Het Adviescollege ICT-toetsing adviseerde de Belastingdienst begin juli om de uitrol van Microsoft 365 in de publieke cloud terug te draaien, omdat de gekozen inrichting tekortschiet op informatiebeveiliging en niet toekomstvast is. De staatssecretaris zette de verdere uitrol daarop stil en laat eerst een scenario op eigen servers uitwerken. Voor juridische organisaties telt vooral de toets zelf. Een onafhankelijk overheidscollege legde één M365-omgeving langs de meetlat van vertrouwelijkheid en toekomstvastheid en oordeelde dat die in deze vorm niet geschikt is voor de meest gevoelige gegevens. Datzelfde oordeel dwingt elk kantoor om zijn eigen Microsoft 365-omgeving na te lopen voordat het daar stukken onder het beroepsgeheim aan toevertrouwt.
Wat het AcICT bij de Belastingdienst aantrof
Het college onderzocht het programma waarmee de Belastingdienst, de Douane en Dienst Toeslagen hun kantooromgeving naar Microsoft 365 verhuizen, van e-mail tot documentopslag en samenwerking. De eerste zo'n 5.000 medewerkers waren al over toen de dienst de uitrol begin 2026 stillegde. In het advies aan de staatssecretaris staat een reeks bevindingen die verder gaat dan gebruikersgemak.
De informatiebeveiliging schiet volgens het college op meerdere punten tekort. E-mail loopt in de nieuwe opzet altijd over het internet in plaats van over overheidsnetwerken, en gevoelige documenten uit de samenwerkomgeving gaan via Amerikaanse servers, met gevolgen voor de vertrouwelijkheid. De gegevensbeschermingseffectbeoordeling schreef beveiligingsmaatregelen voor die de Belastingdienst niet allemaal toepaste. Documenten met classificatie 'vertrouwelijk' of lager worden onversleuteld opgeslagen, net als zeer vertrouwelijke documenten die extern gedeeld mogen worden. Sterkere versleuteling met eigen sleutelbeheer bleef uit, en end-to-endversleuteling staat in Teams niet standaard aan en is in groepsgesprekken niet mogelijk. Het risico dat gevoelige informatie valt af te leiden uit de metadata van minder gevoelige informatie is niet meegewogen. De back-upvoorziening bleek onvolledig en voor herstel deels afhankelijk van Microsoft zelf.
Daarnaast noemt het college de oplossing niet toekomstvast. De keuze voor één Amerikaanse leverancier brengt een vendor lock-in en een toename van concentratierisico mee, terwijl een werkbare exit-strategie ontbreekt. Omdat de oude en de nieuwe omgeving voorlopig naast elkaar draaien, stijgt de beheerlast in plaats van te dalen. Het college beschrijft M365 voor de dienst als een tussenoplossing waarvan de opbrengst onduidelijk is en de zakelijke rechtvaardiging niet is uitgewerkt in een businesscase.
Dezelfde publieke cloud, hetzelfde beroepsgeheim
De Belastingdienst verwerkt gegevens die tot en met 'zeer vertrouwelijk' zijn geclassificeerd. Een advocatenkantoor, een legal department of een compliance-team werkt met materiaal onder het beroepsgeheim, dat een vergelijkbare bescherming vraagt. Het verschil zit in de toetsing. De Belastingdienst kreeg een onafhankelijk college over de vloer dat de feitelijke inrichting tegen het licht hield, terwijl de meeste juridische organisaties Microsoft 365 draaien zonder dat iemand die controle ooit uitvoert.
Dat raakt een punt dat wij vaker maken. Microsoft biedt in de duurdere licenties sterkere versleuteling en end-to-endopties aan, maar de Belastingdienst had die niet ingeschakeld. Een leverancier die een veilige configuratie mogelijk maakt, levert daarmee geen bewijs dat jouw omgeving zo is ingericht. De functielijst van een pakket zegt weinig over wat er in jouw tenant daadwerkelijk aanstaat.
De achtergrond maakt het urgenter. Het kabinet scherpte het Rijkscloudbeleid juist aan en raadt publieke clouddiensten voor e-mail en documentbeheer bij kritieke overheidsorganisaties af. En de zeggenschap van een Amerikaanse leverancier reikt tot in Europese datacenters, zoals bleek toen Microsoft namen van Nederlandse ambtenaren aan Washington doorgaf. Voor kantoren komt daar een eigen beweging bovenop. Veel teams zetten Microsoft Copilot boven op diezelfde M365-omgeving, waardoor er meer gegevens door die omgeving stromen en de vraag of de inrichting klopt zwaarder gaat wegen.
De toets voor je eigen Microsoft 365-omgeving
Het advies laat zich vertalen naar een reeks controles voor je eigen omgeving. Begin bij de classificatie. Ga na of helder is welke gegevens onder het beroepsgeheim vallen en of die indeling eenvoudig genoeg is dat mensen haar in de praktijk volgen. Het college zag bij de Belastingdienst een classificatie die zo ingewikkeld was dat vertrouwelijke informatie alsnog op de verkeerde plek kon belanden.
Kijk daarna naar waar je gegevens naartoe reizen. Breng in kaart of e-mail- en documentverkeer via servers buiten Nederlandse of Europese netwerken loopt en welke partij daar toegang toe kan krijgen. Toets vervolgens de kloof tussen papier en praktijk. Als er een gegevensbeschermingseffectbeoordeling ligt, controleer dan of de maatregelen daaruit, versleuteling voorop, ook feitelijk aanstaan in je tenant en niet alleen op papier zijn afgesproken.
Weeg ook het aggregatierisico, want gevoelige informatie kan worden afgeleid uit de metadata van op zichzelf onschuldige bestanden. Test of je alle gegevens, inclusief metadata en materiaal uit samenwerkomgevingen, volledig kunt terughalen zonder afhankelijk te zijn van de leverancier. En bepaal of er een werkbare exit-strategie naar een alternatief ligt, of dat je vastzit aan één aanbieder.
Wie deze punten langsloopt, legt daarna vast welke restrisico's het kantoor accepteert en wie dat besluit neemt. Het college benadrukte dat zorgvuldige besluitvorming en centrale regie hiervoor nodig zijn. Een organisatie met de omvang van de Belastingdienst liep hierop vast, en een kantoor dat zijn M365-inrichting nooit expliciet heeft getoetst, kan er niet van uitgaan dat het bij hen wel op orde is.