De overheid Microsoft 365 soevereiniteitsafweging is het proces waarbij een overheidsorganisatie expliciet weegt of de inzet van een niet-soeverein cloudproduct, zoals Microsoft 365, aanvaardbaar is gezien de jurisdictionele risico’s, de geldende normenkaders en de beschikbaarheid van alternatieven. Het vraagstuk raakt tegelijk aan operationele urgentie, rechtmatigheid en strategische autonomie.
De Belastingdienst als illustratieve casus
De keuze van de Belastingdienst voor Microsoft 365 laat zien hoe organisatiedruk en beleidsambities kunnen botsen. De uitkomst is instructief voor elke overheidsorganisatie die voor een vergelijkbaar dilemma staat.
De Belastingdienst kampte jarenlang met sterk verouderde kantoorautomatisering. Duizenden medewerkers werkten op systemen die niet meer werden onderhouden, met toenemende veiligheids- en productiviteitsrisico’s. Tegelijk is de Belastingdienst een van de meest gevoelige overheidsorganisaties van Nederland: zij verwerkt fiscale gegevens van vrijwel alle Nederlandse burgers en bedrijven. De druk om snel te moderniseren was reëel, maar een volledig soevereine alternatieve kantooroplossing op de vereiste schaal was op het moment van besluitvorming niet tijdig inzetbaar.
De Adviescommissie ICT (AcICT) analyseerde deze spanning in haar advies over de modernisering van kantoorautomatisering bij de rijksoverheid. Zij stelde expliciet:
“De inzet van Microsoft 365 is op zichzelf niet verboden, maar vraagt om expliciete risicoafweging, een gedocumenteerde exitstrategie en aantoonbare maatregelen om afhankelijkheid te beheersen.” (AcICT-advies modernisering kantoorautomatisering)
De beslissing van de Belastingdienst werd daarmee niet als een definitieve keuze voor Microsoft gepresenteerd, maar als een tijdelijke maatregel met randvoorwaarden. Dat onderscheid is cruciaal voor de beoordeling door de Tweede Kamer en toezichthouders.
Spanning met het rijkscloudbeleid 2026
Het rijkscloudbeleid 2026 stelt dat rijksorganisaties voor gevoelige gegevens bij voorkeur rijkscloudvoorzieningen of aantoonbaar soevereine Europese alternatieven inzetten. De keuze van de Belastingdienst voor Microsoft 365 staat daarmee in een permanente verantwoordingsrelatie tot dit beleid.
Het rijkscloudbeleid is niet vrijblijvend: het kabinet heeft vastgelegd dat rijksoverheidsorganisaties uiterlijk in 2026 uitsluitend rijkscloudvoorzieningen gebruiken voor de verwerking van gevoelige gegevens (Ministerie van BZK, 2022). De Kamerbrief van 2 oktober 2025 rapporteerde over de voortgang en erkende dat de transitie voor meerdere organisaties vertraging heeft opgelopen, onder meer doordat de rijkscloudinfrastructuur zelf nog niet voor alle toepassingen gereed is.
De Nederlandse Digitaliseringsstrategie (NDS) formuleert digitale soevereiniteit als een overkoepelende beleidsdoelstelling. Het Ministerie van Economische Zaken en Klimaat omschreef dit als volgt:
“Digitale soevereiniteit betekent dat de overheid zelf de regie houdt over haar data, systemen en digitale infrastructuur, ook als die geleverd worden door private partijen.” (Nederlandse Digitaliseringsstrategie, Ministerie van EZK)
Voor de Belastingdienst betekent dit concreet dat de M365-uitrol moet worden aangemerkt als een tijdelijke situatie, niet als eindtoestand. De afwijking van het rijkscloudbeleid vereist een formeel verantwoordingsdocument aan de eigenaar van het rijkscloudbeleid bij BZK.
Exitstrategievereisten: wat de casus leert
Een exitstrategie bij gebruik van Microsoft 365 is geen formaliteit, maar een concrete set van beheersmaatregelen die aantoonbaar aanwezig moet zijn.
De ADR heeft in haar onderzoek naar back-up en herstel bij Microsoft 365 bij rijksoverheidsorganisaties vastgesteld dat een aanzienlijk deel van de onderzochte organisaties geen afdoende eigen back-upvoorziening heeft buiten de Microsoft-omgeving (ADR, 2023). Dit is problematisch omdat Microsoft 365 standaard geen langetermijn-back-ups biedt die voldoen aan de herstelvereisten in het BIO2 normenkader.
Het BIO2 normenkader vereist dat overheidsorganisaties aantoonbaar kunnen herstellen van een incident binnen een vooraf vastgestelde hersteltijd (RTO) en gegevensverliesgrens (RPO), en dat dit periodiek wordt getest (CIP, 2024). Voor M365-omgevingen betekent dit in de praktijk:
| Vereiste | Microsoft 365 standaard | BIO2-conforme aanvulling |
|---|---|---|
| Back-upretentie | Prullenbak max. 93 dagen | Externe back-up buiten Microsoft-omgeving, minimaal 1 jaar |
| Herstelaantoonbaarheid | Niet geauditeerd door de organisatie zelf | Periodieke hersteltests gedocumenteerd en aangeleverd bij ADR |
| Vendor lock-in beheersing | Formaten deels propriëtair | Exportprocedure voor alle data gedocumenteerd in exitplan |
| Jurisdictionele controle | VS-jurisdictie via CLOUD Act toepasbaar | Gegevensclassificatie en risicoafweging juridisch vastgelegd |
Een exitstrategie omvat minimaal: een inventarisatie van alle datastromen binnen M365, contractuele bepalingen over dataportabiliteit bij contractbeëindiging, een technisch migratieprocedure naar een alternatief platform, en een tijdshorizon waarbinnen de exitoptie actueel gehouden wordt.
Wanneer is een tijdelijke niet-soevereine keuze aanvaardbaar?
Er zijn situaties waarin de pragmatische keuze voor een niet-soevereine oplossing verdedigbaar is, mits aan strikte randvoorwaarden wordt voldaan.
Aanvaarbaarheid vereist ten minste vijf elementen: (1) aantoonbare operationele noodzaak die de vertraging van een soevereine oplossing rechtvaardigt, (2) bewijs dat geen tijdig beschikbaar soeverein alternatief bestaat op de vereiste schaal, (3) een formele risicoacceptatie door het bevoegd gezag, niet door de ICT-afdeling alleen, (4) vastgelegde exitstrategievereisten met een concrete streefdatum, en (5) periodieke hertoetsing van de risicoacceptatie, bij voorkeur jaarlijks, aan het dan geldende normenkader zoals BIO2.
De Belastingdienst heeft dit kader deels ingevuld, maar de voortgangsrapportage in de Kamerbrief van 2 oktober 2025 maakt duidelijk dat de streefdatum voor migratie naar een rijkscloudvoorziening voor diverse organisaties nog niet concreet is vastgesteld. Dat is een patroon dat toezichthouders kritisch beoordelen.
Toepassingslessen voor decentrale overheden en ZBO’s
Gemeenten, provincies en zelfstandige bestuursorganen (ZBO’s) vallen niet automatisch onder het rijkscloudbeleid, maar zijn wel gebonden aan de Baseline Informatiebeveiliging Overheid (BIO2) en de Algemene Verordening Gegevensbescherming (AVG).
De Belastingdienstcasus levert drie concrete lessen op die direct toepasbaar zijn voor deze organisaties:
Gegevensclassificatie als vertrekpunt. Niet alle data vereist hetzelfde soevereiniteitsniveau. Een gemeente die persoonsgegevens van burgers verwerkt in het kader van de Participatiewet staat op een ander risiconiveau dan een organisatie die uitsluitend interne correspondentie opslaat. Begin de afweging altijd bij de gegevensclassificatie, niet bij de leverancierskeuze.
Contractuele exitclausules zijn niet optioneel. ZBO’s die M365 al gebruiken zonder contractueel vastgelegde dataportabiliteitsbepalingen zijn kwetsbaar bij contractbeëindiging of een incident. Heronderhandel actief bij contractverlenging.
Koppel de streefdatum aan een concreet alternatief. De les uit de Belastingdienstcasus is dat een exitstrategie zonder aangewezen bestemmingsplatform een lege belofte is. Gemeenten kunnen kijken naar gemeenschappelijke inkooptrajecten via de VNG of naar Europese alternatieven die aan GDPR- en NIS-2-vereisten voldoen.
De rol van BIO2 en NIS-2 in de afweging
Het BIO2 normenkader, dat in 2024 van kracht is geworden, vervangt de oorspronkelijke BIO en stelt strengere eisen aan aantoonbaarheid. Voor clouddiensten betekent dit onder meer dat de verantwoordelijkheid voor informatiebeveiliging niet kan worden gedelegeerd aan de leverancier: de overheidsorganisatie blijft zelf verantwoordelijk voor de naleving.
NIS-2, de Europese richtlijn voor netwerk- en informatiebeveiliging die eind 2024 in Nederland in wetgeving is omgezet, voegt hier een aanvullende meldplicht en zorgplicht aan toe voor organisaties in kritieke sectoren. De Belastingdienst valt hieronder. Voor decentrale overheden is de reikwijdte afhankelijk van de sector waarin zij actief zijn, maar de zorgplicht voor leveranciersketens geldt breed.
Wie Microsoft 365 inzet, neemt ook de beveiligingsketen van Microsoft op zich. Een supply chain-incident bij Microsoft, zoals zich in 2023 voordeed met de aanval op Exchange Online door Storm-0558, raakt direct de continuïteit en vertrouwelijkheid van overheidsinformatie. NIS-2 vereist dat organisaties deze ketenrisico’s aantoonbaar beheersen.
Conclusie: de afweging is een doorlopend proces
De overheid Microsoft 365 soevereiniteitsafweging is geen eenmalig inkoopbesluit, maar een doorlopende verantwoordingsplicht. De Belastingdienstcasus toont dat een pragmatische keuze voor een niet-soevereine oplossing verdedigbaar kan zijn, maar alleen als de organisatie de tijdelijkheid ook organisatorisch borgt, de ADR-vereisten voor back-up en herstel naleeft, en actief stuurt op migratie naar een BIO2- en rijkscloudconforme situatie. Voor decentrale overheden en ZBO’s geldt hetzelfde kader, ook al vallen zij buiten de directe werkingssfeer van het rijkscloudbeleid 2026.
Veelgestelde vragen
Waarom koos de Belastingdienst voor Microsoft 365 ondanks soevereiniteitsbezwaren?
De Belastingdienst stond voor een acuut moderniseringsvraagstuk: verouderde kantoorautomatisering moest snel worden vervangen. Een volledig soevereine alternatieve oplossing was op het moment van besluitvorming niet tijdig beschikbaar op de vereiste schaal. De keuze voor M365 werd als tijdelijke maatregel geaccepteerd, mits voorzien van een gedocumenteerde exitstrategie en formele risicoacceptatie.
Wat houdt het rijkscloudbeleid 2026 in voor gebruik van Microsoft 365?
Het rijkscloudbeleid 2026 stelt dat rijksorganisaties voor de verwerking van gevoelige gegevens bij voorkeur rijkscloudvoorzieningen of Europese alternatieven inzetten die voldoen aan soevereiniteitsvereisten. Microsoft 365 mag tijdelijk worden gebruikt, maar vereist een expliciete risicoafweging, formele risicoacceptatie door het bevoegd gezag en een concrete exitstrategie met tijdshorizon.
Wat vereist de ADR op het gebied van back-up bij gebruik van Microsoft 365?
De Auditdienst Rijk heeft vastgesteld dat organisaties niet uitsluitend mogen vertrouwen op de ingebouwde Microsoft-voorzieningen. Vereist zijn: een eigen back-upoplossing buiten de Microsoft-omgeving, vastgelegde RTO- en RPO-doelstellingen en periodieke hersteltests, conform het BIO2 normenkader. Ontbreken deze elementen, dan is sprake van een bevinding bij een ADR-audit.
Wanneer mag een overheidsorganisatie tijdelijk een niet-soevereine cloudoplossing kiezen?
Dit is aanvaardbaar als er sprake is van aantoonbare operationele noodzaak, geen tijdig beschikbaar soeverein alternatief, een gedocumenteerde risicoacceptatie door het bevoegd gezag, concrete exitstrategievereisten met een tijdshorizon en periodieke hertoetsing aan het geldende normenkader zoals BIO2. Ontbreekt een van deze elementen, dan is de keuze niet verdedigbaar bij toetsing.
Hoe kunnen ZBO’s en decentrale overheden de Belastingdienstcasus toepassen op hun eigen cloudinkoop?
Drie concrete stappen: start de afweging bij gegevensclassificatie (niet bij de leverancierskeuze), leg exitclausules en dataportabiliteitsbepalingen contractueel vast, en koppel de streefdatum voor migratie aan een concreet aangewezen alternatief platform. Zo blijft een tijdelijke keuze beheersbaar en auditeerbaar voor de eigen accountant en externe toezichthouders.
