Receita da Holanda desiste do Microsoft 365 e leva e-mail para servidores próprios

A autoridade tributária holandesa abandonou a migração para o pacote de escritório em nuvem da Microsoft e vai operar e-mails, calendários e ferramentas de escritório em servidores próprios ou sob seu controle, com apoio de softwares europeus de código aberto. O Belastingdienst, junto com o serviço aduaneiro holandês e a agência responsável pelo pagamento de benefícios, deveria trabalhar na nuvem pública da Microsoft, usando Outlook, Teams e os aplicativos Office online. Agora, a instituição que guarda os registros financeiros de todos os contribuintes holandeses está trazendo essas operações de volta para seu próprio hardware.

O estopim foi um parecer do órgão de fiscalização de TI do próprio governo. O Conselho Consultivo de Avaliação de TIC concluiu que o modelo de nuvem pública “fica aquém do necessário em segurança da informação, processamento de dados e preparação para o futuro”, segundo noticiou o The Register. A lista de problemas parece um roteiro que qualquer organização na nuvem da Microsoft poderia usar para avaliar a própria situação: documentos confidenciais passando por servidores americanos e o uso da criptografia padrão da Microsoft, em vez da Double Key Encryption, opção que mantém uma das chaves nas mãos do cliente.

O conselho também constatou que as chamadas individuais do Teams não tinham criptografia de ponta a ponta ativada por padrão e que as chamadas em grupo não podiam ser criptografadas dessa forma. Acima de tudo, estava o problema da dependência de um único fornecedor: uma empresa americana, sem estratégia de saída caso a autoridade tributária precisasse deixá-la. Parlamentares holandeses já haviam argumentado que depender de um único fornecedor dos EUA deixa uma função essencial do Estado vulnerável, já que a legislação americana pode obrigar empresas do país a entregar dados, independentemente de onde estejam armazenados.

Até pouco tempo atrás, a autoridade tributária insistia que uma alternativa soberana “não era realista nem viável”. Segundo o secretário de Estado das Finanças, Eelco Eerenberg, o que mudou foi a capacidade: o Belastingdienst ampliou seus próprios centros de dados o suficiente para hospedar os softwares. Para reduzir custos, vai reaproveitar as licenças existentes sempre que possível e seguirá a recomendação do conselho de escolher ferramentas para cada função, em vez de comprar um pacote completo de um único fornecedor.

O plano ainda tem lacunas. O governo não cita nenhum produto, então “código aberto europeu” é uma direção, não uma escolha definida. Alguns recursos de gestão de registros integrados ao Microsoft 365 não têm equivalente local, e a agência ainda busca uma forma de substituí-los. Cerca de 5 mil das 47.500 pessoas que trabalham nas áreas tributária, aduaneira e de benefícios já haviam migrado para a nuvem, segundo o The Register, e ninguém estimou o custo da reversão. As primeiras avaliações das alternativas europeias também foram variadas: o Politico noticiou que um funcionário da Comissão Europeia criticou duramente, em um fórum interno de mensagens, a alternativa ao Teams oferecida pela Element.

A Microsoft não quis comentar. Os fornecedores que podem se beneficiar da decisão foram mais rápidos em se manifestar. O diretor-executivo da Nextcloud, Frank Karlitschek, comemorou a decisão e disse que sua empresa adicionou mais de dois milhões de licenças de espaços de trabalho soberanos no ano passado. Já o diretor-executivo da Element, Matthew Hodgson, descreveu o retorno dos clientes como “apenas positivo e construtivo” e afirmou que alguma resistência de usuários que não gostam de mudanças era esperada.

Fora dos Países Baixos, a decisão importa mais como precedente do que como projeto de TI. As autoridades tributárias estão entre as instituições mais avessas a riscos de um Estado, e esta agora registrou por escrito que um pacote de nuvem americano amplamente utilizado não passou por sua avaliação de segurança. As fragilidades apontadas pelo conselho não envolvem configurações exóticas. Criptografia padrão, chamadas pelo Teams e um contrato com um único fornecedor são o que a maioria das organizações obtém ao contratar o Microsoft 365 — e a maioria dos órgãos públicos holandeses ainda opera na nuvem da Microsoft.

Os e-mails e calendários serão os primeiros a migrar para os servidores da própria autoridade tributária, em 2027. As ferramentas europeias de código aberto para armazenamento pessoal e colaboração virão depois, ainda em 2027 e em 2028, e a Câmara dos Representantes receberá um cronograma detalhado no primeiro trimestre de 2027. Eerenberg apresentou o plano em uma carta ao Parlamento em 6 de outubro, em resposta a perguntas de parlamentares.

O primeiro teste de verdade será a caixa de entrada: a manhã em que dezenas de milhares de funcionários das áreas tributária, aduaneira e de benefícios abrirem seus e-mails em servidores controlados pelo Estado holandês e não perceberem diferença alguma — ou perceberem tudo.

Tags: microsoft, Código aberto, Microsoft 365, Belastingdienst, Element, Nextcloud