1 Inventarisatie Europese cloud-providers

Informatienota

Onderwerp Inventarisatie Europese cloud-providers Nummer Portefeuillehouder Programma/beleidsveld Afdeling Auteur Telefoonnummer Email Kernboodschap

2025/641144 Raadt, E. de 7.3 Overhead CC Brouwer, C.T.M. k.brouwer@haarlem.nl Uit een inventarisatie van Europese cloud-providers blijkt dat volwaardige Europese alternatieven voor Amerikaanse cloud-providers op dit moment niet beschikbaar zijn voor een gemeente van de schaal en complexiteit van Haarlem. Uitstel van de overstap voor alle applicaties naar cloud tot er een Europese aanbieder is levert grote risico’s op: applicaties die de aankomende jaren end-oflife worden zullen al op korte termijn zorgen voor grote risico’s op het gebied van continuïteit, veiligheid, bedrijfsvoering en dienstverlening. Het ontwikkelen van volwaardige alternatieven is een te grote uitdaging voor een individuele gemeente, daarvoor zijn initiatieven op landelijk en Europees niveau noodzakelijk. Die initiatieven komen nu op verschillende plekken op gang. Haarlem sluit aan bij de Nederlandse Digitaliseringsstrategie, zet in op samenwerking, en werkt volgens de visie Common Ground. Waar dat kan wordt gekozen voor applicaties en oplossingen die daarbinnen passen. De cloudtransitie wordt gecontroleerd voortgezet conform de vastgestelde Cloudvisie. Dit betekent: per toepassing een risicogestuurde afweging en de keuze voor private cloud of on premise bij hoge risico’s.

De afhankelijkheid van specifieke technieken of leveranciers wordt zoveel mogelijk beperkt waardoor we mee kunnen met toekomstige marktontwikkelingen op het moment dat er wel volwaardige alternatieven zijn. Voor functionaliteit waarvoor op dit moment al wel alternatieven zijn wordt zoveel mogelijk gekozen voor die alternatieven.

Behandelvoorstel voor commissie

Waar dat kan wordt samengewerkt met VNG / G4 / Rijk aan gezamenlijke inkoop en standaardisatie. 1. Het college stuurt de informatienota ter bespreking naar de commissie Bestuur. In de commissievergadering van 28 juni 2025, agendapunt Informatiebeveiliging zegt de portefeuillehouder (ER) toe om na de zomer de

Kenmerk: 2025/641144

1/6

Relevante eerdere besluiten Besluit college d.d. 28 oktober 2025

commissie Bestuur schriftelijk te informeren over een Europees alternatief voor Amerikaanse cloud-providers. - Vaststellen Cloudvisie in gemeenteraad 27 juni 2024 - Implementatiekader risicoafweging cloudgebruik in commissie Bestuur 8 mei 2025 Het college van burgemeester en wethouders stelt de informatienota aan de commissie vast. de secretaris,

de burgemeester,

1. Aanleiding In de vergadering van de commissie Bestuur op 28 juni 2025, onderwerp Informatiebeveiliging, heeft de portefeuillehouder toegezegd om de commissie na de zomer schriftelijk te informeren over alternatieven voor Amerikaanse cloud-providers. 2. Toelichting Inventarisatie Het college heeft geïnventariseerd wat de alternatieven zijn voor Amerikaanse cloud-providers en welke mogelijkheden en risico's er zijn bij uitstel van de cloud-transitie tot geschikte Europese alternatieven voorhanden zijn. De conclusie van dat onderzoek is dat er op dit moment voor een gemeentelijke organisatie met de schaal en complexiteit van Haarlem / Zandvoort geen Europese alternatieven zijn voor de functionaliteit van Amerikaanse cloud. De organisatie is direct (voor o.a. kantoorautomatisering, email, en samenwerking) of indirect (via gemeentelijke softwareleveranciers) afhankelijk van Amerikaanse cloud. Die laatsten, de gemeentelijke softwareleveranciers, brengen hun applicaties in hoog tempo naar de cloud en bieden nieuwe versies alleen nog als Software as a Service (SaaS) aan. Uitsluiting van Amerikaanse cloud door gemeentelijke leveranciers of door de gemeente zelf is op basis van aanbestedingsregels niet mogelijk; het eisen van dataopslag binnen de Europese Economische Ruimte (EER) wel.

Haarlem past strikt de eisen uit de GIBIT (Gemeentelijke Inkoopvoorwaarden bij IT) toe, daarin staat onder andere dat onze data altijd van ons blijft en dat data binnen de EER moet worden opgeslagen. Alternatieven voor Amerikaanse cloudoplossingen zijn in de praktijk nog onvoldoende beschikbaar en inzetbaar voor een gemeente van onze schaalgrootte en complexiteit. Zo is er geen volwaardig open source-alternatief voor de kantoorsoftware van Microsoft (Microsoft office) en zijn doorslaggevende cloudoplossingen afhankelijk of afkomstig van Amerikaanse big tech. Europese alternatieven zijn nog vrijwel nergens volwaardig inzetbaar, zeker niet op dezelfde schaal en met dezelfde mate van integratie en ondersteuning van bestaande processen. Daarnaast vereist de

Kenmerk: 2025/641144

2/6

implementatie van Europese cloud-oplossingen voor veel bestaande diensten ingrijpende technische aanpassingen en kan migratie niet eenvoudig of zonder grote risico’s plaatsvinden. Het ontwikkelen van Europese alternatieven voor Amerikaanse cloud die gemeenten en hun leveranciers kunnen inzetten zal zeker nog enkele jaren duren. Die tijd kunnen we niet overbruggen met een stop op het vervangen van alle applicaties. Te vervangen applicaties zijn veelal end-of-life, niet tijdig vervangen levert vaak al op korte termijn aanzienlijke risico’s op voor de continuïteit, veiligheid en bedrijfsvoering van de organisatie en voor de dienstverlening aan de inwoners. Bij het vervangen zijn we vaak afhankelijk van het aanbod op de gemeentelijke softwaremarkt dat steeds meer wordt gedomineerd door SaaS-oplossingen. Eerdere en lopende initiatieven De problemen met de afhankelijkheid hebben eerder geleid tot pogingen van overheidsorganisaties in Europa om alternatieven voor Microsoft in te zetten. In 2004 besloot München (1,4 mln inwoners) in Duitsland om de desktops van 14.000 ambtenaren over te zetten naar Linux en OpenOffice (later LibreOffice) in project Limux. In 2017 werd na aanhoudende problemen besloten om weer te kiezen voor Microsoft. De Italiaanse stad Pesaro (95.000 inwoners) besloot in 2011 om over te gaan naar een open sourceoplossing maar kwam daar in 2015 weer op terug.

Omdat een aantal van de gebruikte applicaties afhankelijk bleek van Microsoft, was er een hybride architectuur ontstaan waarin naast Linux / OpenOffice ook Microsoft noodzakelijk was. Die combinatie bleek te duur in onderhoud en licenties. De Duitse stad Freiburg besloot in 2007 om over te stappen naar OpenOffice maar kwam daar in 2012 op terug. Ook hier bleek de afhankelijkheid van Microsoft uiteindelijk teveel problemen te geven. De Deense steden Aarhus en Kopenhagen hebben recent besloten om af te stappen van Microsoft. Ze staan nog aan het begin van de overstap, of het succesvol zal zijn is nog niet bekend. Het is wel belangrijk om te melden dat de uitgangssituatie in Denemarken anders is dan de Nederlandse. Denemarken is minder tech-intensief dan Nederland, de afhankelijkheid van big tech is daardoor ook minder groot. Daarnaast kent Denemarken het OS2-platform waarin publieke organisaties samenwerken en IT-oplossingen ontwikkelen. De Nederlandse gemeentelijke overheid werkt volgens de visie Common Ground maar in tegenstelling tot OS2 biedt Common Ground vooral principes en standaarden, terwijl OS2 ook de regie voert over de ontwikkeling van oplossingen. Dat levert een basis op voor de ontwikkeling van alternatieven die in Nederland nog van de grond moet komen. Op de markt worden nog wel eens soevereine cloud-oplossingen aangeboden.

Bij nadere beschouwing blijken dat altijd deeloplossingen. Een voorbeeld daarvan is het Open Webconcept, waar gemeenten samen met marktpartijen op basis van Common Ground digitale dienstverlening

Kenmerk: 2025/641144

3/6

ontwikkelen en bouwen. Het Open Webconcept kan draaien op eigen, goed beheersbare cloud componenten, maar als we kijken naar het geheel van het ICT-landschap dan beslaat dit slechts een klein deel, zie afbeelding 1. De hele cloud is veel groter en complexer.

Afbeelding 1: Geabstraheerde plaat van de ICT onderdelen die een gemeente heeft. In het rood weergegeven is (globaal) de scope van het Open Webconcept.

3. Resultaten en/of consequenties Bij het vervangen van applicaties door SaaS-varianten nemen we waar dat kan maatregelen om de afhankelijkheid van specifieke leveranciers zoveel mogelijk te beperken en wordt gewerkt volgens het in de Haarlemse Cloudvisie vastgestelde kader, specifiek uitgewerkt in het 'Implementatiekader risicoafweging cloudgebruik': • elke cloudkeuze wordt getoetst aan het kader: op basis van een risicoprofiel worden eisen aan data-opslag, toegangstoezicht, exit-strategie, encryptie en leveranciersbewaking vastgelegd en geëvalueerd; • waar mogelijk wordt gekozen voor cloud-oplossingen die het mogelijk maken om van leverancier te wisselen of die modulaire integratie bevorderen; o een voorbeeld: bij de vervanging van ons archiefsysteem (Verseon) hebben we gekozen voor een cloud-agnostische architectuur. Dat wil zeggen dat het zo wordt opgezet dat we zo min mogelijk afhankelijk zijn van één specifieke cloud-provider. Het archiefsysteem kan op verschillende cloud-platforms draaien, zoals AWS (Amazon), Microsoft Azure, Google Cloud Platform en straks ook op eventuele Europese alternatieven, zonder dat er al teveel aanpassingen noodzakelijk zijn;

Kenmerk: 2025/641144

4/6

•

als een applicatie vanwege te hoge risico's of in verband met vertrouwelijkheid niet naar de public cloud1 kan houden we ‘private cloud’2 of ‘on premise3’ aan; • in aanbestedingen eisen we (waar markttechnisch mogelijk) open standaarden, APIkoppelingen en datamigratiepaden; • security en privacy worden structureel, d.w.z. 'security by design ' en 'privacy by design', ingezet bij nieuwe oplossingen; • we werken zoveel mogelijk volgens de visie Common Ground en kiezen waar dat kan voor applicaties of oplossingen die zijn opgezet volgens die visie; o een paar concrete voorbeelden: ▪ Haven: we maken gebruik van Haven als generieke laag, conform de uitgangspunten voor Common Ground. Deze laag maakt verbinding tussen ontwikkelde applicaties en de IT infrastructuur van gemeenten. Applicaties kunnen daardoor overal gehost worden zonder ze aan te moeten passen aan de specifieke infrastructuur waarop ze moeten draaien. ▪ Signalen: voor meldingen openbare ruimte gaan we over op Signalen, een open source proces- en taaksysteem ontwikkeld door de gemeente Amsterdam volgens de visie Common Ground, dat meldingen over de openbare ruimte automatisch categoriseert en routeert voor afhandeling door de juiste behandelaar.

▪ OpenZaak en OpenZaakbrug: de vergunningenapplicatie (PowerBrowser) is via OpenZaakbrug aangesloten op OpenZaak voor de opslag van zaakinformatie, dit zijn beide Common Ground-componenten. ▪ Zaakafhandeling en opslag: bij de vervanging van het archiefsysteem (Verseon) wordt gebruik gemaakt van de Common Ground-componenten GZAC en TEZZA. • we doen aan actieve kennisdeling via landelijke netwerken, zodat we vanuit de organisatie leren van en bijdragen aan landelijke ontwikkelingen en de gemeenschappelijke richting die nodig is. Om de risico's van reeds naar de cloud gemigreerde applicaties in kaart te brengen wordt, zoals eerder toegezegd, een steekproef uitgevoerd. De resultaten van deze steekproef worden in het vierde kwartaal met de raad gedeeld. 1 Bij de public cloud worden de computermiddelen aangeboden door een commerciële partij. Zowel de

gemeentelijk organisatie als andere bedrijven en particulieren kunnen een deel van die middelen op hetzelfde platform afnemen. 2 We spreken van een private cloud als één (overheids)organisatie toegang heeft tot computermiddelen. Een private cloud kan in beheer zijn van de gemeentelijke organisatie zelf of exclusief door een marktpartij worden aangeboden. 3 Eigen datacenter; de gemeente is zelf verantwoordelijk voor het aanschaffen, distribueren, installeren, updaten, beveiligen en ondersteunen van software

Kenmerk: 2025/641144

5/6

4. Uitvoering en vervolg Door de gemeente Haarlem en de uitvoeringsorganisatie kunnen de risico's die samenhangen met cloud zoveel mogelijk worden beperkt. Vanuit Haarlem kunnen we echter géén fundamentele oplossing of gelijkwaardig alternatief ontwikkelen voor de marktdominantie van big tech; daarvoor zijn landelijke en Europese initiatieven absoluut noodzakelijk. Een daadwerkelijke oplossing zal moeten worden geïnitieerd vanuit hogere bestuursniveaus (Rijk, Europa) en is afhankelijk van samenwerking binnen overheden. De gemeente Haarlem zal op bestuurlijk niveau actief bijdragen aan strategische lobby’s en beleidsontwikkeling gericht op de opkomst van volwaardige Nederlandse en Europese alternatieven voor Amerikaanse cloud.

Kenmerk: 2025/641144

6/6