1 Implementatiekader risicoafweging cloudgebruik

Collegebesluit

Onderwerp Implementatiekader risicoafweging cloudgebruik Nummer 2025/387288 Portefeuillehouder Raadt, E. de Programma/beleidsveld 7.3 Overhead Afdeling CC Auteur Brouwer, C.T.M. / Hut. F. Telefoonnummer 06-46215309 / 06-38294516 Email k.brouwer@haarlem.nl / fhut@haarlem.nl Kernboodschap In de raadsvergadering van 27 juni 2024 is de Haarlemse Cloudvisie vastgesteld, zie het raadsbesluit en het visiedocument. Het college heeft daarin toegezegd om, in aanvulling op het in de visie opgenomen afwegingskader, voor security en privacy in de (Public) cloud een implementatiekader op te stellen en toe te passen. In het implementatiekader staan nadere regels voor het verplicht te doorlopen proces voor de risicoafweging van cloud-gebruik: voor welke cloud-toepassingen moet de afweging worden gedaan, welke criteria moeten daarbij worden gehanteerd, wie is waarvoor verantwoordelijk en hoe moet de raad in de jaarlijkse P&C-cyclus op de hoogte worden gehouden van de voortgang van de implementatie van cloud. Met dit implementatiekader wordt de overgang naar de cloud op een veilige, gecontroleerde en transparante manier gedaan en kunnen inwoners en ondernemers erop vertrouwen dat hun gegevens ook bij gebruik van cloud bij de gemeente veilig zijn. Behandelvoorstel voor commissie

Het college stuurt dit besluit ter informatie naar de commissie Bestuur.

Relevante eerdere besluiten Besluit college d.d. 8 april 2025

Haarlemse Cloudvisie - vastgesteld in raadsvergadering van 27 juni 2024 (2024/494142). Het college van burgemeester en wethouders Besluit: 1. Het implementatiekader risicoafweging cloud vast te stellen als verplicht te doorlopen proces bij implementaties van verschillende vormen van cloud. de secretaris,

Kenmerk: 2025/387288

de burgemeester,

1/3

1. Aanleiding In de raadsvergadering van 27 juni 2024 is de Haarlemse Cloudvisie vastgesteld . Bij het aanbieden van de Cloudvisie heeft het college toegezegd om in aanvulling op het in de visie opgenomen afwegingskader, voor security en privacy in de (Public) cloud een implementatiekader op te stellen en toe te passen. Door veranderingen in de geo-politieke situatie kan onze afhankelijkheid van een beperkt aantal grote cloud-leveranciers consequenties hebben voor onze (digitale) soevereiniteit. Dat vraagt om extra aandacht en voorzichtigheid bij de inzet van cloud. De Haarlemse Cloudvisie staat gebruik van (public) cloud toe maar doet dat onder een aantal voorwaarden om risico's en nadelen op het gebied van leveranciersafhankelijkheid, beperking van digitale autonomie en privacy-compromissen te beheersen. Dat vraagt om zorgvuldige afweging, het Implementatiekader voorziet daarin. Het voorgestelde kader staat in bijlage 1. Het is gebaseerd op een vergelijkbaar implementatiekader van de Rijksoverheid: het Implementatiekader risicoafweging cloudgebruik van het ministerie van BZK . Dit kader is aangepast naar de specifieke situatie in Haarlem / Zandvoort. 2. Beoogd resultaat Het doel van dit implementatiekader is om op een veilige, gecontroleerde en transparante manier gebruik te kunnen maken van de voordelen van cloud.

Het implementatiekader bevat nadere regels voor het verplicht te doorlopen proces voor de risico-afweging bij het overbrengen van data en applicaties naar de Public cloud: • • • •

voor welke cloud-toepassingen moet de afweging worden gedaan; welke criteria moeten daarbij worden gehanteerd; wie is waarvoor verantwoordelijk; hoe moeten college en raad in de jaarlijkse P&C-cyclus op de hoogte worden gehouden van de voortgang van de implementatie van cloud.

Het implementatiekader moet verplicht worden toegepast bij transities naar de cloud van bestaande on premise-toepassingen en bij vernieuwing van bestaande cloud-toepassingen voor zover er sprake is van cloudgebruik ten behoeve van de primaire taak van de gemeente ('materieel' cloudgebruik volgens de definitie in het implementatiekader). Voor de toepassingen die al naar de cloud zijn gebracht of waarvan de aanbesteding al gestart is zal een representatieve steekproef worden uitgevoerd om te bepalen of voor die groep applicaties een inhaalactie noodzakelijk is. De resultaten van die steekproef zullen samen met de eerstvolgende jaarlijkse rapportage aan college en raad worden aangeboden.

Kenmerk: 2025/387288

2/3

3. Onderbouwing voorstel Met het voorgestelde implementatiekader wordt invulling gegeven aan de toezegging aan de raad om een kader op te stellen en toe te passen. 4. Risico’s en kanttekeningen Een risico is dat we als organisatie niet voldoende volume hebben om alle nodige expertise voor de gevraagde beoordelingen in het kader in huis te hebben en om aanpassingen af te dwingen van de grote cloud-leveranciers. We sluiten daarom in beginsel bij analyses en bij het afsluiten van contracten zoveel mogelijk aan bij voorbeelden van VNG en Rijksoverheid. 5. Consequenties en uitvoering Er zijn geen financiële of juridische consequenties verbonden aan dit besluit, geheimhouding is niet van toepassing. Omdat het een intern kader betreft is ook geen participatietraject noodzakelijk. 5.1 Planning De rapportages die in het Implementatiekader zijn toegezegd zullen volgens het ritme van de P&C cyclus aan college en raad worden aangeboden. 6. Bijlagen Bijlage 1 - Implementatiekader risicoafweging cloudgebruik.

Kenmerk: 2025/387288

3/3