AcICT ziet fundamentele gebreken
De Belastingdienst is hard op de vingers getikt over de manier waarop Microsoft 365 (M365) wordt uitgerold. Dit mag niet in Azure of een andere publieke cloud. De huidige koers levert géén werkbare, veilige of toekomstbestendige digitale werkomgeving op.
Het Adviescollege ICT-toetsing (AcICT) heeft een vernietigend oordeel uitgesproken over het programma Modernisering kantoorautomatisering uitrol Microsoft 365. Dit programma biedt weliswaar moderne functionaliteit, maar schiet fundamenteel tekort. Zeker een organisatie met de schaal, taak en risico’s van de Belastingdienst kan zo niet doorgaan. Voor de grootste ict-organisatie van de rijksoverheid moet het advies van het AcICT een grote domper zijn.
Eerder startte de Belastingdienst een pilot waarbij zo’n zesduizend medewerkers van de Belastingdienst de nieuwe werkplek met M365 gebruiken. De organisatie moet dagelijks een backup van de M365-data maken, die wordt opgeslagen in het on-premises- datacenter van de Belastingdienst.
Geen geschikte werkomgeving
Het Adviescollege concludeert dat de aanpak van de Belastingdienst niet tot een geschikte werkomgeving leidt. Benader de ontwikkeling van de digitale werkomgeving radicaal anders, zo luidt het advies. De hoofdpunten:
- Draai de uitrol van M365 in de publieke cloud terug;
- Maak uiterlijk eind 2026 keuzes voor een groeipad naar een veilige, toekomstvaste werkomgeving;
- Richt een volwaardig programma in om goed te kunnen sturen op zo’n werkomgeving.
Staatssecretaris Eelco Eerenberg (fiscaliteit) meldt in een reactie dat de Belastingdienst, voordat verdere stappen worden genomen in de uitrol van M365, het on-premises-scenario gaat uitlopen. Daarbij draait de software op eigen servers van de Belastingdienst, of servers die door de Belastingdienst worden beheerd en gecontroleerd. Het programma voor M365 wordt in de pauzestand gezet. Nieuwe stappen worden niet meer gezet. Ook de Douane en de dienst Toeslagen krijgen met deze bevriezing te maken.
Eerenberg, die technische informatica en computerwetenschappen studeerde (beiden cum laude), heeft daar al medio juni toe besloten. De situatie rond de uitrol van M365 wordt opnieuw bekeken. De keuze voor M365 was in oktober 2025 de enige uitvoerbare en realistische optie voor de situatie waarin de Belastingdienst zich toen bevond, aldus de staatssecretaris.
‘In een jaar tijd kunnen de omstandigheden zoals beschikbare datacenter-capaciteit en marktaanbod veranderd zijn. Daardoor kunnen opties die eerder werden ingeschat als niet-haalbaar, nu wel mogelijk zijn.’
Geen zekerheid
Afgelopen maart peilde het Adviescollege het toen amper twee maanden daarvoor gestarte project voor de ontwikkeling van een backup-voorziening voor de M365-omgeving. Hiervoor wordt een geïntegreerde backup-oplossing van een Amerikaanse leverancier ingezet.
Het exit-plan waarvan de backup van M365-gebruikersdata als maatregel deel uitmaakt, is gebaseerd op een scenario waarbij de M365-dienstverlening plotseling wordt onderbroken, bijvoorbeeld door geopolitieke ontwikkelingen en/of sancties. De Auditdienst Rijk (ADR) acht de kans in een dergelijke situatie significant dat ook de dienstverlening van andere leveranciers zal stoppen. Het scenario gaat niet in op de gevolgen hiervan, terwijl de Belastingdienst impliciet wel aannames doet op dit gebied.
Ook de ondersteuning on-premises van de M365-backup-oplossing biedt geen zekerheid. Deze oplossing is in het datacenter van de Belastingdienst geplaatst. Beheerders hebben geen inzicht in de interne werking van de oplossing en deze functioneert daarmee als een ‘black box’. Herstel van data is alleen mogelijk via de standaard-interfaces van de oplossing. Als deze interfaces uitvallen, is de Belastingdienst afhankelijk van de ondersteuning door externe leveranciers. In een exit-scenario is het echter onzeker of deze ondersteuning beschikbaar blijft, waardoor herstel van data mogelijk niet kan plaatsvinden.
Softwarefouten
De Belastingdienst heeft bij het testen van de backup-oplossing verschillende softwarefouten gevonden die deels invloed hebben op de volledigheid van de backup en het herstel. Zelf heeft de Belastingdienst de indruk in Nederland de ‘launching customer’ te zijn voor de backup-oplossing op het gebied van het on-premises-herstel van M365-data en hiervoor zelfs wereldwijd een van de eerste te zijn.
Volgens het Adviescollege bestaat hierdoor een verhoogd risico dat de Belastingdienst bij uitbreiding naar meer M365-gebruikers tegen nieuwe softwarefouten of andere functionele problemen aanloopt, wat kan leiden tot niet herstelbare backups. Verder ontbreekt een end-to-end controle om vast te stellen of een M365-backup volledig is. Hierdoor bestaat het risico dat afwijkingen pas bij herstel aan het licht komen.
De informatiebeveiliging blijkt onvoldoende geborgd – zowel qua vertrouwelijkheid als beschikbaarheid. De omgeving ondersteunt niet alle vormen van informatieverwerking en is bovendien niet toekomstvast. Door te kiezen voor één allesomvattende oplossing zonder realistische exitstrategie manoeuvreert de Belastingdienst zichzelf in een vendor lock‑in, met grotere concentratierisico’s en minder flexibiliteit en digitale soevereiniteit, aldus AcICT.
Goed advies van de AcICT maar tegelijkertijd een open deur intrappen.
Hoe kan het dat de ambtenarij een ongeteste back-up en herstel dienst afneemt van een Amerikaanse leverancier waarvan niet eens duidelijk is of deze werkt? Het antwoord is gewoon incompetentie en “ik zit hier alleen maar voor de koffie” mentaliteit.
Als Microsoft zijn diensten staakt kan je de back-up überhaupt nergens herstellen. Het bedrijf dat de herstel dienst levert gaat ook geen back-ups herstellen vanwege de sancties.
Er zit een wezenlijk verschil tussen back-up en continuïteit van de dienstverlening. Een back-up is primair bedoeld om technische uitval of dataverlies op te vangen. De huidige geopolitieke ontwikkelingen laten echter een ander risico zien. De mogelijkheid dat cruciale diensten of leveranciers van de ene op de andere dag niet langer beschikbaar zijn. Dat vraagt om een andere vorm van risicomanagement.
Dat eerdere alternatieven nu ineens als haalbaar worden gepresenteerd is daarom een merkwaardige redenering. Die alternatieven bestonden immers al, maar werden jarenlang niet serieus meegenomen in de afweging. Plan B ontstaat niet opeens, het is een bewuste keuze om afhankelijkheden wel of niet te beperken. Want de ‘black box’ beperkt zich niet tot de Belastingdienst. Binnen een groot deel van de overheid is de afhankelijkheid van gesloten platformen en gestandaardiseerde interfaces zo groot geworden dat leverancierskennis steeds vaker de plaats inneemt van eigen architectuurkennis. Licenties geven daarmee niet alleen toegang tot software, maar ook tot een ecosysteem waarin de leverancier in belangrijke mate de richting bepaalt.
Juist daarom is de grootste uitdaging niet technisch maar organisatorisch. Continuïteit van dienstverlening vraagt uiteindelijk om mensen, kennis en processen. Want de beheerders moeten nieuwe platformen leren beheersen, architecturen moeten opnieuw worden beoordeeld en organisaties moeten weer voldoende eigen expertise opbouwen om leveranciers kritisch te kunnen uitdagen. Overigens is niet Nederland de ‘launching customer’ maar de Belastingdienst want de recente pauze in de uitrol van Microsoft 365 in de publieke cloud onderstreept vooral hoe groot de organisatorische afhankelijkheid van leveranciers kan worden wanneer een organisatie onvoldoende ruimte heeft behouden voor een zelfstandig afwegingskader. Of was het gewoon de ‘risk apetite’ om voor de muziek uit te willen lopen?