Materieel cloudgebruik bij het Rijk: schrijf een toets, leg elk oordeel vast

Heeft de CIO-organisatie je gevraagd om een plan van aanpak voor de exitplannen van je cloudgebruik, dan gaat de eerste pagina over de afbakening. Het herziene rijksbrede cloudbeleid, dat op 3 juli is vastgesteld, eist een gedocumenteerd exitplan voor elk materieel publiek cloudgebruik. Waar de cloud al in gebruik is, moet dat plan er rond juli 2027 liggen. Wat materieel is, laat het beleid aan je organisatie over. Het geeft één alinea definitie, maar geen toets, geen drempels en geen voorbeelden, en het voorziet niet in een beoordeling van een dienst die je "niet materieel" noemt. Die controle kan later komen, bij een audit. Schrijf dus een korte toets die bepaalt wat materieel is, haal je hele cloudinventaris erdoorheen en leg elk oordeel vast met een naam en een reden. Die vastlegging maakt je afbakening verdedigbaar.

Wat het beleid je geeft

De definitie kent drie gronden. Cloudgebruik is materieel als de dienst wordt gebruikt voor de primaire taak of kerntaak van je organisatie. Voor een uitvoeringsorganisatie staan de kerntaken in het organisatiebesluit, of bij een zelfstandig bestuursorgaan in de instellingswet. Belangrijke bedrijfsondersteunende processen kunnen er ook onder vallen, maar het beleid zegt niet wanneer. Het Implementatiekader risicoafweging cloudgebruik uit 2023 telt ondersteunende processen alleen mee voor zover ze van wezenlijk belang zijn voor de primaire taken. Volgens het beleid moet je dat kader volgen; het wordt geactualiseerd. En grootschalige verwerking van persoonsgegevens is altijd materieel, al definieert het beleid "grootschalig" niet. Het verwijst naar de Autoriteit Persoonsgegevens, die vier criteria noemt (het aantal betrokkenen, de hoeveelheid gegevens, de duur, de geografische reikwijdte) maar geen getallen.

Je organisatie registreert de uitkomst, en via twee routes komt die op rijksniveau terecht. Elk materieel cloudgebruik meld je bij CISO Rijk, die het gebruik en het exitplan beoordeelt. Eens per jaar rapporteren de departementen aan CIO Rijk. Beide routes gaan alleen over materieel gebruik, dus een dienst die je als niet materieel aanmerkt, komt bij geen van beide terecht. Het beleid vraagt dat besluitvorming door de verantwoordelijk bestuurder toetsbaar en auditeerbaar is.

Waarom de vastlegging zwaarder weegt dan de definitie

Wie later vraagt waarom een dienst buiten de afbakening viel, vraagt naar jouw redenering, want het beleid geeft er geen. Voor haar rapport van januari 2025 vroeg de Algemene Rekenkamer de ministeries ook naar hun niet-materiële cloudgebruik. Ze telde 700 publieke clouddiensten, waarvan er 126 als materieel waren aangemerkt, en stelde vast dat de ministeries verschillende definities hanteerden. Ze noemde wat sommige ministeries aan de definitie hadden toegevoegd: data die gevoelig, essentieel en niet eenvoudig vervangbaar is; een significant deel van de gegevens in de bedrijfsvoering; ernstige gevolgen voor burgers als een applicatie meerdere dagen niet beschikbaar is. Bij 84 van de 126 materiële diensten, twee derde, was geen risicoafweging gemaakt.

Een oordeel met een naam, een reden en een datum kun je aanvechten en verdedigen. Een oordeel dat niemand opschreef, kun je alleen opnieuw vellen.

Een toets in vijf vragen

Beantwoord per dienst vijf vragen, in deze volgorde; het eerste antwoord dat op materieel wijst, beslist. De vragen zijn mijn voorstel; het beleid schrijft ze niet voor. Ze dekken de drie gronden uit het beleid, plus wat een auditor gaat vragen over een dienst die je buiten de afbakening hebt gelaten.

Vraag 1 staat voorop omdat het beleid e-mail en documenten apart behandelt, onder werkplekdiensten. Die mogen alleen in de publieke cloud als aan alle drie voorwaarden is voldaan. Ten eerste is onafhankelijk vastgesteld dat de continuïteit van de dienstverlening anders in gevaar komt. Ten tweede zijn risicoanalyse en exitplan gemaakt en getoetst. Ten derde heeft de betrokken minister het besluit geaccordeerd, in overeenstemming met de bewindspersoon voor digitalisering. Waar werkplekdiensten al in de publieke cloud staan, geldt een overgangstermijn van vier jaar, of de resterende looptijd van het contract als die langer is. Die termijn staat los van juli 2027, de datum waarop de exitplannen er moeten liggen. Ook systemen die het beleid uitzondert voor internationale samenwerking of vanwege het wereldwijde karakter van het werk, en systemen van het Nationaal Cyber Security Centrum, hebben een risicoanalyse en exitplan nodig. Neem ze dus ook op in de inventaris.

Vraag 4 heeft een getal nodig dat het beleid niet geeft. Kies er zelf een, schrijf op waarom en pas het op elke dienst op dezelfde manier toe. Een drempel die je consequent toepast en kunt uitleggen, houdt beter stand dan een precieze die je niet kunt uitleggen.

Grensgevallen, en hoe een regel in het register eruitziet

Leg een dienst die geen helder antwoord oplevert vast als grensgeval in plaats van als niet materieel. De verantwoordelijk bestuurder beslist, met de reden in het register, en het oordeel komt terug bij elke jaarrapportage aan CIO Rijk. Een regel in het register heeft acht velden: de dienst, de leverancier, het oordeel (materieel, niet materieel of grensgeval), de vraag die de doorslag gaf, de reden in één zin, naam en rol van wie besliste, de datum en de volgende herziening.

De salarisadministratie laat zien hoe een grensgeval ontstaat. Voor zover ik kan nagaan, staat salarisbetaling bij de meeste organisaties niet als taak in het organisatiebesluit, dus beslist vraag 3. Legt een week zonder salarisadministratie het werk aan een kerntaak stil, dan is de dienst materieel. Krijgen medewerkers hun salaris te laat, maar gaat het kernwerk door, dan is het een grensgeval en tekent de bestuurder. Vraag 4 kan de dienst alsnog materieel maken.

Bij Microsoft 365 gaan e-mail en documenten naar het aparte spoor van vraag 1. De rest van het pakket gaat door vraag 2 tot en met 5, net als elke andere dienst. Het beleid brengt e-mail en documenten onder bij werkplekdiensten, maar zegt niet of samenwerkingstoepassingen zoals Teams daaronder vallen. Leg Teams dus ook vast als grensgeval.

Wie het werk doet, en wat de toets mist

Voor de toets heb je de mensen nodig die de diensten kennen: applicatie-eigenaren voor vraag 2 en 3, de privacyadviseur voor vraag 4, een architect voor vraag 5.

Er is ook iets dat de toets mist en dat ik niet heb opgelost. Veel kleine diensten bij één leverancier kunnen elk niet materieel zijn en samen een kerntaak afhankelijk maken van die leverancier. Het beleid raakt die stapeling op twee plekken. CIO en CISO Rijk kunnen stapelingsrisico's zien in meldingen, en elke risicoanalyse voor materieel gebruik moet een vraag beantwoorden over afhankelijkheid van een kleine groep leveranciers. Geen van beide komt bij de diensten die je niet materieel hebt genoemd. Mijn voorlopige antwoord is om per leverancier de niet-materiële diensten te tellen en er een grensgeval van te maken als dat aantal hoog wordt. Ik weet niet zeker of dat genoeg is.

Waar begin je?

Stem de vijf vragen af met je CISO voordat het plan van aanpak klaar moet zijn. Haal daarna elke dienst uit de cloudinventaris erdoorheen en leg elk oordeel vast in het register. De materiële diensten en het spoor voor e-mail en documenten vormen samen de lijst met exitplannen. Werk elk plan uit met de vier vragen per systeem. De lijst met grensgevallen is de pagina van het plan die de bestuurder tekent.

Jacques Domenie leidde de IT-functie van een bank onder toezicht van de centrale bank en legde verantwoording af aan bestuur, toezichthouders en accountant. Via Delfen (delfen.com) werkt hij een deel van de week voor organisaties.

Contact: domenie@delfen.com of delfen.com/nl/contact. De dienst Exit map staat beschreven op delfen.com/nl/diensten.

Bronnen

• Herziening rijksbreed cloudbeleid 2026 — Rijksoverheid, vastgesteld 3 juli 2026. Paragraaf 2: reikwijdte (publieke cloud, en hybride, community- en private cloud van een externe leverancier). Paragraaf 4.1 en voetnoten 15–16: definitie van materieel publiek cloudgebruik, kerntaken in het organisatiebesluit of de instellingswet bij zbo's, registratieplicht. Paragraaf 3.1: risicoanalyse (ook afhankelijkheid van leveranciers), restrisico geaccepteerd binnen de eigen organisatie, besluitvorming door de verantwoordelijk bestuurder toetsbaar en auditeerbaar, het "implementatiekader risicobeheersing cloudgebruik" moet worden gevolgd (zo genoemd in het beleid; de werkelijke titel is Implementatiekader risicoafweging cloudgebruik). Paragraaf 3.2 en voetnoot 12: exitplan met twee scenario's, jaarlijkse beoordeling, twaalf maanden voor bestaand materieel cloudgebruik. Paragraaf 3.3: melding aan CISO Rijk, beoordeling, aanwijzingen (voetnoot 14: alleen binnen de rijksdienst), stapelingsrisico's. Paragraaf 3.4: registratie en jaarlijkse rapportage door departementen aan CIO Rijk. Paragraaf 4.5: e-mail en documenten (werkplekdiensten), drie voorwaarden, overgangstermijn van vier jaar. Paragraaf 5.1: uitgezonderde systemen (internationale samenwerking, wereldwijd karakter van het werk, Nationaal Cyber Security Centrum) hebben toch een risicoanalyse en exitplan nodig, gemeld aan CISO Rijk. Het beleid noemt geen enkele leverancier bij naam.
• Kamerbrief Herziening Rijksbreed Cloudbeleid 2026 — staatssecretaris van Economische Zaken en Klimaat, 3 juli 2026 (Kamerstuk 26 643, nr. 1541); datum van vaststelling (twaalf maanden na 3 juli 2026 is de basis voor "rond juli 2027") en aankondiging van de actualisatie van het implementatiekader
• Implementatiekader risicoafweging cloudgebruik v1.1 — CIO Rijk, 5 januari 2023; artikel 2, onder a: ondersteunende bedrijfsvoeringsprocessen "voor zover van wezenlijk belang voor de primaire taken"
• Het Rijk in de cloud — Algemene Rekenkamer, januari 2025; paragraaf 4.2.2: uitvraag naar materieel en niet-materieel gebruik, 700 publieke clouddiensten, 126 als materieel aangemerkt, verschillende definities per ministerie en de toegevoegde criteria; samenvatting: bij 84 (67%) geen risicoafweging
• Verwerken van persoonsgegevens — Autoriteit Persoonsgegevens; de vier criteria voor grootschalige verwerking
• Wat een exitstrategie in de praktijk betekent: vier vragen per systeem — Delfen, oktober 2026