Begin oktober hebben we kunnen lezen dat De Belastingdienst, Douane en Toeslagen definitief de stekker uit hun Microsoft 365-cloud migratie heeft getrokken. Dinsdag 6 oktober, kondigde staatssecretaris Eerenberg aan dat e-mail en agenda in 2027 volledig terug naar eigen servers gaan, gevolgd door Europese open source-oplossingen voor opslag en samenwerking in 2027-2028. Dit zijn heldere stappen in de goede richting waarop het nieuwe kabinet een koerswijziging doorvoert ten opzichte van het vorige kabinet.
Een onomwonden advies
Deze koerswijziging volgt op het advies van het Adviescollege ICT-toetsing (AcICT) in juni over de overstap van de Belastingdienst naar Microsoft 365 in de publieke cloud. Het oordeel was onomwonden: de gekozen oplossing is niet geschikt en de uitrol moet worden teruggedraaid. Vertrouwelijke documenten werden onversleuteld opgeslagen, gevoelige stukken liepen via Amerikaanse servers en een werkbare exitstrategie ontbrak volledig. Ook het vangnet deugde niet. De back-up schoot volgens het AcICT ernstig tekort, versleutelde bijlagen waren zonder M365 niet te herstellen en bij problemen bleef de Belastingdienst afhankelijk van de Amerikaanse leverancier. Daarbij had het programma geen zicht op de totale uitgaven, geen meetbare baten en geen onderbouwde businesscase en was een aanbesteding niet voorzien omdat de licenties al waren aangeschaft.
‘Geen alternatief’ bleek niet onderbouwd
Microsoft in de publieke cloud gold als de enige haalbare route, maar de werkbaarheid en veiligheid ervan waren nooit aangetoond. Het scenario waarin mail en documenten op eigen servers blijven, werd afgeschreven vanwege de stroomcapaciteit van het eigen datacenter, zonder dat dat was onderbouwd. Dat roept de vraag op of er ooit een echte afweging is gemaakt.
Daar zit de les voor de hele overheid. Het AcICT benadrukt dat de Belastingdienst niet alleen staat en vraagt om eenduidig overheidsbeleid en centrale regie voor cloudwerkomgevingen. “Geen alternatief” is een conclusie die je moet onderbouwen, geen vertrekpunt.
Tussenstap, geen eindstation
De terugkeer naar eigen servers is een logische eerste correctie. Data komt weer onder eigen beheer en dat maakt een latere overstap eenvoudiger. Maar de software blijft van een Amerikaanse leverancier, en daarmee blijven licenties, updates en ondersteuning afhankelijk van een partij buiten Europese jurisdictie. Die licentiekosten waren volgens het AcICT niet eens in het budget meegenomen.
De hamvraag is of de stap naar open source er echt komt. Er is nog geen roadmap, geen leveranciersselectie en geen businesscase, terwijl het AcICT vraagt om uiterlijk eind 2026 keuzes te maken. Daarbij hoort een open aanbesteding waarin Nederlandse en Europese aanbieders op kwaliteit, betrouwbaarheid en nabijheid kunnen meedingen. Open source is pas echt soeverein als ook hosting, beheer en ondersteuning dat zijn.
De staatssecretaris heeft ingegrepen waar dat nodig was en dat verdient waardering.
Maar het werk begint nu pas echt.
