Kamerbrief geeft SIDN uitsluitsel over voornemen registratiesysteem
.nl-registratiesysteem mag onder voorwaarden en voor beperkter deel worden verplaatst
Ons voornemen om gebruik te gaan maken van een Amerikaanse hyperscaler leidde vorig jaar tot vragen over de noodzaak van dit besluit en met name tot zorgen over de Nederlandse soevereiniteit en strategische digitale autonomie. De toenmalig minister van Economische Zaken en Klimaat zegde daarop toe een quickscan uit te voeren waarin onder andere gekeken zou worden of er een vergelijkbaar Nederlands of Europees alternatief is dat aan onze eisen voldoet. SIDN heeft vervolgens aangegeven geen onomkeerbare stappen te zetten voordat de quickscan, een Data Protection Impact Assessment (DPIA) en een risicoanalyse van de AIVD afgerond zouden zijn.
Kamerbrief
Op 17 januari 2025 heeft de minister van Economische Zaken, mede namens de staatssecretaris van Digitalisering en Koninkrijksrelaties, een brief naar de Tweede Kamer gestuurd naar aanleiding van Kamervragen die in 2024 gesteld zijn over ons voorgenomen besluit om een deel van onze generieke technische infrastructuur onder te brengen in de cloud van Amazon Web Services (AWS). De verschillende acties en onderzoeken die geïnitieerd zijn door de Ministeries van EZ en BZK zijn afgerond. Op basis van een quickscan over het Nederlandse en Europese cloudaanbod, een Data Protection Impact Assessment (DPIA) en een risicoanalyse van de Algemene Inlichtingen- en Veiligheidsdienst (AIVD), is geconstateerd dat SIDN onder bepaalde voorwaarden en in een aangepaste vorm gebruik mag maken van de public cloud van AWS.
Uitkomsten quickscan
De uitkomsten van de quickscan bevestigen dat we voor zover we het redelijkerwijs konden overzien een zorgvuldig beredeneerd besluit hebben genomen waarbij de betrouwbaarheid en beschikbaarheid van het .nl-domein vooropstaat. Europese en Nederlandse cloudproviders kunnen de technische en functionele criteria en de juridische en organisatorische aspecten van SIDN op dit moment maar gedeeltelijk invullen. Een alternatief waarbij wordt gekozen voor de integratie van meerdere Europese en Nederlandse partijen is voor een kleine organisatie, zoals SIDN, heel moeilijk, risicovol en bovendien kostbaar. Dit beeld komt overeen met een onderzoek dat we in 2023 zelf hebben laten uitvoeren hiernaar.
Uitkomsten DPIA
Uit de DPIA blijkt dat, met de voorgenomen inrichting van de SIDN-omgeving, de aanvullende risicobeperkende maatregelen en de deelname van AWS aan het EU-US Data Privacy Framework, de privacyrisico’s voldoende kunnen worden ondervangen. Omwille van de veiligheid is ervoor gekozen om sommige delen in de DPIA, met name de delen over de specifieke inrichting en risicobeheersingsmaatregelen, niet openbaar te maken.
Uitkomsten risicoanalyse van de AIVD
In de brief staat verder dat SIDN en de minister van EZ, mede op basis van advies van de AIVD, afspraken hebben gemaakt over een aantal belangrijke maatregelen die we implementeren om de beschikbaarheid van .nl onafhankelijk van AWS te borgen. De kern van deze maatregelen betreft dat we de database voor de zonefile onderbrengen bij een Nederlandse cloudprovider. Deze database vormt de primaire, betrouwbare en vertrouwde bron op basis waarvan de generatie, signing en publicatie van de zonefile buiten AWS bij een Nederlandse cloudprovider plaatsvindt. Dit betekent dat we een beperkter deel van het domeinregistratiesysteem onderbrengen bij AWS in Frankfurt dan we oorspronkelijk voorzien hadden. Door deze maatregelen beperken we de afhankelijkheid van AWS en borgen we (digitale) autonomie.
Verdere uitwerking en implementatie in nauwe samenspraak
Met de uitkomsten van de onderzoeken en de afspraken over een aantal belangrijke aanpassingen kunnen we nu vooruit. De verdere uitwerking en implementatie gebeurt in nauwe samenspraak met het ministerie van EZ, de betrokken Nederlandse provider en de Vereniging van Registrars. Ons doel is om het nieuwe domeinregistratiesysteem in het eerste kwartaal van 2026 te lanceren.
Open voor vragen over uitkomst en suggesties voor uitwerking
We hebben het afgelopen jaar veelvuldig afstemming gehad met onze omgeving en blijven dat doen. In dat kader gaan we graag in gesprek met iedereen die vragen heeft naar aanleiding van de uitkomst of suggesties heeft voor de uitwerking.
