De overstap naar M365 van de Belastingdienst is volgens staatssecretaris Heijnen de
enige uitvoerbare optie in de huidige situatie. Dit schrijft de staatssecretaris in
antwoord op Kamervragen naar aanleiding van de Kamerbrief ‘Overstap kantoorautomatisering naar M365’. Afhankelijkheid, alternatieven en autonomie De overstap vergroot de afhankelijkheid van de Verenigde Staten, maar volgens de staatssecretaris
bestaat die afhankelijkheid ook bij andere, inclusief on‑premises, oplossingen. Er
is geen uitgebreide verkenning van Europese alternatieven gedaan in 2021; nu wordt
geconcludeerd dat er op korte termijn geen passend Europees alternatief beschikbaar
is en dat een eventuele migratie twee à drie jaar zou kosten, met blijvend productiviteitsverlies
in de tussentijd. De Belastingdienst volgt initiatieven rond Europese en soevereine
oplossingen, zoals het open‑sourceplatform ‘Mijn Bureau’en verkenningen voor een rijksbrede
soevereine cloud, maar kan nog geen termijn voor overstap noemen. Strategische autonomie en risicobeheersing De primaire systemen voor heffing, inning en opsporing blijven in de eigen datacenters;
de migratie ziet alleen op kantoorautomatisering (o.a. Outlook, Teams, OneDrive en
bijbehorende beheer- en beveiligingssoftware). Volgens de staatssecretaris kunnen
met M365 hogere beveiligingsniveaus en betere databeheersmaatregelen (zoals data‑loss‑prevention
en afgesloten USB‑poorten) worden gerealiseerd, waarmee het risico op datalekken door
kwaadwillenden afneemt, al kan dat risico nooit tot nul worden gereduceerd. Gevoelige
informatie kan desgewenst on‑premises of via beveiligde file‑transferdiensten worden
uitgewisseld. CLOUD Act, risicoafweging en exitstrategie De regering erkent dat Amerikaanse wetten zoals de CLOUD Act in theorie toegang kunnen
geven tot Europese (persoons)gegevens, ook wanneer data in de EU worden opgeslagen.
Op basis van DPIA’s, DTIA’s, contractafspraken via SLM Rijk en externe juridische
analyse wordt het praktische risico echter als zeer klein ingeschat, mits een zorgvuldige
risicoafweging plaatsvindt en geen staatsgeheime gegevens in de cloud komen. Er is
een exitstrategie uitgewerkt met een scenario voor gepland vertrek (met negen maanden
migratietijd) en voor acuut vertrek bij geopolitieke noodzaak; documentatie hierover
wordt vertrouwelijk aan de Kamer verstrekt. Bron: MvF 01-12-2025, Antwoorden op Kamervragen over overstap kantoorautomatisering naar M365 (Kathmann
(GroenLinks-PvdA) en Six Dijkstra (NSC)) en Antwoorden op Kamervragen over overstap kantoorautomatisering naar M365 (Van der Werf
(D66))
Het risico dat de Amerikaanse overheid via de CLOUD Act toegang krijgt tot Nederlandse
overheidsdata wordt als zeer klein ingeschat en wordt verder beperkt door afspraken
in het rijksbrede contract, zoals opslag in de EER, encryptie en de contractuele plicht
van Microsoft om zich tegen dataverzoeken te verzetten.
De Belastingdienst verving sinds 2021 de werkplekken (ongeveer 40.000) en richtte
deze in op basis van de toenmalige marktstandaard Windows 11 en M365. Omdat M365 nog
niet is geïmplementeerd, werken medewerkers nu via allerlei ‘workarounds’ in een
oude, inefficiënte omgeving, wat tot structureel productiviteitsverlies leidt. De
overstap naar de cloud is getemporiseerd vanwege geopolitieke en maatschappelijke
zorgen, waarna verschillende scenario’s zijn afgewogen; terugdraaien blijkt praktisch
niet realistisch.