Cloudkeuzes vragen om een nieuwe bestuurlijke afweging

Wie de afgelopen jaren met digitale leiders in de publieke sector sprak, hoorde veel over migraties en over hoe de cloud organisaties sneller en wendbaarder kon maken. Dat was waar het werk om draaide, en wie het goed deed bouwde een staat van dienst op. Sinds deze zomer komt daar iets bij wat zwaarder weegt.

Op 3 juli stelde het kabinet het herziene rijksbreed cloudbeleid vast. Rijksorganisaties moeten hun leveranciersafhankelijkheid en jurisdictierisico's voortaan explicieter wegen, en de opslag en verwerking van data in de publieke cloud binnen de EER houden. Waar een exitstrategie voorheen vooral de overdracht van data bij beëindiging regelde, verlangt het beleid nu voor belangrijk cloudgebruik een operationeler exitplan, dat ook beschrijft hoe de dienstverlening bij een plotselinge uitval doorgaat. De lat gaat hoger: je moet aantoonbaar weten hoe je eruit komt als dat nodig is.

Voor de mensen die de beweging naar de cloud hebben geleid, verschuift daarmee het accent van hun werk. Ze hebben hun organisatie schaalbaar en efficiënt gemaakt door stevig in bepaalde omgevingen te investeren. Nu wordt gevraagd om bij diezelfde keuzes de afhankelijkheid zwaarder mee te wegen: hoe afhankelijk ben je geworden, en van wie. Een dienst die jarenlang de logische keuze was omdat hij goed aansloot op wat de organisatie nodig had, wordt opnieuw beoordeeld op de vraag wat er gebeurt als de leverancier onder een andere jurisdictie valt of de dienst wegvalt. Dat vraagt een andere afweging dan de vraag hoe snel je een systeem kunt implementeren.

In de gesprekken die ik voer, merk ik dat daar de spanning zit. Een exitplan dat werkelijk standhoudt in een crisis vraagt capaciteit en geld, en ik hoor dat daar niet vanzelfsprekend extra budget voor is. De digitale leider moet het bestuur dus laten zien wat een werkend alternatief bij uitval kost, en wat de organisatie daarvoor overheeft. Een plan dat er goed uitziet maar een crisis niet doorstaat, helpt daarbij niemand. De uiteindelijke risicoafweging ligt bij de bestuurder, en die kan alleen kiezen als iemand de consequenties scherp op tafel legt.

Dat is de kern van wat er verandert. Het herziene beleid geldt voor het Rijk, en voor de rest van de overheid wordt nog aan gezamenlijk beleid gewerkt, maar ik zie dezelfde vraag ook breder in de publieke sector terug. De rol van de digitale leider was ook voorheen bestuurlijk. Wat verschuift, is het gewicht van de onderwerpen. Afhankelijkheid en continuïteit wegen zwaarder dan een paar jaar geleden, naast de vertrouwde technische en financiële afwegingen. Daarbij hoort ook de vraag wat het kost om er grip op te houden. Naar digitale leiders die dat gesprek kunnen voeren, en die durven benoemen dat ambitie en middelen niet altijd bij elkaar passen, groeit de vraag.