De Nederlandse Belastingdienst stopt de uitrol van Microsoft 365 voorlopig. De fiscus moet eerst onderzoeken of hij M365 niet zelf kan hosten en daarna of er niet alsnog andere opties voor het officepakket bestaan. Dat besluit de staatssecretaris na een vernietigend rapport van een onderzoekscommissie.
Staatssecretaris Eelco Eerenberg van Fiscaliteit schrijft in een brief aan de Tweede Kamer dat de Belastingdienst de uitrol van M365 'pauzeert'. Dat gebeurt ook bij de Douane en de Dienst Toeslagen.
De Belastingdienst maakte vorig jaar bekend dat hij overstapte naar Microsoft 365 als kantooromgeving. Het gaat dan dus om diensten als documentenbeheer, maar ook e-mail. Saillant detail was toen dat de fiscus onderzoek had gedaan naar een Nederlands of Europees alternatief, maar dat kon hij niet vinden.
Dat leidde aanvankelijk tot veel ophef bij experts en critici. Zij zijn bang dat er gevoelige data op Amerikaanse servers terechtkomt, of dat de regering in de VS toegang tot die data kan blokkeren. De uitrol ging alsnog door. Inmiddels werken 5000 van de 47.500 werknemers met Microsoft, grotendeels in een pilot.
Nu bepaalt staatssecretaris Eerenberg dat de Belastingdienst geen nieuwe werknemers meer overzet naar M365. De Belastingdienst moet eerst een 'on-premises-scenario' uitwerken, zegt Eerenberg. On-prem betekent dat de Belastingdienst wel Microsoft 365-software gebruikt, maar dat hij die in eigen beheer heeft.
"Ik vind het belangrijk dat we in dit licht geen nieuwe stappen zetten. Daarom wordt het programma voor M365 bij de Belastingdienst, Douane en Toeslagen voor nu gepauzeerd. Eerst wil ik dat de Belastingdienst nogmaals het zogenaamde on-premises scenario gaat uitlopen", aldus Eerenberg.
Werknemers die al over zijn, blijven voorlopig werken met Microsoft 365. Ook stapt de fiscus voorlopig niet over naar andere software. Alleen het beheer wordt anders.
Eerenberg neemt het besluit vanwege een hard rapport van het Adviescollege ICT-toetsing. Dat deed specifiek onderzoek naar de uitrol van Microsoft-software.
Het rapport is hard. "Wij vinden de nieuwe werkomgeving niet geschikt voor de Belastingdienst", schrijft het Adviescollege. "De keuze voor de huidige inrichting van M365 in de publieke cloud is niet geschikt voor de Belastingdienst; deze schiet tekort op informatiebeveiliging, informatieverwerking en toekomstvastheid."
Het Adviescollege noemt meerdere risico's. E-mailverkeer wordt bijvoorbeeld veel minder vertrouwelijk behandeld omdat het altijd via internet gaat in plaats van over overheidsnetwerken. Gevoelige gegevens kunnen op Amerikaanse servers terechtkomen, ze worden niet versleuteld, er zijn 'aggregatierisico's' met metadata en de back-ups 'schieten ernstig tekort'.
Verder noemt het Adviescollege een waslijst aan andere gevaren die leiden tot 'onacceptabele informatiebeveiligingsrisico's'. Het college adviseert de uitrol verder te stoppen en deze ook terug te draaien voor de 5000 werknemers die nu over zijn. Dat laatste advies neemt de staatssecretaris niet over.
In het rapport raadt het Adviescollege ook aan 'niet uit te gaan van een totaaloplossing'. De Belastingdienst zou per functieonderdeel, zoals e-mail, documentbeheer of samenwerking, een andere dienst moeten kiezen.
Tegelijkertijd heeft ook de Auditdienst Rijk specifiek onderzoek gedaan naar de back-upmogelijkheden van Microsoft 365. Ook dat rapport is kritisch.
Zo heeft de Belastingdienst een exitplan gemaakt voor als de Amerikanen Microsoft 365 onbereikbaar maken. In dat plan gaat de fiscus echter uit van back-ups van M365 die on-prem worden gehost.
"De beheerders van de Belastingdienst hebben geen inzicht in de interne werking van de oplossing en deze functioneert daarmee als een 'black box'", schrijft de Auditdienst. "Herstel van data is alleen mogelijk via de standaardinterfaces van de oplossing. Als deze interfaces uitvallen, is de Belastingdienst afhankelijk van de ondersteuning door externe leveranciers. In een exitscenario is het echter onzeker of deze ondersteuning beschikbaar blijft, waardoor herstel van data mogelijk niet kan plaatsvinden."
De Auditdienst Rijk doet voornamelijk aanbevelingen over de manier waarop de Belastingdienst nu back-ups gebruikt en test. De instantie schrijft niet dat de Belastingdienst M365 helemaal niet zou moeten gebruiken.
Source: Tweakers.net