Nederlandsk skatteetat dropper Microsoft 365 og flytter e-posten til egne servere

Den nederlandske skatteetaten har skrinlagt planene om å gå over til Microsofts skybaserte kontorpakke. E-post, kalendere og kontorverktøy skal i stedet kjøres på servere etaten selv eier eller kontrollerer, med europeisk programvare med åpen kildekode i bunn. Belastingdienst skulle, sammen med den nederlandske tollmyndigheten og etaten som utbetaler ytelser, bruke Outlook, Teams og de nettbaserte Office-appene i Microsofts offentlige sky. Nå flytter institusjonen som forvalter skatteopplysningene til alle nederlandske skattebetalere, arbeidet tilbake til egen maskinvare.

Utløsende faktor var en vurdering fra regjeringens eget IT-tilsyn. Det rådgivende rådet for vurdering av IKT konkluderte med at løsningen i den offentlige skyen «ikke holder mål når det gjelder informasjonssikkerhet, behandling av informasjon og framtidssikring», meldte The Register. Problemene rådet listet opp, ligner en sjekkliste enhver organisasjon som bruker Microsofts sky, kunne gå gjennom: fortrolige dokumenter som sendes via amerikanske servere, og Microsofts standardkryptering i stedet for Double Key Encryption – løsningen der kunden selv beholder den ene nøkkelen.

Rådet fant også at én-til-én-samtaler i Teams ikke var ende-til-ende-kryptert som standard, og at gruppesamtaler ikke kunne krypteres på den måten i det hele tatt. Over alt annet tronet problemet med leverandørbinding: én amerikansk leverandør og ingen plan for å komme seg ut dersom skatteetaten skulle trenge å bytte løsning. Nederlandske politikere hadde allerede advart om at avhengighet av én amerikansk leverandør gjør en sentral statlig funksjon sårbar, ettersom amerikansk lov kan pålegge selskaper i USA å utlevere data uansett hvor de er lagret.

Inntil nylig hevdet skatteetaten at et suverent alternativ «ikke var realistisk eller gjennomførbart». Det som har endret seg, ifølge statssekretær for finans Eelco Eerenberg, er kapasiteten: Belastingdienst har utvidet egne datasentre nok til å kunne drifte programvaren selv. For å holde kostnadene nede vil etaten gjenbruke eksisterende lisenser der det er mulig, og den følger rådets anbefaling om å velge verktøy for hver enkelt funksjon i stedet for å kjøpe én samlet pakke fra én leverandør.

Planen har fortsatt noen hull. Myndighetene nevner ingen konkrete produkter, så «europeisk programvare med åpen kildekode» er en retning, ikke et valg. Noen funksjoner for dokumenthåndtering som er innebygd i Microsoft 365, har ingen tilsvarende løsning lokalt, og etaten arbeider fortsatt med å finne ut hvordan de skal erstattes. Rundt 5 000 av de 47 500 ansatte innen skatt, toll og ytelser hadde allerede flyttet over til skyen, ifølge The Register, og ingen har anslått hva det vil koste å snu. De første vurderingene av europeiske alternativer har også vært blandede: Politico meldte at en ansatt i EU-kommisjonen kom med hard kritikk av Elements konkurrent til Teams på et internt diskusjonsforum.

Microsoft ønsket ikke å kommentere saken. Leverandørene som kan tjene på beslutningen, var raskere med å uttale seg. Nextclouds administrerende direktør Frank Karlitschek ønsket beslutningen velkommen og sa at selskapet hans la til mer enn to millioner arbeidsplasslisenser for suverene løsninger i fjor. Elements administrerende direktør Matthew Hodgson beskrev tilbakemeldingene fra kundene som «utelukkende positive og konstruktive» og sa at en viss motstand fra brukere som misliker endringer, var å vente.

Utenfor Nederland er beslutningen viktigere som presedens enn som IT-prosjekt. Skattemyndigheter er blant de mest risikosky institusjonene i staten, og denne etaten har nå slått fast skriftlig at en vanlig amerikansk skypakke ikke besto sikkerhetsgjennomgangen. Svakhetene rådet listet opp, handler ikke om obskure innstillinger. Standardkryptering, Teams-samtaler og en avtale med én leverandør er det de fleste organisasjoner får når de inngår en avtale om Microsoft 365, og de fleste nederlandske offentlige etater bruker fortsatt Microsofts sky.

E-post og kalendere flyttes først til skatteetatens egne servere, i 2027. Europeiske verktøy med åpen kildekode for personlig lagring og samarbeid følger senere i 2027 og i 2028, og Representantenes hus skal få en detaljert plan for gjennomføringen i første kvartal 2027. Eerenberg la fram planen i et brev til parlamentet 6. oktober, som svar på spørsmål fra parlamentsmedlemmer.

Den første virkelige prøven blir innboksen: morgenen titusenvis av ansatte innen skatt, toll og ytelser åpner e-posten sin på servere kontrollert av den nederlandske staten – og enten ikke merker noen forskjell eller merker alt.

Tagger: microsoft, åpen kildekode, Microsoft 365, Belastingdienst, digital suverenitet, Element