Digitale soevereiniteit in de publieke sector vraagt om moed en scherpe keuzes
De Nederlandse publieke sector wil zijn digitale soevereiniteit verstevigen. Tegelijkertijd is een groot deel van de digitale overheid nog altijd afhankelijk van Amerikaanse techgiganten. De weg naar autonomie blijkt complex en verre van zwart-wit. Volgens Erik Vermeulen en Cas Schiopu van EY vraagt dit dossier niet om een rigoureus afscheid van de public cloud, maar om een risicogestuurd ontwerp waarin grip op data en continuïteit centraal staan.
In een gespannen wereld waarin de VS zich niet langer de betrouwbare bondgenoot toont die Europa de afgelopen decennia voor lief nam, is digitale soevereiniteit in recordtempo uitgegroeid tot een van de belangrijkste thema’s op de politieke agenda.
Terwijl Europese overheden vrijwel zonder uitzondering pleiten voor het versterken van Europa’s soevereiniteit en concurrentievermogen, draaien ze zelf nog volop op Amerikaanse IT-systemen.
Zo ook in Nederland: onderzoek van de Algemene Rekenkamer laat zien dat maar liefst 67% van de Rijksdiensten gebruikmaakt van public clouddiensten van AWS, Microsoft of Google voor vitale functies zoals e-mail, agenda en identiteitsbeheer.
Meer dan een checklist
Deze verwevenheid maakt de gewenste transitie naar Europese spelers tot een complexe megaoperatie. Erik Vermeulen, Associate Partner bij EY, ziet dat de discussie fundamenteel aan het verschuiven is.
“Vroeger draaide het vooral om privacy en compliance: mag dit volgens de AVG? Nu gaat het over geopolitiek en strategische afhankelijkheid. De vraag is of je als publieke organisatie onder druk nog wel autonoom kunt blijven functioneren”, legt hij uit.
“Je moet jezelf afvragen: heb ik een reële exit-mogelijkheid als een leverancier niet meer aan mijn eisen voldoet, of zit ik muurvast?”
Volgens Cas Schiopu, Senior Manager Cybersecurity bij EY, wordt digitale soevereiniteit in de wandelgangen vaak te beperkt opgevat. “Mensen denken vaak dat het probleem is opgelost zodra de data fysiek op Europese bodem staat. Maar echte soevereiniteit gaat veel verder.”
“Het gaat over zeggenschap en juridische blootstelling aan buitenlandse wetgeving. Je moet jezelf afvragen: heb ik een reële exit-mogelijkheid als een leverancier niet meer aan mijn eisen voldoet, of zit ik muurvast?”
Ontwerpkeuze
In de praktijk betekent dit dat overheden voor een strategische ontwerpkeuze staan, in plaats van een simpel IT-besluit. Schiopu benadrukt dat volledige onafhankelijkheid vooralsnog een illusie is, maar dat organisaties wel degelijk de touwtjes in handen kunnen houden door middel van segmentatie.
“Hanteer een risicogestuurde aanpak”, adviseert hij. “Voor generieke kantoorautomatisering kun je de public cloud prima benutten, mits je voor kritieke processen zwaardere waarborgen inbouwt, zoals het in eigen beheer houden van de versleuteling.”
“Echte soevereiniteit ontstaat wanneer je kunt aantonen dat je de touwtjes in handen hebt, ongeacht de onderliggende technologie.”
Vermeulen ziet deze balans als essentieel om de voordelen van innovatie niet te verliezen. “Je wilt profiteren van de schaal en beveiligingskracht van de grote platforms, maar wel onder eigen voorwaarden.”
“Dat betekent bijvoorbeeld dat je contractueel een ‘EU-only’ supportregime afdwingt”, legt hij uit. “Zulke combinaties vergen meer denkwerk aan de voorkant, maar ze betalen zich dubbel en dwars uit op het moment dat geopolitieke verhoudingen verder op scherp komen te staan.”
De touwtjes in handen
Terwijl Europese en open source-alternatieven terrein winnen, vereisen deze volgens de experts een hogere mate van interne volwassenheid. “Open source biedt minder afhankelijkheid van één leverancier, maar het vraagt aanzienlijk meer van je eigen beheerorganisatie”, merkt Schiopu op.
De keuze voor digitale soevereiniteit moet ook hand in hand gaan met het investeren in eigen kennis en kunde: het is geen product dat je simpelweg kant-en-klaar van de plank koopt.
Uiteindelijk draait het volgens Vermeulen vooral om het bewust omgaan met restrisico’s. “Echte soevereiniteit ontstaat wanneer je kunt aantonen dat je de touwtjes in handen hebt, ongeacht de onderliggende technologie. Dat vraagt om een kritische blik op je digitale fundament en de moed om daar strategische, soms lastige keuzes in te maken.”
