RDI adviseert: Focus op risicoanalyse in plaats van alleen op locatie

De discussie over digitale autonomie laait in Europa regelmatig op, waarbij vaak gepleit wordt voor een volledige onafhankelijkheid van Amerikaanse of Chinese tech-reuzen. Maar recente incidenten tonen volgens de RDI aan dat ook Europese partijen kwetsbaar kunnen zijn. Digitale weerbaarheid begint volgens de inspectie niet bij de locatie van de server, maar bij het begrijpen van de risico's.

De Cyberbeveiligingswet als leidraad

De oproep van de RDI komt niet uit de lucht vallen. De nieuwe Cyberbeveiligingswet (Cbw) stelt namelijk strenge eisen aan hoe organisaties met clouddiensten omgaan. De RDI, die toezicht gaat houden op de naleving van deze wet, benadrukt drie fundamentele zuilen waar organisaties aan moeten voldoen:

1. Risicoanalyse en Informatiebeveiliging: Een organisatie moet precies weten waar data fysiek staat, wie er toegang toe heeft en hoe snel systemen hersteld kunnen worden na een storing. Zonder dit inzicht is een risicoanalyse onvoldoende.
2. Beheersing van de toeleveringsketen: Risico's liggen vaak buiten de eigen muren. Organisaties moeten weten welke onderleveranciers betrokken zijn bij hun cloudinfrastructuur en wat er contractueel is vastgelegd voor het geval het misgaat.
3. Beleid dat in de praktijk werkt: Het hebben van een papieren tijger volstaat niet. De RDI eist dat organisaties periodiek hun leveranciers evalueren en beschikken over een concrete 'exit-strategie' om over te kunnen stappen naar een andere aanbieder.

Grip is de basis

Jasper Nagtegaal, directeur Digitale Weerbaarheid bij de RDI, is helder over de prioriteiten: "Organisaties die grip hebben, zijn weerbaar. En organisaties die die grip missen, blijven kwetsbaar, zelfs in een ‘soevereine’ omgeving."

Het standpunt van de toezichthouder is pragmatisch: een niet-Europese leverancier kan een acceptabele keuze zijn, mits de risico’s volledig beheerst worden. Omgekeerd kan een Europese provider onacceptabel zijn als de gebruiker geen enkele controle heeft over de processen.

De RDI adviseert cloudgebruikers dan ook om per direct te starten met een gedegen risicoanalyse en een sterker leveranciersmanagement. Dit is volgens de inspectie niet alleen essentieel om straks aan de Cyberbeveiligingswet te voldoen, maar vooral om de eigen continuïteit in een steeds complexer digitaal landschap te waarborgen.