Belastingdienst stopt met de Microsoft 365-cloud

In oktober 2025 noemde staatssecretaris Eugène Heijnen Microsoft 365 nog "de enige realistische optie op dit moment" (brief 2025). Een jaar later is die optie van tafel.

Zijn opvolger Eelco Eerenberg schreef de Kamer op 5 oktober dat Belastingdienst, Douane en Toeslagen nu kiezen voor eigen servers en open source (Kamerbrief). Open source is software waarvan de code openbaar is en die je zelf mag draaien. Dezelfde dag erkende het kabinet dat een Amerikaanse leverancier klem kan zitten tussen twee wetten: de Amerikaanse CLOUD Act en de Europese privacywet AVG.

Voor andere organisaties zit het belangrijkste deel in wat de brief niet noemt: Copilot.

De uitrol strandde bij 5.000 van de 47.500 medewerkers

"Draai de uitrol van M365 in de publieke cloud terug."

Het Adviescollege ICT-toetsing licht grote ICT-projecten van het Rijk door. Het college zag een vendor lock-in: vastzitten aan één leverancier. Ook schreef het dat "een werkbare exit-strategie ontbreekt". Een exitstrategie regelt hoe je vertrekt zonder dat het werk stilvalt.

In januari werkte ongeveer een op de tien medewerkers in Microsoft 365. Begin 2026 was 9,3 van de 14,4 miljoen euro uitrolbudget uitgegeven. Eerenberg had in juni al een heroverweging aangekondigd. In juli zette hij het programma op pauze (brief juli).

Eigen servers, of on-premises: de software draait op servers van de Belastingdienst zelf, of op servers die de dienst controleert. Dat kan nu mede omdat de dienst meer datacentercapaciteit heeft, schrijft Eerenberg. In juni noemde hij uitbreiding in Apeldoorn nog "niet mogelijk door netcongestie": het stroomnet zat vol (brief juni).

De brief noemt geen enkel product

Eerenberg geeft wel een volgorde:

Eigen servers betekent dus niet vanzelf: geen Microsoft. Waar de open source draait, staat er evenmin. De dienst wil zoveel mogelijk bestaande licenties gebruiken. Of het Microsoft-licenties zijn, staat er niet.

Er valt ook iets af: een aantal geplande archieffuncties zat in het M365-pakket en "is niet on-premises beschikbaar".

Nederland loopt hier niet voorop. De Duitse deelstaat Sleeswijk-Holstein zette op 2 oktober 2025 de mail van zo'n 30.000 ambtenaren over. Van Exchange en Outlook, de mailsoftware van Microsoft, ging die naar Open-Xchange en Thunderbird, allebei open source (It's FOSS). Het Internationaal Strafhof kondigde eind 2025 aan Office in te ruilen voor openDesk, een Duits open-sourcepakket voor kantoorwerk (The Stack).

Wel tekenden het Rijk, provincies, gemeenten en SURF, de ICT-organisatie van onderwijs en onderzoek, vier dagen voor de brief een intentieverklaring. Open source wordt daarin een vast onderdeel van hun werk (Digitale Overheid).

Een Nederlands datacenter houdt de CLOUD Act niet tegen

Amerikaanse autoriteiten kunnen data opvragen bij Amerikaanse bedrijven, ook als die data in Europa staan. Dat regelt de CLOUD Act, een wet uit 2018. Minister Mirjam Sterk van Langdurige Zorg, Jeugd en Sport bevestigt dat in antwoorden aan de Kamerleden Claassen en Markuszower. Het gaat om wie de data beheert, "ongeacht het land waar deze data is opgeslagen" (antwoorden).

Gehoorzaamt een Nederlandse dochter van een Amerikaans bedrijf zo'n bevel, dan "kan dit in strijd zijn met de AVG". Weigert ze, dan kan ze de Amerikaanse wet overtreden. Een verzoek kan samengaan met een geheimhoudingsbevel. Het bedrijf mag dan niet melden dat er een verzoek was. Hoeveel verzoeken Nederlandse zorgdata betroffen, weet het kabinet niet.

Anton Carniaux is directeur publieke en juridische zaken van Microsoft France. In juni 2025 kon hij onder ede in de Franse Senaat niet garanderen dat gegevens van Franse burgers nooit op Amerikaans bevel worden doorgegeven zonder Franse toestemming. Volgens hem is dat nog nooit gebeurd (Sénat).

In de ambtelijke nota bij de antwoorden vatten VWS-ambtenaren de casus van de Kamerleden zo samen: "Bij een uitvraag van de Amerikaanse overheid, is het onmogelijk om aan beide wetten te voldoen." Het gaat om een Amerikaanse leverancier van een EPD, het elektronisch patiëntendossier van een ziekenhuis.

Of die zin ook het oordeel van de ambtenaren zelf is, staat er niet. De minister schrijft voorzichtiger: "kan". Wel erkent het kabinet dat het risico verder gaat dan meekijken. Een leverancier kan de dienst ook "beëindigen of opschorten". Hoe snel dat kan, liet een exportregel zien die een AI-model van Anthropic twee dagen na de lancering afsloot.

Een exitstrategie hoort volgens Sterk bij de NEN 7510, de verplichte norm voor informatiebeveiliging in de zorg. Het Rijk schrijft die plannen niet. Dat doet elke zorgaanbieder zelf.

Copilot kan niet bij mail op eigen servers

Microsoft zegt het zelf: "Microsoft Copilot is cloud-based and has no access to on-premises mailboxes." Copilot, de AI-assistent in Microsoft 365, draait dus alleen in Microsofts cloud. Een mailbox op eigen servers kan hij niet lezen, de agenda daarin ook niet (Microsoft Learn, gecontroleerd op 8 oktober 2026). Dit is bronnenonderzoek, geen eigen test.

Copilot stond in geen enkel stuk over de Microsoft-overstap. Eerenberg schreef in juni zelf dat "de meer geavanceerde AI-modellen en -tooling" van niet-Europese aanbieders komen (brief juni).

Ik denk dat hier de spanning zit die veel organisaties nog niet zien. Mail kun je terughalen naar eigen servers. Copilot, die in die mail leest, niet. Hoe meer werk via Copilot loopt, hoe meer een exitplan moet regelen.

Interactief

Welk deel van de werkplek zit vast aan de Microsoft-cloud?

OnderdelenCLOUD Act

Zet uit wat je organisatie niet gebruikt. De zin hieronder telt wat volgens de bronnen niet op eigen servers kan.

Mail en agendaOpslag en samenwerkenGeplande archieffunctiesCopilot

4 onderdelen gekozen. 2 daarvan bestaan volgens de bronnen niet op eigen servers: geplande archieffuncties uit M365 en Copilot.

• Mail en agenda

  Kan op eigen servers

  Belastingdienst

  Gaat volgens plan in 2027 naar eigen servers.

  Welke mailsoftware op die servers draait, staat niet in de brief. Eigen servers betekent dus niet vanzelf: geen Microsoft.

  Kamerbrief 5 oktober 2026

  Elders: Sleeswijk-Holstein

  Zette op 2 oktober 2025 de mail van zo'n 30.000 ambtenaren over van Exchange en Outlook naar Open-Xchange en Thunderbird.

  It's FOSS

• Opslag en samenwerken

  Europese open source

  Belastingdienst

  Europese open source, volgens plan later in 2027 en 2028.

  De brief noemt geen product. Waar het draait, zegt de brief niet expliciet.

  Kamerbrief 5 oktober 2026

  Elders: Internationaal Strafhof

  Kondigde eind 2025 aan Office in te ruilen voor openDesk, een Duits open-sourcepakket voor kantoorwerk.

  The Stack

• Geplande archieffuncties

  Niet op eigen servers

  Belastingdienst

  Een aantal beoogde voorzieningen voor de informatiehuishouding zat in het M365-pakket en is volgens de brief niet on-premises beschikbaar.

  Het gaat om functies die gepland waren. Hoe de Belastingdienst dit oplost, volgt uiterlijk in de volgende stand-van-zakenbrief.

  Kamerbrief 5 oktober 2026

• Copilot

  Alleen in Microsofts cloud

  Belastingdienst

  Kwam in geen enkel stuk over de M365-overstap voor. Staat hier ter vergelijking.

  Copilot is de AI-assistent in Microsoft 365. Hij draait alleen in de cloud van Microsoft en kan niet bij een mailbox op eigen servers, ook niet bij de agenda daarin.

  Microsoft Learn

De Microsoft-tekst over Copilot luidt: "Microsoft Copilot is cloud-based and has no access to on-premises mailboxes." Gecontroleerd op 8 oktober 2026.

Geen juridisch advies. Samengesteld door AI Centrum Nederland uit de Kamerbrief en de Kamerantwoorden van 5 oktober 2026, de nota van VWS, Microsoft Learn, It's FOSS en The Stack. Stand 8 oktober 2026.

Volgende Stap

Weet je welk deel van je werkplek en je AI-gereedschap aan één Amerikaanse leverancier hangt, en hoe je er weg zou komen? Lees de governance-checklist of neem contact op.

Headerbeeld: Eelco Eerenberg in 2022, toen wethouder in Utrecht. Foto: Bas van Setten / Gemeente Utrecht (Wikimedia Commons).