Bijlage 1. Regionale cloudvisie en -strategie

Regionale Cloudvisie en -strategie gemeenten Rijk van Nijmegen

13 augustus 2025 Werkgroep Cloudstrategie, versie 1.0

Colofon

Titel Regionale Cloudvisie en -strategie gemeenten Rijk van Nijmegen

Datum 13 augustus 2025 Versie 1.0 Samengesteld door Werkgroep Cloudstrategie

Inhoudsopgave Samenvatting regionale Cloudvisie & strategie .................................................................................................. 5 1.

Inleiding ..................................................................................................................................................................... 10 1.1

Probleemstelling.......................................................................................................................................................................... 10

1.2

Benadering ...................................................................................................................................................................................... 10

1.3

Doelstelling ...................................................................................................................................................................................... 11

1.4

Op te leveren producten.......................................................................................................................................................... 11

1.5

Aanpak ............................................................................................................................................................................................... 11

2.

Definities ..................................................................................................................................................................... 13

3.

Externe verkenning ............................................................................................................................................... 16

4.

5.

3.1

Clouddiensten/marktontwikkelingen lokale overheid ...................................................................................... 16

3.2

M&I Trendrapport ICT gemeenten 2024 .......................................................................................................................17

3.3

Common Ground ..........................................................................................................................................................................17

3.4

Soevereiniteit .................................................................................................................................................................................. 19

3.5

Beweging in de markt ............................................................................................................................................................... 21

3.6

Samenvatting .................................................................................................................................................................................21

Interne verkenning ................................................................................................................................................ 23 4.1

Huidige visie en beleid ............................................................................................................................................................. 23

4.2

Stand van zaken RvN-applicatielandschap ............................................................................................................. 23

4.3

Stand van zaken infrastructuur en werkplek ........................................................................................................... 24

4.4

Samenvatting ................................................................................................................................................................................ 24

Cloudvisie .................................................................................................................................................................. 25 5.1

Visie ...................................................................................................................................................................................................... 25

5.2

Beleid(sdoelen) ............................................................................................................................................................................. 26

6.

Cloudstrategie .................................................................................................................................................... 27 6.1

Gemeentelijke ICT ....................................................................................................................................................................... 27

6.2

Vertaling naar Gemeenten ................................................................................................................................................... 27

3

6.3 7.

Vertaling naar iRvN ................................................................................................................................................................... 28

Consequenties ........................................................................................................................................................ 29 7.1

Financieel ......................................................................................................................................................................................... 29

7.2

Organisatorisch ............................................................................................................................................................................ 29

7.3

Planning ............................................................................................................................................................................................ 29

7.4

Transitie ............................................................................................................................................................................................. 30

Bijlage 1 – Definities ....................................................................................................................................................... 31 Bijlage 2 – Externe verkenning ................................................................................................................................. 34 Bijlage 3 – Wet- en regelgeving EU/VS .............................................................................................................. 40 US Big Tech ....................................................................................................................................................................................................40 Wetgeving VS versus wetgeving EU ...............................................................................................................................................41 Rijk ........................................................................................................................................................................................................................ 43

4 / 43

Samenvatting regionale Cloudvisie & strategie Inleiding De ICT-wereld is volop in beweging. Cloud als leveringsmodel is ondertussen steeds meer de standaard geworden als het gaat om (applicatie)functionaliteit, communicatie mogelijkheden en werkplekconcepten (mobiele devices). Deze ontwikkeling biedt organisaties en medewerkers veel flexibiliteit, maar levert tevens nieuwe bedreigingen en complexiteit op. In dit document hebben we de cloudvisie en -strategie voor de regio uitgewerkt. Dat helpt onze organisaties bij de doorontwikkeling van het ICT-landschap. Cloudstrategie hebben we daarbij beschouwd als onderdeel van een sourcingstrategie. Tenslotte gaat het bij de keuze van clouddiensten in beginsel om een keuze welke techniek en het bijbehorende beheer we in eigendom c.q. eigen beheer willen hebben en welke we als (cloud)dienst willen afnemen. Daarom vormt deze strategie tevens input voor iRvN om haar dienstverlening en organisatie daarop aan te passen. In dit document hebben we de wereldwijde, nationale en lokale ontwikkelingen geschetst, definities opgenomen van cloudgerelateerde termen en uiteindelijk een visie en strategie op de cloud geformuleerd. De actualiteit rond onderwerpen als soevereiniteit en collectivering gemeentelijke digitalisering hebben tot verdere aanscherping geleid. Tot slot is de impact en het transitiepad globaal geschetst.

De totstandkoming van dit rapport was een reis waarin veel informatie verzameld is. Als laatste slag hebben we veel van die informatie ondergebracht in bijlagen om de uiteindelijke visie en strategie helderder naar voren te laten komen. Context - Generieke technologische ontwikkelingen o Cloudtoepassingen nemen toe; o Het tempo van nieuwe ontwikkelingen versnelt; o SaaS is toenemend het voorkeurs leveringsmodel van applicatieleveranciers; - Bedreigingen nemen toe: o Op het gebied van cybersecurity en privacy; o En als gevolg van lock-in situaties bij eenzelfde of een kleine groep aanbieders; o Omgaan met deze bedreigingen levert nieuwe complexiteit op en vereist andere skills van de organisaties, soms zelfs 24x7; - Digitale en Datasoevereiniteit begint langzaam maar zeker belangrijker te worden als gevolg van een toename van geo-politieke spanningen. - EU en NL wet- en regelgeving neemt daardoor ook toe op het gebied van: o Security o Privacy o Ethiek o Transparantie o Archivering o Digitale toegankelijkheid - Hierdoor neemt het belang van compliancy, risicomanagement en werken onder architectuur (c.q. een proportioneel gebruik van non-functional controls) toe. Deze ontwikkelingen schetsen een context waarin we als overheidsorganisaties weerbaarder moeten worden en gelijktijdig wendbaarder. We zullen moeten professionaliseren om compliant

5 / 43

te worden en te blijven. Dat stelt andere en hogere professionaliteitseisen aan zowel de gemeenten als de ICT-providers. Voor gemeenten betekent dit een sourcingsafweging (zelf doen, samen doen of marktpartijen laten doen). Cloudvisie We hebben onze regionale cloudvisie als volgt geformuleerd: - Onze gemeenten willen weerbare en wendbare organisaties vormen die optimaal profiteren van de informatisering en tegelijkertijd de belangen en veiligheid van hun inwoners beschermen. - Wij willen daarbij gebruikmaken van de kracht van clouddiensten ten aanzien van snelheid, schaalbaarheid, tijdelijkheid, innovatie, beveiliging, kosten en flexibiliteit. - Omdat we als gemeenten verschillen in ambities willen we zoveel als mogelijk betalen naar gebruik (PxQ); - We willen in een arbeidsmarkt die voor I&A-rollen niet altijd toegankelijk is voor al onze organisaties, onze schaarse formatie vooral inzetten op activiteiten die het meeste waarde toevoegen aan onze organisaties. Dat geven we invulling door het verschuiven van de balans van inzet op onderhoud van bestaande systemen (‘Run'), naar inzet op het en verbeteren van huidige ICT-oplossingen (‘Grow’) en het inzetten op noodzakelijke vernieuwing (‘Transform'). - Daarbij willen en moeten we voldoen aan de eisen van de Digital Decade en de Europese wetgeving.

Deze toenemende compliancy eisen willen we deels borgen door inzet van professionele Cloud-leveranciers die in staat zijn (24x7) aan de gestelde eisen en voorwaarden te voldoen en dit kunnen aantonen. Voor het andere deel zullen we onze organisatie(s) daarop door ontwikkelen. - Wij willen de continuïteit van dienstverlening, privacybescherming en informatiebeveiliging borgen conform wet- en regelgeving, met het inzetten van een mix van professionele ‘private’ en ‘public’ clouddiensten. Daarbij rekening houdend met voortschrijdende inzichten rond digitale- en datasoevereiniteit. - We borgen daarbij dat we de verantwoordelijkheid, de beschikking en het eigenaarschap over de eigen data houden. - We borgen met een exitstrategie dat we als opdrachtgevers in staat zijn om bij veranderende behoeften en wensen, van (in)richting of cloudleverancier te kunnen veranderen. Met deze cloudvisie willen we de volgende doelen realiseren: Hoogwaardig - Een ICT-landschap dat schaalbaar en wendbaar is.

Waarbij balans gezocht wordt tussen enerzijds eisen rond soevereiniteit, anderzijds steeds hogere standaarden rond snelheid, beschikbaarheid en veiligheid; - De digitale ambities van de verschillende organisaties ondersteunen door de mogelijkheden van de Cloud; Vitaal en Weerbaar - Veilige opslag van geheime en vertrouwelijke gegevens op basis van de beschikbare technische mogelijkheden; - Risico’s inzichtelijk hebben en beheersen (waaronder mogelijk verlies aan soevereiniteit, kostenstijgingen, verlies van controle, kwetsbare kennis situaties). Beheerbaar

6 / 43

-

Minder of tenminste gelijkblijvende beheerlast voor de gemeenten en iRvN: door verbetering van, samenhang in, en sturing op het gemeentelijke applicatie- en datalandschap.

Cloudarchitectuur Clouddiensten zijn in verschillende service modellen en implementatiemodellen af te nemen. Onderstaande afbeelding geeft een gesimplificeerde weergave van de verschillende vormen. Ze hebben gemeen dat eigenaarschap en beheer volledig bij een derde partij liggen. Klanten betalen in beginsel naar gebruik (Opex) en investeren zelf niet in infrastructuur (Capex).

De Cloudarchitectuur die aansluit op de Cloudvisie baseren we op de volgende principes: - Opex gaat voor Capex1; o Langdurige afschrijvingsperioden die voortvloeien uit investeringen (Capex) kunnen ontwikkelingen remmen. Periodieke kosten (Opex/exploitatie) kunnen de wendbaarheid vergroten. - ICT dienstverlening nemen we waar mogelijk af op basis van het PxQ beginsel (prijs x aantal: betalen naar gebruik): o Om de ontwikkeling richting doelarchitecturen te stimuleren; o Om afwijkingen op architectuur (waaronder handhaven legacy) te beprijzen; o Om door op- en afschaalmogelijkheden business cases beter oogstbaar te maken. - SaaS gaat boven PaaS gaat boven IaaS o Om invulling te geven aan het streven de eigen formatie in te zetten op de taken die de meeste waarde toevoegen voor onze organisaties kiezen we ervoor zoveel als mogelijk ontzorgt te worden op applicatie techniek (SaaS en PaaS) en onderliggende infrastructuur (IaaS). - Digitaal- en data-soeverein waar mogelijk o We selecteren waar mogelijk SaaS gehost door/bij EU-actoren/dienstverleners;

Opex staat voor Operational expenditure: terugkerende kosten/exploitatie. Capex staat voor Capital expenditure: investeringen in vernieuwing met afschrijvingen tot gevolg. 1

7 / 43

We selecteren waar mogelijk SaaS ontwikkeld op basis van Common Ground principes: Data separaat van Business rules/logica en gebruikersinterface (waarbij de communicatie tussen de componenten plaatsvindt middels API's2; o Backup van data brengen we onder bij EU-actoren/dienstverleners. o PaaS en IaaS diensten nemen we waar mogelijk af van Overheidsdatacenters (die deze dienst nog voor de lokale overheid moet ontwikkelen). Tot die tijd zoveel als mogelijk van EU-actoren/dienstverleners Koppelen op basis van API’s: o Om de interoperabiliteit te verbeteren door de gestandaardiseerde manier waarop verschillende applicaties met elkaar te communiceren, gegevens delen en functionaliteiten gebruiken. o Voor koppelingen tussen applicaties moet monitoring/verantwoording ingeregeld kunnen worden; o We hanteren heldere criteria over wanneer directe 1-op-1 koppelingen tussen databases zijn toegestaan of wanneer dat berichtenverkeer via een centraal datadistributiemechanisme moet lopen. o

-

Cloudstrategie De strategie om deze visie en architectuur te realiseren voorziet in: - Het geven van een opdracht aan iRvN tot het afstemmen van haar ICT-landschap op de cloudarchitectuur principes; - Waar mogelijk de iRvN-dienstverlening verrekenbaar maken op basis van het PxQ beginsel; - Vervangingstrajecten van on-premisse infrastructuur en on-premisse geïnstalleerde applicaties conform de cloudarchitectuur invulling geven (dus een geleidelijke transitie); - Regieprocessen in de IV-keten (van gemeente via iRvN naar externe technologie partijen en vice versa) professionaliseren en voorspelbaarder maken. De informele druk die momenteel op ‘interne’ ICT-collega’s uitgeoefend kan worden voor matig geplande activiteiten wordt lastiger en kostbaarder bij externe providers Dit vraagt van iRvN het volgende: - Een technische uitwerking van deze cloudstrategie gericht op het voorkomen van Capexsituaties (vervangingsinvesteringen); - On-prem IT4IT3 toepassingen afbouwen en indien nog nodig migreren naar cloudalternatieven; - Vertaling van haar dienstverlening waar mogelijk naar een PXQ verrekeningsgrondslag; - Doorontwikkeling van haar ICT-beheerorganisatie naar een regieorganisatie; - Doorontwikkeling van de innovatie en advies competenties binnen de organisatie.

Dit vraagt van de gemeenten het volgende: - Actief sturen op de versaasing van het applicatielandschap; - Doorontwikkeling van de lokale i-functie om een volwaardige (en voorspelbare) rol in de vraag/aanbod regieketen te kunnen spelen. De situatie per gemeente verschilt op dit moment fors. Enkele gemeenten zijn momenteel reeds bezig hun i-formatie uit te breiden. API: Application Programming Interface, fungeert als een soort vertaler tussen verschillende systemen/componenten) 3 IT4IT: toepassingen in het ICT-landschap die uitsluitend door de ICT-beheerpartij gebruikt worden (tooling). 2

8 / 43

Financiële consequenties Voor iRvN: - iRvN zal op basis van de cloudvisie en strategie de impact op haar organisatie en exploitatie in kaart moeten brengen. De belangrijkste impact ligt op de volgende onderdelen: o Besparing op Informatie en Applicatiebeheer door versaasing; o Besparing op infrastructuur (afschrijvingen/licenties) en technisch beheer door krimp van de on-premisse omgeving; o Kosten van een strategisch personeelsontwikkelingstraject (ontwikkelkosten en frictiekosten); o Kosten van nieuwe rollen in de iRvN regieorganisatie; o Eventuele kosten van nieuwe vormen van dienstverlening aan de gemeenten. - De kosten van gehele transitie meenemen in de planning & control cyclus van de GR. Voor de gemeenten: - Rekening houden met 20-40% hogere licentie/cloudopslagkosten van SaaS t.o.v. onpremisse applicaties (ook al zijn deze applicaties reeds voor een groot deel versaast en maken deze kostenposten daardoor al onderdeel uit van de exploitatie). - Eventueel benodigde financiering hiervoor meenemen in de planning & control cyclus. - Daarnaast lokaal financiering regelen voor de doorontwikkelkosten van iRvN.

Tijdpad De totale transitie zal jaren duren. Maar een groot deel van de trajecten moet in de periode 2025 – 2028 te realiseren zijn (afgeschreven infrastructuur, veel applicatie vervangingstrajecten staan reeds gepland). Op jaarbasis zal de voortgang gemonitord en waar nodig bijgestuurd worden.

9 / 43

1. Inleiding Noodzaak voor de regionale Cloudstrategie ligt in de afspraak dat we bij de vernieuwing van de backup en storage omgeving van iRvN in 2023 regionaal bepaald hebben dat dit de laatste vervanging zou moeten zijn van deze omvang. We willen als gemeenten ICT inrichten via de Cloud, tenzij er zwaarwegende redenen zijn om data en applicaties middels een legacyinrichting aan te bieden. 1.1 Probleemstelling Bovenomschreven achtergrond is vertaald in de volgende probleemstelling: 1. Er is nu geen gezamenlijk gedragen beeld van wat ‘de Cloud’ is en er zijn verschillende interpretaties van begrippen (IaaS, PaaS, SaaS enz. worden door elkaar gebruikt). 2. Er is weinig inzicht (bij de gemeenten) in wat IRvN aan apparatuur/infrastructuur heeft en hoe dat gaat veranderen in de nabije toekomst. Dat maakt inzicht in het transitiepad lastig. 3. Er komt een omslagpunt waarna het economisch gezien niet meer rendabel is om te investeren in lokale oplossingen/infrastructuur. 4. Er is weinig bewustzijn van wat een beweging richting de Cloud omhelst voor de eigen organisatie en in samenhang regionaal, het gaat over hardware, maar ook over de ‘handjes’ die nodig zijn daarvoor, maar bijvoorbeeld ook voor afnemend technisch (applicatie)beheer (bv Oracle databases). 5. SaaS raakt ook het proces binnen de gemeenten.

Een applicatie als SaaS afnemen betekent mogelijk wat minder specifieke functionele mogelijkheden. Maatwerk is in principe niet mogelijk en sowieso onwenselijk. Dit leidt mogelijk tot aanpassingen van huidige maatwerkprocessen. 6. Als we hier niet goed op sturen, verliezen we regie/zeggenschap op integraties/software. 7. Recentelijk zijn onderwerpen als digitale soevereiniteit vanwege geo-politieke ontwikkelingen snel actueler geworden. 1.2 Benadering We hebben de regionale cloudstrategie ontwikkeld vanuit het perspectief van de gemeenten en niet vanuit een technisch perspectief. Op basis van lokale politieke en organisatiekeuzes stellen gemeenten hun i-Visie en i-Strategie op. Onderdeel daarvan vormen uitspraken over informatie en applicatie keuzes en sourcing (waaronder Common Ground en data-soevereiniteit) en ICTsourcing (infrastructuur en werkplek). Realisatie van de i-Strategie vergt een uitvoeringsplan voor zowel de gemeenten als hun ICT-dienstverleners (van applicaties, werkplek en infrastructuur).

10 / 43

Cloudstrategie hebben we dus beschouwd als onderdeel van een Sourcingstrategie. Een keuze voor een cloudservice-model betekent daarbij per definitie een keuze voor ‘wie heeft beheerverantwoordelijkheid voor welk onderdeel in ons ICT-landschap’. Het is onontkoombaar dat we bij dit onderwerp veel jargon raken. Daarvoor hebben we in bijlage 1 een overzicht van trefwoorden opgenomen. 1.3 Doelstelling Het gezamenlijk ontwikkelen van een regionale visie op en strategie voor de transitie naar de Cloud, voor zowel SaaS, PaaS als IaaS, voor zowel private als public leveringsmodellen. We willen daarbij aandacht hebben voor de invloed op materieel, personeel en integraties van deelnemers en iRvN. In deze visie en strategie moet ook aandacht zijn voor externe ontwikkelingen: marktontwikkelingen en wat er in de gemeentelijke en landelijke omgeving gebeurt. Daarnaast willen we inzichtelijk krijgen welke keuzes we moeten maken om regie te kunnen voeren over ons applicatielandschap.

1.4 Op te leveren producten - Gedeelde definitie van ‘de Cloud’; - Inventarisatie van bestaand beleid met betrekking tot ‘Cloud’ bij deelnemende iRvNgemeenten als ook vergelijkbare gemeenten in den lande; - Huidige verhouding tussen SaaS-applicaties en applicaties geïnstalleerd op de infrastructuur van iRvN per gemeente; - Schets toekomstige architectuur met positionering daarin van de verschillende cloudimplementatiemodellen (private en public) en servicemodellen (IaaS, PaaS, SaaS); - Gedeelde strategie voor de transitie ‘naar de Cloud’ van zowel applicaties als infrastructuur en onderdelen van de werkplek; - Schets van de consequenties van deze transitie: − Financieel (van Capex naar Opex, veranderende geldstromen gemeenten en iRvN alsmede een indicatie van de transitie/frictiekosten); − Organisatorisch (van beheer naar regie, impact op gemeenten en op iRvN) − Planningstechnisch (vanaf wanneer wordt er niet meer geïnvesteerd in on-premisse infrastructuur). Pad van de IST- naar de SOLL-situatie, rekening houdend met verschillende uitgangsposities van gemeenten en iRvN. Wat betekent het afbouwen van de on-premisse infrastructuur voor de laatste on-premisse applicaties. 1.5 Aanpak De opdracht hebben we uitgewerkt in de volgende aanpak: 1. Externe verkenning: daarbij schetsen we algemene trends en vatten we landelijke onderzoeken naar cloudstrategieën samen. 2.

Interne verkenning: we stellen vast wat interne visie en beleidsdocumenten melden over cloud. Daarnaast geven we inschatting van waar de afzonderlijke organisaties staan met de versaasing van het applicatielandschap. Voor iRvN schetsen we het huidige beeld rond make or buy situaties per ICT-kavel. 3. Definities: bij dit onderdeel laten we ons inspireren door voorwerk vanuit VNG. 4. Definitie cloudstrategie: dit beschrijft onze regionale cloudstrategie.

11 / 43

5.

Oefening: Aan de hand van een generiek ICT-verkavelingsmodel schetsen we een mogelijk toekomstige situatie als een High Level Design. Dat helpt ons bij het uitwerken van de consequenties. 6. Uitwerken consequenties: Het HLD heeft impact op mens, organisatie en financiën. We werken deze consequenties globaal uit. 7. Opstellen concept-rapport: in deze stap brengen we alle content samen tot een concept eindrapportage. 8. Consultatie stakeholders: dit conceptrapport bespreken we vervolgens met RTiO en RSiO leden. 9. Opstellen eindrapport: de consultatie opbrengst verwerken we tot een 1.0 versie van het eindrapport. 10. Decharge: bespreking van dit eindrapport met opdrachtgever en de Kring moet leiden tot dechargeverlening.

12 / 43

2. Definities Het document ‘Uniform Begrippenkader Cloudcomputing (UBC), versie 1.1’ van VNG Realisatie geeft een uitgebreid overzicht van gangbare definities in dit vakgebied. Hieronder hebben we de voor dit advies relevante definities samengevat en waar nodig aangevuld. De Cloudrevolutie Twee gelijktijdige ontwikkelingen hebben geleid tot de cloudrevolutie: 1. Vanaf het moment dat virtualisatietechnieken het mogelijk maakten om fysieke hardware te scheiden van virtuele hardware en de techniek het mogelijk maakte om een logische scheiding aan te kunnen tussen verschillende gebruikers van een virtuele infrastructuur ontwikkelden zich op- en afschaalbare ICT-diensten; 2. Met het volwassen worden van het internet (qua bandbreedte, beveiliging, dekking) werd de fysieke locatie van servers en end user devices minder relevant, diensten konden eenvoudiger geleverd worden. De combinatie van beide ontwikkelingen leidde tot het ontstaan van clouddiensten in vele soorten en smaken. Een groeiend aantal van deze clouddiensten hebben ondertussen het karakter gekregen van ‘water uit de kraan’ (SaaS, IaaS, PaaS). Het National Institute of Standards Technology (NIST) noemt vijf essentiële kenmerken van cloud computing: - on-demand selfservice; - brede netwerktoegang; - resourcepooling; - snelle elasticiteit; - gemeten service; - betalen naar gebruik (PxQ), daarmee OPEX in plaats voor CAPEX.

Simpel onderscheid in clouddiensten Onderstaande afbeelding geeft gesimplificeerd de meest gangbare cloudmodellen weer: IaaS, PaaS en SaaS. We onderscheiden bij IaaS en PaaS nog de twee implementatiemodellen Public (de wereldwijd acterende ‘hyperscalers’ zoals Microsoft, Google, Amazon en Oracle) en Private (de kleinschaliger NL/EU providers).

13 / 43

Soevereiniteit Door geo-politieke spanningen is ‘soevereiniteit’ een actueel onderwerp geworden in ons land. Juni 2025 heeft de gemeenteraad van Nijmegen een motie aangenomen met de volgende strekking: 1.

2.

3.

Het College moet aan de raad terugkoppelen hoe de gemeente bij de aanschaf van software of digitale dienstverlening zoveel mogelijk onafhankelijk kan worden van nietEuropese actoren, in het bijzonder bij kritische applicaties. Waar mogelijk moet in aanbestedingen een zware gewichtsfactor toegekend worden aan het gebruik van open standaarden, open source software en het tegengaan van vendor lock-in’s. Zodra een geschikte mogelijkheid zich aandient bij het Rijk duidelijk maken dat Nijmegen interesse heeft in het afnemen van diensten van een ‘Rijkscloud’.

In het kader van dit onderzoek betrekken we deze problematiek ook. We hanteren daarvoor de volgende definities: Soevereiniteit: Soevereiniteit is het recht van een staat of een ander overheidsorgaan om het hoogste gezag uit te oefenen binnen zijn grondgebied zonder dat hij verantwoording verschuldigd is aan een ander orgaan. In de context van staten betekent dit dat een staat volledig onafhankelijk en zelfbesturend is, zonder bemoeienis van andere staten. Data-soevereiniteit: De bevoegdheid van een land of rechtsgebied om de data die binnen zijn grenzen wordt gegenereerd, te beheren en te controleren. Dit houdt in dat de overheid de regels bepaalt voor het verzamelen, opslaan, verwerken en verspreiden van data, met name met betrekking tot wet- en regelgeving en privacy.

14 / 43

Digitale soevereiniteit: Digitale soevereiniteit is een breder concept dat ook betrekking heeft op de controle over de onderliggende IT-infrastructuur en de technologieën die worden gebruikt. Het gaat niet alleen over de data zelf, maar ook over de middelen die nodig zijn om de data te verwerken en te gebruiken. Samenvatting Het document ‘Uniform Begrippenkader Cloudcomputing (UBC), versie 1.1’ van VNG Realisatie geeft een uitgebreid overzicht van gangbare definities. In bijlage 1 hebben we de voor dit advies relevante definities samengevat en waar nodig aangevuld.

15 / 43

3. Externe verkenning In dit hoofdstuk vatten we de ontwikkeling samen op gebied van markt en wetgeving. Daarnaast schetsen we de trends binnen de lokale overheid. 3.1 Clouddiensten/marktontwikkelingen lokale overheid VNG heeft door adviesbureau M&I Partners in 2023 de ontwikkeling van clouddienstverlening (SaaS, PaaS, IaaS) aan gemeenten laten onderzoeken. Uitgebreide informatie hierover is in bijlage 2 opgenomen. De verwachtingen rond applicaties zijn de volgende: - In 2025 zal ten minste 70% van de primair procesapplicaties als SaaS-oplossing worden afgenomen. - In 2025 zal ten minste 70% van de bedrijfsvoering applicaties als SaaS-oplossing worden afgenomen. - Binnen niet al te lange tijd (1 à 2 jaar) zal het percentage SaaS van kantoorautomatisering software richting de 95% gaan. Daarna zal dit aandeel langzaam richting de 100% gaan. o Microsoft365 is hiervan de grote aanjager; o Recente discussies rond (data)soevereiniteit kunnen leiden tot ingrijpende keuzes over de inzet van US Big Tech oplossingen. Eventuele alternatieve KA-software oplossingen zoals NextCloud zijn echter ook SaaS-oplossingen. - In 2025 wordt ten minste 75% van de midoffice-applicaties als SaaS-oplossing afgenomen.

De verwachtingen rond infrastructuur (servers en storage en datacenter/housing) zijn de volgende: - De komende jaren zullen meer public of private cloud diensten afgenomen worden (afhankelijk van het tempo van versaasing). Daarbij onderkennen we globaal 2 groepen: o Gemeenten waarbij het datacenter (inclusief servers) is verouderd en financieel is afgeschreven; o Gemeenten die net geïnvesteerd hebben in hun datacenter, server en opslag. - De eerste groep gemeenten zal mogelijk public cloud en/of private cloud diensten afnemen in afwachting van de versaasing van het gehele applicatielandschap. Door dit soort diensten af te nemen kunnen gemeenten makkelijk op en afschalen en met recentere technieken is het relatief eenvoudig om applicaties te migreren van de ene naar de andere omgeving. - De tweede groep zal naar verwachting wachten met het afnemen van public of private clouddiensten tot dat hun omgeving is verouderd tot hun applicatielandschap grotendeels is versaast. De resterende kleinere on premisse applicaties zullen dan bij een private of public cloud dienstverlener worden neergezet. - Daarnaast is het de vraag in welke mate gemeenten deze cloud oplossingen gaan gebruiken. Immers, als 80 tot 90% van het applicatie-landschap is versaast, dan heeft een gemeente relatief weinig behoefte aan servers en storage, on premisse of in de cloud.

- Daarnaast geldt dat dit soort cloud dienstverlening (bijv. Azure of AWS) zich goed leent voor datagedreven werken. De verwachtingen rond databases zijn de volgende:

16 / 43

-

De verwachting is dat databases niet direct meer afgenomen gaan worden als dienst. Wanneer gemeenten SaaS-oplossingen afnemen worden databases als onderdeel van de dienstverlening afgenomen. Dit leidt ertoe met een stijging van het aantal SaaSoplossingen de behoefte aan databasebeheer afneemt.

De verwachting rond de werkplek is de volgende: - De verwachting is dat de virtuele werkplek meer als dienst afgenomen gaat worden. Dit betreft een onderdeel waar redelijke specifieke technische kennis voor nodig is. Gemeenten zijn niet altijd meer in staat deze kennis zelf in huis te halen en daardoor dit onderdeel zelf te kunnen leveren. Het aantal on premise applicaties van gemeenten remt deze beweging wel. Maar door de versaasing wordt het steeds eenvoudiger om dit onderdeel ook als dienst af te nemen. 3.2 M&I Trendrapport ICT gemeenten 2024 In het recent verschenen trendrapport 2024 (gebaseerd op 2023 cijfers) heeft M&I in kaart gebracht welk deel van het I&A personeel zich bezighoudt met het werk van vandaag (RUN), het werk van morgen (GROW) en het werk van overmorgen (TRANSFORM).

De cijfers tonen aan dat gemeenten meer inzet plegen op Run- en GROW-activiteiten en minder op Transform-activiteiten dan het onderzoeksbureau Gartner als gemiddelden voor overheden heeft geïnventariseerd. Wij herkennen het beeld dat het verandervermogen van de RvNorganisaties dalende is. 3.3 Common Ground Voor steeds meer beleidsbeslissingen en ook voor grote maatschappelijke opgaven, zoals armoedebestrijding en de woningbouwopgave, doen gemeenten een beroep op beschikbare data(sets). Het is dus van belang dat de gegevens betrouwbaar en makkelijk uitwisselbaar zijn. Tegelijkertijd staat de kwaliteit van de digitale systemen waar deze data ondergebracht is in schril contrast tot de eisen die de samenleving tegenwoordig stelt aan digitale dienstverlening. Ieder

17 / 43

van de 342 gemeenten is zelf verantwoordelijk voor het eigen ICT-landschap, wat heeft geleid tot een lappendeken aan systemen en processen die vaak niet op elkaar aansluiten. Door diverse consolidatieslagen onder de applicatieleveranciers is ongezond veel marktmacht terecht gekomen bij enkele leveranciers. Common Ground is vanuit deze frustratie gestart als een bottom-up initiatief van enkele gemeenten met als uiteindelijk doel het eenvoudiger, sneller en slimmer oplossen van grote maatschappelijke opgaven. Zoals de duurzaamheidstransitie, meer grip op de (uitgaven in de) zorg, participatie en de handhaving van openbare orde en veiligheid. Common Ground is een visie op de vernieuwing van de informatievoorziening bij de overheid, die gebaseerd is op het principe van gescheiden data en applicaties. Door data op een gestandaardiseerde manier op te slaan, te ontsluiten en te delen, kunnen verschillende applicaties gebruik maken van dezelfde brondata, zonder dat deze gekopieerd of gedupliceerd hoeven te worden. Dit verhoogt de kwaliteit, betrouwbaarheid en actualiteit van de data, en maakt het mogelijk om sneller en flexibeler in te spelen op veranderende behoeften en wensen van de inwoners en de organisatie.

Feitelijk staat Common Ground voor het modulair opzetten van applicatiecomponenten, waardoor in ieder geval de datalaag ontsloten wordt voor gebruik in andere processen, componenten, toepassingen. Naar verwachting zal dit op termijn voor de lokale overheid zowel financieel als kwalitatief een positieve business case opleveren. Tijdens de Algemene Ledenvergadering van de VNG van 26 juni 2024 hebben de bestuurders ingestemd met de propositie Transitieprogramma Common Ground. Het grootste effect van deze transitie is het op termijn afscheid nemen van de traditionele ‘siloapplicaties’ van leveranciers als PinkRoccade, Centric en Roxit. Daarmee is de Common Ground-transitie ook voor onze organisatie een veranderkundige opgave. Het grootste belang voor de inwoner moet een betere dienstverlening zijn. De impact voor deelnemende gemeenten ligt vooral in het gezamenlijk (wellicht per component) maken van afspraken over wie de softwareontwikkeling verzorgt, wie het beheer van de softwarecode op zich neemt en welke partij de hosting verzorgt. Dit vergt regie en werken onder architectuur. Hosting kunnen gemeenten zelf verzorgen, maar gezien de cloudontwikkelingen ligt het niet voor de hand dat deze hosting op een on-premisse infrastructuur plaats gaat vinden.

Het door de ALV in 2025 aangenomen voorstel tot collectivering van de digitalisering gaat naar verwachting tot een versnelling leiden van Common Ground ontwikkelingen.

18 / 43

3.4 Soevereiniteit Werken met producten en diensten van Hyperscalers betekent werken met producten van Big Tech bedrijven uit de VS. Met het aantreden van president Trump zijn versneld principiële discussies ontstaan over de afhankelijkheid van de EU van Chinese en Amerikaanse technologie en ICT-dienstverleners. Discussies die zich richten op datasoevereiniteit, ook bredere discussies over digitale soevereiniteit. Conflicterende wettelijke frameworks Amerikaanse bedrijven kunnen niet voor 100% compliant zijn aan EU wet- en regelgeving. De grote economische belangen van Amerikaanse Big Tech ondernemingen binnen de EU staat tegenover de grote afhankelijkheid van EU-overheden van Amerikaanse Big Tech. Die situatie dwingt de EU en de VS om te komen tot werkbare (aanvullende) wet- en regelgeving. De volgende paragraaf geeft een beeld van deze permanente worsteling met als afdronk dat er anno 2025 twijfels beginnen te ontstaan of er nog steeds een werkbare grondslag is voor het gebruik van US Big Tech producten en diensten door Nederlandse overheden. In bijlage 3 is over dit onderwerp meer informatie opgenomen. Is een vendor lock-in te voorkomen? Het was tot voor kort de trend om de infrastructuur (virtuele servers en databases) naar de public cloud van hyperscalers te brengen en de (online) werkplek van Microsoft te omarmen.

Op beide terreinen zijn enkele grote Amerikaanse spelers dominant. Daarmee creëren we een vendor lockin. De Autoriteit Consument en Markt (ACM) onderkent de Amerikaanse dominantie op de cloudmarkt en heeft onderzoek gedaan. Zij waarschuwt ‘verborgen kosten’ die gepaard gaan met overstappen en het risico op volledige afhankelijkheid. Zo constateert de ACM in de markt financiële, technische en contractuele barrières, die belemmerend werken wanneer een gebruiker wil overstappen. Vanuit de Digital Markets Act (DMA), in november 2022 in werking getreden, en de aankomende Dataverordening (DA) kan, zowel de ACM als de overheid, de concurrentie in de cloudmarkt stimuleren, zodat deze risico’s verminderd worden. Met de DMA wordt de macht van de grote online platformen aangepakt. Zo staat in de DMA bijvoorbeeld de verplichting voor poortwachters dat zij de mogelijkheid voor gebruikers van clouddiensten om over te stappen naar een andere aanbieder niet mogen belemmeren. In de DA zijn eveneens maatregelen voorgesteld om aanbieders van clouddiensten te verplichten barrières voor overstappen tussen clouddiensten weg te nemen (verbeteren van de portabiliteit). Ook zijn maatregelen voorgesteld om de interoperabiliteit van clouddiensten te bevorderen, zodat clouddiensten van verschillende leveranciers makkelijker gecombineerd kunnen worden.

Initiatieven zoals GAIA-X en IPCEI CIS zullen, gezien hun doelstellingen, ooit bijdragen aan beter functioneren van de markt. Maar het is nog onduidelijk op welke termijn dit gaat gebeuren. De mate waarin het mogelijk is om over te stappen tussen cloudaanbieders verschilt per situatie, en is afhankelijk van factoren zoals het datavolume, het type dienstverlening, de betrokken aanbieders en de wensen van de eindgebruiker. Op applicatieniveau is er zelfs verschil tussen een SaaS en een IaaS; bij die laatste ben je zelf veel meer in control en heb je daarmee dus ook veel meer zeggenschap over overstappen.

19 / 43

Vanuit het Rijksbreed cloudbeleid is een exit-strategie verplicht en moeten organisaties vooraf nadenken over een eventuele overstap naar aan andere aanbieder om deze afhankelijkheidsrisico's te mitigeren. Ook de GIBIT-voorwaarden dwingt medewerking van externe provider aan een exitstrategie af. Soevereiniteit en lock-in De term ‘Lock-in’ kan op vele situaties betrekking hebben. Geografische lock-in (bijvoorbeeld de US), leveranciers lock-in (bijvoorbeeld Centric of Microsoft), etc. Ieder keuze in de architectuur voorkomt wellicht de ene lock-in situatie, maar door de beperking die die keuze ons oplegt creëren we in zekere mate een nieuwe lock-in. Een recente ontwikkeling is dat cloudproviders werken aan ‘soevereine’ omgevingen, waar bijvoorbeeld alleen EU-personeel werkt en waar technische links met omgevingen buiten Europa niet bestaan: https://aws.amazon.com/compliance/europe-digital-sovereignty/. De sancties die de Amerikaanse overheid in 2024 heeft afgekondigd op de ATB bank in Amsterdam (met Russische oligarchen als aandeelhouders) heeft geleid tot het staken van dienstverlening van Amerikaanse ICT-bedrijven (waaronder Microsoft) aan deze partij. De EU en de Nederlandse overheid hadden deze sancties niet onderschreven/ondersteund.

De sanctie op het ICC in Den Haag heeft geleid tot het door Microsoft blokkeren van het privé mailaccount van de aanklager van het ICC, Impact op architectuur Dit kan impact gaan krijgen op de wijze waarop we diensten van bedrijven Microsoft, Amazon Google gaan afnemen. Een hybride architectuur bestaande uit een private IaaS platform van een EU/Nederlands bedrijf voor de ‘doorsnee’ behoefte aan servers (en als vervanger van een onpremisse infrastructuur) in combinatie met de innovatiekracht van US-hyperscalers (public PaaSdiensten) creëert ruimte om keuzes te maken in onrustige tijden. Collectivering digitalisering gemeenten Tijdens de ALV van juni 2025 stemden gemeenten met ruim 99% in met de resolutie ‘Als één sterke bestuurslaag regie op de Digitale Samenleving’. Met deze resolutie willen de gemeenten samen de regie pakken op digitalisering. Dat heeft drie grote voordelen: - Dit levert collectiviseren schaalvoordelen op bij de inkoop, de ontwikkeling en het beheer van ICT-systemen.

Mogelijk kunnen daardoor kosten gedrukt worden, verhogen we het basisniveau van werkende en veilige digitalisering bij gemeenten, en verminderen we de digitale afhankelijkheid van grote technologiebedrijven; - Een gezamenlijke digitalisering geeft gemeenten meer slagkracht om grote maatschappelijke opgaven doeltreffend aan te pakken; - Gemeenten versterken hiermee de bescherming tegen cyberaanvallen en vergroten hun weerbaarheid om eventuele incidenten snel en effectief aan te pakken. VNG streeft naar een gezamenlijke aanpak voor meer dan 80% van de gemeentelijke digitalisering. Instemming met het eerste Collectiviseringsvoorstel ‘Realisatiekoers Common Ground’ moet leiden tot het gezamenlijk ontwikkelen van een platform voor gemeentelijke dienstverlening en 'Mijn Services', in nauwe samenwerking met marktpartijen. De VNG roept

20 / 43

gemeenten op om actief bij te dragen aan deze volgende stappen, de ontwikkeling van voorstellen en samen te werken aan een toekomstbestendige digitale samenleving. 3.5 Beweging in de markt Het aantal aanbestedingen waarbij lokale infrastructuren/datacenters van gemeenten 1-op-1 worden vervangen neemt af. Toenemend vinden er aanbestedingen plaats die voortvloeien uit sourcingstrategieën waarbij een deel van het technisch beheer en de onderliggende infrastructuur als diensten worden aanbesteed. Daarbij concurreren sinds kort de prijzen van private IaaS diensten met die van public IaaS diensten; Deze private IaaS diensten zijn – net als public IaaS diensten – steeds vaker volledig op- en afschaalbaar (PxQ). Waar tot voor kort Nederlandse private IaaS aanbieders dedicated investeerden in hardware voor een klant – en daarom grenzen stelden aan het kunnen afschalen van servers – beginnen zij dus nu meer te lijken op de Amerikaanse hyperscalers als Microsoft, Amazon en Google t.a.v. de IaaS-diensten. Op het gebied van PaaS-diensten (data, AI, databases) hebben de hyperscalers een grote voorsprong op Nationale en Europese spelers. Door deze beweging beginnen gemeenten ook de inzet van de hyperscalers in hun architectuur te wijzigen. Zagen we tot voor kort nog regelmatig het volgende ‘principe afweegschema’ in volgorde van voorkeur: 1. SaaS 2. Public PaaS 3. Public IaaS 4.

Private IaaS 5. On-premisse Tegenwoordig begint dat te veranderen in: 1. SaaS 2. Private IaaS voor ‘commodity’ servers 3. Public PaaS voor innovatieve diensten (AI/data) en werkplek. Deze ontwikkeling sluit goed aan op de roep om meer soevereiniteit binnen het ICT landschap. 3.6 Samenvatting Versaasing zet door Het VNG-onderzoek van 3.1 geeft de landelijke stand van zaken weer rond SaaS, werkplek en infrastructuur. De gang naar SaaS is een onontkoombare markttrend voor standaard applicaties en werkplek/collaboration toepassingen (waaronder M365). Wellicht wat eerste stappen richting Common Ground Het Collectiviseringsvoorstel ‘Realisatiekoers Common Ground’ is een steun in de rug voor gemeenten om ook als Rijk van Nijmegen regio stappen te gaan zetten richting Common Ground. Een keuze voor Common Ground componenten leidt tot vervolgkeuzes over wie de softwareontwikkeling verzorgt, wie het beheer van de softwarecode op zich neemt en welke partij de hosting verzorgt. Dit vergt regie en werken onder architectuur. Hosting kunnen gemeenten zelf verzorgen, maar gezien de cloudontwikkelingen ligt het niet voor de hand dat deze hosting op een on-premisse infrastructuur plaats gaat vinden. Impact op housing/infrastructuur/databases

21 / 43

Het aandeel gemeenten die ICT-infrastructuur en housing als dienst van marktpartijen afneemt groeit momenteel richting 30%. Het aantal gemeenten dat bij de eerstvolgende afloop van de technische afschrijvingstermijnen gaat kiezen voor de sourcingskeuze ‘ICT afnemen als dienst’ gaat richting 50%. De laatste 2-3 jaar is het aantal Europese aanbestedingen van datacenter hardware (servers, storage, hypervisor, backup en netwerkcomponenten) fors gedaald. Toenemend stellen gemeenten vast dat het technische beheer randvoorwaarde is voor het goed functioneren van het ICT-landschap (net zoals nutsvoorzieningen dat ook zijn), maar dat deze taak niet meer strategisch is. Zij laten zich toenemend ontzorgen op ICT-beheer. Digitale en data soevereiniteit De recente discussies over de afhankelijkheid van de EU van Chinese en Amerikaanse techgiganten en staatsactoren gaat impact krijgen op de wijze waarop gemeenten invulling geven aan hun ICT-landschap. In de markt zien we als reactie daarop de volgende architectuur bewegingen: 1. Blijven kiezen voor SaaS (Common Ground), maar eisen stellen aan de locatie van de onderliggende datacenter/infrastructuur (EU-locatie, EU-bedrijven); 2. Het serverplatform voor de resterende serverrollen onderbrengen bij Private IaaS partijen (EU-bedrijven); 3.

Voor PaaS omgevingen onder voorwaarden voorlopig de innovatieve diensten (AI/data) van de US hyperscalers blijven gebruiken; 4. Voor de online werkplek wellicht voorlopig nog het M365 platform gebruiken. Er zijn overheidsorganisaties die zich aan het oriënteren zijn op een variant die bestaat uit oplossingen van EU-leveranciers. Organisatiebrede impact De vele ontwikkelingen leiden in ‘applicatieintensieve’ organisaties als gemeenten tot het naar links opschuiven op de innovatie curve van Rogers. Onder de afbeelding staan de consequenties weergegeven van deze beweging naar links. Specifiek voor iRvN betekent dit een verschuiving van beheer naar regie, advisering en innovatie. Deze ontwikkelingen hebben daarmee impact op de formatie (samenstelling) van zowel iRvN als die van de gemeenten.

22 / 43

4. Interne verkenning Voor het formuleren van onze cloudvisie en strategie is de huidige situatie bij de deelnemende organisaties in kaart gebracht. Deze interne verkenning richtte zich op drie gebieden: het bestaande beleid en de visie ten aanzien van clouddiensten, de verhouding tussen on-premise en cloud binnen het huidige applicatielandschap, en de plannen en ambities voor de migratie van applicaties naar de cloud in de nabije toekomst. Het verzamelen van deze informatie bleek niet altijd eenvoudig, waardoor we een pragmatische aanpak hebben gehanteerd. Dit heeft geresulteerd in een globale inschatting van de huidige stand van zaken bij de verschillende deelnemers. 4.1 Huidige visie en beleid In de regio is de afgelopen periode, deels bewust deels als voldongen feit als gevolg van marktontwikkelingen, het principe ‘SaaS, tenzij’ gehanteerd. Bij aanbesteding- en/of vernieuwingstrajecten zet men in op een SaaS-oplossing. Hier wordt alleen in de uitzondering vanaf geweken. Binnen de regio is geen formele visie op een toekomstig werkplekconcept geformuleerd. Die behoefte aan een dergelijk visie lijkt te groeien. Maar met de komst van een eigen Microsofttenant in combinatie met groei van het aantal SaaS toepassingen groeit de behoefte naar actualisering van ons werkplekconcept.

Een concept dat mogelijkheden biedt om per gemeente keuzes te maken in ambities en tempo van doorontwikkeling. Daarmee kiezen voor een afbouw van de huidige Citrix werkplek. In de regio loopt momenteel een project rond het formuleren van een nieuw mobile-devicemanagementbeleid. Dit beleid zal naast de Cloud strategie input vormen voor het toekomstige werkplek concept voor de regio. IRvN heeft in 2022 een aanbesteding gedaan voor het huidige serverpark. Deze is in 2023 gerealiseerd en de verwachting is uitgesproken dat er in de komende jaren als gevolg van de verSaaSing bij de deelnemers niet meer opnieuw een (grote) aanbesteding gedaan hoeft te worden. Er wordt binnen iRvN gewerkt aan een visie op het toekomstige datacenterconcept. Gemeenten verschillen in hun i-ambities. Enkelen willen snel stappen zetten op het gebied van datagedreven werken en innovatie. Clouddiensten kunnen daar invulling aan geven. Er loopt een project om de datawarehouses van de gemeenten in de regio gezamenlijk aan te besteden. 4.2 Stand van zaken RvN-applicatielandschap De gemeenten is gevraagd om een inschatting te maken van de verhouding tussen on-premisse applicaties en SaaS applicaties (voor de grotere applicaties). Tijdens de uitvoering van deze opdracht is gebleken dat het lastig is om een totaaloverzicht van de huidige stand van onze applicatielandschappen boven tafel te krijgen.

Gemeenten hebben geen sluitende registratie. iRvN focust op serveroverzichten met benamingen die niet geheel duidelijk maken wat er op de servers draait. Deel van de SaaS mist in de iRvN registratie. Daarop is besloten te volstaan met een globale/kwalitatieve inschatting per gemeente door de iadviseurs en deze globaal te toetsen aan de hand van een actuele serverlijst. De combinatie van deze twee activiteiten levert het volgende beeld op:

23 / 43

Gemeente Beuningen Berg en Dal Heumen Nijmegen Mook en Middelaar Wijchen Druten Werkorganisatie

Huidige verhouding On premise - Cloud 20% – 80% 15% – 85% 20% – 80% 15% – 85% 30% – 70% 15% – 85%

Sturing op verSaaSing Midden Midden Midden Midden Hoog Hoog

Vervangingstrajecten (2025-2026) 6 10 13 17 23 15

Bij sturing op verSaaSing verstaan we onder laag: gemeenten die zich afwachtend en terughoudend op stellen ten aanzien van het verplaatsen van applicaties naar de cloud. Onder midden verstaan we gemeenten die ieder natuurlijk moment aangrijpen om hun applicatie naar de cloud te verplaatsen en onder hoog verstaan we gemeenten die pro-actief leveranciers benaderen om hun applicatie naar de cloud te verplaatsen.

Dit beeld toont aan dat de versaasing van de kernapplicaties al voor serieus deel een feit is. Als ook de laatste grote applicatieleveranciers (Centric, JCC, Roxit) hun plannen weten te realiseren dan zal het overgrote deel van de kernapplicaties als SaaS-dienst worden afgenomen. Maar naast deze kernapplicaties gebruiken gemeenten nog vele ‘secundaire/ondersteunende’ applicaties waarvan naar verwachting een fors deel nog on-premisse geïnstalleerd staat. Er wordt geen actief beleid gevoerd op het versaasing van deze applicaties. Deze versaasing leidt tot hogere licentiekosten. Daarnaast staat de Citrix-farm en een groot deel van de iRvN beheersystemen lokaal geïnstalleerd. Al met al een situatie waarbij de trend duidelijk is, maar waarbij de on-premisse omgeving nog steeds dominant is. 4.3 Stand van zaken infrastructuur en werkplek De kern van het iRvN ICT-landschap bestaat uit een on-premisse infrastructuur die vanuit zelf beheerde MER- en SER-serverruimten wordt beheerd. De kantoorlocaties van de RvNdeelnemers en de MER’s zijn met elkaar verbonden middels het Telemann glasvezelnetwerk. 4.4 Samenvatting Gemeenten hebben al veel clouddiensten in gebruik. Dit aandeel zal blijven groeien. Het aantal on-premisse systemen krimpt.

De route voor het versaasen van de kernapplicaties is vaak wel helder (periodieke aanbesteding van deze applicaties vormen het natuurlijke moment om over te stappen naar SaaS). Verdere afbouw van de on-premisse infrastructuur vraagt het volgende: - Sanering van on-premisse secundaire applicaties. Deze sanering krijgt vaak te weinig aandacht. Afscheid nemen van dat soort applicaties is in het algemeen minder ingrijpend dan die van de primaire applicaties. Kwestie van prioriteren. - Sanering van het aantal IT4IT systemen. We zullen ervoor moeten waken dat het aandeel ‘beheertaken en –systemen’ (IT4IT) op de on-premisse infrastructuur niet meer in balans is met aantal productiesystemen voor de gemeenten. Indien noodzakelijk ook deze systemen naar de cloud verhuizen. Het is ook duidelijk dat ‘Niet-SaaS’ systemen nooit helemaal zullen verdwijnen. De transitie is een gefaseerd proces dat nog jaren gaat duren.

24 / 43

5. Cloudvisie 5.1 Visie Met de enorme groei van ICT-diensten groeide ook de afhankelijkheid van de gemeentelijke dienstverlening van ICT. In diezelfde periode namen de cyber bedreigingen enorm toe. Dit vereist verdere professionalisering van de zowel de Informatisering als de automatisering van gemeenten. 10-15 jaar geleden stonden gemeenten voor het vraagstuk hoe zij de hogere kwaliteitseisen die de toegenomen ICT-afhankelijkheid van de lokale ICT-beheerorganisatie vereiste, konden waarmaken. De conclusie was vaak dat schaalvergroting hiertoe mogelijkheden bood. SSC’s ICT ontstonden in het hele land, waaronder ook iRvN. De gemeenten bleven verantwoordelijk voor de Informatisering, het SSC voor de automatisering. De gemeenten voeren regie op het SSC. Als reactie op de toegenomen bedreigingen, neemt wet- en regelgeving ook toe. In combinatie met het feit dat de lokale datacenters geleidelijk aan leeglopen ontstaan weer principiële vraagstukken: 1. Wat is het effect van de (gedeeltelijke) verSaaSing van het applicatielandschap en welke middelen zijn hiervoor benodigd? 2. Is het zelf in eigendom en beheer hebben van een ICT-infrastructuur nog wel strategisch gewenst? 3. Hoe organiseren we vervolgens de regie op de cloud service providers in het geval van een SSC (gemeenten voeren regie op het SSC, het SSC voert regie op de cloudservice providers; regie op regie)? 4.

Welke schaal is nodig om de vereiste professionalisering op het gebied van security, privacy en compliancy invulling te kunnen geven? We hebben vastgesteld dat de transitie van ICT-infrastructuur en applicaties naar de “cloud” volop gaande is. Daarmee is het gebruik van clouddiensten onmisbaar en onontkoombaar. Tijd om de doorontwikkeling van ons ICT-landschap vanuit een gezamenlijke cloudvisie op te pakken. Deze visie hebben we als volgt geformuleerd. Cloudvisie RvN - Onze gemeenten willen weerbare en wendbare organisaties vormen die optimaal profiteren van de informatisering en tegelijkertijd de belangen en veiligheid van hun inwoners beschermen. - Wij willen daarbij gebruikmaken van de kracht van clouddiensten ten aanzien van snelheid, schaalbaarheid, tijdelijkheid, innovatie, beveiliging, kosten en flexibiliteit. - Omdat we als gemeenten verschillen in ambities willen we zoveel als mogelijk betalen naar gebruik (PxQ); - We willen in een arbeidsmarkt die voor I&A-rollen niet altijd toegankelijk is voor alle organisaties, onze schaarse formatie vooral inzetten op activiteiten die het meeste waarde toevoegen aan onze organisaties. Dat geven we invulling door het verschuiven van de balans van inzet op onderhoud van bestaande systemen (‘Run'), naar inzet op het en verbeteren van huidige ICT-oplossingen (‘Grow’) en het inzetten op noodzakelijke vernieuwing (‘Transform').

25 / 43

-

-

-

Daarbij willen en moeten we voldoen aan de eisen van de Digital Decade en de Europese wetgeving. Deze toenemende compliancy eisen willen we deels borgen door inzet van professionele Cloud-leveranciers die in staat zijn (24x7) aan de gestelde eisen en voorwaarden te voldoen en dit kunnen aantonen. Voor het andere deel zullen we onze organisatie(s) daarop door ontwikkelen. Wij willen de continuïteit van dienstverlening, privacybescherming en informatiebeveiliging borgen conform wet- en regelgeving, met het inzetten van een mix van professionele ‘private’ en ‘public’ clouddiensten. Daarbij rekening houdend met voortschrijdende inzichten rond digitale- en datasoevereiniteit. We borgen daarbij dat we de verantwoordelijkheid, de beschikking en het eigenaarschap over de eigen data houden. We borgen met een exitstrategie dat we als opdrachtgevers in staat zijn om bij veranderende behoeften en wensen, van (in)richting of cloudleverancier te kunnen veranderen.

5.2 Beleid(sdoelen) Vanuit onze cloudvisie willen we de volgende doelen realiseren: Hoogwaardig - Een ICT-landschap dat schaalbaar en wendbaar is. Waarbij balans gezocht wordt tussen enerzijds eisen rond soevereiniteit, anderzijds steeds hogere standaarden rond snelheid, beschikbaarheid en veiligheid; - De digitale ambities van de verschillende organisaties ondersteunen door de mogelijkheden van de Cloud; Vitaal en Weerbaar - Veilige opslag van geheime en vertrouwelijke gegevens op basis van de beschikbare technische mogelijkheden; - Risico’s inzichtelijk hebben en beheersen (waaronder mogelijk verlies aan soevereiniteit, kostenstijgingen, verlies van controle, kwetsbare kennis situaties). Beheerbaar - Minder of tenminste gelijkblijvende beheerlast voor de gemeenten en iRvN: door verbetering van, samenhang in, en sturing op het gemeentelijke applicatie- en datalandschap.

26 / 43

6. Cloudstrategie Hoe komen we van visie en beleid naar resultaten? Dit vergt een gedeelde strategie voor de transitie ‘naar de Cloud’ van zowel applicaties, infrastructuur als onderdelen van de werkplek. 6.1 Gemeentelijke ICT Een gemeente kenmerkt zich door een extreem breed landschap van processen en verantwoordelijkheden die onderling verband hebben omdat de gemeente als een enkele partij beschouwd wordt door onze inwoners en ondernemers. Dit brede landschap van processen leidt tot een volume aan interacties en transacties. Afhankelijk van de omvang van de gemeente leidt dat weer tot een groot integratievraagstuk. De situatie voor Nijmegen verschilt op dat vlak dan ook van die van de andere gemeenten in onze regio. De lokale overheid vormt een beperkte markt voor (IT) leveranciers. Een gemeente is voor de grote leveranciers vaak te klein voor het tafellaken en te groot voor het servet. Gemeenteprocessen zijn te Nederland/gemeente-specifiek voor de grote spelers in de wereld. Daardoor zijn er veel kleine niche-spelers die zich op een klein deel van het gemeentelijke werkveld richten. Daarnaast enkele middelgrote spelers, waarvan we ondertussen vinden dat die een te grote invloed hebben op de gemeentelijke markt. De gemeentelijke processen zijn (op stelselwijzigingen na) stabiel en volwassen.

Gemeenten hebben echter zoveel systemen dat we continu wel ergens aan het vervangen of upgraden zijn SaaS maakt die dynamiek veranderkundig nog wat complexer. Data vormen voor gemeenten de voornaamste bron voor innovatie. Maar die data zitten wel steeds meer bij SaaS leveranciers. Het ontsluiten van die data moet voor het tekenen van het contract geborgd zijn (bijvoorbeeld door Common Ground principes als eis op te nemen tijdens het inkooptraject). 6.2 Vertaling naar Gemeenten Wat is nodig om doelen te verwezenlijken? - Bepalen aanwezigheid van data categorieën en applicaties die niet als SaaS of bij een UShyperscaler ondergebracht mogen worden; - Vaststellen (en blijven beheren) huidige inventaris (infrastructuur, applicaties, etc.) met kengetallen van het gebruik; - Vaststellen wat onze eigen concernbrede oplossingen wel/niet zijn (ZGW, CRM, etc.) en in hoeverre we daarvoor samen op kunnen trekken met de andere (grote gemeenten, G4 en/of VNG) partijen; - Verder concretiseren van doelarchitecturen per domein; - In SaaS aanbestedingen van systemen voor procesondersteuning meenemen dat aangesloten moet worden op onze organisatiebrede oplossingen en dat het systeem voldoet aan de principes van Common Ground; - Aanbesteden van een Cloud (PaaS en IaaS) dienst voor die systemen die – afgestemd op beleid rond informatiebeveiliging, privacy en soevereiniteit – wél in de cloud mogen