Overheid publiceert ontwerp soevereine cloud: reageren kan tot 23 september

Het Ontwerp van de soevereine overheidscloud ligt sinds 31 augustus open voor publieke review, meldt het NDS-cloudprogramma van het ministerie van Binnenlandse Zaken, met een reactietermijn die op 23 september sluit.

Daarmee staat voor het eerst zwart op wit op welk platform software voor de Nederlandse overheid straks moet draaien. Voor een softwareleverancier, hostingpartij of IT-afdeling met overheidsklanten is dit geen beleidsstuk maar een technische specificatie: eigen Kubernetes-clusters op kale hardware, portabiliteit via de Haven-standaard en geen plek voor een applicatie die een eigen hypervisor of gesloten beheerlaag nodig heeft. Wie er iets van wil vinden heeft haast, want aanmelden voor de schriftelijke review kan maar tot en met 7 september.

Eind augustus was er alleen nog de aankondiging dat het ontwerp binnen enkele weken openbaar zou worden, met de Haven-standaard uit de Kamerbrief van 1 juli als technische kern. Nu ligt het document er: versie 0.9, gedateerd 17 augustus, met de status definitief concept.

Losse open source-bouwblokken, rechtstreeks op fysieke servers

De zwaarste keuze in het document is de architectuur. Een brede groep overheidsarchitecten woog in maart drie modellen tegen elkaar af en koos voor een samenstelling van losse opensource-componenten die zonder virtualisatielaag rechtstreeks op fysieke servers draaien, vastgelegd als ADR-001.

OpenStack viel af als monolithische stack die nog uitgaat van het virtualisatieparadigma van vóór de container, met hoge integratielast en beperkte Kubernetes-native integratie. Ook een kant-en-klaar Europees platformproduct viel af: het aanbod van partijen als OVHcloud, IONOS en Exoscale is volgens het ontwerp te beperkt voor de vereiste schaal en levert een leveranciersafhankelijkheid "van een ander soort maar niet minder". OVHcloud, dat net de Franse SecNumCloud-kwalificatie voor zijn publieke cloud binnenhaalde, staat daarmee expliciet in het rijtje afgevallen opties.

Wat overblijft zijn componenten uit de Cloud Native Computing Foundation, met nadrukkelijke aandacht voor Europese opensourceprojecten als NeoNephos. Het ontwerp is eerlijk over de prijs van die keuze: werken met losse bouwblokken vraagt een substantiële investering in expertise, binnen de overheid en in de markt.

Twee producten, en een laag die de markt mag invullen

De productenportefeuille bestaat uit twee diensten voor afnemers. Soevereine Cloud-native Hosting is de kern: een overheidsorganisatie krijgt een of meer eigen tenant-Kubernetesclusters inclusief control plane. Het tweede product is Soevereine Virtual Machine Hosting, voor organisaties die traditionele server-applicaties nog niet kunnen ombouwen naar cloud-native en alleen willen rehosten. Die virtuele machines draaien via KubeVirt op datzelfde containerplatform. Een derde product, de Robuuste Datazaal, wordt door een nationale of meerdere lokale aanbieders verhuurd aan de partij die de hostingdiensten levert.

Daarboven laat het ontwerp ruimte open. Fase 1 is het containerplatform met VM-ondersteuning, fase 2 voegt PaaS toe, fase 3 complete SaaS-applicaties. Voor die twee bovenste lagen rekent het document op selfserviceportalen van marktpartijen die bovenop Soevereine Cloud-native Hosting draaien. Daar komt een Nederlandse leverancier straks binnen: niet als bouwer van de infrastructuur, maar als aanbieder van een managed database, een ontwikkelstraat of een complete applicatie op het platform.

Wat bewust nog niet in deze versie staat, is minstens zo relevant. Governance, bekostiging en inkoop zijn eruit gelaten, precies de onderwerpen die sourcings- en aanbestedingskeuzes bepalen, omdat daarover nog geen besluitvorming heeft plaatsgevonden. Hoog gerubriceerde informatie valt buiten scope. Een soevereine oplossing voor identiteitsbeheer bestaat nog niet, dus afnemers koppelen voorlopig hun eigen identity provider federatief, bijvoorbeeld via SSO-Rijk of GovConext. Data- en AI-platformdiensten staan op de roadmap voor 2027.

SEAL-4 voor de software, SEAL-3 voor de hardware

Het ontwerp adopteert het EU Cloud Sovereignty Framework, dat soevereiniteit meet op een schaal van SEAL-0 tot SEAL-4. De ambitie is SEAL-4 voor de software. Voor de hardwarestack blijft het voorlopig SEAL-3, omdat Europese leveranciers van CPU's, GPU's en ASIC's ontbreken.

Dat onderscheid heeft directe gevolgen voor wie wil leveren. Voor SEAL-4 eist het raamwerk volledige beschikbaarheid van technische documentatie en broncode, plus herkomstinformatie over de software: waar en door wie de architectuur en implementatie zijn bedacht, en onder welke jurisdictie het beheer van de levenscyclus valt, inclusief packaging, distributie en updates. Een leverancier moet dus kunnen aantonen waar zijn code vandaan komt en wie die onderhoudt.

De architectuur is getoetst aan een omvang van 50.000 fysieke servers. Dat getal is uitdrukkelijk geen vraagprognose of beoogd afnamevolume, maar een bewust globaal gekozen toetssteen om ontwerpkeuzes tegen een overheidsbrede schaal te houden. Verder rekent het ontwerp op tientallen tot honderden tenants en meerdere regio's, met gecoördineerde opschaling tussen 2027 en 2030 en een minimum gegarandeerde afname.

Reageren kan tot 23 september

Het reactieproces is strak geregeld. Organisaties melden zich aan tot en met 7 september, krijgen vóór 14 september bericht of ze zijn geselecteerd, en moeten hun reviewpunten vóór 23 september indienen. Per organisatie treedt één indiener op, en per categorie tellen de top 3 punten van maximaal 25 woorden. De zes categorieën zijn tekst, figuren, tabellen, architectuurbouwblokken, capability map en overig. Er komt geen aparte verantwoording per reviewpunt; wijzigingen worden zichtbaar in een volgende openbare versie.

Er staan ook twee feedbackevenementen gepland: op 24 september voor overheden en op 28 september voor marktpartijen, met voor kennisinstellingen nog een datum te bepalen. In november volgt een fieldlab. Naast de technische review loopt een tweede spoor. Sinds 31 augustus staat op TenderNed een marktconsultatie open die de niet-technologische kant van het cloudvraagstuk moet behandelen, als vervolg op de open dialoog met de markt van eind 2025 en begin 2026. Een sluitingsdatum daarvoor is nog niet bekend.

De review is daarmee het laatste moment waarop bezwaar goedkoop is. In versie 2.0 verwerkt het programma ook de vraag die binnen de overheid is opgehaald, en pas daarna volgen het operating model en de bijbehorende vragen: wie bouwt het platform, wie exploiteert en beheert het, en onder welke afspraken. Wie wacht tot de aanbesteding, leest straks een document dat anderen al hebben vormgegeven.