Belastingdienst kiest eigen servers boven Microsoft 365 in de cloud
De Belastingdienst, de Douane en Toeslagen stappen niet over naar Microsoft 365. Hun kantoorsoftware gaat draaien op servers die ze zelf in de hand hebben.
Wat er gebeurde
De Belastingdienst, de Douane en Toeslagen gaan niet over op Microsoft 365 in de cloud. Hun mail, agenda’s en documenten komen op servers die ze zelf in de hand hebben, met Microsoft-software en Europese open source.
Dat schreef staatssecretaris Eelco Eerenberg van Financiën op 5 oktober aan de Tweede Kamer, in antwoord op vragen van CDA-Kamerlid Inge van Dijk. De software draait straks op servers die de Belastingdienst zelf beheert of controleert. Dat kan nu wel, schrijft Eerenberg, mede doordat de Belastingdienst meer ruimte in zijn datacenters heeft gemaakt. Waar het kan, gebruikt de dienst licenties die hij al heeft.
Eerst gaan mail en agenda in 2027 naar de eigen servers. Later in 2027 en in 2028 volgen Europese open-source oplossingen voor persoonlijke opslag en samenwerken. Zo volgt de Belastingdienst het advies van het Adviescollege ICT-toetsing om niet alles bij één leverancier te halen, maar per onderdeel naar alternatieven te kijken. De keuze heeft een prijs: de vervanging duurt langer, en een deel van de geplande voorzieningen voor archiefbeheer zat in het pakket van Microsoft 365 en bestaat niet voor eigen servers. Hoe dat wordt opgelost, zoekt de Belastingdienst nog uit.
In het debat met de Kamercommissie voor Financiën op 7 oktober zei Eerenberg dat het wel Microsoft-software blijft, maar dan op eigen servers. Op de vraag of de Amerikaanse CLOUD Act daarmee buiten beeld is, antwoordde hij dat de Belastingdienst over deze systemen zelf de controle heeft, al kan de juridische werkelijkheid anders zijn. Hij gaf ook toe dat er risico’s blijven: het besturingssysteem van de servers in Apeldoorn kan bijvoorbeeld van een Amerikaanse leverancier komen. Een knop om dat in één keer om te zetten is er volgens hem niet; het gaat stap voor stap.
“Dat wordt wel Microsoft, maar ‘on-premises’ in goed Nederlands.”
Staatssecretaris Eerenberg in het commissiedebat van 7 oktober 2026, via Security.NL
De achtergrond
Hoe de enige optie een pauze werd
Het programma om Microsoft 365 in te voeren begon in 2021, voor zo’n 47.000 medewerkers. In 2025 koos het kabinet er nog voor, omdat het toen volgens Eerenberg “de enige uitvoerbare en realistische optie” was. In februari 2026 schreef staatssecretaris Heijnen dat de overstap doorging. Het risico dat Microsoft onder politieke druk zou stoppen, vond hij klein, en het echte belastingwerk (heffen, innen en opsporen) bleef toch in de eigen datacenters.
Op 29 juni kwam het advies van het Adviescollege ICT-toetsing, dat grote ICT-projecten van de overheid doorlicht. Het was hard: stop meteen met Microsoft 365 in de publieke cloud en zet de medewerkers die al over waren terug. De beveiliging schoot volgens het college ernstig tekort en de afhankelijkheid van één Amerikaanse leverancier was onaanvaardbaar. De opsporingsdienst FIOD kon het pakket helemaal niet gebruiken. In juli zette Eerenberg de overstap stil om te onderzoeken of het op eigen servers kon.
Waarom het uitmaakt waar je gegevens staan
Achter de discussie zit de CLOUD Act, een Amerikaanse wet uit 2018. Daarmee kunnen Amerikaanse autoriteiten gegevens opvragen bij Amerikaanse bedrijven, ook als die gegevens in Europa staan. In juni 2025 gaf Microsoft Frankrijk onder ede in de Franse Senaat toe dat het niet kan garanderen dat gegevens van Franse burgers nooit zonder toestemming van Frankrijk bij de Amerikaanse overheid terechtkomen, al was dat volgens Microsoft nog nooit gebeurd.
Dichter bij huis kon de hoofdaanklager van het Internationaal Strafhof in Den Haag in mei 2025, na Amerikaanse sancties, niet meer bij zijn mail bij Microsoft, meldde persbureau AP. Microsoft zegt dat het zijn diensten aan het Strafhof nooit heeft stopgezet, maar legt niet uit hoe dat account precies werd afgesloten.
Ook op eigen servers blijft Microsoft een abonnement
Microsoft verkoopt zijn mailserver voor eigen servers sinds juli 2025 als abonnement: Exchange Server Subscription Edition. De oude versies 2016 en 2019 krijgen sinds 14 oktober 2025 geen updates meer. De Kamerbrief noemt geen product, maar zo ziet Microsoft op eigen servers er nu uit: de gegevens staan thuis, de software blijft een abonnement.
Onze analyse
Eigen servers halen de gegevens terug, niet de onafhankelijkheid
Het besluit lost één ding echt op. Mail en documenten staan straks niet meer bij Microsoft, dus een verzoek aan Microsoft onder de CLOUD Act heeft weinig meer om op te vragen, en niemand buiten de Belastingdienst kan een account afsluiten zoals bij het Strafhof. Maar de software, de licenties en de updates komen nog steeds uit de Verenigde Staten, zoals Eerenberg zelf ook erkent. Dat is geen zwakte van het besluit, maar een verstandige volgorde: eerst bepalen waar de gegevens staan, dan per onderdeel kiezen wie de software levert.
Wat in de berichtgeving onderbelicht blijft, is wat het kost. Eigen beheer vraagt mensen en tijd, en die zijn bij de Belastingdienst schaars. Ook bij het nieuwe btw-systeem schuift de planning op, omdat de Belastingdienst de hosting zelf overneemt. En in februari heette deze route nog onhaalbaar. Wat sindsdien veranderde, zijn de ruimte in de datacenters, een hard advies en de politieke druk.
De les voor andere organisaties zit in het advies van het college, niet in de datacenters. Weinig bedrijven zetten hun eigen servers neer, maar iedereen kan per onderdeel nagaan wat het moet kunnen, waar de gegevens mogen staan en hoe je er weer uitkomt. Onze inschatting: meer overheden gaan deze route volgen, en dan krijgen ook hun leveranciers de vraag waar hun gegevens staan.
Wat opvalt
- De back-ups kwamen niet terug Bestanden die gecrasht of versleuteld waren, konden volgens het college niet buiten Microsoft 365 worden teruggezet. In eenvoudige tests liep de back-upsoftware al vast op lege mappen.
- Wachten kost ook Medewerkers hebben al nieuwe laptops, maar werken vaak nog met verouderde software. De Belastingdienst schatte in februari dat dat 15 tot 30 minuten per medewerker per dag kost.
- De licenties blijven van Microsoft Microsoft-mail op eigen servers vraagt sinds 2025 een lopend abonnement. De gegevens staan thuis, maar de updates komen nog steeds van Microsoft.
- Voor vernieuwing blijft 5 procent over Van de ICT-capaciteit voor veranderingen gaat 55 procent naar het bijwerken van oude systemen, 40 procent naar nieuwe wetten en 5 procent naar vernieuwing. Een overstap moet daar ook nog in passen.
Wat het voor jou betekent
Ook voor jullie is het de vraag welke software en data je zelf in de hand wilt houden, en wat je daarvoor overhebt.
- Eigen servers, niet per se een andere leverancier De Belastingdienst blijft deels bij Microsoft, maar bepaalt zelf waar de software draait. Wie de controle terug wil, hoeft dus niet alles te vervangen.
- Kies per onderdeel Mail vraagt iets anders dan opslag of samenwerken. Bekijk per onderdeel wat het moet kunnen, waar de gegevens mogen staan en hoe je er weer uitkomt.
- Reken op een lange weg Zo’n overstap duurt jaren en kan functies kosten die alleen in de cloud bestaan. Zo’n keuze maak je dus beter vroeg dan laat.
Wat wij ermee kunnen · Advies
We kijken mee waar jullie AI draait en waar je data blijft
Zoeken we met je uit waar AI jullie werk kan overnemen, dan kijken we ook waar die AI draait en waar jullie gegevens terechtkomen. Soms is een dienst in de cloud prima, soms past AI op een eigen server beter.
Welke software en data willen jullie zelf in de hand houden?
Vertel ons waar jullie nu over twijfelen. We denken met je mee en reageren altijd binnen één werkdag.
