Risico's van het verplaatsen van kernfuncties voor webbeheer naar de Amazon-cloud: het geval van Nederland

In Nederland beheert de Stichting Internet Domeinregistratie Nederland (SIDN) een digitaal register van ruim 6 miljoen '.NL'-websites, waaronder overheidssites als rijksoverheid.nl en politie.nl. Op dezelfde manier wordt het Nederlandse equivalent van het vaccinregistratieportaal van de Amerikaanse Centers for Disease Control and Prevention (CTC) gehost op het .nl-landcodetopniveaudomein (CCTLD). Als consumenten deze .NL-websites willen bezoeken voor belastingaangifte, het aanvragen van huur- of kinderopvangtoeslag of het plannen van vaccinaties, zorgt SIDN ervoor dat dit mogelijk is. Als technische register speelt SIDN een bescheiden maar belangrijke rol bij het gebruik van het .NL-domein van internet. SIDN wil echter haar kerncompetenties uitbreiden, wat meer inkomsten lijkt te genereren ten koste van de collectieve veiligheid van het Nederlandse internet.

Onlangs heeft SIDN besloten een deel van haar relatief alledaagse registratiewerkzaamheden uit te besteden aan het Amerikaanse cloudbedrijf Amazon Web Services (AWS). Deze aankondiging wat tot consternatie en kritiek leidt. Academici uit de cloudgemeenschap van de EU, vertegenwoordigers van het bedrijfsleven, technologen in het internetgovernance-ecosysteem, leden van het maatschappelijk middenveld en politici spraken allemaal over de risico's van het verplaatsen van een deel van de activiteiten van SIDN van de servers naar de AWS-cloud. SIDN is een bedrijf dat nog nooit van een plotselinge oprichting heeft gehoord, ook al maken de meeste Nederlandse internetgebruikers dagelijks gebruik van haar diensten. Voorpaginanieuws. De zaak is interessant voor een breder publiek op het gebied van technologiebeleid omdat het inspeelt op een belangrijke trend: een trend waarin cruciale diensten van overheden worden overgedragen aan grote Amerikaanse cloudgiganten, zonder dat er veel aandacht wordt besteed aan de schadelijke gevolgen op de lange termijn.

Waarom de overstap naar AWS door de Nederlandse registratie en waarom nu? De Chief Technology Officer van SIDN zegt dat geen enkel Europees cloudbedrijf de benodigde diensten kan leveren op basis van een extern uitbesteed adviesbureau. Het adviesrapport waarop hij deze beweringen baseerde, is niet openbaar. Als de beweringen van SIDN waar zijn, duidt dit erop dat Europese cloudbedrijven niet in staat zijn een relatief eenvoudig computersysteem te leveren. Dit is een belachelijke veronderstelling gezien het onafhankelijke beheer van internetdomeinen door SIDN-collega's in andere Europese landen zoals Frankrijk (.FR) en Duitsland (.DE). Deze landen en markten zijn aanzienlijk groter dan Nederland, een klein land met 18 miljoen inwoners, 6 miljoen geregistreerde domeinnamen en 3,3 miljoen DNSSEC.nl-domeinnamen.

De keuze om deze kritische webbeheerdiensten naar AWS te verhuizen lijkt technisch commercieel gemotiveerd. SIDN is, net als veel registries, op zoek naar manieren om haar technische expertise om te zetten in nieuwe inkomstenstromen en om de lucratieve Software-as-a-Service (SaaS)-markt te betreden. In een paar korte zinnen in het persbericht van SIDN dat de eerste buzz veroorzaakte, zegt het bedrijf dat het domeinnaamregistratiesoftware wil aanbieden en als een dienst wil verkopen, net zoals consumenten voor Spotify betalen. of Netflix-accounts. Dit wordt een nieuwe bedrijfsrichting voor SIDN, waarbij naast de huidige inkomsten ook terugkerende inkomsten worden gegenereerd. Deze SaaS-idealen vereisen een wereldwijd cloudplatform omdat de markt SIDN wil gebruiken. Als deze businessplannen de beslissing van SIDN om naar een Amerikaanse provider over te stappen in belangrijke mate hebben beïnvloed, heeft de CTO van SIDN gelijk en is AWS een geschiktere partner dan haar Europese concurrenten.

Het is ook terecht dat SIDN een bredere trend volgt. Europese bedrijven besteden het beheer van digitale systemen steeds meer uit aan Amerikaanse bedrijven. SIDN versnelt deze verontrustende trend verder door te verkondigen dat het niet langer mogelijk is om cloudproviders in Europa te vinden. De bekende gevaren voor de politieke vrijheid die burgers verwachten van een organisatie die naar Nederlands recht wordt aangemerkt als 'aanbieder van essentiële diensten' lijken te zijn genegeerd. Dit zelfs als het in het Nederlandse internetdomeinregister staat beschrijft Omdat de website zichzelf omschrijft als 'experts in wat we doen en volledig onafhankelijk', kiest het ervoor om kerndiensten uit te besteden aan Amazon, dus wie is er nog onafhankelijk?

Laten we duidelijk zijn dat we deze overstap naar AWS geen goed idee vinden. Wat heeft SIDN als technologiespeler te bieden in de zakelijke softwarebranche of met AWS? Ongeacht het intellect dat het bredere Europese bedrijfsleven kiest, moet SIDN hoge eisen stellen aan 'het bedrijf achter .NL', zoals het zichzelf noemt. Het belang van .NL kan niet genoeg worden benadrukt. Een verstoring van de AWS-diensten voor .NL zou niet alleen het internet in Nederland ontwrichten, maar ook de communicatie vanuit het buitenland afsnijden. In een dergelijk scenario is SIDN wellicht niet de eerste bij de AWS-helpdesk, gezien de kleine omvang vergeleken met de mondiale klantenkring van dit cloudbedrijf. We moeten de zakelijke doelstellingen van SIDN openlijk ter discussie stellen, vooral als dit ten koste gaat van het behoud van de controle over de kerncapaciteiten en kritische diensten.

Kan de Nederlandse overheid niet ingrijpen? Moeilijk te geloven, maar .NL (wat uiteindelijk staat voor 'Nederland') valt niet direct onder de bevoegdheid van de overheid. SIDN is een besloten vennootschap, bestaande uit vier verschillende besloten vennootschappen (Bv's). Er is echter een mogelijkheid van druk. Er is een ‘overeenkomst’ waarin de overheid afspreekt dat SIDN onder twee voorwaarden de .NL-diensten mag exploiteren. Ten eerste moeten beslissingen worden genomen in overleg met de internetgemeenschap. Ten tweede moet er sprake zijn van een ‘verbinding’ met Nederland. Het is op dit moment niet bekend hoeveel overleg hierover met de overheid heeft plaatsgevonden. Het is niet duidelijk hoe SIDN de voorwaarde van ‘verbinding met Nederland’ wil vervullen na het besluit om sleutelfuncties uit te besteden aan AWS. Het gebrek aan antwoorden op deze vragen onderstreept het belang om ervoor te zorgen dat de Europese cloudindustrie zich in ieder geval bezighoudt met 'essentiële' toepassingen zoals .NL. Door het landendomein zonder diepgaand overleg uit te besteden aan bedrijven buiten Nederland heeft SIDN haar vertrouwen in niet-bindende conventie geschonden.

Het Nederlandse parlement besteedt nu samen met veel politici aandacht aan deze situatie Vragen stellen Over dit besluit. We hopen dat ze hun toezicht op SIDN zullen heroverwegen en zullen erkennen dat dit soort kritieke infrastructuur niet afhankelijk mag zijn van de cloud in het algemeen en de Amerikaanse technologie-industrie in het bijzonder.