Rijkscloudbeleid als wake-upcall: heb je grip op je kernprocessen?
Het aangescherpte Rijkscloudbeleid van 3 juli 2026 is meer dan een IT-onderwerp. De belangrijkste vraag is niet welke cloudleverancier je gebruikt, maar of je kunt aantonen dat je organisatie blijft functioneren als een cruciale digitale dienst tijdelijk niet beschikbaar is. Weet je welke processen direct stilvallen? Welke gegevens essentieel zijn? Welke leveranciers kritisch zijn? En hoe je de continuïteit van je dienstverlening borgt? Voor rijksorganisaties zijn deze vragen nu expliciet onderdeel van het cloudbeleid. Ook voor gemeenten, onderwijsinstellingen, zorgorganisaties en andere (semi)publieke organisaties worden ze steeds relevanter. Niet omdat hetzelfde beleid voor iedereen geldt, maar omdat bestuurders steeds vaker moeten laten zien dat zij grip hebben op data, leveranciers, kernprocessen en continuïteit.
Van cloudstrategie naar bestuurlijke verantwoording
De grootste verandering zit niet in de vraag óf je gebruikmaakt van de cloud. Die keuze is voor veel organisaties allang gemaakt. De verandering zit in de onderbouwing. Organisaties moeten steeds beter kunnen uitleggen waarom een clouddienst past bij hun dienstverlening, welke risico's daarbij horen en hoe die risico's worden beheerst. Het Rijkscloudbeleid benoemt daarbij expliciet onderwerpen als geopolitieke ontwikkelingen, afhankelijkheid van één leverancier en wetgeving buiten de Europese Unie of de Europese Economische Ruimte (EER).
Die ontwikkeling sluit aan bij de Cyberbeveiligingswet, die op 15 augustus 2026 in werking treedt voor organisaties die onder de wet vallen. De wet introduceert onder meer een zorgplicht, registratieplicht en meldplicht. De rode draad is duidelijk: organisaties moeten risico's kennen, passende maatregelen nemen én kunnen aantonen dat zij hun digitale weerbaarheid beheersen. Bestuurlijke verantwoordelijkheid draait daarmee steeds vaker om bewijsvoering. Niet alleen vertellen dat risico's zijn afgewogen, maar ook laten zien hoe de organisatie daarop is ingericht.
Continuïteit gaat over processen, niet alleen over data
Het Rijkscloudbeleid vraagt voor belangrijke clouddiensten ook om een exitplan. Dat klinkt als een technische of contractuele verplichting, maar voor bestuurders draait het vooral om een andere vraag: Welke processen moeten morgen gewoon doorgaan als een digitale dienst uitvalt?
Neem HRM& Payroll. Bij een verstoring gaat het niet alleen om personeelsgegevens. Salarissen moeten worden verwerkt, declaraties afgehandeld, verlof geregistreerd en autorisaties beheerd. Loonstroken, journaalposten en managementrapportages moeten beschikbaar blijven. Als dat niet lukt, ontstaat niet alleen een IT-probleem, maar raakt het de dagelijkse bedrijfsvoering.
Voor Finance geldt hetzelfde. Facturatie, betaalbestanden, crediteuren, debiteuren, auditinformatie en de maandafsluiting zijn allemaal afhankelijk van goed functionerende systemen.
Bij CRM en workflowmanagement raken verstoringen klantinformatie, dossiers, taken, signaleringen en besluitvorming. Daarom is continuïteit geen exclusieve verantwoordelijkheid van IT. Ook HR, Finance, Inkoop, Privacy, Security, Compliance en proceseigenaren spelen een cruciale rol. Zij weten welke werkzaamheden niet mogen stilvallen, welke rapportages wettelijk of bestuurlijk noodzakelijk zijn en welke uitzonderingen binnen processen kritisch zijn.
Webinar: Digitale soevereiniteit
Ontdek hoe wij digitale soevereiniteit realiseren en continuïteit, controle en compliance waarborgen. Ben jij erbij?
De grootste afhankelijkheid zit vaak in je eigen inrichting
Wanneer organisaties nadenken over leveranciersafhankelijkheid, kijken ze vaak als eerste naar de softwareleverancier. Daarbij is het uiteraard van belang om kritisch te kijken naar de digitale soevereiniteit van die leverancier. In hoeverre is de dienstverlening afhankelijk van buitenlandse wet- en regelgeving, geopolitieke ontwikkelingen of de invloed van partijen buiten Europa, zoals de Verenigde Staten? Die afweging wordt steeds belangrijker.
In de praktijk zit de grootste afhankelijkheid regelmatig óók ergens anders. Niet in het contract of uitsluitend bij de leverancier, maar in de manier waarop processen zijn ingericht.
Autorisaties, workflows, koppelingen, rapportages, uitzonderingen, templates, auditsporen en specialistische kennis van medewerkers bepalen vaak hoe afhankelijk een organisatie werkelijk is. Als die inrichting onvoldoende is gedocumenteerd of slechts door enkele mensen wordt begrepen, ontstaat een risico dat bestuurders lang niet altijd volledig in beeld hebben.
Een organisatie die kiest voor een soevereine leverancier, maar haar eigen processen niet beheerst, blijft kwetsbaar. Echte digitale soevereiniteit vraagt daarom om beide: een leverancier die niet afhankelijk is van bijvoorbeeld Amerikaanse wetgeving én een organisatie die haar eigen inrichting, kennis en processen aantoonbaar onder controle heeft.
Digitale soevereiniteit is daarom uiteindelijk een vraagstuk van bedrijfsvoering. Niet omdat bestuurders alle technische details moeten kennen, maar omdat zij moeten kunnen vertrouwen op een organisatie die aantoonbaar in control is.
Vragen als deze worden daarbij steeds belangrijker:
- Waar bevindt onze data zich?
- Welke leveranciers zijn bedrijfskritisch?
- Welke leveranciers zijn afhankelijk van buitenlandse wet- en regelgeving?
- Welke wet- en regelgeving raakt onze keten?
- Welke processen vallen stil bij een verstoring?
- Hoe tonen we aan dat we deze risico's beheersen?
Inzicht ontstaat door standaardisatie
Grip op continuïteit begint met inzicht in processen, verantwoordelijkheden en afhankelijkheden. Organisaties die processen standaardiseren, autorisaties centraal beheren en rapportages eenduidig vastleggen, kunnen eenvoudiger aantonen hoe hun bedrijfsvoering is ingericht en welke beheersmaatregelen zijn getroffen.
AFAS ondersteunt organisaties daarbij met één geïntegreerd platform waarin bedrijfsprocessen, autorisaties, gegevens en rapportages samenkomen. AFAS Online is ingericht met aandacht voor continuïteit, verwerking van klantdata binnen Europa en mogelijkheden om gegevens te exporteren. Daarmee ontstaat een stevig fundament voor aantoonbare beheersing, terwijl de verantwoordelijkheid voor governance vanzelfsprekend bij de organisatie zelf blijft.
Geen paniek, wel bestuurbare continuïteit
Het aangescherpte Rijkscloudbeleid vraagt niet om minder cloud, maar om beter bestuur. Niet iedere organisatie valt onder dezelfde wet- of regelgeving. Wel krijgt iedere organisatie met een publieke verantwoordelijkheid steeds vaker dezelfde vraag: kun je aantonen dat je grip hebt op data, leveranciers, processen en continuïteit?
Wie vandaag inzicht heeft in HRM, Payroll, Finance, ERP, CRM, workflows, autorisaties, audits en rapportages, staat morgen sterker. Niet alleen bij veranderende wetgeving of geopolitieke ontwikkelingen, maar vooral wanneer de continuïteit van de organisatie onder druk komt te staan. Digitale soevereiniteit begint daarom niet bij technologie. Ze begint bij het begrijpen en beheersen van je eigen kernprocessen.
Klaar voor een toekomstbestendige overheid?
Wil je weten wat AFAS betekent voor jouw publieke organisatie? We denken graag met je mee. Plan een afspraak of bekijk hoe we je helpen bij aanbestedingen. Zo zet je de volgende stap met software die past bij jouw processen, mensen en ambities.