Antwoord schriftelijke vragen : Antwoord op vragen van de leden Kathmann en Six Dijkstra over ‘de groeiende afhankelijkheid van Amerikaanse techgiganten’

Antwoord van Staatssecretaris Van Marum (Binnenlandse Zaken en Koninkrijksrelaties),
mede namens de Minister van Sociale Zaken en Werkgelegenheid (ontvangen 19 september
20205). Zie ook Aanhangsel Handelingen, vergaderjaar 2024–2025, nr. 2420. Zie ook Aanhangsel Handelingen, vergaderjaar 2024–2025, nr. 2561.

Vraag 1

Bent u bekend met het bericht: «Overheidsorganisaties blijven in de Amerikaanse cloud,
ondanks zorgen in de Tweede Kamer»?1 Bent u tevens bekend met het feit dat de hoofdaanklager van het Internationaal Strafhof
onlangs de toegang tot Microsoft-diensten is ontzegd op laste van de Amerikaanse regering?

Antwoord 1

Ja.

Vraag 2

Kunt u bevestigen dat het UWV en de SVB, die BNR met vijftien andere overheidsorganisaties
onder de loep heeft genomen,2 de overstap naar clouddiensten van Amerikaanse dienstverleners niet heroverwegen?
Zo ja, kunt u dit besluit onderbouwen?

Antwoord 2

Rijksbreed

Het Kabinet is het met de indieners eens dat zorgvuldige afwegingen bij cloudmigraties
van groot belang zijn. Daarom moeten volgens het huidige beleid al een reeks van aspecten
afgewogen worden. Onderdelen van de Rijksdienst zijn verplicht het Rijksbreed cloudbeleid
2022 te volgen. Hierin wordt reeds aandacht besteed aan de risico’s rondom marktconcentratie.
Zbo’s zijn niet verplicht het Rijksbreed cloudbeleid te volgen, maar het wordt hen
wel aangeraden. Daarnaast zijn zbo’s verplicht – op basis van de Kaderwet zbo’s –
om op de voet van de ter zake voor de Rijksdienst geldende voorschriften maatregelen
te nemen.

De continuïteit van de dienstverlening, nationale veiligheid en publieke waarden zijn
daar verdere voorbeelden van. Ook dienen beveiligingsmaatregelen genomen te worden
en risicoanalyses geactualiseerd te worden wanneer daar aanleiding toe is. In de herziening
van het rijksbreed cloudbeleid wordt tevens aandacht besteed aan het verder beperken
van afhankelijkheid van enkele leveranciers, de zogeheten marktconcentratie- en continuïteitsrisico’s.

Ministerie van Sociale Zaken en Werkgelegenheid

Ja. SZW (inclusief de Nederlandse Arbeidsinspectie), UWV en de SVB volgen de geopolitieke
ontwikkelingen en de reacties vanuit de Tweede Kamer en de demissionair Minister van
Binnenlandse Zaken en Koninkrijksrelaties nauwgezet. De herziening van het rijksbreed
cloudbeleid zal leiden tot een herziening van het eigen cloudbeleid. Aan de hand van
het herziene beleid worden de keuzes voor digitale middelen geëvalueerd. Voor de UWV
en SVB geldt dat zij niet vallen onder het rijkscloudbeleid, maar wel de belangrijke
elementen uit het rijkscloudbeleid overnemen in hun eigen cloudbeleid.

Vraag 3

Welke processen, registers, (mail)communicatiediensten en/of organisatieonderdelen
die onder uw verantwoordelijkheid vallen, zijn op dit moment reeds ondergebracht in
de cloud van Amerikaanse dienstverleners?

Antwoord 3

Rijksbreed

Voor de beantwoording limiteren wij ons tot het gebruik van materieel public cloudgebruik.
Materieel public cloudgebruik is gebruik van public clouddiensten ten behoeve van
het uitvoeren van de primaire taak van een organisatie. Met andere woorden, voor de
organisatie is die (cloud)dienst van wezenlijk belang.

Ministerie van Sociale Zaken en Werkgelegenheid

Voor SZW geldt dat er geen processen, registers, (mail)communicatiediensten en/of
organisatieonderdelen zijn ondergebracht in de public cloud van Amerikaanse dienstverleners.
SZW maakt wel gebruik van een aantal softwareleveranciers die applicaties als SaaS
(Software as a Service) oplossing leveren en daarbij gebruik maken van Amerikaanse
clouddienstverleners. Dit betreft diverse nuttige tools, websites en een tiental toepassingen
ter ondersteuning van processen voor de primaire taak van de organisatie. Verder maakt
SZW gebruik van de rijkswerkplek, inclusief communicatiediensten, die door SSC-ICT
(BZK) wordt geleverd.

UWV maakt gebruik van dienstverlening van Microsoft volgens de afspraken van SLM (Strategisch
Leveranciersmanagement) Microsoft Rijk voor kantoorautomatisering. Daarnaast wordt
er voor enkele niet-primaire processen gebruik gemaakt van ondersteunende software
van een Amerikaanse leverancier.

De SVB gebruikt in beperkte mate clouddiensten voor primaire processen waar het risicoprofiel
dat toestaat. Voor de secundaire processen wordt gebruik gemaakt van clouddiensten
voor publicatieprocessen, communicatiediensten, samenwerkingsprocessen, datawarehouse-/
business intelligenceprocessen, en IT-systeemontwikkelprocessen.

Vraag 4

Kunt u een overzicht geven van de geplande en voorgenomen migraties naar clouddiensten
van Amerikaanse dienstverleners, daar waar het uw departement, het UWV, de SVB en
andere overheidsorganisaties onder uw gezag betreft?

Antwoord 4

Rijksbreed

Ten behoeve van de Kamerbrief van 22 november 20243 is een uitvraag gedaan bij alle departementen ten behoeve van een overzicht van alle
geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland. Het
Ministerie van Defensie is daarin buiten beschouwing gelaten omdat zij buiten de scope
van het Rijksbreed cloudbeleid vallen. Dit neemt niet weg dat Defensie wel gebruik
maakt van clouddiensten. De departementen zijn zelf verantwoordelijk voor de implementatie
van het cloudbeleid en daarom is het hun eigen afweging en invulling over wat zij
onder (materiële) cloudmigraties verstaan.

Voor dit overzicht verwijst het Kabinet naar de Kamerbrief over geplande en voorgenomen
cloudmigraties van overheids-ICT naar het buitenland van 22 november jl.

Ministerie van Sociale Zaken en Werkgelegenheid

SZW heeft geen geplande of voorgenomen migratie naar clouddiensten van Amerikaanse
dienstverleners, zoals ook gecommuniceerd in de kamerbrief van november vorig jaar.

UWV maakt gebruik van verschillende Microsoft clouddiensten, waarbij een traject richting
het gebruik van een vernieuwd CRM (Customer Relationship Management)-systeem voor
toepassing binnen de dienstverlening van UWV zich in implementatie bevindt. Ook heeft
UWV onlangs een aanbesteding voor een nieuwe ERP (Enterprise Resource Planning)-systeem
gepubliceerd. Cloudgebruik vormt hierin een belangrijk uitgangspunt.

De SVB voorziet op dit moment geen grootschalige nieuwe migraties naar clouddiensten
van Amerikaanse dienstverleners. Wel wordt op dit moment ingezet op Azure cloud voor
de uitwijkvoorziening voor de kleine regeling van Verzetsstrijders en oorlogsslachtoffers
(V&O). Er wordt daarnaast voortgebouwd op het bestaande gebruik van Microsoft 365
en Azure, binnen de kaders van het centrale Rijkscontract. Hiertoe is de SVB genoodzaakt
omdat er geen alternatieven in infrastructuur zijn.

Vraag 5

Kunt u illustreren wat de directe gevolgen zouden zijn voor de continuïteit van de
processen, dienstverlening en dataopslag binnen uw departement, het UWV, de SVB en
andere overheidsorganisaties onder uw gezag, wanneer deze de toegang tot Amerikaanse
digitale dienstverlening zouden worden ontzegd, zowel op dit moment als na de geplande
en voorgenomen migraties? Welke merkbare gevolgen zou dit hebben voor Nederlandse
burgers en voor de samenleving? Hoe gaat u ervoor zorgen dat die risico’s gemitigeerd
worden?

Antwoord 5

Rijksbreed

De Verenigde Staten is en blijft een belangrijke bondgenoot, niet op de laatste plaats
voor onze welvaart en veiligheid. Nederland zet zich er daarom voor in dat we als
EU blijven samenwerken en optrekken met de VS, maar tegelijkertijd zelf verantwoordelijkheid
nemen en ook eensgezind met de EU optrekken waar het onze kernbelangen betreft. Het
kabinet is het wel met u eens dat een te grote afhankelijkheid van één of enkele marktpartijen
ongewenst is. In de afweging welke data we in eigen beheer dan wel in de public cloud
verwerken, moeten strategische afhankelijkheden én marktconcentraties worden meegewogen.

Dit nemen wij momenteel mee in de herziening van het Rijksbreed cloudbeleid, maar
ook in de beleidskaders voor digitale autonomie en soevereiniteit van de overheid,
en in de IT-sourcingstrategie Rijk. Ook zet het Kabinet zich in voor een verkenning
naar een soevereine overheidscloud als alternatief voor public clouddiensten.

Deze voorziening moet de kloof overbruggen voor digitale dienstverlening waarvoor
het gebruik van public cloud onwenselijk is, bijvoorbeeld vanwege de gevoeligheid
van gegevens of wanneer ongewenste afhankelijkheden vermeden moeten worden.

Afhankelijkheden zijn echter niet te voorkomen en zijn ook niet altijd ongewenst.
Het is van belang om op case-by-case basis zorgvuldig afwegingen te maken, om te bepalen
waar en op welke wijze risicovolle strategische afhankelijkheden waar nodig voorkomen
kunnen worden. Dit speelt op meer gebieden dan alleen cloud.

Het onderwerp «Strategische Autonomie» heeft uitgebreid aandacht van de Rijksoverheid.
Onder andere middels de Agenda Digitale Open Strategische Autonomie (DOSA) en de medio
dit jaar verwachte Visie digitale autonomie en soevereiniteit overheid.

Ministerie van Sociale Zaken en Werkgelegenheid

Voor SZW geldt dat de gevolgen van eventuele uitval van de dienstverlening hoogstwaarschijnlijk
te ondervangen is door een andere werkwijze waarbij de impact voor de burgers en samenleving
klein is. Ook is binnen SZW een programma digitale weerbaarheid gestart om dergelijke
risico’s verder te mitigeren.

UWV is voor de continuïteit van zijn dienstverlening afhankelijk van IT-dienstverleners.
Om mogelijke problemen te ondervangen zijn in het kader van Business Continuity Management
samen met SZW, ketenpartners en leveranciers crisisplannen opgesteld om essentiële
bedrijfsprocessen te blijven uitvoeren, ondanks externe afhankelijkheden. In het licht
van de toegenomen aandacht voor digitale weerbaarheid heeft UWV zijn inzet op Business
Continuity Management geïntensiveerd.

Voor de SVB geldt dat de informatiesystemen voor de uitvoering van de verschillende
wetten en regelingen zelf niet in de publieke cloud draaien, met uitzondering van
de kleinschalige regeling V&O. Een abrupte ontzegging van toegang tot Amerikaanse
clouddiensten raakt wel essentiële ondersteunende processen zoals e-mail, samenwerking
(via Teams), documentuitwisseling, ontwikkelomgevingen, web portalen en securitymonitoring
en leidt daarmee tot verstoring in de dienstverlening. Bovendien wordt een deel van
de communicatiestructuur getroffen. De huidige regelingen worden met het kernsysteem
buiten de cloud uitgevoerd.

Vraag 6

Kunt u onderbouwen wat Amerikaanse wetgeving, zoals de CLOUD Act en de Foreign Intelligence
Surveillance Act, in het ergste geval betekent voor de vertrouwelijkheid van de data
die uw departement, het UWV, de SVB en andere overheidsorganisaties onder uw gezag
hebben opgeslagen in de cloud van Amerikaanse dienstverleners? Wat zou het gevolg
zijn voor Nederlandse burgers en de samenleving wanneer al deze data tezamen in handen
van een statelijke actor zou belanden?

Antwoord 6

Rijksbreed

Diverse landen kennen wet- en regelgeving met extraterritoriale werking die medewerking
aan veiligheidsdiensten verplicht, zoals de CLOUD Act in de VS. Dergelijke wet- en
regelgeving kan, in bepaalde gevallen mogelijk leiden tot ongewenste toegang tot Nederlandse
gegevens wanneer dit conflicteert met regelgeving als de AVG. Op basis van het advies
van GreenbergTraurig kan echter geconcludeerd worden dat in het geval van de CLOUD
Act het risico klein is.4

Ongeacht de wijze van verkrijging, is het in ieder geval onwenselijk dat alle data
tezamen in handen van een statelijke actor kunnen belanden. Om dit te voorkomen kent
het huidige Cloudbeleid al diverse regels omtrent de typen data die in de public cloud
verwerkt mogen worden. In de herziening van het Cloudbeleid wordt ook hier aandacht
aan besteed.

Ministerie van Sociale Zaken en Werkgelegenheid

SZW volgt het rijkscloudbeleid, waarin altijd een risicoafweging wordt gemaakt. Op
dit moment is geen sprake van opslag van bijzondere persoonsgegevens in de public
cloud van Amerikaanse dienstverleners buiten de Europese Economische Ruimte (EER).

Ook UWV volgt, hoewel niet verplicht voor zbo’s, het Rijksbrede cloudbeleid en bijbehorende
voorwaarden met bijbehorende risicoafweging voor gebruik van clouddiensten. Opslag
en verwerking van persoonsgegevens vindt plaats conform geldende privacy-vereisten
uit de Algemene verordening gegevensbescherming (AVG). UWV hanteert binnen het primaire
proces als beleidsuitgangspunt dat persoonsgegevens in zaakdossiers verwerkt worden.
Op dit moment worden voor zover UWV bekend zaakdossiers enkel binnen de EER verwerkt.

De SVB is zich bewust van de risico’s die voortvloeien uit Amerikaanse wetgeving.
Daarom worden binnen publieke clouddiensten van Amerikaanse aanbieders géén bijzondere
persoonsgegevens verwerkt. Bij het gebruik van Azure kiest de SVB expliciet voor datacenters
binnen de EU, conform het principe van datalokalisatie. De continuïteit van de dienstverlening
is maatschappelijk relevant, wat aanleiding is voor zorgvuldige inzet van digitale
infrastructuur en leveranciersbinding.

Vraag 7

Heeft u migraties naar digitale diensten van Amerikaanse techgiganten stopgezet of
heroverwogen naar aanleiding van de aangenomen motie-Kathmann c.s.5 die hiertoe oproept?

Antwoord 7

Rijksbreed

Bij iedere migratie naar de Public Cloud moet zorgvuldig overwogen worden of de migratie
leidt tot risico’s. Er zijn migraties heroverwogen naar aanleiding van onder meer
de motie Kathmann. Met bijvoorbeeld als gevolg dat verwerking van data alleen binnen
de EER plaatsvindt.

Zie verder vraag 2.

Ministerie van Sociale Zaken en Werkgelegenheid

SZW, UWV en de SVB kijken heel zorgvuldig naar de risico’s, en hebben geen migraties
stopgezet of heroverwogen naar aanleiding van de motie.

Vraag 8

Hoe geven uw departement, het UWV, de SVB en andere overheidsorganisaties onder uw
gezag voorts invulling aan de aangenomen motie-Six Dijkstra c.s.6 die oproept om als doelstelling te hanteren dat de continuïteit van digitale overheidsdienstverlening
niet rechtstreeks afhankelijk is van partijen uit de Verenigde Staten?

Antwoord 8

Ministerie van Sociale Zaken en Werkgelegenheid

SZW, UWV en de SVB volgen de geopolitieke ontwikkelingen en de reacties vanuit de
Tweede Kamer en de demissionair Minister van BZK nauwgezet. Dit zal leiden tot een
herziening van het rijkscloudbeleid en daarmee ook aanscherping van het eigen cloudbeleid
van SZW, UWV en de SVB en strikte toetsing op elke voorgenomen uitbreiding.

Vraag 9

Kunt u toezeggen dat de afhankelijkheid van Amerikaanse techgiganten binnen uw departement,
het UWV, de SVB en andere overheidsorganisaties onder uw gezag niet verder zal toenemen,
en dat het bevorderen van de strategische autonomie van Nederland en / of Europa het
uitgangspunt is bij elk besluit omtrent digitale diensten dat onder uw gezag genomen
wordt?

Antwoord 9

Zie vraag 5.

Ministerie van Sociale Zaken en Werkgelegenheid

Bij het antwoord op vraag 5 zijn de overwegingen uiteengezet. SZW volgt het herziene
rijksbrede cloudbeleid.

Vraag 10

Kunt u deze vragen afzonderlijk beantwoorden vóór het notaoverleg over de initiatiefnota
«Wolken aan de horizon»7 van 2 juni a.s.?

Antwoord 10

De verzending heeft zo spoedig mogelijk plaatsgevonden.