KPMG daagt Staat om cloudjuristen-opdracht van 3,7 miljoen euro

KPMG daagde de Staat donderdag voor de voorzieningenrechter in Den Haag om een opdracht van 3,7 miljoen euro voor juristen die namens het Rijk met Microsoft, Google Cloud en AWS onderhandelen. Het ministerie van Justitie en Veiligheid gunde die opdracht aan advocatenkantoor Greenberg Traurig. KPMG wil dat de hele aanbesteding overnieuw gaat. De uitspraak volgt op 4 september, zo tekende vakblad Accountancy Vanmorgen op vanaf de zitting.

Wie het kort geding wint is voor de meeste organisaties minder interessant dan wat de opdracht zichtbaar maakt. Het Rijk bundelt de inkoopvraag van alle ministeries en is daarmee de zwaarste cloudklant van het land. Het heeft dan nog steeds vier jaar externe advocaten nodig om per jaar zes onderhandelingsrondes met de hyperscalers te voeren. Dat is precies het werk dat een ondernemer bij zijn eigen Azure- of AWS-contract in het klein zelf doet, alleen zonder de omvang die de tegenpartij tot bewegen dwingt.

Wat het Rijk hier inkoopt

De aanbesteding staat sinds 20 februari op TenderNed onder nummer 412875 en sloot op 7 april. Het gaat om één raamovereenkomst, Europees openbaar aanbesteed, geraamd op 3,7 miljoen euro exclusief btw. De normale maximale afname ligt op 4,44 miljoen euro; via een herzieningsclausule kan de waarde oplopen tot 7,4 miljoen. De overeenkomst loopt drie jaar vanaf 1 juni 2026 met een verlengingsoptie van maximaal twaalf maanden, en de raming rekent met zes onderhandelingstrajecten per jaar: vier over compliance, twee commercieel.

De scope reikt verder dan prijsonderhandelingen. De juristen adviseren over het contracteren en het wijzigen van contracten met Microsoft, Google Cloud en AWS, en daarnaast met Europese aanbieders als STACKIT, OVHcloud en ESET. Analyses van de Amerikaanse CLOUD Act en onderzoek naar digitale soevereiniteit kunnen tot het werk behoren, en voor Europese leveranciers noemt het ministerie expliciet het opstellen van een rijksbrede overeenkomst.

Afnemer is Strategisch Leveranciersmanagement (SLM), het onderdeel dat sinds 2014 rijksbrede afspraken maakt over software en clouddienstverlening en daarvoor DPIA's, DTIA's en onafhankelijke audits laat uitvoeren. Losse rijksonderdelen kopen de diensten daarna vooral in via resellers die zelf via Europese aanbestedingen zijn geselecteerd. SLM koopt dus geen cloud in. SLM koopt voorwaarden.

Het geschil draait om een fictieve cloudreus

Om de expertise van de inschrijvers te toetsen bedacht het ministerie CloudNova SE, een fictieve Europese cloudleverancier met 2.500 werknemers, twaalf datacenters in de EU en 1,2 miljard euro jaaromzet. De opdracht in de casus: maak een plan om met CloudNova tot een rijksbrede overeenkomst te komen, rekening houdend met Europese wet- en regelgeving, governance en publieke belangen.

KPMG las daarin dat ook het aanbestedingsrecht meetelde, omdat een rijksbrede overeenkomst met zo'n leverancier onmogelijk onder de Europese drempel kan blijven. Het kantoor koos daarom voor een mededingingsprocedure met onderhandeling en liet die lezing vooraf toetsen door een externe advocaat aanbestedingsrecht. Pas uit de uitslag bleek dat het ministerie iets anders wilde zien: rechtstreekse onderhandelingen over contractvoorwaarden met één leverancier die al vaststond. Inschrijvers moeten kunnen vertrouwen op de tekst van een aanbesteding, betoogde KPMG bij de rechter, temeer omdat Greenberg Traurig als zittend adviseur de werkwijze van SLM al kende.

De Staat houdt vol dat de casus over voorwaarden ging en niet over het leveren van diensten. De waarde van de fictieve opdracht was in die lezing zelfs nul. Greenberg Traurig, dat zich in de procedure heeft gevoegd, sprak van een misvatting. Het ministerie wees ook op andere tekortkomingen: de presentatie zou een duidelijke opbouw hebben gemist en de twee sprekers waren onvoldoende op elkaar afgestemd.

Voorwaarden zijn het strijdtoneel

Dat het Rijk miljoenen uittrekt voor juridische vuurkracht aan de onderhandelingstafel past in de lijn van dit jaar. Het herziene rijksbrede cloudbeleid dat de ministerraad op 3 juli vaststelde, bindt kritieke diensten aan strengere eisen en verplichte exitplannen. En de reden dat juist de contractvoorwaarden het strijdpunt zijn, ligt daaronder: jurisdictie volgt het bedrijf dat de sleutels beheert, niet de postcode van de server. Een Europees datacenter is een adres, geen rechtsregime.

Wat je met een leverancier afspreekt over toegang, doorgifte en uitweg is het enige deel dat je wel kunt sturen, en dat deel schuift. Microsoft houdt inmiddels vijftien met naam genoemde uitzonderingen bij waarin klantdata of gepseudonimiseerde gegevens buiten de EU Data Boundary terechtkomen. Voor het Rijk kost het bijhouden en uitonderhandelen daarvan zes rondes per jaar en tot 7,4 miljoen euro aan advocaten. Wie kleiner is, onderhandelt niet maar kiest: welke data bij welke aanbieder terechtkomt, en hoe snel je daar weg kunt als de voorwaarden schuiven.