De Nederlandse overheid publiceert een gids met definities en richtlijnen om clouddiensten te beoordelen op digitale soevereiniteit. Dit toetsingsinstrument belicht juridische, technologische, operationele en menselijke aspecten.
Het gratis beschikbare pdf-bestand is opgesteld door de Dienst ICT Uitvoering (DICTU), die valt onder het ministerie van Economische Zaken en Klimaat. DICTU is de ict-dienstverlener van de Nederlandse Rijksoverheid. "Hoe soeverein is jouw clouddienst?", vraagt DICTU ter introductie van dit praktische hulpmiddel voor overheden en publieke organisaties.
DICTU analyseerde grote cloudaanbieders om hun mate van digitale soevereiniteit te beoordelen. Het gaat om de zogeheten hyperscalers: Microsoft (met Azure), Google (met Google Cloud) en Amazon (AWS). Deze drie techbedrijven domineren een groot deel van de wereldwijde cloudmarkt.
Voordelen en risico's
DICTU stelt dat publieke cloudplatformen grote voordelen bieden voor schaalbaarheid, beveiliging en toegang tot geavanceerde diensten voor data-analyse en AI. "Deze mogelijkheden stellen DICTU, en daarmee het Rijk, in staat te innoveren en de nadruk te leggen op het leveren van maatschappelijke waarde." Tegelijk betekent de dominantie van grote Amerikaanse aanbieders ook dat afnemers afhankelijk zijn van die partijen, zegt DICTU.
"Dit brengt reële juridische, technologische en operationele risico's met zich mee", aldus de ict-dienstverlener van de Nederlandse Rijksoverheid. De risico's betreffen onder meer veiligheid, zelfbeschikking, onafhankelijkheid en onderhandelingspositie. "De digitale soevereiniteit van het Rijk komt hierdoor onder druk te staan."
Vijf aspecten
Het document maakt de afhankelijkheden inzichtelijk en beschrijft hoe organisaties risico's kunnen beperken. Het onderscheidt vijf aspecten. Het juridische aspect gaat over zaken als land van herkomst, wie de uiteindelijke baas is en welk recht van toepassing is. Het aspect van data en AI kijkt naar waar klantdata worden opgeslagen en toegangsbeveiliging op technische en juridische gronden.
Het technologische aspect kijkt naar interoperabiliteit en portabiliteit, gebruik van open source en continuïteit bij een andere aanbieder. Het operationele aspect kijkt naar controle over de infrastructuur, of die zich binnen EU-grenzen bevindt en of er sprake is van exclusief Europees personeel en Europese toeleveranciers. Het menselijke aspect gaat over zaken als training, certificering en screening van personeel, waarbij beschikbare menskracht en vaardigheden van werknemers ook meewegen.
De beoordeling gebeurt volgens DICTU op basis van objectieve, transparante en herhaalbare criteria. Overheden en publieke organisaties kunnen het toetsingsinstrument gebruiken bij aanbestedings- en selectieprocedures.
Cloudwashing?
Naast het reguliere cloudaanbod van de hyperscalers belicht het hulpmiddel ook de nieuwe cloudvarianten die leveranciers presenteren als 'soeverein'. Dit roept vragen op, zoals wat de definitie van digitale soevereiniteit is en wanneer een clouddienst daaraan voldoet. "En in hoeverre kan een Amerikaanse aanbieder daadwerkelijk soevereine diensten leveren binnen Europa?"
Volgens DICTU krijgt digitale soevereiniteit steeds meer aandacht en komt het onderwerp steeds vaker terug in interne en publieke stukken van de overheid. Digitale soevereiniteit is ook een van de zes prioriteiten in de Nederlandse Digitalisering Strategie.
:strip_exif()/i/2007958498.jpeg?f=imagenormal)