Een migratie kost maanden, raakt iedereen in de organisatie en lost alleen het probleem van vandaag op. Een exitplan maakt je wendbaar: als prijzen, beleid of de rechtsgrond voor doorgifte veranderen, weet je wat je moet doen en hoe lang het duurt. De Rijksoverheid verplicht zichzelf inmiddels tot zo'n plan voor belangrijke clouddiensten.
Begin met een lijst van je data per dienst: mail, bestanden, agenda, chat, en de systemen die erop draaien. Schrijf per onderdeel op in welk formaat je kunt exporteren, waar het naartoe kan en wat je verliest, zoals deelrechten of versiegeschiedenis. Leg vast wie het uitvoert en hoe lang het duurt. Vergeet identiteit niet, want als je identiteitsprovider bij dezelfde leverancier zit, gaat je login mee.
Een plan dat nooit getest is, is een aanname. Exporteer één keer een echte mailbox en een gedeelde map naar je beoogde alternatief en kijk wat er overkomt. Dat duurt een middag en vertelt je meer dan een offerte.
Sinds 12 september 2025 moet een cloudcontract volgens de Data Act overstappen regelen: hoogstens twee maanden opzegtermijn, een overgangsperiode van in principe 30 dagen waarin de dienst doorloopt, en daarna minstens 30 dagen om je data op te halen. Tot 12 januari 2027 mogen alleen kostendekkende overstapkosten worden gerekend, daarna geen. Kijk of je huidige contract dat al regelt, en vraag ernaar bij een verlenging.
Met een getest exitplan kun je de vraag of je weg moet rustig beantwoorden. Gebruik daarvoor de beslisboom, en lees bij hybride en exit hoe je alleen het gevoelige deel verplaatst.
]]>Met CSE versleutelt de browser of app de inhoud voordat die naar Google gaat. De sleutels staan bij een externe sleutelbeheerdienst die jij kiest, en de toegang tot die sleutels loopt via een identiteitsprovider die jij beheert. Google kan de inhoud niet ontsleutelen, dus ook niet afgeven aan een overheid.
| Dienst | Versleuteld | Niet versleuteld |
|---|---|---|
| Drive en Docs | Bestandsinhoud | Titel, eigenaar, wijzigingsdatum, labels |
| Gmail | Berichttekst en bijlagen | Onderwerp, ontvangers, tijdstippen |
| Agenda | Omschrijving en bijlagen | Titel, tijden, deelnemers |
| Meet | Audio, video en chat | Overige gegevens |
Wie met wie mailt en wanneer, blijft dus zichtbaar. Voor veel dreigingen is dat net zo gevoelig als de inhoud. Zet dus geen vertrouwelijke informatie in een onderwerpregel of bestandsnaam.
Versleutelde inhoud kan Google niet verwerken. Functies die de inhoud moeten lezen, werken daarom beperkt of niet. Op mobiel zijn versleutelde bestanden alleen te bekijken, en alleen voor andere formaten dan Google Docs. Exporteer je met de exporttool of Vault, dan heb je je eigen sleutels nodig om de data te lezen, zoals Google in de documentatie uitlegt. Je sleutelbeheer wordt dus een kritieke dienst: valt die uit, dan kan niemand bij de versleutelde bestanden.
CSE zit in Enterprise Plus, Frontline Plus en Education Standard en Plus. Je kunt het per organisatie-eenheid of groep aanzetten, dus je hoeft niet iedereen over te zetten. Dat past bij de praktijk: zet het in voor de kleine groep die met de zwaarste informatie werkt, en laat de rest van de organisatie gewoon samenwerken. Hoe dit zich verhoudt tot de opties van Microsoft, staat bij blijven met extra maatregelen.
]]>Het nieuwe beleid geldt voor Rijksoverheidsorganisaties. Defensie en de Hoge Colleges van Staat vallen erbuiten. Het strengste deel, publieke cloud onder niet-Europese wetgeving afraden voor kerntaken, geldt voor kritieke Rijksorganisaties. Voor e-mail en documentbeheer raadt het kabinet publieke cloud af omdat het die als nationaal belang ziet. Dat is een afweging voor de staat, met een dreigingsbeeld dat bij een staat hoort.
Het beleid zegt niet dat Microsoft 365 of Google Workspace onveilig of onrechtmatig is. Het zegt dat de overheid zelf niet afhankelijk wil zijn van leveranciers onder buitenlandse wetgeving. Geen enkele wet verplicht een bedrijf daartoe. Ook de Cyberbeveiligingswet vraagt risicobeheer, geen Europese leverancier.
Het beleid is een goede checklist. Weet waarom je een clouddienst gebruikt en welke risico's je accepteert. Maak een exitplan voor de diensten waar je niet zonder kunt. Kijk naar afhankelijkheid van één leverancier. Dat zijn drie dingen die je ook zonder verhuizing kunt doen, en die bij een klantvraag of audit direct van pas komen.
Lever je aan de Rijksoverheid, dan kun je deze eisen terugzien in aanbestedingen en verwerkersovereenkomsten. Rijksorganisaties krijgen vier jaar om bestaande diensten aan te passen, dus dat komt geleidelijk. Werk je in de zorg, dan is het advies van de AP een sterker signaal dan het Rijksbeleid. In alle andere gevallen begin je bij je eigen risico's, met de beslisboom.
]]>De wet voegde § 2713 toe aan de Stored Communications Act. Een aanbieder onder Amerikaanse rechtsmacht moet gegevens die hij in bezit, bewaring of beheer heeft verstrekken, ook als ze buiten de VS staan. Daarvoor is wel een bevel of dagvaarding in een strafrechtelijk onderzoek nodig, getoetst volgens de bestaande regels. Het is geen sleepnet.
Het criterium is beheer, niet locatie. Data in Amsterdam of Dublin valt er dus ook onder als Microsoft of Google erbij kan. Een EU-datacenter of de EU Data Boundary verandert dat niet. Wat wel helpt, is versleuteling waarvan de leverancier de sleutel niet heeft, zoals client-side encryption of Double Key Encryption. Dan kan de leverancier alleen versleutelde data afgeven.
Een buitenlands bevel is volgens artikel 48 AVG alleen een grondslag als er een verdrag onder ligt. De EDPB en EDPS stelden in 2019 dat een CLOUD Act-bevel op zichzelf niet volstaat. De aanbieder kan het bevel aanvechten, maar de speciale procedure daarvoor geldt alleen voor landen met een akkoord met de VS, en de EU heeft dat niet.
Voor een gemiddeld mkb-bedrijf is de kans klein dat een Amerikaanse officier van justitie juist zijn data wil hebben. De Amerikaanse leveranciers publiceren hoeveel verzoeken ze krijgen, zoals in het transparantieverslag van Google. Het wordt anders als je klanten of activiteiten hebt die voor Amerikaanse opsporing interessant zijn, als je zeer gevoelige data verwerkt, of als een klant contractueel uitsluit dat een buitenlandse overheid bij de data kan. Dan is de vraag niet waar je data staat, maar wie de sleutel heeft. Loop daarvoor de beslisboom door.
]]>