een vergelijkbare rol als de NDD voor het Rijk. SURF heeft eigen raamwerken voor clouddiensten en onderhandelt collectief met leveranciers. Uit een inventarisatie van SURF in 2023 bleek dat meer dan 60 procent van de Nederlandse hoger-onderwijsinstellingen hun primaire e-mail- en samenwerkingsomgeving bij Microsoft 365 of Google Workspace had ondergebracht, met beperkte contractuele garanties over dataresiduency (SURF, 2023).
Praktische obstakels bij het uitstellen of vermijden van een Microsoft 365-migratie
De NDS-verkenning erkent dat de overgang naar soevereine alternatieven niet op korte termijn massaal realiseerbaar is. De obstakels zijn reëel en verdienen concrete analyse in plaats van abstracte beleidsbeloften.
Legacy-integraties vormen het zwaarste knelpunt. Veel overheids- en semipublieke organisaties hebben tientallen applicaties die diep zijn geïntegreerd met Microsoft Active Directory, Exchange of SharePoint. Een migratie naar Nextcloud of een vergelijkbaar platform vereist dat al deze koppelingen worden herschreven of vervangen, wat zowel tijdrovend als kostbaar is.
End of Support creëert een valse urgentie. Microsoft Windows 10 bereikt in oktober 2025 het einde van de standaard ondersteuning. Organisaties die nog niet zijn gemigreerd naar Windows 11 of een Microsoft 365-abonnement, worden geconfronteerd met beveiligingsrisico’s die hen onder tijdsdruk zetten. De NDS-verkenning neemt dit mee als risicofactor, maar biedt nog geen kant-en-klaar alternatief.
Kennistekort is structureel. De Nederlandse overheids-IT-markt is decennialang gestuurd op Microsoft-certificeringen. Open-source expertise in Nextcloud, Linux-serverbeheer en containerorkestratie is schaars, zeker bij kleinere organisaties. De NDD werkt aan opleidingsprogramma’s, maar die zijn nog in ontwikkeling.
Kosten op korte termijn zijn een politiek gevoelig punt. Een migratie van Microsoft 365 naar een soevereine Nextcloud-werkplek levert op termijn lagere licentiekosten op, maar vereist initiële investeringen in infrastructuur, migratie en opleiding die in veel begrotingscycli moeilijk te verantwoorden zijn tegenover een bestaand lopend Microsoft-contract. Het SLM (Strategisch Leveranciersmanagement) onderhandelt centraal met Microsoft over voorwaarden, maar heeft nog geen exit-scenario’s operationeel gemaakt.
Jurisdictierisico’s en de rol van BIO2 bij platformkeuzes
De kern van het soevereiniteitsvraagstuk is juridisch, niet technisch. De Amerikaanse CLOUD Act van 2018 verplicht Amerikaanse technologiebedrijven om data af te geven aan Amerikaanse autoriteiten, ongeacht waar die data fysiek is opgeslagen. Microsoft, Google en AWS zijn alle drie Amerikaanse bedrijven en vallen daarmee onder deze wetgeving, ook wanneer hun datacenters zich in Amsterdam of Frankfurt bevinden.
BIO2 verplicht overheidsorganisaties tot een expliciete risicoafweging van leveranciersrisico’s, inclusief jurisdictierisico. Een platform dat onder de CLOUD Act valt, is voor informatie met rubricering BBN2 (Basis Beveiligingsniveau 2) of hoger problematisch zonder aanvullende compenserende maatregelen, zoals end-to-end-versleuteling waarbij de sleutels uitsluitend in eigen beheer zijn. Nextcloud, als open-source platform dat op eigen infrastructuur draait, valt per definitie buiten de CLOUD Act, mits de hostingpartij zelf geen Amerikaans bedrijf is.
De NIS2-richtlijn, via de Cyberbeveiligingswet in Nederland geïmplementeerd, voegt een meldplicht en aantoonbaarheidsverplichting toe voor essentiële en belangrijke entiteiten. Zorgaanbieders, drinkwaterbedrijven, onderwijsinstellingen boven een bepaalde omvang en overheidsorganisaties vallen hier allemaal onder. De combinatie van BIO2 en NIS2 maakt een gedegen jurisdictieanalyse van cloudleveranciers niet optioneel maar verplicht.
Veelgestelde vragen
Is de soevereine overheidscloud uit de NDS al beschikbaar voor rijksorganisaties?
Nee. Per begin 2025 bevindt de soevereine cloudverkenning zich nog in de onderzoeks- en specificatiefase. De NDD coördineert de aanpak, maar een productief platform voor rijksbrede uitrol is nog niet beschikbaar. Organisaties die nu actie willen ondernemen, zijn aangewezen op bestaande alternatieven zoals Nextcloud of on-premise oplossingen.
Kunnen gemeenten, zorgaanbieders en onderwijsinstellingen aansluiten bij de rijksbrede soevereine cloud?
De primaire doelgroep van de NDS-soevereine cloudverkenning is het Rijk zelf. Semipublieke organisaties, gemeenten en instellingen in zorg en onderwijs kunnen echter profiteren van de raamwerken, standaarden zoals BIO2, en aanbestedingsresultaten die het Rijk ontwikkelt. SURF vervult voor hoger onderwijs en onderzoek een vergelijkbare rol als de NDD voor het Rijk.
Wat is het verschil tussen Mijn Bureau en Microsoft 365 op het gebied van datasoevereiniteit?
Mijn Bureau is een open-source samenwerkingsplatform ontworpen om te draaien op infrastructuur onder Nederlandse of Europese jurisdictie, zonder afdwingbare toegang door buitenlandse inlichtingendiensten op basis van de Amerikaanse CLOUD Act. Microsoft 365 valt, ongeacht de datalocatie, onder Amerikaanse wetgeving zolang Microsoft een Amerikaans bedrijf is.
Wat betekent BIO2 concreet voor de keuze van een cloudplatform?
BIO2 verplicht overheidsorganisaties tot een risicogebaseerde aanpak en expliciete beoordeling van leveranciersrisico’s, inclusief jurisdictierisico’s. Een cloudplatform dat onder de CLOUD Act valt, vergt een aanvullende risicoafweging en compenserende maatregelen, of is voor bepaalde classificaties van overheidsinformatie niet toegestaan.
Wat zijn de grootste praktische drempels voor een Microsoft exit bij overheidsorganisaties?
De vier meest genoemde drempels zijn: legacy-applicaties die diep zijn geïntegreerd met Microsoft Active Directory of Exchange, het naderende End of Support voor oudere Windows- en Office-versies dat organisaties onder tijdsdruk zet, een tekort aan interne kennis over open-source alternatieven, en migratiekosten die op korte termijn hoger uitvallen dan verlenging van de bestaande licenties.
