Vraagtekens over soevereine SAP-cloud Defensie

In dit artikel:

Defensie sluit met het Duitse SAP een overeenkomst voor een eigen, afgeschermde cloudomgeving waarin de cruciale SAP-software van de krijgsmacht draait. Staatssecretaris Derk Boswijk noemt dit een ‘soevereine cloud’, omdat Defensie zelf zeggenschap houdt over de toegang, inrichting en verplaatsing van de gegevens. De omgeving staat los van de publieke cloud van SAP.

SAP is diep verweven met de bedrijfsvoering van Defensie. De software ondersteunt onder meer logistiek, materieelbeheer, financiën, organisatie en operationele processen. Daar komt een persoonlijke digitale omgeving voor defensiepersoneel bij. De overstap is nodig omdat SAP de ondersteuning van de huidige, lokaal beheerde software op termijn beëindigt en nieuwe innovaties vooral in de cloud beschikbaar stelt. Een publieke cloud is voor bedrijfskritische militaire processen volgens Defensie geen optie.

De keuze krijgt wel stevige kritiek. Tech-watcher Bert Hubert en andere deskundigen betwijfelen of de cloud werkelijk soeverein is. SAP heeft grote belangen en activiteiten in de Verenigde Staten en valt daardoor mogelijk onder Amerikaanse wetgeving over inlichtingen en sancties. Omdat SAP ook het beheer, onderhoud en de updates uitvoert, blijft Defensie volgens critici juridisch afhankelijk van een buitenlandse leverancier. Technische beveiliging neemt die juridische kwetsbaarheid niet automatisch weg.

Ook de praktische onafhankelijkheid staat ter discussie. Hoewel Defensie gegevens in theorie kan verplaatsen en met meerdere cloudtechnologieën wil werken, zijn SAP-systemen complex en vaak moeilijk te migreren. Maatwerk en technische schuld kunnen storingen, vertragingen en risico’s voor de operationele gereedheid veroorzaken. De afhankelijkheid van SAP verdwijnt bovendien niet: Defensie blijft voor softwareontwikkeling, updates en beheer op het bedrijf aangewezen.

Het contract is zonder openbare aanbesteding rechtstreeks aan SAP gegund via een uitzonderingsprocedure voor defensie- en veiligheidsopdrachten. Daardoor konden andere, mogelijk meer soevereine Europese aanbieders niet meedingen. Defensie stelt daar tegenover dat SAP de enige Europese zakelijke softwareleverancier is die een opdracht van deze omvang aankan en al ervaring heeft bij de NAVO en de Duitse krijgsmacht.

De Duitse overstap naar SAP’s cloudversie S/4HANA liep eerder flinke vertraging op door softwarefouten en problemen met gegevensoverdracht, al zijn die inmiddels volgens SAP opgelost. Het systeem kan onder meer tijdig signaleren wanneer reserveonderdelen opraken en zo de militaire inzetbaarheid ondersteunen. Naast deze SAP-cloud bouwen KPN, Thales en Google een beveiligde cloud voor de gevoeligste informatie. Ook het Defensieproject Private Cloud Platform binnen Grensverleggende IT loopt nog achter op schema.