Beleid · Rijksoverheid

Rijksbreed cloudbeleid: je moet kunnen aantonen dat je eruit kunt

Op 3 juli 2026 stelde de ministerraad het herziene rijksbrede cloudbeleid vast. Het is beleid en geen wet, maar voor de rijksoverheid is het bindend. En het bevat voor het eerst harde termijnen.

Voor wie het geldt

Het beleid geldt voor de hele rijksoverheid, met uitzondering van de Hoge Colleges van Staat en Defensie. Gemeenten, provincies en waterschappen vallen er nu nog niet onder, al wordt andere overheidsorganisaties aangeraden het beleid te volgen. En in dezelfde Kamerbrief kondigt de staatssecretaris aan met de medeoverheden te willen komen tot een overkoepelend overheidsbreed cloudbeleid, omdat de problematiek daar niet anders is.

Wat het vraagt

Voor bestaand cloudgebruik dat niet aan de nieuwe eisen voldoet geldt een overgangstermijn van vier jaar, tot medio 2030. Opslag en verwerking in de publieke cloud worden beperkt tot de Europese Economische Ruimte, met versleuteling. Voor e-mail en documentbeheer wordt de publieke cloud afgeraden: bestaande oplossingen worden gemigreerd.

Daarbovenop komt een verplichting die makkelijk over het hoofd wordt gezien. Per clouddienst moet er een exitplan zijn, niet alleen voor een geplande overstap maar ook voor het scenario dat een dienst plotseling wegvalt. Dat plan wordt gemeld bij CIO Rijk.

"Er zijn geen extra middelen beschikbaar gesteld."

De opdracht is er, het geld niet

Voor deze herziening komt er geen extra budget. Het moet binnen de bestaande begrotingen, en de brief erkent zelf dat de uitvoering daardoor langer kan duren en dat er keuzes gemaakt moeten worden. Dat is het patroon dat in dit onderzoek steeds terugkomt: het ligt zelden aan de techniek of aan het beleid, maar aan capaciteit, prioriteit en de vraag wie zich eigenaar voelt.

Wat je nu al kunt doen

Ook als je organisatie er formeel nog niet onder valt, heb je het inzicht sowieso nodig. Weet welke clouddiensten kritiek zijn, onder welke jurisdictie ze vallen, en wat er gebeurt als een ervan morgen niet meer beschikbaar is. Dat is precies wat de Cyberbeveiligingswet via de ketenzorgplicht al vraagt, en wat de Data Act je het recht geeft om te doen.

Bron: Kamerbrief Herziening Rijksbreed Cloudbeleid 2026 (26 643, nr. 1541, 3 juli 2026). Gecontroleerd op 22 september 2026. Dit is geen juridisch advies.

Lees de Kamerbrief