Update migratie .nl domeinregistratiesysteem naar AWS

Tweede Kamer der Staten-Generaal2Vergaderjaar 2023–202426 643Informatie- en communicatietechnologie (ICT)Nr. 1199 BRIEF VAN DE MINISTER VAN ECONOMISCHE ZAKEN ENKLIMAAT Aan de Voorzitter van de Tweede Kamer der Staten-GeneraalDen Haag, 21 juni 2024In de beantwoording van de Kamervragen over de «verhuizing van het.nl-domein» van 22 maart 20241 heb ik aangekondigd dat ik uw Kamervoor de zomer zou informeren over de voortgang van de stappen die wezetten inzake de voorgenomen migratie van SIDN naar de publieke cloudvan Amazon Web Services (AWS). In deze brief bied ik u, mede namens deStaatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties, eenoverzicht aan van de stand van zaken inclusief lopende acties.Verschillende acties en onderzoeken zijn momenteel in uitvoering.Conclusies over het voorgenomen besluit van SIDN om het domeinregis-tratiesysteem in de cloud van AWS te willen migreren volgen daaromlater. De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelatiesen ik vinden het van belang dat we solide en volledig uitgewerkteconclusies kunnen presenteren voor deze complexe materie. We hebbendaarbij besloten dat de kwaliteit van de onderzoeken en daarmee deuiteindelijke oordeelsvorming boven de snelheid van het proces dient tegaan.Gesprek met belangenbehartigers cloudOp 27 maart jl. ben ik samen met de Staatssecretaris Binnenlandse Zakenen Koninkrijksrelaties in gesprek gegaan met experts en belangheb-benden over de wijze waarop de Digitale Open Strategische Autonomie(DOSA) het beste kan worden geborgd voor vraagstukken rondomcloudinfrastructuur en -diensten. Ter sprake kwam de afhankelijkheid vangrote niet-Europese aanbieders van clouddiensten, en dat het vanessentieel belang is dat ongewenste en risicovolle strategische afhanke-1Antwoord op vragen van de leden Kathmann, Six Dijkstra en Sneller over de verhuizing vanhet.nl domein | Tweede Kamer der Staten-Generaal kst-26643-1199ISSN 0921 - 7371’s-Gravenhage 2024Tweede Kamer, vergaderjaar 2023–2024, 26 643, nr. 11991 lijkheden van een of enkele aanbieders worden beperkt.2 De aanwezigenconstateerden dat het marktfalen en de afhankelijkheidsproblematiek ophet terrein van cloud hoger op de politieke agenda dienen te komen.Daartoe is het belangrijk dat beleidsinzet voor het stimuleren van eenconcurrerend Europees cloudaanbod wordt geïntensiveerd. Het is cruciaalom daarbij samenwerking tussen de overheid en het bedrijfsleven tezoeken, zodat voldoende investeringen worden gedaan en vooruit wordtgekeken. Dit betekent dat ook de vraagarticulatie van cloudinfrastructuuren -diensten volwassener dient te worden. Aanwezigen benadrukten ookdat de (Rijks)overheid hier een rol in kan spelen. De Staatssecretaris vanBinnenlandse Zaken en Koninkrijksrelaties heeft in dit verband aange-geven dat het kabinet momenteel het Rijksbrede cloudbeleid evalueert.QuickscanDe resultaten van dit gesprek zijn meegenomen in de opdracht voor dequickscan. De quickscan wordt door KPMG uitgevoerd. De resultatenhiervan worden na de zomer verwacht en zullen worden gedeeld met deTweede Kamer.Het doel van de quickscan is om zicht te krijgen op specifieke technischefunctionaliteiten en relevante organisatorische en juridische aspecten vanrespectievelijk Nederlands en Europees aanbod van clouddiensten, invergelijking met het aanbod van de dominante niet-Europese marktpar-tijen. Oftewel een beeld schetsen van de verschillen («de gap») tussen hetaanbod van de lokale (Europese) partijen en de marktleiders. De bevin-dingen van de quickscan helpen ook om meer inzicht te verkrijgen in deverschillen qua aanbod, op basis van de door afnemers gestelde eisen.De opdrachtnemer zal de inzichten uit bovenstaand onderzoeksdoeltoepassen op de casus van het domeinregistratiesysteem van SIDN en destrategische criteria en specifieke criteria op functionaliteit en beveiligingdie daarvoor gesteld worden in het Eraneos rapport3 voor SIDN. Het doelis om daarmee een beter beeld te krijgen of er een vergelijkbaar Neder-lands of Europees alternatief beschikbaar is dat kan voldoen aan de eisenvan partijen als SIDN voor haar domeinregistratiesysteem. De uitkomstvan deze casus kan waardevol zijn voor andere vragende partijen die hogeeisen stellen aan de continuïteit en cyberveiligheid van de clouddienstver-lening. Tot slot dient het onderzoek aanbevelingen te geven vooroplossingsrichtingen aan zowel de vraag- als aanbodzijde van de marktom de gevonden lacunes te ondervangen.DPIA, DTIA en exitstrategieSIDN heeft een externe partij, Considerati, ingeschakeld om een DataProtection Impact Assessment (DPIA) uit te voeren voor de migratie vanhet domeinregistratiesysteem. Daarnaast wordt een Data Transfer ImpactAssessment (DTIA) uitgevoerd. De verwachting is dat de DPIA en DTIA nade zomer zijn afgerond. Daarnaast is SIDN bezig een exitstrategie op testellen die zal toezien op zowel het snel kunnen verhuizen in het geval vanproblemen of calamiteiten, als het kunnen migreren naar een Europese ofNederlandse cloudprovider indien deze mogelijkheid zich aandient. Deze2Dit sluit aan bij bevindingen van diverse eerdere analyses over afhankelijkheden in decloudmarkt. De cloudmarktstudie van de ACM uit 2022 zet bijvoorbeeld de economische entechnische afhankelijkheden in de sector gedetailleerd uiteen. Ook in de agenda Digitale OpenStrategische Autonomie (DOSA) is cloud opgenomen als een van de beleidsprioriteiten.3Eraneos AdviesrapportTweede Kamer, vergaderjaar 2023–2024, 26 643, nr. 11992 zal in lijn zijn met het Implementatiekader Risicoafweging CloudgebruikRijksoverheid.4AnalysesSIDN is aangewezen door EZK als aanbieder van een essentiële dienstbinnen onze digitale infrastructuur en valt daarmee binnen de reikwijdtevan vitale infrastructuur. De Rijksinspectie Digitale Infrastructuur (RDI)houdt toezicht op SIDN op basis van de Wet beveiliging netwerk- eninformatiesystemen (Wbni). Sinds de beantwoording van de Kamervragenis er meerdere keren contact geweest met SIDN. SIDN heeft aangegevenhet belang te zien van toezicht en zal de RDI actief informeren enbetrekken bij de verschillende voorziene fasen in het voorgenomenmigratietraject om de veiligheid, integriteit en continuïteit voor het .nldomein te garanderen. De toezichthouder zal blijvend meekijken op debeheersing van risico’s van het huidige en het toekomstige systeem en dievan de exitstrategie.Ten behoeve van verdere beleids- en besluitvorming in deze casus is, inaanvulling op bovenstaande acties, de Algemene Inlichtingen- enVeiligheidsdienst (AIVD) verzocht een risicoanalyse uit te voeren. De AIVDvoert deze analyse uit op basis van zijn wettelijke taak tot veiligheidsbe-vordering (Wet op de Inlichtingen- en Veiligheidsdiensten 2017, artikel 8).ConvenantMede in het kader van het convenant5 is met SIDN de afgelopen maandenveelvuldig contact geweest om opvolging te geven aan de acties. Kort nahet verschijnen van de antwoorden op de Kamervragen heeft SIDN zelfeen nadere toelichting gegeven op hun voorgenomen besluit en deinternet sector inzicht gegeven in technische eisen die zij stellen aan hetdomeinregistratiesysteem en bijbehorende platform.Tot slot benadruk ik graag dat de verhuizing van het domeinregistratie-systeem nog geen voldongen feit is. Er is afgesproken dat SIDNgedurende de looptijd van de hierboven genoemde acties en lopendeonderzoeken geen onomkeerbare stappen zal zetten. Ik verwacht dat degenoemde acties na de zomer zijn afgerond en dat daarmee een helderinzicht wordt verkregen welke vervolgstappen gezet moeten worden.Besluitvorming daarover is aan het volgende kabinet.Mede namens de Staatssecretaris van Binnenlandse Zaken enKoninkrijksrelatiesDe Minister van Economische Zaken en Klimaat,M.A.M. Adriaansens4Implementatiekader risicoafweging cloudgebruik | Rapport | Rijksoverheid.nl5Convenant EZK en SIDN | Tweede Kamer der Staten-GeneraalTweede Kamer, vergaderjaar 2023–2024, 26 643, nr. 11993