Schriftelijke vragen : Het herziene rijksbrede cloudbeleid 2026

Vraag 1

Is het duidelijk voor alle relevante rijksorganisaties wat de gevolgen zijn van het
herziene cloudbeleid? (Kamerstuk 26 643, nr. 1541) Kunt u aangeven of er organisaties zijn die bij voorbaat aangeven niet aan het herziene
beleid te kunnen of zullen voldoen?

Vraag 2

Hebben rijksorganisaties voldoende beeld op hun eigen cloudgebruik om de herziene
regels effectief na te leven? Op welke delen van het cloudlandschap van de overheid
ontbreekt er nog overzicht?

Vraag 3

Welke rol krijgt de veelbelovende Nederlandse Digitale Dienst om zeker te stellen
dat alle rijksorganisaties aan het herziene cloudbeleid kunnen en zullen voldoen?
Bent u bereid de organisatie hiertoe de nodige capaciteit en instrumenten te geven?

Vraag 4

Kunt u een schematisch overzicht geven van maatregelen die ook overwogen zijn voor
het herziene cloudbeleid, met een onderbouwing waarom deze uiteindelijk niet zijn
opgenomen?

Vraag 5

Welke concrete doelen heeft het kabinet om digitaal onafhankelijk te worden? Wordt
het doel vastgesteld op 30% digitaal onafhankelijk per 2029, zoals gevraagd in de
motie-Thijssen/Bruyning (Kamerstuk 36 574, nr. 5) en de initiatiefnota Wolken aan de Horizon (Kamerstuk 36 574, nr. 2)?

Vraag 6

Hoeveel digitaal onafhankelijker wordt de Rijksoverheid door het herziene cloudbeleid
in de komende jaren? Wordt het doel van 30% in 2029 gehaald?

Vraag 7

Kunt u heel concreet uitleggen welke rol u heeft, als coördinerend Staatssecretaris
(EZK) en als Staatssecretaris verantwoordelijk voor uitvoeringsdiensten (BZK), om
dit beleid te handhaven?

Vraag 8

Welke instrumenten heeft u om het herziene cloudbeleid daadwerkelijk uit te voeren?
Met hoeveel zekerheid kunt u zeggen dat dit beleid zal leiden tot een digitaal onafhankelijke
Rijksoverheid?

Vraag 9

Heeft u overwogen om het coördinatiebesluit, waarin de bevoegdheden van bewindspersonen
zijn vastgelegd, uit te breiden zodat u dwingender kan optreden om het herziene cloudbeleid
uit te voeren? Waarom heeft u dit niet gedaan, cf. de motie-Six Dijkstra (Kamerstuk
26 643, nr. 1294)?

Vraag 10

Waarom is er, ondanks de hoge ambities in het coalitieakkoord, geen budget beschikbaar
gesteld voor de herziening van het cloudbeleid?

Vraag 11

Wat bedoelt u met de «scherpe keuzes» en «herprioritering» die nodig zijn omdat het
kabinet geen middelen reserveert voor haar eigen digitale ambities?

Vraag 12

Met welke investeringen zou het herziene cloudbeleid sneller en effectiever toegepast
kunnen worden? Hoe kan voorkomen worden dat door «scherpe keuzes» en «herprioritering»
geen vaart wordt gemaakt met de nodige maatregelen om digitaal onafhankelijk te worden?

Vraag 13

Kunt u de overgangstermijn van vier jaar onderbouwen? In welke gevallen wordt hier
van afgeweken? Hoe voorkomt u dat migraties van bestaand cloudgebruik allemaal vertraagd
worden wegens «hoge kosten of risico’s»?

Vraag 14

Wat bedoelt u ermee dat het «afgeraden» wordt om e-mail- en documentbeheer in de publieke
cloud te zetten? Betekent dit dat binnen vier jaar alle mailservers en documentbeheer
daadwerkelijk uit de publieke cloud worden gehaald?

Vraag 15

Welke aanpassingen in het IT-inkoopbeleid zijn nodig om het herziene cloudbeleid verder
te ondersteunen? Heeft u plannen om het inkoopbeleid aan te scherpen, en zo ja, welke?1

Vraag 16

Waarom wordt een generiek cloud-tenzij beleid enkel «afgeraden»? Waarom formuleert
u dit niet dwingender?

Vraag 17

Hoe wordt er op toegezien dat rijksorganisaties binnen 12 maanden een exitplan opstellen
voor bestaand cloudgebruik?2 Bent u van plan dit per organisatie te monitoren en met de Kamer te delen? Welke
gevolgen zijn er als een organisatie niet op tijd een exitplan aanlevert?

Vraag 18

Worden organisaties verplicht om opvolging te geven aan de «aanwijzingen» van de Chief
Information Security Officer (CISO) Rijk, als blijkt dat aangeleverde cloudplannen,
de risicoanalyse en/of het exitplan niet in lijn zijn met het beleid?

Vraag 19

Waarom is er niet voor gekozen om de CISO Rijk of de Staatssecretaris belast met Digitale
Zaken de bevoegdheid te geven om cloudplannen, de risicoanalyse en/of het exitplan
als geheel af te wijzen, als deze niet voldoen aan het herziene cloudbeleid?

Vraag 20

Hoe verwacht u dat rijksorganisaties de «geopolitieke risico’s» van cloudgebruik in
hun risicoanalyse in kaart brengen? Welke criteria worden hiervoor gebruikt?

Vraag 21

Hoe bent u van plan aan de Kamer te rapporteren over de opgestelde risicoanalyses
en exitplannen van rijksorganisaties?

Vraag 22

Wat bedoelt u met het gegeven dat overheidsdocumenten en mailberichten «bij voorkeur»
niet in de publieke cloud worden ondergebracht? Waarom bent u hier niet dwingender
in, gezien de gevoeligheid van deze gegevens en de erkende risico’s van de publieke
cloud?

Vraag 23

Kunt u concreet maken wanneer aan de drie uitzonderingsgronden is voldaan om tóch
mailverkeer en documenten in de publieke cloud te mogen houden? Na hoeveel tijd wordt
bezien of deze uitzonderingsgronden nog steeds gelden?

Vraag 24

Wat bedoelt u met het gegeven dat het sleutelbeheer van versleutelde vertrouwelijke
gegevens «bij voorkeur» niet bij de cloudleverancier wordt neergelegd? Waarom belegt
u het niet per definitie in eigen beheer?

Vraag 25

Onder welke voorwaarden is het volgens u acceptabel om bijzondere persoonsgegevens
alsnog in de publieke cloud te verwerken? Hoe wordt vastgesteld dat de mitigerende
maatregelen afdoende zijn?

Vraag 26

Wat bedoelt u ermee dat het rijksbrede cloudbeleid «waar mogelijk» toegepast zal worden
bij uitgezonderde organisaties? Worden de uitgezonderde organisaties wel geacht om
hun eigen cloudbeleid aan te scherpen?

Vraag 27

Kunt u «kleinschalige doelen» noemen waarvoor het rijksbrede cloudbeleid een uitzondering
zou maken? Hoe en door wie wordt bepaald of iets wel of niet uitgezonderd wordt?

Vraag 28

Kunt u deze vragen afzonderlijk en vooraf aan het commissiedebat «Digitaliserende
overheid en toezicht» van 30 september 2026 beantwoorden?