Beleid voor de cloudtransformatie van de overheid
In 2022 heeft de staatssecretaris van Koninkrijksrelaties en Digitalisering het Rijksbrede cloudbeleid 2022 gedeeld met de Tweede Kamer. Hier wordt een helder kader gepresenteerd dat als leidraad geldt voor de digitale transformatie van de Nederlandse overheid. Dit beleid, uiteengezet in elf voorwaarden, beoogt een haalbare en vooral veilige overgang van publieke diensten naar de cloud.
Dit beleid stelt vast dat decentrale aanpak wordt aanbevolen en dat ieder departement actief aan de slag moet met een eigen migratiebeleid richting de cloud. Deze individuele benadering zorgt ervoor dat elke overheidsinstantie een gepaste route kan bepalen die afgestemd is op haar unieke behoeften en uitdagingen, terwijl ze gezamenlijk werken aan een samenhangende cloudstrategie.
Een fundamenteel element in het beleid, is de herkenning en erkenning van risico’s rondom het verwerken van gevoelige informatie en persoonsgegevens. De CIO-Rijk gaat een implementatierichtlijn ontwikkelen, waarbij besluitvorming rondom risicobeheersing transparant en herleidbaar moet zijn. Het departement of de ‘eigenaar’ van de gegevens wordt daarmee verantwoord gesteld voor een zorgvuldige en veilige aanpak. Ook wordt het belang benadrukt van specifieke risicoanalyses die rekening houden met de politieke en geografische factoren. Dit is een belangrijk aspect in het tijdperk van groeiende cyberveiligheidszorgen en de potentiële risico's van dataopslag in het buitenland.
In het beleid wordt aandacht besteed aan het formuleren van heldere afspraken over exit-strategieën in contracten met cloudleveranciers. Deze voorzorgsmaatregel is nodig om te waarborgen dat data veilig en gestructureerd teruggehaald of vernietigd kan worden aan het einde van een samenwerking. Dit beschermt niet alleen de operationele continuïteit en de integriteit van diensten, maar ook de privacy en veiligheid van persoonlijke gegevens van inwoners.
Een ander kritisch punt is de strikte naleving van de Algemene Verordening Gegevensbescherming (AVG), met extra veiligheidsmaatregelen voor gevoelige persoonsgegevens en restricties op het gebruik van public cloudvoorzieningen voor essentiële overheidsregistraties. Dit benadrukt de prioriteit die wordt gegeven aan de bescherming van persoonsgegevens en bevestigt de inzet van de overheid om op te treden als hoeder van privacy..
Binnen het kader van het Rijksbrede cloudbeleid 2022 wordt een specifieke en voorzichtige benadering gehanteerd ten aanzien van basisregistraties en hun bronnen. Standaard wordt het gebruik van public clouddiensten voor de opslag en verwerking van deze essentiële gegevens vermeden, tenzij een duidelijke en grondige uitleg (pas-toe-of-leg-uit) dit rechtvaardigt. Mocht er toch gekozen worden voor het gebruik van public cloudvoorzieningen voor basisregistraties, dan vereist dit een voorafgaande risicoanalyse of een Data Protection Impact Assessment (DPIA) die naar de CIO-Rijk wordt gestuurd voor advisering.
