Door Kevin Kolart, managing partner · Devolvio
Wat er verandert
Staatssecretaris Aerdts (Digitale Economie en Soevereiniteit) informeerde de Tweede Kamer op 3 juli 2026 over de herziening van het rijksbrede cloudbeleid. De hoofdlijnen:
- Bij het gebruik van publieke clouddiensten moeten Rijksorganisaties geopolitieke risico's en afhankelijkheid van één leverancier meewegen.
- Kritieke Rijksorganisaties, zoals een aantal ministeries en zelfstandige bestuursorganen, wordt afgeraden om voor hun kerntaken diensten te gebruiken van aanbieders die onder wetgeving van buiten de EU of EER vallen.
- Voor e-mail en documentbeheer raadt het kabinet publieke clouddiensten helemaal af.
- Wie toch een publieke clouddienst gebruikt, legt vooraf in een cloudstrategie vast waarom, welke risico's daarbij horen en hoe die worden beperkt.
- De eisen aan de exitstrategie worden scherper, en het aantal landen waar data verwerkt mag worden wordt verder beperkt.
- Bestaande diensten moeten binnen vier jaar aan het nieuwe beleid voldoen.
- Het kabinet gaat met medeoverheden in gesprek over een overheidsbreed cloudbeleid.
Wat het technisch vraagt
Beleid wordt pas uitvoerbaar als het vertaald is naar de inrichting van systemen. Voor de meeste organisaties komt het neer op vier onderdelen:
- Een inventaris per toepassing: welke clouddiensten worden gebruikt, van welke aanbieder, onder welke jurisdictie, en waar data wordt verwerkt — inclusief back-ups, logging en supporttoegang.
- Een exitstrategie die getest is: een representatieve export, herstel in een andere omgeving en een vastgelegde migratievolgorde.
- Per toepassing een vastgelegd besluit waarom die in de publieke cloud staat, met een eigenaar.
- Een migratieroute voor toepassingen die niet langer bij een niet-Europese aanbieder horen, met een planning binnen de termijn.
Voor leveranciers en ketenpartners
Het beleid geldt voor Rijksorganisaties, maar raakt ook wie aan hen levert. Leveranciers van software en diensten kunnen vragen verwachten over waar data wordt verwerkt, onder welke jurisdictie de gebruikte clouddiensten vallen en hoe een exit eruitziet. Het helpt om die antwoorden vooraf klaar te hebben.
Bron en reikwijdte
Dit artikel is een technische samenvatting, geen juridisch advies. De precieze eisen staan in de Kamerbrief "Herziening rijksbreed cloudbeleid 2026" van 3 juli 2026 en in het bijbehorende nieuwsbericht op rijksoverheid.nl. Stem de interpretatie af met de eigen juridische en informatiebeveiligingsfunctie.