Antwoord schriftelijke vragen : Antwoord op vragen van het lid Kathmann over de raamovereenkomst met een Europees cloudbedrijf

Antwoord van Staatssecretaris Aerdts (Economische Zaken en Klimaat) (ontvangen 9 juni
2026). Zie ook Aanhangsel Handelingen, vergaderjaar 2025–2026, nr. 1964.

Vraag 1

Kunt u meer toelichten over de raamovereenkomst die is gesloten met het Europese cloudplatform
STACKIT?1

Antwoord 1

Strategisch Leveranciersmanagement (SLM) Rijk heeft de opdracht om, binnen de kaders
van wet- en regelgeving en vigerend beleid, het afnemen van (cloud)diensten te faciliteren
voor rijksorganisaties. Hiervoor sluit SLM Rijk de zogenaamde «Framework Agreements» (hierna: raamovereenkomst) af met cloud leveranciers waarin waarborgen zijn opgenomen
voor het op verantwoorde wijze gebruiken van (cloud-)diensten.

De keuze voor aankoop en gebruik van een (cloud)dienst onder een door SLM Rijk gecontracteerde
raamovereenkomst ligt bij de rijksorganisatie zelf. De raamovereenkomst bevat geen
verplichtingen voor daadwerkelijke afname van diensten. De rijksorganisatie dient
af te wegen of de aan te schaffen dienst past op haar specifieke vraag en situatie,
waaronder de (gevoeligheid van) data die de organisatie wenst te laten verwerken.2

Rijksorganisaties die clouddiensten willen inkopen, kunnen gebruik maken van de door
het Rijk afgesloten raamovereenkomst met STACKIT. Bij hun inkooporganisatie kunnen
zij informeren hoe de verwerving van clouddiensten georganiseerd dient te worden.

Vraag 2

Kunt u de raamovereenkomst aan de Kamer doen toekomen?

Antwoord 2

Nee. De raamovereenkomst met STACKIT bevat grotendeels bedrijfsvertrouwelijke informatie.
Het delen van deze informatie zou nadelige consequenties voor de Staat hebben, omdat
leveranciers (met de wetenschap dat bedrijfsvertrouwelijke contracten gedeeld zouden
kunnen worden) niet meer genegen zouden zijn (maat-)werkafspraken met de Staat te
maken. Er is ook een geldige Non-Disclosure Agreement (NDA) van kracht met de leverancier.

In vraag 4 en 5 wordt antwoord gegeven op een aantal specifieke inhoudelijke vragen.

Vraag 3

Hoe ziet u de rol van de Rijksoverheid als lancerende klant van autonome Europese
IT-diensten? Hoe draagt de raamovereenkomst met STACKIT bij aan dit doel?

Antwoord 3

Het kabinet kijkt naar de mogelijkheden om als launching customer op te treden bij de inkoop van clouddienstverlening en bij aanbesteding van dergelijke
diensten de mogelijkheden van een Europees voorkeursprincipe te benutten met behoud
van de voordelen van een open markt.

Zoals gesteld in beantwoording op vraag 1 kunnen rijksorganisaties met het sluiten
van de raamovereenkomst onder veilige en gunstige voorwaarden clouddienstverlening
afnemen bij leveranciers. Dit kan een drempelverlagend effect hebben op de inkoop
van dienstverlening bij deze leveranciers. Met de inkoop van dienstverlening bij Europese
leveranciers, zoals STACKIT, kan de overheid als lancerende klant bijdragen aan de
concurrentiepositie van Europese cloudleveranciers. Ook kan dit bijdragen aan een
meer divers leveranciersbestand, waarmee afhankelijkheden van niet-Europese aanbieders
bij rijksorganisaties worden afgebouwd. Dit draagt bij aan de digitale autonomie van
Nederland.

Daarbij dient wel te worden opgemerkt dat het sluiten van de raamovereenkomst niet
inhoudt dat de dienstverlening van STACKIT al daadwerkelijk door onderdelen van de
Rijksoverheid is ingekocht.

Vraag 4

Met welk doel is de raamovereenkomst gesloten? Zijn er ook afspraken gemaakt over
de afname van deze diensten?

Antwoord 4

Het doel van de raamovereenkomst is om door SLM Rijk onderzochte Europese cloud-alternatieven
op verantwoorde wijze beschikbaar te stellen voor rijksorganisaties.

SLM Rijk heeft geen afspraken gemaakt over de afname van diensten; die beslissing
ligt bij de rijksorganisaties zelf. Zie ook de beantwoording op vraag 1.

Vraag 5

Welke «veilige en gunstige voorwaarden» heeft u afgesproken met STACKIT? Op welke
manier dragen deze voorwaarden bij aan de digitale autonomie van Nederland?

Antwoord 5

Doeltreffende maatregelen m.b.t. de bescherming van persoonsgegevens zijn getroffen
naar aanleiding van de door SLM uitgevoerde Data Protection Impact Assessment (DPIA). Conform de uitgevoerde DPIA is in de raamovereenkomst vastgelegd dat alle
data exclusief worden verwerkt binnen de EER, inclusief persoonsgegevens. Ook zijn
er afspraken gemaakt over (voortijdige) contractbeëindiging bij wijzigingen in eigenaarschap,
bijvoorbeeld als STACKIT wordt overgenomen door een buiten de EER gelegen eigenaar.

Zoals gesteld in beantwoording op vraag 1 kunnen rijksorganisaties met het sluiten
van de raamovereenkomst onder veilige en gunstige voorwaarden clouddienstverlening
afnemen bij leveranciers. Dit kan een drempelverlagend effect hebben op de inkoop
van dienstverlening bij deze leveranciers. Met de inkoop van dienstverlening bij Europese
leveranciers, zoals STACKIT, kan de overheid als lancerende klant bijdragen aan de
concurrentiepositie van Europese cloudleveranciers. Ook kan dit bijdragen aan een
meer divers leveranciersbestand, waarmee afhankelijkheden van niet-Europese aanbieders
bij rijksorganisaties worden afgebouwd. Dit draagt bij aan de digitale autonomie van
Nederland.

Vraag 6

Hoe draagt het sluiten van een raamovereenkomst met één leverancier bij aan een eerlijk
en open speelveld voor Nederlandse en Europese techbedrijven?

Antwoord 6

Zoals onder vraag 5 toegelicht kan het sluiten van de raamovereenkomst een drempelverlagend
effect hebben op de inkoop van dienstverlening bij deze Europese leverancier. Daarnaast
sluit het afsluiten van een raamovereenkomst met één partij de mogelijkheid tot het
sluiten van gelijksoortige raamovereenkomsten met andere partijen geenszins uit.

Tegelijkertijd is meedingen in individuele aanbestedingstrajecten voor clouddienstverlening
van de Rijksoverheid niet exclusief voorbehouden aan partijen die een raamovereenkomst
met SLM Rijk hebben afgesloten. Dit betekent dat aanbieders zonder raamovereenkomst
met SLM Rijk evengoed kunnen meedingen in aanbestedingen voor clouddienstverlening.

Het is tevens relevant te benadrukken dat SLM Rijk de intentie heeft met meer Europese
cloudaanbieders een raamovereenkomst te sluiten. Zo is er reeds een onderzoek bezig
naar OVHcloud en ESET, een Europese leverancier voor securitydiensten. Ook is SLM
Rijk in gesprek met Nederlandse cloudbedrijven om de mogelijkheden voor het sluiten
van een raamovereenkomst te verkennen.

Vraag 7

Hoe borgt u in het sluiten van een raamovereenkomst de diversificatie en keuzevrijheid
tussen leveranciers, zoals wel beoogd wordt door een privaat initiatief zoals de Open
Cloud Alliantie?3

Antwoord 7

Er geldt geen afnameverplichting voor het gebruik van STACKIT door rijksorganisaties.

Dit betekent dat net als STACKIT iedere andere cloudaanbieder inclusief leden van
bijvoorbeeld de Open Cloud Alliantie, kan meedingen in aanbestedingen.

Vraag 8

Welke diensten levert STACKIT? Kunt u concreet maken voor welke belangrijke IT-processen
u van plan bent de clouddiensten van STACKIT af te nemen?

Antwoord 8

STACKIT levert clouddiensten, bijvoorbeeld rekenkracht en opslag. Onder de reikwijdte
van de raamovereenkomst zijn deze diensten meegenomen.

Zoals toegelicht in de beantwoording van vragen 1 en 4 zijn afspraken over de afname
van diensten geen onderdeel van de raamovereenkomst.

Vraag 9

Erkent u dat opslag binnen de Europese Economische Ruimte (EER) geen afdoende bescherming
is tegen inzageverzoeken van niet-Europese overheden, als de bedrijven die de opslag
beheren onder niet-Europese wetgeving vallen?

Antwoord 9

Ja, dat erken ik. Omdat dit risico niet van toepassing is op de diensten in scope
van de raamovereemkomst met STACKIT, verwijs ik voor een gedetailleerde juridische
analyse naar andere door SLM gepubliceerde DPIA’s.4 Zo wordt hierop in de recent gepubliceerde tweede update DPIA op M365 Copilot gedetailleerd
ingegaan, specifiek in paragraaf 8.3.4.

Op dit moment zijn er geen afhankelijkheden van niet-Europese bedrijven geconstateerd
voor de diensten van STACKIT die zijn opgenomen in de scope van de raamovereenkomst.
Zie ook de beantwoording op vraag 11.

Vraag 10

Is uitgesloten dat de clouddiensten van STACKIT op welke manier dan ook afhankelijk
zijn van niet-Europese techbedrijven in het beheer, onderhoud, de beveiliging, of
andere essentiële processen?

Antwoord 10

Dit is contractueel uitgesloten. Mocht er worden geconstateerd dat de feitelijke situatie
in een later stadium zou afwijken van de contractuele waarborgen, dan kan het contract
direct worden opgezegd.

Vraag 11

Indien dit niet uit te sluiten is, kunt u dan toelichten welke afhankelijkheden STACKIT
heeft van niet-Europese bedrijven? Zijn deze afhankelijkheden weg te nemen?

Antwoord 11

Op dit moment zijn er geen afhankelijkheden van niet-Europese bedrijven geconstateerd
voor de diensten van STACKIT die zijn opgenomen in de scope van de raamovereenkomst.

Vraag 12

Welke analyses heeft u gemaakt om te bevestigen dat STACKIT daadwerkelijk volledig
Europees en autonoom is? Kunt u deze met de Kamer delen?

Antwoord 12

SLM Rijk heeft de DPIA op STACKIT door een extern bureau laten uitvoeren waarin de
potentiële gegevensuitwisselingen met STACKIT zijn onderzocht. Conform de uitgevoerde
DPIA is in de raamovereenkomst vastgelegd dat alle gegevens exclusief worden verwerkt
binnen de EER, inclusief persoonsgegevens. Ook zijn er afspraken gemaakt over (voortijdige)
contractbeëindiging bij wijzigingen in eigenaarschap, bijvoorbeeld als STACKIT wordt
overgenomen door een buiten de EER gelegen eigenaar. Zie ook de beantwoording op vraag
5.

Vraag 13

Hoe gaat de Rijksoverheid toezien of STACKIT zich aan de afspraken houdt? Welke toezichthouder
is hiertoe aan zet?

Antwoord 13

SLM Rijk zal dat doen door middel van uitoefening van het bedongen auditrecht, dit
is onderdeel van regulier contractbeheer. De toezichthouder is in casu dus niet aan
zet.

Vraag 14

Kunt u de vragen afzonderlijk van elkaar en zo snel mogelijk beantwoorden?

Antwoord 14

Ja.