Cloud Overheid

Cloud Overheid — Cloudbeleid, Risicoafweging en BIO Cloud Controls

Beoordeel en implementeer cloudoplossingen voor de overheid conform het rijksbrede cloudbeleid en BIO.

Bron: Rijkscloudbeleid | BIO | Haven

Cloudbeleid overheid

Cloud-eerste principes

Risicoafweging cloudmigratie

Stap 1: Dataclassificatie

Stap 2: BIO-classificatie (BBN)

Stap 3: Risicobeoordeling

Data-classificatie + BBN → Risiconiveau
    |
    +-- Laag risico → Public cloud toegestaan
    |   (open data, BBN1)
    |
    +-- Midden risico → Public cloud met maatregelen
    |   (intern, BBN2, persoonsgegevens)
    |   Maatregelen: encryptie, BYOK, EU-regio, DPA
    |
    +-- Hoog risico → Private/sovereign cloud
    |   (bijzondere persoonsgegevens, BBN3)
    |
    +-- Zeer hoog risico → Geen cloud
        (staatsgeheim)

BIO cloud controls

Aanvullende BIO-maatregelen voor cloudgebruik (bovenop standaard BIO):

SaaS-beoordelingskader

from dataclasses import dataclass
from enum import Enum

class Risico(Enum):
    LAAG = "laag"
    MIDDEN = "midden"
    HOOG = "hoog"
    ZEER_HOOG = "zeer_hoog"

@dataclass
class SaaSBeoordeling:
    naam: str
    leverancier: str
    dataclassificatie: str
    bbn: int
    persoonsgegevens: bool
    bijzondere_gegevens: bool
    data_in_eu: bool
    encryptie_at_rest: bool
    encryptie_in_transit: bool
    mfa_beheer: bool
    exit_strategie: bool
    verwerkersovereenkomst: bool
    subverwerkers_inzichtelijk: bool
    cloud_act_risico: bool

    @property
    def risico(self) -> Risico:
        if self.bijzondere_gegevens and not self.data_in_eu:
            return Risico.ZEER_HOOG
        if self.bbn >= 3:
            return Risico.HOOG
        if self.persoonsgegevens and (self.cloud_act_risico or not self.data_in_eu):
            return Risico.HOOG
        if self.persoonsgegevens:
            return Risico.MIDDEN
        return Risico.LAAG

    @property
    def toegestaan(self) -> bool:
        verplicht = [
            self.encryptie_at_rest,
            self.encryptie_in_transit,
            self.mfa_beheer,
            self.exit_strategie,
        ]
        if self.persoonsgegevens:
            verplicht.extend([
                self.verwerkersovereenkomst,
                self.data_in_eu,
                self.subverwerkers_inzichtelijk,
            ])
        return all(verplicht) and self.risico != Risico.ZEER_HOOG

    def rapport(self) -> str:
        status = "TOEGESTAAN" if self.toegestaan else "NIET TOEGESTAAN"
        return f"{self.naam} ({self.leverancier}): {status} - risico: {self.risico.value}"

Exit-strategie

Elke cloudoplossing vereist een gedocumenteerde exit-strategie:

Haven — Container Platform Standaard

# Haven-compliant Kubernetes deployment voorbeeld
apiVersion: apps/v1
kind: Deployment
metadata:
  name: zaaksysteem
  labels:
    app: zaaksysteem
    haven.commonground.nl/compliant: "true"
spec:
  replicas: 2
  selector:
    matchLabels:
      app: zaaksysteem
  template:
    metadata:
      labels:
        app: zaaksysteem
    spec:
      securityContext:
        runAsNonRoot: true
        seccompProfile:
          type: RuntimeDefault
      containers:
        - name: zaaksysteem
          image: registry.organisatie.nl/zaaksysteem:v2.1.0
          securityContext:
            allowPrivilegeEscalation: false
            readOnlyRootFilesystem: true
            capabilities:
              drop: ["ALL"]
          resources:
            limits:
              memory: "512Mi"
              cpu: "500m"
            requests:
              memory: "256Mi"
              cpu: "250m"
          ports:
            - containerPort: 8080
          livenessProbe:
            httpGet:
              path: /healthz
              port: 8080
          readinessProbe:
            httpGet:
              path: /ready
              port: 8080

Verwerkersovereenkomst cloud

Implementatie-checklist

• Dataclassificatie: alle data geclassificeerd (openbaar/vertrouwelijk/staatsgeheim)
• BIO-classificatie: BBN-niveau vastgesteld
• Risicoanalyse: cloudspecifieke risicobeoordeling uitgevoerd
• Datalocatie: bevestigd dat data in EU/EER wordt opgeslagen
• Encryptie: at rest (AES-256) en in transit (TLS 1.2+) geactiveerd
• BYOK: Bring Your Own Key ingericht (BBN3: verplicht)
• MFA: multi-factor authenticatie voor alle beheertoegang
• Logging: cloud-auditlogging geactiveerd en gekoppeld aan SIEM
• Verwerkersovereenkomst: afgesloten conform AVG Art. 28
• Subverwerkers: lijst inzichtelijk; wijzigingsprocedure afgesproken
• Exit-strategie: gedocumenteerd; data-export getest; alternatief geidentificeerd
• DPIA: uitgevoerd als persoonsgegevens worden verwerkt
• SLM: strategisch leveranciersmanagement ingericht
• Haven: bij Kubernetes: Haven-compliant deployment

Gerelateerde skills

Meer informatie

• Rijkscloudbeleid
• BIO | BIO cloudthema
• Haven — container platform standaard
• NCSC cloudrichtlijnen
• ENISA Cloud Security Guide
• EUCS — EU Cloud Certification Scheme