De overstap naar M365 van de Belastingdienst is volgens staatssecretaris Heijnen de enige uitvoerbare optie in de huidige situatie. Dit schrijft de staatssecretaris in antwoord op Kamervragen naar aanleiding van de Kamerbrief ‘Overstap kantoorautomatisering naar M365’.
Het risico dat de Amerikaanse overheid via de CLOUD Act toegang krijgt tot Nederlandse overheidsdata wordt als zeer klein ingeschat en wordt verder beperkt door afspraken in het rijksbrede contract, zoals opslag in de EER, encryptie en de contractuele plicht van Microsoft om zich tegen dataverzoeken te verzetten.
De Belastingdienst verving sinds 2021 de werkplekken (ongeveer 40.000) en richtte deze in op basis van de toenmalige marktstandaard Windows 11 en M365. Omdat M365 nog niet is geïmplementeerd, werken medewerkers nu via allerlei ‘workarounds’ in een oude, inefficiënte omgeving, wat tot structureel productiviteitsverlies leidt. De overstap naar de cloud is getemporiseerd vanwege geopolitieke en maatschappelijke zorgen, waarna verschillende scenario’s zijn afgewogen; terugdraaien blijkt praktisch niet realistisch.
Afhankelijkheid, alternatieven en autonomie
De overstap vergroot de afhankelijkheid van de Verenigde Staten, maar volgens de staatssecretaris bestaat die afhankelijkheid ook bij andere, inclusief on‑premises, oplossingen. Er is geen uitgebreide verkenning van Europese alternatieven gedaan in 2021; nu wordt geconcludeerd dat er op korte termijn geen passend Europees alternatief beschikbaar is en dat een eventuele migratie twee à drie jaar zou kosten, met blijvend productiviteitsverlies in de tussentijd. De Belastingdienst volgt initiatieven rond Europese en soevereine oplossingen, zoals het open‑sourceplatform ‘Mijn Bureau’en verkenningen voor een rijksbrede soevereine cloud, maar kan nog geen termijn voor overstap noemen.
Strategische autonomie en risicobeheersing
De primaire systemen voor heffing, inning en opsporing blijven in de eigen datacenters; de migratie ziet alleen op kantoorautomatisering (o.a. Outlook, Teams, OneDrive en bijbehorende beheer- en beveiligingssoftware). Volgens de staatssecretaris kunnen met M365 hogere beveiligingsniveaus en betere databeheersmaatregelen (zoals data‑loss‑prevention en afgesloten USB‑poorten) worden gerealiseerd, waarmee het risico op datalekken door kwaadwillenden afneemt, al kan dat risico nooit tot nul worden gereduceerd. Gevoelige informatie kan desgewenst on‑premises of via beveiligde file‑transferdiensten worden uitgewisseld.
CLOUD Act, risicoafweging en exitstrategie
De regering erkent dat Amerikaanse wetten zoals de CLOUD Act in theorie toegang kunnen geven tot Europese (persoons)gegevens, ook wanneer data in de EU worden opgeslagen. Op basis van DPIA’s, DTIA’s, contractafspraken via SLM Rijk en externe juridische analyse wordt het praktische risico echter als zeer klein ingeschat, mits een zorgvuldige risicoafweging plaatsvindt en geen staatsgeheime gegevens in de cloud komen. Er is een exitstrategie uitgewerkt met een scenario voor gepland vertrek (met negen maanden migratietijd) en voor acuut vertrek bij geopolitieke noodzaak; documentatie hierover wordt vertrouwelijk aan de Kamer verstrekt.
Bron: Antwoorden op Kamervragen over overstap kantoorautomatisering naar M365 (Kathmann (GroenLinks-PvdA) en Six Dijkstra (NSC)) en Antwoorden op Kamervragen over overstap kantoorautomatisering naar M365 (Van der Werf (D66)), Ministerie van financiën, 1 december 2025.
Geef een reactie