1. Op 31 mei 2025 waren 1722 websites van Nederlandse (semi)overheden en cruciale bedrijven afhankelijk van ten minste één Amerikaanse cloudprovider. Dit betrof onder andere negen van de vijftien ministeries, alle provincies en alle behalve twee gemeenten in Nederland. Ook landelijke organisaties zoals de Autoriteit Financiële Markten, het Veiligheidsberaad en de Tweede Kamer maakten gebruik van Amerikaanse clouddiensten.

2. De afhankelijkheid van Amerikaanse clouddiensten brengt het risico met zich mee dat Amerikaanse inlichtingen- en opsporingsdiensten toegang hebben tot de opgeslagen data, inclusief het terugzoeken van eerdere data. De Amerikaanse overheid heeft de mogelijkheid om websites van Nederlandse overheden en bedrijven te blokkeren of te manipuleren. Voorbeelden van getroffen organisaties zijn De Nederlandsche Bank, de politie, het ministerie van Buitenlandse Zaken, Crisis.nl en WerkenVoorNederland.

3. De Amerikaanse overheid beschikt over wettelijke mogelijkheden om data op te vragen, zelfs buiten de VS. Een wet uit 2018, specifiek gericht op dataverzameling en inlichtingendiensten, maakt dit mogelijk.

4. Het gebruik van Amerikaanse clouddiensten voor e-mail verhoogt de risico's aanzienlijk meer dan het gebruik van Amerikaanse clouddiensten voor websites. 69 van de 97 onderzochte organisaties binnen de Nederlandse kritieke infrastructuur, waaronder netbeheerders, banken en telecomproviders (waaronder KPN), gebruiken Amerikaanse clouddiensten voor e-mail. Ministeries gebruiken vaak Amerikaanse diensten zoals Microsoft Teams of Webex voor communicatie.

5. Microsoft erkent de risico's en dat een gerechtelijk bevel in de VS kan gelden voor informatie buiten de VS. Microsoft heeft eerder tegen dergelijke bevelen geprocedeerd, wat resulteerde in een Amerikaanse wet die expliciet het opvragen van informatie buiten de VS toestaat.

6. Een overstap van Amerikaanse clouddiensten naar andere providers zou enorme praktische implicaties hebben, mede door de regels voor openbare aanbestedingen. Er is een oproep voor een internationaal verdrag dat het opvragen van data van buitenlandse overheden reguleert.

7. De onderzochte informatie is verzameld via DNS-gegevens van websites uit overheidsregisters en een handmatig samengestelde lijst van vitale bedrijven. Er is gekeken naar A, MX, NS, CNAME en TXT records, inclusief SPF en domeinverificatiesleutels. De IP-adressen zijn gekoppeld aan leveranciers via de WHOIS-database.