'De Nederlandsche Bank maakt vertrouwelijk mailverkeer zichtbaar voor Microsoft'

De Nederlandsche Bank heeft end-to-endencryptie voor e-mailverkeer vervangen door TLS. Daardoor kan cloudaanbieder Microsoft nu meelezen met vertrouwelijk e-mailverkeer, zo ontdekte Follow the Money.

DNB gebruikte S/MIME, Secure/Multipurpose Internet Mail Extensions, voor het beveiligen van e-mail, maar is overgestapt op TLS, meldt Follow the Money. Bij S/MIME is de mail bij het versturen al versleuteld. TLS, zoals dat nu in gebruik is, heeft alleen versleuteling op de verbinding. Dat is algemener in gebruik, maar zorgt ervoor dat de mail te lezen is voor de serverbeheerder. In geval van DNB is dat Microsoft, want de bank maakt gebruikt van Microsoft 365.

DNB stopte met S/MIME omdat het te complex zou zijn. "Het opzetten en duurzaam beheren van end-to-endencryptie [..] voor communicatie met meer dan duizend onder toezicht staande instellingen is in de praktijk niet uitvoerbaar", aldus een woordvoerder tegen FTM. "DNB kiest daarom voor proportionele beveiliging, waarbij het beschermingsniveau in balans is met het beoogde gebruik en het risico." FTM zet daar vraagtekens bij, omdat S/MIME standaard in Microsoft Outlook zit en algemeen in gebruik is.

Volgens DNB is het gebrek aan end-to-endencryptie geen probleem, omdat e-mail alleen in gebruik zou zijn voor 'communicatie met een laag risicoprofiel'. Het beleid staat echter wel toe om informatie met het label DNB-Secret te versturen. Dat is vertrouwelijke informatie. Voor vertrouwelijke informatie zegt de bank te werken met aparte systemen met ‘strenge beveiligingsrichtlijnen’ en die een ‘hoger beschermingsniveau’ bieden.

DNB heeft zijn systemen van lokale servers gemigreerd naar de Microsoft-cloud, maar raadt dat nu andere banken af. Daardoor is de bank vatbaar voor Amerikaanse inmenging. De hoofdaanklager van het Internationaal Strafhof in Den Haag kreeg geen toegang meer tot de eigen mail vanwege Amerikaanse sancties.

Microsoft Outlook 2013

Reacties (160)

[Heaget]

Ik weet niet goed hoe ik moet verwoorden, maar ik zie elke dag een achteruitgang van privacy en veiligheid. Vaak wordt dat heel laks onder het kleed geschoven, zo ook in dit geval. Waarom zijn we niet allemaal in Paniek met de hoofdletter p? Ben ik de enige die het gevoel heeft te kijken naar een ongeluk in slow-motion? Niet een specifiek voor dit geval, maar voor ons hele land / heel Europa en alles wat nu afhankelijk is van Microsoft.

Hoe kun je niet in paniek zijn, of op zijn minst met grote vrezen vrezen als je weet dat al je (kritieke) bedrijfsinfrastructuur in handen is van een bedrijf in een land waar de president op z'n zachts gezegd onvoorspelbaar is.

Misschien begrijp ik het allemaal niet meer, maar het is wachten op het moment dat de grote knop wordt omgegooid en we direct in totale anarchie verkeren.

[bzuidgeest]

Ik adviseer je de "circle of influence" in de gaten te houden. Ik werd heel erg ongelukkig van mij druk maken over al die dingen. Ik heb er geen (directe) invloed op. Het is niet mijn keuze. Ik promoot het idee van Europese infra en daarmee heb ik gedaan wat ik kon. Dat adviseer ik jou ook te doen. Laat die figuren maar zelf op hun plaat gaan. Dan kunnen ze mij nog lang salaris betalen om de rommel op te ruimen die ze gemaakt hebben (niet dat ik nu voor de DNB werk).

Dat zulke organisaties in deze tijd zo laks kunnen zijn is een functie van niet begrijpen dat amerika wel eens een vijand zou kunnen zijn (of worden) gecombineerd met IT niet begrijpen op bestuursniveau en simpelweg kosten. Kosten voor infra, kosten voor certs regelen en afstemmen, kosten voor uitleg en ondersteuning etc... Dat hoort natuurlijk gewoon erbij. Maar voor managers is soevereiniteit gewoon een kostenpost.

[Henk1827]

Als we geen mensen hebben die zich er druk om maken verandert er niets en is het afgelopen onze economie en vrije maatschappij. Het is niet leuk om je druk te maken, maar als niemand deze pijn voelt gebeurt er niets.

Je kan je ook druk maken en doen wat in jouw circle of influence is. Stap over op Proton of Tuta. Adviseer je vrienden en familie. Alle kleine beetjes helpen. Dan verdien je het om je er even niet druk over maken. Je hebt dan je steentje bijgedragen.

[bzuidgeest]

Dus eigenlijk herhaal je wat ik al zeg. Je tweede alinea gaat over doen in je circle of influence.

En je eerste? Wat heeft druk maken over dingen die je niet direct kan beïnvloeden voor een zin?Je kan je beter druk maken over de dingen die je wel kan beïnvloeden. Dat is niet hetzelfde als het probleem negeren, het betekend dat je tevreden kan zijn als je de stapjes hebt genomen die je wel kan doen en het dan laten liggen. Als iedereen dat doet komt het vanzelf uit bij de machthebbers. Jou inzet kan zich verspreiden.

De persoon die de aanpassing moet doen moet de noodzaak voelen. Dat een willekeurige persoon ongelukkig word van iets dat hij of zij niet kan aanpassen is nutteloos. Maar opnieuw, dat is niet hetzelfde als niet voor voorstander zijn van een aanpassing. Besef is niet hetzelfde als frustratie. Of hoeft dat niet te zijn.

[Reactie gewijzigd door bzuidgeest op 21 januari 2026 08:23]

[Henk1827]

We zeggen denk ik, zoals jij al zegt, hetzelfde.

“Druk” maken hoeft niet perse te betekenen dat je volledig in de stress schiet. Maar de meeste mensen gaan pas acties ondernemen als iets ongemakkelijk voelt. Zonder dat ongemakkelijke gevoel gebeurt er niets. Als het jou lukt om hier heel rationeel naar te kijken en je niet ongemakkelijk te voelen, maar wel in te zien dat er iets moet gebeuren, is dat natuurlijk heel mooi.

[bzuidgeest]

Lukken? Verre van, het is een belangrijk onderwerp met de therapeut. Maar wat ik ondertussen besef is dat te veel stress ervan niet productief is en niets oplevert. Maar ik werk er wel aan. Ik ben een bouwer en ik snap niet waarom zoveel mensen op deze planeet zich bezig houden met afbreken. Nutteloze oorlogen zonder zinnige reden. Kijk wat er nu al bereiken en stel je voor wat we kan als we allemaal constructief bezig zijn. Het is heel frustrerend. En het is voor mijn en anderen hun welzijn beter om die cirkel wat kleiner te houden.

Zoals jij ook aangeeft, doen wat binnen je redelijke mogelijkheden ligt. Ik ga gewoon positieve dingen bouwen en dan heb ik toegevoegd aan de wereld, het is alles wat je kan doen. Als iedereen dat doet....

En beetje filosofisch wellicht, maar het is een actief onderwerp voor mij. En ik heb met die melding alleen al wellicht wat positiefs gebracht bij iemand.

[RetroMan]

Wat helpt overstappen op (EU mail providers) Proton of Tuta, als ik "straks" MS Windows niet meer (veilig) kan gebruiken (want US) en mijn netwerkverbinding niet meer veilig is (want US en China)?

[Niemand_Anders]

Overstappen op Europese infra los het probleem totaal niet op!

Met S/MIME wordt de mail encrypt voordat deze naar de maailserver wordt gestuurd en staat dan ook encrypted in de mailbox. Bij TLS is alleen de verbinding tussen client en server beveiligd (encrypted), maar niet de mail zelf.

Overstappen naar bijvooorbeeld Proton zorgt er voordat dat in plaats van Microsoft nu Proton je mail kan lezen.

Overigens moet ik de DNB wel een klein beetje gelijk geven. Een voorbeeld welke wij in 2024 tegen kwamen. Wij gebruikte voor een klant S/MIME en de klant besloot de shared mailbox te veranderen naar een alias met daarop een aantal forwards. Probleem was dat de nieuwe ontvangers niet de private key hadden voor de alias ([e-mail]), maar alleen voor hun eigen mailbox ([e-mail]). S/MIME op corporate niveau zorgt voor zoveel issues. Nadat ppuk de mail kon lezen, kon deze er niet op reageren met als afzender het info adres, want S/MIME was ingesteld om de persoonlijke private key te gebruiken. Dus klopte de signature van de reply mail niet meer. Deze klant had uiteindelijk een product (KeyTalk) van een derde leverancier nodig om key management gemakkelijker te maken.

[bzuidgeest]

Overstappen op Europese infra los het probleem totaal niet op!

Dan mis je toch een paar punten. Het is niet alleen de techniek waar we het over hebben TLS tegenover S/MIME. Het is ook dat de de partij in Amerika mogelijk niet te vertrouwen is. De cloud en patriot act zijn gewoon heel gevaarlijk voor data security. De EU heeft niet zulke wetten en belangrijker in de EU hebben we een beter rechtssysteem voor wanneer het fout gaat.

Tuurlijk is gewoon S/MIME gebruiken de echte oplossing. TLS is wellicht acceptabel met een EU partij. Maar TLS met een niet vertrouwde buitenlandse partij vinden de meesten hier terecht onvoldoende. Zeker in het huidige geopolitieke klimaat. En zoals je al aangeeft zijn de issues met S/MIME oplosbaar met een eventueel extern product. Dat is dan maar wat nodig is.

[Blue_Airplane]

Als het over dit soort informatie gaat, mag de discussie niet eens ter tafel komen mijn inziens. Veiligheid voor alles.

Waarbij de data versleuteld is en het liefst ook in eigen beheer.

Dat het bedrijfsmatig af en toe wat meer moeite kost om het correct op te zetten mag geen reden zijn om het te laten. Waarbij het als extra reminder zou moeten werken dat je met gevoelige informatie aan het werk bent en dat dat een bepaalde verantwoordelijkheid vereist.

Iets maar niet doen omdat het ongemakkelijk is, is vragen om problemen .

[bzuidgeest]

Ik denk dat ik dat niet tegenspreek :)

[Niemand_Anders]

Met S/MIME zijn deze helemaal niet gevaarlijk, want de mail staat encrypted in de mailbox. Het is de receiving client welke middels de private key het bericht leesbaar maakt.

Dit titel van dit bericht is dat DNB mail zichtbaar maakt voor Microsoft omdat ze overstappen op TLS only (transport beveiliging). Overstappen naar een andere provider, zelfs in de EU veranderd niets aan de titel omdat de mail dan nog steeds plain-text in de mailbox en niet langer encrypted.

Als de mail encrypted in de mailbox staat, dan kans zelfs Trump niet de mail lezen. Als Trump een Maduro actie uitvoert bij Proton en ineens een seal team daar op de stoep staat, dan kan men ineens wel je mail lezen als je alleen hebt gekozen voor TLS encryption. Proton roept dat ze je mail niet kunnen lezen, maar ik betwijfel dat ernstig aangezien zijn gewoon pop3/imap ondersteunen en als de mail plain-text in de mailbox staat en de mailserver kan de mail zien, dan kan de beheerder die ook gewoon zien. Dat zij algemene medewerkers geen tools geven om in die maIlboxen te kijken, betekend nog niet zij er totaal niet bij kunnen.

Met S/MIME kan alleen een persoon met de private key de mail lezen.

[bzuidgeest]

Het verschil zit in de kans dat ze gebruik maken van de mogelijkheid de mail te lezen.

[El_Scorpione]

Proton beweert juist dat ze niet bij je data kunnen, vanwege de strenge encryptie. Ik citeer: "Elke e-mail binnen Proton Mail is end-to-end versleuteld om de gesprekken van uw team echt privé te houden en gevoelige gegevens te beschermen tegen ongeautoriseerde toegang. Zelfs wij kunnen ze niet lezen"

De vraag is natuurlijk in hoeverre dat waar is....

Maar ik moet bekennen dat ik me toch ook wel een beetje druk maak over de hele situatie. Ik zit zelf behoorlijk in de Apple Cloud. Dat werkt echt fantastisch, maar het is wel Amerikaans. Hetzelfde geldt voor Gmail (daar heb ik alleen de mail staan).

Ik overweeg om over te stappen op Proton. Ze hebben voor vrijwel alle Apple/Google diensten die ik gebruik, een alternatief. Het enige nadeel is dat je contacten tussen Proton en je telefoon (in mijn geval een iPhone) nog niet kunt synchroniseren. Maar daar schijnt wel aan gewerkt te worden (bron: https://proton.me/support/proton-contacts-mobile). De vraag is: wat is "soon".

En dan Proton Drive. Werkt dat goed voor backup van je foto's (zoals iCloud foto's). We gaan het zien, denk ik dan. En ja, het kost wat. Maar ze verdienen niet aan jou, dus dat kost nu eenmaal geld.

Wie is er al over naar Proton?

[Heaget]

Je hebt helemaal gelijk, ik zou me er niet druk om moeten maken. En ik weet ook dat hoe druk ik me ook maak, er niets veranderd aan de situatie. Maar daar heb ik het verkeerde vakgebied voor gekozen denk ik. Het gaat me er meer om dat ik andere mensen wil laten inzien dat we in een soort van negatieve ontwikkeling terechtkomen, waarbij nu het nu nog heel vaak een ver van m'n bed show is voor veel mensen.

[bzuidgeest]

Je zit niet in het verkeerde vakgebied en het is iets waar ik zelf heel veel problemen mee heb. Daarom vond ik het belangrijk om het nog even te benadrukken.

[Mellow Jack]

Denk dat je niet moet onderschatten wat er veranderd. Denk ook dat we door moeten gaan. Maar we moeten wel een beetje realistisch zijn en daarin berusten. Ik doe prive vrijwel alles o.b.v. opensource en probeer gebruik te maken van oplossingen vanuit het Europese continent. Zakelijk zie ik twee dingen. Het eerste ding is het uitvoeren van reeds bestaande plannen. Daar gaat het nog steeds volle vaart richting Microsoft (Office 365, Azure, Entra, Purview, Defender, PowerBI enz). Het tweede ding is een besef dat we een probleem hebben. Het duurt even voordat dit besef in een hele organisatie is doorgedrongen. Daarna moeten risico analyses gedaan worden (waar ik werk hebben we al gauw 1000 applicaties). Daarna moeten strategieën aangepast worden (duurt al gauw een half jaar tot een jaar). Daarna de inkoop / aanbesteding processes. Dit alles in een juridisch ingewikkelde situatie (digitale autonomie, open source, eigen datacenter leveren uiteindelijk best weinig op).

Als dat allemaal doorlopen is moeten we de financiering aanpassen. We moeten accepteren dat we of alles zelf gaan doen (meer IT FTE in verhouding tot overig personeel) of meer gaan betalen voor losse SaaS oplossingen i.t.t. het combinatie pakket van de big tech (zoals de MS E5 licenties).

Het is aan het veranderen. We moeten blijven roepen. Maar voor mijn gevoel is (semi) overheid nu pas bezig met risico analyses en de aanpassingen vd strategieën en processen. Dit gaat nog wel even duren tenzij de politiek ballen toont en een nationale strategie neerzet incl financiering en juridische aanpassingen wat het mogelijk maakt alles wat niet Europees is te weren.

[bigbramel]

Simpele vraag? Ben jij op jouw werk al niet aan het pushen om alles Europees te maken?

[mphilipp]

Waar ik werk zijn wij hier al een poosje actief mee bezig. Het is alleen niet zo simpel als even snel naar een EU cloud provider gaan en de boel daar installeren. We zijn echter al best ver en onze backup wordt bv al over meerdere cloud providers via immutable storage verspreid. Dit voornamelijk als anti-ransomeware maatregel, maar wij willen ook niet afhankelijk zijn van één cloud provider. We willen - als er een haalbaar alternatief is - graag naar een 100% EU cloud provider.
Ook zijn wij stappen aan het zetten richting niet-US software, maar dat is zo mogelijk nóg lastiger dan een EU cloud provider. Maar de eerste pilots gaan dit jaar de lucht in en dat is al een eerste stap om van een grote US databaseleverancie af te komen. En dat zou dan een oplossing moeten zijn die makkelijker om te zetten is naar een andere cloud provider.

[procyon]

Ons volledige overheidsapparaat zou moeten overstappen op Linux en open-source kantoorsoftware. Het gebruik van MS Windows en MS Office betekent in de praktijk dat cruciale digitale infrastructuur buiten onze eigen invloedssfeer wordt geplaatst.

Een duidelijk voorbeeld is dat de hoofdaanklager van het Internationaal Strafhof zijn toegang tot zijn Microsoft-e-mail verloor nadat de Amerikaanse regering onder Trump persoonlijke sancties oplegde. Dat zulke politieke beslissingen directe gevolgen kunnen hebben voor essentiële communicatie is ronduit onacceptabel.

[Reactie gewijzigd door procyon op 20 januari 2026 14:32]

[bzuidgeest]

Een groot deel van de ontwikkelaars van open-source software komt ook uit Amerika. Dus het is niet direct een oplossing op dat punt. Maar je kan in ieder geval verder in geval van problemen omdat je een kopie van de code hebt. Maar daarnaast heb je ook mensen nodig die de code-base begrijpen om verder te kunnen ontwikkelen. Neem open-office. Niet bepaald een simpel ding om zomaar even aan te werken.

[procyon]

Een groot deel van de ontwikkelaars van open-source software komt ook uit Amerika. Dus het is niet direct een oplossing op dat punt.

De beperking is niet waar de ontwikkelaars vandaan komen. De beperking zit hem in het kunnen uitzetten (of inzien van data) van cloud diensten door derden. Absurd dat we dit accepteren.

Neem open-office. Niet bepaald een simpel ding om zomaar even aan te werken.

LibreOffice wordt ontwikkeld door The Document Foundation, gevestigd in Duitsland en gesteund door een sterke Europese gemeenschap. We doen vaak alsof we in Europa weinig kunnen, terwijl de EU simpelweg zo’n 450 miljoen inwoners telt. (dat is bijna Amerika en Rusland samen)

Als we onze eigen industrie eindelijk serieus gaan prioriteren (zoals nu al gebeurt bij de Europese wapenindustrie) dan kan het ineens heel hard gaan.

[bzuidgeest]

De beperking is niet waar de ontwikkelaars vandaan komen. De beperking zit hem in het kunnen uitzetten (of inzien van data) van cloud diensten door derden. Absurd dat we dit accepteren.

Maar je roept "open-source" en dat is niet een oplossing voor kunnen inzien van data. Open-source moet nog steeds ergens gehost worden en dat is vaak een central punt. Consumenten zitten niet te wachten op een homeserver.

We doen vaak alsof we in Europa weinig kunnen, terwijl de EU simpelweg zo’n 450 miljoen inwoners telt. (dat is bijna Amerika en Rusland samen)

Je hebt gelijk, we kunnen een hoop. LibreOffice was dan een slecht voorbeeld. Ik wist niet dat die foundation duits was. Zoveel van dat soort dingen is allemaal Amerikaans. En ja ook in termen van GDP is alleen dat van italie al hoger dan dat van Rusland. Dat is eigenlijk gewoon een kleine speler met enge wapens.

Als we onze eigen industrie eindelijk serieus gaan prioriteren (zoals nu al gebeurt bij de Europese wapenindustrie) dan kan het ineens heel hard gaan.

Helemaal mee eens, maar ik denk dat het meer moet zijn, niet alleen prio, maar gewoon buitenlandse diensten verbieden voor (semi)overheid. Het word pas economisch aantrekkelijk om een EU dienst te bouwen als je niet tegen google en microsoft hoeft op te concurreren. Dat is bijna onmogelijk

[procyon]

[...]

Maar je roept "open-source" en dat is niet een oplossing voor kunnen inzien van data. Open-source moet nog steeds ergens gehost worden en dat is vaak een central punt. Consumenten zitten niet te wachten op een homeserver.

Ooh ja, zeker. Voor eindgebruikers inderdaad 2 bruggen te ver, voorlopig.

Maar dit artikel richt zich op DNB.
Met open source kun je alles volledig naar eigen wens inrichten. Microsoft daarentegen stuurt met zijn producten sterk aan op het gebruik van OneDrive, dankzij de verregaande integratie ervan in al hun software. (Laten we al helemaal maar niet beginnen over hun Copilot )

[bzuidgeest]

Met open source kun je alles volledig naar eigen wens inrichten

Met een bijbehorende kostenpost. En nog veel belangrijker in dingen als de DNB en overheid en zo moet software vaak aan allerlei certificeringen voldoen, moeten er bepaalde support contracten e.d. geleverd worden. Wie doet dat voor open-source? Moeten ze alles zelf gaan certificeren bij elke patch? Wie levert de support? Er zijn vast partijen, maar is er een die ALLES doet? Of zit je met tien partijen die naar elkaar wijzen? Hebben al die partijen programmeurs? Krijgen ze hun changes upstream?

Technisch is open source geen probleem, maar de ellende zit niet in de techniek, maar die zit daaromheen.

Ik vind de meeste ISO-certificeringen een wassen neus, waardeloos. Maar de overheid denkt daar anders over. Anders weten ze niet hoe ze moeten laten zien dat ze iets nagelaten hebben.

[Reactie gewijzigd door bzuidgeest op 20 januari 2026 16:04]

[Pyronick]

Je benoemt terecht de huidige bureaucratische realiteit rondom support en certificering, maar we moeten ons dringend afvragen of die 'wassen neus' van ISO-certificeringen inderdaad niet juist onderdeel van het probleem is. Het normalisatieproces is verworden tot een politiek lobby-circus, met als dieptepunt hoe Microsoft het inferieure OOXML via ISO doordrukte, dwars tegen het advies van onze eigen inlichtingen- en veiligheidsdiensten en Defensie (en zelfs de NAVO!) in die juist het veiligere en transparantere OpenDocument Format (ODF) adviseerden. We moeten daarom stoppen met blind varen op door vendors gedomineerde ISO-stempels en toe naar een soeverein, juridisch toetsingskader, desnoods via een eigen EU-normering en een mandaat voor Forum Standaardisatie, waarbij nationale veiligheid en data-portabiliteit zwaarder wegen dan commerciële belangen.

Wat betreft support en de 'versnippering': de oplossing ligt in het verlaten van het 'free-rider' gedrag en het omarmen van het Enterprise Linux-model (zoals het mega succesvolle Red Hat). In plaats van miljarden te betalen aan Amerikaanse 'middle-men' die gratis open source componenten repackagen in een gesloten cloud-abonnement, zou de overheid dat geld strategisch moeten inzetten door SLA's af te sluiten bij Europese integrators die direct upstream bijdragen aan de code. Door onze koopkracht in OESO-verband te bundelen, creëren we niet alleen professionele support en audits zonder vendor lock-in, maar stimuleren we ook onze eigen digitale economie in plaats van slechts de rentmeester te spelen voor Silicon Valley.

[supersnathan94]

de oplossing ligt in het verlaten van het 'free-rider' gedrag en het omarmen van het Enterprise Linux-model (zoals het mega succesvolle Red Hat). In plaats van miljarden te betalen aan Amerikaanse 'middle-men' die gratis open source componenten repackagen in een gesloten cloud-abonnement

Euhm. Hebben wij het over dezelfde Red Hat?

Red Hat, for example, often backports updates to the software we ship in Red Hat Enterprise Linux (RHEL) to maintain the version that we shipped.

(is Joke btw, maar wel met een kern van waarheid. RH is nou niet echt een bedrijf wat zo'n fantastisch trackrecord heeft op het gebied DEI en communicatie).

[Pyronick]

Fair point!

Red Hat is inderdaad ook gewoon een Amerikaanse entiteit (zeker sinds de overname door IBM). In het kader van strategische autonomie was het Duitse SUSE wellicht een beter voorbeeld geweest.

Overigens is dat 'backporten' in enterprise-context juist een feature, geen bug: organisaties betalen voor voorspelbaarheid en stabiliteit (ABI-compatibiliteit), niet voor de bleeding edge.

Maar ondanks de terechte kritiek op hun corporate cultuur, hebben ze wel de weg geplaveid voor F(L)OSS tools die we nu als industrie-standaard beschouwen: denk aan Ansible, Cockpit, Podman (en de hele OCI-stack zonder Docker-daemon) en natuurlijk systemd. En die schalen allemaal terug tot het niveau huis-, tuin- en keuken hobbyist!

Desalniettemin blijft de kern van mijn betoog staan: het Enterprise Linux-model bewijst dat F(L)OSS projecten economisch levensvatbaar zijn zonder dat de overheid haar ziel hoeft te verkopen aan een gesloten vendor lock-in model. Het 'Public Money, Public Code'-idee kan m.i. wel goed werken boven op het Red Hat SuSE 'Enterprise Linux' model!

[bzuidgeest]

Ben ik meest met je eens. Maar red-hat een mega success? Het is een tak van IBM geworden, wat mij betreft dus een aflopende zaak... dat is alles wat IBM koopt . Heel jammer.

die gratis open source componenten repackagen in een gesloten cloud-abonnement,

Dat ie hoe dienstverlening werkt of het nou daar of hier is. Sommige van die bedrijven leveren ook programmeurs aan die projecten die ze gebruiken. Dus er kan best een wisselwerking zijn. En die bedrijven garanderen dan een uptime e.d. Wat belangrijk is, is dat we EU bedrijven gebruiken voor kritieke dingen.

En ja we moeten natuurlijk bijdragen. De EU heeft zat innovatie fondsen hiervoor. Maar is niet gewend met een dynamische opzet als open source. Dat zijn veel enterprise bedrijven ook niet.

edit:
dit was meest al gezegd. Ik had nog niet alle reacties en verdere reacties gelezen.

[Reactie gewijzigd door bzuidgeest op 21 januari 2026 10:27]

[procyon]

Terechte punten, deze hordes moeten genomen worden.
Net zoals wapens kopen voorheen eigenlijk altijd een Amerikaanse partij moest zijn, kan de overheid, mits tot nieuwe inzichten gedwongen ineens wel flexibel opereren. Zeker als deze wind door de gehele EU gedragen wordt. We gaan het zien. Wat mij betreft, liever vandaag dan morgen.

[Ronny77]

Misschien is ISO een wassen neus, maar je zult bepaalde dingen toch ergens moeten vast leggen om een referentiekader te hebben.

Zonder ISO had je helemaal geen neus, dus daar ben je niet beter mee af.

Als je dingen beschrijft kan je altijd gaten vinden om bij langs te werken. Als je het niet beschrijft heb je niets om mee te werken naar te verwijzen of mee te slaan.

Het zelfde met die rechtse rakkers die klagen over de regeldruk en gebruik van gezond verstand. Als die geld kunnen verdienen met het dumpen van een chemisch goedje dan durven die nog rustig te zeggen dit specifieke goedje is niet verboden dus het mag gewoon en ik kan er leuk aan verdienen wat is daar mis mee! 🤯

[bzuidgeest]

Er word op dit moment ISO gecertificeerd om ISO certificering te hebben. Er word niet gekeken naar wat het bijdraagt en of het positief bijdraagt. Het is een label waar om het te verkrijgen een mooie fabel voor word weggezet. Een minimum effort om het te krijgen. Een bedrijf met een beter product en een bewezen trackrecord, maar zonder ISO mag niet meedoen waar een ISO bedrijf dat een rot reputatie heeft en een slecht product dat wel mag. En ISO is niet gratis, dus het is een belasting voor het goede bedrijf.

We moeten inderdaad referentie kaders hebben, maar veel belangrijker is dat we afspraken hebben. Afspraken over wat je verlangt van elkaar, niet hoe het gedaan moet worden. Op die manier kan iedereen kijken hoe ze de doelstellingen zo optimaal mogelijk halen en niet het risico op een slecht werkend iets omdat het aan een vage ISO standaard probeert te voldoen die ouderwets is en niet past op de nieuwe ontwikkeling. Net zo dom als een supermarkt CAO proberen te forceren op iets als picknick. Een bedrijf dat voedsel levert, maar geen winkels geen kassières etc heeft.

ISO zoals het is voor bedrijfsprocessen is waardeloos. (ik sluit iso standaarden voor praktische dingen als electriciteit en stekkers e.d. even uit).

[Ronny77]

Zoals gezegd ben ik niet altijd een fan van ISO standaarden, maar jij redeneerd te veel vanuit goede wil. Onder het mom als wij afspraken hebben gemaakt om een goed product te leveren dan lever je een goed product.

Het probleem is echter als het mis gaat. Dan moet je ook goed ook kunnen laten zien dat je wel degelijk een kwaliteitscontrole hebt en dat je zaken test hoe je test en wie ze test.

Er zIjn garage bedrijven die alleen met een lucht sleutel de wielen vast zetten, want meestal gaat dat goed. En anders betalen ze de schade wel als het mis gaat. En als het echt mis gaat en er doden bij vallen is het maar de vraag of iemand kan aantonen waar het fout gegaan is.

Dus je kan de certificering zien als een last omdat je zaken op papier moet zetten, maar het is ook bedoeld om helder te krijgen hoe processen lopen en wie waar verantwoordelijk voor is en hoe zaken geborgd zijn. Daar heeft het bedrijf ook belang bij.

[bzuidgeest]

maar het is ook bedoeld om helder te krijgen hoe processen lopen en wie waar verantwoordelijk voor is en hoe zaken geborgd zijn.

Maar dat kan je allemaal doen in je contract afspraken. En dan kan je ze aanpassen op de situatie. Een bedrijf in een keurslijf forceren dat niet van toepassing is of maar half is juist vragen om problemen.

Wat ik nu zie is allemaal bedrijven met een minimum effort om te laten zien dat ze voldoen en dan alle werkelijke actie in schaduw processen laten lopen die wel goed werken. Dan kan de autopiloot ook even de iso docu samenstellen op basis van de echte informatie.

De ISO certificering word gezien als garantie op een goed product en goede service en dat is gewoon alles behalve waar.

[Ronny77]

Dat zou kunnen, het probleem is alleen dat als je per contract alles tot 7 cijfers achter de komma gaat lopen uitschrijven dat je al snel een keer wat mist of fout beschrijft.

De reden dat veel aanbestedingen duurder worden als verwacht zit juist in het beschrijven van de contracten vooraf terwijl je soms niet eens weet wat het eind punt is.

Daardoor kom je al snel in meerwerk uit.

Het alternatief is in kleinere stappen gunnen en samen ergens naar toe werken. Het risico daarvan is dat er veel te veel vriendjes politiek in de hand werkt of dat bedrijven denken we zijn nu bezig dus we kunnen wel wat extra vragen.

Met andere woorden je kan het nooit goed doen.

[bzuidgeest]

Aanbestedingen zijn nog zo een rampzalig iets. Goede bedoelingen, maar helemaal kapot systeem in de praktijk. Het limiteert de keuze opties en zijn voor klant en leverancier ingewikkeld en duur. En je kan ook uitkomen op iets dat je niet wil hebben. Neem E-learning systemen. Ben je elke paar jaar van systeem aan het migreren omdat een andere aanbieder zijn systeem even goedkoper uitkwam in de aanbesteding. En ze hebben allemaal hun eigen systeem. Er zijn geen resellers.

[supersnathan94]

Met open source kun je alles volledig naar eigen wens inrichten.

Nou, naar wens, naar budget. het kost ook ontzettend veel om dergelijke zaken in te richten en goed te combineren.

Wat Microsoft goed doet is een heel groot matig product neerzetten wat voor iedereen alles net voldoende goed doet om niet van frustratie weg te rennen. Dat is best knap. maar zorgt er dus wel voor dat mensen die het kunnen ontwijken, het ook echt wel doen.

Het ding is alleen dat het dan best wel behoorlijk technisch gaat worden waarom bepaalde dingen werken zoals ze doen en om het met elkaar werkend te krijgen.

Zakelijk gezien is dat een enorme support kost. Ook Denemarken (Kopenhagen) loopt daar nog steeds tegenaan. Die hebben ook gewoon uitzonderingen voor sommige individuen om wel nog MS software te gebruiken (want VBA scripting en ander geneuzel).

Voor DNB geldt. Sure ze kunnen nu meelezen... maar zijn we echt zo dat we denken dat ze daar niet al toegang tot hadden via Microsoft Outlook op Microsoft Windows?

Daarnaast, als DNB zijn spul in PCI compliant omgeving heeft staan zit er ook daar intern gewoon versleuteling op het netwerk. PCI-DSS vereist namelijk dat je intern ook niet zomaar alleen HTTP verkeer gebruikt. Ik neem aan dat ze "DNB-secret" data niet in een non-compliant omgeving hebben staan (of iig niet een omgeving die niet vergelijkbaar met DCI-PSS is)

[Hemingr]

Het probleem is er beetje dat van die 450 miljoen het overgrote deel “arm” is in vergelijking met de rest. Dus tenzij je aan de subsidie spons gaat hangen met een vleugje EU corruptie voor de afroming er weinig echte markt is.

[bzuidgeest]

Vleugje EU corruptie? De EU is wereldwijd een van de minst corrupte instituten die er is. Dacht je nou echt meer openheid en transparantie te krijgen in Amerika, Rusland of China? Amerika waar je in de regering met voorkennis van komende wetten op de beurs mag handelen?

Ik denk dat het hoog tijd word dat mensen even reflecteren. De EU is niet perfect. Overal waar macht zit komt enige corruptie voor. Het zijn ook gewoon mensen. Maar we moeten niet gaan lopen doen alsof het hier bijzonder slecht is. Of niet gewoon erg goed. mensen als Max Schrems e.d. bewijzen wat er hier mogelijk is voor de burger. Probeer dat maar eens elders. Al dat gesteek naar de EU is koren op de molen van corrupte anti-democratische invloeden. Moet het beter? Draag dan bij aan beter. Ga werken in brussel, promoot sterker anti corruptie regels etc. Maar gooi niet de baby met het badwater weg.

[Pyronick]

Je slaat de spijker op de kop met dat ICC-voorbeeld, maar we moeten erkennen dat de overstap naar open source en Linux veel meer is dan een technische voorkeur; het is een keiharde noodzaak voor onze nationale veiligheid en het behoud van onze rechtsstaat.

Het huidige model, waarin onze vitale infrastructuur de facto eigendom is van Amerikaanse Big Tech en daarmee onderhevig aan de Cloud Act en inmiddels ook grillige buitenlandse sancties, is in feite een schending van het sociaal contract en diens verplichtingen dat onze overheid met haar burgers heeft. We hebben daarom geen behoefte aan vrijblijvende richtlijnen of politieke intentieverklaringen, maar aan harde juridische verankering via een Europese verordening of een verdragenrechtelijke 'Coalition of the Willing' of juist onze Benelux die het ‘Public Money, Public Code’-principe en open standaarden onvoorwaardelijk afdwingt. Daarbij is het erkennen dat het feit (zoals tot diep in de jaren ´80 de norm was) dat dit niet meer! het geval is, het resultaat van onethische normvervaging is.

Bij de aanbesteding van vitale processen moet digitale soevereiniteit de absolute prioriteit krijgen door keiharde exit-strategieën met verplichte broncode-overdracht en een sluitende SBOM te eisen, zodat we vendor lock-in en supply chain attacks effectief kunnen pareren. We moeten de architectuur fundamenteel herzien volgens het subsidiariteitsbeginsel, waarbij we kiezen voor decentrale verwerkingscapaciteit en zelfs robuuste analoge fallbacks, zodat onze democratie en basisadministratie niet platgaan zodra een commerciële monopolist of een buitenlandse mogendheid de stekker eruit trekt.

Zolang we dit niet regelen, faciliteert onze overheid geen publieke veiligheid (haar existentiële randvoorwaarde) en innovatie, maar organiseren (lees: behouden) we slechts onze eigen (digitale) vazalschap. Maar we moeten dus eerst erkennen dat de status quo het resultaat is van normvervaging en het onteren van het sociaal contract door de overheid.

[bigbramel]

Ben jij dan ook bereid om een stuk meer belasting te betalen om al die ICT'ers te betalen om een OS overgang mogelijk te maken?


Er is een noodzaak, maar het is niet zo makkelijk om dit in een organisatie te doen zoals je eventueel in je homelab heb gedaan.

[procyon]

Er is een noodzaak, maar het is niet zo makkelijk om dit in een organisatie te doen zoals je eventueel in je homelab heb gedaan.

Het gaat er niet om dat we altijd voor de makkelijke optie moeten kiezen. Dat hebben we juist al gedaan, met als gevolg dat we nu afhankelijk zijn geworden van onder andere Amerika.

Hetzelfde zagen we bij Duitsland, dat jarenlang aan het infuus van goedkoop gas lag. Of bij ons eigen leger, dat we verwaarloosden in de veronderstelling dat Amerika ons wel zou beschermen.

Wat nu duidelijk wordt, is dat deze ‘providers’ ons klein hielden en daarmee indirect macht over ons uitoefenden. Ja, verandering doet op de korte termijn pijn, maar op de lange termijn is dit eigenlijk een no-brainer.

Gas elders inkopen kost meer geld.
Een eigen leger opbouwen kost meer geld.
Onafhankelijk worden van Microsoft/google kost meer geld.

Maar op de lange termijn staan we er sterker en zelfstandiger voor.

[Pyronick]

Ben jij dan ook bereid om een stuk meer belasting te betalen om al die ICT'ers te betalen om een OS overgang mogelijk te maken?

Absoluut, want de vraag stellen is hem eigenlijk al beantwoorden: veiligheid en autonomie zijn nooit gratis. We maken nu met onze digitale infrastructuur precies dezelfde fout als met onze krijgsmacht na 1989: we hebben ons rijk gerekend met het 'vredesdividend' door kritieke capaciteiten weg te bezuinigen of uit te besteden. Nu de geopolitieke spanningen oplopen, moeten we die verwaarlozing inhalen via een peperdure, overhaaste 'herbewapening' omdat we decennialang hebben geweigerd te investeren in eigen slagkracht.

De kosten van deze digitale transitie vallen bovendien in het niet bij de honderden miljarden die we kwijt waren aan het redden van banken in 2008 of de huidige noodgedwongen investeringen in defensie. Bovendien: betaal ik dat belastinggeld liever aan Nederlandse en Europese ICT-specialisten (of gewoon mondiaal, als het maar libre is) die onze lokale kenniseconomie versterken, of blijf ik liever miljarden overmaken naar Redmond voor licenties waarmee we slechts onze eigen afhankelijkheid en juridische kwetsbaarheid in stand houden? Soevereiniteit is geen kostenpost, maar een bestaansvoorwaarde.

Zonder soevereiniteit heeft onze overheid overigens ook geen bestaansrecht. Gezien de huidige maatschappelijke gemakzucht koersen we af op een existentieel probleem: Als men niet ingrijpt, glijdt onze rechtsstaat af naar een bestuurlijk pandemonium waarin de overheid feitelijk machteloos is.

[Reactie gewijzigd door Pyronick op 20 januari 2026 17:24]

[CAPSLOCK2000]

Ben jij dan ook bereid om een stuk meer belasting te betalen om al die ICT'ers te betalen om een OS overgang mogelijk te maken?

Op korte termijn zal het inderdaad veel geld kosten, maar als dat geld helemaal naar Nederlandse/Europese IT-bedrijven gaat ipv miljarden naar de VS te sturen dan zou het op termijn wel eens goedkoper kunnen zijn.

[Llopigat]

Organisaties maken het zelf lastig.

Bij ons op het werk ben ik meer bezig met het door hoepels springen die onze collega's hebben opgeworpen dan met echt implementatiewerk.

Veel van die regeltjes kunnen er best uit maarja dan heeft een of andere afdeling die die bedacht heeft geen bestaansrecht meer dus die vechten voor hun heuveltje. En onze leiding heeft geen zin in het politieke kapitaal dat zo'n gevecht kost dus die geven maar toe. Er zijn hele teams die bezig zijn om te meten of knopje Q156 in applicatie Xyz wel 56,8% van de tijd gebruikt wordt en zoniet hoe ze een 'adoptie' campagne moeten aanslingeren. Of dat de lifecycle van een applicatie wel exact op papier gedefinieerd is. Wat sowieso geen enkele zin heeft met cloud apps zoals office want Microsoft trekt gewoon de stoel onder je vandaan door van de ene dag op de andere alles te veranderen. Je kan wel veel mooi de status quo modelleren maar niemand garandeert dat het morgen nog zo werkt.

Maar als puntje bij paaltje komt dan kan het echt wel snel. Dan moet alleen even een hoop van die overhead en proces shit ff opzij gezet worden. In een noodsituatie kan dat prima.

En ik denk dat er bij de overheid nog veel meer procesgedoe is. Want ambtenaren houden van papierwerk.

[Reactie gewijzigd door Llopigat op 20 januari 2026 22:53]

[Sinester]

Ons volledige overheidsapparaat zou moeten overstappen op Linux en open-source kantoorsoftware.

Hier is toch al voor overheidsinstanties een beleid voor in Nederland?
https://www.digitaleoverh...erpen/open-source/beleid/

Of hebben allemaal zwaarwegende redenen om dit niet te doen

[Heaget]

Heel eerlijk, wij worstelen dagelijks met dit vraagstuk op hele grote schaal. En ik ben absoluut van mening dat het niet makkelijk is, maar wel uiterst noodzakelijk. Nu zeggen "het komt wel goed" is simpelweg het vooruitschuiven van de schade.

[bigbramel]

Waarom vereis je dan de rest van Nederland in volledig paniek modus moet gaan en nu in een slag overgaat in Europese oplossingen?

Dat is namelijk mijn probleem met je comment. Het is duidelijk dat jezelf en je werkgever er ook niet hard mee aan de slag zijn of überhaupt omgegaan zijn.

Want als ik naar mijn werkgever kijk, zal mijn baas nimmer nooit niet nu een groot project goedkeuren naar open source. Laat staan dat alle bedrijfskritieke applicaties volledig Windows gebaseerd zijn. Als ziekenhuis hebben we de middelen niet en als we de middelen hadden, had iedereen geklaagd dat de zorg zo duur was.

[whiner]

Dat de zorg duur is komt echt niet door de IT infra maar eerder door de wurgcontracten met pharma en verzekeringsmaatschappijen.

[bigbramel]

Dus de zorg is duur omdat zorgverzekeraars vereisen dat ze goedkoop zijn?

Verder wil ik je erop wijzen dat Nederland eerder wurgcontracten met pharma hebben dan andersom. Nergens anders in Europe is medicatie inkoop zo goedkoop.

[Linux gebruiker]

Dus de zorg is duur omdat zorgverzekeraars vereisen dat ze goedkoop zijn?

Verder wil ik je erop wijzen dat Nederland eerder wurgcontracten met pharma hebben dan andersom. Nergens anders in Europe is medicatie inkoop zo goedkoop.

Dat zou je niet zeggen, toen nog in de farmaceutische groothandel werkte, haalde wij overal medicatie uit alle EU landen als parallel import, dat wil toch zeggen dat dezelfde medicatie in het buitenland goedkoper was.

En behoorlijk goedkoper want voor de apothekers was het verstrekken van parallel import ook aantrekkelijk.

[theredspecial]

Wat ons overigens gelijk in problemen brengt als de medicijnketen vast loopt. Marges in NL zijn laag, dus bij een probleempje krijgen we als eerste niets.

[Heaget]

Misschien niet helemaal duidelijk, maar wat ik bedoelde was dat als je als Nederlands bedrijf je hele infra bij MS hebt staan, dan mag je zo langzamerhand wel enige paniek gaan voelen, gezien de huidige ontwikkelingen.

Hoe je tot de conclusie komt dat ik, en mijn werkgever er niet mee bezig zijn ontschiet me een beetje, daar ik juist aangeef dat dit voor ons een dagelijks vraagstuk is, want zoals je zelf aangeeft hebben we helaas risico ook af te wegen tegen kosten EN operationele beschikbaarheid.

[bigbramel]

maar wat ik bedoelde was dat als je als Nederlands bedrijf je hele infra bij MS hebt staan, dan mag je zo langzamerhand wel enige paniek gaan voelen, gezien de huidige ontwikkelingen.

Dat is al heel wat anders dan eisen dat organisaties Paniek met hoofdletter P moeten gaan hanteren. Dit geeft duidelijk aan dat je wilt dat organisaties binnen nu en volgend jaar volledig over zijn. Nu zwak je het opeens af.

Hoe je tot de conclusie komt dat ik, en mijn werkgever er niet mee bezig zijn ontschiet me een beetje, daar ik juist aangeef dat dit voor ons een dagelijks vraagstuk is, want zoals je zelf aangeeft hebben we helaas risico ook af te wegen tegen kosten EN operationele beschikbaarheid.

Oftewel jij en de organisatie zijn niet in Paniek met hoofletter P modus, maar gewoon rustig aan aan het aanpassen. In een modus waar o.a. kosten belangrijker zijn, na een tijdperk waar juist organisaties zo hard naar Microsoft zijn gestapt vanwege de kosten. Daarom denk ik dat niet oneerlijk is om te zeggen dat jezelf niet houdt aan je eigen oproep

[Heaget]

Goed om een discussie te voeren hoor, maar je gaat wel uit van heel veel aannames.

Ik geef nergens aan dat bedrijven binnen nu en volgend jaar over moeten zijn, maar dat er paniek mag zijn over wat er mogelijk kan gebeuren is wel zeker wat ik bedoel, dat zwak ik ook niet af.

Wat mij en mijn organisatie betreft is het natuurlijk heel makkelijk om te zeggen dat wij rustig aan het rondkijken zijn, maar dat is wederom een verkeerde aanname. Dat maakt verder niet uit want je kan natuurlijk ook niet weten voor welk bedrijf ik werk, hoe groot we zijn en waar we gesitueerd zijn. En natuurlijk zijn kosten belangrijk, hoe jammer ik dat persoonlijk ook vind blijft dit een absolute waarheid. Dat neemt nog niet weg dat ik een voorvechter ben voor een andere invulling van onze eigen IT infrastructuur en daar zo goed mogelijk voor aan de slag ga.

Uiteindelijk ben ik maar een heel klein deeltje in een grote organisatie, maar ik kan nog steeds hopen om die verandering te bewerkstelligen door middel van onderbouwde argumenten, risico analyses en onderzoek.

[Zezura]

Onzin want we hebben prima Nederlandse oplossingen voor EPD e.d. waaronder ChipSoft (BV).

We moeten alleen als europa gaan investeren in open source waaronder compatibility laag voor Windows.
Zoals WINE. Als we daar met heel de EU aan gaan werken, dan denk ik dat we binnen de kortste keren van Windows 11 af zijn. Daarna af kunnen stoppen van Office. Uberhaupt als meer mensen besluiten andere oplossingen te gaan gebruiken zoals PDF, heb je Office als programma's niet eens meer nodig. En wow, tegenwoordig werkt office in de cloud via je browser.

Belangrijkste is dat we in europa, stoppen met overnames van techbedrijven door amerikaanse bedrijven.

[Reactie gewijzigd door Zezura op 20 januari 2026 15:02]

[bigbramel]

Onzin want we hebben prima Nederlandse oplossingen voor EPD e.d. waaronder ChipSoft (BV)

Welke volledig Windows is en zodanig prima donna dat de client hooguit enkele ms van de server mag staan. Dus opvallend dat je denkt dat dergelijk programma überhaupt via WINE gaat werken.

De realiteit is dat het niet zo simpel is als bij je thuis in een homelab.

[Zezura]

[...]

Welke volledig Windows is en zodanig prima donna dat de client hooguit enkele ms van de server mag staan. Dus opvallend dat je denkt dat dergelijk programma überhaupt via WINE gaat werken.

De realiteit is dat het niet zo simpel is als bij je thuis in een homelab.

Ik begrijp je niet, wat heeft een Nederlandse oplossing of een europees focus op opensource software en/of compatibiliteit met Windows te maken met milliseconden?

[bigbramel]

Jij bent degene die beweerd dat Windows-applicaties maar even met gemak op WINE gezet kunnen.

Maar HiX (dat EPD van Chipsoft) is volledig Windows gebaseerd. Zelfs HiX-mobiel voor Android is niet uitgebreid genoeg om op zijn minst de client zijde van de applicatie te vervangen. Daarbovenop komt ook nog dat HiX een draak van een programma is, met duidelijkste voorbeeld dat je de client niet te ver van de server mag zitten. Dus denken dat deze applicatie ook werkt als je het even op Linux zet met Wine, is ook ver van realistisch.

Maar wel eisen dat niks op Windows mag werken.

[Zezura]

Veel programma's, zeker belangrijke, waarbij bedrijven zelf niet willen investeren in Linux compilatie, die kunnen we als europese programmeurs echt wel werkend krijgen via Linux. Nu ben ik het met je eens dat je niet zomaar een EPD wil emuleren want het gaat om een belangrijk en gevoelig programma en patienten. Echter kan je als samenleving ChipSoft wel aanmoedigen om zelf te werken aan compatibiliteit met Wine en misschien daarna een build voor Linux. Als ze niet al gelijk kunnen beginnen aan een Linux build.

Het is niet zo dat als een frontend Windows draait dat de Backend ook Windows is. Het zou best kunnen zijn dan het frontend met wat wijzigingen makkelijk werkt op Linux. Game-engines zijn ook geport naar platformen waaronder Playstation 4, Xbox, Nintendo Switch, Linux & Mac. Dat zijn ook hele ingewikkelde architectuur en code-bases die daarna feilloos moet werken. Zeg niet dat het niet kan, want het is echt wel mogelijk. Kwestie is alleen of er voldoende prikkels zijn om het te doen.

[bigbramel]

Dan heb je meer geloof in Chipsoft dan ik, en ik werk als ICT'er op zijn minst wekelijks mee.

En ja de backend van HiX is ook volledig Windows, geldt ook voor vele andere bedrijfskritieke applicaties.

En de kans voor een open source EPD heeft heel Nederland rond 2010 volledig verknald.

[Baserk]

Mij schiet meteen een grap uit de film 'La Haine' te binnen;

"Het is het verhaal van een man die van (het dak van) een flat van 50 verdiepingen valt.

Elke verdieping herhaalt hij; 'Tot nu toe gaat het goed, tot nu toe gaat het goed, tot nu toe gaat het goed.'

Maar het belangrijkste is niet de val, dat is de landing."

[Croqy]

ik riep in de eerste termijn Trump bij mijn werkgever in de overheid al: deze overstap van on-premise Office naar Cloud moet je niet doen! Maar niemand die het wilde horen. Bestuurders luisteren over het algemeen slecht naar hun interne adviseurs, die laten zich "merkwaardig genoeg" liever door de grote externe adviesbureaus adviseren. En die zijn vaak partner met big tech.

Ik zeg niet dat het doelbewust zo gaat hoor, maar wel dat het aan bestuurlijke competentie vaak ontbreekt om over dit soort onderwerpen een goed onderbouwd standpunt in te nemen.

[vDorst]

Ik probeer ze toch wel te wijzen op de risico's. Ik denk dat het ook belangrijk is bij een Clouddienst, heb je dagelijkse backups en zijn deze backups nog leesbaar zonder de hulp van de Clouddienst.

Dus kan je bijvoorbeeld over naar mailprovider X en kan ik mijn emails weer terug zetten binnen een acceptabele tijd.

[bzuidgeest]

Ja, maar daar is weinig belangstelling voor.

[arjankoole]

Ja, maar daar is weinig belangstelling voor.

gelukkig begin ik te merken dat er wel een omslag gaande is.

we hebben 't nog nooit zo druk gehad.

[bzuidgeest]

Bij een enkele partij wel. Maar naar mijn mening veel te weinig. Ik werkt voor (semi) overheid. Dus het liefst zie ik een verbod op niet EU diensten in die branche. Dan zit ik ook voorlopig niet meer zonder werk .

Zolang Microsoft is toegestaan veranderd er niets. Het aanbod is te uitgebreid en te goed geïntegreerd. Voor elke individuele toepassing is er een betere op de markt. Maar niets dat zo groot en uitgebreid geïntegreerd is. En dat is heel lekker voor bedrijven. De prijs is nog redelijk voor wat je krijgt. Daar kan je als EU bedrijf gewoon niet tegen op. De financiele macht van Microsoft is te groot.

Neem het idee van Nextcloud in het onderwijs. De licentie zijn daar tien keer duurder dan bij Microsoft voor scholen met onderwijskorting en je krijgt zelfs op email en calender gebied veeeeeeel minder functionaliteit. Nextcloud kan vast het beter maken, maar dan moeten ze wel flink klanten en investering zien en die komen pas als er functionaliteit is en lagere prijs. Kip en EI. Dat breek je alleen door buitenlandse bedrijven te verbieden.

[Craelis]

Zelfs in China of Rusland is Microsoft/office niet verboden en vaak zelfs nog steeds de standaard. Er zijn alternatieven daar, maar die zijn ook lang niet zo volledig als de US tech.

Vind sowieso aan deze discussie, hoe reëel is het gevaar echt dat de US alles af gaat knijpen? MS is geen staatsbedrijf en heeft enorme belangen in de EU. Die zullen dus flink lobbyen en onderhandelen bij de US en de EU om dat zo te laten. Met Russiche universiteiten hebben ze ook speciale afspraken geloof ik.

Is het voor het zelfde geld niet net zo gevaarlijk dat we het Duitse LibreOffice gebruiken? Of het Franse LeChat?

Verder, kom maar door hoor met de EU alternatieven!

[bzuidgeest]

China en Rusland zijn twee heel bijzondere voorbeelden natuurlijk met heel verschillende redenen. MS Office is in China niet verboden, maar de overheid heeft zijn eigen linux distro en zijn eigen rest van de tooling. En die word ook "gepromoot". Ze hebben MSOffice, zijn zijn volledig voorbereid op iets anders gebruiken, zeker in kritieke systemen.

Rusland is gewoon een corrupte bende. Ze bewaken niet de desktop, ze bewaken de communicatie. En ze kijken daar niet op van gewoon geen licenties betalen om het maar simpel uit te drukken. Vergeet ook niet dat Rusland veel land oppervlak heeft, maar een kleinere economie dan Italie (GDP) en nauwelijk meer bevolking zo niet minder.

Hoe groot het gevaar is dat men iets afknijpt gaat hand in hand met hoe groot het gevaar is dat Trump groenland afpakt. De oude redeneringen over belangen tellen niet bij dat soort figuren. Wat ik wel weet is dat we nu als landen van de EU er totaal niet op voorbereid zijn. Onze overheden en hun kritieke infra kunnen niet draaien zonder gebruik van materiaal van een nu vijandige grootmacht. Dat is zorgelijk. Ik wil dan ook niet Office (e.d.) verbieden voor de consument. Maar wel voor overheid en kritieke systemen. Die moeten gewoon veilig en onafhankelijk door kunnen draaien.

En wat betreft software uit onze buurlanden. Veel van die software is open source en kan je dus zelf compileren. Kunnen de landen onderling aan samenwerken. Onze normen en waarden verschillen wellicht wat over de hele EU. Maar gemiddeld genomen liggen ze veel dichter bij elkaar dan bij de normen en waarden van een land als de VS. Die doen niet aan ook maar iets sociaal. Daar ben je rijk of crepeer je maar. Dus samenwerken met onze buurlanden in open projecten die onder onze wetten vallen zie ik als heel anders dan werken met de VS.

[arjankoole]

hoe reëel is het gevaar echt dat de US alles af gaat knijpen?

zie wat er recent gebeurde met de aanklager van het ICC in Den Haag.

Als je its doet wat Trump en cronies niet leuk vinden ... ze hebben het openlijk gedemonstreerd.

[InsanelyHack]

Ik werk bij de overheid en kan je verzekeren dat dit onderwerp wel degelijk serieus wordt opgepakt. Het begint met een zorgvuldige classificatie van data en systemen: de echte kroonjuwelen wil je niet in een publieke cloud, die blijven bij voorkeur on-premises onder directe controle.

Tegelijk moeten we realistisch zijn, niet alles is van vandaag op morgen te vervangen. Een verantwoorde transitie vraagt tijd, prioritering en een gedegen risicoanalyse. Daarbij blijkt vaak dat een cloudmigratie niet primair vanuit functionele noodzaak wordt gedreven, maar vooral vanuit financiële overwegingen zoals de verschuiving van Capex naar Opex.

Soevereiniteit is daarbij geen gratis bijproduct van techniek, maar een bewuste investering in risicoreductie. Juist compliance, security en privacy vormen vaak een groter kostencomponent dan de onderliggende systemen zelf. Omdat het om publiek geld gaat, moeten we extra zorgvuldig zijn met de vraag waar méér uitgaven echt gerechtvaardigd zijn en waar afhankelijkheden onnodig worden geaccepteerd. Een grondige en transparante afweging tussen kosten, risico’s en strategische autonomie blijft daarom essentieel.

[delphium]

Soevereiniteit is daarbij geen gratis bijproduct van techniek, maar een bewuste investering in risicoreductie. Juist compliance, security en privacy vormen vaak een groter kostencomponent dan de onderliggende systemen zelf. Omdat het om publiek geld gaat, moeten we extra zorgvuldig zijn met de vraag waar méér uitgaven echt gerechtvaardigd zijn en waar afhankelijkheden onnodig worden geaccepteerd. Een grondige en transparante afweging tussen kosten, risico’s en strategische autonomie blijft daarom essentieel.

Dit is het marketingpraatje waar de grote techbedrijven al decennia zelf mee komen en waar de overheid blind in is gaan geloven. De werkelijkheid is dat de expertise gewoon ontbreekt, ook al decennia lang. Open source en Linux, zijn vieze woorden binnen de overheid. Zoals @Pyronick ook al excellent verwoordde, wordt er telkens verwezen naar wassen neuzen zoals ISO-certificering en "Enterprice software", wat dat dan ook mogen zijn.

En ik weet waar ik het over heb, want ik werk ook voor de overheid en wel bij RVO, waar petabytes aan gevoelige data worden verwerkt. Allemaal op Azure, Oracle, SAS enz. Ondertussen wordt er ook volop met AI geëxperimenteerd, terwijl de governance daarvoor nog lang niet op orde is. Ook weer allemaal op Azure, aangemoedigd door Microsoft zelf.

En ja, er is nagedacht over governance, dataclassificatie, processen voor hergebruik, verantwoordelijkheid, enz. Het punt is dat de data- en AI-awareness onder het personeel, om te janken is. Combineer dat met een onveilig e-mailsysteem (ook bij RVO geen S/MIME) en je hebt een datalekkenfabriek.

Er moet nu echt, vanuit het ministerie, een harde eis komen om met open standaarden en open source te werken binnen de overheid. Ook moet het personeel worden bijgeschoold. Dat is een hoge prijs, maar geloof me, die is lager dan de prijs die we gaan betalen, als we zo doorgaan.

[Reactie gewijzigd door delphium op 20 januari 2026 19:20]

[InsanelyHack]

Dat het in de praktijk soms vrijblijvend uitpakt, is een terechte observatie. Het is echter niet juist om dit als marketingtaal weg te zetten. Open standaarden en het beperken van leveranciersafhankelijkheid zijn formeel beleid, verankerd in NORA en in het rijksbrede “pas toe of leg uit”-kader. Dat zijn geen slogans, maar toetsingskaders die binnen de overheid daadwerkelijk worden toegepast.

Ook het beeld dat “open source en Linux vieze woorden” zouden zijn, sluit niet aan bij de werkelijkheid. Bij veel rijksorganisaties zijn open source en Linux juist sterk vertegenwoordigd in de gebruikte platformen en vormen zij een belangrijk fundament onder moderne architecturen. Bij nieuwe oplossingen wordt standaard gekeken naar open alternatieven en het beperken van leveranciersafhankelijkheid. De uitdaging ligt vooral in de praktijk van uitvoering en kennisopbouw, met een realistische balans tussen tempo, zorgvuldigheid en publieke verantwoordelijkheid.

[Reactie gewijzigd door InsanelyHack op 21 januari 2026 01:31]

[Pyronick]

Open standaarden en het beperken van leveranciersafhankelijkheid zijn formeel beleid, verankerd in NORA en in het rijksbrede “pas toe of leg uit”-kader. Ik werk dagelijks onder die architectuurprincipes, dus dat zijn geen loze slogans maar echte toetsingskaders.

Terecht punt dat NORA en 'pas toe of leg uit' formele kaders zijn, maar als iemand die er al even uit is, heb ik wel een oprechte gewetensvraag over de handhaving van die architectuurprincipes.

Hoe vindt de toetsing in de praktijk plaats? Is er sprake van in-house ontwikkelde (of door de overheid zelf gevalideerde) audit-tooling die 'comprehensive' toetst op de daadwerkelijke technische specificaties en standaarden? Of leunen we voor die toetsing toch weer op extern uitbestede 'quickscans' op basis van multi-interpretabele ISO-normen, uitgevoerd door consultants die varen op de certificaten van de leverancier zelf (het 'Certified Engineer'-circuit)?

Kortom: wordt er getoetst op basis van empirische falsificatie van de techniek, of blijft het bij compliance op papier?

[InsanelyHack]

Terechte vragen. In de praktijk wordt niet alleen op papier getoetst, maar ook op technische implementaties via architectuurboards, kaderregisters en geautomatiseerde controles op gewenste configuraties. Afwijkingen moeten formeel worden onderbouwd en geaccordeerd, en standaard bouwblokken vormen steeds meer de basis voor oplossingen.

De ontwikkeling gaat stap voor stap: sneller is wenselijk, maar bij publieke middelen en schaarse expertise is zorgvuldigheid minstens zo belangrijk als tempo.

[Reactie gewijzigd door InsanelyHack op 21 januari 2026 01:27]

[HummerHealey]

Er is een verschil om van Amerkaanse naar Europese applicaties over te gaan en hetgeen ik nu zie gebeuren. Met de reservering dat dit juist nu naar boven komt, gezien de huidige situatie. Maar een ING die niet krititisch genoeg omgaat bij de implementatie van Google Pay, een belastingdienst die overstapt op Office 365 of een cloudplatform waar DigID op draait dat in Amerikaanse handen komt. Je zou bijna aan het intellect van mensen gaan twijfelen. En dan druk ik me nog voorzichtig uit.

En pushen is een mooi ding, maar op een bepaald moment komt het bij de inkoper die alleen voor het laagste geta na het euro teken kiest of een aanbesteding waarbij het vrijwel onmogelijk is om Amerikaanse partijen uit te sluiten.

[telenut]

Paniekerig doen omdat de mails via Microsoft gaan... maar ondertussen zijn wel alle PC's en de helft van de servers ook van Microsoft.

[Heaget]

Het gaat niet om mails via MS, of TLS over SMIME, het gaat om een grotere beweging die al langer zichtbaar is waarbij bedrijven en overheden twijfelachtige keuzes maken.

[telenut]

zo twijfelachtig zijn die niet, iets met " voor geld danst de beer". Enkel via Europese wetgeving kan dit mogelijks opgelost worden, maar zal zeer moeilijk zijn...

[grasmanek94]

Nouja achteruitgang zie je/merkt je, maar wanneer een bedrijf iets goed doet is dat normaliter geen nieuws. Er is dus bij voorbaat een scheve verhouding in hoeveel iets wel of niet opvalt. Genoeg privacy bij vele bedrijven waar het de goede kant op gaat, althans, dat gevoel heb ik, maar het goede werk is stil en ondankbaar.

[Heaget]

Goed punt! En ik ben het helemaal met je eens, het goede nieuws hoor je vaak niet. Helaas is het natuurlijk wel zo dat slecht nieuws, zoals in dit bericht, gaat over het belang van veel mensen. Als daar achteruitgang in is is het extra belangrijk om dat als nieuws te melden.

[Knijpoog]

Je hebt volkomen gelijk. Vele voelen zich onmachtig om verandering op gang te zetten en politieke wil geen gezichtsverlies lijden. Jaren terug was de Piratepartij en enige die cybersecurity serieus nam maar daar werd lacherig over gedaan door andere partijen. Ze groeide toen flink. Verkiezing daarop stond het bij bijna elke partij in het plan. Dit staat los van de Piratepartij opzich het gaat me om hoe er mee omgegaan word. “Men dempt de put als het kalf is verdronken”

NL en de EU moet wakker geschud worden teren op producten uit de VS betekent dat je alle macht uit handen geeft. Terwijl er genoeg alternatieven zijn. Overnamen van bedrijven uit VS moet voorlopig op halt gezet worden en het boycotten van VS producten is hoe je de rijkste daar raakt.

Koop geen VS producten en diensten tot de midterm verkiezingen in November stel in ieder geval uit tot December.

[Reactie gewijzigd door Knijpoog op 20 januari 2026 14:31]

[Heaget]

Je laatste zin slaat de spijker op zijn kop, maar het moment dat dit "kalf verdrinkt" kunnen we de put niet dempen en hebben we problemen van ongekende proporties.

[amigob2]

Denken dat je het niet erger kan dan Trump is nog een vele groter fout

[leendt]

Koop geen VS producten en diensten tot de midterm verkiezingen in November stel in ieder geval uit tot December.

Nee, we hadden het nooit zover moeten laten komen vóórdat het vervelend werd. En dan nog, zelfs als de relatie met de VS helemaal toppie zou zijn zouden we er alles aan moeten doen om onafhankelijk en zelfstandig te zijn op ICT vlak en vooral schijt hebben aan de US politiek. Dat gaat ons dan ook (goddank) niets meer aan.

[WhiteHatter]

Mijn internet verbinding doet het nog, mijn netflix abonnementje doet het nog. Mijn OS is nog steeds Microsoft mijn servers en laptop zijn nog steeds van HP.. Allemaal bangmakerij en gelobby voor de Nederlandse ICT markt om zogenaamd meer lokale diensten te verkopen. Als Amerika echt de stekker eruit trekt hebben we wel andere zorgen en gaat je zogenaamde soevereine cloud ook niks doen. Maar dat doen ze niet want ze hebben ons net zo hard nodig als wij zullie. Vandaag of morgen zit er weer een 'normale' president op die stoel en dan verhuizen we allemaal weer net zo hard terug.

[michelr]

Dat is idd de andere kant van het verhaal. De AI waar een hoop geld in gepompt wordt, die pecunia's komen voor aardig deel uit de EU. Daar kan niet zomaar de stekker uit getrokken worden. Voorts is de knee-jerk reactie van overstappen naar een EU provider er ook zo een waarvan je de doorlooptijd en impact niet van moet onderschatten. Als het al lukt, want inferieure oplossingen en capaciteitsproblemen. Snap wel dat nextCloud en dat soort tenten het gedoe in de VS beschouwen als een kadootje wat snel uitgepakt moet worden.

[Dlsruptor]

Privacy bestaat niet meer. Maar dit is wel echt al een jaartje of 10 bezig. Ik vind het ook zeer slecht om te zien en vind dit een gigantische achteruitgang die moeilijk weer terug gedraaid kan worden.

[WillySis]

Ik snap je volledig.

We hebben jaren geleefd in een wereld die steeds kleiner werd. Alles en iedereen handelde met elkaar en grenzen waren niet veel meer dan administratieve hobbels. Privacy is tot 9/11 nooit een heel groot probleem geweest. Daar mocht (wat overheden betreft) iedereen van genieten. Alleen de Big-Tech wilde om commerciële redenen zo veel mogelijk van ons weten, zodat ze zo veel mogelijk aan ons konden verdienen. Voor de privacy was dat niet eens zo heel ingrijpend.

Helaas is de wereld nu uiteen aan het vallen in een aantal blokken en is grootschalig terrorisme opgekomen. Overheden zijn ons onder het mom van terrorisme dreiging en kindermisbruik steeds meer en indringender gaan volgen. Alles onder het mom van veiligheid, maar ondertussen worden we steeds meer door overheden gegijzeld.

Ik leef deels in Europa en deels in Nieuw Zeeland. Ik zie op gebied van privacy een heel groot verschil. In Nieuw Zeeland denkt men dat alles toch ver van het bed is en maakt men zich weinig zorgen. Al die privacy beperkende maatregelen vanuit overheden of grote instellingen als banken laat men achterwege, terwijl in Europa het ene voorstel na het andere wordt gelanceerd om je overal te kunnen volgen. Europa hangt nog niet zo vol met camera's als de Chinese steden (waar ik onderweg wel kom), maar is wel hard op weg. Ik denk er ook steeds meer over om het Europese deel van mijn leven te beperken. Helemaal opgeven zal niet lukken, want ik heb er nog wel kinderen wonen.

[theduke1989]

nee nee, we moeten niet de schuld aan MS geven. Maar echt ons zelf. We willen lekker alles in de cloud stoppen is de beste oplossing voor alles, veel plekken worden vervange door Ai.

[Mathijs Kok]

nee nee, we moeten niet de schuld aan MS geven. Maar echt ons zelf. We willen lekker alles in de cloud stoppen is de beste oplossing voor alles, veel plekken worden vervange door Ai.

Dus jouw oplossing is dat iedereen zijn eigen mailserver gaat draaien?

[Jerie]

Self-hosting, dat staat er niet, hoeft ook niet. Je kunt ook e-mail afnemen bij een Europese provider: Alternatieven voor Amerikaanse producten & diensten al kan self-hosting wel relatief eenvoudig Xanthorax in "Alternatieven voor Amerikaanse producten & diensten" (Stalwart)

[Reactie gewijzigd door Jerie op 20 januari 2026 16:36]

[NoTechSupport]

De drogredenen die daarbij ook gebruikt worden... Ineens niet meer in de praktijk uitvoerbaar. Welke snelle manager gaat nu enkele duizenden euro's besparen (theoretisch, valt in de praktijk tegen/of is zelfs negatief) in ruil voor nog meer vendor lockin/verlies van gevoelige data?

[gabba25]

Ben het helemaal met je eens. Even denken van een paar recente voorbeelden: Eerst die overname van Digid naar een Amerikaanse partij, SIDN gaat (of ging) naar AWS, Belastingdienst die overstapt op M365, nu dit weer. Beetje bij beetje zie ik het ook de verkeerde kant op gaan. Maar heel eerlijk, wat kan ik als individu eraan doen?

[we_are_borg]

De achteruitgang is dat bedrijven en regering voor een dubbeltje op de eerste rij willen zitten. Het eerst wat gedaan moet worden is een cloud voor Nederland en enkel voor Nederland. Deze dient met de beste beveiliging beveiligt te worden en afgeschermd. Als je dit alles gedaan heb moet bedrijven die voor infrastructuur zorgen bij de regering en banken verplicht gebruik maken van deze cloud en het moet bij wet verboden worden bij ISP's te zitten die buitenlandse investeerders hebben en/of in buitenland hosten. Alles dient in Nederland te staan, doe je dit niet dan ben je gelijk alle contracten kwijt en krijg je boetes zo hoog dat je nooit meer er aan denkt om de wet te overtreden.

[Barsonax]

Er wordt bij de DNB echt al serieus gekeken naar alternatieven. Het is echter niet zo simpel om zo ff op een andere cloud te draaien, daar komt best wat bij kijken. Jarenlange vendor lock-in is niet zomaar weggewerkt en voor een aantal zaken zijn er nog geen europese alternatieven.

Voor nieuwe projecten is het wel makkelijker. Vermijd technieken die voor vendor lock in zorgen, kies bijv PostgreSQL ipv die fancy cloud specifieke database. Zorg er ook voor dat je altijd bij je data kunt, ook als die cloud ineens weg is. Dan nog zul je zien dat je bij bijv identity je toch tot zekere hoogte ergens aan gaat binden tenzij je zaken zelf host (wat meer kost). Hoe erg dat is ligt helemaal aan de applicatie, soms is het helemaal niet erg als je dan downtime zou hebben vanwege het omschrijven.

[JairSterre]

Hulde, precies dit. Ik zie de grote Amerikaanse bedrijven als een groot digitaal risico, en het feit dat cruciale overheidsinstanties er nog steeds gebruik van maken is iets waar mijn brein niet zo heel erg goed op gaat.

[allurenl]

Je bent niet de enige.

Het getuigt van een onwaarschijnlijke naïviteit. We zijn al 100% afhankelijk van China, de VS en het is niet goed. Welke software gebruiken we eigenlijk hier op het forum? Made in NL…. 🫤

[MornixRS]

Dat komt omdat onze overheid voor een groot deel uit digitale paljassen bestaat en grote bedrijven het geen bal interesseert als het maar geld oplevert. Dat is zwart-wit gesteld om de zaak op scherp te zetten want bij nuance in deze trekt de privacy voortdurend aan het kortste eind.

[Noxious]

Dit verhaal is een beetje verwarrend want S/MIME en TLS zijn niet mutually exclusive.

S/MIME is mailversleuteling

TLS is Transport Layer Security, vergelijkbaar met HTTPS tov HTTP

Je kan prima beide gebruiken en het staat los van elkaar.

Een betere conclusie zou zijn dat ze gewoon met S/MIME zijn gestopt.

Toevoeging: voor het DNB-Secret label gebruiken ze waarschijnlijk een dienst vergelijkbaar met Zivver. Dit is eigenlijk geen mail, maar een web portal met een login / 2FA, al kunnen mailclient plugins het wel transparant verzenden/afleveren waardoor het mail lijkt te zijn.

[Reactie gewijzigd door Noxious op 20 januari 2026 15:56]

[Jerie]

Dank voor je post, ik vond het een vaag verhaal omdat e-mail tegenwoordig eigenlijk altijd wel TLS gebruikt (verstuurder <-> server, server <-> server, en server <-> ontvanger/lezer).

Zivver zullen ze van af moeten stappen want het is niet E2EE. Zie o.a. dit artikel op Netkwesties https://www.netkwesties.n...ouwbaar-nieuwsgierige.htm of bijv. deze post waarin ik naar bronnen verwijs Jerie in "Hybride oorlog in Europa - Bescherming van onze democratie"

Ook GPG gaat hem niet worden; want te ingewikkeld. Eigenlijk zouden we e-mail als onveilig moeten beschouwen, en er van af moeten stappen. Want het zijn eigenlijk pleisters op wonden die open blijven. Ook qua metadata lekt er te veel.

[michelr]

Zivver is wel mail, met een eigen infrastructuur. Waar denk je dat anders die berichten die de plug-in afvangt worden gedropt? Verdiep je eens in het product.

[Noxious]

Pretty sure dat bij de meeste van deze diensten het geen 'echte' mail is maar een call naar een webservice. Ik ken de infrastructuur van Zivver niet in detail, maar het resultaat is dat mensen die niet op Zivver aangesloten zijn de 'mailtjes' lezen in een webportaal. Vergelijkbaar met KPN z'n 'veilig mailen' oplossing, en ZorgMail, en zo vele anderen.

[AgamemnonZ]

Gerelateerd: Bert Hubert heeft een mooi overzicht gemaakt van Nederlandse 'organisaties die voor hun primaire missie totaal afhankelijk zijn van Amerikaanse clouds, en waarbij de maatschappij ontwricht zou worden als ze hun werk niet meer konden doen, bijvoorbeeld door sancties over Groenland.'.

Zie Dashboard totale Amerikaanse afhankelijkheden.

[Clu3M0r3]

DNB stopte met S/MIME omdat het te complex zou zijn.

We stoppen maar met risico analyse omdat het te complex zou zijn.

We stoppen met goede beveiliging omdat het te complex zou zijn.

We stoppen met nadenken omdat het te complex zou zijn.

We blijven Amerikaanse cloud producten gebruiken omdat overstappen te complex zou zijn.

Ja, ik ben cynisch, maar ik word kotsmisselijk van dit soort "excuses". Met deze mindset blijven we (Nederland/Europa) een speelbal van een regime dat ons eerder als vijand dan als bondgenoot ziet.

[edwin2021]

Geweldig, in de zorg wordt je gelijk klem gezet maar blijkbaar is fiscale info minder belangrijk als gezondheid.

Gebruik dan op zijn minst voor gevoelige info een goed product wat een beveiligde envelop om de mail heen legt. Zoek maar even op "veilig mailen in de zorg" Met het juiste product kun je aangeven op welke keywords er in elk geval een voorstel voor envelop wordt gedaan zodat je niet bij elke mail door een authenticate hoepel heen moet springen.

[Blokker_1999]

En die functionaliteit bestaat ook gewoon, ook in Exchange Online. Maar ik begrijp heel goed waarom men geen S/MIME meer standaard doet voor email. Het is niet zo eenvoudig om op te zetten want elke verzender moet een sleutel uitwisslen met elke ontvanger. En dat is voor niet-technische mensen echt niet zo eenvoudig. En je moet dat voor elke ontvanger doen waar je zulke mails mee uitwisselt. Heb je de public key van een ontvanger niet heb je dus de keuze, ofwel unencrypted ofwel niet verzenden.

En ik kan me inbeelden dat dat heel wat support tickets oplevert bij heel wat bedrijven wanneer 1 partij het zou gaan vereisen.

[readefries]

Het hangt er vanaf welke standaard je gebruikt, en je heb niet overal explicite sluituitwisseling nodig. Kijk b.v. naar PGP waarbij je publieke sleutels als IPGP DNS record kan toevoegen waardoor die door je client op te halen is. Dat is voor het instellen in je client een keer nodig, daarna gaat het vanzelf.

Dus het kán wel :)

[Bedge85]

Heeft PGP geen beperkingen dan? Ik heb me er wel eens in verdiept en zag toen dat er ook best wat kritiek is op OpenPGP.

[readefries]

De beperking is deels de missende kennis en dat je in Outlook een plugin moet installeren.

S/MIME wordt uit de doos beter ondersteund doordat er een verdienmodel achter zit, dat heb je niet bij PGG.

[telenut]

In de zorg kan de aanbieder ook meelezen, en maar goed ook... Als je niet kan meelezen, kan je ook niet zien wat voor malware er in de mails zit. En als de eindgebruikers daar dan op klikken heb je een veel groter probleem, geloof me.
In mails mag gewoon geen vertrouwelijke info zitten, zo simpel is het.

[Mathijs Kok]

In mails mag gewoon geen vertrouwelijke info zitten, zo simpel is het.

Dus als medewerkers moeten elkaar bellen als ze een dossier overdragen?

[telenut]

dossiers overdragen via mail ???
Absoluut niet toegestaan!

[JBVisual]

klopt, hier gebruiken onze klanten ook gewoon software voor, waar de clientdossiers in bijgehouden worden. Via de email is een "no go" en levert ook gewoon een officiële waarschuwing op, wij monitoren door middel van dataclassificatie ook op (en kunnen dit vaak ook onderscheppen).

S/MIME is daarnaast ook prima te gebruiken.
Het compleet forceren van S/MIME is in onze ogen ook niet altijd nodig.

Maar onze klanten in de zorg hebben vaak wel 90% vaste relaties met wie ze samenwerken. (SVB, Gemeentes, Zorgverzekeraars, Andere zorginstellingen, Huisartsen, politie, Reclassering etc...)
Al deze aanbieders hebben we gewoon certificaten mee uitgewisseld, en met deze partijen wordt dus ook via S/MIME gecommuniceerd.
Alle andere ontvangen de email zonder S/MIME en indien het vertrouwelijke gegevens bevat gaat het via bijvoorbeeld "Zorgmail" of "Zivver".

[telenut]

Idem hier, vertrouwelijk via Zivver. Zorgmail komt ook vaak binnen, maar is hier niet gekend en komt dus ook regelmatig bij de phishingmeldingen terecht :-)

[Jeoh]

Arme Joost, al jaren weg en nog steeds de lul in posts over Microsoft Outlook

[TripleQ]

Ha, het screenshot is 14 jaar oud, en ook nog eens precies om 13:37 genomen

[njh]

Eerder tijd teruggezet naar 13:37 aangezien er emails in de inbox staan van 13:53 van toevallig "vandaag".

[Umbrah]

Datum is 3 dagen later. Die koffie is koud. Wat niet uit maakt, met een beetje geluk is Olaf zoals menig ICT-er zo verslaafd dat dat niet uit maakt.

[njh]

Dat verklaart dan toch niet dat de emails onder 'today' staan, terwijl de emails van de 17e zijn?

[peteroff]

Microsoft Outlook Preview draait op een virtuele machine (VM)? die na drie dagen is hervat? De sessiestatus is volledig hersteld, met uitzondering van de systeemklok.

[njh]

Ja zeker mogelijk

[NeuroTechie]

Moest Joost maar koffie halen

[Menesis]

"Het beleid staat echter wel toe om informatie met het label DNB-Secret te versturen. Dat is vertrouwelijke informatie."

E-mailverkeer, vooral met klanten, moet vooral geen vertrouwelijke info bevatten toch?

edit. iets anders geformuleerd.

[mrdemc]

Beetje raar geformuleerd in het artikel. Het punt is dat ze gegevens met die label wel mogen versturen, maar dat dit alleen gebeurd via aparte systemen met ‘strenge beveiligingsrichtlijnen’ en die een ‘hoger beschermingsniveau’ bieden. Dus niet per e-mail

[Menesis]

Ah ok, ja dat klinkt stukken beter inderdaad. Bedankt voor de opheldering.

[Gemeni]

De echte oplossing is natuurlijk afscheid nemen van Microsoft en email weer zelf hosten…

[pegagus]

Als ik het goed begrijp zit het probleem van DNB bij de ontvanger, die de zelfde veiligheidsstandaard moet hanteren. Als die hun email nog steeds bij MS onder brengen, blijft het probleem bestaan.

[Mathijs Kok]

De echte oplossing is natuurlijk afscheid nemen van Microsoft en email weer zelf hosten…

En dan is encryptie makkelijker? Geloof me, de Microsoft methode is een van de makkelijkste.

[merethan]

Ik vraag mij af waar het geld naartoe zal gaan:

1. PR campagne om het verlies in aanzien te repareren
2. Infrastructuur soeverein maken

Ik ben een cynicus geworden helaas (..1).

[Scriptkid]

@arnoudwokke

En heeft Olaf zijn koffie gekregen?

Grote voordeel is nu wel zonder SMIME werkt de hele Purview stack en kun je veel betere email security door voeren dan met SMIME en ben je veel beter in compliance en data governance tools waardoor je beter kunt zorgen dat classified data ook echt niet via mail wordt verstuurd.