Bijlage 1. Regionale cloudvisie en -strategie

en waar géén SaaS leveranciers voor zijn; - Roadmap opstellen: Gefaseerde migratie van bestaande systemen naar de Cloud leverancier of leveranciers.

27 / 43

6.3 Vertaling naar iRvN Wat betekent de cloudstrategie voor iRvN? iRvN zal in een vervolgopdracht gevraagd moet worden om de cloudvisie en strategie te vertalen naar haar technische doelarchitectuur, dienstenportfolio, formatie, (regie)processen en exploitatie.

28 / 43

7. Consequenties Schets van de consequenties van deze transitie. 7.1 Financieel De financiële impact van een cloudstrategie verschilt per organisatie en kent verschillende invalshoeken. Impact op gemeenten Van on-premisse applicatie naar SaaS: De factuur die de gemeente ontvangt van een applicatieleverancier bestaat in het geval van een on-prem te installeren applicatie uit periodieke licentiekosten en vaak ook additionele kosten voor ondersteuning bij updates/upgrades (technisch applicatiebeheer). In het geval van een SaaSapplicatie ontvangt de gemeente een factuur voor licentiekosten, maar nu verhoogd met de datacenter/infrastructuur/technisch beheer/technisch applicatiebeheer kosten. We schatten in dat SaaS applicaties circa 20-40% duurder zijn dan on-premise applicaties. Impact op iRvN iRvN maakt bij on-premisse applicaties kosten voor datacenter/infrastructuur/technisch beheer/technisch applicatiebeheer die zij als onderdeel van de huidige verrekeningsgrondslag doorbelast aan de gemeente. Dus niet gespecificeerd per applicatie per gemeente. In het geval van een SaaS-applicatie bespaart iRvN op infrastructuur/technisch beheer/technisch applicatiebeheer kosten. Dus een besparing op investering (en daarmee afschrijving) en formatie.

Functioneel beheer dat ondergebracht is bij iRvN (voornamelijk FB voor Nijmegen) besteedt een deel van haar tijd aan update/upgrade trajecten van on-premise applicaties. Deze inzet vermindert in het geval van SaaS applicaties. Tegenover daling van beheer uren en infrastructuur exploitatiekosten is een stijging van kosten te verwachten op regievoeren op cloudproviders en auditwerkzaamheden. Bij ICTbeheerorganisaties die qua sourcing stappen zetten richting de cloud ontstaat ruimte voor nieuwe taken op het gebied van contract- en leveranciersmanagement, advisering en innovatie. Inschatting? In een vervolgopdracht voor iRvN zal naast het opstellen van een doelarchitectuur ook de impact 7.2 Organisatorisch Organisatorisch zal een deel van de iRvN organisatie zich moeten ontwikkelen van beheer naar regie, advies en innovatie. Dit vergt afstemming met de gemeenten en een vertaling naar een ontwikkelplan. De gemeentelijke organisatie zal moeten werken aan haar verandervermogen, de digitale vaardigheden van de medewerkers en aan het op peil brengen van de i-formatie. 7.3 Planning De cloudgang moet in de periode 2025 – 2028 te realiseren zijn. Een periode waarin vele applicatie en infrastructuur vervangingstrajecten spelen.

29 / 43

7.4 Transitie De kwartiermakers ‘Strategische projecten’ hebben in hun onderzoek vastgesteld dat de regionale samenwerking toegevoegde waarde heeft voor de gemeenten. Maar ook dat deze samenwerking moeizaam blijft verlopen zolang zowel iRvN als de gemeenten niet in staat worden gesteld hun I&A organisaties door te ontwikkelen c.q. uit te breiden. Gemeenten en iRvN zullen met elkaar in gesprek moeten gaan over mogelijke besparingen en de besteding daarvan.

30 / 43

Bijlage 1 – Definities Begrip Cloud computing

Cloud-agnostisch

Bron NIST. (sept. 2011) publ. 800145. The NIST Definition of Cloud Computing. Gepubliceerd op: https://csrc.nist.gov/public ations/detail/sp/800145/final CNCF (juni 2018) CNCF Cloud Native Definition v1.0 gepubliceerd op: https://github.com/cncf/t oc/blob/master/DEFINITIO N.md Bron onbekend

Clouddienst

Bron onbekend

Cloudservice provider Common Ground

Bron onbekend

Community Cloud

NIST. (sept. 2011) publ. 800145. The NIST Definition of Cloud Computing. Gepubliceerd op: https://csrc.nist.gov/public ations/detail/sp/800145/final

Containers

https://kubernetes.io/docs /concepts/containers/

Cloud Native

www.commonground.nl

Omschrijving Cloudcomputing is een model dat voorziet in gemakkelijke, vraag gebaseerde netwerktoegang tot een gedeelde pool van configureerbare computer resources (bijvoorbeeld netwerken, servers, opslag, applicaties en services) die snel kunnen worden geïmplementeerd en uitgerold met minimale management inspanning. Cloud-native technologieën stellen organisaties in staat schaalbare applicaties te bouwen en uit te voeren in moderne, dynamische omgevingen zoals publieke, private en hybride clouds. Containers, servicemeshes, microservices, onveranderlijke infrastructuur en declaratieve API's zijn voorbeelden van deze aanpak. Cloud-agnostisch houdt in dat een systeem of applicatie niet gebonden is aan één bepaalde type cloudomgeving of protocol. Toepassingen die cloud-agnostisch zijn kunnen in meerdere cloudomgevingen zoals AWS, Google of Microsoft Azure worden gebruikt. Het geheel van IT-diensten dat door een Leverancier wordt aangeboden via de cloud. Een clouddienst kan verschillende vormen of combinatie van vormen aannemen. De belangrijkste zijn Software as a Service (SaaS), Platform as a Service (PaaS), Infrastructure as a Service (IaaS). Leverancier van clouddiensten Common Ground is de visie van een flexibel, eenvoudig, en slim ingerichte informatievoorziening voor gemeenten.

Gemeenten en andere betrokkenen werken samen aan het realiseren van de informatievoorziening zodat er datagedreven en flexibel kan worden ingespeeld op maatschappelijke opgaven. En burgers en ondernemers passende dienstverlening, regie op eigen gegevens en transparantie over datagebruik kunnen krijgen. De cloud infrastructuur wordt beschikbaar gesteld voor exclusief gebruik door een specifieke groep of community van gebruikers van organisaties die dezelfde belangen, overwegingen of doelstellingen hebben (zoals missie, beveiligingseisen, beleid en/of overwegingen m.b.t. standaardisatie en compliance). Een community cloud kan in eigendom zijn, gemanaged en beheerd door een of meer organisaties die deel uitmaken van de community, een derde partij of combinatie en zijn geïnstalleerd on of off premise. Bijvoorbeeld de rijksdatacentra (ODC). Containers ontkoppelen applicaties van de onderliggende hostinfrastructuur. Dit maakt implementatie eenvoudiger in verschillende cloud- of OS-omgevingen. Containers lijken op Virtual Machines (VM), maar ze hebben beperktere isolatie-eigenschappen om het besturingssysteem (OS) tussen de applicaties te kunnen delen. Daarom worden containers als lichtgewicht beschouwd. Net als bij een VM heeft een container zijn eigen bestandssysteem, CPU, geheugen, procesruimte en meer.

Omdat ze zijn losgekoppeld van de onderliggende infrastructuur, zijn ze overdraagbaar tussen clouds en OSdistributies. Een containerimage bevat alles voor de code van de applicatie, maar het bevat niet alles voor de applicatie; bestandsopslag, database, firewall, locatie voor logging, toegang tot de omgeving etc. zijn allemaal geen onderdeel van een container en configuratie daarvan. Implicatie is dat een container verplaatsen niet een applicatie verplaatst en daar iets anders voor geregeld moet worden; dat is ingewikkeld en zorgt al snel voor afhankelijkheid van een specifieke cloud omgeving en tooling die daarbij hoort.

31 / 43

Gaia-X

https://www.datainfrastructure.eu/GAIAX/Na vigation/EN/Home/home. html

Hybrid Cloud

NIST. (sept. 2011) publ. 800145. The NIST Definition of Cloud Computing. Gepubliceerd op: https://csrc.nist.gov/public ations/detail/sp/800145/final Bron onbekend

Hyperscaler

Infrastructure as a Service (IaaS)

Open Group Cloud Book

Multicloud

https://en.wikipedia.org/wi ki/Multicloud

Platform as a Service (PaaS)

NIST. (sept. 2011) publ. 800145. The NIST Definition of Cloud Computing. Gepubliceerd op: https://csrc.nist.gov/public ations/detail/sp/800145/final

Private Cloud

NIST. (sept. 2011) publ. 800145. The NIST Definition of Cloud Computing. Gepubliceerd op: https://csrc.nist.gov/public ations/detail/sp/800145/final NIST. (sept. 2011) publ. 800145. The NIST Definition of Cloud Computing. Gepubliceerd op: https://csrc.nist.gov/public ations/detail/sp/800145/final

Public Cloud

Gaia-X is een Europees cloud initiatief dat erop is gericht om één uniform cloud ecosysteem te ontwikkelen waarbij de cloud omgeving en de gegevens die daarin worden uitgewisseld en verwerkt worden beschermd door Europese wetgeving. Dit initiatief heeft nog niet tot in de praktijk bruikbare oplossingen geleid en wordt niet gezien als weg naar een ‘Europese cloud’ die als tegenhanger kan dienen voor de (Amerikaanse) hyperscalers. De cloud infrastructuur bestaat uit een samenstelling van twee of meer onderscheiden cloud infrastructuren (private, community, or public) die ieder voor zich hun unieke entiteit behouden, en die met elkaar zijn verbonden door middel van standaard of maatwerk technologie die data en applicatie portabiliteit mogelijk maakt. Hyperscalers zijn bedrijven die een enorme hoeveelheid rekenkracht en opslagcapaciteit aanbieden, vaak via een netwerk van datacenters over de hele wereld. Ze zijn in staat om snel op te schalen om aan de vraag te voldoen, waardoor ze ideaal zijn voor bedrijven die grote hoeveelheden data verwerken of complexe applicaties beheren. De voorziening die aan de afnemer wordt geboden, is het verschaffen van rekenkracht, opslag, netwerken en andere fundamentele computer resources die de afnemer in staat stellen willekeurige software te implementeren en uit te voeren, waaronder besturingssystemen en applicaties.

De afnemer beheert of controleert de onderliggende cloudinfrastructuur niet, maar heeft controle over operating-systemen, opslag, geïmplementeerde applicaties en mogelijk beperkte controle over geselecteerde netwerkcomponenten (bijvoorbeeld host firewalls). Multicloud omvat meerdere clouddiensten, bestaande uit iedere mogelijke combinatie van public, private en/of hydride clouddienst in één heterogene architectuur. Een multicloud omgeving kan worden geleverd door één of meerdere leveranciers. Het doel van een multicloud omgeving is om de behoefte van een afnemer te dekken met een combinatie van de best mogelijke oplossingen bij een zo optimaal gebruik van resources. De toepassing van multi cloud omgevingen kan ook worden verantwoord vanuit het streven om vendor lock-in of al te grote afhankelijkheid van één specifieke leverancier te voorkomen. De voorziening, die aan de afnemer wordt geboden, is om in/op de cloudinfrastructuur, door de afnemer zelf gemaakte of verworven applicaties te implementeren (die zijn gemaakt met programmeertalen, bibliotheken, services en tools die door de aanbieder worden ondersteund). De afnemer beheert of controleert niet de onderliggende cloudinfrastructuur, inclusief netwerk, servers, besturingssystemen of opslag, maar heeft wel controle over de geïmplementeerde applicaties en mogelijke configuratie-instellingen voor de applicatiehostingomgeving.

De cloud infrastructuur wordt exclusief beschikbaar gesteld voor gebruik door één enkele Gemeente of organisatie, die eventueel kan bestaan uit meerdere gebruikers (zoals business units). Een private cloud kan in eigendom zijn, gemanaged en beheerd door de Gemeente of organisatie, een derde partij of combinatie en zijn geïnstalleerd on of off premise. De cloud infrastructuur wordt beschikbaar gesteld voor open gebruik door het publiek, door een specifieke groep of community van gebruikers van organisaties die dezelfde belangen, overwegingen of doelstellingen hebben (zoals missie, beveiligingseisen, beleid en/of overwegingen m.b.t. standaardisatie en compliance). Een public cloud kan in eigendom zijn, gemanaged en beheerd door een commerciële organisatie, een

32 / 43

Soevereiniteit

Bron onbekend

Datasoevereiniteit

Bron onbekend

Digitale soevereiniteit

Bron onbekend

Software as a Service (SaaS)

NIST. (sept. 2011) publ. 800145. The NIST Definition of Cloud Computing. Gepubliceerd op: https://csrc.nist.gov/public ations/detail/sp/800145/final

kennisinstelling, overheidsorganisatie of combinatie van twee of meer van deze organisaties. De public cloud is geïnstalleerd on premise bij de cloud provider. Soevereiniteit is het recht van een staat of een ander overheidsorgaan om het hoogste gezag uit te oefenen binnen zijn grondgebied zonder dat hij verantwoording verschuldigd is aan een ander orgaan. In de context van staten betekent dit dat een staat volledig onafhankelijk en zelfbesturend is, zonder bemoeienis van andere staten. De bevoegdheid van een land of rechtsgebied om de data die binnen zijn grenzen wordt gegenereerd, te beheren en te controleren. Dit houdt in dat de overheid de regels bepaalt voor het verzamelen, opslaan, verwerken en verspreiden van data, met name met betrekking tot wet- en regelgeving en privacy. Digitale soevereiniteit is een breder concept dat ook betrekking heeft op de controle over de onderliggende IT-infrastructuur en de technologieën die worden gebruikt. Het gaat niet alleen over de data zelf, maar ook over de middelen die nodig zijn om de data te verwerken en te gebruiken. De voorziening die aan de afnemer wordt geboden, is om de applicaties van de aanbieder te gebruiken die op een cloudinfrastructuur draaien.

De applicaties zijn toegankelijk vanaf verschillende client apparaten via een thin client interface, zoals een webbrowser (bijvoorbeeld webgebaseerde e-mail) of een programma-interface (bijv. een api). De afnemer beheert of controleert niet zelf de onderliggende cloudinfrastructuur, inclusief netwerk, servers, besturingssystemen, opslag of zelfs individuele toepassingsmogelijkheden, met uitzondering van beperkte gebruiker specifieke applicatie configuratie instellingen.

33 / 43

Bijlage 2 – Externe verkenning Clouddiensten/marktontwikkelingen lokale overheid VNG heeft door adviesbureau M&I Partners in 2023 de ontwikkeling van clouddienstverlening (SaaS, PaaS, IaaS) aan gemeenten laten onderzoeken. Analyse software Primair proces Verwachting: • In 2025 zal ten minste 70% van de primair procesapplicaties als SaaS-oplossing worden afgenomen. Verklaring: • De komende jaren gaan diverse applicatieleveranciers (Shift2, Topicus, JCC en Centric) de focus van hun dienstverlening verleggen naar SaaS-oplossingen. Wij verwachten daarom dat het percentage SaaS-oplossingen flink gaat stijgen de komende jaren. Daarnaast zijn er steeds meer nieuwe leveranciers die alleen maar SaaS-oplossingen aanbieden in hun dienstverlening. • Hoe de trend zich precies voortzet is wel afhankelijk van wanneer gemeenten overstappen naar SaaS-oplossingen en wat leveranciers gemeenten aanbieden om mogelijk versneld over te stappen van on premise applicaties naar SaaS-oplossingen. Daarnaast zijn er ook steeds meer gemeenten die een specifiek SaaS-tenzij beleid hanteren.

Analyse Bedrijfsvoering software Verwachting: • In 2025 zal ten minste 70% van de bedrijfsvoering applicaties als SaaS-oplossing worden afgenomen. Verklaring: • Vooral de verSaaSing van de financiële bedrijfsvoeringsoftware zorgt ervoor dat deze trend zich doorzet. Omdat een veel gebruikt financieel pakket vorig jaar end of life was, zagen veel gemeenten zich genoodzaakt over te stappen naar een SaaS-oplossing. • De software voor de personeel en salarisadministratie (Bijvoorbeeld Afas) wordt al een aantal jaar grotendeels als SaaS-oplossing afgenomen. Dit zal daarom minder effect hebben op de mate van verSaaSing van de bedrijfsvoeringsoftware.

34 / 43

Analyse Kantoorautomatisering software Verwachting: • Binnen niet al te lange tijd (1 à 2 jaar) zal het percentage SaaS richting de 95% gaan. Daarna zal dit aandeel langzaam richting de 100% gaan. Verklaring: • In 2021 had een enkele gemeente nog (verouderdere) kooplicenties van Microsoft voor de kantoorautomatisering software. Deze kooplicenties zullen snel plaatsmaken voor een abonnementslicenties van de SaaS-oplossingen van Microsoft. De corona-maatregelen (hybride werken) hebben waarschijnlijk voor een versnelling op dit onderdeel gezorgd. • We verwachten daarnaast dat steeds meer gemeenten meer diensten van Microsoft gaan afnemen. Denk aan alle applicaties die binnen de Microsoft 365 suite vallen. Daarnaast kan bijvoorbeeld ook de telefonie van gemeenten van Microsoft worden afgenomen.

Opmerking werkgroep cloudstrategie: Mogelik zullen de recente discussies rond (data)soevereiniteit dit beeld beïnvloeden. Analyse MidOffice software Verwachting: • In 2025 wordt ten minste 75% van de midofficeapplicaties als SaaS-oplossing afgenomen. Verklaring:

35 / 43

•

•

We zien dat in toenemende mate het zaaksysteem als SaaS-oplossing wordt afgenomen. Dit is de grootste applicaties (op kosten) binnen de bedrijfsvoeringsoftware. Vandaar dat we verwachten dat ook de verSaaSing op de bedrijfsvoering software doorzet. Het koppelen van oplossingen aan elkaar blijft complex en vereist specifieke expertise. Overzicht en beheer van koppelingen (bijv. API-management) wordt daarom steeds relevanter in een verSaaSt applicatielandschap.

Analyse Infrastructuur Verwachting servers en storage en datacenter (housing): • De komende jaren zullenl meer public of private cloud diensten afgenomen worden. Dit is echter sterk afhankelijk van de verSaaSing van applicaties. Daarbij onderkennen we globaal 2 groepen: • gemeenten waarbij het datacenter (inclusief servers) is verouderd en financieel is afgeschreven; • gemeenten die net geïnvesteerd hebben in hun datacenter, server en opslag. • De eerste groep gemeenten zal mogelijk public cloud en/of private cloud diensten afnemen in afwachting van de verSaaSing van het gehele applicatielandschap. Door dit soort diensten af te nemen kunnen gemeenten makkelijk op en afschalen en met recentere technieken is het relatief eenvoudig om applicaties te migreren van de ene naar de andere omgeving. • De tweede groep zal naar verwachting wachten met het afnemen van public of private clouddiensten tot dat hun omgeving is verouderd tot hun applicatielandschap grotendeels is verSaaSt. De resterende kleinere on premise applicaties zullen dan bij een private of public cloud dienstverlener worden neergezet. • Daarnaast is het de vraag in welke mate gemeenten deze cloud oplossingen gaan gebruiken. Immers, als 80 tot 90% van het applicatie-landschap is verSaaSt, dan heeft een gemeente relatief weinig behoefte aan servers en storage, on premise of in de cloud.

• Daarnaast geldt dat dit soort cloud dienstverlening (bijv. Azure of AWS) zich goed leent voor datagedreven werken.

36 / 43

Verwachting Databases: • De verwachting is dat databases niet direct meer afgenomen gaan worden als dienst. Wanneer gemeenten SaaS-oplossingen afnemen worden databases als onderdeel van de dienstverlening afgenomen. Dit leidt ertoe met een stijging van het aantal SaaSoplossingen de behoefte aan databasebeheer afneemt.

Verwachtingen werkplek • De verwachting is dat de virtuele werkplek meer als dienst afgenomen gaat worden. Dit betreft een onderdeel waar redelijke specifieke technische kennis voor nodig is. Gemeenten zijn niet altijd meer in staat deze kennis zelf in huis te halen en daardoor dit onderdeel zelf te kunnen leveren. Het aantal on premise applicaties van gemeenten remt deze beweging wel. Maar door de verSaaSing wordt het daardoor steeds eenvoudiger om dit onderdeel ook als dienst af te nemen.

Marktbewegingen De opkomst van nieuwe technologieën en digitale (cloud) diensten, verdere standaardisatie van traditionele ICT dienstverlening en de digitale transformatie betekent voor veel gemeenten een herijking van de vormen van samenwerking met technologiepartners en applicatieleveranciers. Deze ontwikkelingen zorgen ook voor herijking van ‘make or buy’ beslissingen binnen het I&Adomein. Ging de hang naar schaalvergroting in de periode 2010-2015 nog vooral om het verlagen van de kwetsbaarheid door het centraliseren van de resources (beheer van meer van het zelfde). De vele

37 / 43

en snelle ontwikkelingen op het gebied van ICT onder gelijktijdige toename van zowel de bedreigingen als de wet- en regelgeving levert een nieuwe hang naar schaalvergroting op. Nu zijn de drijfveren voor schaalvergroting vooral de toegenomen complexiteit en vraag naar flexibiliteit/innovatie in samenhang met een arbeidsmarktsituatie waarin specialismen moeilijk zijn te binden aan kleinere ICT-organisaties. Steeds meer overheidsorganisaties stappen over op een gecombineerde cloud/sourcingstrategie. Bij de grotere overheidsorganisaties zien we de volgende trend: • Er wordt niet gekozen voor een ‘One-Size-Fits-All’ Sole-leveringsmodel waarbij één partner wordt aangewezen voor de levering van de volledige scope van ICT dienstverlening. Het selecteren van meerdere leveranciers, elk gericht op een specifieke ICT dienst, biedt klantorganisaties de mogelijkheid om een betere juiste balans te kiezen bij het vinden van nieuwe, opkomende en bewezen ICT-oplossingen, services en leveringsmodellen. Kortom een Multi-leveranciersmodel of een Best-of-Breed leveranciersmodel. • ICT dienstverleners in de markt blijken moeite te hebben om gemeentelijke service (applicatie) management en integratie dienstverlening (SIAM) te leveren die verder gaat dan het eigen producten en diensten portfolio van de leverancier.

De verschuiving naar een strategie gebaseerd op meerdere (cloud)leveranciers heeft de strategische waarde van service-integratie aanzienlijk vergroot. Interne ICT teams focussen op deze integratie taak, de SPOC-rol en op de meer clientfacing taken als servicedesk en advisering.

M&I Trendrapport ICT gemeenten 2024 In het recent verschenen trendrapport 2024 (gebaseerd op 2023 cijfers) heeft M&I in kaart gebracht welk deel van het I&A personeel zich bezighoudt met het werk van vandaag (RUN), het werk van morgen (GROW) en het werk van overmorgen (TRANSFORM).

De cijfers tonen aan dat gemeenten meer inzet plegen op Run-activiteiten en minder op Transform-activiteiten dan het onderzoeksbureau Gartner als gemiddelden voor overheden heeft

38 / 43

geïnventariseerd. Wij herkennen het beeld dat het verandervermogen van de RvN-organisaties dalende is.

39 / 43

Bijlage 3 – Wet- en regelgeving EU/VS US Big Tech Werken met producten en diensten van Hyperscalers betekent werken met producten van Big Tech bedrijven uit de VS. Dat feit leidt tot principiële discussies. Too big to fail? Amerikaanse bedrijven kunnen niet voor 100% compliant zijn aan EU wet- en regelgeving. De grote economische belangen van Amerikaanse Big Tech ondernemingen binnen de EU staat tegenover de grote afhankelijkheid van EU overheden van Amerikaanse Big Tech. Die situatie dwingt de EU en de VS om te komen tot werkbare (aanvullende) wet- en regelgeving. De volgende paragraaf geeft een beeld van deze permanente worsteling met als afdronk dat er anno 2023 nog steeds een werkbare grondslag is voor het gebruik van Microsoft producten en diensten door Nederlandse overheden. Zelfs het Rijk heeft in haar ‘Rijksbrede cloudbeleid 2022’ onder voorwaarden het gebruik van publieke clouddiensten door de Rijksoverheid goedgekeurd. ‘SLM Microsoft, Google Cloud en Amazon Web Services’ (hierna SLM Rijk) geeft rijksbreed contractafspraken en inkoopvoorwaarden voor software en clouddienstverlening. SLM Rijk bundelt haar krachten ook internationaal. SLM Rijk laat regelmatig Data Protection Impact Assessments (DPIA’s) uitvoeren op producten en online diensten van de drie genoemde ‘hyperscalers’.

Met hun invloed zijn zij in staat gebleken deze leveranciers te dwingen hun producten en overeenkomsten aan te passen om zodoende de risico’s die uit de DPIA’s naar voren komen weg te nemen. Gemeenten liften mee op de resultaten die SLM Rijk boekt. Is een vendor lock-in te voorkomen? Met de trend om de infrastructuur naar de cloud te brengen en het feit dat slechts enkele grote Amerikaanse spelers hierin voorzien, is een zekere mate van afhankelijkheid niet te voorkomen. De Autoriteit Consument en Markt (ACM) onderkent de Amerikaanse dominantie op de cloudmarkt en heeft onderzoek gedaan. Zij waarschuwt ‘verborgen kosten’ die gepaard gaan met overstappen en het risico op volledige afhankelijkheid. Zo constateert de ACM in de markt financiële, technische en contractuele barrières, die belemmerend werken wanneer een gebruiker wil overstappen. Vanuit de Digital Markets Act (DMA), in november 2022 in werking getreden, en de aankomende Dataverordening (DA) kan, zowel de ACM als de overheid, de concurrentie in de cloudmarkt stimuleren, zodat deze risico’s verminderd worden. Met de DMA wordt de macht van de grote online platformen aangepakt. Zo staat in de DMA bijvoorbeeld de verplichting voor poortwachters dat zij de mogelijkheid voor gebruikers van clouddiensten om over te stappen naar een andere aanbieder niet mogen belemmeren.

In de DA zijn eveneens maatregelen voorgesteld om aanbieders van clouddiensten te verplichten barrières voor overstappen tussen clouddiensten weg te nemen (verbeteren van de portabiliteit). Ook zijn maatregelen voorgesteld om de interoperabiliteit van clouddiensten te bevorderen, zodat clouddiensten van verschillende leveranciers makkelijker gecombineerd kunnen worden. Initiatieven zoals GAIA-X en IPCEI CIS zullen, gezien hun doelstellingen, ooit bijdragen aan beter functioneren van de markt. Maar het is nog onduidelijk op welke termijn dit gaat gebeuren.

40 / 43

De mate waarin het mogelijk is om over te stappen tussen cloudaanbieders verschilt per situatie, en is afhankelijk van factoren zoals het datavolume, het type dienstverlening, de betrokken aanbieders en de wensen van de eindgebruiker. Op applicatieniveau is er zelfs verschil tussen een SaaS en een IaaS; bij die laatste ben je zelf veel meer in control en heb je daarmee dus ook veel meer zeggenschap over overstappen. Vanuit het Rijksbreed cloudbeleid is een exit-strategie verplicht en moet de gemeente vooraf nadenken over een eventuele overstap naar aan andere aanbieder om deze afhankelijkheidsrisico's te mitigeren. Wetgeving VS versus wetgeving EU Amerikaanse technologiepartijen die persoonsgegevens van EU-burgers verwerken (waaronder dus ook Microsoft met de producten Microsoft365 en Azure) vallen onder zowel EU als Amerikaanse wetgeving. Op verschillende onderdelen blijft de EU scherp op wat wel goed en wat minder goed in de VS is geregeld en ook werkt de EU aan standaarden om de risico’s voortvloeiend uit de verschillen tussen EU en VS wetgeving te beperken. Hieronder een toelichting op relevante wetgeving, onderwerpen en ontwikkelingen. CLOUD ACT CLOUD Act (van toepassing sinds 23-3-2018): Bij strafrechtelijk onderzoek kunnen persoonsgegevens in de cloud belangrijke informatie opleveren.

Voor de opsporing van een strafbaar feit is het onder de CLOUD Act mogelijk voor Amerikaanse autoriteiten om persoonsgegevens op te vragen bij Amerikaanse cloudproviders, ook als die organisatie de gegevens opslaat buiten Amerika, zoals documenten, foto’s en e-mails. Er zijn wel de nodige waarborgen ingebouwd, zoals dat de informatievordering kan worden aangevochten door een beroep te doen op zogenaamde ‘comity rights’. Het is dan een rechter in de VS die de rechtmatigheid van de verwerking in voorkomende gevallen zal toetsen. Ook in een Kamerbrief van 5 oktober 2018 van toenmalig minister Grapperhaus staan waarborgen genoemd waardoor niet zomaar aan een informatievordering hoeft te worden voldaan. PRISM Toepassen van PRISM (lopend sinds 2007): PRISM (Planning tool for Resource Integration, Synchronization and Management) is een digitaal programma waarmee informatie (e-mail, chats, foto’s, VoIP-gesprekken) kan worden verzameld bij grote Amerikaanse internetbedrijven. Het is een tool die data analyseert om onregelmatigheden te vinden van een bepaalde persoon. Het wordt ook gebruikt om gegevens over personen buiten Amerika te verzamelen. USA FREEDOM ACT USA Freedom Act (van toepassing sinds 2-6-2015): Amerikaanse autoriteiten hebben onder bepaalde voorwaarden toegang tot persoonsgegevens die zijn opgeslagen buiten de VS.

Het moet wel gaan om een Amerikaanse organisatie en er moet sprake zijn van één van de volgende drie criteria: possession, custody of control. SAFE HARBOUR EN PRIVACY SHIELD Tot enkele jaren terug was een verdrag tussen de EU en de VS en bijbehorende certificering een grond voor doorgifte van persoonsgegevens aan bedrijven in de VS (ondanks de verschillen in wetgeving). Maar na Safe Harbour is ook het Privacy Shield, dat deze doorgifte mogelijk maakte, vernietigd door het Europese Hof van Justitie. Het Hof vond dat de bescherming van gegevens in

41 / 43

de VS nog steeds onvoldoende was. Het Privacy Shield is op 16 juli 2020 door het Europese Hof van Justitie ongeldig verklaard. Dat betekent dat doorgiften aan de VS niet meer gelegitimeerd kunnen worden op basis van een certificering onder Privacy Shield en dat een alternatieve maatregel vereist is. In dezelfde uitspraak heeft het Hof bepaald dat modelcontracten nog wel geldig zijn, onder voorwaarden (zie hieronder). AVG ACHTERGROND Onder de AVG gelden aanvullende regels voor doorgifte van persoonsgegevens vanuit Nederland naar landen buiten de EER. Doorgifte aan zogenaamde derde landen is o.a. mogelijk in de volgende gevallen: - De Europese Commissie (EC) heeft besloten dat (een sector in) het derde land een passend beschermingsniveau biedt (adequaatheidsbesluiten, art. 45 AVG). Het gevolg van een adequaatheidsbesluit is dat geen aanvullende afspraken nodig zijn met de organisatie in het betreffende land. - Een van de modelcontracten van de EC is afgesloten (Standard Contractual Clauses (SCC), art. 46 lid 2 onder c AVG). Dit zijn door de EC goedgekeurde standaard contractuele afspraken tussen een Europese data-exporteur en data-importeur in een derde land. Met het wegvallen van Privacy Shield als maatregel voor doorgifte aan de VS, zullen veel organisaties vertrouwen op de modelcontracten om de doorgifte te legitimeren.

Het Hof oordeelt dat modelcontracten nog wel geldig zijn maar dat de verwerkingsverantwoordelijke exporteur van de persoonsgegevens samen met de importeur (verwerkingsverantwoordelijke of verwerker) moet nagaan of het land dat de persoonsgegevens importeert wel een adequate beveiliging biedt. Als dat niet het geval is moeten aanvullende maatregelen worden genomen. Welke maatregelen dat kunnen zijn zoekt de Europese groep van toezichthouders (EDPB) nu verder uit. Ook moet beter worden nagegaan of de exporteur en importeur zich aan de voorwaarden in het modelcontract houden. - Bindende bedrijfsvoorschriften (Binding Corporate Rules, BCR, 46 lid 2 onder b jo. art. 47 AVG) zijn afgesloten. BCR’s zijn interne privacyregels voor multinationals die alleen intra group doorgiftes legitimeren. In een kamerbrief van 16 september 2019 staat vermeld dat de wachttijd voor goedkeuring momenteel 3 tot 5 jaar is. - Een overeenkomst is afgesloten die is goedgekeurd door de toezichthouder. De genoemde risico’s over het delen van informatie is niet volledig te mitigeren. Zowel vanuit de VNG als vanuit het Rijk als vanuit de EU worden de regels aangescherpt en controle uitgeoefend op de naleving van deze regels. Voor de gemeenten ligt de focus op het volgen van de ontwikkelingen en de verantwoordelijkheid hiervoor te beleggen bij ofwel CISO, FG, de juridische afdeling of iRvN.

SOEVEREINITEIT EN LOCK-IN Een recente ontwikkeling is dat cloudproviders werken aan ‘soevereine’ omgevingen, waar bijvoorbeeld alleen EU-personeel werkt en waar technische links met omgevingen buiten Europa niet bestaan: https://aws.amazon.com/compliance/europe-digital-sovereignty/ Er is meer lock-in dan alleen vendor lock-in. Kiezen voor bijvoorbeeld multi-cloud is ook een lockin, omdat je dan ‘the lowest common denominator’ moet gebruiken voor je oplossingen, wat je kan beperken in je keuzes. Of cloud agnostisch, waar dit nog sterker speelt en je misschien wel

42 / 43

alles via containers wil oplossen; dat is op zich ook een lock-in. (https://martinfowler.com/articles/oss-lockin.html ) Rijk Cloud is toenemend een onderwerp op Rijksniveau. Hieronder enkele linkjes naar relevante documenten. 1. Cloudstrategie (wordt vernieuwd) (Kamerbrief Rijksbreed cloudbeleid 2022 | Kamerstuk | Rijksoverheid.nl), 2. Brief - Evaluatie Rijksbreed Cloudbeleid 3. Rapport Financiën: implementatiekader / risico cloudgebruik pdf 4. Diverse kamerbrieven waaronder: https://www.tweedekamer.nl/downloads/document?id=2024D45671

43 / 43