Vragen van het lid Kathmann (PRO) aan de Staatssecretarissen van Economische Zaken en Klimaat en van Binnenlandse Zaken en Koninkrijksrelaties over het herziene rijksbrede cloudbeleid 2026 (ingezonden 16 juli 2026).

Vraag 1

Is het duidelijk voor alle relevante rijksorganisaties wat de gevolgen zijn van het herziene cloudbeleid? (Kamerstuk 26 643, nr. 1541) Kunt u aangeven of er organisaties zijn die bij voorbaat aangeven niet aan het herziene beleid te kunnen of zullen voldoen?

Vraag 2

Hebben rijksorganisaties voldoende beeld op hun eigen cloudgebruik om de herziene regels effectief na te leven? Op welke delen van het cloudlandschap van de overheid ontbreekt er nog overzicht?

Vraag 3

Welke rol krijgt de veelbelovende Nederlandse Digitale Dienst om zeker te stellen dat alle rijksorganisaties aan het herziene cloudbeleid kunnen en zullen voldoen? Bent u bereid de organisatie hiertoe de nodige capaciteit en instrumenten te geven?

Vraag 4

Kunt u een schematisch overzicht geven van maatregelen die ook overwogen zijn voor het herziene cloudbeleid, met een onderbouwing waarom deze uiteindelijk niet zijn opgenomen?

Vraag 5

Welke concrete doelen heeft het kabinet om digitaal onafhankelijk te worden? Wordt het doel vastgesteld op 30% digitaal onafhankelijk per 2029, zoals gevraagd in de motie-Thijssen/Bruyning (Kamerstuk 36 574, nr. 5) en de initiatiefnota Wolken aan de Horizon (Kamerstuk 36 574, nr. 2)?

Vraag 6

Hoeveel digitaal onafhankelijker wordt de Rijksoverheid door het herziene cloudbeleid in de komende jaren? Wordt het doel van 30% in 2029 gehaald?

Vraag 7

Kunt u heel concreet uitleggen welke rol u heeft, als coördinerend Staatssecretaris (EZK) en als Staatssecretaris verantwoordelijk voor uitvoeringsdiensten (BZK), om dit beleid te handhaven?

Vraag 8

Welke instrumenten heeft u om het herziene cloudbeleid daadwerkelijk uit te voeren? Met hoeveel zekerheid kunt u zeggen dat dit beleid zal leiden tot een digitaal onafhankelijke Rijksoverheid?

Vraag 9

Heeft u overwogen om het coördinatiebesluit, waarin de bevoegdheden van bewindspersonen zijn vastgelegd, uit te breiden zodat u dwingender kan optreden om het herziene cloudbeleid uit te voeren? Waarom heeft u dit niet gedaan, cf. de motie-Six Dijkstra (Kamerstuk 26 643, nr. 1294)?

Vraag 10

Waarom is er, ondanks de hoge ambities in het coalitieakkoord, geen budget beschikbaar gesteld voor de herziening van het cloudbeleid?

Vraag 11

Wat bedoelt u met de «scherpe keuzes» en «herprioritering» die nodig zijn omdat het kabinet geen middelen reserveert voor haar eigen digitale ambities?

Vraag 12

Met welke investeringen zou het herziene cloudbeleid sneller en effectiever toegepast kunnen worden? Hoe kan voorkomen worden dat door «scherpe keuzes» en «herprioritering» geen vaart wordt gemaakt met de nodige maatregelen om digitaal onafhankelijk te worden?

Vraag 13

Kunt u de overgangstermijn van vier jaar onderbouwen? In welke gevallen wordt hier van afgeweken? Hoe voorkomt u dat migraties van bestaand cloudgebruik allemaal vertraagd worden wegens «hoge kosten of risico’s»?

Vraag 14

Wat bedoelt u ermee dat het «afgeraden» wordt om e-mail- en documentbeheer in de publieke cloud te zetten? Betekent dit dat binnen vier jaar alle mailservers en documentbeheer daadwerkelijk uit de publieke cloud worden gehaald?

Vraag 15

Welke aanpassingen in het IT-inkoopbeleid zijn nodig om het herziene cloudbeleid verder te ondersteunen? Heeft u plannen om het inkoopbeleid aan te scherpen, en zo ja, welke?1

Vraag 16

Waarom wordt een generiek cloud-tenzij beleid enkel «afgeraden»? Waarom formuleert u dit niet dwingender?

Vraag 17

Hoe wordt er op toegezien dat rijksorganisaties binnen 12 maanden een exitplan opstellen voor bestaand cloudgebruik?2 Bent u van plan dit per organisatie te monitoren en met de Kamer te delen? Welke gevolgen zijn er als een organisatie niet op tijd een exitplan aanlevert?

Vraag 18

Worden organisaties verplicht om opvolging te geven aan de «aanwijzingen» van de Chief Information Security Officer (CISO) Rijk, als blijkt dat aangeleverde cloudplannen, de risicoanalyse en/of het exitplan niet in lijn zijn met het beleid?

Vraag 19

Waarom is er niet voor gekozen om de CISO Rijk of de Staatssecretaris belast met Digitale Zaken de bevoegdheid te geven om cloudplannen, de risicoanalyse en/of het exitplan als geheel af te wijzen, als deze niet voldoen aan het herziene cloudbeleid?

Vraag 20

Hoe verwacht u dat rijksorganisaties de «geopolitieke risico’s» van cloudgebruik in hun risicoanalyse in kaart brengen? Welke criteria worden hiervoor gebruikt?

Vraag 21

Hoe bent u van plan aan de Kamer te rapporteren over de opgestelde risicoanalyses en exitplannen van rijksorganisaties?

Vraag 22

Wat bedoelt u met het gegeven dat overheidsdocumenten en mailberichten «bij voorkeur» niet in de publieke cloud worden ondergebracht? Waarom bent u hier niet dwingender in, gezien de gevoeligheid van deze gegevens en de erkende risico’s van de publieke cloud?

Vraag 23

Kunt u concreet maken wanneer aan de drie uitzonderingsgronden is voldaan om tóch mailverkeer en documenten in de publieke cloud te mogen houden? Na hoeveel tijd wordt bezien of deze uitzonderingsgronden nog steeds gelden?

Vraag 24

Wat bedoelt u met het gegeven dat het sleutelbeheer van versleutelde vertrouwelijke gegevens «bij voorkeur» niet bij de cloudleverancier wordt neergelegd? Waarom belegt u het niet per definitie in eigen beheer?

Vraag 25

Onder welke voorwaarden is het volgens u acceptabel om bijzondere persoonsgegevens alsnog in de publieke cloud te verwerken? Hoe wordt vastgesteld dat de mitigerende maatregelen afdoende zijn?

Vraag 26

Wat bedoelt u ermee dat het rijksbrede cloudbeleid «waar mogelijk» toegepast zal worden bij uitgezonderde organisaties? Worden de uitgezonderde organisaties wel geacht om hun eigen cloudbeleid aan te scherpen?

Vraag 27

Kunt u «kleinschalige doelen» noemen waarvoor het rijksbrede cloudbeleid een uitzondering zou maken? Hoe en door wie wordt bepaald of iets wel of niet uitgezonderd wordt?

Vraag 28

Kunt u deze vragen afzonderlijk en vooraf aan het commissiedebat «Digitaliserende overheid en toezicht» van 30 september 2026 beantwoorden?

X Noot
1

In voetnoot 5 van de Herziening rijksbreed cloudbeleid: «Leveranciersafhankelijkheid is een risico dat niet alleen bij cloud voorkomt maar bij elke technologie keuze een rol speelt. […] Dit zal in het inkoopbeleid verder uitgewerkt moeten worden.» (p.5)

X Noot
2

Dit wordt gesteld in voetnoot 12 van de Herziening rijksbreed cloudbeleid.

X Noot
1

In voetnoot 5 van de Herziening rijksbreed cloudbeleid: «Leveranciersafhankelijkheid is een risico dat niet alleen bij cloud voorkomt maar bij elke technologie keuze een rol speelt. […] Dit zal in het inkoopbeleid verder uitgewerkt moeten worden.» (p.5)

X Noot
2

Dit wordt gesteld in voetnoot 12 van de Herziening rijksbreed cloudbeleid.

Naar boven