SAFARI

Een open methodiek voor inkoop en assurance van digitale soevereiniteit.

SAFARI staat voor Sovereignty Assurance Framework for Autonomy, Resilience & Independence. Het is een open methodiek om de digitale soevereiniteit van clouddiensten te beoordelen vanuit het perspectief van de afnemer: welke controle heeft een organisatie feitelijk, en welk bewijs is daarvoor beschikbaar?

Houvast bij inkoop

SAFARI helpt om eisen aan digitale soevereiniteit vóór een aanbesteding of contractbespreking concreet te maken. De organisatie kiest per onderwerp zelf welk minimumniveau nodig is. Vaste vragen, bewijsvereisten en scoringsregels maken aanbiedingen beter vergelijkbaar en laten vroeg zien waar informatie, afspraken of technische waarborgen ontbreken.

Het hoogste niveau is niet altijd nodig. Een organisatie bepaalt het gewenste niveau op basis van het gebruik, de gegevens en de risico’s van de dienst. SAFARI bevat aanbevolen minimumniveaus als vertrekpunt; daarvan kan gemotiveerd worden afgeweken.

Assurance met een passende mate van zekerheid

SAFARI beoordeelt twee zaken afzonderlijk:

  • het bereikte soevereiniteitsniveau van 0 tot en met 4;
  • de kwaliteit van het bewijs, eveneens van 0 tot en met 4.

Vooraf leg je zowel het gewenste minimumniveau als de beoogde mate van zekerheid vast. Het oordeel laat vervolgens zien of dat minimum is gehaald en of het bewijs sterk genoeg is voor geen oordeel, een beperkte mate van zekerheid of een redelijke mate van zekerheid. Zo sluit de zekerheid aan op wat de organisatie daadwerkelijk moet aantonen.

Gebruikte kaders

Het European Cloud Sovereignty Framework (ECSF) is het uitgangspunt. SAFARI gebruikt de acht soevereiniteitsdoelen en de niveaus van het ECSF, maar kijkt vanuit de afnemer en behandelt de zwakste schakel als bepalend voor het totaalniveau.

Daarnaast koppelt SAFARI de beoordeling aan:

  • ISO 27001:2022 voor relevante beheersmaatregelen;
  • ISAE 3000 voor de structuur van het assurance-oordeel;
  • actuele wet- en regelgeving, waaronder de AVG, Data Act, NIS2/Cyberbeveiligingswet, DORA en Cyber Resilience Act;
  • het voorgestelde Cloud and AI Development Act (CADA), uitsluitend als indicatieve toets zolang dit voorstel geen geldend recht is.

De volledige methodiek, vragenlijsten en scoringsregels zijn openbaar beschikbaar in de SAFARI-repository.

SAFARI is mogelijk gemaakt door De Winter Information Solutions en Vigilis Consultancy.