Die Rijksbreed-Cloudpolitik schärft die Anforderungen der Regierung

Quelle: Sander Hulsman am 2. September 2026

Die Regierung entscheidet sich für mehr Kontrolle über die Nutzung von Cloud-Diensten

Die Rijksbreed-Cloud-Politik verändert die Art und Weise, wie die niederländische Regierung mit Cloud-Diensten umgeht. Die neuen Regeln legen mehr Wert auf digitale Widerstandsfähigkeit, Kontrolle über Daten und die Verringerung der Abhängigkeit von großen Cloud-Anbietern.

Der Ministerrat hat am 3. Juli 2026 die Überarbeitung der bundesweiten Cloud-Politik beschlossen. Die Verschärfung folgt auf Untersuchungen zur aktuellen Cloud-Nutzung, veränderte geopolitische Bedingungen und Entwicklungen auf dem internationalen Cloud-Markt. Die Regierung möchte Raum für Innovationen schaffen, stellt gleichzeitig jedoch strengere Anforderungen an die Verarbeitung und Speicherung von Regierungsinformationen.

Der neue Ansatz gilt für die gesamte Bundesregierung, mit Ausnahme der Höchsten Staatsorgane und des Verteidigungsministeriums. Andere Regierungsorganisationen erhalten den Rat, die Richtlinien zu befolgen. Für bestehende Anwendungen, die den neuen Anforderungen noch nicht entsprechen, gilt eine Übergangsfrist von vier Jahren. Dies gibt den Organisationen Zeit, Migrationen sorgfältig durchzuführen und neue Entscheidungen in bestehende Pläne zu integrieren.

Verschärfung der Cloud-Politik richtet an die Regierung

Ein wichtiger Bestandteil der neuen Politik ist die verstärkte Aufmerksamkeit auf Risiken im Zusammenhang mit der Abhängigkeit von Lieferanten und ausländischen Jurisdiktionen. Die Regierung möchte verhindern, dass kritische digitale Prozesse zu abhängig von Parteien werden, die anderen Gesetzen unterliegen als niederländischen oder europäischen Vorschriften.

Deshalb müssen Organisationen beim Einsatz von physikalischen Cloud-Diensten nicht nur auf technische Leistung und Kosten achten, sondern auch auf strategische Risiken. Die Abhängigkeit von Anbietern, die Kontinuität der Dienstleistungen und die Kontrolle über Daten gewinnen in der Entscheidungsfindung ein höheres Gewicht.

Nicht nur Termine vereinbaren, sondern auch einen konkreten Ausstiegsplan erstellen

Auch die Anforderungen an Exit-Strategien werden ausgeweitet. Organisationen müssen künftig nicht nur Vereinbarungen zur Rückholung und Löschung von Daten treffen, sondern auch einen konkreten Exit-Plan erstellen. Dieser Plan muss sowohl einen geplanten Wechsel als auch Situationen berücksichtigen, in denen ein Cloud-Dienst plötzlich nicht verfügbar ist. Damit möchte die Regierung ein besseres Verständnis für die Folgen von Störungen gewinnen und die eigene digitale Widerstandsfähigkeit erhöhen.

Die Nutzung von Cloud-Ressourcen und die damit verbundenen Risikoanalysen müssen dem CIO des Staates gemeldet werden. Dieses zentrale Register hilft dabei, Entwicklungen und Risiken innerhalb der Regierung zu überwachen. Die letztendliche Verantwortung für die Risikoakzeptanz liegt beim betreffenden Entscheidungsträger oder Minister.

Die Exit-Strategie für die Nutzung von Cloud-Diensten gewinnt an Bedeutung

[Bild: Gerd Altmann | Pixabay]

Die überarbeitete Richtlinie beschränkt zudem die Nutzung von öffentlichem Cloud für spezifische Anwendungen. Öffentliche Cloud-Lösungen dürfen Daten nur noch innerhalb der Länder des Europäischen Wirtschaftsraums speichern und verarbeiten. Daten müssen verschlüsselt werden, es sei denn, es handelt sich um öffentliche Informationen.

Für das E-Mail- und Dokumentenmanagement wählt die Regierung einen strengeren Kurs. Neue Verarbeitungen in der öffentlichen Cloud werden abgeraten und bestehende Lösungen werden langfristig angepasst. Der Grund dafür ist, dass große Mengen an Regierungsinformationen zusammen ein Risiko darstellen können, auch wenn einzelne Dokumente keine hohe Klassifizierung haben. Darüber hinaus ist das E-Mail- und Dokumentenmanagement ein wesentlicher Bestandteil des täglichen Geschäftsbetriebs.

Auch die Nutzung öffentlicher Clouds für besondere personenbezogene Daten wird nicht empfohlen. Wenn Organisationen sich dennoch dafür entscheiden, müssen sie zusätzliche Techniken einsetzen, um die Privatsphäre zu schützen.

Die öffentliche Cloud erhält strengere Grenzen

Für staatsgeheime Informationen und schützenswerte Interessen ist die öffentliche Cloud nicht gestattet. Externe Anbieter müssen in solchen Fällen die Anforderungen der Allgemeinen Sicherheitsanforderungen der Bundesregierung 2026 erfüllen.

Gleichzeitig bleibt Raum für öffentliche Cloud-Lösungen bei Basisregistrierungen, beispielsweise wenn Skalierbarkeit oder Leistung dies verlangen. Die Quelldaten dürfen dabei nicht in öffentlichen Cloud-Umgebungen verwaltet werden. Damit behält die Regierung die Kontrolle über die wichtigsten Datenquellen.

Wichtiger Schritt hin zu einer resilienteren und souveräneren digitalen Verwaltung

Die Überprüfung steht im Einklang mit breiteren europäischen Entwicklungen im Bereich digitale Autonomie und Cloud-Infrastruktur. Die Regierung untersucht auch die Entwicklung einer umfassenden Cloud-Politik für Gemeinden, Provinzen und Wasserverbände. Durch mehr Zusammenarbeit und Standardisierung möchte die Niederlande eine stärkere digitale Grundlage schaffen.

Die kommenden Jahre stehen daher im Zeichen des Gleichgewichts. Die Regierung möchte von technologischen Innovationen profitieren, gleichzeitig aber die Kontrolle über Daten, Anbieter und digitale Kontinuität behalten. Die neue, landesweite Cloud-Politik stellt damit einen wichtigen Schritt in Richtung einer widerstandsfähigeren und souveräneren digitalen Regierung dar.

#PUTITON #Cybersicherheit #Datensouveränität #Digitale Governance # Europäische Cloud #Privatsphäre