vendor lock-in Microsoft

Vraag 1

Wat is de afhankelijkheid van de IJsselgemeenten van Microsoft-producten?

Antwoord van het college

We zijn zeker afhankelijk van MicroSoft. De belangrijkste reden hiervoor is dat vrijwel alle basisapplicaties die we gebruiken – en die door andere leveranciers worden aangeboden – zijn ontworpen om optimaal samen te werken met Microsoft-producten en sommige applicaties dit ook eisen. Dit betekent dat een overstap naar een ander platform niet alleen praktisch onmogelijk is, maar ook grote risico’s met zich meebrengt op het gebied van compatibiliteit, ondersteuning en beveiliging. De redenen dat we met Microsoft samenwerken zijn dan ook:

- Gebruikersgemak

- Integratie met bestaande applicaties

- Cloudmogelijkheden

- Schaalbaarheid Beveiliging & Compliance Productiviteitsverhoging

Vraag 2

Maakt IJsselgemeenten gebruik van het raamcontract van de VNG?

Antwoord van het college

IJsselgemeenten maakt gebruik van het VNG-contract. Dat biedt voordelen zoals schaalvoordeel, betere voorwaarden op het gebied van beveiliging en compliance, en een gestroomlijnde samenwerking tussen verschillende gemeenten. Dit helpt ons om efficiënt en veilig te werken, zonder dat we telkens opnieuw complexe contractonderhandelingen moeten doen.

Vraag 3

Welke zorgen leven bij de IJsselgemeenten ten aanzien van deze vermelde vendor lock-in en welke strategie hanteren zij hierbij?

Antwoord van het college

Over de samenwerking met Microsoft hebben we geen zorgen. We moeten een stabiele technologie partner hebben en op dit gebied zijn er slechts een paar. Onze strategische aanpak laat zien dat Microsoft hier voor onze omgeving de beste is.

Vraag 4

Wie is eigendom van de servers waar gegevens opgeslagen staan van de IJsselgemeenten die verwerkt worden met behulp van Microsoft producten?

Antwoord van het college

Waar staan deze servers?

De servers van Microsoft voor Europese klanten staan in datacenters binnen de Europese Unie. Microsoft heeft meerdere datacenters in Europa om te voldoen aan AVG/GDPR-

 wetgeving en lokale regelgeving over gegevensbescherming. Bij een uitvraag/inkoop van een nieuwe applicatie eisen we altijd dat de servers in Europa moeten staan. De belangrijkste locaties zijn onder andere:

• Nederland (Amsterdam en Middenmeer)

• Duitsland (Frankfurt en Berlijn)

• Ierland (Dublin en andere locaties)

• Frankrijk (Parijs en Marseille)

• Zweden, Noorwegen, Spanje en Italië hebben ook Microsoft-datacenters.

Microsoft heeft ook aangekondigd dat het steeds meer sovereign cloud-oplossingen aanbiedt, waarbij gegevens volledig binnen specifieke Europese jurisdicties blijven. Dit helpt overheden en publieke instanties om te voldoen aan strengere regelgeving.

Vraag 5

Welke gegevens worden verwerkt met betrekking tot deze producten?

Antwoord van het college

Van inwoners, ambtenaren, politici?

Microsoft verwerkt (indirect) van alle drie de categorieën gegevens. De verwerking van persoonsgegevens van onze inwoners beperkt zich tot gegevens die we beveiligd (met extra versleuteling) e-mailen. Persoonsgegevens van inwoners verwerken we hoofdzakelijk met andere oplossingen dan die van Microsoft.

Vraag 6

In hoeverre heeft Microsoft toegang tot: a. Persoonsgegevens van ambtenaren en/of inwoners, zoals gedefinieerd in artikel 4 lid 1 AVG?

Antwoord van het college

b. De inhoud van de gegevens die verwerkt worden (inhoud van documenten, e-mails, databases, etc.)?

Microsoft verwerkt persoonsgegevens als subverwerker in opdracht van ICT IJsselgemeenten, die als verwerker (en opdrachtgever namens de gemeente) de gegevens voor de gemeente, de verwerkingsverantwoordelijke, verwerkt.

Dit betekent:

• De toegang tot persoonsgegevens is beperkt en gecontroleerd via strikte contractuele afspraken die voldoen aan de AVG. Een verwerkersovereenkomst maakt daarom deel uit van het contract en op Microsoft 365 is door het SLM Rijk samen met de VNG een DPIA uitgevoerd.

•

Alleen als er een specifiek technisch probleem is en ICT IJsselgemeenten daar toestemming voor geeft, kan Microsoft tijdelijk toegang krijgen om ondersteuning te bieden.

•

Er zijn waarborgen zoals versleuteling, contractuele afspraken en de EU Data Boundary om gegevens binnen de EU te houden.

We maken ons minder zorgen over de toegang tot onze gegevens door Microsoft dan door iemand met kwaadwillende bedoelingen. Microsoft hanteert strikte beveiligingsmaatregelen en voldoet aan hoge privacy- en veiligheidsstandaarden. Personen met slechte intenties proberen daarentegen bewust beveiliging te omzeilen en schade aan te richten. Daarom richten wij onze aandacht vooral op het beschermen van onze gegevens tegen deze risico’s (één van de redenen om zero trust te willen invoeren), terwijl we vertrouwen op de beveiligingsprotocollen van Microsoft om onze informatie veilig te houden.