De geheimen van Duitsland in de cloud van Google: hoe weinig zeggenschap heeft de geplande ND-cloud eigenlijk?

Offline, maar afhankelijk? De riskante prijs van Google-technologie voor de Duitse nieuwsdiensten

De cloud van Google voor de Duitse inlichtingendiensten: wat gebeurt er als de leverancier faalt?

Een clouddienst die is afgeschermd van het internet kan vertrouwelijke informatie effectief beschermen, maar kan tegelijkertijd ook een langdurige afhankelijkheid van de technologieleverancier creëren. De geplande ND Cloud voor de Bundesinlichtingendienst (BND), het Bundesamt für Constitutional Protection (BfV) en de Militaire Contra-inlichtingendienst (MAD) bevindt zich precies in dit spanningsveld. Het is de bedoeling dat de cloud de veilige uitwisseling van zeer gevoelige informatie mogelijk maakt zonder directe verbinding met het openbare internet. Deze zogenaamde 'air gap' beantwoordt echter niet alle vragen: Wie kan het platform in de loop der jaren onderhouden, updaten en verder ontwikkelen? En welke opties heeft de staat nog als het technische of politieke landschap verandert?

Bij een project met een publiekelijk bekendgemaakt budget van minstens 500 miljoen euro staat er meer op het spel dan alleen serverlocaties en beveiligingsmaatregelen. De cruciale vraag is of Duitsland het platform op de lange termijn kan controleren en indien nodig kan overstappen op een ander platform. Dit vereist niet alleen aandacht voor gegevensbescherming, maar ook voor softwarelevering, expertise, migratiekosten en mogelijke alternatieven. De geplande cloud kan een belangrijke stap richting modernisering betekenen, maar echte digitale soevereiniteit wordt pas bereikt wanneer de staat niet alleen de lopende activiteiten controleert, maar ook levensvatbare opties voor de toekomst heeft.

Dit is hiermee gerelateerd:

• De Duitse strijdkrachten onderhandelen met Google: hoeveel soevereiniteit geeft Duitsland nu echt op voor de Google Cloud?

De geheimen van Duitsland, de technologie van Google: de prijs van digitale soevereiniteit

Offline is verre van onafhankelijk

Een clouddienst die is afgeschermd van het internet kan vertrouwelijke informatie effectief beschermen, maar creëert tegelijkertijd een langdurige afhankelijkheid van de technologieleverancier. Het geplande gezamenlijke dataplatform van de Federale Inlichtingendienst, het Bundesamt für Constitutional und Zeitung (BWGS) en de Militaire Contra-inlichtingendienst bevindt zich precies in dit spanningsveld: de beoogde technische isolatie biedt een antwoord op de vraag naar externe netwerktoegang, maar nog niet op de vraag naar duurzame technologische bewegingsvrijheid.

De economisch doorslaggevende vraag is daarom niet of er een Amerikaans of Europees bedrijfslogo op het platform verschijnt. Waar het om gaat, is wie de voorwaarden bepaalt voor verdere ontwikkeling, probleemoplossing, werking en mogelijke migratie gedurende de gehele levenscyclus. Een overtuigende soevereiniteitsstrategie moet prestaties, beveiligingsvereisten en keuzevrijheid op lange termijn combineren, in plaats van zich uitsluitend te richten op de locatie van de servers.

Een dataplatform met strategische implicaties

Volgens de openbaar beschikbare planningsstatus van 28 oktober 2026 is de zogenaamde ND Cloud bedoeld om de elektronische uitwisseling van informatie tot het classificatieniveau GEHEIM mogelijk te maken tussen de drie federale inlichtingendiensten; later zouden ook de staatsdiensten voor de bescherming van de grondwet hierbij betrokken kunnen worden. De technische basis is kennelijk Google Distributed Cloud in een beveiligde configuratie, waarbij de informatie in Duitsland wordt opgeslagen en Google geen directe toegang tot de gegevens heeft.

Het gaat hier niet om het opslaan van staatsgeheimen op een gewone internetdienst. Het beoogt veeleer een aparte infrastructuur die kan functioneren zonder directe verbinding met het openbare internet of de algemene Google Cloud. Dit onderscheid is cruciaal omdat het het dreigingslandschap verandert: een technisch geïsoleerd, nationaal beheerd netwerk moet anders worden beoordeeld dan een standaard clouddienst die van buitenaf wordt beheerd.

Het publiekelijk genoemde bedrag is minstens €500 miljoen; dit is een schatting en geen volledig gepubliceerd kostenoverzicht. Een lancering die oorspronkelijk gepland stond voor het eerste kwartaal van 2027 zal waarschijnlijk worden uitgesteld, terwijl belangrijke details over de architectuur, de omvang van de diensten en de lopende kosten niet openbaar beschikbaar zijn. Op basis van deze informatie is het onmogelijk om een ​​betrouwbaar rendement op de investering te berekenen of definitief te stellen dat een bepaald alternatief een vast percentage goedkoper zou zijn.

De enorme omvang van het project laat echter zien dat het platform meer zou zijn dan zomaar een IT-systeem. Het zou de werkprocessen, datamodellen en kwalificaties voor de komende jaren vormgeven. Hoe meer overheidsinstanties hun specialistische procedures afstemmen op gedeelde technische diensten, hoe groter het strategische belang van beslissingen die in eerste instantie puur infrastructuurkwesties lijken te zijn.

Waarom gedeelde infrastructuur economisch zinvol kan zijn

De noodzaak tot modernisering is fundamenteel plausibel: het uitwisselen van hoogwaardige informatie tussen beveiligde overheidssystemen is momenteel omslachtig, terwijl de opslagbehoeften en de vraag naar geautomatiseerde analyses toenemen. Een gedeeld platform kan gegevensoverdracht vereenvoudigen, gestandaardiseerde tools bieden en de samenwerking versnellen, mits de rechten en verantwoordelijkheden duidelijk zijn vastgelegd.

Vanuit economisch oogpunt ontstaan ​​potentiële voordelen door schaalvoordelen. Als rekenkracht, gegevensback-up, monitoring en beveiligingsprocessen gezamenlijk worden aangeboden, hoeven niet alle instanties dezelfde mogelijkheden parallel te ontwikkelen. Dit kan de benutting verbeteren en de druk op schaars geschoold personeel verlichten; BWI beschrijft gestandaardiseerde en geautomatiseerde cloudinfrastructuur dan ook als een middel om flexibelere en efficiëntere IT-diensten te realiseren.

Daarbij komt nog het voordeel van snellere informatieverwerking. Een hoogwaardige technische omgeving kan voorkomen dat bestaande inlichtingen te laat beschikbaar komen als gevolg van omslachtige processen. Dit voordeel is moeilijk in euro's te kwantificeren voor inlichtingendiensten, maar het is daarom economisch gezien niet onbeduidend. Een plausibele veiligheidswinst mag echter niet worden gebruikt als een willekeurig en flexibel argument om achteraf een technologische afhankelijkheid te rechtvaardigen.

De juiste vergelijking is daarom niet die tussen een moderne cloud en een risicovrije bestaande infrastructuur. Gefragmenteerde, verouderde systemen brengen ook kosten en beveiligingsrisico's met zich mee, bijvoorbeeld door complex onderhoud en handmatige processen. Een goede beoordeling moet rekening houden met de risico's van migratie én de kosten van nietsdoen; de noodzaak tot modernisering alleen bewijst echter niet dat elk platform dat hiervoor wordt aangeboden op de lange termijn economisch haalbaar is.

De luchtspleet lost slechts een deel van het probleem op

De term 'air gap' verwijst hier naar een scheiding van het openbare internet en andere externe netwerken, niet per se naar de volledige isolatie van elke individuele computer van elkaar. Binnen een beveiligd overheidsnetwerk kunnen systemen blijven samenwerken, terwijl er strikte grenzen gelden voor externe toegang. Google beschrijft het platform expliciet als permanent operationeel zonder verbinding met de openbare Google Cloud.

Deze eigenschap is een belangrijk beveiligingsvoordeel en mag niet worden onderschat. De afwezigheid van externe verbindingen beperkt bepaalde aanvalsvectoren en creëert betere voorwaarden voor gecontroleerde werking. Dit betekent echter niet dat het platform onbeperkt veilig kan worden onderhouden of functioneel kan worden uitgebreid zonder verdere ondersteuning van de fabrikant; technische netwerkonafhankelijkheid en onafhankelijkheid van softwarelevering zijn afzonderlijke eigenschappen.

Dit kan worden geïllustreerd door het te vergelijken met een productie-installatie die volledig op een Duits fabrieksterrein is gevestigd. De locatie biedt fysieke controle, maar garandeert niet dat reserveonderdelen, besturingssoftware en specialistische kennis te allen tijde beschikbaar zijn. Het feit dat iemand de installatie beheert, betekent niet dat die persoon deze ook zelfstandig verder kan ontwikkelen. Dezelfde economische logica is van toepassing op een zeer complexe cloudomgeving.

Soevereiniteit is daarom geen kwestie van één enkele schakelaar. Datasoevereiniteit, administratieve controle, rechtszekerheid, transparantie van de toeleveringsketen en technologische aanpasbaarheid moeten afzonderlijk worden beschouwd. Een platform kan sterke kenmerken hebben op sommige van deze gebieden en aanzienlijke afhankelijkheden vertonen op andere; juist deze differentiatie maakt een gedegen beoordeling mogelijk.

Updates als interface van economische macht

De beveiligingsdocumentatie van Google beschrijft een gecontroleerd updateproces: de fabrikant ondertekent softwarepakketten, de infrastructuurbeheerder beoordeelt ze en implementeert ze vervolgens in de geïsoleerde omgeving. Dit proces omvat niet alleen cloudsoftware, maar ook besturingssystemen, firmware en andere beveiligingsrelevante componenten. Een automatische internetverbinding is niet vereist, maar de technische leveringsrelatie blijft wel bestaan.

Dit is in eerste instantie een normaal onderdeel van professioneel softwaregebruik en geen bewijs van wangedrag van de fabrikant. De situatie wordt problematisch wanneer slechts één leverancier betrouwbare updates tijdig kan leveren. In dergelijke gevallen hangt de praktische veiligheid van het systeem niet alleen af ​​van de nationale exploitant, maar ook van een externe ontwikkelingsorganisatie en haar juridische en economische kader.

De omvang van dergelijke afhankelijkheden wordt aangetoond door de openbaar beschikbare standaardvoorwaarden voor Google Distributed Cloud air-gapped. Deze voorwaarden schrijven voor dat nieuwe versies binnen 30 dagen na kennisgeving moeten worden geïnstalleerd; ze bevatten ook regels met betrekking tot de beëindiging van het onderhoud en het einde van het softwaregebruik na afloop van de licentieperiode. Deze algemene voorwaarden mogen echter niet worden gelijkgesteld met onbekende specifieke bepalingen van het geplande berichtenplatform.

Dit onderscheid is cruciaal. Het is niet publiekelijk te verifiëren welke individuele operationele rechten, auditperioden of aanvullende beveiligingsmaatregelen er gelden voor de ND Cloud. Evenmin zou het ongegrond zijn om uit een voortdurende afhankelijkheid van updates af te leiden dat er sprake is van geheime toegang op afstand of een technisch afsluitmechanisme. Wat wel gedocumenteerd is, is de voortdurende rol van de fabrikant in de softwarelevering, niet van willekeurige externe toegang.

Het gevaarlijke verschil tussen looptijd en veiligheid

In geval van een storing in de ondersteuning door de fabrikant moeten verschillende scenario's worden overwogen. Een reeds geïnstalleerd systeem kan in eerste instantie technisch blijven functioneren, terwijl nieuw ontdekte beveiligingslekken niet langer worden verholpen. Tegelijkertijd kunnen gebruiksrechten, de beschikbaarheid van reserveonderdelen en de ondersteuning voor afhankelijke applicaties worden beïnvloed. De vraag hoe lang de computers ingeschakeld blijven, is daarom minder relevant dan de vraag hoe lang verantwoord gebruik nog mogelijk is.

Hieruit kan geen vaste, algemene levensduur worden afgeleid. Deze zou onder andere afhangen van bestaande kwetsbaarheden, lokale reparatiemogelijkheden, het gebruik van aanvullende diensten en de beschikbaarheid van gekwalificeerd personeel. Algemene uitspraken dat een geïsoleerde cloud na een bepaald aantal maanden onvermijdelijk onbruikbaar wordt, zouden net zo onnauwkeurig zijn als het claimen van onbeperkte onafhankelijkheid.

Economisch gezien leidt dit tot een keuzeprobleem: een staat heeft niet alleen de huidige functionaliteit nodig, maar ook het vermogen om te handelen in geval van veranderde omstandigheden. Deze optie heeft waarde, zelfs als deze jarenlang ongebruikt blijft. De financiering ervan is vergelijkbaar met een verzekering tegen een zeldzaam, maar potentieel zeer kostbaar verlies van technologische beslissingsbevoegdheid.

Een robuust noodplan zou daarom onderscheid moeten maken tussen beperkte voortzetting van de werking, volledig herstel en migratie naar een ander platform. Voor elk van deze scenario's zouden afzonderlijke randvoorwaarden moeten worden onderzocht. Een simpele back-up van de gegevens is bijvoorbeeld van beperkt nut als de programma's die nodig zijn om de informatie effectief te verwerken en de relevante toegangsregels af te dwingen, ontbreken.

De afhankelijkheid neemt toe met elke gespecialiseerde ingreep

De veelgebruikte term 'lock-in' beschrijft een situatie waarin het theoretisch mogelijk blijft om van provider te wisselen, maar in de praktijk steeds complexer wordt. In cloudsystemen ontstaat deze lock-in door de wisselwerking tussen platformfuncties, interfaces, datastructuren en gevestigde operationele processen. Hoe meer gespecialiseerde applicaties specifieke diensten van een bepaalde leverancier vereisen, hoe meer moeite het kost om equivalente functionaliteit elders te repliceren.

Niet elk gebruik van gepatenteerde technologie is onrendabel. Een gespecialiseerd hulpmiddel kan een aanzienlijk productiviteitsvoordeel opleveren. De moeilijkheid zit hem erin dat de voordelen op korte termijn vaak direct duidelijk zijn, terwijl de toekomstige overstapkosten onzeker blijven. Dit dreigt een systematisch onevenwicht te creëren: er wordt volledig rekening gehouden met het huidige gemak, terwijl toekomstige afhankelijkheid slechts in abstracte termen wordt genoemd.

De binding op applicatieniveau is bijzonder relevant. Een virtuele machine kan relatief eenvoudig worden overgezet, terwijl een complexe bedrijfsapplicatie met leverancierspecifieke database-, identiteits- en analyseservices dat niet kan. Het feit dat een platform containers ondersteunt, is daarom geen voldoende bewijs voor de uitwisselbaarheid ervan. De cruciale factor is of de volledige bedrijfsfunctionaliteit met een redelijke inspanning in een andere omgeving kan worden geïmplementeerd.

Een consistente architectuur zou de voordelen van specifieke platformdiensten moeten afwegen tegen de daaruit voortvloeiende drempels voor overstappen. Het doel zou niet volledige technische uniformiteit zijn, maar eerder weloverwogen differentiatie: gestandaardiseerde basisfuncties zouden zoveel mogelijk uitwisselbaar moeten blijven, terwijl essentiële gespecialiseerde functies afzonderlijk zouden worden onderzocht op hun toegevoegde waarde en onderlinge afhankelijkheden.

Het marktprobleem van Europa begint bij de schaal

De structurele uitdaging reikt veel verder dan de Duitse inlichtingendiensten. De Europese markt voor cloudinfrastructuurdiensten bereikte in 2024 een volume van circa € 61 miljard, ongeveer zes keer zoveel als in 2017; dit cijfer omvat infrastructuur- en platformdiensten, evenals gehoste private clouds, maar niet de gehele softwaremarkt. Europese aanbieders verdrievoudigden hun regionale omzet in deze periode, maar verloren desondanks relatief marktaandeel.

Hun gezamenlijke marktaandeel daalde van 29 procent in 2017 naar ongeveer 15 procent in 2022 en bleef vervolgens op ongeveer dat niveau. Amazon, Microsoft en Google waren samen goed voor circa 70 procent in het marktonderzoek dat medio 2025 werd gepubliceerd. Deze cijfers hebben betrekking op de Europese markt en mogen niet gelijkgesteld worden met een markt die uitsluitend beperkt is tot de EU, noch met het specifieke segment van gesloten inlichtingensystemen.

Deze ontwikkeling laat zien waarom omzetgroei alleen geen garantie is voor technologische onafhankelijkheid. Europese bedrijven kunnen succesvoller worden en tegelijkertijd achterop raken bij de grootste platformen. De toonaangevende aanbieders spreiden ontwikkelingskosten en investeringen over zeer grote klantenbestanden; schaalbaarheid en langetermijninvesteringen spelen daarom een ​​cruciale rol op de Europese infrastructuurmarkt.

Een realistische Europese strategie hoeft daarom niet elke functie van de grootste hyperscalers te kopiëren. Het is aannemelijker om robuuste alternatieven te ontwikkelen voor met name kritieke toepassingsgebieden en om gezamenlijk de bestaande technische fundamenten verder te ontwikkelen. Een op beveiliging gerichte nichemarkt kan andere succesfactoren hebben dan de massamarkt voor gestandaardiseerde rekenkracht. Het algemene marktleiderschap van een bedrijf vertaalt zich niet automatisch in superioriteit voor elke overheidsapplicatie.

De staat als aanjager van technologische leercurves

Wanneer veel publieke instellingen vergelijkbare eisen stellen aan datasoevereiniteit en veilige samenwerking, kunnen gemeenschappelijke standaarden een grotere en betrouwbaardere markt creëren. Bedrijven hebben dan een betere basis om te investeren in documentatie, beveiligingsaudits en professionele bedrijfsvoering. Het openDesk-ecosysteem, met zijn vele software- en operationele partners, laat zien dat een dergelijke samenwerkingsaanpak al in de praktijk wordt toegepast.

Dit biedt een economisch beleidsargument voor het gericht inzetten van geschikte Europese oplossingen. De voordelen ervan beperken zich niet tot de individuele werkplek, maar kunnen zich uitstrekken tot latere toepassingen en andere faciliteiten. Herbruikbare componenten, gekwalificeerd personeel en beproefde operationele modellen kunnen de instapkosten voor volgende gebruikers verlagen. Deze bijkomende effecten worden gemakkelijk onderschat wanneer alleen de initiële implementatie in ogenschouw wordt genomen.

Tegelijkertijd mag dit geen recht op permanente bescherming creëren. Ook Europese aanbieders moeten hun prestaties, betrouwbaarheid en economische levensvatbaarheid aantonen. Een beleid dat elke lokale oplossing beschermt, ongeacht de kwaliteit ervan, kan hoge kosten en nieuwe afhankelijkheden met zich meebrengen. Het cruciale punt is niet het elimineren van concurrentie, maar het creëren van echte technische en economische alternatieven.

Het is ook cruciaal om te voorkomen dat een internationaal monopolie wordt vervangen door een nauwelijks aantoonbare nationale afhankelijkheid. Open interfaces, overdraagbare operationele kennis en meerdere gekwalificeerde dienstverleners zijn daarom net zo belangrijk als de locatie van het hoofdkantoor. Uiteindelijk moet soevereiniteit het vermogen van de gebruiker om te handelen vergroten, en niet slechts de oorsprong van de belangrijkste leverancier veranderen.

Centrum voor Veiligheid en Defensie - Afbeelding: Xpert.Digital

Het Veiligheids- en Defensiecentrum biedt deskundig advies en actuele informatie om bedrijven en organisaties effectief te ondersteunen bij het versterken van hun rol in het Europees veiligheids- en defensiebeleid. In nauwe samenwerking met de werkgroep Defensie van het MKB-netwerk bevordert het centrum met name kleine en middelgrote ondernemingen (mkb's) die hun innovatievermogen en concurrentievermogen in de defensiesector verder willen ontwikkelen. Als centraal aanspreekpunt vormt het centrum zo een cruciale brug tussen het mkb en de Europese defensiestrategie.

Dit is hiermee gerelateerd:

• De werkgroep 'SME Connect Defence' – Versterking van het mkb in de Europese defensiesector

OpenDesk is relevant, maar geen volwaardige vervanging voor de cloud

De kantoor- en samenwerkingssuite openDesk werd in oktober 2024 gelanceerd en was volgens het verantwoordelijke Centrum voor Digitale Soevereiniteit in oktober 2026 geïnstalleerd op ongeveer 100.000 administratieve werkplekken. Dit cijfer vertegenwoordigt het gerapporteerde adoptiepercentage, niet het bewijs van 100.000 dagelijks actieve gebruikers of een overeenkomend aantal zeer vertrouwelijke werkplekken. Niettemin toont het aan dat Europese open-source samenwerking allang verder is gegaan dan kleine demonstratieprojecten.

Technisch gezien moet de vergelijking wel nauwkeurig blijven. OpenDesk bundelt applicaties voor kantoorwerk en samenwerking, terwijl Google Distributed Cloud een veel breder infrastructuur- en serviceplatform is. Een samenwerkingssuite vervangt niet automatisch de opslagarchitectuur, databases, computerbronnen en gespecialiseerde services van een complete intelligentieomgeving. Iedereen die beide aanbiedingen als direct uitwisselbare, complete oplossingen presenteert, verwart verschillende technische niveaus.

Desondanks is openDesk belangrijk voor het debat, omdat niet elke dagelijkse samenwerking een eigen platform hoeft te vereisen. Waar overheidsinstanties gezamenlijk documenten bewerken, projecten coördineren of communiceren, kunnen open applicaties concrete alternatieven bieden. Dit kan in ieder geval een deel van de afhankelijkheid verminderen, zelfs als er nog steeds verschillende infrastructuren onderliggend worden gebruikt.

In oktober 2026 werd de werking van openDesk in volledig geïsoleerde omgevingen gedemonstreerd en getest; tegelijkertijd lag de focus op het beveiligen ervan voor de classificatie "VS-NUR FÜR DEN DIENSTGEBRAUCH" (Beperkt - Alleen voor intern gebruik). Dit moet niet worden geïnterpreteerd als bewijs van operationele gereedheid voor alle verwerkingstaken tot en met het niveau "GEHEIM" (Geheim), aangezien deze classificaties duidelijk van elkaar verschillen. Een functionerende offline demonstratie is een belangrijke technische stap, maar geen algemeen bewijs van geschiktheid voor alle zeer gevoelige gebruiksscenario's.

De matrix illustreert de voordelen van open communicatie

Element en het open Matrix-protocol bieden ook praktische uitgangspunten. De BwMessenger is gebaseerd op deze componenten en wordt door BWI beheerd in de eigen datacenters van de Bundeswehr; de BundesMessenger brengt deze aanpak over naar de publieke sector. Er bestaat dus al concrete ervaring met door de staat gecontroleerde communicatie op een open technische basis.

Het economische voordeel van dergelijke stichtingen schuilt in de fundamentele scheidbaarheid van software, exploitatie en dienstverlening. Als een overheidsinstantie haar eigen infrastructuur beheert of kan kiezen uit geschikte exploitanten, ontstaan ​​er betere voorwaarden voor concurrentie. De controle over de lopende dienstverlening hoeft dan niet per se bij de oorspronkelijke softwarefabrikant te blijven.

Een berichtenapp is echter geen compleet analyseplatform. Veilige berichtenuitwisseling, gezamenlijke documentbewerking en de verwerking van grote datasets zijn afzonderlijke taken. Bovendien moet elke specifieke configuratie voldoen aan de noodzakelijke beveiligingsvereisten; gebruik door de overheid impliceert niet automatisch geschiktheid voor elk beveiligingsclassificatieniveau. Open communicatie is daarom een ​​belangrijk onderdeel van een soevereine architectuur, maar geen universele oplossing voor alle infrastructuurproblemen.

Openheid vervangt niet iemands eigen competentie

Open-source software kan de controlemogelijkheden vergroten omdat de structuur transparant is en de verdere ontwikkeling in principe over meerdere belanghebbenden kan worden verdeeld. Deze mogelijkheid komt echter pas volledig tot zijn recht als er gekwalificeerde specialisten, geschikte ontwikkeltools en duurzaam gefinancierde verantwoordelijkheden beschikbaar zijn. Transparante broncode alleen sluit beveiligingslekken of problematische afhankelijkheden niet automatisch uit.

Vooral bij complexe systemen is het niet voldoende om in theorie individuele programma's te mogen aanpassen. Wat nodig is, is kennis van hoe ze met elkaar samenwerken, het creëren van betrouwbare installatiepakketten en het testen van nieuwe versies. De focus op robuuste kerncomponenten en veilige toeleveringsketens binnen het open-source ecosysteem van de overheid laat zien hoe essentieel dit organisatieniveau is.

Openheid is daarom eerder een voorwaarde voor verdere actie dan een vanzelfsprekende garantie. Het economische voordeel ervan ligt in het feit dat investeringen in kennis en ontwikkeling gemakkelijker tussen instellingen kunnen worden hergebruikt. Om dit te laten slagen, zouden aanpassingen idealiter moeten worden teruggekoppeld naar gezamenlijk beheerde stichtingen. Veel permanent gescheiden, gespecialiseerde versies zouden daarentegen de onderhoudskosten en veiligheidsrisico's verhogen.

Ook personeelstekorten moeten realistisch worden aangepakt. Een instantie wordt niet soeverein door al het werk zelf te doen. Een verstandiger model is er een waarin de staat over voldoende interne beoordelings- en controlebevoegdheid beschikt, terwijl ze tegelijkertijd een beroep kan doen op verschillende professionele dienstverleners. Dit elimineert de afhankelijkheden niet volledig, maar maakt ze wel gemakkelijker te controleren en te beheren.

De Duitse strijdkrachten geven een genuanceerder beeld

Om de ND Cloud in de juiste context te plaatsen, is de private cloud van de Duitse strijdkrachten relevant, omdat deze ook gebruikmaakt van Google-technologie en BWI een centrale rol speelt. Dit platform is echter niet synoniem met één enkele Google Cloud: de Duitse strijdkrachten hanteren een aanpak met verschillende technologisch gescheiden omgevingen, waaronder VMware, Google en open-source software.

De eerste fase van de uitrol werd in 2025 geïntroduceerd; de ontwikkeling en integratie van de Google-stack werden vanaf 2026 gepland, met een verwachte voltooiing eind 2027. Het SAP Business Technology Platform wordt als specifiek gebruiksvoorbeeld genoemd, terwijl er twee aparte omgevingen zijn gepland voor openbare en geclassificeerde informatie (VS-NfD). Deze gepubliceerde tijdlijn moet niet worden geïnterpreteerd als een definitieve operationele status.

Dit voorbeeld illustreert dat fundamentele softwarebeslissingen kunnen leiden tot verdere infrastructuurbeslissingen. Als een gespecialiseerd platform nodig is waarvan de ondersteunde besturingsomgevingen nauw gedefinieerd zijn, wordt de uiteindelijke selectie al beperkt voordat individuele cloudproviders in overweging worden genomen. Een soevereiniteitsanalyse moet daarom de gehele technische keten onderzoeken en kan niet eindigen bij de zichtbare infrastructuurmarkering.

Meerdere platforms zorgen echter pas voor echte schaalbaarheid als essentiële applicaties daadwerkelijk tussen de platforms kunnen worden verplaatst. Drie afzonderlijke omgevingen, elk met eigen, strikt afgebakende procedures, betekenen in eerste instantie wel diversiteit, maar nog geen onderlinge uitwisselbaarheid. BWI noemt expliciet het verminderen van de afhankelijkheid van leveranciers en de moeiteloze migratie van applicaties als doelstellingen van haar aanpak.

Juridische risico's vereisen technische precisie

Debatten over Amerikaanse technologie verwijzen vaak naar de Cloud Act. De juridische grondslag hiervan is dat bedrijven die onder de Amerikaanse wetgeving vallen, kunnen worden verplicht om gegevens in hun bezit, beheer of onder hun controle openbaar te maken, ongeacht waar deze zijn opgeslagen. Het feit dat een bedrijf in Duitsland gevestigd is, sluit dus niet automatisch alle juridische risico's uit.

Omgekeerd creëert een wettelijk recht op openbaarmaking van gegevens geen technische toegang die er voorheen niet was. Als een aanbieder daadwerkelijk geen toegang heeft tot de gegevens en geen controle heeft over de benodigde sleutels, moet deze architectuur in de juridische beoordeling worden meegenomen. Een geïsoleerd platform kan daarom niet zomaar gelijkgesteld worden aan een conventionele, door de fabrikant beheerde internetdienst.

Voor de ND Cloud blijven details die niet publiekelijk bekend zijn cruciaal: welke rollen zijn lokaal beschikbaar, hoe werken noodprocedures voor toegang, welke informatie is nodig voor foutenanalyse en wie beheert de cryptografische sleutels? De algemene Google-documentatie beschrijft afzonderlijke operationele rollen en specifieke noodprocedures, maar dit is niet automatisch een beschrijving van de uiteindelijke Duitse implementatie. Een algemene vrijbrief zou daarom net zo ongepast zijn als de ongefundeerde bewering van automatische toegang tot Amerikaanse gegevens.

Dit moet worden onderscheiden van het risico op verstoring van diensten. Zelfs als toegang tot gegevens technisch onmogelijk is, kunnen juridische of geopolitieke conflicten diensten zoals softwareonderhoud en -ondersteuning beïnvloeden. Een alomvattende soevereiniteitsbeoordeling moet daarom zowel de controle over informatie als de continuïteit van essentiële diensten onderzoeken.

Wat een eerlijke kostenberekening moet bevatten

Een uitgebreide economische analyse zou meer moeten omvatten dan alleen de kosten voor hardware en initiële software. Ook integratie, personeel, energie, training, beveiligingsmonitoring, back-up van gegevens, herstartmogelijkheden en de voortdurende aanpassing van gespecialiseerde processen moeten erin worden meegenomen. Voor de ND Cloud ontbreken openbaar beschikbare gedetailleerde gegevens om deze componenten betrouwbaar te kwantificeren; de bekende schatting van minstens € 500 miljoen vervangt deze uitsplitsing niet.

Daarnaast moet rekening worden gehouden met kosten die alleen tijdens een migratie ontstaan. Deze omvatten gegevensoverdracht, programma-aanpassing, tijdelijke parallelle werking en hernieuwde beveiligingsaudits. De Europese regelgeving inzake cloudmigratie maakt dan ook onderscheid tussen verschillende technische stappen, van data-extractie tot migratie naar een doelomgeving. Een financieel belangrijke migratie omvat daarom veel meer dan alleen het downloaden van een bestandsarchief.

Het is ook belangrijk om onderscheid te maken tussen huishoudelijke kosten en macro-economische effecten. Diensten geleverd door Duitse datacenters en dienstverleners kunnen lokale toegevoegde waarde genereren, zelfs als de kernsoftware afkomstig is van een internationale onderneming. Omgekeerd is een Europese aanbieder niet vrij van afhankelijkheden van de wereldwijde toeleveringsketen. Een gedegen analyse zou daarom rekening moeten houden met de daadwerkelijke verdeling van expertise en inkomsten, in plaats van simpelweg alle uitgaven toe te schrijven aan één land van herkomst.

Uiteindelijk zouden verschillende crisisscenario's afzonderlijk beoordeeld moeten worden. Een kortstondige onderbreking van de ondersteuning, een langdurige stopzetting van updates en een kortstondige platformwisseling zouden elk verschillende gevolgen hebben. In plaats van één ogenschijnlijk exact cijfer voor alle risico's te genereren, zou het passender zijn om bandbreedtes, aannames en met name ernstige gevolgen transparant te maken. Er zijn momenteel onvoldoende openbaar beschikbare projectgegevens om dergelijke waarden te bepalen.

Meetbare autonomie in plaats van geruststellende labels

Met de in april 2026 gepubliceerde criteria voor autonomie in cloudcomputing heeft het Duitse federale bureau voor informatiebeveiliging (BSI) een raamwerk gepresenteerd dat het zelfbepalende gebruik van clouddiensten systematischer moet beoordelen. Deze criteria vormen een aanvulling op de op beveiliging gerichte C5-vereisten, maar hebben op zichzelf geen regulerende werking. Beveiliging en soevereiniteit worden dus expliciet behandeld als verwante, maar afzonderlijke beoordelingsaspecten.

Het raamwerk maakt onderscheid tussen strategische, juridische, data-gerelateerde, operationele, supply chain-gerelateerde en technologische aspecten. Specifieke testcriteria, zoals de overdraagbaarheid van operationele kennis, de beschikbaarheid van onafhankelijk onderhoud en de mogelijkheid om de activiteiten voort te zetten in geval van een storing bij een derde partij, zijn hierbij relevant. Dergelijke kenmerken zijn voor een platform met hoge beveiliging betekenisvoller dan een algemene zelfomschrijving als soeverein.

Voor de praktische werking zou een regelmatig geteste herstartprocedure bijzonder waardevol zijn. Hiermee zou worden aangetoond of de bestaande back-ups, documentatie en expertise toereikend zijn om essentiële functies te herstellen onder duidelijk gedefinieerde faalomstandigheden. Het zou ook mogelijk maken om te testen welke gegevens en applicaties daadwerkelijk bruikbaar zijn in een secundaire omgeving. Een succesvolle test zou effectiever zijn dan een puur theoretische optie voor overschakeling.

Zelfs wetswijzigingen veranderen deze technische uitdaging niet. De Data Act verbiedt vanaf 12 januari 2027 overstapkosten voor gedekte gegevensverwerkingsdiensten. Dit betekent echter niet automatisch dat elke specifieke inlichtingenomgeving onder dit verbod valt, noch dat interne migratie-, ontwikkelings- en beveiligingskosten worden geëlimineerd. Kosteloze overstap voor de aanbieder en daadwerkelijke technische uitwisselbaarheid zijn niet hetzelfde.

Meer rekenkracht vereist duidelijke toegangsbeperkingen

Een gedeeld platform kan samenwerking vergemakkelijken, maar het mag het speelveld niet gelijktrekken door technische aspecten te vereenvoudigen en de verschillen in wettelijke verantwoordelijkheden en gegevensrechten te minimaliseren. Een gedeelde infrastructuur geeft niet automatisch alle partijen onbeperkte toestemming om alle daarin opgeslagen informatie vrijelijk te gebruiken. Met name bij de uitwisseling van informatie tussen inlichtingendiensten en de politie gelden strengere grondwettelijke eisen die niet verward mogen worden met loutere uitwisselingen tussen inlichtingendiensten.

Voor de architectuur betekent dit dat rollen, doeleinden, herkomst en toegestane gegevensdeling op de juiste manier in kaart moeten worden gebracht. Technische platforms kunnen gedetailleerde toegangsregels en traceerbare logboekregistratie ondersteunen; de documentatie van Google beschrijft op rollen en attributen gebaseerde machtigingen, evenals toegangsregistratie. De wettelijke, praktische toepassing blijft echter de exclusieve verantwoordelijkheid van de verantwoordelijke partijen.

Bovendien bestaat er een risico op concentratie. Gedeelde infrastructuur kan expertise op het gebied van beveiliging bundelen, maar tegelijkertijd kan een ernstige verstoring meerdere instanties treffen. Daarom moeten logische scheiding, herstel en onafhankelijke controlemechanismen gezamenlijk worden overwogen. De economische evaluatie mag niet alleen afhangen van het datacentergebruik, maar ook van hoe goed kritieke functies worden gehandhaafd tijdens gedeeltelijke verstoringen.

AI verplaatst de afhankelijkheid naar het modelniveau

Geautomatiseerde vertaling, samenvatting en analyse van grote datasets zijn plausibele toepassingen voor een gesloten cloud; Google biedt hiervoor AI-functies aan. Hierdoor kan de technische integratie verder reiken dan alleen de infrastructuur en ook modellen, interfaces en de organisatie van analytische workflows omvatten. Hoe meer gespecialiseerde processen worden afgestemd op specifieke AI-services, hoe belangrijker hun uitwisselbaarheid wordt.

Een lokaal beheerd model is echter niet automatisch soeverein. Gebruiksrechten, de mogelijkheid tot bijwerken, beschikbare modelcomponenten en de mogelijkheid om de tool te blijven gebruiken onder gewijzigde omstandigheden zijn ook relevant; de algemene productvoorwaarden maken expliciet onderscheid tussen verschillende modellen en gebruiksvormen. Of specifieke AI-aanbiedingen daadwerkelijk bedoeld zijn voor de ND Cloud kan niet worden afgeleid uit de algemene productbeschikbaarheid.

Vanuit economisch oogpunt moet AI daarom worden afgemeten aan de kwaliteit van de resultaten, en niet alleen aan het aantal verwerkte documenten. Extra investeringen kunnen waardevol zijn als ze de analyse versnellen en het gemakkelijker maken om relevante inzichten te vinden. Ze kunnen echter ook vervolgwerk met zich meebrengen als onjuiste samenvattingen of links moeten worden gecontroleerd; de aanbieder wijst doorgaans op mogelijke fouten in de output van generatieve systemen.

Een strategisch robuust ontwerp zou daarom dataopslag, modellen en gebruikersinterfaces zo goed mogelijk van elkaar scheiden. Hierdoor kunnen individuele analysetools worden bijgewerkt zonder dat het hele platform hoeft te worden vervangen. Vooral met de snel evoluerende AI-technologieën is de mogelijkheid om gecontroleerde updates door te voeren een economisch voordeel, en niet slechts een politieke noodzaak.

Internationale samenwerking zonder permanente kernafhankelijkheid

Uitwisseling met partnerdiensten kan compatibele technische procedures vereisen. Dit betekent echter niet noodzakelijkerwijs dat alle interne werkprocessen op hetzelfde platform moeten plaatsvinden. De Duitse strijdkrachten (Bundeswehr) noemen internationale interoperabiliteit als een belangrijk doel van hun multiplatformstrategie en koppelen dit expliciet aan het verminderen van de afhankelijkheid van leveranciers.

Een verstandige aanpak zou zijn om onderscheid te maken tussen nationale kernactiviteiten en duidelijk gedefinieerde uitwisselingsfuncties. Gespecialiseerde interfaces en goedgekeurde overdrachtsprocedures zouden kunnen worden gebruikt voor internationale samenwerking, terwijl centrale dataopslagplaatsen en fundamentele samenwerking onafhankelijk beheerd zouden blijven. De betrokkenheid van een internationale technologieleverancier zou daarmee een functioneel beperkte beslissing zijn en niet automatisch de basis vormen voor alle interne processen.

Interfaces lossen echter niet alle problemen op. Verschillende vertrouwelijkheidsniveaus, datamodellen en vrijgaveregels zorgen voor extra overhead. Een meer ontkoppelde architectuur kan daarom in eerste instantie duurder en complexer zijn. Het voordeel ervan is dat individuele samenwerkingsfuncties kunnen worden aangepast zonder dat dit de nationale kernactiviteiten op dezelfde manier beïnvloedt. Of dit voordeel de extra kosten rechtvaardigt, moet worden bekeken aan de hand van de specifieke eisen.

De cruciale vaardigheid is het vermogen om te schakelen

Het meest overtuigende perspectief vanuit technisch oogpunt ligt niet in een algehele afwijzing van Amerikaanse technologie, noch in de aanname dat technische netwerkscheiding alle soevereiniteitskwesties oplost. De geplande ND Cloud zou daadwerkelijke prestatieproblemen kunnen verhelpen; de geïsoleerde architectuur en de voortdurende afhankelijkheid van externe softwarelevering moeten echter afzonderlijk worden geëvalueerd.

Voor algemene samenwerking verdienen geschikte open oplossingen een systematische evaluatie, omdat openDesk en op Matrix gebaseerde diensten al in de praktijk als bouwstenen worden ingezet. Voor zeer gespecialiseerde processen kunnen andere technische vereisten gelden. Het is cruciaal dat gerechtvaardigde uitzonderingen niet worden uitgebreid tot een algemene, permanente afhankelijkheid en dat de resterende risico's expliciet worden geïdentificeerd.

Een robuuste strategie zou daarom een ​​combinatie moeten zijn van interne beoordelingsexpertise, transparante updateprocessen en beproefde noodplannen. Niet elke applicatie vereist een volledig functioneel secundair platform dat direct beschikbaar is. Kritieke functies moeten echter zodanig worden ontworpen dat een storing in de externe prestaties niet noodzakelijkerwijs leidt tot verlies van overheidscapaciteit. Dit vereist technische waarborgen, gekwalificeerd personeel en financiering op lange termijn.

De echte test van soevereiniteit vindt niet plaats tijdens ononderbroken, normale werking. Die begint op het moment dat een leverancier zijn voorwaarden wijzigt, de ondersteuning uitvalt of de politieke kaders verschuiven. Een krachtige cloud is waardevol voor de staat. Het wordt pas strategisch beheersbaar wanneer de staat niet alleen de huidige werking ervan controleert, maar ook levensvatbare opties heeft voor de toekomst.

Markus Becker

Ik sta graag tot uw beschikking als uw persoonlijke adviseur.

Hoofd Bedrijfsontwikkeling

Voorzitter van de SME Connect Defensie Werkgroep

LinkedIn

Konrad Wolfenstein

Ik sta graag tot uw beschikking als uw persoonlijke adviseur.

U kunt contact met mij opnemen via wolfenstein∂xpert.digital of

U kunt me bellen op +49 7348 4088 965 .

LinkedIn