2. Verkenning digitale autonomie - 5 maart 2025.pdf

Onder hosting vallen de infrastructuur (de hardware of capaciteit zoals rekenkracht en opslag dus IaaS) het platform (wat binnen Amsterdam bedoeld wordt als men spreekt over ’de Cloud’ of het Cloudplatform dus PaaS). Onder applicaties vallen Software/Applicaties (dus SaaS). Hiervoor geldt dat als de gemeente een voorkeursbeleid heeft voor (open source, tenzij) dat open-source oplossingen dit digitale autonomie. Dit vraagt wel om nuance: open source is – zeker gezien de focus op kernprocessen – geen magische oplossing omdat voor die processen de inschatting is dat er beperkter open source beschikbaar is. Dat neemt niet weg dat actiever inzetten op opensourcesoftware bij kan dragen. Actiever inzetten vraagt een investering in de vakgroep softwareontwikkeling en randvoorwaarden zoals continuering van gestandaardiseerde hosting van de open source applicaties en investeren in de opensource community. Dit kan overwogen worden als het sourcingsbeleid wordt bijgewerkt. Naast applicaties hosting, generieke voorzieningen Er zijn ook andere onderdelen, zoals connectiviteit (WAN en (W)LAN) en de Amsterdam Digitale Werkomgeving (ADW).

IaaS

HenT (KPN)

Huidige kennis in huis: ‘Kale’ regie bij Dienstverlening en Samenwerking. Inhoudelijke kennis bij afdeling Platformen en Softwareontwikkeling

Voorgestelde beweging:

Dat vraagt:

Naar volwassen ook inhoudelijke regie

Meer technische architectuur kennis in huis voor sterkere regievoering.

verkenning digitale autonomie

Financiële impact: Beperkt

-

23 van 42

PaaS

Microsoft Azure

Over Azure

SaaS

Divers

Wisselend, over het algemeen minimaal

Samen met de andere overheden opbouwen kennis en ervaring met andere PaaS-leveranciers (Hyperscalers of anders) Ook regie voeren op SaaS. Ontkoppeling op Dataniveau organiseren.

Brede samenwerking binnen de overheid

Afhankelijk van financierings keuze

Visie en uitgewerkte kaders/standaarde n. Actief bewerken van de markt.

Per domein verschillend

Infrastructuur De Hosting en TAB (HenT) verzorgt de hosting en het technisch applicatiebeheer van businessapplicaties. Het grootste gedeelte van de applicaties (150) is in beheer bij de strategisch partner (KPN). Inmiddels staat er vrijwel niets meer in onze eigen datacenters en is alles gemigreerd naar HenT, Cloud of SaaS. De diensten neemt Amsterdam af. De technisch inhoudelijke kennis bij de gemeente Amsterdam is beperkt, lees de kennis die in huis is opgebouwd door en voor het gebruik van de platformen. Keuzemogelijkheden:   

Zelf hardware in huis en beheren Hardware uitbesteden en beheer en regie in nauwe samenwerking met leverancier Volledig uitbesteden

Afweging: De impact die deze laag maakt op digitale autonomie is beperkt. Er zijn verschillende leveranciers die dit kunnen leveren. Wisselen van leverancier is ingewikkeld, maar niet ondoenlijk. Er is in het verleden bewust gekozen voor een Nederlandse leverancier. Bovendien is de leverancier maar beperkt bepalend voor de technologie die wordt gebruikt, die wordt namelijk bepaald door de (los van elkaar door de tijd heen aangeschafte) applicaties. Deze applicaties zijn bepalend voor onderliggende besturingssystemen, databasesystemen, etc. De afhankelijkheid van de huidige leverancier is vooral groot doordat kennis van integratie van applicatie en infrastructuur voornamelijk bij de leverancier ligt en Amsterdam hier zelf beperkte kennis van heeft. Dit maakt een goede manier regie voeren, of de transitie na een volgende aanbesteding uitvoeren minder makkelijk. Amsterdam evalueert haar regierol. Deze rol zal ook bij volgende leveranciers nodig zijn. De diensten nemen we af van een partij die is gevestigd in Nederland en waarbij data de Europese unie niet verlaat. Deze kennisopbouw vergroot de mogelijkheden om de laag infrastructuur samen met andere gemeenten af te nemen.

Platform Amsterdam maakt nu gebruik van PAAS, platform-as-a-service. Waarbij in theorie alle platformen mogelijk zijn wordt in de praktijk nagenoeg alles bij Microsoft Azure ondergebracht. Amsterdam kan het hele aanbod van Azure afnemen. Dit aanbod met innovatieve functies zijn nodig voor de diensten die nu worden geleverd.

verkenning digitale autonomie

-

24 van 42

De inzet om een cloudplatform te ondersteunen en leveren is ca. 4 miljoen euro per jaar aan exploitatielasten. Dat bestaat uit kennis en kunde om adequaat regie te voeren op het gebruik van een platform. Denk hiervan aan de inrichting, toegangsbeheer, compliance, security, dienstverlening aan collega’s om toepassingen te migreren naar Azure (bijvoorbeeld Parkeren). Dit zijn de kosten voor de regievoering voor Azure. Daarnaast zijn er kosten per gebruik van de diensten, zoals voor het draaien van de 150 applicaties. Andere mogelijke platformen zijn AWS en Google. Kosten om een ander platform te ondersteunen zijn eenzelfde orde van grootte. Om een ander platform te ondersteunen (multicloud) moet meer interne kennis en kunde worden opgebouwd. Keuzes:   

Continueren van inzet op migratie naar Azure Zelf diversifiëren (naast Azure ook AWS en Google actief ondersteunen) Samen diversifiëren (platform van Amsterdam aanbieden aan andere gemeenten en met het vrijgekomen budget door schaalvoordeel een tweede platform ondersteunen)

Afweging:  





Dekt de multicloudstrategie de risico's af die je af wil dekken? Een tweede of derde platform ondersteunen voor Amsterdam levert beperkte voordelen ten opzichte van de kosten. Met redelijk beperkte extra kosten kunnen we de PAAS omgeving inrichten voor G4 en anderen (zoals Zaanstad en Delft). De kosten daarvoor zijn niet x keer het aantal gemeenten, maar slechts een beetje meer per gemeente die aansluit. Vanuit je regie moet je weten wat de ketenafhankelijkheid is bij andere producten (dus AWS of Google). Beperkte ondersteuning hierop heeft risico’s. Die zijn er nu ook. Die accepteren we dan expliciet. Naast de Big Tech platform aanbieders zijn er op dit moment geen leveranciers die op de schaal van de gemeente Amsterdam kunnen leveren. De markt is wel in beweging en bij keuzes is flexibiliteit inbouwen wenselijk om hierop in te kunnen spelen. Dit gaat over functionaliteit op het gebied van compliancy en security die we hiervoor niet tot onze beschikbaarheid hadden. Zo is ook cybersecurity in 10-15 jaar gegroeid van een 'non-functional' (een contract) naar een functionele requirement. Er wordt ingezet op een scala aan security-inzichten waar op geacteerd kan worden. Dat was hiervoor nauwelijks mogelijk. Op dit moment bieden helaas alleen grote cloudpartijen deze inzichten aan omdat zij in staat zijn hierin te investeren.

Voorgestelde verandering: a. Samen met andere overheden in lijn met de Nederlandse Digitaliseringsstrategie (NDS) werken aan Europese initiatieven. b. Kennis intern opbouwen zodat we beter begrip hebben van de IT die we gebruiken, en hierdoor tegelijkertijd een stap zetten in de samenwerking met andere gemeente door het initiatief te nemen voor een uitvoeringsorganisatie die over en weer diensten levert tussen lokale overheden. Dit doen we samen met de VNG e.a. Bijvoorbeeld door actief de diensten van de afdeling platform van de gemeente Amsterdam in te zetten in samenwerking met andere gemeenten. Dat schaalvoordeel levert ruimte op om kennis en kunde op te bouwen voor andere platforms.

verkenning digitale autonomie

-

25 van 42

Applicaties Het applicatielandschap van de gemeente bestaat uit ongeveer 1.300 applicaties. Dit zijn voornamelijk SaaS applicaties. Er zijn ‘grote brokken’ voor gestandaardiseerde, secundaire bedrijfsprocessen zoals -

CRM door Salesforce, ERP door SAP en ook leveranciers zoals Pinkroccade en Centric; Financiële systemen (inkomsten, beheer, uitgaven), payrolling; Taak- en Zaaksystemen, inclusief interne ticket software (Case Management zoals ITSM).

Security eisen en gebruikersgemak zijn redenen om steeds vaker te kiezen voor ‘suites’. Dat zijn grotere pakketten software die goed met elkaar geïntegreerd zijn. Overigens zijn alternatieven met meerdere systemen die samenwerken een mogelijkheid. Echter vraagt dat interne kennis die we daarvoor eerst moeten opbouwen. Nu doen we het tegenovergestelde: we gaan van losse applicaties naar grote suites. Voor kantoorapplicaties werkt de gemeente mee met OpenBureau. Dat is een proof of concept vanuit de OPSO (Open Source Office) van het Ministerie van Binnenlandse Zaken voor Rijksoverheid om te bewijzen dat open source kantoorautomatisering een bruikbaar alternatief is. Hier worden in 2025 de eerste bevindingen verwacht. Keuzes:    

Voor gemeentespecifieke toepassingen sturen op Common Ground (zoals met applicaties als OpenStad en Signalen). Explicieter sturen op voldoen aan standaarden en interoperabiliteit (met mogelijk extra kosten) Explicieter sturen op open source. Dat betekent bijvoorbeeld interne kennisopbouw om open source pakketten aan elkaar te koppelen als tegenhanger voor ‘suites’. Geen bedrijfsspecifieke applicaties meer ombouwen naar Microsoft’s Sharepoint.

Afwegingen:  

Diversifiëren betekent extra kosten: In de praktijk betaal je bij Microsoft voor het hele pakket, dus als je een onderdeel ergens anders ook neerzet betaal je dubbel. Security eisen en gebruikersgemak zijn redenen om steeds vaker te kiezen voor ‘suites’. Dat zijn grotere pakketten software die goed met elkaar geïntegreerd zijn.

Aanbevelingen en mogelijke maatregelen Verschillende huidige maatregelen versterken al digitale autonomie. In deze verbeterprocessen zullen we digitale autonomie meenemen en verkennen wat er nodig is. Denk hierbij aan de evaluatie van de regiefunctie (zoals interne kennis over ingekochte software) en het verbeteren van het inkoopproces. Onderstaande maatregelen zijn gericht op het vergroten van digitale autonomie door risico’s te beperken, beleidsstructuren te verbeteren, en technologische oplossingen te diversifiëren. We versterken onze inzet op: 1. Samenwerking versterken: Europees en landelijk, stap naar digitale autonomie Om onafhankelijk(er) van leveranciers te zijn is het noodzakelijk om intensiever samen te werken met andere overheden. Europese, nationale en lokale samenwerking op dit onderwerp versterken de positie verkenning digitale autonomie

-

26 van 42

van Amsterdam en Amsterdam zal haar beleid waar nodig herijken op basis van ontwikkelingen zoals Nederlandse Digitalisering Strategie (NDS). Dit doen we door: a. Kennis intern op te bouwen, zodat we beter begrip hebben van de IT die we gebruiken. En hierdoor tegelijkertijd een stap te zetten in de samenwerking met andere gemeentes door het initiatief te nemen voor een uitvoeringsorganisatie die over en weer diensten levert tussen lokale overheden, natuurlijk samen met de VNG e.a. b. Amsterdam actief aan te laten sluiten op de visie en het beleidskader digitale autonomie en soevereiniteit overheid die voor de zomer van 2025 door het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties gepubliceerd wordt. Deze zijn onderdeel van de Nederlandse Digitaliseringsstrategie (NDS). Aansluitend op de ambities van de NDS zullen we ook ons cloudbeleid en sourcingstrategie daarop aanpassen. 2. Regie op data Om onafhankelijk(er) van leveranciers te zijn is het noodzakelijk om data en applicaties van elkaar te scheiden, zodat er gewisseld kan worden van leverancier als we dat willen. Daarom passen we de volgende principes toe: a. Contractueel blijft opgeslagen data altijd van de gemeente Amsterdam b. We slaan op conform algemene standaarden c. Amsterdam werkt vanuit het principe: de data is van de Amsterdammer en we slaan zo weinig mogelijk op (minimalisatie). 3.

Digitaal onafhankelijke infrastructuur en applicaties Om onafhankelijk(er) van leveranciers te zijn is het noodzakelijk om maatregelen te nemen om keuzevrijheid te creëren: a. Bij de komende aanbestedingen nemen we digitale autonomie mee als criterium om scherper te krijgen wat het vraagt, daarbij realiseren we ons dat we afhankelijk zijn van de markt, maar we gaan voor het meest haalbare. De aankomende aanbestedingen voor de voor dienstverlening Public Cloud en HenT (hosting) zijn de eerste grote aanbestedingen waarin we dit gaan doen. Denk hierbij aan de mogelijkheid bij aanbestedingen om de contracten af te kunnen schalen. b. We bevorderen digitale autonomie bij kritische bedrijfsprocessen en bijhorende applicaties door ons huidig beleid op business continuïteitsmanagement te versterken (denk hierbij aan migratiestrategieën, exit-plannen en aangescherpte afspraken over regie op de data). c. Bij keuzes rondom applicaties explicieter sturen voor aansluiting op Common Ground: voldoen aan standaarden (zoals Europese standaarden voor steden met Living-in.EU).

Conclusies en Vervolgstappen De verkenning ‘Versterking van Digitale Autonomie in Amsterdam’ identificeert een dringende behoefte aan digitale autonomie om risico’s te beheersen, zoals cyberdreigingen en de afhankelijkheid van een beperkt aantal leveranciers. Even overstappen is niet mogelijk. Om technische en financiële redenen, maar ook omdat het niet wenselijk is gezien de kwaliteit en continuïteit van onze dienstverlening: er is geen of beperkt aanbod wat aan onze eisen en wensen voldoet. De beschreven maatregelen zijn erop gericht niet nog afhankelijker te worden. We maken geen apart actieplan voor digitale autonomie maar zorgen dat we dit onderdeel maken van ons huidig beleid. Stap voor stap worden we op die manier steeds autonomer, waarbij we ons aansluiten bij Europese en landelijke initiatieven. verkenning digitale autonomie

-

27 van 42

We versterken onze inzet op: 1. Samenwerking versterken: Europees en landelijk, stap naar digitale autonomie 2. Regie op data 3. Digitaal onafhankelijke infrastructuur en applicaties

verkenning digitale autonomie

-

28 van 42

Bijlagen

verkenning digitale autonomie

-

29 van 42

Bijlage A - Wat is digitale autonomie? Er zijn verschillende definities en aanverwante onderwerpen. Belangrijkste hierin zijn de definities van de Europese Commissie, de vertaling hiervan naar de Nederlandse Agenda DOSA en de definitie uit verkenning digitale autonomie van het Ministerie van BZK. Het Rijk werkt aan een Nederlandse Digitaliseringsstrategie. Deze wordt voor de zomer van 2025 verwacht. In het traject van de NDS is ook aandacht voor digitale autonomie en de definitie hiervan. Die definitie zullen we volgen. Tot die tijd gebruiken we de definitie uit de verkenning verkenning digitale autonomie van het Ministerie van BZK. Echter is deze niet precies genoeg om bijvoorbeeld te werken aan inkoopvoorwaarden en andere maatregelen. Samen met o.a. AMS Institute wordt gewerkt aan het preciezer maken van de definitie.

Aspecten die in ieder geval van belang zijn voor deze verkenning zijn de volgende. "Digitaal autonomie" verwijst naar de mate waarin een entiteit, zoals een stad, land, organisatie, of individu, in staat is om digitale technologieën te beheren, gebruiken en innoveren op een manier die niet afhankelijk is van externe invloeden of controle. Het omvat het vermogen om zelfstandig verkenning digitale autonomie

-

30 van 42

beslissingen te nemen over digitale infrastructuur, gegevensbeheer, informatiebeveiliging, technologische innovatie en andere aspecten van de digitale omgeving. Belangrijke aspecten van digitaal onafhankelijk zijn onder andere: 1. Technologische infrastructuur: Het vermogen om lokale digitale infrastructuren te ontwikkelen, te onderhouden en te beheren, zoals datacenters, communicatienetwerken en cloudservices, zonder overmatige afhankelijkheid van externe providers. 2. Data-eigendom en privacy: De mogelijkheid om eigenaar te zijn van en controle te hebben over de data die wordt gegenereerd en verzameld binnen een entiteit, evenals het implementeren van robuuste privacybeschermingsmaatregelen. 3. Digitale vaardigheden: Het bevorderen van lokale digitale geletterdheid en het ontwikkelen van een vaardige lokale beroepsbevolking die in staat is digitale technologieën te begrijpen en te beheren. 4. Cybersecurity: Het vermogen om de digitale omgeving te beschermen tegen cyberbedreigingen door lokale expertise in cybersecurity op te bouwen en effectieve maatregelen voor incidentrespons te implementeren. 5. Open data en transparantie: Het implementeren van open data-initiatieven om nietgevoelige gegevens toegankelijk te maken voor het publiek en het bevorderen van transparantie en verantwoordingsplicht. 6.

Diversificatie van toeleveringsketens: Het verminderen van risico's door het diversifiëren van toeleveringsketens voor kritieke digitale componenten en mogelijk lokaal produceren van essentiële digitale technologieën. Digitaal onafhankelijk zijn betekent over het algemeen streven naar autonomie, veerkracht en controle over de digitale middelen, systemen en processen, met het doel om een duurzame en veilige digitale toekomst te waarborgen.

verkenning digitale autonomie

-

31 van 42

Bijlage B - Beleidsdocumenten en strategische notities 1. Cloudstrategie Gemeente Amsterdam 2022-2025 a. Kernpunten: Diversificatie van cloudleveranciers, implementatie van een multicloudstrategie en focus op Europese cloudopties. b. Doel: Verminderen van afhankelijkheid en vergroten van veerkracht door gebruik te maken van meerdere leveranciers en te voldoen aan Europese wet- en regelgeving. 2. Sourcingstrategie Amsterdam 2019 a. Kernpunten: Efficiëntie, onafhankelijkheid en autonomie bij inkoop van technologie en diensten. b. Beperkingen: Nog beperkt rekening gehouden met strategische autonomie en digitale onafhankelijkheid. 3. Datastrategie Gemeente Amsterdam 2022-2026 a. Doel gemeente breed: Onze data principes kader stellend zijn voor de datatransformatie en worden vertaald naar sturing in de praktijk voor elk team. b. Doel directie Data: onze doelen gericht zijn op het faciliteren van de implementatie data gedreven werken binnen de gemeente waarbij elk team een meetbare bijdrage levert. 4. Agenda Digitale Stad a. Onderwerpen: Digitale inclusie, publieke waarden in technologie en samenwerking binnen de stad. b. Focus: Het versterken van de digitale infrastructuur en het betrekken van burgers en ondernemers. 5. Architectuurprincipes a. Richtlijnen: Open standaarden, interoperabiliteit, schaalbaarheid en datatoegankelijkheid. b.

Voorbeeld: Gebruik van containertechnologieën om overstappen tussen cloudproviders te vergemakkelijken.

verkenning digitale autonomie

-

32 van 42

Bijlage C - Overzicht ontwikkelingen en samenwerkingsverbanden 1. Nationale Ontwikkelingen a. Digitale Autonomie Strategie Nederland (DOSA): Beleid van het Rijk gericht op het versterken van digitale autonomie. b. Tweede Kamerbrief Evaluatie Rijksbreed Cloudbeleid: Inzicht in afhankelijkheid van buitenlandse technologie en strategische aanbevelingen. c. Forum Standaardisatie: Bevordering van open standaarden en interoperabiliteit. 2. Europese Initiatieven a. European Digital Infrastructure Consortium (EDIC): Gericht op het ontwikkelen van Europese cloud- en datainfrastructuren. b. Data Act en Data Governance Act: Wetgeving ter bevordering van datadeling en gegevenssoevereiniteit. 3. Lokale Samenwerkingen a. G4-steden: Gezamenlijke aanbestedingen en uitwisseling van kennis en best practices. b. Waag en PublicSpaces: Partners in het bevorderen van open source en publieke digitale infrastructuren. De Nederlandse Digitaliseringsstrategie De Nederlandse Digitaliseringsstrategie (NDS) 2025 is een initiatief van staatssecretaris Zsolt Szabó, gericht op het verantwoord inzetten van digitale technologie en het verbeteren van overheidsdienstverlening aan burgers en ondernemers. De hoofddoelen van de NDS in 2025 zijn: 7.

Werken als één overheid: Het streven is om burgers en ondernemers te bedienen als één samenhangende overheid, in plaats van als afzonderlijke organisaties. Dit moet het contact met de overheid vereenvoudigen en efficiënter maken. 8. Verbeteren van digitale dienstverlening: Het doel is om de digitale interactie met de overheid begrijpelijker en toegankelijker te maken, zodat burgers en ondernemers eenvoudiger zaken kunnen regelen. 9. Versterken van samenwerking binnen de overheid: Door nauwere samenwerking tussen verschillende overheidslagen en publieke dienstverleners wil men dubbel werk voorkomen en besluitvorming versnellen. 10. Proactief inspelen op technologische ontwikkelingen: De NDS richt zich op het tijdig adopteren van nieuwe technologieën, zoals cloud computing en artificiële intelligentie (AI), om de digitale infrastructuur te optimaliseren. 11. Verhogen van digitale weerbaarheid: Het vergroten van de veiligheid en onafhankelijkheid van digitale systemen binnen de overheid is een prioriteit om bedreigingen het hoofd te bieden. 12. Stimuleren van digitaal vakmanschap: Het ontwikkelen en versterken van digitale vaardigheden binnen de overheid is essentieel voor het effectief gebruik van technologische mogelijkheden. De NDS 2025 wordt in fases ontwikkeld.

Van september tot en met november 2024 lag de focus op het opstarten en prioriteren van de strategie (fase 1: het ‘wat’). Vanaf december 2024 richt men zich op het uitwerken en formaliseren (fase 2: het ‘hoe’). De definitieve versie van de NDS wordt in het voorjaar van 2025 aan de Tweede Kamer aangeboden. Door deze strategie beoogt de overheid de digitale transitie in

verkenning digitale autonomie

-

33 van 42

Nederland succesvol te begeleiden, met aandacht voor zowel kansen als risico’s die digitalisering met zich meebrengt. Prioriteiten van de NDS 2025 In de startbrief over de Nederlandse Digitaliseringsstrategie (NDS) heeft staatssecretaris Zsolt Szabó zeven prioriteiten benoemd waarop de overheid zich zal richten: 8. Goede dienstverlening van de overheid voor burgers en ondernemers: Het verbeteren van de digitale interactie tussen overheid, burgers en bedrijven om deze begrijpelijk en toegankelijk te maken. 9. Versterken van digitale weerbaarheid en autonomie: Het vergroten van de veiligheid en onafhankelijkheid van digitale systemen binnen de overheid. 10. Politiek-bestuurlijke aansturing en efficiëntere samenwerking als één overheid: Het bevorderen van een geïntegreerde aanpak en samenwerking tussen verschillende overheidslagen en publieke dienstverleners. 11. Digitaal vakmanschap: Het ontwikkelen en versterken van digitale vaardigheden binnen de overheid om effectief gebruik te maken van technologische mogelijkheden. 12. Artificiële Intelligentie (AI): Het verkennen en verantwoord inzetten van AI-toepassingen binnen overheidsdiensten. 13. Data: Het verbeteren van data-uitwisseling en -gebruik binnen de overheid, met aandacht voor standaardisatie en veiligheid. 14.

Cloud: Het onderzoeken en implementeren van cloudoplossingen om de digitale infrastructuur van de overheid te optimaliseren. Deze prioriteiten worden de komende tijd verder uitgewerkt in de nieuwe NDS, die naar verwachting in het voorjaar van 2025 aan de Tweede Kamer zal worden aangeboden.

verkenning digitale autonomie

-

34 van 42

Bijlage D - Geraadpleegde literatuur en bronnen 1. Experts Er zijn - naast collega’s bij de VNG en het Ministerie van Binnenlandse Zaken - oriënterende gesprekken geweest met verschillende experts, waaronder Bert Hubert, Thijs Turèl (AMS-Institute), Hans de ZXwart (HvA), Nitesh Bharosa (TU Delft en Digicampus), Sander van der Waal (Waag), Sophie Bloemen (Commons Network) en Marijn Janssen (TU Delft). 2. Rapporten a. "Break Open Big Tech" manifest en whitepaper: Aanbevelingen voor publieke digitale infrastructuren. b. "Digitale Autonomie Strategie Nederland" (DOSA): Richtsnoeren voor nationale digitale onafhankelijkheid. c. Evaluatie Rijksbreed Cloudbeleid (2024). 3. Wet- en Regelgeving a. Data Governance Act en Data Act (EU). b. Nederlandse Algemene Inkoopvoorwaarden Rijksoverheid (ARBIT). 4. Interne Documenten a. Overzicht huidige Amsterdamse IT-strategie en architectuurprincipes. b. Aanbestedingsdocumenten en sourcingsstrategieën van de gemeente Amsterdam. c. Datastrategie 2022-2026 5. Externe Bronnen a. Publicaties van de Europese Commissie over digitale soevereiniteit. b. Onderzoek naar digitale gemeenschapsgoederen door VNG en Commons Network. c.

Position papers van verschillende experts (onder andere het Rathenau Instituut, Wigo4it, individuele experts en bedrijven) welke gepubliceerd zijn voor het Rondetafelgesprek van de vaste commissie Digitale Zaken van de Tweede Kamer in februari 2025 over ‘Digitale soevereiniteit bij de Rijksoverheid’. https://www.tweedekamer.nl/debat_en_vergadering/commissievergaderingen/details?i d=2024A06698

1. SURF. (z.d.).leergang Digitale soevereiniteit op basis van publieke waarden. Geraadpleegd op [datum], van https://www.surf.nl/agenda/digitale-soevereiniteit-op-basis-van-publieke-waarden 2. Volkskrant. (2024, [datum]). Staatssecretaris zet verhuizing van overheidsgegevens naar de cloud voorlopig stil: 'Dit gaat om de Nederlandse veiligheid'. Geraadpleegd op [datum], van https://www.volkskrant.nl/tech/staatssecretaris-zet-verhuizing-van-overheidsgegevens-naarde-cloud-voorlopig-stil-dit-gaat-om-de-nederlandse-veiligheid~bf8d9544/ 3. UCL. (2024, december). Reclaiming Digital Sovereignty. Geraadpleegd op [datum], van https://www.ucl.ac.uk/bartlett/public-purpose/publications/2024/dec/reclaiming-digitalsovereignty 4. Rijksoverheid. (2024, 22 november). Kamerbrief over geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland. Geraadpleegd via https://www.rijksoverheid.nl/documenten/kamerstukken/2024/11/22/kamerbrief-overgeplande-en-voorgenomen-cloudmigraties-van-overheids-ict-naar-het-buitenland verkenning digitale autonomie

-

35 van 42

5. FD. (z.d.). Strategische autonomie is extreem kostbaar en niet per se veiliger. Geraadpleegd via https://fd.nl/economie/1537595/strategische-autonomie-is-extreem-kostbaar-en-niet-per-seveiliger 6. SURF. (2024, 10 oktober). Nieuwe strategie voor gebruik van clouddiensten in onderwijs en onderzoek. Geraadpleegd via https://www.surf.nl/nieuws/nieuwe-strategie-voor-gebruik-vanclouddiensten-in-onderwijs-en-onderzoek 7. SURF. (2024). Cloud sourcing strategie. Geraadpleegd via https://www.surf.nl/files/2024-10/surfcloud-sourcing-strategie.pdf 8. UCL. (2024, maart). Digital public infrastructure and public value: What is public about DPI?. Geraadpleegd via https://www.ucl.ac.uk/bartlett/public-purpose/publications/2024/mar/digitalpublic-infrastructure-and-public-value-what-public-about-dpi 9. VNG. (z.d.). Gezamenlijke prioriteitstelling Huis van Thorbecke. Geraadpleegd via https://vng.nl/brieven/gezamenlijke-prioriteitstelling-huis-van-thorbecke 10. TNO. (2024). TNO rapport R10300. Geraadpleegd via https://publications.tno.nl/publication/34642268/o5remY/TNO-2024-R10300.pdf 11. TNO. (2022). TNO rapport R10507. Geraadpleegd via https://publications.tno.nl/publication/34639349/urAkBu/TNO-2022-R10507.pdf 12. Binnenlands Bestuur. (z.d.). Het cloudbeleid van de Nederlandse overheid onveilig.

Geraadpleegd via https://www.binnenlandsbestuur.nl/digitaal/het-cloudbeleid-van-denederlandse-overheid-onveilig 13. SLM Microsoft Rijk. (2024, 2 september). Memo on EU-based public cloud providers. Geraadpleegd via https://slmmicrosoftrijk.nl/wp-content/uploads/2024/09/20240902-Memo-onEU-based-public-cloud-providers.pdf 14. UCL. (2024). IIPP Working Paper 2024-05. Geraadpleegd via https://www.ucl.ac.uk/bartlett/publicpurpose/sites/bartlett_public_purpose/files/iipp_wp_2024-05.pdf 15. Springer. (2024). Article on digital sovereignty. Geraadpleegd via https://link.springer.com/article/10.1007/s44206-024-00140-z 16. Europese Commissie. (z.d.). Digital strategy: EDIC. Geraadpleegd via https://digitalstrategy.ec.europa.eu/nl/policies/edic 17. Nesta. (z.d.). Towards Public Digital Infrastructure. Geraadpleegd via https://media.nesta.org.uk/documents/TowardsPublicDigitalInfrastructure_v0.2.pdf 18. Open Future. (z.d.). Digital Commons and Public Digital Infrastructure. Geraadpleegd via https://openfuture.pubpub.org/pub/digital-commons-public-digital-infra/release/2 19. Europese Commissie. (z.d.). The future of European competitiveness: A competitiveness strategy for Europe. Geraadpleegd via https://commission.europa.eu/document/download/ec1409c1d4b4-4882-8bdd-3519f86bbb92_en 20. iBestuur. (z.d.). BZK start strategische verkenning naar digitale soevereiniteit.

Geraadpleegd via https://ibestuur.nl/artikel/bzk-start-strategische-verkenning-naar-digitale-soevereiniteit 21. Cyber Security Raad. (2021). Onderzoeksrapport over nationale digitale autonomie. Geraadpleegd via https://www.cybersecurityraad.nl/actueel/nieuws/2021/02/22/onderzoeksrapport-overnationale-digitale-atonomie 22. Rathenau Instituut. (z.d.). Het behoud van digitale autonomie. Geraadpleegd via https://www.rathenau.nl/nl/berichten-aan-het-parlement/het-behoud-van-digitale-autonomie

verkenning digitale autonomie

-

36 van 42

23. Berthub. (z.d.). Digitale autonomie - PublicSpaces-notes. Geraadpleegd via https://berthub.eu/autonomie/Digitale%20autonomie%20PublicSpaces-notes.pdf 24. YouTube. (2024). Digitale autonomie, een duivels dilemma - Uitvoeringscongres 2024. Geraadpleegd via https://www.youtube.com/watch?v=nmUIykem6jk

verkenning digitale autonomie

-

37 van 42

Bijlage E Maatregelen en activiteiten uit verkenning Digitale autonomie van BZK (oktober 2024) en de overzicht van BZK activiteiten uit de agenda DOSA

B Bijlage B – Aanbevolen acties Onderwerp 1. Opstarten van de Actieagenda Digitale Autonomie (ADA

Actie Opzetten en inrichten van de ADA en de bijbehorende actielijnen vanuit een coördinerende rol binnen BZK.

2. Ontwikkeling van autonome/ soevereine ITvoorzieningen

Ontwikkelen en implementeren van autonome/soeverei ne ITvoorzieningen zoals cloudoplossingen en datacenters.

3. Implementatie van geavanceerde cybersecuritymaatrege len

Implementeren van geavanceerde cybersecuritymaatr egelen.

4. Inventarisatie van strategische afhankelijkheden en opstellen afwegingskader

Inventariseren van strategische afhankelijkheden en opstellen van een afwegingskader

Aanpak BZK neemt de leidende rol in het coördineren van de ADA, waarbij duidelijke actielijnen worden uitgezet en gevolgd. Er wordt een centrale coördinator aangesteld om de voortgang te bewaken en samenwerking tussen verschillende directies en ministeries te bevorderen. Implementeer een soevereine cloud waarbij gevoelige informatie vanuit extra beveiligde voorzieningen wordt aangeboden, bestuurd en beheerd. Zorg ervoor dat deze voldoen aan Nederlandse wet- en regelgeving en vrij zijn van buitenlandse inmenging. Versterk het Nationaal Cyber Security Centrum (NCSC) en ontwikkel een robuuste digitale informatie- en veiligheidsarchitectuur. Zorg voor continue evaluatie en verbetering van cybersecuritypraktijken. Voer een uitgebreide inventarisatie uit van strategische afhankelijkheden binnen de Rijksoverheid en vertaal deze naar een kader met risicocategorieën (hoog, gemiddeld, laag risk-appetite)

Impact Verbeterde coördinatie en effectiviteit in de uitvoering van acties gericht op digitale autonomie.

Versterking van de controle over gevoelige informatie en vermindering van afhankelijkheid van buitenlandse technologieën. Verhoogde beveiliging van digitale infrastructuren en bescherming tegen cyberdreigingen . Helder inzicht in de afhankelijkhede n en duidelijke richtlijnen voor risicobeheer.

Uitwerking ondersteunende ontwikkelingen

verkenning digitale autonomie

-

38 van 42

Ontwikkelingen

Geadviseerde activiteiten

Strategisch inkoopbeleid

- Ontwikkelen van duidelijke richtlijnen of scherp bestaande kaders aan voor de inkoop van IT-diensten en -producten in het kader van strategische autonomie - Formuleren van afwegingskaders voor strategische inkoop. - Uitvoeren van verkenningen naar inkoopstrategieën die bijdragen aan digitale autonomie. - Ontwikkelen specifieke kaders voor de inkoop van kantoorsoftware.

Structurele monitoring van opkomende technologieën

- Continu beoordelen van de impact van nieuwe technologische ontwikkelingen. - Proactief identificeren van potentiële risico's en kansen vanuit het perspectief van autonomie, veiligheid en beleidsimplementatie. - Samenwerken met technologische experts, academische instellingen en internationale partners. - Ontwikkelen van beleid voor de ethische inzet van digitale technologieën. - Formuleren van richtlijnen voor de bescherming van publieke waarden. - Uitvoeren van verkenningen naar ethische vraagstukken en publieke waarden. - Samenwerken met ethische commissies en maatschappelijke organisaties. - Opzetten Digital Autonomy Center of Excellence (DACoE) - Organiseren van trainingen voor overheidsmedewerkers. - Ontwikkelen van vaardigheden voor digitale transformatie. - Formuleren van beleidsmaatregelen voor continue scholing en ontwikkeling. - Samenwerken met onderwijsinstellingen voor capaciteitsopbouw. - Toepassen of (mede)ontwikkelen van veilige IoTstandaarden en toepassingen. - Investeren in quantumveilige cryptografie. - Experimenteren met AI-applicaties binnen overheidsdiensten. - Ontwikkelen van veilige digitale identiteiten voor personen, organisaties en devices.

Richtlijnen voor ethiek en publieke waarden

Capaciteitsopbou w en scholing

Toepassen en (mede) ontwikkelen van veiligheidsstanda arden

verkenning digitale autonomie

Relevantie voor digitale autonomie Strategisch inkoopbeleid zorgt ervoor dat aankopen bijdragen aan autonomie en voldoen aan ethische en publieke waarden van de Rijksoverheid.

Dit traject is essentieel om ervoor te zorgen dat de Rijksoverheid niet alleen reageert op technologische veranderingen, maar ook voorbereid is op toekomstige uitdagingen en mogelijkheden. Het waarborgen van ethische aspecten en publieke waarden zorgt ervoor dat de digitale transformatie bijdraagt aan een eerlijke, inclusieve en transparante samenleving. Het ontwikkelen van de noodzakelijke vaardigheden bij overheidsmedewerkers is essentieel voor de implementatie en beheer van nieuwe technologieën,

Het ontwikkelen van veiligheidsstandaarden voor nieuwe technologieën zorgt voor een veilige implementatie en gebruik van deze technologieën, wat cruciaal is voor de bescherming van -

39 van 42

Europese en internationale samenwerking

Doorontwikkeling Generieke Digitale Infrastructuur (GDI).

Doorontwikkeling inzet Open Source

- Aansluiten op of mede-ontwikkelen van internationale veiligheidsstandaarden. - Toepassen van deze standaarden in een veilige omgeving om de effecten en impact ervan te kunnen beoordelen. - Actief samenwerken met Ministerie van Economische Zaken en Defensie in verband met economisch beleid en nationale veiligheid met als inzet Europese beïnvloeding van wet- en regelgeving, het verkrijgen van subsidies en het gezamenlijk doen van investeringen. - Actief samenwerken met Europese partners. - Deelnemen aan internationale initiatieven voor digitale autonomie. - Ontwikkelen van beleidskaders voor internationale samenwerking. - Uitvoeren van onderzoeken naar best practices en kennisuitwisseling. -Versterken van beveiligingsmaatregelen voor toegangssystemen zoals DigiD en eHerkenning. -Implementeren van geavanceerde beveiligingsmaatregelen voor platforms zoals Digimelding en Digipoort. - Versterken van beveiligingsmaatregelen voor infrastructuurcomponenten zoals Diginetwerk en PKIoverheid. - Bevorderen van samenwerking tussen verschillende overheidslagen voor een uniforme implementatie van digitale autonomie

-Bevorderen van het gebruik van open source software binnen overheidsdiensten om vendor lock-in te voorkomen. - Investeren in open source projecten om innovatie en samenwerking te Bevorderen. - Verhogen van de veiligheid en transparantie van IT-systemen door gebruik te maken van open source oplossingen. - Organiseren van trainingen en workshops om overheidsmedewerkers vertrouwd te maken met open source technologieën en tools. verkenning digitale autonomie

nationale belangen en digitale autonomie.

Internationale samenwerking versterkt de positie van Nederland binnen Europa en bevordert gedeelde kennis en middelen voor een robuustere digitale infrastructuur

Een robuuste en moderne digitale infrastructuur zorgt ervoor dat overheidsdiensten efficiënt en veilig kunnen opereren, terwijl afhankelijkheid van buitenlandse technologieën en leveranciers wordt verminderd. Door te investeren in de nieuwste technologieën, beheer- en onderhoudsprocessen, en capaciteitsopbouw, versterkt de Rijksoverheid haar positie en weerbaarheid in de digitale wereld. Open source software speelt een cruciale rol in het versterken van de digitale autonomie van de Rijksoverheid. Door gebruik te maken van open source technologieën, kan de overheid onafhankelijker opereren van grote, buitenlandse technologiebedrijven. Dit bevordert de controle over kritieke -

40 van 42

- Bevorderen van kennisuitwisseling en samenwerking tussen verschillende ministeries en overheidsorganisaties met betrekking tot open source initiatieven.

digitale infrastructuur en vermindert de afhankelijkheid van propriëtaire software. Open source software biedt transparantie, waardoor de beveiliging en integriteit van systemen beter kunnen worden gewaarborgd. Dit alles draagt bij aan een veerkrachtigere, veiligere en zelfvoorzienende digitale overheid.

Bijlage – Overzicht DOSA-activiteiten BZK Actie

Eigenaar

Realisatie Rijksbreed cloudbeleid Evaluatie Rijksbreed cloudbeleid Onderzoeken of de duur van overeenkomsten voor de levering van cybersecuritydiensten kan worden verlengd Onderzoeken hoe de doorstroming van cybersecuritypersoneel tussen overheid en bedrijfsleven kan worden verbeterd Verkennen of vanuit de NAVO DIANA Challenge ‘Secure Information Sharing’ in Nederland een high assurance en cryptographic accelerator kan worden gevestigd Inrichting Open Source Program Office (OSPO) binnen BZK Scenarioverkenning nut en noodzaak van een OSPO Rijk

BZK

Samenwerkende partijen Rijksbreed

2022

BZK

Rijksbreed

2023-2024

BZK

NCSC, EZK

2023-2024

BZK

NCSC, EZK

2023-2024

BZK/Defensie

NCSC, EZK

2023-2024

BZK

-

Kwartiermak er gestart 1-8-2023

BZK

CIO-beraad

Ter bespreking in het CIO-beraad Sept/Okt

verkenning digitale autonomie

Planning

-

41 van 42

Vergroten adoptie ‘open, tenzij’ afwegingskader

BZK

Forum Standaardisatie

Uitvoering geven aan strategisch communicatieplan t.b.v. vergroten bewustzijns- en kennisniveau t.a.v. opensource-werken Verkennen van open source software als alternatief voor kantoorsoftware in kader van strategie voor open source Blijvend aandacht vestigen op naleving van de verplichtingen van Forum Standaardisatie voor het gebruik van software binnen de overheid Inventariseren van strategische afhankelijkheid van individuele kantoorsoftwareproducten in gebruik door Rijksoverheid Onder de Nationale Cryptostrategie (NCS) een marktanalyse uitvoeren van de high assurance-markt in Nederland Onderzoeken op welke wijzen barrières bij aanbestedingen vanuit de Rijksoverheid ten aanzien van open source weggenomen kunnen worden Implementatie van Europese wetgevingstrajecten Data Act en Data Governance Act Onderzoek verrichten naar mogelijke mitigerende maatregelen voor vermindering Cloudafhankelijkheid Nederland, waaronder mogelijkheid en haalbaarheid soevereine Nederlandse cloud

BZK

Forum Standaardisatie

BZK

EZK, Forum Standaardisatie

Vanaf 2023

BZK

Rijksbreed, Forum Standaardisatie

Doorlopend

BZK

Rijksbreed, EZK

N.t.b.

BZK

EZK

2023-2024

BZK

Rijksbreed

N.t.b.

BZK

J&V, BZK, ACM, AP

2023 -2025

BZK, EZK

Rijksbreed, NCSC

N.t.b.

verkenning digitale autonomie

Sept 2022 t/m eind 2024 Sept 2020 t/m dec 2023

-

42 van 42