Digitale soevereiniteit begint niet bij technologie, maar bij dienstverlening

In het politieke debat over digitale soevereiniteit staat vaak één vraag centraal: hoe verminderen we onze afhankelijkheid van niet-Europese technologie? Die vraag is begrijpelijk, maar ze vertrekt van het verkeerde uitgangspunt. Volledige technologische zelfvoorziening is voor Europa nauwelijks haalbaar. Digitale waardeketens zijn wereldwijd verweven en Europese alternatieven zijn niet voor iedere technologie of toepassing onmiddellijk beschikbaar.

Dat betekent niet dat herkomst onbelangrijk is. Europese technologie kan bijdragen aan meer keuzevrijheid, een sterker lokaal ecosysteem en een betere aansluiting op Europese regels en waarden. Maar een Europese leverancier maakt een afhankelijkheid niet automatisch beheersbaar. Omgekeerd hoeft een niet-Europese technologie niet per definitie een onaanvaardbaar risico te vormen. De relevantere bestuursvraag is daarom: welke afhankelijkheden kunnen de continuïteit van onze publieke dienstverlening bedreigen, en hoeveel controle hebben we over die risico’s?

Dat is de kern van digitale soevereiniteit. Niet technologische afzondering, maar het vermogen om bewuste keuzes te maken, alternatieven voor te bereiden en te blijven handelen wanneer omstandigheden veranderen.

Regelgeving maakt afhankelijkheidsbeheer minder vrijblijvend

Die verschuiving is ook zichtbaar in het Europese beleid. NIS2 legt nadruk op cyberrisicobeheer, beveiliging van toeleveringsketens en verantwoordelijkheid van het management. De Data Act versterkt de mogelijkheden om data mee te nemen en tussen aanbieders van dataverwerkingsdiensten over te stappen. De AI Act vraagt voor bepaalde systemen onder meer risicobeheersing, documentatie, menselijk toezicht en traceerbaarheid.

Met de Cloud and AI Development Act schuift de Europese Commissie bovendien een gemeenschappelijk kader naar voren om verschillende niveaus van cloud- en AI-soevereiniteit te beoordelen. Ook daar is de boodschap niet dat iedere toepassing hetzelfde niveau van autonomie nodig heeft. Het passende niveau volgt uit de risico’s en de kriticiteit van de dienstverlening.

Voor publieke organisaties ontstaat zo een duidelijke opdracht: beter begrijpen waarop hun digitale werking steunt en aantonen hoe de daaraan verbonden risico’s worden beheerst.

Een praktische aanpak in zes stappen

Digitale soevereiniteit wordt pas bestuurbaar wanneer vooraf duidelijk is wat de organisatie ermee wil bereiken. Soevereiniteit is geen doel op zich en moet daarom vertrekken van concrete organisatiedoelstellingen. Van daaruit loopt de analyse door van de publieke dienstverlening naar de onderliggende capaciteiten, technologie en afhankelijkheden. Trajecten die deze organisatiedoelstellingen voortdurend voor ogen houden, brengen meer focus en creëren meer impact. 

1. Breng de impact op de dienstverlening in kaart

Begin niet bij leveranciers of applicaties, maar bij de diensten waarvoor de organisatie verantwoordelijk is. Breng voor iedere dienst in kaart wat er gebeurt wanneer ze tijdelijk of langdurig wordt verstoord. Beoordeel daarbij niet alleen de operationele of financiële impact. Kijk ook naar maatschappelijke gevolgen, wettelijke verplichtingen, veiligheid en het vertrouwen van burgers en ondernemingen. Zo ontstaat een onderbouwd beeld van welke diensten werkelijk kritiek zijn.

2. Bepaal welke capaciteiten de dienst mogelijk maken

Een publieke dienst steunt op processen, taken, mensen, kennis en organisatorische afspraken. Die samenhang blijft vaak impliciet tot er een incident optreedt. Bepaal welke capaciteiten onmisbaar zijn om de dienstverlening te blijven leveren en hoe volwassen ze vandaag worden beheerst. Door zowel kriticiteit als maturiteit te beoordelen, wordt zichtbaar waar een essentiële capaciteit onvoldoende robuust is georganiseerd.

3. Maak het technologielandschap zichtbaar

Pas daarna komt het applicatieportfolio in beeld.

• Welke toepassingen ondersteunen de kritieke capaciteiten?

• Waar worden ze gehost?

• Welke technologieën, integraties en gegevensstromen zijn nodig?

• Welke prestatie- en beveiligingseisen gelden?

Breng vervolgens in beeld welke technologie moet blijven functioneren om de kritieke dienst te garanderen. Dit voorkomt dat digitale soevereiniteit wordt herleid tot een algemene discussie over cloudleveranciers. De relevante eenheid van analyse is de volledige keten achter een concrete dienst.

4. Identificeer de werkelijke afhankelijkheden

Een applicatie kan vervangbaar lijken en toch sterk verankerd zijn in een breder ecosysteem. Denk aan identiteitsdiensten, dataformaten, encryptie en sleutelbeheer, beheerplatformen, AI-modellen, ontwikkelstraten, schaarse expertise of contractuele beperkingen.

Niet iedere afhankelijkheid is problematisch. Ze wordt strategisch relevant wanneer de organisatie geen realistisch alternatief heeft, onvoldoende inzicht heeft in de werking of niet tijdig kan reageren op een verstoring, beleidswijziging of gewijzigde marktsituatie.

5. Prioriteer op impact én afhankelijkheid

Een lange inventaris is nog geen strategie. Afhankelijkheden moeten worden gewogen volgens hun impact op de dienstverlening en de mate waarin de organisatie ervan afhankelijk is.

Daaruit wordt duidelijk welke afhankelijkheden vandaag een beslissing vragen. Er zijn vier mogelijke benaderingen:

• Accepteren: leg de risicoacceptatie vast wanneer impact en afhankelijkheid beperkt of verantwoord zijn.
• Opvolgen: monitor de ontwikkeling en bereid alternatieven voor, zodat ingrijpen mogelijk blijft.
• Beschermen: behoud de technologie, maar beperk de gevolgen van verstoring met redundantie, fallback- en herstelmaatregelen.
• Strategisch beheren: verminder de afhankelijkheid structureel via ontkoppeling, spreiding, alternatieven of een gecontroleerd migratiepad.
  

Deze prioritering voorkomt dat middelen worden verspreid over maatregelen die weinig bijdragen aan de continuïteit van publieke diensten. 

6. Bouw aantoonbare controle in

Voor iedere kritieke afhankelijkheid is een passende combinatie van maatregelen nodig. Dat kan gaan om open standaarden en dataportabiliteit, contractuele exitafspraken, toegang tot essentiële documentatie, controle over encryptiesleutels, overdraagbare kennis, alternatieve leveranciers, redundantie of een getest herstel- en migratieplan.

De beslissende vraag is: kunnen we aantonen dat de organisatie ook bij veranderende omstandigheden handelingsbekwaam blijft?

Een exitplan dat nooit is getest, biedt weinig zekerheid. Hetzelfde geldt voor data die formeel exporteerbaar zijn maar niet bruikbaar kunnen worden overgezet, of voor een alternatief platform waarvoor de nodige expertise ontbreekt. Controle moet daarom niet alleen contractueel bestaan, maar ook technisch en operationeel worden bewezen.

Soevereiniteit als eigenschap van een weerbare organisatie

Deze aanpak levert meer op dan een overzicht van leveranciersrisico’s.

• Kritieke afhankelijkheden en ontbrekende terugvalmogelijkheden worden zichtbaar.

• Investeringen kunnen worden gekoppeld aan hun bijdrage aan essentiële dienstverlening.

• Overlap, verouderde technologie en technische schuld komen scherper in beeld, waardoor modernisering gerichter kan gebeuren.

Digitale soevereiniteit is daarom geen afzonderlijk programma naast cybersecurity, cloud, data, AI en applicatiemodernisering. Het is een eigenschap van organisaties die hun digitale fundamenten begrijpen en er aantoonbaar controle over uitoefenen

De meest werkbare eerste stap is bescheiden: selecteer één kritieke publieke dienst en breng de volledige keten erachter in kaart. Van maatschappelijke impact tot processen, applicaties en de afhankelijkheden die de bewegingsruimte bepalen.

Wie daar begint, maakt van digitale soevereiniteit geen abstract politiek doel, maar een concrete oefening in bestuurlijke weerbaarheid.