De Nederlandse Belastingdienst heeft in oktober 2026 beslist om de geplande migratie naar Microsoft 365 stop te zetten en een alternatief te ontwikkelen op basis van eigen beheer en Europese opensourcesoftware. Aanleiding waren onder meer zorgen over informatiebeveiliging, leveranciersafhankelijkheid, digitale autonomie en de haalbaarheid van de gekozen IT-aanpak.
Voor Belgische kmo’s levert deze beslissing een belangrijke les op: een IT-oplossing moet passen bij de bedrijfsprocessen, de risico’s en de beschikbare beheercapaciteit.
Microsoft 365 kan voor veel ondernemingen een geschikte keuze zijn. De beslissing van de Nederlandse Belastingdienst toont echter aan dat functionaliteit alleen onvoldoende is om een IT-architectuur te beoordelen. Ook beveiliging, kostenbeheersing, gegevensbeheer en de mogelijkheid om later over te stappen naar een andere oplossing moeten deel uitmaken van de beslissing.
Waarom stopt de Nederlandse Belastingdienst met Microsoft 365?
De Nederlandse Belastingdienst werkte aan een moderne digitale werkomgeving om onder meer Outlook, Teams en OneDrive te gebruiken. De bestaande kantooromgeving op basis van HCL Notes was verouderd en bracht problemen mee op het vlak van onderhoud en informatiebeheer.
In 2025 werd Microsoft 365 nog beschouwd als de meest haalbare optie voor de organisatie. In 2026 veranderde die beoordeling.
Het Nederlandse Adviescollege ICT-toetsing onderzocht het programma en publiceerde in juni 2026 een kritisch advies. Volgens het college leidde de gekozen aanpak niet tot een geschikte werkomgeving voor de Belastingdienst. Het advies wees onder meer op tekortkomingen in de informatiebeveiliging, onvoldoende inzicht in kosten en risico’s en het ontbreken van een werkbare exitstrategie.
Op 7 oktober 2026 berichtte Computable dat de Belastingdienst de migratie naar Microsoft 365 stopzet en een alternatief uitwerkt op basis van eigen beheer en Europese opensourcesoftware.
De beschikbare infrastructuurcapaciteit speelde daarbij een rol. Volgens de berichtgeving maakte een uitbreiding van de datacentercapaciteit het mogelijk om een alternatief scenario te overwegen waarbij de software draait op servers van de Belastingdienst of op infrastructuur die de organisatie zelf controleert.
Ook de Douane en de Dienst Toeslagen volgen deze koerswijziging.
Bronnen:
- Adviescollege ICT-toetsing: Advies programma Uitrol M365
- Computable: Belastingdienst draait overstap naar Microsoft 365 terug
Welke problemen bracht het ICT-advies aan het licht?
Het advies van het Adviescollege ICT-toetsing bevat verschillende aandachtspunten die ook relevant zijn voor commerciële organisaties.
1. Informatiebeveiliging moet aansluiten bij het gebruik
De gekozen werkomgeving voldeed volgens het college niet aan alle vereisten voor de vertrouwelijkheid en beschikbaarheid van informatie. Ook ondersteunde de oplossing niet alle vormen van informatieverwerking die de Belastingdienst nodig had.
Een organisatie moet daarom vooraf bepalen welke gegevens worden verwerkt, welke toegang nodig is en welke beveiligingsmaatregelen vereist zijn.
Voor een Belgische kmo kan dat bijvoorbeeld betekenen dat toegangsrechten, multifactorauthenticatie, gegevensbewaring en herstelprocedures deel uitmaken van de architectuurbeoordeling.
De concrete maatregelen hangen af van de gegevens, de bedrijfsprocessen en de geldende verplichtingen.
2. Leveranciersafhankelijkheid kan de bewegingsvrijheid beperken
Een organisatie die verschillende bedrijfsprocessen in één ecosysteem onderbrengt, kan afhankelijk worden van de functionaliteit en integraties van die leverancier.
Bij Microsoft 365 kunnen SharePoint, Microsoft Entra ID, Teams en Power Automate bijvoorbeeld samen de toegang tot documenten, communicatie en werkprocessen ondersteunen.
Dat kan operationele voordelen opleveren. Het betekent tegelijk dat een overstap gevolgen kan hebben voor verschillende onderdelen van de bedrijfsvoering.
Het Adviescollege waarschuwde bij de Belastingdienst voor de risico’s van één totaaloplossing zonder werkbare exitstrategie. De organisatie zou daardoor minder flexibel worden en sterker afhankelijk raken van één leverancier.
Voor een kmo is het daarom nuttig om te weten welke bedrijfsprocessen rechtstreeks afhankelijk zijn van specifieke platformfuncties.
3. Kosten en verantwoordelijkheden moeten inzichtelijk zijn
Volgens het Adviescollege ontbrak bij het programma voldoende inzicht in de gemaakte en toekomstige kosten. Ook waren er tekortkomingen in de manier waarop besluiten werden genomen en risico’s werden beheerst.
Een migratie kan technisch goed verlopen en toch financieel of organisatorisch tegenvallen wanneer de oorspronkelijke raming belangrijke onderdelen overslaat.
Denk aan migratiebegeleiding, opleiding, beveiligingsconfiguratie, archivering, back-up en structureel beheer.
Een architectuurkeuze vraagt daarom een onderbouwde kostenraming en duidelijke afspraken over verantwoordelijkheden.
Eigen beheer, cloud of een hybride IT-architectuur?
De beslissing van de Belastingdienst betekent niet dat Belgische kmo’s Microsoft 365 moeten verlaten. De organisatie heeft specifieke verantwoordelijkheden en eisen die niet automatisch gelden voor een kleinere onderneming.
De relevante vraag is welke architectuur het best aansluit bij de bedrijfsvoering.
Microsoft 365 en publieke cloud
Een cloudomgeving kan het beheer van infrastructuur verminderen en verschillende communicatie- en samenwerkingsfuncties binnen één platform aanbieden.
De onderneming blijft wel verantwoordelijk voor haar eigen keuzes rond identiteiten, toegangsrechten, configuratie, gegevensbeheer en de controle van haar beveiligingsmaatregelen.
Ook moet duidelijk zijn welke gegevens beschermd worden door back-up en hoe herstel in de praktijk verloopt.
Eigen infrastructuur
Bij eigen beheer heeft een organisatie meer directe controle over de infrastructuur en de technische configuratie.
Die controle brengt verantwoordelijkheden mee. Hardware, opslag, updates, monitoring, redundantie, beveiliging en herstel moeten georganiseerd en gefinancierd worden.
Voor een kmo met beperkte IT-capaciteit kan dat een zware belasting vormen. Een eigen server is daarom niet automatisch goedkoper of veiliger dan een beheerde clouddienst.
Europese cloud en opensourcesoftware
Europese cloudproviders en opensourceoplossingen kunnen alternatieven bieden voor specifieke toepassingen.
De geschiktheid hangt af van de beschikbare functionaliteit, de integratiemogelijkheden, de ondersteuning en de kosten over de volledige levenscyclus.
Ook de juridische en technische afhankelijkheden moeten worden onderzocht. Europese hosting alleen garandeert bijvoorbeeld niet dat een onderneming zelfstandig van leverancier kan veranderen.
Open source geeft toegang tot de broncode, maar vraagt eveneens aandacht voor onderhoud, updates, beveiliging en de beschikbaarheid van technische expertise.
Een hybride architectuur
Een hybride model combineert verschillende diensten volgens hun functie en vereisten.
Een onderneming kan bijvoorbeeld cloudgebaseerde communicatie gebruiken en bepaalde gegevens of toepassingen onder eigen beheer houden. Dat kan passend zijn wanneer specifieke beveiligings-, integratie- of beheervereisten dit rechtvaardigen.
De architectuur moet wel duidelijk vastleggen hoe identiteiten, gegevensstromen, toegangsrechten, back-up en ondersteuning over de verschillende omgevingen worden geregeld.
Meer componenten betekenen ook meer integratie- en beheerwerk. Een hybride omgeving is daarom alleen zinvol wanneer de voordelen opwegen tegen die bijkomende complexiteit.
Vier lessen voor Belgische kmo’s
Les 1: begin bij de bedrijfsprocessen
Een migratie naar Microsoft 365 begint soms omdat een bestaande mailserver verouderd is, een contract afloopt of medewerkers behoefte hebben aan betere samenwerking.
Dat zijn geldige aanleidingen, maar ze bepalen nog niet welke oplossing het meest geschikt is.
Breng eerst in kaart welke processen de IT-omgeving moet ondersteunen. Denk aan klantendossiers, offertes, boekhouding, documentbeheer, productieplanning en samenwerking met externe partners.
Bepaal vervolgens welke beschikbaarheid, beveiliging, prestaties en herstelmogelijkheden nodig zijn.
Pas daarna kun je oplossingen vergelijken.
Les 2: bereken de totale IT-kosten
De prijs van een abonnement is slechts één onderdeel van de totale kosten.
Bij Microsoft 365 kunnen onder meer licenties, migratie, opleiding, beveiligingsmaatregelen, back-up, archivering en ondersteuning meetellen.
Bij eigen infrastructuur moet je ook rekening houden met hardware, stroomverbruik, vervanging, monitoring, beheer en redundantie.
Gebruik voor elke oplossing dezelfde functionele vereisten en dezelfde evaluatieperiode.
| Kostenpost | Microsoft 365 | Eigen beheer of alternatieve cloud |
|---|---|---|
| Software | Abonnementen en aanvullende licenties | Licenties, abonnementen of onderhoud |
| Infrastructuur | Afhankelijk van het gekozen dienstenmodel | Hardware, opslag, netwerk of hosting |
| Beheer | Tenantbeheer, beveiliging en ondersteuning | Updates, monitoring en systeembeheer |
| Continuïteit | Back-up, herstel en eventuele redundantie | Eigen of uitbesteed herstel en redundantie |
| Migratie | Overdracht van gegevens en opleiding | Migratie, integratie en eventuele aanpassing van processen |
De uitkomst verschilt per onderneming. Zonder informatie over het aantal gebruikers, de benodigde functionaliteit en de bestaande omgeving is een betrouwbare kostenvergelijking niet mogelijk.
Les 3: maak een exitstrategie uitvoerbaar
Een exitstrategie beschrijft hoe een onderneming een dienst kan verlaten wanneer de kosten, risico’s of bedrijfsbehoeften veranderen.
Daarvoor moet duidelijk zijn welke gegevens beschikbaar zijn, hoe ze geëxporteerd kunnen worden en welke toepassingen nodig zijn om ze opnieuw te gebruiken.
Denk aan e-mail, agenda’s, gedeelde documenten, toegangsrechten, configuraties en auditgegevens. De overdraagbaarheid verschilt per gegevenstype en toepassing.
Een back-up is noodzakelijk, maar vormt op zichzelf geen volledige exitstrategie. Een organisatie moet ook weten hoe de gegevens kunnen worden hersteld en welke alternatieve omgeving nodig is om de bedrijfsprocessen voort te zetten.
Een praktische oefening is om voor één kritisch proces te beschrijven wat er gebeurt wanneer de huidige clouddienst tijdelijk onbeschikbaar is. Leg vast welke gegevens nodig zijn, wie de verantwoordelijkheid draagt en hoeveel hersteltijd aanvaardbaar is.
Les 4: breng leveranciersafhankelijkheid per proces in kaart
Leveranciersafhankelijkheid ontstaat vaak door de samenhang tussen toepassingen.
Een document kan bijvoorbeeld in SharePoint staan, toegangsrechten kunnen via Microsoft Entra ID worden geregeld en een werkproces kan afhankelijk zijn van Power Automate.
Wanneer je één onderdeel vervangt, kan dat gevolgen hebben voor de andere onderdelen.
Dat hoeft geen reden te zijn om de gekozen oplossing te wijzigen. Het is wel een reden om de afhankelijkheden te documenteren en de gevolgen van een mogelijke overstap vooraf te onderzoeken.
Een eenvoudige inventarisatie per kritisch bedrijfsproces geeft inzicht in de gebruikte leveranciers, integraties, gegevensformaten en noodzakelijke diensten.
Hoe vergelijk je Microsoft 365 met alternatieven?
Een architectuurbeoordeling moet uitgaan van concrete criteria die aansluiten bij de onderneming.
| Criterium | Vraag voor de bedrijfsleider |
|---|---|
| Functionaliteit | Ondersteunt de oplossing alle noodzakelijke bedrijfsprocessen? |
| Beveiliging | Zijn toegangsbeheer, logging, updates en herstel geregeld? |
| Gegevensbeheer | Waar worden gegevens verwerkt en wie kan ze beheren? |
| Beschikbaarheid | Hoe lang mag een dienst onbeschikbaar zijn? |
| Integratie | Werkt de oplossing met bestaande toepassingen en apparaten? |
| Beheer | Is de nodige technische kennis beschikbaar? |
| Kosten | Wat bedraagt de totale kost over vijf jaar? |
| Overdraagbaarheid | Kunnen gegevens en processen naar een andere oplossing worden verplaatst? |
De antwoorden moeten worden getoetst aan de werkelijke situatie.
Een onderneming met tien gebruikers en weinig gespecialiseerde IT-capaciteit heeft andere behoeften dan een organisatie met een eigen IT-team en bedrijfskritische toepassingen.
Ook bestaande investeringen tellen mee. Een overstap veroorzaakt mogelijk extra migratiekosten en vraagt aanpassingen in de dagelijkse werkwijze. Tegelijk kunnen terugkerende kosten, functionele beperkingen of onaanvaardbare risico’s aanleiding geven om een andere richting te onderzoeken.
De rol van een onafhankelijke IT-architect
Bij belangrijke infrastructuurbeslissingen moet iemand de technische mogelijkheden verbinden met de bedrijfsdoelstellingen.
Een onafhankelijke ICT Infrastructure Architect onderzoekt de bestaande omgeving, brengt afhankelijkheden in kaart en vergelijkt haalbare alternatieven. Daarbij worden de gevolgen voor beheer, beveiliging, continuïteit en kosten meegenomen.
Voor een Belgische kmo kan zo’n beoordeling uit vijf stappen bestaan:
- Inventariseer de bestaande diensten, licenties, gegevens en integraties.
- Identificeer de bedrijfsprocessen die bij een storing niet mogen stilvallen.
- Vergelijk relevante cloud-, hybride en opensourcealternatieven.
- Bereken de verwachte kosten en beoordeel de belangrijkste risico’s.
- Leg de noodzakelijke maatregelen vast voor de komende drie tot vijf jaar.
Het resultaat is een onderbouwde beslissing met duidelijke prioriteiten, kostenramingen en bekende beperkingen.
Bij Peritus Consult staat de geschiktheid van de IT-architectuur voor de onderneming centraal. Onafhankelijk advies helpt bedrijfsleiders om technische keuzes te beoordelen op hun gevolgen voor de dagelijkse werking en de toekomstige mogelijkheden van hun organisatie.
Conclusie: kies een IT-architectuur die bij je onderneming past
De Nederlandse Belastingdienst heeft zijn plannen voor Microsoft 365 herzien nadat een kritisch ICT-advies tekortkomingen aan het licht bracht op het vlak van beveiliging, kostenbeheersing, leveranciersafhankelijkheid en de mogelijkheid om later over te stappen.
Voor Belgische kmo’s is de belangrijkste les dat een IT-beslissing moet vertrekken van concrete bedrijfsvereisten. Microsoft 365 kan een geschikte keuze zijn. Eigen beheer, een Europese clouddienst of een hybride architectuur kan in andere omstandigheden beter aansluiten bij de behoeften van de onderneming.
Een goede beslissing vraagt inzicht in de bedrijfsprocessen, de totale kosten, de gegevensstromen en de mogelijkheden om later van leverancier of platform te veranderen.
Wil je weten of jouw IT-architectuur aansluit bij de behoeften en risico’s van je onderneming? Peritus Consult helpt je de bestaande infrastructuur en architectuurkeuzes te beoordelen, zodat je investeringen kunt baseren op concrete bedrijfsvereisten.
Ik ben een Systems Integrator en Infrastructure Architect met meer dan 28 jaar professionele ervaring. Mijn mening is mijn eigen mening en de visie van Peritus Consult.