De Nederlandse financiële sector is te afhankelijk van Amerikaanse techgiganten. Dat stellen DNB en AFM in een recent rapport. Het kabinet erkent de risico’s en zet in op een Europese aanpak, maar concrete stappen blijven schaars.
De financiële sector leunt te zwaar op een handjevol Amerikaanse cloudleveranciers. Dat brengt forse risico’s met zich mee. Een storing, cyberaanval of geopolitieke spanningen kunnen direct grote delen van de sector platleggen.
Het kabinet reageert op kamervragen van GroenLinks-PvdA over het rapport. Minister van Financiën Eelco Heinen erkent de problemen. “De risico’s die zij noemen zijn herkenbaar”, stelt hij. Toch blijft de reactie voorzichtig. Nederland kan dit niet alleen, benadrukt het kabinet. Een brede Europese aanpak is nodig.
Begin dit jaar trad de Digital Operational Resilience Act (DORA) in werking. Die EU-wetgeving stelt strenge eisen aan IT-risicomanagement, het melden van incidenten en het testen van systemen. Ook introduceert DORA Europees toezicht op de grootste IT-dienstverleners in de financiële sector.
Dat moet helpen bij het beter in kaart brengen van concentratierisico’s. Maar de nieuwe wet lost niet alles op. De afhankelijkheid van niet-Europese leveranciers blijft groot. Het kabinet wil samen met DNB en AFM scenario’s uitwerken voor ontwrichtende situaties. Wat gebeurt er als de VS sancties oplegt? Of als een grote cloudleverancier uitvalt?
Europese alternatieven blijven achter
Europese cloudaanbieders hebben het lastig om bij te blijven. Het tempo waarop de cloudmarkt evolueert is hoog. Amerikaanse hyperscalers beschikken over veel meer kapitaal. KPMG constateerde in een onderzoek dat Europese aanbieders hoogwaardige diensten leveren, maar een minder geïntegreerd pakket bieden.
Dat maakt het moeilijk om te concurreren. Klanten zoeken ontzorging. De grote Amerikaanse spelers kunnen dat beter leveren. Het kabinet steunt daarom het Important Project of Common European Interest on Cloud Infrastructure and Services (IPCEI-CIS) met 72 miljoen euro. Het doel: een federatief Europees cloud-ecosysteem waarin verschillende aanbieders samenwerken.
Aanbesteden als wapen
Bij inkoop- en aanbestedingsprocedures liggen kansen om de afhankelijkheid te verkleinen. De Algemene Beveiligingseisen Rijksoverheidsopdrachten (ABRO) bieden mogelijkheden om nationaliteitsvereisten te stellen waar het de nationale veiligheid raakt.
In Europa pleit Nederland voor een Europees voorkeursprincipe bij aanbesteden in strategische sectoren. Per sector wordt afgewogen of de baten opwegen tegen de kosten. Ook de cloudsector komt daarbij in beeld. Het kabinet is terughoudend. Het instrument moet volgens Heinen vooral de weerbaarheid van de Unie versterken.
De herziening van het rijksbreed cloudbeleid laat op zich wachten. Die is vertraagd omdat de afstemming meer tijd nodig heeft. Bovendien: het afbouwen van de huidige afhankelijkheden is een traject dat jaren zal duren. Een snelle oplossing is er niet.
Tip: Zwitserland wil geen Amerikaanse cloud in publieke sector meer