De Belastingdienst stapt uit de cloud. De echte les gaat over regie.

Deze week werd het advies van het Adviescollege ICT-toetsing over de Belastingdienst openbaar. De conclusie is hard. Draai de uitrol van Microsoft 365 terug. Vijfduizend medewerkers waren al over, de overige 42.000 stonden klaar. Het programma is gepauzeerd. Kosten tot nu toe 97,5 miljoen euro. Op de totale uitgaven heeft volgens het Adviescollege niemand zicht.

De krantenkoppen schrijven zichzelf. Overheid uit de Amerikaanse cloud. Soevereiniteit wint. Terug naar het eigen datacenter.

Ik heb het advies gelezen, en het rapport van de Auditdienst Rijk dat erbij zat. Mijn conclusie is een andere. De echte les van deze week gaat over regie.

Streep Microsoft eens weg

Doe een simpele oefening. Lees het advies en streep alles weg wat over Microsoft gaat. Kijk wat er overblijft.

De informatieclassificatie was foutgevoelig en inconsistent. Medewerkers hadden er geen ervaring mee. De DPIA schreef beveiligingsmaatregelen voor die vervolgens niet werden toegepast. Een werkbare exitstrategie ontbrak. Een businesscase ontbrak. Het risicolog was onvolledig en niet bijgewerkt. En niemand kon aanwijzen welke restrisico’s waren geaccepteerd, of op welk niveau dat besluit was genomen.

Elk van deze punten is een regieprobleem. Ze gaan net zo hard fout in een eigen datacenter als in de cloud. Wie de servers verplaatst maar de regie laat liggen, verhuist zijn probleem naar een ander adres.

De pijnlijkste vondst stond in het tweede rapport

Het scherpste document van deze week is het onderzoek van de Auditdienst Rijk naar de back-upvoorziening.

De Belastingdienst deed iets wat op papier verstandig klinkt. Elke dag een volledige kopie van alle M365-data naar het eigen datacenter. Data op eigen bodem, onder eigen dak. Soevereiniteit geregeld, zou je zeggen.

De Auditdienst prikte daar doorheen. De back-upoplossing komt van een Amerikaanse leverancier en werkt als een black box. De eigen beheerders hebben geen inzicht in de werking of het dataformat. Herstel kan alleen via de interfaces van de leverancier. En juist in het scenario waarvoor die back-up bestaat, een abrupte breuk met Amerikaanse dienstverleners, is de steun van diezelfde Amerikaanse leverancier onzeker.

Lees dat nog een keer. De verzekering tegen Amerikaanse afhankelijkheid was zelf een Amerikaanse afhankelijkheid.

Daar komt bij dat er geen end-to-endcontrole was op de volledigheid van de back-up. Afwijkingen komen pas aan het licht op het moment van herstel. Precies het moment waarop je ze niet meer kunt repareren.

Soevereiniteit gaat over kunnen handelen

Dit is de kern. Soevereiniteit draait om een vraag. Kun je nog handelen als je leverancier wegvalt? Die vraag speelt breder dan deze casus, zoals we eerder schreven over digitale soevereiniteit.

Data in je eigen serverruimte die je alleen met hulp van een vendor kunt openen, is kwetsbaar. Een back-up die je nooit echt hebt hersteld, is een stapel schijven. En een exitstrategie die beschrijft dat je weggaat maar zwijgt over hoe je daarna verder werkt, is een wens.

Er zit nog een diepere laag onder. De Belastingdienst wist niet betrouwbaar welke informatie wel of niet in M365 mocht, omdat de classificatie niet op orde was. Je kunt alleen beschermen wat je hebt geïnventariseerd, en alleen verplaatsen wat je hebt geclassificeerd. Wie zijn migratie start voordat de informatiehuishouding op orde is, migreert blind. Dat geldt voor een ministerie met 47.000 werkplekken en voor een bedrijf met veertig.

Wat dit betekent voor jouw organisatie

De verleiding is nu om de verkeerde conclusie te trekken. Weg uit Microsoft 365, terug naar eigen ijzer. Voor vrijwel elke organisatie in het MKB is dat onzin. Jouw risicoprofiel is een ander dan dat van de fiscus, en de vragen die hier fout gingen los je op met regie, niet met een verhuizing.

Vier vragen horen deze week op elke directietafel te liggen. Welke informatie in jouw organisatie is werkelijk gevoelig, en weet iedereen dat? Staat er een kopie van je data buiten de omgeving van je leverancier, in een vorm die je zelf kunt openen? Is die kopie ooit echt hersteld, of alleen gemaakt? En liggen de risico’s die je bewust accepteert ergens vast, met een handtekening eronder?

Die laatste vraag is sinds kort een bestuurskwestie. Onder de Cyberbeveiligingswet is de bestuurder persoonlijk aanspreekbaar op risicobeheer. Een restrisico dat niemand bewust heeft geaccepteerd, telt onder die wet als nalatigheid. Wat dat in de praktijk vraagt, beschreven we in aantoonbaar in control zijn.

De Belastingdienst kreeg deze vragen met een budget van 97,5 miljoen niet beantwoord. Het geld was er wel. De regie ontbrak. Dat is de echte les van deze week. Techniek volgt regie, nooit andersom. Benieuwd hoe jouw vier antwoorden eruitzien? We denken graag met je mee.