Holenderska Rada Ministrów zatwierdziła dzisiaj zmianę polityki rządowej dotyczącej chmury obliczeniowej.

W skrócie: usługi w chmurze oferują organizacjom rządowym wiele korzyści, ale wiążą się również z pewnymi zagrożeniami. Stąd aby ograniczyć te zagrożenia, organizacje rządowe muszą opracować strategię dotyczącą chmury, przeprowadzić rzetelną ocenę ryzyka oraz przygotować plan awaryjny, jeśli zamierzają korzystać z publicznej usługi w chmurze. W ramach strategii chmury należy uwzględnić ryzyko geopolityczne oraz potencjalną dużą zależność od jednego dostawcy.  Plan awaryjny przewiduje środki zapewniające kontynuację świadczenia usług w przypadku awarii usługi w chmurze.  W przypadku poczty elektronicznej i zarządzania dokumentami odradza się korzystanie z publicznych usług w chmurze. Również dane źródłowe z rejestrów podstawowych nie mogą być przechowywane w chmurze publicznej. Ponadto w przypadku podmiotów o znaczeniu krytycznym i kluczowym odradza się korzystanie z usług dostawców podlegających przepisom prawnym spoza UE lub EOG w zakresie realizacji ich podstawowych zadań. Założono też cel: minimum 30% dla podmiotów z Europy i Holandii.

Klika punktów z polityki:

1. Zmiana paradygmatu: Od cloud-first do sovereignty-first

Nowa polityka zastępuje przestarzałe wytyczne z 2022 roku. Kluczowym motorem zmian nie jest już tylko optymalizacja kosztów czy elastyczność IT, ale geopolityka. Holenderski rząd otwarcie przyznaje, że istnieje ryzyko monopolu dostawców, co prowadzi do niebezpiecznej zależności od wąskiej grupy firm (głównie amerykańskich). Dane państwowe mogą stać się narzędziem nacisku (geopolitycznym drukmiddel) lub być przedmiotem sankcji. Należy ograniczyć dostęp podmiotów spoza UE/EOG do kluczowych procesów państwowych.

2. Wykluczanie i ograniczenia (Restrykcje)

Rząd przechodzi od zaleceń do twardych wytycznych, które w praktyce wymuszają migrację z chmur publicznych dla określonych typów danych:

• poczta elektroniczna i zarządzanie dokumentami: choć użyto sformułowania “odradza się” (afgeraden), w dokumencie postawiono wymóg migracji z istniejących rozwiązań chmury publicznej w ramach okresu przejściowego. Rząd uznaje, że kombinacja treści i wolumenu tych danych stanowi istotne ryzyko strategiczne.
• Rejestry podstawowe (Basisregistraties): wprowadzono zakaz przechowywania “danych źródłowych” (brondata) w chmurze publicznej. Chmura może służyć jedynie do poprawy wydajności (performance) lub skalowalności, ale kontrola nad danymi źródłowymi musi pozostać po stronie państwa.
• Podmioty krytyczne i istotne (Wwke/Cbw): dla organizacji o znaczeniu krytycznym dla państwa (infrastruktura, bezpieczeństwo) “odradza się” korzystanie z dostawców podlegających jurysdykcjom spoza UE/EOG w zakresie realizacji zadań podstawowych.
• Dane wrażliwe i specjalne: przetwarzanie szczególnych danych osobowych (bijzondere persoonsgegevens) w chmurze publicznej jest odradzane, a jeśli jest konieczne, wymagane jest stosowanie technologii zwiększających prywatność (PET – Privacy Enhancing Technologies).

3. Sukcesja suwerennej chmury: Szansa dla krajowego rynku

Bardzo interesującym wnioskiem jest sposób, w jaki rząd zaplanował okres przejściowy (4 lata). To swoiste strategiczne okno czasowe dla lokalnego rynku IT. Rząd otwarcie przyznaje, że okres przejściowy ma dać czas rynkowi (w tym dostawcom chmur suwerennych) na przygotowanie i dostarczenie odpowiednich rozwiązań. Widać wyraźne powiązanie między polityką rządu a oczekiwaniem na powstanie suwerennej chmury. Rząd zakłada, że do 2029 roku co najmniej 30% usług chmurowych ma pochodzić od dostawców z Holandii/Europy. Zatem celem polityki  jest też zmiana struktury rynku.

4. Profesjonalizacja “Exit Strategy” (Noodplan)

Rząd przestaje traktować wyjście z chmury (exit) jako teoretyczną możliwość.

• Wprowadzono obowiązek tworzenia szczegółowego planu wyjścia (exit-plan), który musi uwzględniać dwa scenariusze: planowe zakończenie umowy oraz nagłą, nieprzewidzianą awarię lub niedostępność usługi (noodplan).
• Organizacje muszą teraz udowodnić, że w razie odcięcia od chmury publicznej, będą w stanie dalej realizować swoje ustawowe zadania. Jest to bezpośrednie odniesienie do raportu „Van kwetsbaar naar weerbaar” (Od wrażliwych do odpornych).

5. Główne ryzyka i wnioski dla organizacji

1. Koniec “Cloud-Tenzij”: rząd przestrzega przed generowaniem polityki “cloud-tenzij” (chmura, chyba że…) bez należytej analizy architektury. “Lift-and-shift” bez odpowiedniego projektowania jest wprost krytykowany jako tworzenie nowych ryzyk zamiast rozwiązywania problemów.
2. Odpowiedzialność osobista: mimo centralizacji monitoringu (wszystko musi być zgłaszane do CIO Rijk), finalna odpowiedzialność za akceptację ryzyka pozostaje po stronie konkretnego ministra lub zarządcy organizacji.
3. Brak budżetu: Co istotne, rząd zaznacza, że nie ma dodatkowych środków na tę transformację. Wszystko musi zostać sfinansowane z istniejących budżetów na IT, co wymusi ostrą priorytetyzację i trudne wybory inwestycyjne.

Raport Van kwetsbaar naar weerbaar z grudnia 2025 roku

Wspomniany w rewizji polityki chmurowej raport „Van kwetsbaar naar weerbaar” (w tłumaczeniu: Od wrażliwych do odpornych) to niezwykle ważny, strategiczny dokument przygotowany przez Cyber Security Raad (CSR) – czyli Holenderską Radę Bezpieczeństwa Cybernetycznego.

Raport ten stał się kamieniem milowym w debacie o bezpieczeństwie narodowym i bezpośrednio wpłynął na to, jak holenderski rząd patrzy dziś na chmurę obliczeniową. To kompleksowa, niezależna analiza stanu cyberbezpieczeństwa i odporności cyfrowej Holandii, przygotowana na zlecenie rządu przez czołowych ekspertów ds. bezpieczeństwa, przedstawicieli biznesu oraz nauki. Jego głównym celem było zbadanie, jak bardzo holenderskie społeczeństwo, gospodarka i administracja publiczna są podatne na paraliż cyfrowy oraz wskazanie, co należy zrobić, aby tę podatność drastycznie zmniejszyć.

Raport stawia bardzo twardą diagnozę: Holandia stała się krajem cyfrowo “wygodnym”, ale przez to skrajnie wrażliwym (kwetsbaar).

Eksperci CSR zwrócili uwagę, że administracja państwowa i kluczowe sektory gospodarki zaczęły masowo przenosić swoje procesy do chmury publicznej, zakładając, że wielcy amerykańscy dostawcy (tzw. hyperscalers) gwarantują 100% niezawodności. Raport obala ten mit i wskazuje na dwa fundamentalne zagrożenia:

• Zagrożenie techniczne (Blackout chmurowy): co się stanie, jeśli z powodu błędu w konfiguracji, ataku państwa trzeciego (np. Rosji czy Chin) lub awarii kabli oceanicznych chmura publiczna danego giganta przestanie działać na 48 godzin? Raport wykazał, że państwo nie ma na to planu B, a kluczowe urzędy przestałyby funkcjonować.

• Zagrożenie geopolityczne (Odcięcie chmury): w obliczu konfliktów międzynarodowych, zagraniczny dostawca chmury (lub rząd, pod którego jurysdykcją się znajduje) może z dnia na dzień zablokować dostęp do usług w ramach sankcji lub nacisku politycznego.

W raporcie wezwano rząd do natychmiastowego porzucenia naiwnego podejścia i przejścia do budowy odporności (weerbaarheid). Jedną z głównych rekomendacji było wprowadzenie zasady, że każda kluczowa instytucja państwowa musi być cyfrowo samowystarczalna w sytuacjach kryzysowych.

To właśnie dlatego nowa polityka chmurowa z lipca 2026 r. bezpośrednio wdraża te zalecenia, wprowadzając obowiązek posiadania tzw. noodplan (planu awaryjnego). Urzędnicy nie mogą już tylko podpisać umowy z dostawcą i zapomnieć o problemie. Muszą czarno na białym udowodnić i przetestować procedury pokazujące, że jeśli chmura publiczna zniknie, ich urząd (np. system podatkowy, rejestr obywateli czy poczta rządowa) będzie w stanie działać dalej, korzystając z lokalnych kopii zapasowych lub alternatywnej, suwerennej infrastruktury.

Przypomnę też o ich sojuszu. W Holandii powstał sojusz firm i organizacji stawiających na otwartą chmurę i suwerenność technologiczną