Cloudsoevereiniteit is geen technisch vraagstuk

Enkele jaren geleden had je er waarschijnlijk nog nooit van gehoord, vandaag de dag kun je er nauwelijks nog omheen: cloudsoevereiniteit. Van De Nederlandsche Bank die overstapt naar een Europese cloud tot het blokkeren van de Amerikaanse overname naar Solvinity, het bedrijf achter DigiD: de vraag waar data zich bevindt en onder welke jurisdictie die valt, staat ineens volop in de belangstelling.

De verslechterde verhoudingen tussen de VS en Europa spelen daarbij een belangrijke rol. De zorg leeft dat Washington in een escalerend conflict de toegang tot Amerikaanse diensten kan beperken of zelfs inzage kan krijgen in gevoelige gegevens van Europese burgers. De mogelijke impact daarvan is aanzienlijk: kritieke processen, zoals het betalingsverkeer, kunnen ernstig worden verstoord.

“Het onderwerp leeft enorm”, ziet ook Robert Jan Prins (Industry Director Financial Services bij Cegeka). “Waar cloud jarenlang vooral werd geassocieerd met efficiëntie en schaalbaarheid, verschuift het gesprek nu naar risico, controle en continuïteit. Organisaties realiseren zich dat een groot deel van hun digitale infrastructuur afhankelijk is van hyperscalers buiten Europa – en dat zij daar niet altijd volledige regie over hebben.”

Vertrouwen en stabiliteit

De verschuiving wordt nog eens extra versterkt door nieuwe Europese regelgeving. “DORA verplicht financiële instellingen bijvoorbeeld om hun volledige keten van IT-leveranciers in kaart te brengen en kwetsbaarheden te identificeren”, legt Prins uit. “CEO’s en risk officers stellen daardoor andere, meer fundamentele vragen: waar staat onze data precies, onder welke jurisdictie valt die en wat betekent dat voor ons risicoprofiel?”

Dat betekent overigens niet dat banken koste wat kost afscheid willen nemen van Amerikaanse technologieplatforms. “Voor financiële instellingen draait het uiteindelijk om vertrouwen en continuïteit. Juist daarom willen organisaties hun afhankelijkheden beter begrijpen én beheersen, om zo de regie terug te nemen en te voldoen aan wet- en regelgeving.”

De zoektocht naar wendbaarheid

Die hernieuwde focus op regie begint volgens Prins bij een scherpe risicoafweging. “Sommige partijen denken dat de huidige situatie tijdelijk is en – met een nieuwe Amerikaanse president aan het roer – uiteindelijk wel weer overwaait.”

“Tegelijkertijd zie je steeds meer banken en verzekeraars die juist actief stappen zetten. Zij willen hun IT-landschap zo inrichten dat ze kunnen opschalen, terugschakelen en – als het nodig is – systemen ook weer kunnen uitfaseren. Cloudtechnologie maakt die bewegingsvrijheid in principe mogelijk.”

"Veel organisaties weten wát ze moeten doen, maar worstelen met de vraag hoe."

Daar schuurt het meteen. Die wendbaarheid is lang niet altijd vanzelfsprekend, zeker niet wanneer organisaties diep geïntegreerd zijn met hyperscalers zoals Microsoft. “Als je eenmaal verankerd bent in één ecosysteem, stap je daar niet zomaar uit. Dan zit je vast aan technische en organisatorische keuzes die je in het verleden hebt gemaakt.”

“Alles valt of staat uiteindelijk met je license to operate”, vervolgt hij. “Het behouden van het vertrouwen van toezichthouders, klanten en andere stakeholders is daarbij essentieel. De vraag is dus hoe je je cloudinfrastructuur zó inricht dat je niet volledig afhankelijk bent van één leverancier of één land.”

Complexe afwegingen

Het realiseren van cloudsoevereiniteit is daarmee veel meer dan een puur technische migratie. “Het positieve aan de huidige discussie is dat het thema inmiddels wordt erkend als een strategische topprioriteit en expliciet wordt afgewogen tegen de risico’s die financiële instellingen lopen.”

“Je moet namelijk keuzes maken op verschillende niveaus”, legt Prins uit. “Welke governance richt je bijvoorbeeld in rond toegangsbeheer en monitoring? Welke technologieën zet je in? Waar wordt je data opgeslagen? Hoeveel flexibiliteit wil je, en wat betekent dat voor de kosten? En hoe leg je afspraken met serviceproviders contractueel vast – ook als die van buiten Europa komen?”

Die keuzes zijn allesbehalve eenvoudig. “Veel organisaties weten wát ze moeten doen, maar worstelen met de vraag hóé. Besteed je alles uit aan één partij, of kies je juist voor een multi-vendorstrategie? Dat stelt hoge eisen aan de regieorganisatie. Bovendien kleven er aan vrijwel elke keuze voor- en nadelen.”

Daarnaast speelt tijd een belangrijke rol. De transitie naar een meer soevereine cloudarchitectuur kan al snel één tot twee jaar in beslag nemen. “Dat is geen knop die je even omzet”, zegt Prins. “Zeker niet bij grote financiële instellingen met complexe IT-landschappen en legacy-systemen.”

Eerst de basis

Te midden van alle complexiteit blijft voor Prins één principe leidend: begin bij de basis. “Elk traject start met de vraag wat de missie van de bank is. Waar wil je naartoe, en hoe kan IT daaraan bijdragen?”

“Van daaruit ontstaat een strategie waarin risico’s, compliance en technologie samenkomen – inclusief de bijbehorende kosten. Een belangrijk onderdeel daarvan is het bewust inbouwen van flexibiliteit, bijvoorbeeld door vanaf het begin exitstrategieën te ontwerpen. Doe je dat niet, dan loop je later vast. Het gaat dus niet alleen om total cost of ownership, maar ook over de risk exposure.”

Die afweging is niet alleen relevant voor compliance en kostenbeheersing, maar raakt ook de continuïteit van de klanten. Prins wijst er bovendien op dat er pas ruimte voor innovatie ontstaat wanneer de basis op orde is. “Zorg dat je fundament stevig staat, zodat je kunt innoveren zonder voortdurend te worden ingehaald door operationele risico’s.”

Europees model

Desondanks ligt de toekomst van cloud in Europa volgens Prins niet in een volledige breuk met Amerikaanse hyperscalers. “Daarvoor heb je sterke Europese alternatieven nodig. Die zijn in opkomst, maar het is een enorme opgave om te concurreren met Amerikaanse big tech. Een volledige overstap zou bovendien gevolgen hebben voor zowel de kwaliteit als de kosten.”

Daarom verwacht hij voor de nabije toekomst vooral een hybride model. Geen volledige vervanging van Amerikaanse platforms, maar een combinatie van ecosystemen die complementair zijn. “Voor kritieke infrastructuur kan een Europese oplossing de voorkeur krijgen, terwijl minder kritische workloads in de publieke cloud draaien.”

Tegelijkertijd blijft het belangrijk om op termijn meer autonomie op te bouwen. De uitdaging ligt volgens Prins vooral op Europees niveau: de huidige fragmentatie en trage besluitvorming tussen lidstaten belemmert de schaal en snelheid die nodig is om echt te concurreren.

“Je hebt uniformiteit nodig”, zegt hij. “Zolang ieder land zijn eigen accenten legt, kom je niet tot echte schaal. En zonder schaal wordt het moeilijk om volwaardige alternatieven op te bouwen die écht kunnen concurreren met Amerikaanse big tech.”